Topic: FAQ по безопасности для новичка и не только (Read 384 times)

Нормальная тема. Много нового и интересного здесь узнала... Спасибо большое ребята!

Интересная тема. А кто какой связкой для защиты пользуется ?

Фильтрация трафика на всех уровнях. Все не стандартные порты закрываем, внимательно смотрим что ломится в сеть и создаем правила в фаерволе которые наиболее удобны вам. Вот пожалуй и весь секрет.
Внимательность и анализ трафика в особенности исходящего дадут вам общую картину что происходит у вас в устройстве. Почитайте мануалы к вашему фаерволы, поиграйте с правилами и найдите оптимальный вариант для себя.

Расскажите как базовую безопасность для винды и мака для параноика. Винда - это аваст + фаервол, а для мака адгуард и что то еще ? только простым языком для пользователя, например на мак ставим это и это и нужно этого для того то и того) и также для винды. Мне интересно правда

Если тема не загнется и будет кому-то интересна, буду добавлять новый материал по мере его актуальности.

Для тех кто думает что это паранойя могу сказать так: Это скорее нестандартный способ мышления не по шаблону. Многие люди используют принцип ввода своих данных по типу копировать/вставить и думают если у них стоит антивирус или линукс это супер защита. Я всего лишь показал способы как на самом деле сейчас воруют ваши ключи и пароли. Каждый сам выбирает свою тактику защиты. Просто без воды рассказал на примерах вот и все. Касательно клетки фарадея: Когда заработок увеличивается и человек способен рассмотреть под разными углами различные ситуации прибегают и не к таким еще методам.
Теперь насчет 2FA: Да ломается, причем не занимает много времени. На всяких mail.ru уязвимые скрипты висят десятилетиями Карл! Представьте себе 10 лет у них висят потенциальные дырки через которые можно получить доступ к вашей почте. 2FA по смс, да тоже обойти можно хоть и не много сложнее. Если есть вопросы задавайте, расскажу без воды и прочего бреда типа "вас взломали по айпи".

спасибо, находил на форуме инфу про то, что ломали 2ФА , но тема пропала. Это правда ? были такие случаи?

спасибо за труды

Интересно! Полезно!
вспомнил материал про клетку Фарадея.

Спасибо, весьма полезно!

Спасибо за статью! Сохранил себе. У дальнего знакомого почти 1 млн в рублёвом эквиваленте хакеры утащили, так что инфа крайне актуальная!

С шифром приватного ключа что-то совсем перебор с безопасностью)

Безопасность на грани с параноей, особенно, что касается клетки Фарадея, но зато отличный перечень угроз, благодаря которому можно понять, откуда ждать неприятностей. Автору - спасибо за труд.

Автору респект, тут можно как-нибудь плюсик в карму кинуть?

Спасибо, очень полезно!

Благодарю! 

Что это такое всем известно думаю, рассмотрим на примере как это происходит:
Регистрируется схожий по звучанию домен поднимается клон сайта при вводе своих данных на таком сайте все ваши логины/пароли/ключи отправляются на сервер злоумышленника.
Изнутри выглядит следующим образом: Клон сайта поднимается за 5-10 минут и при наличии прямых рук правится несколько строк кода необходимых под наши цели. Обычно под фишинг выбераются абузоустойчивые сервера из стран которым плевать что вы там будете хранить главное чтобы платили вовремя. Такие сайты-клоны могут годами висеть в выдаче поиска. Да с этим активно борются но методы совершенствуются и обходы всегда были есть и будут. Обычно на них покупается реклама и когда проверка прошла он будет висеть в выдаче в первых списках. Это весьма и весьма опасное явление и не всегда оперативно на него реагирует служба поддержки яндекса/гугла. Удалили один, мошенники повесили другой и так может продолжаться бесконечно долго. Пример из жизни: В 2010-2012 годах был своеобразный бум подписок на платные номера. В те годы была схема когда фэйковый личный кабинет мтс/билайн/мегафон и тд вешался на рекламные компании поисковиков. Человек вбивал в поиск личный кабинет своего оператора и яндекс/гугл ему выплевывал рекламу на первой позиции, понятно что человек на нее нажимал и попадал на клон где вылезал локер куда вбивался номер а после просили пройти авторизацию путем отправки смс или если это была псевдо подписка ввести код из смс. Тоже самое было с соц сетями. С одного фэйка тогда можно поднять за неделю до миллиона рублей. Уж незнаю сколько тогда народа пострадало по странам СНГ, но на выходе профит был миллионы долларов. Вообще в эти годы было очень легко подняться на многих вещах. Так это было сколько лет назад. Сейчас меняются инструменты, схемы работы и тд, но фундаментальный принцип фишинга всегда основывается на невнимательности пользователя целью которого является получение доступа к конфиденциальным данным.

