книги хакеры / Курс_по_кибер_безопастности_Секреты_хакеров

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

В общем, я предлагаю вам поизучать этот сайт, если вы пользуетесь социальными се- тями и хотите знать, что они делают с вашей информацией, и устраивает ли вас то, что они потенциально делают с вашими данными. Вам нужно определиться, согласуются ли эти условия с тем, что вы в настоящее время публикуете в сети. Если не согласуются, то вам нужно подумать о другой стратегии обращения с идентификационными данными.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

В разделе о концепции OPSEC мы обсуждаем стратегии управления идентификационными данными, давайте обратимся к этим стратегиям в контексте раскрытия персональной информации и того, как вы можете использовать эти стратегии для управления информацией, которую вы раскрываете.

Итак, стратегии, которые я здесь собираюсь перечислить, расположены в порядке приоритета по ограничению раскрытия персональных данных.

Первой идет стратегия избегания. Это лучшая стратегия для снижения риска, связанного с раскрытием персональной информации. Стратегия избегания заключается в том, чтобы попросту избегать использования определенных социальных сетей, ничего не публикуем, не заполняем анкеты, попросту не регистрируемся, не выдаем о себе никакой информации.

Зачастую это нереально осуществить и это лишает вас преимуществ интернета и современной жизни, и в определенных обстоятельствах это может быть попросту невозможно. Типичным примером этой стратегии может быть то, что у вас нет аккаунтов в социальных сетях или количество аккаунтов сведено к минимуму. Таким образом вы публикуете меньше всего персональной информации. Рекомендуется использовать стратегию избегания, где это возможно. Чем меньше информации в сети, тем менее вы уязвимы.

42

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Где нет возможности избегать, вы можете использовать фрагментацию. Это значит иметь контекстуальнонезависимые друг от друга личности, отделенные от вашей реальной личности. Например, вы можете содержать аккаунты в соцсетях под вымышленным именем, например, в Facebook вы можете быть как Джон Смит, или под любым другим именем, и вы можете раскрывать информацию о себе, но она будет отделена от вашей реальной личности.

Если ваш враг или отдел кадров будут искать информацию на вас, ничего не будет связано с вашей реальной личностью. У меня есть несколько друзей, которые и в реальном мире, и в сети известны только под вымышленными именами. Это эффективная стратегия для них, чтобы разделить их социальные и профессиональные идентичности.

Далее идет стратегия контента, в которой вы раскрываете тщательно взвешенную информацию о вашей реальной личности. Это эффективно, если вы сможете всегда выдавать тщательно взвешенную информацию, но это рисковая стратегия, потому что вы можете непреднамеренно раскрыть информацию, которую не собирались публиковать. Простой пример: вы скачиваете приложение, регистрируете учетную

запись в нем с реальными данными, и не осознаете, что в настройках по умолчанию стоит раскрытие вашего местоположения или другая персональная информация.

Далее идет стратегия деления получателей информации на группы. Это на порядок увеличивает риск. В качестве примера, можно держать ваши личное и профессиональное окружения разделенными путем использования Facebook для друзей и семьи, а LinkedIn для личных связей. Это может ограничить раскрытие вашей персональной информации, но она все равно будет в сети. А вы знаете, владеете ли вы этой информацией?

Можете ли вы удалить ее? Может ли кто-то сделать ее копию? Сможет ли злоумышленник найти ее? Вы доверяете своему окружению эту информацию?

По большему счету, если вы раскрыли персональную информацию перед аудиторией, она может быть передана в другую аудиторию или потенциально просмотрена другой аудиторией. Здесь вам нужно изучить настройки конфиденциальности на ваших сайтах. Вы настраиваете вашу конфиденциальность, чтобы попытаться сократить аудиторию, но очевидно, что если один человек может увидеть, то он может передать эту информацию далее.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

43

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

И далее идет самая опасная стратегия, стратегия открытости. Это использование данных о вашей реальной личности, все прозрачно и подлинно. Некоторые люди живут так, на виду у всех. Это допустимо для определенных ситуаций и культур,

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

но это определенно рискованно и делает вас уязвимыми. Даже если вы используете стратегию открытости, вы должны по-прежнему ограничивать персональную информацию, которую раскрываете, и в целом стратегия открытости не подойдет человеку, который заинтересован в приватности, анонимности и безопасности.

