По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Зачастую взлом инфраструктуры происходит не с помощью сверхсекретных разработок или специально созданных "организмов" ("вирусов", "червей", "пауков", "дятлов" - нужное подчеркнуть), а из-за стандартных ошибок в настройках и дизайне. Ликвидировать эти недочёты - проще простого, но с такой же простотой они и создают огромные возможности для хакерских атак. Как отмечают специалисты по безопасности, появления подобных упущений в системе встречается настолько часто, что создаётся впечатление, что для таких ошибок существуют спецкурсы. Поэтому задачей данной статьи не является рассказ о самых современных методах защиты - мы просто постараемся заставить читателей задаться вопросом: "А всё ли хорошо в нашей системе безопасности и всё ли мы предусмотрели для того, чтобы конкуренты не смогли воспользоваться нашими данными и разработками и как устранить неполадки в нашей системе?".
Локальная учётная запись? Забудьте об этом.
Уж сколько раз твердили миру... Слова дедушки Крылова как нельзя лучше характеризуют данную ситуацию - она постоянно возникает и о ней всё время напоминают. Не надо (совсем нельзя) создавать доменной групповой политикой локальные учетные записи на хостах в вашем домене. Говоря военными терминами - уровень опасности красный.
Причина самая банальная - данные по записи (в том числе и пароль) хранится в открытом доступе и по умолчанию доступен всем участникам группы. Если кому интересно, то он находится в файле groups.xml, в ресурсе sysvol контроллера домена, но при этом ключ один на всех. Таким образом, любой желающий может скачать файл и путём нехитрых телодвижений стать администратором группы. Думаю о последствиях говорить не надо.
Чтобы не получилось подобных конфузов надо просто добавлять только доменные учетные записи в локальные группы на хостах.
Права юзеров - на необходимый минимум.
Каждая учётная запись имеет свои права для работы в системе и создана для работы конкретной направленности. Поэтому необходимо минимизировать права каждого пользователя системы, так чтобы они подходили под зону его ответственности. Таким образом, снизится риск утраты контроля над записью, и каждый будет знать только свою, необходимую ему информацию.
UAC - на максимум!
Поставьте на максимум User Account Control (UAC). Его, конечно, можно обойти, но он создаст лишнюю нагрузку для атаки, а время в таких вопросах - играет Вам на руку.
Никакого доступа к учетным данным и хэшам
MIMIKATZ - это утилита, которая очищает память процесса, ответственного за проверку подлинности Windows (LSASS). Затем она и выдает пароли в виде открытого текста и хеш-коды NTLM, которые злоумышленник может использовать для перемещения по сети. Чтобы защититься от неё, надо соблюдать несколько простых правил:
Обновите ваш Active Directory как минимум до 2012 R2;
Следите за обновлениями Windows и постоянно их устанавливайте;
Помещайте важные учетные записи в группу защищенных пользователей и установите параметр реестра;
Не предоставляйте учетной записи больше прав администратора, чем им нужно;
Продолжим тему NTLM, поднятую в предыдущем пункте. Его нужно запретить - от слова совсем. Есть такая замечательная штука, как pass-the-hash. Она, как это можно понять из названия, передаёт хеш NTLM на абсолютно любой хостинг, где разрешён NTLM и атакующий всё про вас узнает. Более того, его также можно передавать вместо учетной записи и ее пароля при атаках.
Навешайте ярлыков на рабочий стол
В прямом смысле - поставьте ярлыки на рабочий стол, которые будут связывать с общими файловыми ресурсами. Тем самым Вы уйдёте от сетевых дисков, а malware почти никогда не воспримет их как сетевые ресурсы. Причина, как всегда, банальная - malware путём перебора букв ищет названия дисков. Конечно, данный совет подходит не всем компаниям, но если возможность подобного похода существует - попробуйте.
Отключите скрытые файловые ресурсы!
И вновь из-за банальной причины. Они - первоочередная цель действия malware и злоумышленников. Конечно, это не все инструменты защиты инфраструктуры, но каждый случай нужно рассматривать отдельно, как и индивидуальные настройки для каждой инфраструктуры.