В первую очередь быть предельно внимательным и не щелкать всем известным местом. Обращайте внимание на адрес сайта прежде всего на замочек в адресной строке
(если качественный фэйк то обычно ssl всегда присутсвует).
Например сайт myetherwallet.com у них зеленый замочек если замочек не зеленый это фэйк.
(хотя читайте до конца и увидите как это обходится).
Проще всего установить себе приложение EtherAddressLookup и через него заходить.
Так же лучше поставить себе MetaMask очень удобный как для перевода так и для добавления токенов. Тоже самое с почтовыми сервисами, смотрим куда вбиваем свои данные внимательно.
Если на почту упало письмо от банка/биржи/оф кошелька и тд. с текстом "Уважаемый %username мы заметили подозрительные действия на вашем аккаунте и временно заморозили его, для разблокировки ознакомьтесь с инструкцией" и прикреплен pdf/doc/etc. Не надо сломя голову качать и открывать его.
На это и расчет что вы скачаете файл который склеен с малварью которая пробивает ваше дырявое ПО. Прогоните прикрепленный файл через тот же вирустотал после чего уже открывайте через песочницу или виртуалку или просто на компе.
Помните что мошенники на это и делают ставку они вас хотят напугать или играют на вашей жадности. Обычно все это прекрасно комбинируется и при правильной подготовке соц инженер так или иначе заставит вас сделать то что ему необходимо. Всегда надо анализировать и не поддаваться на эмоции. Даже если в 4 утра вам пришла смс что ваши деньги воруют не надо не продрав шары лететь по ссылке из смс, оставайтесь внимательным и не давайте эмоциям победить. Холодная голова и анализ ситуации обычно снижают многие риски к минимуму. Мошенники любого вида прежде всего своеобразные психологи которые знают куда надавить чтоб человек потерял бдительность. Помните что даже участвуя в разных дропах ваша почта может оказаться под прицелом мошенников, поэтому имейте привычку заводить отдельный ящик для таких целей. Продолжать можно долго. Усвойте одно правило: Внимательность мой друг и союзник (лучше потратить лишние 5 минут на анализ чем лишиться денег/паролей и тд).
Эмоции мой враг (при чем во многих ситуациях будь то игра на бирже или бесплатный сыр который сами знаете где бывает).


Сейчас в ходу малварь которая подменяет содержимое буфера обмена при копировании адресов кошельков. Т.е. вы скопировали кошелек и вставили его в поле для отправки а он раз и изменился и ваша крипта ушла дяде Васе а не тете Маше.
Как защитить себя от такого? Как вариант можно дробить копируемый кошель на части или менять одну букву или цифру в названии и после копирования ее в поле заменить на настоящую или копируем кошелек для отправки без первого и последнего символа и после копирования в поле уже дописываем их в ручную.
Предположим нам надо отправить 1Биткоин на адрес 1JwjM3q1BvS73CEdG9uGiadNFsFjJGTSSv мы копируем только JwjM3q1BvS73CEdG9uGiadNFsFjJGTSS и руками уже вписываем 1 вначале и v в конце. В любом случае проверяйте перед отправкой адрес получателя.
Аналогично с приватным ключом, либо дробление на части либо подставление неправильных символов и последующем изменением вручную. Например у нас приватный ключ
19gg88hc1ee21058081f3haf47wq2958920104q73j92vvf7dbb9e3cefc2va7os
мы его изначально сохраняем с неправильным символами 15gg88hc1ee21058081f3haf47wq2958920104q73j92vvf7dbb9e3cefc2va7oW и при вводе его просто ручками меняем на только нам известные правильные символы, в нашем случае это второй символ от начала строки 9 и последний s. Думаю суть уловили. Согласен что не совсем удобно а для кого-то даже извращением может показаться такой способ, но здесь все зависит от уровня паранойи каждого.
В общем включаем голову и ищем более удобный способ для себя комбинируем/изобретаем/доминируем.