И последняя стратегия, это настраиваемая стратегия, и возможно, это лучшая стратегия для большинства людей, которая позволяет вам присутствовать в интернете и ограничивать раскрытие информации путем использования комбинации из стратегий, которые мы разобрали: избегание, деление аудитории на группы, контент, фрагментация. Если информация, подаваемая аудитории, задана пользователем, риск становится меньше. Если идентификационные данные подстроены под контент, риск становится меньше.

Какую бы стратегию вы ни выбрали, вам следует публиковать только то количество персональной информации, которое необходимо. Даже если вы не волнуетесь о приватности и анонимности, вы будете лучше защищены от кражи личности, фишинговых атак, спама, мошенничества, социальной инженерии, хакеров, и прочего, если ограничиваете количество персональных данных, которые распространяете.

https://www.eff.org/who-has-your-back-government-data-requests-2015

Другой хороший сайт, на котором размещается информация о том, как различные компании защищают вас от правительственных запросов, это сайт "Кто прикрывает вашу спину?" Это еще один сайт от Фонда Электронных Рубежей EFF, если посмотрите, здесь написано: "Следует общепринятым в индустрии лучшим практикам", "Сообщает пользователям о правительственных запросах данных", "Раскрывает политики по хранению данных", "Раскрывает правительственные запросы на удаление контента", "Политики для опытных пользователей по противодействию бэкдорам".

44

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Можете просмотреть эту таблицу и увидеть, что здесь говорится о социальной сети, которую вы, возможно, используете. Здесь мы видим Facebook и у него нет звезды в пункте про "Раскрытие правительственных запросов на удаление контента". В общем, поизучайте.

В разделе о паролях и аутентификации мы обсудим двухфакторную аутентификацию. Включите ее на всех сайтах соцсетей, которые используете, где вы раскрываете персональную информацию, если это возможно. Больше деталей на этот счет в разделе о паролях и аутентификации. Некоторые соцсети поддерживают двухфакторную аутентификацию, некоторые могут не поддерживать, но мы рассмотрим это в деталях в другом разделе.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

www.techlicious.com/tip/complete-guide-to-facebook-privacy-settings/

В зависимости от используемых социальных сетей, на них, вероятно, имеются настройки конфиденциальности. Вам стоит определить наилучшие варианты, основываясь на вашей стратегии управления идентификационными данными. Вот хороший гайд, одна из лучших инструкций, которую я смог найти по параметрам конфиденциальности Facebook. Facebook - это определенно самая популярная соцсеть.

www.fightcyberstalking.org/privacy-settings-twitter/

Здесь другая хорошая информация на тему параметров конфиденциальности в Twitter, если вы пользуетесь им. Я предлагаю вам разобраться с параметрами конфиденциальности в используемых вами соцсетях и форумах, и сайтах, которые вы используете и посещаете, и привести их в соответствие с вашей стратегией управления идентификационными данными.

Еще одно предложение, вы можете использовать децентрализованные социальные сети, в которых вы контролируете контент, и где всех устроит, что вы не используете данные своей реальной личности, и где никто не будет владеть вашими данными. Вот три децентрализованные социальные сети, которые я бы рекомендовал. https://diasporafoundation.org/

www.friendica.com https://gnu.io/social/try/

Первая - это Diaspora, вторая - Friendica, третья - GNU social.

В общем, посмотрите на эти альтернативы. Некоторые из них могут быть интегрированы с существующими социальными сетями на время вашей попытки мигрировать с централизованных сайтов на децентрализованные, чтобы вы могли неспеша переехать и взять своих друзей с собой в эти децентрализованные социальные сети, уделяющие больше внимания приватности.