Последние два года выдались для роутеров MikroTik нелегкими. Они подвергались сканированию, уводились в ботнеты, майнили крипту без ведома хозяев и почти всё это стало возможным благодаря всего одной уязвимости в сервисе www, а точнее – незащищённому открытому 80 порту. (Используется для настройки роутера через web интерфейс)
Мы беспокоимся о своих читателях, поэтому хотим ещё раз предупредить всех обладателей роутеров MikroTik о данной проблеме.
Впервые, информация о том, что в роутерах MikroTik присутствует критическая уязвимость, позволяющая злоумышленнику исполнить произвольный код в случае успешной эксплуатации, появилась на весьма специфичном ресурсе – WikiLeaks, в рамках серии публикаций об средствах, которыми пользуется ЦРУ для взлома электронных девайсов, под названием Vault 7. Эксплоит получил название Chimay Red, точно также называется одно бельгийское пиво, вкусное или нет - не знаем.
Итак, давайте знакомиться – Chimay Red, cheers, друзья!
Вот лишь некоторый список того, на что способен данный эксплойт:
Удаленно выполнить код, в командной строке роутера. Например, перезагрузить устройство без Вашего ведома;
Извлекать пользовательские логины и пароли;
На моделях роутеров с жидкокристаллическим экраном, можно вывести на него какое-нибудь сообщение;
Скрыть все логи устройства;
И даже - заставить роутер играть какую-нибудь монофоническую мелодию. Например, из Super Mario :)
Согласитесь, не очень приятно знать, что кто-то может заставить Ваш роутер "петь" Super Mario.
В общем, для тех, кто не хочет читать дальше сообщаем - MikroTik выпустил прошивки чтобы закрыть эту уязвимость, поэтому если версия RouterOS у Вас ниже 6.37.5 или 6.38.5, то срочно обновитесь!
А мы продолжаем. Благодаря уязвимости Chimay Red, позже стало возможным создание вредоносных инструментов для проведения ряда атак.
VPNfilter
Вредонос, который обнаружило подразделение кибербезопасности Cisco Talos. Помимо роутеров MikroTik, данный вредонос бил и по другим устройствам класса SOHO. Сначала было непонятно, как вредоносные файлы загружались на роутеры MikroTik, однако позже выяснилось, что всему виной может быть уязвимость в сервисе www.
Несмотря на то, что вредонос получил название VPNfilter, ничего общего с технологией VPN он не имеет.
Что умеет VPNfilter:
Подслушивать ваш трафик;
Внедрять вредоносный контент в трафик, проходящий через роутер, и, с помощью этого, устанавливать вредоносное ПО на подключенные устройства;
Тупо выводить роутер из строя;
Извлекать пользовательские пароли и другую чувствительную информацию;
Устанавливать соединения в анонимные сети TOR к командному серверу и делать роутер частью ботнет сети.
Как понять, что Ваше устройство инфицировано:
Ваш роутер устанавливает неидентифицированные соединения по управляющим портам ко внешним неизвестным ресурсам;
Проверить можно на вкладке IP → Firewall → Connections. Там не должно быть соединений от вашего роутера к публичным IP адресам по портам удаленного администрирования, о которых Вы не знаете.
Допустим, внешний адрес Вашего роутера – 91.191.191.91
На Вашем роутере появились следующие директории:
var/run/vpnfilterm
/var/run/vpnfilterw
var/run/torr
var/run/tord
Ваш роутер самопроизвольно отключается, перезагружается, появляются изменения конфигурации, которые Вы не вносили
Как защитить устройство от вредоноса или удалить его, если оно уже заражено:
Итак, если Вы давно не обновлялись и используете старую версию RouterOS, а также у вас открыт доступ по 80 порту из Интернета, то ваше устройство может быть заражено.
Перезагрузить устройство. Однако, данная мера может не помочь, т.к вредонос способен "пережить" перезагрузку. Так что надёжнее будет сделать сброс к заводским настройкам. Предварительно, сохраните конфигурацию устройства
Обновить версию RouterOS на выпущенную после марта 2017 года. Исправления появились в 6.38.5, 6.37.5. Рекомендуется установить последнюю актуальную версию и патчи для Вашего устройства
Сменить пароль, особенно на встроенных профилях (admin). По возможности, отключите устройство от публичной сети, выполняя данный шаг
Настроить Firewall для сервиса www (порт 80). Лучше всего будет запретить использование данного сервиса и обращения к порту 80 из Интернета. Однако, если это невозможно, то необходимо разрешить доступ только с доверенных адресов.
