Author: Alan Tobagua

  • Конфігурації мережного устаткування зазвичай забувають видалити за його продажу

    Конфігурації мережного устаткування зазвичай забувають видалити за його продажу

    Аналітики з компанії ESET виявили, що після придбання уживаного маршрутизатора на пристрої нерідко можна виявити забуті конфіденційні дані. Такі дані можуть бути використані для проникнення в корпоративні середовища або отримання інформації про клієнтів.

    Це дослідження почалося з того, що компанія ESET придбала кілька маршрутизаторів для створення тестового середовища, але виявилося, що куплені пристрої не були очищені належним чином і досі містять дані про конфігурацію мережі, а також інформацію, що дозволяє ідентифікувати їх попередніх власників.

    Серед придбаного обладнання було чотири пристрої Cisco (ASA 5500), три Fortinet (серія Fortigate) та 11 девайсів Juniper Networks (SRX Series Services Gateway).

    Загалом дослідники придбали з рук 18 вживаних пристроїв корпоративного рівня. З’ясувалося, що ці зміни, як і раніше, доступні більш ніж на половині з них, і вони все ще актуальні.

    Один пристрій виявився непрацюючим (після чого його виключили з випробувань), а ще два були дзеркалами один одного, і в результаті їх порахували як один. З 16 пристроїв, що залишилися, тільки 5 були очищені належним чином і тільки 2 мали хоч якийсь захист, що ускладнювало доступ до деяких даних.

    На жаль, в більшості випадків на пристроях можна було отримати доступ до повних даних конфігурації, тобто дізнатися безліч подробиць про колишнього власника, як він налаштував мережу, а також про з’єднання між іншими системами.

    Найгірше, деякі з маршрутизаторів зберігали навіть інформацію про клієнтів, дані, які дозволяли сторонньому підключитися до мережі, і навіть «облікові дані для підключення до інших мереж як довірена сторона».

    Крім того, 8 з 9 маршрутизаторів, які розкривали повні дані конфігурації, також містили ключі та хеші для автентифікації між маршрутизаторами. У результаті список корпоративних секретів розширювався до повної “карти” важливих додатків, розміщених локально або у хмарі (включаючи Microsoft Exchange, Salesforce, SharePoint, Spiceworks, VMware Horizon та SQL).

    “З таким рівнем деталізації зловмиснику буде набагато простіше видати себе за мережеві або внутрішні вузли, тим більше що на пристроях часто зберігаються облікові дані VPN або інші токени автентифікації, що легко компрометуються”, – пишуть експерти.

    Також, судячи з даних, виявлених у куплених маршрутизаторах, деякі з них раніше працювали в середовищі managed-провайдерів, які обслуговують мережі великих компаній. Наприклад, один девайс взагалі належав постачальнику MSSP (Managed Security Service Provider), який обслуговував мережі сотень клієнтів у різних галузях (освіта, фінанси, охорона здоров’я, виробництво тощо).

    Наводячи цей яскравий приклад, дослідники вкотре нагадують, наскільки важливо правильно очищати мережеві пристрої перед продажем. У компаніях повинні існувати процедури безпечного знищення та утилізації цифрового обладнання. Також експерти зазначають, що використання сторонніх сервісів для цих потреб не є гарною ідеєю. Справа в тому, що повідомивши одного з колишніх власників пристроїв про проблему, дослідники дізналися, що для утилізації обладнання компанія користувалася послугами такого стороннього сервісу. “Щось явно пішло не за планом”, – резюмують аналітики.

  • Обзор внутренней инфраструктуры безопасности Google

    Обзор внутренней инфраструктуры безопасности Google

    Обычно компании предпочитают хранить в тайне особенности своей инфраструктуры безопасности, которая стоит на защите дата-центров, полагая, что раскрытие подобной информации может дать атакующим преимущество. Однако представители Google смотрят на этот вопрос иначе. На то есть две причины. Во-первых, публикация таких отчетов позволяет потенциальным пользователям Google Cloud Platform (GCP) оценить безопасность служб компании. Во-вторых, специалисты Google уверены в своих системах безопасности.

    На днях компания обнародовала документ Infrastructure Security Design Overview («Обзор модели инфраструктуры безопасности»), в котором Google достаточно подробно описала свои защитные механизмы. Инфраструктура разделена на шесть слоев, начиная от аппаратных решений (в том числе физических средств защиты), и заканчивая развертыванием служб и идентификацией пользователей.