45

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

85. Проверка личности и регистрация

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Часто онлайн сервисы требуют от вас регистрации и предоставления персональных данных, вещи типа адреса электронной почты, домашнего адреса, даже телефонного номера и другой персональной информации. Вы уже в курсе, что нужно минимизировать количество информации, которую вы предоставляете, и количество сайтов, на которых вы регистрируетесь. Это защищает вас от кражи личности, защищает вас от вмешательства в вашу личную жизнь, от спама, фишинга и так далее. Где это возможно, попросту избегайте создания аккаунта или регистрации.

bugmenot.com

Один из сервисов, который вы можете использовать или опробовать, это BugMeNot. Итак, допустим, вы хотите использовать некоторые сервисы на IMDB.com, воспользуемся поиском здесь, появятся общие учетные записи, которые вы можете использовать на IMDB, чтобы получить доступ к нужному вам функционалу, который обычно доступен только для зарегистрированного пользователя. Также можно установить плагин BugMeNot. Это работает для нескольких сайтов. Если подобные учетные записи нужны вам не для каких-либо конфиденциальных целей, а для обычного использования в общих целях, то это работает весьма неплохо.

Если без регистрации не обойтись, скажем, нужен аккаунт для форума, то тогда пользуйтесь фейковой информацией везде, где это возможно, имя, адрес, возраст, местоположение, и так далее, ведь эти данные, как правило, нельзя проверить. Часто вам нужно ввести адрес электронной почты для регистрации, поскольку он используется для отправки вам письма с подтверждением регистрации. Один из вариантов - использовать так называемые временные или одноразовые учетные записи электронной почты.

3

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Guerrilla Mail - один из наиболее известных сервисов, смотрите, здесь автоматически сгенерирован адрес почты для меня. Если зарегистрироваться с этим адресом почты, то я начну получать адресованные мне письма прямо здесь и затем смогу ответить на них для завершения регистрации.

Одноразовые учетные записи	Временные учетные записи
https://mailnator.com/	https://anonbox.net/
https://www.guerrillamail.com	http://10minutemail.com/
https://www.mytrashmail.com	http://getairmail.com
https://www.tempinbox.com	http://dontmail.net
https://www.trash-mail.com/en/	http://www.migmail.net
https://www.dispostable.com

Есть и другие подобные сайты, вот некоторые из них. Но, разумеется, нужно помнить, что кто-то другой может прочитать эти письма, если он знает этот уникальный адрес почты, это может сделать хостинговая компания, так что это средство больше для анонимности, чем для безопасности, и конечно, если вам на подобную одноразовую учетную запись электронной почты будут отправлены пароли, то конечно, вам нужно поменять их впоследствии.

Реальный адрес – [e-mail] Служебный адрес – [e-mail]

Но если вы хотите сохранить доступ к данному сервису и хотите определенной безопасности за пределами этого сервиса, то возможно, наилучшим вариантом будет использование учетной записи почты, которую вы настроили для этой цели, это будет личность, которая ассоциирована с сервисом, на котором вы регистрируетесь, отделенная от электронной почты, привязанной к вашей реальной личности.

Реальный адрес – [e-mail]

Адрес для регистрации – [e-mail]

Вы также можете настроить учетную запись почты лишь для разовой регистрации, отделенную от учетной записи почты, которую вы обычно используете для общения, типа register123@gmail или тому подобную.

4

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

hang

e

C

E

X

-

d

F

t

D

i

r

P

NOW!

o

BUY

to

w Click

m

w

Я и сам так поступаю, когда нужно зарегистрироваться в сервисах, не представляю-

w

o

.

x h

.c

p

d

e

f-

g

c an

щих для меня особой значимости.

Некоторые сервисы требуют подтверждения по телефону посредством голоса или смс. www.receive-sms-online.info

Существуют сайты, которые можно использовать для получения смс-сообщений, вы можете задействовать их для подтверждения по смс. Правда, они открыты публично точно таким же образом, как и с электронной почтой. Видим на экране подобный сайт, вы предоставляете сервисам этот телефонный номер, а здесь текстовые сообщения, которые отправляются на этот номер постоянно.

И если нажать сюда, видим, что этот сайт предлагает несколько различных телефонных номеров, которые вы можете выбрать для прохождения регистрации. Видим, что сюда постоянно поступают сообщения, есть тут и интересные сообщения типа предварительной верификации кредитной карты, интересно, что тут пытаются сделать? Люди могут использовать подобные сайты для неконфиденциального, но анонимного общения друг с другом.

Если вы поищете в поисковых системах "прием смс онлайн" или похожие запросы, то найдете другие сайты с подобным функционалом, их множество, некоторые из них работают бесплатно.