Данный вредонос поразил такое большое количество устройств и вызвал такой большой резонанс, что компания Symantec даже разработала специальный ресурс, позволяющий определить, заражён ли Ваш роутер VPN filter'ом. Инструмент может проверить Ваш роутер на наличие плагина ssler, который вредонос устанавливает на определенной стадии заражения:
Symantec
Просто перейдите по ссылке компьютера, находящегося за роутером, который Вы хотите проверить и нажмите Run VPNfilter Check.
Даже если проверка не выявит признаков заражения ssler, роутер всё равно может быть заражён другими модулями VPNfilter.
Ботнет
Немного иначе обстоят дела с другим "вредоносом", а точнее целым ботнетом - Hajime. Этот ботнет уже попадал в поле зрения исследователей, когда захватывал в свои ряды умные устройства (IoT), однако, в марте 2018 года, ботнет резко переключился на роутеры MikroTik. Это подтверждается тем, что ботнет начал сканировать рандомные подсети по 80 (www) и 8291 (WinBox) порту. Сканирование порта 8291, говорит от том, что оно направлено именно на оборудование MikroTik.
После успешной идентификации устройства, ботнет применял ряд эксплоитов, чтобы ввести его в свои ряды.
Дальше дело пока не заходило, ботнет Hajime пока не был замечен ни в массированных DDoS атаках, ни даже в рассылке спама. Есть даже предположение, что автор Hajime - это добрый хакер (white hat), который укрепляет безопасность систем. Исследователи Symantec нашли в заражённых устройствах зашифрованное сообщение именно такого содержания.
Так или иначе, ещё раз рекомендуем установить последние обновления для Ваших роутеров и регулярно следить, чтобы прошивка была актуальной.
Если Вы подозреваете, что Ваше устройство заражено или просто хотите это проверить, то предлагаем воспользоваться следующим способом.
В интернете есть множество открытых ресурсов, которые следят за вредоносной активностью в сети и ведут соответствующие записи.
Такие ресурсы как:
VirusTotal
AbusedIP
Spamhaus
IBM-X Threat
Cisco Talos
Помогут Вам определить, замечался ли Ваш публичный IP адрес во вредоносной активности.
Просто введите его в строку поиска на соответствующем ресурсе и посмотрите результат.
Данный способ актуален только если у вас статический IP адрес или, если он динамический, то Вы точно знаете когда он менялся.
Задача: Организовать многоканальный номер, который будут обслуживать несколько операторов, с возможностью просмотра статистики и прослушивания записей разговоров в спорных ситуациях.
Многоканальный номер подается оператором в SIP-транке. Операторы будут подключаться или с помощью sip-клиента на ПК (с использованием гарнитуры), или с помощью отдельного стационарного телефона.
$dbName_ecom = "to-www_ecom";
$GoodID = "5552350028";
mysql_connect($hostname,$username,$password) OR DIE("Не могу создать соединение ");
mysql_select_db($dbName_ecom) or die(mysql_error());
$query_ecom = "SELECT `model`, `itemimage1`, `price`, `discount`, `url`, `preview115`, `vendor`, `vendorCode` FROM `items` WHERE itemid = '$GoodID';";
$res_ecom=mysql_query($query_ecom) or die(mysql_error());
$row_ecom = mysql_fetch_array($res_ecom);
echo 'Кстати, купить '.$row_ecom['vendor'].' '.$row_ecom['vendorCode'].' можно в нашем магазине Merion Shop по ссылке ниже. С настройкой поможем 🔧
Купить '.$row_ecom['model'].''.number_format(intval($row_ecom['price']) * (1 - (intval($row_ecom['discount'])) / 100), 0, ',', ' ').' ₽';
$dbName = "to-www_02";
mysql_connect($hostname,$username,$password) OR DIE("Не могу создать соединение ");
mysql_select_db($dbName) or die(mysql_error());
Учитывая все вышеперечисленное, принято решение установить ip-АТС, которая "из коробки" поддерживает работу по протоколу SIP и запись разговоров. Можно было бы настроить Asterisk, например, на базе FreePBX или Elastiks, но учитывая цену необходимого системного блока, а так же трудозатраты, остановились на аппаратной реализации. Под наши нужды вполне подошла младшая модель линейки ip-АТС производителя Grandstream UCM6202.