Не важно какая у вас ОС. Бытует мнение что линукс безопасней винды, отчасти да поскольку в основном малварь пишется под винду ибо на ней сидит подавляющие большинство. Но и под macosx и под linux огромное кол-во всякой заразы. Здесь все зависит от ваших знаний и если вы способны настроить ОС под себя максимально безопасно, то работайте на той системе где вам удобней.
Сложно советовать что-то конкретное для каждого пользователя ведь у всех разный софт. Следите за обновлениями и не принибригайте ими. Для линукса прежде всего освойте iptables настройте как вам нужно, можно поставить htop и отслеживать процессы. Для винды уже и так куча материала есть, освойте фаерволы в первую очередь. Поставьте виртуалку в качестве полигона для запуска неизвестного софта. Отключите все ненужные сервисы, различные репорты и прочее. Тоже самое для мака. Но даже это не поможет если вы забыли о самом главном: о домашнем роутере.
Многие не задумываются о нем и не меняют заводской пароль, но даже если у вас изменен пароль на роутере на супер сложный это ничего не меняет если прошивка дырявая. Через уязвимую реализацию CWMP злоумышленник может делать практически что угодно: задавать и считывать параметры конфигурации, сбрасывать установки на значения по умолчанию и удаленно перезагружать устройство. Самый распространенный тип атаки заключается в подмене адресов DNS в настройках роутера на подконтрольные взломщику серверы. Они фильтруют веб-запросы и перенаправляют на поддельные страницы, которые содержат обращение к бирже/кошелькам/банкам/соц сетям/ к любому сайту. Особенность такой атаки состоит в том, что браузер работает в чистой ОС и отправляет запрос на корректно введенный адрес реальной платежной системы/биржи и тд. Кароче говоря вы будете видеть настоящий адрес. Проверка сетевых настроек компьютера и поиск вирусов на нем не выявляют никаких проблем. Более того, эффект сохраняется, если подключиться к платежной системе через взломанный роутер из другого браузера и даже с другого устройства в домашней сети.
Как вам перспектива такого расклада? Жутковато не правда ли учитывая что многие о своем роутере либо ничего не знают либо вообще сейчас первый раз об этом прочитали.
Если у вас все в порядке с прошивкой советую поменять свой DNS на гугловский 8.8.8.8 либо любой другой на ваше усмотрение, это помогает от фишинга если он попадает в их поле зрение. Не забывайте проверять его периодически.  
Подводя итог хочу сказать что идеальной защиты не существует, но и борщить с параноей не стоит если вы не занимаетесь ничем противозаконным.
Прежде всего оставайтесь внимательным и бдительным.
Помните про холодную голову и анализирование ситуаций.
Просматривайте логи системы.
Не юзайте flash без необходимости.
Пользуйтесь связками noscript + adguard/adblock и тд.
Обновляйте браузер, систему и ПО которое используете ежедневно.
Не пользуйтесь публичными wifi сетями (по крайней мере без впн) для работы с финансами/биржами/переводами и тд.
Не ставьте одинаковые пароли.
Не оставляйте без присмотра телефон/ноутбук.
Не экономьте на своей безопасности, если есть возможность купить ledger обязательно это сделайте, не откладывайте на потом.
Не забывайте про шифрование своих данных.
Имейте привычку хранить резервные бэкапы иногда только они и спасают.
Можно сделать криптоконтейнер на 10мб куда влезут все ваши пароли за всю жизнь и хранить его на облачных серверах или где вам удобно.
Протирайте окуляры когда вводите свои данные и смотрите куда вы их вводите. У меня есть друзья которые хранят бэкапы на съемных устройствах в сейфах построенных по принципу клетки фарадея. Думаете это паранойя? Да как бы не так. Ваш сосед ботаник Вася которого задолбала громкая музыка в один прекрасный момент может сделать усиленную магнетронную пушку и спалит вам к херам всю технику включая ваши майнинг фермы которые вы используете дома.
Это не фантастика никакая, это реальная жизнь.
Всего учесть порой не реально, так что включайте голову и все будет хорошо. Примерно как-то так, надеюсь все более чем понятно. Если есть вопросы задавайте.
P.S. На тему android/ios надо писать отдельный гайд.