    Первый слой защиты – это физические системы безопасности, которые просто не позволяют посторонним попасть в дата-центры. Эта часть отчета похожа на отрывок из сценария фильма «Миссия невыполнима»: «Мы используем несколько слоев физической безопасности, чтобы защитить наши дата-центры. Мы применяем такие технологии, как системы биометрической идентификации, детекторы метала, камеры, барьеры, перекрывающие проезд транспортных средств, а также лазерные системы обнаружения проникновений».

    Следующий уровень защиты – железо. Согласно документу, Google категорически не допускает использования устаревшего оборудования в своих дата-центрах. Более того, компания применяет кастомное оборудование от производителей, которые предварительно проходят тщательный аудит и валидацию. Также Google создает собственные средства аппаратной защиты: «Также мы создаем кастомные чипы, в том числе, чипы, являющиеся аппаратными средствами безопасности, которые в настоящий момент используются нашими серверами и периферийным оборудованием. Эти чипы позволяют нам производить аутентификацию и идентифицировать легитимные устройства Google на аппаратном уровне».

    Третий уровень защиты — криптография, системы аутентификации и авторизации, которые обеспечивают надежную защиту коммуникаций между различными службами Google (и не важно, в одном дата-центре они расположены или нет, шифруется весь трафик, как внутренний, так и внешний). «Серверные машины Google используют различные технологии, чтобы удостовериться, что они работают с корректным программным стеком. Мы применяем криптографические подписи для таких низкоуровневых компонентов, как BIOS, бутлоадер, ядро и базовый образ ОС. Данные подписи проходят валидацию во время каждой загрузки или обновления. Все компоненты созданы и полностью контролируются Google».

    Работа внутренних систем service identity и access management

    Также Google уделяет особое внимание защите накопителей и имеет системы, призванные максимально осложнить «жизнь» потенциальной вредоносной прошивке и не позволить ей получить доступ к данным. «Мы применяем аппаратное шифрование для наших жестких дисков и SSD, и тщательно отслеживаем жизненный цикл каждого накопителя. Прежде чем зашифрованное устройство хранения будет списано и физически выйдет из-под нашего надзора, оно пройдет многоступенчатый процесс очистки, который включает две независимые проверки. Не прошедшие данную процедуру очистки устройства уничтожаются физически (измельчаются), это происходит локально».

    Кроме того, документ описывает меры безопасности, которые Google применяет для защиты своих исходных кодов и поиска багов в них. Так, проверки кода разделены на проверки, осуществляющиеся вручную, и автоматические. Вручную код проверяет «команда, в которой присутствуют эксперты в областях веб-безопасности, криптографии и безопасности операционных систем». Зачастую в результате таких анализов на свет появляются новые фаззеры и библиотеки безопасности, которые затем используются в других продуктах.

    Что касается исходных кодов, к их защите тоже подходят с большой ответственностью: «Исходные коды Google хранятся в центральном репозитории, где можно провести аудит как текущих, так и прошлых версий сервисов. Дополнительно инфраструктура может быть сконфигурирована таким образом, чтобы запрашивать бинарники сервиса из конкретного, проверенного и протестированного исходного кода. Такие проверки кода должны быть рассмотрены и одобрены по крайней мере еще одним инженером, помимо автора кода. Кроме того, система требует, чтобы модификации кода любых систем были одобрены владельцем данной системы. Эти требования ограничивают возможности инсайдера или нарушителя, не позволяя внести вредоносные изменения в исходные коды, а также создают криминалистический след, который можно отследить от сервиса к его источнику».

    В документе можно найти еще много интересного. К примеру, оказалось, что виртуальные машины в облаках Google работают с кастомной версией гипервизора KVM. Разработчики Google даже похвастались  и сообщили, что сотрудники Google обнаружили больше всех CVE и багов в Linux KVM гипервизоре.

  • Изменится модель оплаты рекламы в блогах

    Изменится модель оплаты рекламы в блогах

    В 2019 году Mediascope и PRT Edelman Affiliate признали рекламу у блогеров эффективнее нативной и баннерной рекламы в СМИ, а телеканалы даже отдали блогерам часть своих рекламных бюджетов. Рынок рекламы у блогеров растет почти вдвое каждый год. В 2019-ом его объем составит 10-15 млрд рублей, по оценкам замглавы Минкомсвязи Алексея Волина.

    в 2020 году агентства изменят модель оплаты рекламы в блогах

    Вместе с количественным ростом меняется структура рынка, появляются новые форматы и инструменты для оценки эффективности рекламы, а значит, трансформируется и сама модель оплаты рекламы у блогеров. В 2020 году вместо непрозрачных цен за охваты все больше будут доминировать модели CPA (cost per action, оплата за действие) и CPC (cost per click, оплата за клик). Что это значит для игроков рынка?

    Почему рекламодатели выбирают CPA

    Рекламодатели привыкли платить блогерам за потенциальные охваты постов. Поэтому при выборе блогера они долгое время руководствовались лишь данными его прошлых рекламных кампаний по охватам, а также количеством подписчиков и лайков на фото. Но это непрозрачно и сложнопрогнозируемо: крупнейшее на рынке инфлюенс-маркетинга агентство Viral Nation выделило ориентацию на охваты, а не на вовлеченность, среди пяти самых распространенных ошибок в работе с с лидерами мнений.

    К чему приводят такие ошибки? Например, компания CarPrice купила рекламу в выпуске передачи «Дудь», но несмотря на миллионные просмотры, заявок было ноль. Брендам, которые хотят не только повысить свою узнаваемость, но и продать свой продукт, такие интеграции не подходят. Поэтому рекламодатели стали искать способы повысить эффективность рекламы.

    Например, один из таких методов — замеры engagement rate, то есть соотношение количества комментариев, лайков и взаимодействий с постом по отношению к количеству подписчиков. Есть сервисы, которые помогают оценить engagement rate относительно пользователей с небольшим количеством подписчиков (так более вероятно, что это живые люди, а не боты). Еще используются такие метрики, как comment rate (отношение общего количества комментариев к общему числу подписчиков) и like rate (отношение количества лайков к числу подписчиков).

    Однако любые предварительные замеры и прогнозы могут не оправдаться. Поэтому уже в этом году начала набирать популярность другая схема оплаты, в которой рекламодатель платит только за результат. К тому же, так рекламодателям стало проще платить микроинфлюенсерам и тестировать эффективность рекламы в аккаунтах с небольшими охватами. Кстати, именно для микроинфлюенсеров такая модель наиболее выгодна — они очень тщательно отбирают рекламу, потому что для них из-за небольшого числа аудитории важен каждый подписчик.

    Если в 2018 году, по исследованию Adindex, 65% опрошенных компаний намеревались попробовать работу с оплатой за действия, то в 2019 году таких рекламодателей стало уже 76,3%. Тренд подтверждают действия крупнейших социальных сетей — так, уже не новость, что Instagram планирует убрать лайки и тестирует такой режим в нескольких странах.

    Это приводит к тому, что начинается борьба за более качественный и персонализированный контент, который будет побуждать пользователя совершать целевое действие — переходить по ссылке рекламодателя или покупать его продукт. На такую схему работы уже переходят многие рекламодатели: только за первую половину 2019 года через лидеров мнений в России онлайн продали товаров и услуг на 60 млрд руб. Формируется мультиканальность: рекламу у селебрити с платой за охваты компании продолжают использовать для повышения узнаваемости бренда, а рекламу у остальных лидеров мнений и в особенности микро-инфлюенсеров уже размещают по модели CPA (или CPC).

    Блогеров такая модель зачастую пугает, поэтому рекламодателям стоит учесть несколько нюансов при переходе на новую систему.

    Что пугает блогеров в CPA и как с ними договориться

    Плюсы модели CPA для рекламодателей понятны: они платят только за результат, не страдают от недобросовестности блогеров, а еще могут легко оценить эффективность кампании и построить долгосрочные отношения с блогерами, реклама у которых приводит лидов и приносит продажи.

    Для блогеров же система CPA может быть выгодна только при абсолютной честности, а значит, соблюдении многих правил:

    • Удалить ботов, если они когда-то были накручены.
    • Быть последовательным и избирательным: не брать сегодня рекламу сервиса по доставке веганской еды, а завтра — производителя шуб. 
    • Выстраивать доверительные отношения со своей аудиторией.
    • Придерживаться определенной тематики блога, которая привлечет заинтересованных и активных пользователей.