Общий набор оборудования под этот небольшой проект:
IP-АТС Grandstream UCM6202
Два телефона Fanvil X2C телефон для контакт-центра (без трубки)
Две гарнитуры Fanvil HT201 - Headset - HD моно гарнитура для телефонов
Настройка Grandstream UCM6202
Подключение к устройству
Для подключения к АТС с последней версией прошивки, разъем WAN устройства необходимо подключить к роутеру, который раздает адреса по DHCP. Так же к этой сети должен быть подключен Ваш ПК, с которого Вы собираетесь производить настройку. На лицевой панели АТС есть маленький ЖК-дисплей состояния, на котором отображается текущее состояние устройства. На этом экране можно увидеть ip-адрес, который получило устройство и по которому можно подключиться к нему. Учетные данные для подключения:
login: admin
password: <указан на нижней стороне устройства на наклейке со штрих-кодом>
Смена пароля
Для удобства (и безопасности), после первого входа этот пароль можно сменить, сделать это довольно просто. Для этого в левой панели выбрать раздел "Обслуживание/Пользовательское управление", в появившемся справа списке выбрать необходимую учетную запись (в данном случае, она будет единственной) и нажать в этой строчке на пиктограмму "редактировать":
На открывшейся странице вводим старый пароль, отмечаем галочку "сменить пароль" и вводим новый пароль:
После выполнения нужных действий необходимо нажать на кнопку "сохранить" вверху справа. Так же, чтобы изменения вступили в силу, необходимо нажать на кнопку "Применить изменения" (она появляется только в случае, когда настройки еще не применены).
Добавление внутренних номеров (абонентов)
В Asterisk и ему подобных системах внутренние номера называются Extensions (или расширения). Для подключения абонентов необходимо добавить новые расширения и задать им параметры. Эта процедура выполняется в следующей форме ("Расширение/Транк Добавочные номера":
Нажимаем кнопку "Добавить" и открывается следующая страница:
На ней заполняем поля, отмеченные красной звездочкой. Основные, которые нам понадобятся для регистрации sip-телефонов (или sip-клиентов), находятся в разделе "Общие": "Добавочный номер", "Пароль SIP/IAX". В поле "Разрешение" указываем уровень доступа абонента к услугам связи. В системе несколько уровней доступа, минимальный "локальный", максимальный "международный". Эти же уровни назначаются исходящим маршрутам. Соответственно, если у маршрута уровень "локальный", его смогут использовать абоненты с любым уровнем, если уровень маршрута "национальный", для доступа к маршруту у абонента должен быть уровень "национальный" или выше. По-умолчанию, назначается уровень "Страна", который подразумевает отсутствие всяких ограничений, о чем выводится соответствующее предупреждение при сохранении настроек.
В разделе "Пользовательские настройки" можно указать имя и фамилию, которые будут отображаться в истории вызовов и на экранах некоторых типов телефонов. Здесь же в поле "Пароль" указывается пароль для доступа к личному кабинету абонента, где он может просмотреть свою историю звонков и прослушать записи (если запись разговоров активирована).
По окончании настройки необходимо сохранить внесенные изменения и применить настройки.
Так же в станции есть возможность подключения до двух аналоговых телефонов. Для этого при создании внутреннего номера выбираем тип расширения "FXS-расширение". При создании здесь нужно указать порт FXS, через который будет подключаться телефон, в поле "Аналоговая станция".
На вкладке "Среда" есть возможность тонкой настройки линии и параметров Flash, которые используются для перехода в режим удержания вызова:
Добавление транков (линий от оператора связи)
К станции можно подключить VoIP-транки, а так же аналоговые линии, используя два разъема FXO.
Создание VoIP -транка
Для создания SIP-транка перейдем в раздел "Расширение/Транк VoIP-транки":
Нажимаем кнопку "Добавить SIP транк", появится форма:
Поля для заполнения будут различаться в зависимости от того, какой тип транка выбран с регистрацией или без нее.
