Красная Шапочка, Спартак и ИБ

Дата: 01.04.2021. Автор: Валерий Естехин. Категории: Блоги экспертов по информационной безопасности
Красная Шапочка, Спартак и ИБ
Ты за какой клуб топишь, волчара?

Используемые термины и сокращения:

Авторизация (от англ. authorization “разрешение; уполномочивание”) — предоставление определённому лицу или группе лиц прав на выполнение определённых действий.

Аутентификация (от греческого; реальный или подлинный) — подтверждение подлинности чего-либо или кого-либо. Например, предъявление фирменного маминого пирожка — это подтверждение подлинности заявленного Красной Шапочкой имени.

Биометрия — это то, что вы из себя представляете.

Идентификация (от латинского identifico — отождествлять) — присвоение кому-либо или чему-либо идентификатора и/или сравнение идентификатора с перечнем присвоенных идентификаторов. Например, если Красная Шапочка представляется кому-либо по имени — это идентификация.

Информационная безопасность (ИБ) — практика предотвращения несанкционированного доступа, использования, раскрытия, искажения, изменения, исследования, записи или уничтожения информации.

Пандемия — высшая степень развития эпидемического процесса.

Пароль — это то, что вы знаете.

Целостность — свойство информации, указывающее, что информация не подверглась несанкционированной модификации или несанкционированному уничтожению.


Действующие лица:

Красная Шапочка — девочка-оторва, болельщица Спартака.

Мама Красной Шапочки, она же Мать — неуравновешенная, постоянно чем-то обеспокоенная женщина, при этом хорошо готовит.

Бабушка – во всей этой истории самое слабое звено и, как следствие, жертва Волка.

Волк – злоумышленник.

ДровоSec — охотник за угрозами.

 

Давно-давно, ещё во времена пандемии, жила-была в одном забытом богом уголке земли девочка и звали ее Красная Шапочка.

Как-то раз испекла мама свой фирменный пирожок и говорит Красной Шапочке слегка раздраженным от самоизоляции голосом:

— Иди-ка ты лесом, Красная Шапочка, … к бабушке, снеси ей этот мой фирменный пирожок и горшочек масла, да узнай, не кончилась ли у неё гречка.

— Но смотри, Красная Шапочка, когда пойдешь мимо болота, не споткнись, не поскользнись, не оступись и не упади в воду. А ещё по пути не попади в лапы к Волку. И знай, Красная Шапочка, что я буду беспокоиться, пока ты не вернешься.

(Этим неизменным напутствием мать каждый раз напоминала дочке нарисованную ее больным воображением картину — то, что на языке ИБ называется Моделью угроз и нарушителя).

На что Красная Шапочка неизменно отвечала матери:

— Да кто меня – с детства болеющую за футбольный “Спартак”, — может обидеть в лесу? Все фанаты – мои друзья. У них все под контролем.

И добавляла:

— Но ты, мамулечка, когда будешь курить, лежа на диване, не засыпай и не зависай перед телевизором, а то прожжёшь дорогой диван.

(Так Красная Шапочка, обычно, мягко подтрунивала над слабостями матери).

— Хорошо. — отвечала ей Мать, — А ты, Красная Шапочка, если пойдет дождик и подует холодный ветер, дыши носом и, пожалуйста, не разговаривай и не приближайся на расстояние менее 1,5 метра ко всякой божьей твари.

(Так мать неустанно напоминала Красной Шапочке про меры защиты от поразившей весь мир пандемии).

Собралась Красная Шапочка и пошла к бабушке в другой населённый пункт. Идет она лесом, а навстречу ей — серый Волк.

Очень захотелось ему съесть Красную Шапочку, да только он не посмел — где-то близко стучал по клавиатуре ДровоSec. Облизнулся Волк и спрашивает девочку:

— Куда ты идешь, девочка, и как тебя зовут?

А Красная Шапочка еще не знала, как это опасно — останавливаться в лесу и разговаривать с посторонними на, вроде бы, отвлеченные, но, на самом деле, чувствительные для сохранения приватности личной жизни темы.

(А информационной безопасностью девочка до описываемых событий интересовалась постольку-поскольку).

Представилась она Волку как Красная Шапочка и говорит:

— Иду к бабушке и несу ей вот этот фирменный мамин пирожок и горшочек масла. А ты, Волк (позорный, — подумала, но не решилась сказать вслух Красная Шапочка), за какой футбольный клуб топишь?

— За Вулверхэмптон, — рассеянно ответил ей Волк. — А далеко ли живет твоя бабка… то есть бабушка?