По этой ссылке есть список 10 подобных сайтов, где вы можете принимать смс-сообщения.

https://www.raymond.cc/blog/top-10-sites-receive-sms-online-without-phone/

Однако, использование подобных публичных сервисов может быть неприемлемо. Если вам нужна серьезная анонимность, в некоторых странах может быть проще анонимно купить сим-карту и телефон, предоплаченный за наличные, такие телефоны называют одноразовыми мобильниками или бёрнерами. Вы можете использовать такие телефоны для регистрации и никогда больше их не использовать повторно. Включайте бёрнер подальше от дома и желательно в людном месте, получайте подтверждение в смс и выключайте его.

Понятно, что это подход только для нуждающихся в серьезной анонимности. Правительства отслеживают бёрнеры, одноразовые телефоны, которые включаются несистематически на короткие промежутки времени, они могут провести кросс-корреляцию между ними и другими телефонами в определенной области для профилирования.

Вы можете купить верифицированные учетные записи почты и другие подтвержденные аккаунты, если поищете на хакерских форумах и форумах в дарк вебе, они будут с пройденной предварительной верификацией, вы можете купить их анонимно за биткойны. Вам стоит поискать подобные сервисы на различных форумах.

5

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

86.Поведенческие меры безопасности от атак социального типа - Часть 1

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Многие угрозы социального типа, с которыми мы сталкиваемся, могут быть смягчены при помощи поведенческих мер безопасности. Угрозы, о которых я сейчас говорю, это вещи наподобие кражи личности, социальной инженерии типа: фишинг, вишинг, смишинг, мошенничество и развод, а также такие понятия как доксинг и спам.

В этом видео я собираюсь поговорить о мерах безопасности, которые защищают вас от подобных угроз социального типа. Эти меры безопасности можно разделить на две категории. Первая, которую мы рассмотрим, это изменение поведения. Это изменение ваших нынешних действий на более безопасные действия. Например, вы не должны скачивать и запускать исполняемые файлы из вашей электронной почты. Но есть такая проблема с изменениями в поведении: это человеческий фактор и мы, люди, можем допускать ошибки, и часто забываем поступать правильно.

Вторая категория мер безопасности - это технические средства защиты, такие как использование песочниц для вашего клиента электронной почты или браузера, и конечно, мы используем эшелонированную защиту, так что у нас имеются слои из обоих видов мер безопасности для нашей защиты. Так что мы внедрим поведенческие и технические средства обеспечения безопасности для защиты от угроз социального типа. Давайте начнем с изменения поведения, направленного на защиту от подобного рода угроз.

1. Если вы этого не запрашивали - не нажимайте на это

Первый способ защиты от угроз социального типа заключается в том, что если вы этого не запрашивали - не нажимайте на это. Не реагируйте на подобные вещи и сразу же насторожитесь. Сюда входит: ваша электронная почта, SMS-сообщения, телефонные звонки, сообщения, всплывающие на экране объекты, сообщения в мессенджерах. Если вы чего-либо не запрашивали, а оно появилось, всегда относитесь к этому с подозрением.

Некоторые из сообщений, которые вы можете получать, могут быть очень заманчивыми и казаться легитимными, но если вы не запрашивали их, или не ожидали их появления, то они всегда должны вызывать у вас подозрения. Если вы подписались на рассылку писем, то ожидаете их получить, с ними все хорошо, но если неожиданно вы получили письмо, которого не запрашивали, к нему сразу же нужно отнестись с подозрением. В общем, помните, если вы этого не запрашивали, не нажимайте на это.

2. Никогда не загружайте и не запускайте файлы, которым не доверяете на 100%

Далее, никогда не загружайте и не запускайте никакие файлы, к которым у вас нет доверия на 100%, особенно, если эти файлы были отправлены вам в виде ссылки

6

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

для скачивания или вложения в письмо электронной почты, и получить которые вы не ожидали. Все вложения электронной почты должны считаться подозрительными и должны пропускаться через некоторые технические средства защиты, которые мы обсудим позже, в общем, не запускайте вложения и файлы, которым не доверяете на 100%.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

3. Никогда не вводите конфиденциальную информацию после перенаправления по ссылке или всплывающего окна

Никогда не вводите такие данные, как имя пользователя и пароль или персональные сведения после перехода по ссылке или всплывающему окну. Всегда, всегда заходите на сайт путем самостоятельного набора его URL-адреса в браузере. По факту, в наши дни, компании не должны рассылать ссылки для перехода в электронных письмах с просьбами войти в учетную запись и ввести персональную информацию. Вы обнаружите, что компании, разбирающиеся в безопасности, больше не занимаются такими вещами, они просят вас посетить сайт и залогиниться на нем, но при этом не предоставляют для этого ссылку.