Для настройки транка без регистрации - "Транк SIP (пир)", достаточно указать произвольное название в поле "Имя поставщика", ip-адрес или доменное имя удаленной станции в поле "Имя узла". Дополнительно можно указать номер CallerID, который будет подставляться при исходящих звонках с этого транка. Этот CallerID, указываемый в поле "Идентификатор вызывающего абонента", имеет низкий приоритет перед параметром в других разделах (например, в настройках внутреннего номера). Пояснение есть в подсказке в самом веб-интерфейсе.
Создание аналогового транка (в нашем случае не используется)
Переходим в раздел "Расширение/Транк Аналоговые транки". Нажав кнопку "Добавить", увидим следующую форму:
Здесь задаем произвольное имя транка, указываем порты FXO, которые задействуем в данном транке. В разделе "Параметры тонового сигнала" в поле "Страна сигнала" следует выбрать Российскую Федерацию, чтобы сигналы КПВ, занятости и прочие звучали в привычной для нашей страны форме. Параметр "Схема идентификатора вызывающего абонента" влияет на определение номера звонящего, который выдает оператор в линию (если эта услуга подключена). Этот параметр следует уточнить у своего поставщика услуг, или подобрать опытным путем.
В полях "Усиление приема" и "Усиление передачи" можно ввести значения от -13дБ до +12дБ. В большинстве случаев данные параметры можно оставить по-умолчанию.
Параметр "Усиление приема" следует уменьшить, если при связи через эту линию вы слышите абонента слишком громко, и увеличить в противном случае. Параметр "Усиление передачи" влияет на слышимость для абонента на другой стороне, то есть, если он слышит Вас слишком тихо, параметр нужно увеличить, если слишком громко уменьшить.
Добавление маршрутов
Для того, чтобы осуществлять вызовы, в станции должны быть маршруты. Для начала создадим исходящий маршрут.
После нажатия кнопки "Добавить", появляется следующая форма:
Здесь необходимо указать название маршрута, задать шаблон для выхода на это направление и выбрать созданный ранее транк в разделе "Основной транк". В этом же разделе имеется возможность отрезать начальные цифры в набираемом номере, например, если внутренние абоненты набирают "9" для выхода на внешнюю линию. Для этого в поле "Ряд" необходимо указать количество цифр, которые нужно удалить. В поле "Добавление в начало" можно указать цифры, которые необходимо добавить в начало номера перед отправкой оператору.
Указав уровень привилегии в разделе "Общие", можно ограничить доступ некоторым абонентам, если указать их уровень привилегий ниже, чем у транка.
Особое внимание следует уделить полю "Шаблон", в котором задается шаблон символов, которые нужно набрать для выхода на этот маршрут. Если маршрут единственный, как в нашем случае, можно ограничиться комбинацией _x.. Здесь:
_ - символ начала шаблона (обязательный);
x - любая цифра от 0 до 9;
. - любое количество любых возможных символов.
Если в станции несколько транков и необходимо разграничить выходы на них, то в шаблонах необходимо обозначить символы для выхода на каждое направление. Правила задания шаблонов есть в подсказке в веб-интерфейсе. В общем случае, шаблоны соответствуют шаблонам Asterisk, информацию по которому можно найти в интернете.
В дополнительных настройках есть возможность указать резервный транк, на который будет направляться вызов при неработоспособности основного, а так же задать маршрутизацию по времени.
Для того, чтобы принять входящий вызов, необходимо настроить входящие маршруты.
Как обычно, нажимаем кнопку "Добавить", открывается следующая форма:
В поле "Транки" указывается транк, к которому будет применяться маршрут. Так как у нас создан только один транк, он здесь указан по-умолчанию. В поле "Шаблон" мы указываем те символы, которые ожидаем получить от оператора в качестве Б-номера (вызываемого номера, то есть того, который набрал внешний абонент). В нашем случае, у оператора приобретен один номер, в городе шестизначная нумерация, соответственно, мы указываем его в шаблоне: _294259
В этом случае, если оператор пришлет другой номер, вызов смаршрутизирован не будет. Мы так же могли бы указать шаблон < _x. >, в этом случае все вызовы, вне зависимости от Б-номера, будет проходить по указанному маршруту. Если мы приобретаем несколько номеров, то мы можем маршрутизировать каждый номер отдельно, создавая маршрут на каждый номер и указывая в нем в качестве шаблона необходимый Б-номер.
