ВУЗ: Не указан
Категория: Не указан
Дисциплина: Не указана
Добавлен: 17.04.2025
Просмотров: 197
Скачиваний: 0
Запущена в 2000, используется в мск и питере. Платежи в магазины поступают в рублях, газин можетивыставлять счет в долларах и рублях, раслптаться можно любой валютой. ДопПО не нужно. Оплата происходит в магазине.
Система работы карточки:
Покупатель подключается к серверу мамгазина
Выбирает оплату по кредитке.
Магазин формирует заказ, отправляет покупателя на авторизационный сервак ассист, формурует сумму заказа.
Подключается по ССЛ к покупателю, принимает данные карточки.
Ассист передает данные в расчетныйбанк системы, проверка подкючен магазин или нет.
Передаются координаты покупателя.
Перевод денег, подтвержденеи авторизации.
Серверпередает покупателю положительныйроезультат.
Получение товара.
Угрозы электронной коммерции.
Ущерб за год - 110млрд. Долл.
Объем финансирования средств защиты - 50млрд.долл.
Вроссии - ущерб 2 млрд., 6/1000 процентов всех транзакций.
30млн.чел - жертвы эл.коммерции.
Угрозы интернет банкинга
80скининг устройств , считывают инфу из банкомата.
Подделка карт - почти не интересно - дорого и риск.
Основа - интернетбанк.
Ущерб - 80% возвращено.
Угрозы:
Отказ от платежа - 25% от всех.
Кража,утеря - 45%
Отмена одной операции - 10-15$.
Статистикасистемы виза - 47% случаев карточек в интернет - мошенничество.
3 класса конфликтов:
Владелец карты утверждает что не проводил транзакций.
Утверждает что заказ не был выполнен.
Оспаривает размер транзакции.
Позиции защиты при отказе от платежа -
Аутендификация участников покупки(покупатель, магазин, банк).
Реквизиты платежной карты (номер, фио владельца) должныбыть конфитденциальны для магазина.
Невозможность отказа от транзакции для всех участнико
Гарантирование магазину платежа.
Угрозы- намерение нанести материальный финансовый ущерб. Попытка реализации угрозы - атака. Предпринимает атаку злоумышленник. Потенциальный злоумышленник - источник угрозы.
Чаще всего угроза - следствие наличия уязвимых мест(например, возможнось доступа посторонних лиц или ошибки в ПО). Промежуток времени от появления возможности до ее устранения - окно опасности. Самые частые опасные ошибки - непреднамеренные ошибки юзеров.
Преступления в эл.коммерции - распространение вирусов, мошенничество с пластиковыми карточками,хищение денежных счетов или средств со счетов, хищение компьютерной инфы, нарушение правил эксплуатации.
Экономическое значение - номера карт, номера счетов, и т.д.
Эконом.потери- Раскрытие коммерческой инфы,подменаинформации, ее коррекция.
Подмена веб-страниц сервера(переадресация)- свдеения становятся доступными другим, создание ложных заказов, перехват данных, передаваемых по сети, проникновение в БД магазина, изменение информации, собственные атаки(атаки ДОС-обслуживания).
Реализация атак ДОС - отказ в обслуживании - нарушение функционирования, выход из строя сисьемы. Типы:
Блокирование канала связи и маршрутизаторов - большой кол-во сообщений на маршрутизатор, другие не проходят.
Атаки, использующие ошибки стека протокола ТСП-ИП , захват ядраи бесконечная загрузка процессора - делает недоступным системыизвне.
Атаки на переполнение ресурсов системы - кактолько система переполняется, она не может обслуживать абонентов.
Объекты атак - банковские платежные системы, системы электронных платежей, предприятие электронной коммерции, СМИ, телекоммуникационные компании.
45% - кража денег со счетов.
15% - вывод из строя ПО
15% - фальсификация информации.