    К сожалению, не все блогеры привыкли работать именно так. Многие инфлюенсеры размещают рекламу по предоплате и не отвечают за ее результат, а некоторые и вовсе исчезают с авансом. Таких блогеров модель оплаты CPA постепенно вытеснит с рынка и лишит интересных проектов.

    Даже добросовестные блогеры поначалу будут бояться сделок по такой модели — ведь им сложно прогнозировать, сколько они заработают. Что следует предпринять рекламодателям и агентствам, чтобы убедить их?

    • Посчитать, сколько блогер мог бы заработать на рекламе по системе CPA и по другим системам — и наглядно убедить его в преимуществах при успехе поста.
    • Проговаривать, что CPA не означает уменьшение заработков блогеров. Наоборот, все зависит от них: выплаты могут как уменьшиться, так и вырасти до небывалых показателей.
    • В качестве эксперимента поработать с теми блогерами, в эффективности которых есть уверенность, а затем на их примере объяснить выгодность системы и другим.
    • Общаться с блогером и отвечать на все вопросы, которые у него могут возникнуть. При переходе на новую модель и трансформации рынка взаимодействие между двумя сторонами особенно важно.

    Как оплата по результатам решает кризис доверия

    Недавно журналисты под прикрытием предложили британским селебрити прорекламировать напиток с цианидом — и те согласились, не попробовав продукт и не задумавшись о его составе. Это лучшая иллюстрация кризиса доверия, который существует в блогерской сфере — и между блогером и его аудиторией, и между блогером и его рекламодателями.

    Частично такую ситуацию спровоцировали старые схемы оплаты: многие блогеры не стремились заинтересовать подписчиков и не отвечали перед ними за продукт — и так заплатят за охваты, а новых подписчиков можно найти или накрутить. Но оплата по модели CPA требует от блогера гораздо сильнее вкладываться в рекламу, потому что чем больше она вовлекает пользователя, тем больше шанс, что он ее купит, а блогер получит более высокий гонорар.

    При этом обманывать подписчиков ради одной рекламы невыгодно — блогеру перспективнее строить долгосрочные отношения и с аудиторией, и с рекламодателями. Нет сомнений, что в 2020 году это поймет все больше блогеров, а рынок очистится от мошенников и спамеров.

  • Google adSense избавился от 600 приложений, показывавших навязчивую рекламу

    Google adSense избавился от 600 приложений, показывавших навязчивую рекламу

    в Google AdSense рассказали, что намерены бороться со злоупотреблениями со стороны разработчиков, которые нарушают правила магазина приложений Google Play и показывают рекламу adMob вне своих продуктов.

    как увеличить свой доход в Google AdSense

    Речь идет о рекламных объявлениях, которые исходят от одного приложения, но отображаются поверх других приложений или на домашнем экране устройства, из-за чего пользователю мобильного устройства совершенно неясно, откуда эта реклама вообще взялась.

    Для начала инженеры Google AdSense уже удалили из Google Play Store 600 приложений, нарушавших правила размещения рекламы, а также забанили их разработчиков, причем не только в самом магазине приложений, но и на рекламных платформах Google AdMob и Google AdSense. Второй запрет, по сути, запрещает разработчикам монетизировать свои приложения даже вне Play Store. По информации издания BuzzFeed, один из забаненых разработчиков — это компания Cheetah Mobile, один из крупнейших разработчиков приложений для Android в мире.

    Эксперты Google пишут, что на такие меры они пошли, когда узнали о ряде новых методик, которые разработчики применяют в последнее время для показа объявлений вне своих приложений. Для выявления подобных злоупотреблений был разработан «инновационный подход, основанный на машинном обучении».

    Кроме того, Google AdSense заявила, что планирует продолжать банить нарушителей и далее. Для этого был разработан трехэтапный план действий, который в целом должен сделать экосистему Google Play Store и Android более здоровой. В частности компания Google собирается бороться с рекламой за пределами приложений (в том числе внося изменения в работу самой ОС Android, чтобы сделать такие злоупотребления невозможными), а также намерена опубликовать улучшенные инструменты для разработчиков мобильных приложений, с которыми будет проще соответствовать стандартам рекламной индустрии.