Author: Alan Tobagua

  • АНБ ненадолго отключило интернет в Сирии

    АНБ ненадолго отключило интернет в Сирии

    Согласно данным, предоставленным Эдвардом Сноуденом в среду, 13 августа, АНБ США разработало и использовало систему для ведения кибервойны – MonsterMind. Программное обеспечение автоматически находит исходящие от компьютеров за рубежом потенциальные угрозы и в минимальные сроки блокирует их. Кроме того, система MonsterMind осуществляет ответные атаки без какого-либо вмешательства человека.

    АНБ США устанавливает бэкдоры в машрутизаторы Cisco удалённо

    Казалось бы, ПО должно использоваться для атак на системы, которые действительно представляют угрозу США. Тем не менее, по словам Сноудена, входящий на американские серверы вредоносный трафик обычно направляется через сторонние государства, поэтому злоумышленникам очень просто обмануть MonsterMind. Таким образом, система может ошибочно осуществлять ответные атаки на ни в чем не повинные страны.

    «Эти атаки могут быть подделанными. К примеру, кто-то находится в Китае, но подставляет все так, будто атаки исходят из России. И потом мы наносим ответный удар на российскую больницу. Как вы думаете, что происходит потом?», – сообщил Сноуден.

    MonsterMind также предоставляет серьезную угрозу конфиденциальности, поскольку у системы есть доступ практически ко всем входящим на территорию США коммуникациям. Сноуден отметил, что для анализа трафика его сначала нужно перехватить, а это нарушает Четвертую поправку к Конституции США, согласно которой персональная информация не может быть получена спецслужбами без специального судебного ордера.

    В добавок к вышесказанному, Сноуден заявил, что в 2012 году хакеры из АНБ ненадолго случайно обрушили интернет в Сирии при попытке удаленно установить бэкдор JETPLOW и эксплуатировать один из корневых маршрутизаторов Cisco крупнейшего провайдера в стране. Устройство было выведено из строя, когда АНБ попыталось скомпрометировать его. В агентстве беспокоились, что Сирия обнаружит взлом, однако этого не случилось.

  • Народный Фронт занялся прозрачностью в Ростелекоме

    Народный Фронт занялся прозрачностью в Ростелекоме

    Ростелеком ответил на вопросы пользователей проекта «ЗА честные закупки», поступившие в ходе тематического вебинара

    Ростелеком - Игорь Рыбников директор Самарского филиала


    Напомним, 24 июня 2014 года на площадке Общероссийского Народного фронта состоялся вебинар на тему «Система закупок в телекоммуникационной отрасли». Эксперты и участники пятого по счету тематического вебинара проекта ОНФ «ЗА честные закупки» говорили о переходе госкомпаний и госкорпораций на контрактную систему, необходимости полноценного участия субъектов малого и среднего предпринимательства в конкурсах ОАО «Ростелеком».

    Презентация – Система закупок ОАО «Ростелеком»

    Алексей Афанасенко: — Вы рассказали о четырех ЭТП – «Росэлторг», «Фабрикант» и других. В итоге потенциальный участник торгов должен постоянно работать на четырех площадках, чтобы иметь возможность принять участие во всех интересных ему процедурах. По какому принципу выбирается одна из четырех ЭТП для конкретной процедуры? Всегда ли извещение публикуется на корпоративном сайте «Ростелекома»?

    Необходимость регистрации на разных ЭТП – это реалии существующего рынка. В госзаказе пять аккредитованных площадок, а по 223-ФЗ “О закупках” работает несколько десятков, если не сотен площадок. Мы знаем, что многие крупные заказчики создали собственные «карманные» площадки.

    Мы пошли по пути, который нам кажется самым правильным – привлекли наиболее крупных партнеров. ЭТП, на которых мы работаем – крупные площадки с большим объемом торгов, с количеством зарегистрированных участников в несколько десятков тысяч компаний. Поэтому потенциальные участники торгов в большинстве случаев зарегистрированы на этих площадках.

    Для тех компаний, которые впервые приходят на торги в электронной форме, у нас есть соглашение со всеми площадками о том, что в случае, если поставщик желает принять участие в закупке «Ростелекома», ЭТП проводит регистрацию в укороченное время – за один день, а то и за несколько часов. Также мы обмениваемся с ЭТП информацией о наших партнерах, направляем списки компаний для приглашения пройти регистрацию.

    Мы приглашаем все компании использовать официальный сайт «Ростелеком» для поиска закупок. Абсолютно все закупки мы публикуем на своем сайте, а также вывешиваем на нем дополнительную информацию для поставщиков – планы закупки, регламентные документы, технические требования к оборудованию и так далее.

