Спам

Навеяло обсуждениями к посту Как активный гражданин приучает людей к фишингу.

Потом, когда пришло не только жене, но и мне полез смотреть откуда и неожиданно узнал что рекламу теперь может слать и mos.ru
Совсем потеряли совесть

Давно уже реализуемая практика. Стоит зарегистрироваться на портале. или оформить обращение Не важно на mos.ru, или прокуратуру с полицией, вам тут же начнутся звонки и сомнительные смс.)
Не хочется об этих всех службах думать плохо. Но повторные обращения и снова звонки и смс. Так что борьба с мошенничеством стоит под контролем. Мошенники сами себя не ловят.)

Точно. Сходил пару раз в МФЦ и просто шквал звонков с разной рекламой. Причем сплошняком роботы текст зачитывают.

Для тех, кого интересует судебная практика по вопросу сбора персональных данных пользователей на различных порталах государственных организаций, а так же при предоставлении всевозможных государственных услуг, прошу под кат:


Сохранил для себя на память, то понял, что нужно этой информацией поделиться.

Если кратко, то есть кассационное определение Верховного Суда РФ в пользу субъекта персональных данных по вопросу истребования согласия на обработку персональных данных при оказании государственных слуг.

Сама история тезисно:
1. Заявитель физическое лицо обратился за госуслугой в госорган субъекта РФ.
2. По имеющемуся административному регламенту, вместе с заявлением на оказание госуслуги, заявитель должен был давать свое согласие на обработку персональных данных.
3. Однако Заявитель отказался дать свое согласие, в частности, опасался передачи сведений третьим лицам.
4. Заявителю в предоставлении госуслуги отказали.
5. Заявитель подал в суд на государственный орган.
6. Первая инстанция встала на сторону Заявителя.
7. Апелляция встала на сторону госоргана.
8. ВС РФ встал на сторону Заявителя.

Из определения ВС РФ по сути:

• Согласие на предоставление персональных данных носит добровольный характер
• Все данные для оказания госуслуги были указаны в заявлении, и по ФЗ от 27.07.2010 N 210-ФЗ у госоранов нет прав требовать ненужные для оказания госуслуги согласия и документы.

Юридически точные формулировки в самом определении:
ВЕРХОВНЙ СУД РОССИЙСКОЙ ФЕДЕРАЦИИ
КАССАЦИОННОЕ ОПРЕДЕЛЕНИЕ
от 22 января 2020 г. N 5-КА19-56

Навеяло обсуждениями к посту Как активный гражданин приучает людей к фишингу.

Потом, когда пришло не только жене, но и мне полез смотреть откуда и неожиданно узнал что рекламу теперь может слать и mos.ru
Совсем потеряли совесть

Давно уже реализуемая практика. Стоит зарегистрироваться на портале. или оформить обращение Не важно на mos.ru, или прокуратуру с полицией, вам тут же начнутся звонки и сомнительные смс.)
Не хочется об этих всех службах думать плохо. Но повторные обращения и снова звонки и смс. Так что борьба с мошенничеством стоит под контролем. Мошенники сами себя не ловят.)

Точно. Сходил пару раз в МФЦ и просто шквал звонков с разной рекламой. Причем сплошняком роботы текст зачитывают.

Для тех, кого интересует судебная практика по вопросу сбора персональных данных пользователей на различных порталах государственных организаций, а так же при предоставлении всевозможных государственных услуг, прошу под кат:


Сохранил для себя на память, то понял, что нужно этой информацией поделиться.

Если кратко, то есть кассационное определение Верховного Суда РФ в пользу субъекта персональных данных по вопросу истребования согласия на обработку персональных данных при оказании государственных слуг.

Сама история тезисно:
1. Заявитель физическое лицо обратился за госуслугой в госорган субъекта РФ.
2. По имеющемуся административному регламенту, вместе с заявлением на оказание госуслуги, заявитель должен был давать свое согласие на обработку персональных данных.
3. Однако Заявитель отказался дать свое согласие, в частности, опасался передачи сведений третьим лицам.
4. Заявителю в предоставлении госуслуги отказали.
5. Заявитель подал в суд на государственный орган.
6. Первая инстанция встала на сторону Заявителя.
7. Апелляция встала на сторону госоргана.
8. ВС РФ встал на сторону Заявителя.

Из определения ВС РФ по сути:

• Согласие на предоставление персональных данных носит добровольный характер
• Все данные для оказания госуслуги были указаны в заявлении, и по ФЗ от 27.07.2010 N 210-ФЗ у госоранов нет прав требовать ненужные для оказания госуслуги согласия и документы.

Юридически точные формулировки в самом определении:
ВЕРХОВНЙ СУД РОССИЙСКОЙ ФЕДЕРАЦИИ
КАССАЦИОННОЕ ОПРЕДЕЛЕНИЕ
от 22 января 2020 г. N 5-КА19-56

Наша группа реагирования на инциденты отслеживает беспрецедентное количество заражений вредоносным ПО Emotet. Количество активных одновременных расследований Emotet в три раза превышает наш предыдущий рекорд. В этом посте будут рассмотрены индикаторы компрометации, меры по их устранению и то, как Varonis может помочь вам обнаружить и остановить Emotet на каждой фазе атаки.

Обзор Emotet

После долгого перерыва весной 2020 года злоумышленник TA542 (также известный как Mummy Spider) вернулся с новой масштабной спам-кампанией, использующей несколько ботнетов по всему миру, а также использующей улучшенный арсенал вредоносного ПО.
Emotet, первоначально известный как банковский троян, впервые был обнаружен в 2014 году. Его основная цель заключалась в перехвате банковских учетных данных с помощью атак типа Man-in-the-browser. На сегодняшний день Emotet эволюционировал в самообновляемый универсальный набор вредоносных программ, который также действует как загрузчик для полезных нагрузок, таких как Qbot и Trickbot (которые, в свою очередь, загружают Ryuk и Mimikatz).



Поскольку Emotet является полиморфным, конкретные IOC (индикаторы компрометации), такие как URL-адреса загрузчика, комбинации С2 IP (Command and Control IP)/порт и шаблоны спама часто меняются. Эта особенность делает обнаружение на основе правил игрой в кошки-мышки, усугубляемой тем, что существует три разных ботнета Emotet, каждый со своей собственной инфраструктурой. Вы можете найти чудесно подробный ежедневный журнал Emotet IOC, который ведется командой Cryptolaemus.
Попав в сеть, Emotet использует различные методы для распространения, повышения привилегий, обеспечения устойчивости и вывода данных за пределы компании. К cлову, поведенческие модели угроз Varonis могут обнаруживать ранние признаки взлома Emotet, а также аномальное поведение после вторжения.

Первичная компрометация

Вектор заражения Emotet фишинговая кампания, поддерживаемая тремя глобальными ботнетами: Epoch 1, Epoch 2 и Epoch 3 (для краткости E1, E2, E3). Каждый Epoch имеет свою собственную инфраструктуру C2, расписание обновлений и шаблоны спама. Фишинговое письмо, как правило, содержит вложения с поддержкой макросов или вредоносные ссылки, предназначенные для заражения новых хостов и добавления их в свой кластер.
Во время последней волны заражений вредоносные письма Emotet содержали защищенные паролем вложения ZIP. Это делается с расчётом, что фильтры электронной почты пропустят запароленный архив без сканирования и не обнаружат вредоносные документы с поддержкой макросов. Такой подход получил название Operation Zip Lock.



Пароль обычно указывается в теле письма в виде простого текста, например:
Zip file attached to email: Very urgent information from 24-09-2020.zip
The password for the document is LQWMFXu

При фиксации всплеска количества писем с запароленными вложениями ZIP, рекомендуется помещать такие письма в карантин. Однако имейте в виду, что Emotet также использует документы Office, прикрепленные напрямую.
Кампании вредоносного спама были обнаружены на многих языках: английском, голландском, французском, немецком, итальянском, японском. Epoch-и, вероятно, имеют географическую привязку (например, в Японии распространен E3).