Далее, в разделе "Режим по умолчанию", необходимо указать "Назначение по умолчанию" из выпадающего списка. Например, если выбрать параметр "Добавочный номер", то далее мы можем указать любой внутренний номер, существующий в станции:
Если выбрать "Очереди", появится возможность выбрать созданную ранее очередь вызовов.
В нашем случае необходимо организовать многоканальный номер. Вызов необходимо направить в очередь, где будет два оператора. Чтобы указать эту очередь в маршруте, она должна существовать. Создадим ее, а затем отредактируем входящий маршрут.
Создание очереди вызовов
Переходим в раздел "Опции вызова/Очередь вызовов" и нажимаем "Добавить":
Отрывается форма основных параметров очереди:
Здесь следующие поля для настройки:
Расширение внутренний номер очереди. Система сама указывает номер, изменять его нет необходимости
Стратегия определяет стратегию вызова операторов очереди. В нашем случае выбираем "Звонок всем": все телефоны, включенные в очередь, будут звонить одновременно. Описание всех стратегий есть во всплывающей подсказке.
Имя название очереди, по которому мы сможем различать ее в других разделах настройки станции.
Музыка при удержании если оставить по-умолчанию, при попадании в очередь звонящий слышит музыку. Есть так же возможность установить обычные гудки - сигнал контроля посылки вызова. Файлы для функции "Музыка при удержании" можно менять, добавлять и отключать по своему смотрению. Подробнее можно посмотреть в разделе "Настройки АТС / Музыка при удержании".
В разделе "Приветственное сообщение" мы можем добавить голосовое приветствие, загрузив аудиофайл соответствующей кнопкой. Файл в формате mp3. Остальные параметры можно оставить по-умолчанию.
Во вкладке "Агенты" приведен список доступных внутренних номеров, здесь необходимо выбрать номера, которые будут принимать звонки:
Сохранив изменения, теперь мы можем отредактировать входящий маршрут, указав в назначении вновь созданную очередь вызовов.
Сохранение записей разговоров
Для сохранения записей разговоров в станцию устанавливается дополнительная память. Есть возможность подключить флеш-накопители SD или USB (на задней панели есть соответствующие порты). Устройство поддерживает объем памяти до 128Гб. Перед установкой накопителя его необходимо отформатировать в формате NTFS. После установки, накопитель должен отобразиться в панели состояния системы ("Состояние системы / Панель"), в разделе "Емкость памяти устройства":
Чтобы выбрать устройство для хранения записей, необходимо перейти в раздел "Настройки АТС / Настройки хранения записей". По-умолчанию включена функция автоопределения, то есть, если установлено внешнее запоминающее устройство, оно будет выбрано автоматически.
Запись разговоров можно настроить для разных категорий:
Для внутренних номеров в разделе редактирования номера на вкладке "Функции" внизу есть параметр "Автоматическая запись":
Для очереди вызовов так же есть данный параметр:
Следует отметить, что если запись будет включена и для очереди вызовов, и для каждого участника данной очереди, записи будут дублироваться в детализации.
Файлы аудио доступны для просмотра и прослушивания в разделе "CDR/Записи":
Справа, напротив каждой записи, есть пиктограммы для прослушивания, скачивания или удаления записи. Данная форма доступна для администратора системы. При этом каждый пользователь системы (каждый абонент имеет учетную запись для входа в систему) может просматривать только свои записи:
Для того, чтобы у одного сотрудника была возможность просматривать статистику и прослушивать записи всех операторов, создадим учетную запись в системе с такими правами. Переходим в раздел "Обслуживание/Пользовательское управление" и переходим на вкладку "Пользовательская привилегия":
Нажав кнопку добавить, создадим новую привилегию "supervisor" и назначим ему три привилегии из доступного списка:
Теперь перейдем в этом же раздела на вкладку "Информация о пользователе" и добавим нового пользователя, назначив ему вновь созданный уровень привилегий ("Пользовательская привилегия: supervisor") :
После применения настроек, созданный пользователь сможет просматривать записи всех абонентов системы:
На этом основная настройка системы окончена. Конфигурирование облегчается тем, что почти по всем параметрам имеется встроенные в веб-интерфейс подсказки, которые всплывают при поднесении курсора к соответствующему полю.
Версия ПО устройства: 1.0.20.8
Версия программы: 1.0.20.17