    Что касается решения о проведении закупки на конкретной ЭТП, мы анализируем результаты закупок на разных ЭТП, смотрим на показатели конкуренции и экономии в разных регионах и по разным товарам/работам/услугам. Также анализируем удобство работы на площадке, оперативность работы поддержки и по итогам всех этих факторов даем рекомендации по работе на той или иной площадке.

    Сергей Мазунин: — Правильно ли я понял, что при региональных подразделениях «Ростелекома» создаются общественные советы по закупкам с включением региональных представителей общественных организаций, например, таких как «ОПОРА РОССИИ»?

    Не совсем так. В декабре 2013 года создан Совет по прозрачности. Это орган под председательством Президента ОАО «Ростелеком» С.Б. Калугина. В состав Совета входят представители федеральных органов исполнительной власти, представители общественных организаций, прессы, представители компании Ростелеком.

    МОО «За Движение Вперед»: — Регламентируются ли в вашей компании закупки предметов роскоши? Так, например, в начале 2013 года ОАО «Ростелеком» были закуплены 10 автомобилей марки «Mercedes-Benz» на сумму 35 млн. рублей. Как сегодня компания относится к закупкам подобного рода, учитывая планы Правительства РФ по ограничению верхнего порога стоимости автомобилей для чиновников в 3 млн. рублей?

    Закупки предметов роскоши в компании ОАО «Ростелеком» не производятся. Также в ближайшее время не планируется закупок автотранспорта представительского класса.
    Закупка автомобилей марки «Mercedes-Benz» производилась в начале 2013 года, решение о закупке принимал прежний менеджмент.

  • Ханипоты стали доступнее в корпоративной среде

    Ханипоты стали доступнее в корпоративной среде

    Создано свободное программное обеспечение для работы с «ханипотами» в корпоративной сети. Программа Modern Honey Network (MHN) автоматизирует большую часть рутины, связанной с установкой и мониторингом ловушек, с анализом собранных данных.

    Honeypot — ресурс ловушка, представляющий собой приманку для дроповодов. Его задача — подвергнуться атаке, чтобы изучить стратегию дроповода и арсенал его технических средств.

    Раньше подобные методы часто использовались в академическом сообществе для проведения всевозможных исследований. Существует много программ для установки ловушек, но все они излишне сложны и плохо интегрированы с другим программным обеспечением. В отличие от них, Modern Honey Network через программные интерфейсы совместима с различными системами обнаружения вторжений (IDS), системами предотвращения вторжений (IPS), межсетевыми экранами прикладного уровня и другими программами для защиты компьютерных сетей. Поддерживаются Snort, Dionaea, Conpot, Shiva и Nepenthes.

    ThreatStream предоставляет SaaS-услуги

    Благодаря MHN методика может стать стандартным инструментом в корпоративной безопасности. Программа разработана стартапом ThreatStream, который предоставляет SaaS-услуги по мониторингу компьютерных атак для крупных компаний.

    В Modern Honey Network процедура максимально упрощена: «Вы можете установить 29 ханипотов одним щелчком мыши», — говорит Грег Мартин (Greg Martin), исполнительный директор ThreatStream.