Развитие успеха

Emotet выводит украденные сообщения электронной почты и списки контактов жертв на сервер C2 с помощью запросов HTTP POST. Затем ботнет использует эти данные, чтобы выдать себя за отправителя и ответить на существующие разговоры. Сделать это можно, либо подменив отправителя, либо, если есть полный контроль над машиной жертвы, отправив электронное письмо непосредственно от имени жертвы.
Такая техника делает спам Emotet очень убедительным и увеличивает вероятность того, что новая жертва откроет вредоносное вложение.
Varonis отслеживает почтовые ящики Microsoft Exchange и Exchange Online и может обнаруживать вложения вредоносных файлов, которые соответствуют словарю известных шаблонов, используемых в шаблонах спама Emotet. С помощью модуля Edge, контролирующего прокси, возможно обнаружить, когда пользователь нажимает ссылку в теле письма, что приводит к загрузке вредоносного загрузчика Emotet.

Varonis анализирует все действия с почтовым ящиком (отправка/получение/открытие/удаление и т. д.) и это позволяет быстро идентифицировать учетные записи, которые были скомпрометированы и начали рассылать спам-кампании (внутренние или внешние). Профиль поведения пользователя создается с учетом всех наблюдаемых платформ: незначительные отклонения в поведении в почте в сочетании с подозрительными событиями входа в систему, сетевыми подключениями и доступом к данным позволяют получать точные оповещения с небольшим количеством ложных срабатываний.



Varonis Edge может обнаруживать кражу сообщений электронной почты и контактов Outlook. На практике мы наблюдали вывод этих данных благодаря покрытию прокси-серверов компании Emotet использовал команды HTTP POST. Если в будущем будет создан скрытый канал DNS, то он будет покрыт моделями эксфильтрации на основе DNS.
Подключения к серверам C2 можно обнаружить несколькими способами. Во-первых, если соединение производится с доменом с плохой репутацией, Varonis предупредит и пометит эти соединения. Во-вторых, Varonis обнаруживает, когда злоумышленники скрывают свой трафик в большом количестве соединений (white smoke), используя алгоритм генерации доменов (DGA). В-третьих, модели поведения Varonis обнаруживают, когда злоумышленники используют DNS в качестве скрытого канала, чтобы скрыть свои команды или передачу данных в виде DNS-запросов. Наконец, Varonis будет предупреждать о необычной веб-активности, такой как использование новых или необычных пользовательских агентов, нетипичный или первый доступ учетной записи к интернету или необычная загрузка данных на внешний ресурс.

Распространение

Emotet имеет множество модулей, которые можно динамически загружать с его C2 сервера для расширения функциональности вредоносного ПО. Есть модуль рассылки спама, модуль кражи электронной почты, банковский модуль и т. д.
Один из модулей, на который следует обратить особое внимание, это модуль для распространения, который позволяет делать это с помощью эксплойтов SMB, таких как EternalBlue (MS17-010) и путем доступа к скрытым административным шарам (ICP$, C$ и Admin$). Мы рекомендуем пропатчить все машины, которые все еще уязвимы для EternalBlue, и отключить административные шары.
Хотя основным методом распространения Emotet является SMB, исследователи из BitDefense обнаружили новую технику распространения, которая сканирует сети Wi-Fi с помощью функции WlanEnumInterfaces в wlanAPI.dll и пытается распространиться на подключенные устройства.
Вредоносное ПО попытается взломать защищенные паролем сети Wi-Fi с помощью встроенного списка паролей. В случае успеха оно пересылает комбинацию SSID и пароля сети обратно на C2 сервер и предпринимает еще одну попытку атаки методом перебора, на этот раз направленную на клиентов этой сети.

Повышение привилегий

Злоумышленники получают учетные данные от привилегированных учетных записей используя хорошо известные инструменты с открытым исходным кодом, ища пароли, хранящиеся в виде простого текста, и собирая учетные данные из Active Directory. Получив учетные данные администратора, злоумышленник может добавить одного или нескольких пользователей в группу администраторов домена.

Наблюдая за активностью файловой системы, Varonis быстро определяет, когда известные инструменты проникновения сохраняются на диск или, когда пользователь ищет в общих файловых ресурсах файлы с паролями или другими конфиденциальными данными. Любая учетная запись пользователя обычно имеет доступ к гораздо большему количеству данных, чем должна, поэтому такие поиски часто бывают плодотворными подробнее об этом ниже.

Emotet хорошо известен тем, что загружает другие виды вредоносных программ таких как Ryuk, которые в свою очередь загружают инструменты взлома, такие как Mimikatz, для сбора учетных данных и повышения привилегий. Varonis анализирует активность в Active Directory для обнаружения сбора учетных данных (например, Kerberoasting) и других атак. Чтобы снизить вероятность того, что эти атаки будут успешными, Varonis выводит потенциально слабые места (например, административные учетные записи, имеющие SPN) на панель управления. Сокращение площади атаки в AD и на файловых ресурсах усложняет жизнь злоумышленникам. Varonis также уведомит, когда учетная запись будет добавлена в административную группу.

Последний рубеж

Если признаки проникновения, распространения и повышения привилегий не были замечены, важно обеспечить критический уровень защиты крупнейших хранилищ данных, защищая серверы Windows и UNIX, устройства NAS, SharePoint и Exchange (как локально, так и в Office 365).

Varonis анализирует активность файловой системы на платформах, которые обеспечивают аудит с помощью своих API, таких как Office 365 и устройства NAS от NetApp, EMC и других. На платформах, где включение родного аудита может вызывать проблемы с производительностью или аудит недостаточно полный, например, Windows, UNIX, Exchange и SharePoint, Varonis использует собственные проверенные в боях агенты для захвата операций.

Если пользователь начинает обращаться к необычному количеству или множеству данных по сравнению с его нормальным поведением, Varonis обнаружит это с помощью одной или нескольких поведенческих моделей. Если пользователь начинает шифрование файлов, это также будет обнаружено многие наши заказчики автоматизируют обработку такого инцидента при помощи скриптов, отключая учетную запись и убивая активные сессии.



Varonis выявляет, где доступ к данным избыточен, т. е. пользователи имеют доступ, в котором они не нуждаются. Предусмотрена возможность автоматического изъятия избыточных прав доступа (как прямых, так и путем удаления учетной записи из групп безопасности). Ограничение доступа к важным данным уменьшит риски и затруднит работу любого злоумышленника.

Заключение

Ботнет Emotet это самое крупное и изощренное оружие в мире для распространения вредоносных программ. Трудно предсказать, какое оружие TA542 будет использовать в следующий раз или какие APT поделятся своим оружием. Что мы действительно знаем, так это то, что кампании Emotet происходят всплесками и сильно различаются по своему характеру, поэтому чрезвычайно важно иметь многоуровневый подход к защите, включая управление обновлениями (patch management), обучение антифишингу, фильтрацию почты, защиту пользовательских устройств и подход, ориентированный на защиту данных (data-centric) наравне с инфраструктурой в целом.

Комплексное обнаружение может дать вашей организации преимущество, но и сокращение поверхности атаки (повышение уровня защищенности) вносит не меньший вклад. Технология Varonis, ориентированная на защиту данных, выстраивает кольца детективного контроля от данных до Active Directory, DNS, VPN и прокси. Varonis также подсвечивает потенциально уязвимые учетные записи и легкодоступные данные, чтобы вы могли исправить ситуацию до того, как злоумышленники ей воспользуются.

На прошлой неделе аналитики Лаборатории Касперского выпустили итоговый отчет по спаму и фишингу за 2020 год. В нем приводятся как абсолютные цифры по срабатыванию систем защиты от фишинга и детектированию вредоносных вложений, так и описание новых методов киберпреступников. Интерес представляет мутация традиционного нигерийского спама. В ответ на пандемию в сообщениях о якобы смерти богатого родственника и миллионном наследстве появились отсылки к COVID-19. Но не только: судя по всему, на этот длящийся десятилетиями скам почти никто не реагирует, и появляются более сложные методы.



Вместо прямого предложения поучаствовать в дележке несуществующих богатств жертва получает просьбу отправить открытку маленькой девочке. Мошенничество происходит где-то глубоко в процессе переписки: такое ощущение, что спамеры узнали, что такое воронка продаж. Специалисты также отмечают диверсификацию вредоносных действий, ориентир на мобильных пользователей и мессенджеры. В одном случае мошенники предлагают не только поучаствовать в розыгрыше ценных призов, но и сообщить о псевдолотерее друзьям и знакомым. В другом для получения коронавирусной компенсации требуют установить вредоносное приложение на смартфон. Как обычно, наиболее продвинутое мошенничество замечено в потенциально более прибыльных атаках на корпоративную инфраструктуру.