— Довольно далеко, — ответила Красная Шапочка, не заметив оговорку Волка и его явный интерес к бабушке. — Вон в той деревне, за мельницей, в первом домике с краю.

(А Волку только того и надо было – заполучить, втеревшись в доверие к жертве, нужные персональные данные, например, адрес, а затем воспользоваться этими данными в злонамеренных целях).

— Ладно, — говорит Волк, — я тоже хочу проведать твою бабушку. Я по этой дороге пойду, а ты ступай по той. Посмотрим, кто из нас раньше придет.

(Ясень-пень, Волк хорошо понимал, как в условиях самоизоляции Красной Шапочке не хватает футбола, игрового драйва и элемента состязательности и умело развёл Красную Шапочку на раз-два).

Сказал это Волк и побежал, что было духу по самой короткой дорожке. А Красная Шапочка пошла по самой длинной дороге.

(А смартфона с навигатором у Красной Шапочки ещё тогда не было).

Шла она не торопясь, по пути то и дело останавливалась, рвала цветы и собирала в букеты.

(На примере Красной Шапочки мы видим, как, занимаясь всякой ерундой и вовремя не распознав в Волке злоумышленника, можно профукать не только, к примеру, свои бабки, но и свою родную бабушку).

Не успела она еще и до мельницы дойти, а Волк уже примчал к бабушкиному домику и стучится в дверь:

— Тук-тук!

— Кто там? — спрашивает бдительная бабушка.

— Это я, внучка ваша, Красная Шапочка, — отвечает Волк тоненьким голоском.

(Представление по имени – даже под чужим — называется в ИБ идентификацией. А вдобавок к имени Волк использовал ещё и биометрию, мастерски сымитировав ангельский голосок Красной Шапочки).

— Я к вам в гости пришла, пирожок принесла, да горшочек масла.

(Эта секретная, кодовая фраза была известна ещё с 1697 года и упоминалась в качестве примера секретных данных из открытых источников на прослушанном недавно Волком семинаре по конкурентной разведке).

А бабушка была в это время на самоизоляции (вокруг, как мы уже сказали, свирепствовала пандемия) и лежала после обеда в постели. Она подумала, что это и в самом деле Красная Шапочка, и крикнула:

— Дерни за веревочку, дитя мое, дверь и откроется!

(Тем самым Бабушка опрометчиво сообщила Волку актуальный на данный момент код доступа в её жилище).

Волк дернул за веревочку — дверь и открылась. Бросился Волк на бабушку и разом проглотил её.

(Это на языке ИБ называется таргетированной атакой с нанесением ущерба).

Потом закрыл дверь, надел бабушкины очки и чепчик, да улегся на бабушкину постель и стал поджидать Красную Шапочку.

(Как видим, Волк для создания фальшивого образа бабушки использовал метод, называемый в ИБ — Deepfake).

Скоро пришла Красная Шапочка и постучалась:

— Тук-тук!

— Кто там? — спрашивает Волк. А голос у него грубый, хриплый.

(Явный косяк, вроде бы, ушлого в таких делах Волка — он из-за спешки не успел переварить бабушку и как следует вжиться в её роль).

Красная Шапочка испугалась было, но потом подумала, что бабушка охрипла от песен в одиночестве на карантине и оттого у нее такой голос – это ей подсказал опыт боления за Спартак на стадионе в фанатском секторе.

(И это нелепое объяснение сыграло с Красной Шапочкой дурную шутку — она пренебрегла отрицательными результатами биометрической аутентификации, что в дальнейшем имело для неё и бабушки катастрофические последствия).

— Это я, внучка ваша, — говорит Красная Шапочка. — Принесла вам фирменный мамин пирожок и горшочек масла.

(Это на языке ИБ называется двухэтапная аутентификация: сначала – голос, а теперь ещё и фирменный мамин пирожок).

Волк переварил бабушку, откашлялся и сказал уже потоньше:

— Дерни за веревочку, дитя мое, — дверь и откроется.

(Тут Волку пришлось напрячься и максимально достоверно подстроиться под слабый голос бабушки).

Красная Шапочка дернула за веревочку — дверь и открылась.

(Надо отдать должное бабушке — она регулярно, по совету ДровоSecа, меняла парольную фразу для доступа: дернуть за веревочку, стукнуть в окошко шестнадцать раз, назвать девичью фамилию своей матери, в общем, гнала всякую пургу, так бесившую Красную Шапочку при каждом визите к бабушке. Сам проход Красной Шапочки в дом бабушки после прохождения процедур идентификации и аутентификации на языке ИБ называется авторизацией).