  • Виртуальная сеть на базе Cisco CSR 1000v Cloud Services Router

    Виртуальная сеть на базе Cisco CSR 1000v Cloud Services Router

    Во время обучения, для того чтобы лучше разобраться как работает та или иная технология я пользовался и программой моделирования сетей GNS3 (Dynagen), и удаленным доступом к стенду с реальным оборудованием, любезно предоставленным нам организаторами обучения. Это, конечно же очень помогало, но меня все время не оставляла мысль найти какой-то вариант, который позволил бы иметь ощущение реальности при работе с устройством и в тоже время чтобы я мог его крутить так как мне захочется и в любое время, когда мне захочется.
    Я пробовал и GNS3, и IOU, при этом продолжая поиски. Так я узнал о таком продукте от CISCO как CSR 1000V Cloud Services Router – http://www.cisco.com/c/en/us/products/routers/cloud-services-router-1000v-series/index.html , скачать который можно в нашей подборке Cisco IOS.
    Небольшие выдержки из документации:
    «Развернутый на виртуальной машине Cisco CSR 1000V с IOS XE обеспечивает точно такую же функциональность, как если бы IOS XE работала на традиционной аппаратной платформе Cisco. Cisco CSR 1000V содержит виртуальный Route Processor (RP) и виртуальный ForwardingProcessor (FP) как часть своей архитектуры.»
    Немного почитав, что это такое, для чего нужно и оценив предъявляемые требования решил попробовать его в действии. На одной из моих машин стоит гипервизор ESXi 5.1 от VMware, который я использую как площадку для всяческих экспериментов и который как нельзя лучше подходит для этого.
    требования к платформе для запуска Cisco CSR 1000v
    Сказано — сделано!
    Установка.
    На cisco.com скачиваю (требуется учетная запись) последнюю на то время версию iso-образа csr1000v-universalk9.03.11.00.S.154-1.S-std.iso. Доступен также OVA и BIN (для апгрейда), но решил устанавливать из ISO, чтобы самому создать VM в минимально необходимой конфигурации.
    Используя vSphere Client перемещаю загруженный образ в папку на datastore1, в которой у меня хранятся все загрузочные образы.
    Используя vSphere Client перемещаю загруженный образ в папку на datastore1
    После этого создаю виртуальную машину Version 8, типа Linux “Other 2.6x Linux (64-bit) setting”, с одним одноядерным vCPU, 2,5 GB RAM и диском в 8GB (это минимально рекомендуемые требования для работы с производительностью 250 Mbps, хотя на пробном периоде в 60 дней она составляет 50 Mbps максимум, и максимальным пакетом поддерживаемых технологий “Premium”), на которой будет работать CSR 1000V. Машина должна иметь минимум три сетевых адаптера типа VMXNET 3, CSR развернутый на VMware ESXi может иметь до 10 адаптеров. Далее монтирую загрузочный образ в CD-привод созданной машины и включаю ее.
    Начинается процесс загрузки и установки, который продолжается не более 10 минут и не требует никакого участия.
    По окончании распаковки и установки начнется загрузка самого CSR 1000V и через несколько секунд появляется запрос на использование диалога конфигурации, и если от него отказаться, то маршрутизатор выводит приглашение пользовательского режима EXEC.
    После этого я выключил виртуальную машину, чтобы извлечь загрузочный образ из привода и перезагрузить маршрутизатор. После повторного включения VM и загрузки маршрутизатора производим начальные настройки (hostname, пароли vty и enable), настраиваем один из интерфейсов, который будет «смотреть» в LAN, для подключения по telnet. После этого я подключил к этому же интерфейсу одну из виртуальных машин на которой работает Windows XP с которой и буду подключаться используя Putty. Вот что после подключения мне вывела команда
    show version:
    Проверяем Cisco CSR 1000v с помощью show version

    Настройка CSR 1000V в качестве PPPoE клиента.
    Ну что же, маршрутизатор есть и можно приступать к экспериментам. Первое, что решил попробовать, это настроить его в качестве шлюза в Интернет. К провайдеру я подключен по технологии ADSL, поэтому пошел на Cisco Feature Navigator посмотреть, как у него обстоит дело с функционированием в качестве PPPoE Client. И вот, что мне выдал навигатор (почему-то версия 3.11 отсутствует):
    Настройка PPPoE клиента с помощью Cisco Feature Navigator
    Ну раз так, за дело. Еще немного подготовительных мероприятий в ESXi. К интерфейсу маршрутизатора, который будет смотреть в WAN я подключил физический адаптер хоста, на котором работает гипервизор и который в свою очередь подключен к ADSL модему. Вот так это выглядит в vSphere Client, ну а топология самая что ни на есть простая:

    Схема сети в в vSphere Client

    Теперь можно переходить к настройке CSR в качестве PPPoE клиента. Настраиваю внешний интерфейс и интерфейс Dialer, который будет инициировать подключение к провайдеру.
    После настройки проверяю получил ли интерфейс Dialer IP-адрес от провайдера и его состояние. Состояние интерфейса UP/UP, но IP-адрес не присвоен. Вывожу более детальную информацию об интерфейсе Dialer и вижу что LCP закрыт. Делаю вывод, что что-то не так надо определить в чем проблема. Хотя и закрадывается сомнение, а может ли CSR вообще работать в роли PPPoE клиента.
    проверяю получил ли интерфейс Dialer IP-адрес от провайдера и его состояние
    Пробую включить отладку PPPoE из консоли виртуальной машины на которой работает CSR.
    Вижу, что CSR посылает PADI провайдеру, но больше ничего не происходит. Решаю подключить машину на которой работает Windows XP к коммутатору vSwitch5, переведя коммутатор в режим Promiscuous для того чтобы видеть трафик на всех его интерфейсах и захватить трафик в между CSR и ISP при помощи Wireshark. Настраиваю в Wireshark фильтр, где MAC-источник — мой или MAC-назначения — мой и протокол PPPoED. Делаю захват и смотрю что получилось:
    Настраиваю в Wireshark фильтр, где MAC-источник — мой или MAC-назначения — мой и протокол PPPoED
    Здесь вижу немного больше. Вижу, что маршрутизатор отправляет бродкастом провайдеру PADI, концентраторы доступа провайдера отвечают мне множеством PADO, но маршрутизатор на них никак не реагирует. Почему?!
    Думаю, продолжаю искать информацию и читаю документацию по CSR. Натыкаюсь на следующее:
    «При первой загрузке CSR 1000V загружается в режиме, который ограничивает функциональность и производительность. Для того, чтобы получить полную функциональность соответствующего пакета технологий и производительность вам необходимо либо установить соответствующую лицензию, либо активировать пробный период.»
    И это действительно так, и show version об этом говорит.
    Ну что же, поскольку нам дают, совершенно бесплатно, 60 дней пробного периода, почему бы этим не воспользоваться. Активируем пробный период с пакетом технологий Premium — license bootlevel premium. Надо еще согласиться с условиями лицензионного соглашения, сохранить текущую (running) конфигурацию в начальную (startup) и перезагрузить маршрутизатор, чтобы изменения вступили в силу.
    После этого вывод show version будет следующим:
    show version будет следующим
    и show platform hardware throughput level покажет максимальную пропускную способность для пробного периода.
    Еще раз проверяю состояние интерфейсов . . ., и сейчас интерфейс Dialer1 уже имеет IP-адрес от провайдера. Прописываю маршрут по умолчанию и проверяю доступность «внешнего мира» – CSR 1000V настроен как PPPoE клиент и имеет доступ в Интернет, УРА!
    Интернет для LAN и ZBF.
    Что дальше? Ну если по порядку, то надо предоставить доступ в Интернет локальной сети, через CSR и настроить минимальную защиту. Настраиваю PAT и проверяю, что компьютер из LAN получил доступ в Интернет:
    Настраиваю PAT и проверяю, что компьютер из LAN получил доступ в Интернет
    Теперь немного безопасности. Сначала определю зоны WAN и LAN, и интерфейсы Dialer1 и GigabitEthernet1, которые будут принадлежать соответствующей зоне. Схематично это будет выглядеть так:
    Сначала определю зоны WAN и LAN

    интерфейсы Dialer1 и GigabitEthernet1, которые будут принадлежать соответствующей зоне
    Сейчас необходимо создать так называемые классмапы, в которых будет описан трафик, который будет отбираться для применения политик, которые будут описаны позже. Под итоговую классмапу, которая называется LANNET-PROT-CLASSMAP, будет попадать трафик протоколов или tcp, или udp, или icmp, отправленный с любого адреса в LAN.

    LANNET-PROT-CLASSMAP, будет попадать трафик протоколов или tcp, или udp, или icmp, отправленный с любого адреса в LAN

    Далее надо создать полисимапу в соответствии с которой будет инспектироваться трафик, определенный класмапой. Затем создать пару зон и указать, что полисимапа будет применяться к трафику, идущему из LAN в WAN. После всех этих действий трафик из LAN в WAN соответствующий указанным в классмапе условиям будет инспектироваться и обратный трафик будет разрешен. Трафик из WAN в LAN будет запрещен.

    Трафик из WAN в LAN будет запрещен

    После этого я опять сделал захват пакетов, приходящих из Интернета и посмотрел, как на них реагирует маршрутизатор. Получилась такая картина: на приходящий на внешний интерфейс UDP трафик маршрутизатор отвечает «Destination unreachable» (ICMP тип 3, код 3), что говорит сканирующей системе, что порт закрыт; на входящие TCP-[SYN] отвечает TCP-[RST], что говорит о том, что попытка установить входящее соединение отклоняется.

    на входящие TCP-[SYN] отвечает TCP-[RST]

    Компьютер из LAN имеет доступ в Интернет.
    И казалось бы все хорошо, но возникла еще одна небольшая проблема. Когда я открывал в браузере страницы, то некоторые открывались нормально, а некоторые грузились долго или вообще с ошибками. Мои подозрения сразу пали на размер передаваемых данных. Я проверил и это было действительно так. При согласовании TCP соединения в качестве размера MSS (Maximum Segment Size) передавалось значение 1460 bytes, при этом в IP-заголовке был выставлен бит «Don’t fragment». И если к этому значению добавить 20 байт TCP-заголовка и 20 байт IP-заголовка, то размер MTU получался 1500 байт, что было бы приемлемо для Ethernet, но не для PPPoE (1492). Поэтому маленькие пакеты передавались нормально, например, при установлении TCP-соединения, а большие при передаче данных терялись.
    Для решения этой проблемы выполняю команду ip tcp adjustmss 1452 на интерфейсе к которому подключена локальная сеть. После этого маршрутизатор будет заменять значение MSS в TCP-заголовке и обмен данными будет происходить без потерь.
    На этом первое знакомство с продуктом CSR 1000V от Cisco буду считать свершившимся. Впечатления самые хорошие.