Спамеры делают все возможное, чтобы создать правдоподобные копии реальной облачной инфраструктуры, начиная с подделок под веб-интерфейс корпоративной почты и заканчивая сервисами по передаче файлов, как на скриншоте выше. Среди других похожих на нормальные каналы в отчете приводятся голосовые сообщения, инвайты на встречу в Zoom и других сервисах телеконференций, уведомления от IT-отдела, симуляции автоответов с вредоносными вложениями. Наконец, есть пример креативной атаки на владельцев веб-сайтов: через форму обратной связи им приходит письмо с обвинением в краже рисунка или фотографии и ссылками-доказательствами (естественно, вредоносными). Высший пилотаж: мошенничество без вредоносных ссылок, когда пользователя просят позвонить в техподдержку.

Если коротко, в прошлом году обычная спам-вакханалия получила оттенок COVID-истерии. Самое интересное, что это произошло на фоне снижения доли спама в общем почтовом трафике: в 2020-м она составила 50,37%, что на 6,14 процентных пункта ниже, чем в 2019 году. Скорее всего, это не спамеры стали хуже работать, а количество легитимных писем увеличилось в связи с массовым переходом на удаленную работу.

Произошли некоторые изменения в спам-географии: чаще всего мусорные письма отправляли в прошлом году из России (21,27% всех нежелательных сообщений), на втором месте оказалась Германия. В прошлом году лидерами по отправке спама были серверы, расположенные в США и Китае. Тройка лидеров получателей спама: Испания, Германия и Россия.

Фишинговые ссылки были заблокированы у 13,21% пользователей продуктов Лаборатории Касперского. Это среднее значение по миру, но в некоторых странах доля срабатываний выше: например, в Бразилии фишинг не дошел до 20% пользователей. В целом авторы отчета отмечают рост количества таргетированных атак через электронную почту, ориентированных на компании. Мы, получатели спама, представляем большую ценность, когда работаем, а не когда сидим дома. Правда, в 2020 году эти два состояния почти не отличались друг от друга.

Что еще произошло:
Компания Microsoft принудительно удаляет Adobe Flash с компьютеров пользователей с помощью обновления Windows 10.



Патч для браузера Brave закрывает серьезную дыру в приватности: оказывается, до этого все запросы к доменам .onion через встроенный Tor-браузер утекали к провайдеру DNS-серверов.

Обнаружен первый (а затем и второй) образец вредоносного ПО для компьютеров Apple на базе процессора M1.

Инфраструктуру сервиса Letsencrypt серьезно переработали. Теперь она позволяет перевыпустить все сертификаты в течение суток. Это сделано на случай необходимости отзыва сертификатов из-за программных ошибок.

Аналитики Microsoft выпустили отчет об атаке SolarWinds на инфраструктуру компании. По их данным, организаторы смогли получить доступ к исходным кодам некоторых решений (в частности, Azure и Exchange). Доказательств, что инфраструктуру Microsoft использовали для атаки на клиентов, не обнаружилось.

Уже не впервые сталкиваюсь, что читатели Хабра не все поголовно умеют правильно бороться со спамом. И я не про SpamAssasin, Ктозвонил и прочие приложения для фильтрации информационного мусора, а про несложную, но весьма доставляющую всем сторонам процесса подачу жалобы в ФАС.

Давайте расскажу, как буквально за 15 минут не отрываясь от любимого компьютера подключить спамеру задораздирающий тариф линейки Административный: Административный 100к, Административный 150к и вплоть до Административный 500к как повезет.

Итак, получаете вы SMS, звонок или электронное письмо со всем этим Процентные ставки снижены, Распродажа! Скидки до 146%, Вам одобрен микрозаем на макроусловиях, воспламеняетесь праведным гневом, ставите отметку это спам, удаляете все это правильно, но уже заложено в CTR спамеров и толку от этого немного: спам как валил так и продолжает валить.

А вот штраф от Федеральной монопольной службы от 100 до 500 тысяч рублей никто из спамеров в маркетинговый бюджет не закладывает. 100 тыр. за каждое сообщение, посланное каждому пожаловавшемуся получателю, на секундочку! Алгоритм действий следующий

1. Нет, не хватайтесь сразу за авторучку клавиатуру, сперва оцените перспективы. Жалобой будет заниматься ФАС России, а не Интерпол, поэтому письма от нигерийских принцев или заокеанских благодетелей всех мужчин с короткими причиндалами тут не подходят. Благо сегодня нас чаще донимают спамом вполне себе местные и притворяющиеся респектабельными компании Сбер, Яндекс и прочие, чьи концы искать придется недолго.

2. Нет, все еще не хватайтесь за клавиатуру, сперва напрягите память: вы точно не давали согласия на получение рекламно-информационных материалов этому отправителю? Может, договор с ним подписывали, а там мелким шрифтом: согласен? Точно нет? Не надо напрягать ФАС пустой работой, от этого никому хорошо не будет.

3. Наконец можно взяться за клавиатуру. Пишите заявление в свободной форме, где излагаете обстоятельства произошедшего: такого-то числа в такое-то время на такой-то номер/адрес получено такое-то рекламное сообщение; прошу принять меры и доколе?!



4. К заявлению прикладываете доказательства злодейства, список которых зависит от вида спама.













5. Заявление и приложения к нему оборачиваете в общий PDF (это не обязательно, просто так удобнее), прикладываете к нему аудиофайл (если он есть), обернутый в ZIP (т.к. ФАС принимает только PDF и ZIP) и посылаете в свой местный УФАС либо через сайт ведомства, либо через портал Госуслуги (рекомендую второй вариант).

6. В течении пары дней на контактный адрес электропочты вы должны получить уведомление о принятии заявления в работу. В течении месяца с этой даты результат его рассмотрения или уведомление о продлении рассмотрения еще на месяц. В любом случае, вас должны известить об принятом в итоге решении. Если чего-то не доложили в комплект поданных документов должны прислать предложение доложить.

По моему опыту, окончательное решение может выноситься до полугода, но рано или поздно выносится. Пользуясь случаем, передаю приветы Сберу, ВТБ24, Озону, Билайну и прочим спамерам, обедневших моими стараниями на 100 и больше тыр, и забывших с тех пор, как присылать мне свой спам.



Если есть какие-то вопросы по тексту или по практике жученья спамеров через ФАС спрашивайте в комментах.

За неделю Роскомнадзор дважды составил административные протоколы на Департамент информационных технологий Москвы: за незаконную обработку ПД и наглое вранье надзорному органу.


Во время пика прошлогоднего коронабесия, когда власти вводили пропуска, комендантский час, патрули с собаками чумными докторами и это все, я развлекал себя, измываясь над московской системой оформления электронного пропуска на передвижение, который якобы требовался для обуздания пандемии.

Гипотеза состояла в том, что вся эта система сплошная профанация и нужна лишь для распила бюджета и построения цифрового профиля москвичей, а любой гражданин, располагая толикой изворотливости и информацией из открытых источников, может ее легко обойти. Проверка носила бескорыстный характер, так что я был целиком в белом жабо white hat.

Гипотеза подтвердилась: сперва я заказал себе многоразовый пропуск на название и ИНН несуществующей организации, который был действителен где-то месяц и даже пару раз автоматически продлевался системой.

Затем пропуск аннулировали и новый можно было заказать лишь через более сложную процедуру, сопроводив справкой с места работы. Для получения пропуска Вам необходимо подтвердить, что Вы работаете в указанной организации, путем предоставления договора, справки с места работы или иного документа, сообщала система, и стращала ежа голой жопой ч.1 ст.20.6.1 КоАП РФ, с которой автор страшилки был явно незнаком. Но можно было пойти и по простому пути, объявив себя журналистом или адвокатом, что я успешно и сделал.

Проверка гипотезы сопровождалась рядом условий, которые я сам себе поставил: система не должна получить никаких данных обо мне, кроме тех, предоставление которых неизбежно для целей получения пропуска. Т.е. пропуск должен содержать ФИО его невозможно не указать. К пропуску можно привязать транспортную карту бессмысленно привязывать несуществующую или чужую, она просто не сработает в метро (в наземном транспорте со свистом работала непривязанная). Московские власти хотят знать мое место работы обломятся.

Одновременно я проверял другую гипотезу, а именно: все собранные при заказе пропуска данные будут использоваться ДИТ Москвы как ему заблагорассудится, игнорируя требования закона и элементарной порядочности. Эта гипотеза также подтвердилась.

Для ее проверки я внимательно следил, чтобы при заказе пропуска не принять случайно кабальное соглашение об обработке персональных данных, и гарантирую это: соглашения либо не было вовсе, либо в нем однозначно было прописано, что данные собираются исключительно в целях выдачи пропуска.

Был более жесткий вариант заказа с соглашением, предусматривающим пожизненное анальное рабство и передачу персональных данных партнерам оператора, которые смогут использовать их в любых целях. Этот вариант заказа был отметен без раздумий, как нарушающий условия задачи.


Как и предполагалось, моя внимательность ни на что не повлияла: через некоторое время от правительства Москвы повалил спам. И тогда в условиях самоизоляции у меня появилось новое развлечение курощение ДИТ. Закон нарушают? Нарушают. Ответственность за это предусмотрена? Предусмотрена. Вот и отвечайте по закону. Заранее было понятно, что задача не из легких привлечь госструктуру за рассылку спама и вольное обращение с персональными данными, но если не пробовать, это хамство будет вечным.

Я подал жалобы в ФАС и Роскомнадзор, с первой из которых у меня сложились многолетние плодотворные отношения по штрафованию спамеров, а со вторым не сложились от слова совсем: РКН упорно не видел моих персональных данных, а тем более нарушений в порядке их обработки, сколько бы и на кого я ни жаловался. А в этот раз начались такие чудеса, будто я из 2021 года попал в Светлую Россию Будущего.

На московские власти я и раньше жаловался в ФАС и это была едва ли не единственная жалоба за последние 5 лет, которая не вызвала живого отклика в сердцах антимонопольщиков: это не реклама, а социальная реклама ответили они, а потому оснований для принятия мер нет. Элегантное решение, я считаю: и волки целы, и баранам овцам нечего возразить формально ФАС права, а неформально я злопамятный и ждал подходящего случая, который не заставил себя ждать.

Подрядчик бесплатно: найдем швейный цех под ваши нужды завлекал заголовок очередного спама от московских властей про Биржу контрактного производства бесплатный сервис, где можно найти швейный цех или фабрику и заказать производство одежды, обуви, домашнего текстиля или аксессуаров.

Ну если и это социальная реклама, подумал я, то извините пойдемте в суд, хоть в Верховный. А вот и нет, не социальная, и не реклама вообще ответила ФАС. Рекламой является информация, <> направленная на привлечение внимания к объекту рекламирования тогда как в поступившем Вам e-mail-сообщении отсутствует информация об объекте рекламирования. Целью данного сообщения не является привлечение внимания потребителей к объекту рекламирования.

Т.е. Биржа контрактного производства и все письмо про нее, по мнению Московского УФАС России, не информация об объекте информирования, а Хотите уйти из Китая и найти швейное производство в России? Сделайте это с нами! не имеет целью привлечение внимания потребителей к объекту рекламирования. Серьезно?!

И даже эта, кхм, позиция была выражена лишь после пинка, поскольку без оного ФАС лишь сообщила, что не получила ответа на свой запрос от спамера ГКУ города Москвы Московского городское агентство по телекоммуникациям и на основании этого приняла решение об отказе в возбуждении дела. Пришлось пинать напоминать заплаканной ФАС, что на такой случай в КоАП предусмотрена ст.19.7, устанавливающая ответственность за непредставление информации в государственный орган, осуществляющий государственный контроль.

В общем, с ФАС мы упражняемся в казуистике языкознании и логике, результат пока неизвестен, но если жалоба на процитированное решение не найдет отклика и у руководства ФАС, есть планы прогуляться в суд и заставить-таки антимонопольщиков работать.

А теперь про Светлую Россию Будущего и Роскомнадзор, который мы все заслуженно не любим, а он настолько крут, что выдает целебных даже спамерам из правительства Москвы.

Сперва Управление Роскомнадзора по ЦФО ответило мне, что я сам себе злобный Буратино, т.к. зарегистрировался на московском портале госуслуг: начав пользоваться Порталом, Вы приняли соглашение о пользовании информационными системами и ресурсами города Москвы (далее Соглашение) в полном объеме. В соответствии с пунктом 3.3 Соглашения Вы дали свое согласие на получение информационных сообщений.

Ответ был предсказуемым и основанным на позиции вранье Департамента информационных технологий города Москвы, присланном в ответ на запрос Роскомнадзора, к чему я был готов. В свою очередь, я сообщил Роскомнадзору, что а) портал был создан раньше, чем правительство Москвы учредило ДИТ, а потому я никак не мог давать ему согласия на получение спама; б) на портале есть настройки получения информационных соглашений, и я изначально отказался от их получения; в) [звучит барабанная дробь] я зарегистрирован на этом портале с другим адресом.

Я все понимаю большие города, большие данные, слегка запутались в них, немножечко соврали про цели сбора персональных данных для пропусков, уточку переборщили с их незаконной обработкой, случайно сопоставили один набор ПД с другим, непроизвольно разослали спам с кем не бывает, правда? Даже законодатель предусмотрел такие ошибки, дополнив в профилактических целях КоАП статьей 13.11.

Пока я все эти соображения излагал Роскомнадзору, пришло письмо из ДИТ, и уже не спам: в ходе проверки выявлено ошибочное направление информационной рассылки [снова барабанная дробь], уведомляем Вас об уничтожении адреса электронной почты [мой адрес], Ba-Dum-Tss!!! Большие города, пустые поезда большие данные, снова ошибочка вышла! Я мысленно посочувствовал сотрудникам ДИТ, танцующим танец маленьких ужей на сковородке, убедился, что мой адрес не уничтожен ДИТом в приступе добросовестности, и переслал сообщение в Роскомнадзор.

Погодите-ка со своей ст.13.11 КоАП, неожиданно взбеленился Роскомнадзор, нам тут что, всю дорогу ссали в уши?! Тогда мы начнем возбуждаться по признакам ст.19.7 КоАП, выразившимся в представлении в государственный орган, осуществляющий государственный контроль (надзор), наглой лжи сведений (информации) в искаженном виде. На прошлой неделе составили протокол, меня не звали, т.к. я не сторона этих увлекательных правоотношений, но хочется думать, что было жарко.

А на этой неделе позвали составлять протокол за рассылку самого спама незаконный оборот моих персональных данных. Да, было жарко! Первые полчаса мы с нач. отд. по защите прав субъектов ПД (кстати, очень милая дама) сидели и ждали, пока представитель ДИТ напишет ходатайство о переносе заседания на 3 дня, т.к. якобы идет проверка и ДИТ надо установить все факты, это была душеспасительная социально-значимая рассылка (звук закатываемых в сарказме глаз), а адрес взят из открытых источников Вардан Кушнир. Некрасиво глумиться над своим процессуальным противником, но вы понимаете мои чувства?

В общем, за эти полчаса я хорошо прогрелся, почти вскипел и обдумал, почему против переноса. Во-первых, потому, что за уже прошедшие два месяца ДИТ мог бы провести пять проверок и 3 дня погоды не сделают. Во-вторых, потому, что как следует из письма ДИТ, проверка уже закончилась и установила наличие ошибки (даже мой адрес обещали уничтожить!) В-третьих, мне уже достаточно трех версий, почему ДИТ спамил (хотя постойте, а как же результаты проверки, которая уже завершилась, но нужно еще 3 дня?) и может хватит врать?

Хватит, решил Роскомнадзор, ходатайство о переносе рассмотрения отклонил и составил протокол об административном правонарушении. С нетерпением жду суда над ДИТ: все-таки, немного поостыв, я решил, что с интересом выслушаю четвертую и пятую версии вранья на тему, откуда у ДИТ мой адрес электронной почты и почему он считает, что на него можно невозбранно слать спам. Есть даже пара предположений, какими они будут

Итого в сухом осадке:

• 3 версии, откуда ДИТ взял мой адрес для рассылки спама, ни одна из которых его же не устраивает;
• проверка, которая завершилась, но нужно еще 3 дня на ее окончание;
• задокументированное вранье ДИТ надзорному органу;
• 2 протокола об административном правонарушении, совершенном ДИТ.

Ну, кто меня теперь осудит за намерение пойти в суд и поддержать позицию Роскомнадзора?

В прошлом году Билайн стал требовать для входа в Личный кабинет абонента принять оферту и согласиться получать рекламу спам от полосатых и его партнеров, а в случае несогласия отправляться в Мегафон или МТС на ближайший хутор ловить бабочек.

Идея сафари на чешуекрылых показалась мне настолько оригинальной, что я пригласил присоединиться к приключениям Роснепотребнадзор, ФАС и Роскомнадзор, предложив по дороге обсудить: не слишком ли много ухи съели пчеловоды, требуя от абонентов согласия на спам? Две первые инстанции посчитали, что не слишком: вы же не приняли оферту, дорогой абонент, значит ваши права не были нарушены, играйте в юного энтомолога без нас. А надзор, профилактика, предупреждение оставьте тем, кто верит в Деда Мороза.

Зато Роскомнадзор заинтересовался новым видом активного отдыха, запросил у туроператора Билайна проспекты, составил на него административный протокол за то, что не сразу выслали, а затем направил требование о приведении своей деятельности в соответствии с действующим законодательством. Самого текста не видел, но предполагаю, что требовалось не орфографические ошибки в оферте исправить.

Прошел месяц, Билайн исполнил требование вывесил новую оферту. Было:

2.8. Выражаю Оператору согласие на обработку <> и передачу указанных сведений или результатов их обработки, в том числе вероятностных, партнерам Оператора (далее Партнеры) в целях предоставления товаров/работ/услуг Оператора или Партнеров.
Также выражаю согласие на направление мне сообщений рекламного и/или информационного характера <> а также организацию Оператором канала коммуникации между Партнерами и мной по телефонным номерам, пользователем которых я являюсь.

Стало:

2.8. Соглашаясь с настоящими Условиями, Абонент выражает Оператору согласие на обработку указанных ниже его персональных данных в целях:
<>

• предоставление Оператором Абоненту информации об услугах Оператора и партнерах Оператора (в том числе информирование Абонента о предоставляемых партнерами Оператора товарах, работах, услугах партнеров Оператора, включая рекламу партнеров Оператора);
• предоставление товаров/работ/услуг партнеров Оператора и партнеров Оператора.

Спешили выполнить требование Роскомнадзора, отсюда и партнеров Оператора и партнеров Оператора, руки тряслись, понимаю, но разницы не вижу.

Похоже, одного административного протокола полосатым мало, попросил Роскомнадзор уважить пчеловодов повторной проверкой, чреватой уже составлением протокола о неисполнении требования надзорного органа.

Почему Билайн так бьется за п.2.8 оферты, что даже рискует вызвать на себя огонь регулятора, полагаю, очевидно (спойлер: чтобы невозбранно рассылать спам абонентам и продавать их рекламные профили своим партнерам). Неочевидно, как далеко он готов зайти для достижения этой цели, хотя для меня очевидно, рассказываю.

Однажды мне потребовался договор с Билайном, свой экземпляр которого я считал безвозвратно утраченным армейским способом. Пошел в офис обслуживания, предъявил паспорт, попросил копию, через минуту мне ее выдали все просто, быстро и безвозмездно, т.е. даром. Однако при детальном рассмотрении оказалось, что вместо копии мне выдали подделку справку о помутнении рассудка при заключении договора и приступе амнезии. Перерыл все антресоли и все-таки нашел свой экземпляр договора, сравните сами:


Если верить копии подделке, при заключении договора я дал согласие на получение рекламной информации, а если оригиналу с чернильными подписями обеих сторон и сургучной печатью ОАО Вымпел-Коммуникации находился в то время в здравом уме и до сих пор пребываю в трезвой памяти, четко зафиксировавшей: такого согласия я не давал.

Похоже, глазастых и здравомыслящих, которые вычеркивают при заключении договора дефолтное согласие получать спам, становится все больше, и полосатые придумали хитрый финт: доступ в Личный кабинет только в обмен на анальное рабство отказ от своих прав. Связь есть? Есть! А следить, какие подписки и услуги вы сами подключили абоненту не обязательно

А вы как, вздыхаете и соглашаетесь с подобными офертами, или отстаиваете свои права?

P.S.: причем тут куры и телескоп?

Я Владислав Чернов специалист по кибербезопасности компании Creative Motion Development. Обеспечение контроля за безопасностью сайтов наша ежедневная рутина и мы порой забываем, что очевидные для нас вещи для многих не очевидны. В этой статье, я расскажу о мерах, которые стоит предпринять, для повышения безопасности вашего сайта.

Хакеры атакуют не менее 50 000 веб-сайтов каждый день. Это тревожные цифры, учитывая, что почти каждый бизнес присутствует в Интернете. Атаки нацелены на все предприятия, включая малые и средние предприятия около 43% атак нацелены на малые предприятия. Веб-сайты содержат много конфиденциальной информации, в том числе личные данные, такие как адреса электронной почты, имена, дата рождения, номера кредитных карт и т. Д. Сегодня защита конфиденциальности информации закреплена в большинстве нормативных актов о соответствии информации. Принятие передовых методов обеспечения безопасности веб-сайтов это шаг к соблюдению этих правил. Таким образом, компаниям необходимо понимать основные методы повышения безопасности своих веб-сайтов. Перед этим важно сначала понять угрозы и риски для доступности, целостности и конфиденциальности веб-сайта.

Общие риски безопасности веб-сайтов

DDoS-атаки

DDoS-атаки одна из самых распространенных угроз безопасности веб-сайтов. В ходе атак хакеры перегружают трафик целевого веб-сайта поддельными IP-адресами. Атаки не позволяют обычным пользователям получить доступ к ресурсам веб-сайта, отказывая им в доступе. Например, Банк Испании подвергся DDoS-атаке в 2018 году. В результате этого веб-сайт банка был отключен от сети, что не позволило пользователям получить доступ к онлайн-сервисам.

Вредоносные программы и вирусы

Вредоносное ПО это вредоносная компьютерная программа, а вредоносные приложения представляют собой самую большую угрозу безопасности веб-сайта. Кибер-злоумышленники ежедневно создают и выпускают не менее 230 000 образцов вредоносного ПО. Вредоносное ПО может быть доставлено различными способами, например с помощью рекламы с вредоносным ПО и скрытых загрузок. Вредоносное ПО может использоваться для удаленного мониторинга всех действий на веб-сайте и сбора пользовательских данных, например паролей. Вредоносное ПО представляет опасность как для владельца веб-сайта, так и для пользователя. Вредоносное ПО может распространяться на веб-серверы или отдельные компьютеры пользователей.

Спам

Мошенники размещают на сайте спам-сообщения, чтобы заманить пользователей. Хотя спам не обязательно наносит вред сайту, он может раздражать и вызывать проблемы с безопасностью для пользователя. Например, хакеры нацелены на пользователей со спам-сообщениями, замаскированными под рекламные акции или предложения. Любопытные пользователи, которые нажимают на сообщения, будут перенаправлены на внешние ссылки. Спам также может содержать вредоносные программы, которые пользователь скачивает сразу после нажатия. Кроме того, ботов можно использовать для постоянного обновления спам-сообщений в загруженной части веб-сайта. Это не только раздражает клиентов, пытающихся получить доступ к ресурсам или услугам веб-сайта, но также может оттолкнуть их.

Регистрация домена WHOIS

Все владельцы веб-сайтов должны зарегистрировать свои веб-сайты в определенном домене. Домены требуют от владельцев предоставить некоторую личную информацию для идентификации. Информация регистрируется в базах данных WHOIS. В дополнение к личной информации владельцы веб-сайтов должны предоставить другие типы информации, такие как серверы имен URL-адресов, связанные с веб-сайтом. Хакеры или инсайдеры могут использовать предоставленную информацию для отслеживания местоположения сервера, используемого для хранения информации веб-сайта. После обнаружения сервер можно использовать в качестве шлюза для доступа к веб-серверу и его взлома.

Черные списки сайтов поисковой системы

Некоторые поисковые системы, такие как Google, Bing и другие, заносят в черный список веб-сайты, на которых отсутствуют надлежащие меры безопасности. Таким образом, попадание в черный список не означает угрозы безопасности. Вместо этого сайт работает хуже при оптимизации поисковых систем и может даже не отображаться в результатах поиска. Это серьезно влияет на услуги, предоставляемые через веб-сайт. Например, бизнес, полагающийся на свой веб-сайт для продажи товаров и услуг через электронную коммерцию, может столкнуться с более низкими продажами и сокращением трафика, если он находится в черном списке. Недавний опрос показал, что рейтинг SEO по крайней мере 74% атакованных веб-сайтов подвергается негативному воздействию. Таким образом, предприятиям необходимо внедрять передовые методы обеспечения безопасности веб-сайтов, чтобы защитить их рейтинг в поисковых системах.

Лучшие методы повышения безопасности веб-сайтов

Угрозы безопасности веб-сайтов могут затронуть любой бизнес. С ростом сложности, скорости и интенсивности кибератак компаниям необходимо руководствоваться тезисом "когда атака может поставить под угрозу их веб-сайты", а не, "если атака случится". Незащищенный веб-сайт уязвим для множественных атак, угрожающих безопасность организации, а также конфиденциальности и безопасности пользователей. Ниже приведены наиболее эффективные методы, которые следует соблюдать сегодня.

Использование протоколов HTTPS

Протокол HTTPS должен быть приоритетом для всех владельцев сайтов. Это не только жизненно важно для обеспечения безопасной связи между веб-сервером и клиентом, но также улучшает базовый стандарт безопасности для всех веб-сайтов. Во-первых, он убеждает пользователей, что все коммуникации, осуществляемые через веб-сайт, безопасны. Протокол HTTPS по сути сообщает посетителям веб-сайта, что информация, которую они запрашивают или просматривают с веб-сервера, не может быть перехвачена или изменена третьими лицами. Во-вторых, веб-браузеры, такие как Google Chrome, идентифицируют и отмечают все веб-сайты, на которых отсутствуют протоколы безопасности HTTPS. Каждый раз, когда посетитель заходит на сайт, он получает уведомление о том, что он небезопасен. Некоторые посетители не захотят продолжать пользоваться услугами веб-сайта, помеченного как небезопасный. Это может оттолкнуть новых посетителей от посещения сайта, что приведет к снижению интерактивного взаимодействия с клиентами.

Кроме того, безопасность HTTPS не позволяет хакерам получить доступ к любому из кодов, используемых для разработки веб-сайта. Злоумышленники иногда изменяют код веб-сайта без защиты HTTP, чтобы отслеживать и получать доступ ко всей информации, которую посетители предоставляют при взаимодействии с веб-сайтом. Информация может включать личные данные, такие как данные кредитной карты, пароли и имена пользователей, а также дату рождения. Что еще более важно, протокол HTTPS позволяет веб-сайту повысить свой рейтинг SEO. Поисковая система, такая как Google, использует меры безопасности HTTP, чтобы вознаграждать веб-сайты более высоким ранжированием в результатах поиска.

Организация может дополнить меры безопасности HTTPS, использовав сертификат Secure Socket Layer (SSL). Безопасность SSL шифрует все коммуникации между сервером и пользователем веб-сайта. Таким образом, он не мешает хакерам распространять вредоносное ПО или проводить атаки. Вместо этого он шифрует информацию, чтобы гарантировать ее недоступность в случае успешной атаки. Благодаря реализации безопасности SSL пользовательские данные остаются защищенными от атак, таких как атаки типа человек посередине (MITM). Сертификаты SSL особенно необходимы для веб-сайтов, обрабатывающих большое количество личных данных, таких как платформы электронной коммерции. Однако все компании должны защищать свои веб-сайты с помощью сертификатов HTTPS и SSL, независимо от услуг, которые они предоставляют через сайты.

Частые обновления программного обеспечения

Для эффективной работы веб-сайтов необходимо использовать различные программные инструменты. Они включают в себя системы управления контентом плагины для веб-сайтов, программное обеспечение WordPress и другие. Обновление программных инструментов жизненно важно для обеспечения безопасности веб-сайта. Помимо исправления сбоев и ошибок, снижающих производительность веб-сайта, обновления программного обеспечения также устанавливают новейшие меры безопасности и исправления. Кибер-злоумышленники могут использовать устаревшие программные инструменты для эксплуатации своих уязвимостей, получая таким образом точку входа для выполнения атак на веб-сайт.

Кроме того, хакеры также используют такие технологии, как искусственный интеллект, для автоматизации кибератак. Это достигается за счет создания интеллектуальных ботов, которые непрерывно сканируют уязвимые веб-сайты и проводят атаки для их использования. Отсутствие последних обновлений предоставляет хакерам больше уязвимостей для выполнения. Это подвергает веб-сайт большему количеству рисков безопасности, ставя под угрозу безопасность и конфиденциальность всех услуг и информации. Владельцы веб-сайтов должны рассмотреть возможность использования автоматизированных решений, которые проверяют и устанавливают обновления программного обеспечения сразу после их выпуска. Таким образом, компании могут гарантировать, что все программные инструменты их веб-сайтов обновлены и не содержат уязвимостей, которые можно использовать.

Достаточное управление паролями

Невозможно переоценить необходимость принятия эффективных решений для управления паролями. Несмотря на то, что пароли являются самым простым способом обеспечения безопасности веб-сайта, они также представляют наибольший риск для безопасности, если ими не управлять должным образом. Исследование, которое показало, что 25% созданных паролей можно взломать менее чем за три секунды, открывает глаза на то, почему владельцы веб-сайтов должны серьезно относиться к своей практике управления паролями. Любой человек с базовыми навыками может использовать хакерские инструменты, такие как John the Ripper, для взлома пароля. Имея это в виду, какие рекомендуемые методы защиты паролей могут позволить компании повысить безопасность своего веб-сайта?

Во-первых, частая смена паролей это главный метод защиты паролей. Например, администраторам веб-сайтов следует периодически менять свои пароли, чтобы снизить риски взлома пароля злоумышленником. Кроме того, пароли должны быть достаточно сложными, чтобы их нельзя было взломать, но достаточно простыми для запоминания. Однако создание сложных паролей, состоящих из множества букв, таких как буквы, цифры и специальные символы, может быть непросто для запоминания.

Что еще более важно, бизнес должен использовать только услуги веб-хостинговой компании, которая использует двухфакторную или многофакторную аутентификацию. Такие схемы аутентификации обеспечивают дополнительный уровень безопасности. Кто угодно может предоставить действительное имя пользователя и пароль, но только законный пользователь может предоставить необходимые аутентификаторы. Например, перед получением доступа от пользователя может потребоваться предоставить уникальный код, доступный только законному пользователю. Это не позволяет инсайдерам, имеющим доступ к паролям своих коллег, использовать их для несанкционированных действий, которые могут поставить под угрозу безопасность веб-сайта.

Безопасные личные устройства

Многие организации концентрируются на внедрении рекомендованных методов обеспечения безопасности веб-сайтов, забывая, что их личные устройства могут угрожать безопасности их сайтов. Хакеры часто нацелены на персональные компьютеры, чтобы закрепиться на защищенном веб-сайте. Например, кража логинов FTP кибер-злоумышленники могут использовать вредоносное ПО для внедрения вредоносных данных и файлов на веб-сайт. Более того, хакеры считают, что легче выполнять атаки на веб-сайты, используя персональные компьютеры в качестве шлюза. Следовательно, защита персонального компьютера должна быть приоритетной практикой безопасности веб-сайта.

Есть несколько способов, с помощью которых компании могут защитить любые персональные компьютеры. Они включают использование антивирусных и антивредоносных продуктов. Хотя некоторые могут усомниться в жизнеспособности таких продуктов в противодействии текущим угрозам, они необходимы. Они защищают пользователя в онлайн-сообществе, предотвращая загрузку или установку вредоносных файлов. Кроме того, они могут быстро идентифицировать вредоносное ПО, присутствующее на вставленном USB-накопителе или жестком диске, тем самым блокируя им доступ к компьютеру. Кроме того, использование брандмауэров с строгими правилами брандмауэра может блокировать входящие вредоносные соединения, которые хакеры используют для доставки вредоносных программ. Безопасность веб-сайта во многом зависит от защищенных личных устройств, и поэтому владельцы и администраторы веб-сайтов должны обеспечить максимальную защиту.

Адекватные меры контроля доступа

Контроль доступа является неотъемлемой частью успеха любой программы безопасности. То же самое касается защиты веб-сайтов. Компании, управляющие веб-сайтом, должны определить права доступа для разных пользователей, которые могут получить доступ к сайту. Необходимость в строгом контроле доступа возникает из-за того, что человеческая деятельность является основной причиной кибератак. Недавнее исследование показало, что 95% кибератак происходят по вине человека, что подтверждает это утверждение. Сотрудники с разрешениями на доступ к определенным областям веб-сайта могут совершать ошибки, которые приводят к разрушительным атакам. Чтобы устранить риски, владельцам веб-сайтов необходимо развернуть надежные механизмы контроля доступа.

Средства контроля доступа повышают безопасность веб-сайта, ограничивая количество лиц, действия которых могут привести к ошибкам. Определив, что не все сотрудники должны иметь доступ к веб-сайту, компания может создавать политики контроля доступа на основе ролей. Это гарантирует, что доступ к веб-сайту будет ограничен пользователями с определенными ролями. Например, не было бы необходимости разрешать создателю контента доступ к закодированной части веб-сайта. Доступ к нему должен иметь только разработчик или администратор сайта. То же самое относится ко всем ролям, включая внешних разработчиков, приглашенных блоггеров, консультантов или дизайнеров.

Минимальная привилегия доступа, обычно называемая принципом минимальных привилегий или минимальных полномочий, является важным элементом контроля. Это позволяет сотрудникам или сторонним работникам получить доступ только к той части, которая им необходима для выполнения работы. Для человека, которому требуется особый доступ, применение этого принципа гарантирует, что человек получает доступ только к части в течение указанного времени и с определенной целью. Это исключает вероятность ошибочной ошибки, которая может привести к нежелательным нарушениям безопасности веб-сайта.

Изменение настроек конфигурации по умолчанию

Изменение настроек безопасности по умолчанию это метод обеспечения безопасности, который многие компании обычно игнорируют. Как упоминалось ранее, кибер-злоумышленники стали создавать ботов, предназначенных для автоматического сканирования уязвимых веб-сайтов. Боты также используются для сканирования веб-сайтов, использующих программные инструменты, содержащие параметры безопасности конфигурации по умолчанию. Дело в том, что настройки по умолчанию могут не обеспечивать безопасность и защиту, необходимые для удовлетворения уникальных потребностей данной среды. В результате программы, использующие настройки по умолчанию, очень уязвимы для атак. Злоумышленники могут использовать ботов для идентификации веб-сайтов с одинаковыми настройками по умолчанию, чтобы их можно было использовать с помощью одного и того же вируса или вредоносного ПО. После развертывания веб-сайта компании должны изменить настройки по умолчанию, например, для управления контентом. Некоторые из параметров, которые следует изменить, включают, помимо прочего:

• Пользовательские элементы управления
• Права доступа к файлам
• Настройки комментариев
• Информационная видимость

Частые резервные копии веб-сайтов

Основная предпосылка всех процедур безопасности быть готовым к худшему. Компании всегда должны быть готовы стать жертвой атаки. Атака на веб-сайт может привести к его компрометации и последующей недоступности, и, очевидно, ни одна компания не захочет оказаться в такой ситуации. Регулярное резервное копирование веб-сайта важная мера для сохранения конфиденциальности и безопасности любой связанной информации. Резервная копия веб-сайта состоит из регулярных копий всех основных компонентов сайта. Он позволяет владельцу веб-сайта сохранять и восстанавливать важные данные, когда веб-сайт разрушается в результате атаки. Основные компоненты, которые необходимо включить в резервную копию веб-сайта, включают темы, плагины, базы данных и важные файлы.

Кроме того, резервные копии жизненно важны для безопасности веб-сайта, поскольку они позволяют восстановить чистую версию веб-сайта, если взлом приводит к потере и разрушению, или если обновление программного обеспечения приводит к сбою веб-сайта. Резервное копирование должно быть главной практикой безопасности веб-сайтов, поскольку они просты и необходимы для поддержания целостности, доступности и конфиденциальности. Большинство хостов веб-сайтов предоставляют организациям простые способы создания резервных копий и управления ими. Они могут использовать панели, предназначенные для управления клиентом, для поддержки резервного копирования или использовать плагины резервного копирования, расположенные в таких инструментах, как WordPress.

Непрерывный мониторинг

Владельцы веб-сайтов не могут идентифицировать вредоносные программы и вирусы, так как они способны скрываться и часто неуловимы. Это способствует тому, что вредоносные программы считаются одной из наиболее распространенных угроз безопасности веб-сайтов. Однако при непрерывном и последовательном мониторинге предприятия могут выявлять действия, указывающие на присутствие вредоносного ПО или других незаконных программ.

Ниже приведены некоторые из важнейших признаков, указывающих на проблемы с безопасностью веб-сайтов, которые необходимо решить:

• Информация для входа в учетные записи пользователей осуществляется без их согласия.
• Файлы веб-сайта изменяются или удаляются без ведома или согласия владельца.
• Если сайт неоднократно зависает и вылетает
• Когда результаты поисковой системы показывают заметные изменения, такие как предупреждения о вредоносном контенте или занесение в черный список
• Если наблюдается быстрое увеличение или падение посещаемости сайта

Наличие вышеперечисленных признаков может означать, что сайт заражен. Компания может выбрать ручной процесс мониторинга, когда сотрудники службы безопасности берут на себя ответственность за визуальный мониторинг деятельности веб-сайта. Но это может оказаться неэффективным. Операторы-люди могут быть не в состоянии контролировать веб-сайт 24/7, что приводит к тому, что некоторые нарушения безопасности остаются незамеченными. Поэтому настоятельно рекомендуется использовать автоматизированные процессы мониторинга. Автоматические сканеры более эффективны, поскольку они могут непрерывно контролировать веб-сайт и при этом обеспечивать его нормальную работу. Это также устраняет высокие затраты и неэффективность ручного мониторинга. В любом случае некоторые инструменты мониторинга предназначены не только для выявления аномального поведения, но и для принятия корректирующих действий.

Развертывание межсетевых экранов

Использование брандмауэров одна из наиболее широко применяемых мер безопасности веб-сайтов. Брандмауэр защищает веб-сайт, блокируя вредоносные соединения, которые могут поставить под угрозу его безопасность. Компании создают и поддерживают правила безопасности, которые созданы для удовлетворения потребностей в безопасности в контексте услуг и среды компаний. Например, правила брандмауэра, созданные для платформы электронной коммерции, отличаются от правил, определенных для портала регистрации. Существует два типа межсетевых экранов, используемых для повышения безопасности веб-сайтов. Это брандмауэры сети и веб-приложений.

Сетевые брандмауэры обычно используются организациями, которые управляют своими серверами, и провайдерами веб-хостинга. Брандмауэры обеспечивают безопасность веб-сайтов, выявляя и блокируя вредоносные сценарии между веб-серверами, работающими в сети. С другой стороны, брандмауэры веб-приложений используются для защиты определенного веб-сайта. Брандмауэр веб-приложений предотвращает доступ вредоносных сценариев к веб-серверу, тем самым защищая веб-сайт от взлома. Блокировка вредоносного трафика защищает веб-сайт, а также экономит пропускную способность и время загрузки учетной записи веб-хостинга.

Создание плана сетевой безопасности

Подводя итог основным методам обеспечения безопасности веб-сайтов, необходимо разработать и поддерживать план их реализации. Чаще всего организации придерживаются неорганизованного подхода к управлению процессами безопасности веб-сайтов, что приводит к минимальным результатам. Поэтому, прежде чем даже применять какие-либо меры безопасности, жизненно важно разработать действенный и подробный план безопасности веб-сайта. В плане должны быть изложены цели, которых организация хочет достичь с помощью мер безопасности.

Основной его целью будет повышении безопасности веб-сайта. План безопасности веб-сайта должен дополнительно идентифицировать приложения, безопасность которых требует приоритетного отношения, и процессы, которые будут применяться при тестировании их безопасности. Хотя схемы безопасности веб-сайтов в разных организациях могут отличаться, можно применить следующий контрольный список из шести шагов.

1. Сбор информации по основным вопросам безопасности
2. Планирование процесса противодействия
3. Выполнение плана по обнаружению уязвимостей, если таковые имеются
4. Документируйте результаты
5. Устраните выявленные уязвимости, исправив надлежащим образом
6. Проверить безопасность сайта

Сделать сервис временной почты по-настоящему комфортным для себя задача не из легких. Казалось бы, что сложного: загуглил запрос временная почта, получил кучу сайтов в выдаче, выбрал ящик и пошел дальше в Интернет по своим делам. Но когда есть необходимость пользоваться временной почтой чаще, чем раз в год, лучше выбрать такой сайт внимательнее. Делюсь своим опытом в виде рейтинга 5 сервисов временной почты, которыми я пользовался.