Они говорят своим пользователям, что никогда не отправляют ссылки, потому что они хотят обучить своих пользователей не нажимать на ссылки, полученные посредством электронной почты, которые ведут на их сайт, потому что они понимают, что точно такая же тактика используется для проведения фишинговых атак, и поэтому они хотят обучить своих пользователей, чтобы те не нажимали на полученные посредством электронной почты ссылки, ведущие на их сайт. Итак, никогда не вводите имена пользователей, пароли или персональную информацию после перехода по ссылке. Зайдите на нужный сайт, введите его URL-адрес в браузере самостоятельно.

4. Проверьте ссылку

Вы можете попытаться валидировать ссылку. В разделе "Познай своего противника" мы говорили о том, какие манипуляции могут производиться со ссылками, так что вы можете проверить полученную ссылку на соответствие известным видам атак и техникам манипуляции со ссылками.

Имеются ли субдомены? Как здесь, вот субдомен, мы понимаем, что эта ссылка выглядит подозрительно. А вот реальный домен. Имеются ли субдиректории? Здесь мы видим субдиректорию, так что мы понимаем, это подозрительный URL. Вот реальный домен. Имеется ли неправильное написание? Пожалуйста, пример, это сомнительный домен.

Может быть трудно понять, я уже говорил об этом, какие из доменов настоящие, это зависит от вашего опыта. Настоящий домен - это домен, который находится слева от домена верхнего уровня, вот домен верхнего уровня и слева от него нет знака слеш. Примером домена верхнего уровня может быть .com, .net,

.org Когда мы говорим, что слева от него нет знака слеш, это не касается слешей в http://

7

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-xcha

Используют ли злоумышленники омографические атаки на интернационализированные доменные имена? Здесь мы видим использование нуля вместо буквы "O", единицу вместо буквы "L". В некоторых шрифтах может быть невозможно заметить разницу, так что имейте ввиду.

				hang		e
			C				E
		X
	-							d
	F								t
	D								i
									r
P						NOW!			o
					BUY
				to
w Click										m
w
	w								o
	.							.c
		p					g
			df			n		e
				-x cha

Используют ли злоумышленники скрытые URL-адреса при помощи HTML-тегов? Можем навести курсор на эту ссылку и в левом нижнем углу увидим, нам выводится правильный URLадрес, это зависит от вашего почтового клиента, вашего браузера,

JavaScript, но это хороший индикатор, показывающий реальный URL-адрес. Также здесь, наводим курсор, видим реальную ссылку.

Можете попробовать нажать правой кнопкой мыши, скопировать ссылку, вставить ее в блокнот или другой текстовый редактор. Это может показать корректную ссылку, но не всегда, опять же, зависит от JavaScript и от клиента, который вы используете.

Вы также можете обнаружить, что это изображение, и вновь, если навести курсор на него, вам может быть показан реальный URL, но если вы ему не доверяете, не нажимайте на него.

Вы можете увидеть ссылки для отмены подписки, наподобие этих, обычно в нижней части писем. Эти ссылки также могут использоваться в качестве ссылок для атаки. Не нажимайте на ссылки для отмены подписки.

www.urlvoid.com

8

Можно скопировать и вставить ссылку в сервис Urlvoid, чтобы проверить, находится ли она в списке известных вредоносных сайтов, но если она очень свежая, в этом списке ее не будет, так что нельзя полагаться на этот сервис на 100%. Собственно, используйте его в качестве индикатора, поскольку существуют десятки тысяч фишинговых URL-адресов в каждый конкретный момент времени.

Посмотрим, здесь на основании данных различных сервисов указывается, имеются ли сообщения о том, что это вредоносный URL. Как видно, адрес BBC на данный момент безопасен.