Этапы:
Приготовление преступления - закупка железа
Создание ПО против защиты банковской сети.
-
Сбор инфоромации о
Системе защиты банка
Подбор паролей
Преодоление системы защиты от НСД.
Покушение на преступление - движение средств на счет злоумышленника, маскировка следов.
ПРОФИТ.
Способ хищение в информационных системах банков - умышленный несанкционированный доступ к банковским информационным ресурсам и технологиям, позволяющие совершит модификацию хранимой банковской информации в целях изъятия денежных средств или обращения в пользу третьих лиц.
Основные приемы:
Кража средств вычислительной техники(ноуты, харды и другие носители)
Перехват информации - каналы связи, телекоммуникационное оборудование, бумажные и магнитные носители.
НСД к средствам вычислительной техники - за дураком(проход следом за), компьютерное проникновение(оставленный ПК), за хвост(продолжение законченной работы), компьютерный абордаж(подбор доступа к системе), неспешный выбор(исследование защиты, поиск дыр, ввод программы в нее). Брешь/люк, маскарад(проникновение под видом юзера), мистификация(создание усщовий при которых юзер работает с фиктивным сайтом,но думает что с банком), аварийный(создание аварийной ситуации в системе) - при таком режиме отключаются средства защиты информации, троян(создание фиктивного счета, перечисление банком на него денег), салями(остаток от операций небольшой на спец.счет), бухинг(атака на систему с большого кол-ва ПК).
Признаки:
Хищение носителей инфорции
Повышенный интерес лиц к содержимому мусорного ведра.
Манипуляции с данными частые
Наличие нескольких счетов у одного лица.
Проявления вирусного характера
Потеря массивов данных
Нахождение в помещениях банка посторонних
Цель злоумышленника
Кто он
Пути проникновения в систему
С помощью каких инструментов
Свойства конфиденциальной инфшрмации:
Всегда есть владелец
Нет достцпа на законном основании
Собственник принимает меры по защите
Стоимость мер защиты не может превышать стоимость информации
Защита информации в системах электронной коммерции
Алгоритм построения зашиты:
Определение защищаемой информации
Выяснение мест хранения этой информации
Выяснение куда, в каком объеме и когда передается информация
Кто работает с инфгрмацией и что с ней делает
По каждому виду информации создается перечень угроз/ возможных на нее воздействий
Определение ущерба от каждой из угроз
По каждому виду атаки на каждый вид информации считается вероятность атаки
Расчет риска потери информации - ущерб умножается на вероятность.
Политика безопасности - свод правил (взгляд руководства) на то, как будет защищаться информация. Модель злоумышленника.
Направления защиты - правовые - свод документов, направленных на запугивание злоумышленников.
Организационно-административное - пропускной режим, размещение компьютеров и т.д.
Физические меры - сейфы, и т.д.
Технические.
Программно-технические методы и средства защиты.
Разграничение доступа(идентификация,аутендификация)
Межсетевое экранирование
Защита от вредоносных программ
Криптография, ЭЦП
Протоколирование и аудит
Обнаружение и защита от атак
Методы и средства резервирования
ДЛП - защита от утечек, контроль сетевого траффика
Аутендификация и идентификация. Главная цель разграничения доступа - датьт сотруднику доступ только к тому, что им нужно для работы. Аутендификация - процедура соответствия пользователя, который обращается к ресурсам. Идентификация - часть аутендицикации - провер логин-пароль. Трехфакторная:
Демонстрация компьютеру знаний - пароль
Возможные действия с ресурсами:
Чтение
Печать
Модификайия
Удаление
Копирование
Треьования к паролям:
Не менее 8 символов - метод грубой атаки не работает
Должны быть набраны любые символы и цифры
Сменяемость пароля - не реже, чем в 41 день
второй фактор - Пароли бывают одноразовые и многоразовые. Одноразовые не существуют до применения и перестают существовать после применения. Многократный существует более одного раза.