Что такое временная почта?

Временная почта это сервис, который предоставляет пользователю адрес почтового ящика на своем сайте на некоторый срок. Обычно он сгорает сам по себе через несколько минут. Но, забегая наперед, скажу, что уже появились сайты, на которых он сохраняется на несколько дней.

Чтобы создать такую почту, нужно зайти на сайт провайдера услуги и нажать кнопку Получить. В целом, каждый сайт временной почты предоставляет удобный сервис, где не нужно тратить время на регистрацию и заполнять несколько полей своими данными. Просто зашел на сайт, создал адрес и ввел его на нужном сайте для начала переписки. Чтобы такую почту отключить, достаточно закрыть вкладку в браузере или подождать 10 минут.

Случаи, когда временная почта может пригодится

1. Защита от спама. Такой почтовый ящик лучше использовать для регистрации на любом ненадежном сайте например, дать его провайдеру WiFi сети в аэропорту (не очень актуально в карантин, конечно, но рано или поздно такой лайфхак точно кому-то пригодится) или любому потенциальному спамеру и любителю до-продаж.
2. Получение доступа к бесплатному курсу или программе. Я пробовал с помощью временной почты продлевать доступ к trial версиям IQBuzz и PressIndex, а когда наконец остановил свой выбор на одной из них (это был IQBuzz, кому интересно), зарегистрировал единственно нужный мне софт на свою основную почту. В целом, с тех пор все тестирую именно на временной почте.
3. Для проверки разработки и e-mail маркетинга. Часто нужно проверить качество работы функционала или отображение разработанного письма и временная почта помогает сэкономить время и оперативно разобраться самому в возможных проблемах.
4. Переписка с незнакомым отправителем. Для тех, кто не хочет сильно рисковать, но сильно хочет с кем-то познакомиться в Интернете, временная почта может стать отличным компромиссом для личной безопасности. Если на сайте знакомств какой-то подозрительный (или не очень) тип хочет перевести переписку в личные письма, рекомендую обезопасить себя хотя бы так.

Какой сервис лучше выбрать?

Я решил сравнить сайты временной почты по критериям, которые оказались для меня важными и определяющими. В скобках отмечу, что каждый из этих сервисов соответствует необходимому минимуму, чтобы получить определение временная почта, но от первых четырех пришлось отказаться из-за их недостатков (все подробности ниже). Если есть необходимость сравнить эти сайты еще по какому-то критерию, дайте знать в комментариях, бегло опишу. Про другие сервисы не могу ничего сказать, потому что не пробовал.

Temp-Mail.org

Когда-то мне впервые понадобилась временная почта, этот сервис был долгое время единственным и одним из лучших, но потом ребят поглотила реклама. Полезные фичи отваливались одна за одной: перестала работать функция выбора нескольких доменов, начал подвисать ящик, да и в общем сайт сейчас выглядит очень подозрительным для Гугла.



Из сильных сторон наличие браузерных плагинов и отображение API временной почты. Еще удобно, что даже если закрыл вкладку и возвращаешься на сайт спустя несколько минут, все равно видишь адрес своей временной почты. Удобно это в первую очередь потому, что кликая ссылки в своей временной почте, ты не открываешь окно в новой вкладке, а остаешься в той же. Плюс, есть QR код, чтобы переключиться на просмотр ящика со смартфона. Но, если честно, удобство это относительное, потому что сейчас приходится перед каждым новым действием выдерживать испытание капчей.

Из минусов сервиса куча рекламы и перекрестных ссылок. Сайт настолько перегружен этим мусором, что выглядит как корзина со спамом, где все письма открыты одновременно. И самое забавное в этом всем то, что даже на сам ящик временной почты приходит автоматический спам! В общем, сейчас сайт совершенно непригоден для временной почты и для любых целей, к сожалению.

TempMail.Plus

На данный момент, я активно юзаю именно этот сервис. В нем собрано лучшее, что я видел у других и все без воды и рекламы.



Что мне нравится:
Есть возможность сохранять все письма и сам почтовый ящик на неделю.

Можно поставить пин-код и даже создать секретный почтовый адрес, который поможет сохранить имя основного почтового ящика в секрете.

Можно написать письмо самому или вручную удалить все письма.

Имя ящика можно вбить вручную или попросить сервис придумать его случайно.

Одна маленькая, но решающая деталь из всех сервисов временной почты, которые я использовал, только разработчики TempMail Plus додумались до гениально простого: любая ссылка, которая приходит на временную почту, открывается в новой, а не той же вкладке.

После нескольких месяцев возвращений Назад и поисков вкладок в Истории, это, оказывается, так удобно!

Что не ок: видно, что сайт новый, и дизайн выглядит полусырым. Плюс, по опыту пользования остальными сайтами временной почты, я подозреваю, что такой сайт без рекламы долго не протянет (хотя они вроде работают пока на донатах). Поэтому признаю, что актуальность этого рейтинга может поменяться со временем. Но на сегодня TempMail.Plus для меня самый приятный и эффективный сервис временной почты из всего, что есть.

10minutemail.com

Этот почтовый сервис еще одна классика временной почты. Именно благодаря 10minutemail появился термин почта на 10 минут как главный синоним запроса временная почта. Но, как и Temp-Mail.org, этот сервис начинает потихоньку сдавать позиции в сравнении с остальными конкурентами на рынке. Пусть и рекламы на нем значительно меньше.



Основное преимущество сервиса простота в использовании. Заходя на страницу, видно два поля: блок рекламы, огромный таймер, отсчитывающий 10 минут в обратном порядке, и поле готового адреса и временного почтового ящика. Зашел и все уже готово.

Однако, с увеличением количества предложений на рынке, жизнь почты, которая длится всего 10 минут, оказывается недостаточной. Приходится либо держать вкладку всегда открытой, либо регулярно нажимать кнопку дать мне еще 10 минут (что, кстати, возможно только 10 раз). Плюс, в случае с моей регистрацией на PressIndex, временная почта дала сбой за 10 минут на ящик так и не пришло ни одно письмо. А раз обновив вкладку, ты теряешь свою почту навсегда. Поэтому на практике такая почта реально оказывается одноразовой и не приспособленной к длительным перепискам.

tempinbox.xyz

Tempinbox относительный новичок на рынке, и поэтому выглядит намного привлекательнее многих остальных сервисов временной почты. Очень долгое время я пользовался именно им, и рекомендую начинать тестировать с этого сайта, а не с первых двух даже если временная почта нужна по очень быстрому и пустяковому делу.



Главное удобство tempinbox акцент на максимальной кастомизации процесса создания временного ящика. Если подробнее, то на сайте есть два основных способа создать почту. Первый: нажать кнопку Random и получить доступ к случайно созданному почтовому сервису. Второй: немножко заморочиться и выбрать самому и e-mail ID, и домен тем более, выбор интересный: от стебного fakemyinbox.com до более серьезного fitschool.space. Также на главной минимум рекламы, что после 10minutemail и Temp-Mail выглядит как глоток свежего воздуха.

Главный недочет сайта: хоть адрес временного почтового ящика закрепляется за пользователем навечно (читай: до срока жизни домена, на который он зарегистрирован), сами письма на нем исчезают автоматически через 24 часа. Поэтому вернуться к чему-то важному (вроде пароля от учетной записи) на этом сервисе уже будет невозможно. В моем случае, письма самоликвидировались спустя всего пару секунд. А когда понадобился пароль от созданной вчера учетной записи, стало понятно, что tempinbox мне больше не подходит.

Guerrillamail.com

Я попробовал переметнуться на Guerrilla Mail. Начитавшись позитивных отзывов, я понял, что он напичкан кучей полезных фич но на практике их оказалось так много, что ничего не работает хорошо.



В целом, мне очень импонирует дизайн и UX сайта. На временном ящике уже лежит письмо с инструкцией по использованию сервиса. Обновление почты происходит каждые 10 секунд, и есть возможность выбирать среди 11 доменов. Также, на сайте есть отдельная вкладка Отправить, что особенно удобно для ведения личной переписки.

Но для меня Guerrilla Mail оказался совершенно неудобным. Письма хранятся на почтовом ящике всего час что меньше даже в сравнении с тем же tempinbox. Еще не очень удобно копировать адрес сгенерированной почты его надо искать в письме с инструкциями. Да и письма до этого почтового ящика доходят с перебоями.

Спасибо за внимание. Надеюсь, был полезен.