Вошла девочка в дом, а Волк спрятался под одеяло и говорит:

— Положи-ка, внучка, пирожок на стол, горшочек на полку поставь, а сама приляг рядом со мной. Ты верно очень устала.

Красная Шапочка прилегла рядом с Волком, начисто пренебрегая всеми правилами при пандемии, и спрашивает:

— Бабушка, почему у вас такие большие руки?

(При этом Красная Шапочка мучительно пыталась вспомнить рисунок сухонькой ладони бабушки).

— Это чтобы покрепче обнять тебя, дитя мое.

(Волк не растерялся — ему часто приходилось подменять двоюродного брата — Шакала — во время работы того фиктивным сотрудником безопасности банка в мошенническом колл-центре, организованном братками на опушке леса).

— Бабушка, почему у вас такие большие уши?

(На самом деле Красная Шапочка пыталась хоть как-то идентифицировать бабушку по геометрической характеристике левого уха).

— Чтобы лучше слышать, дитя мое.

(Волк знал, что главное правило при телефонном разводе лохов — отвечать быстро и уверенно).

— Бабушка, почему у вас такие большие глаза?

(Понятно, что Красную Шапочку смущали вовсе не размеры глаз “бабули“ – она пыталась рассмотреть их радужную оболочку).

— Чтобы лучше видеть, дитя мое.

(Фразы отскакивали от зубов Волка, как защитники Спартака от Дзюбы).

— Бабушка, почему у вас такие большие зубы?

(Только теперь, Красная Шапочка наконец-то все поняла — у настоящей её бабушки совсем не было зубов — и окончательно решила спровоцировать Волка на один из возможных противоправных поступков, за которые её друзей – фанатов — забирали в кутузку).

— А это чтоб скорее съесть тебя, дитя мое!

(Как и ожидала Красная Шапочка, Волк психанул и выдал себя не только с зубами, но и с головой).

Не успела Красная Шапочка вспомнить весь золотой состав Спартака 90-х, как злой Волк бросился на нее и проглотил вместе с красной шапочкой.

Но, по счастью, в это самое время мимо дома бабушки проходил ДровоSec.

ДровоSec услышал шум, вбежал в дом и обездвижил Волка бабушкиной синей изолентой. А потом сдал его нашим компетентным органам.

Наши органы быстро раскололи Волка, так и появились на свет опять Красная Шапочка и её бабушка — обе целые и невредимые (На языке ИБ — целостные и доступные).

Потом бабушка, по совету ДровоSecа, обратилась к его другу — Пентестеру — для проверки возможности проникновения в дом путем социальной инженерии ли, подкопа ли, залезания через окна и крышу ли. К счастью, Интернета у бабушки отродясь не было.

(Это на языке ИБ называется — провести тестирование на проникновение).

Пентестер всё проверил и посоветовал не только поставить решетки на окна и заменить деревянную дверь на бронированную, но и предложил воздвигнуть по периметру участка трехметровый забор с камерами видеонаблюдения и с возможностью хранения видеозаписей до полугода.

Красная Шапочка, ее мама, бабуля и привлеченный по совету пентестера строительный холдинг сделали всё мыслимое и немыслимое, чтобы очередной Волк-злоумышленник не нарушил конфиденциальность и целостность жилища Бабушки.

И вдобавок ещё посадили на цепь рядом с домом огромного “цербера”, чтобы уж наверняка. Но, как раз, на следующий день, после окончания аудита безопасности силами привлечённого крупного интегратора, в дом бабушки ударила молния и дом сгорел. А Бабушка переехала жить в дом Красной Шапочки и ее Мамы.

Вот такие они — реалии ИБ.


Источник — Блог Валерия Естехина «ИБ. Взгляд снизу. Путеводитель по миру корпоративных тревог безопасника по ИБ (16+)».

Валерий Естехин

Об авторе Валерий Естехин

Персональный блог содержит информацию, которая отражает только личную точку зрения автора и не имеет никакого отношения к точке зрения его работодателя или иной организации, с которой автора связывают официальные отношения. Если вы ссылаетесь на материалы блога, то хорошей практикой будет согласование такого упоминания с автором (для СМИ это должно быть нормой). В любом случае при ссылке на информацию из этого блога не стоит указывать мою должность и моего работодателя - это личный блог автора.
Читать все записи автора Валерий Естехин

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *