buongiorno, quindi ho cambiato il titolo di
il mio discorso dal titolo pubblicizzato in
particolare che volevo enfatizzare
approccio basato sul comportamento alla sicurezza e
in realtà parliamo di come ci arriviamo e
che comportamento ci dice così penso questo
sarà interessante perché penso questo
i discorsi si concentreranno maggiormente sulla difesa e
l’altro discorso che segue si concentrerà su
attaccando penso che sia davvero grandioso
combinazione perché è davvero necessario
avere entrambi i lati della storia
efficace ma parlerò del foglio rap
tipo di verso la fine del mio parlare cosa
questo è davvero è che tu sai se
hai un’applicazione web nel pub di
pubblico in questo momento è stato attaccato
non è un segreto, non è questo
nessuna sorpresa se qualcuno di voi è sorpreso
preparatevi per altre sorprese
Succede che succederà ancora e
ancora e ancora tutto il giorno ogni
singolo giorno e non perché tu sei il
bersaglio di un attacco ma di qualcuno
è alla ricerca di un crimine di opportunità
essenzialmente un drive-by
cercare un’opportunità per provare a
infiltrati o semplicemente sfrutta il tuo sistema
per quello che possono uscirne e
Voglio parlare di modi in cui potresti non farlo
pensa che qualcuno possa approfittare di
il tuo sistema in modo da ottenere
ci sto per iniziare con alcuni molto
idee semplici e poi lo faremo
costruisci su di loro mentre andiamo e creiamo gentilezza
di un approccio olistico alla difesa del web così
Inizierò con il disegno e
questo è un disegno piuttosto semplice
il diritto stack predefinito avete un po ‘
roba di terra dell’utente che arriva in te
ciò che è essenzialmente un server web in realtà
un proxy inverso per l’applicazione e
quindi la tua stessa applicazione ovviamente
avrai bilanciamento del carico e tutti i tipi
di altre cose divertenti di fronte ma
questa è la vista di 10.000 o 15.000 piedi
e la nostra risposta predefinita alla protezione
le nostre applicazioni web è questo diritto quanti di
ti fermi qui è ok per alzare il tuo
mano sì, intendo il ragionevole
approccio è proteggere questo mettendo a
accesso di fronte a noi abbiamo un nome utente
e una password e ci sono molti modi
gestirlo in modo errato ma lo faremo
concentrati su quello solo per un minuto e
speriamo che abbia un designer migliore di
quindi, cosa succede quando entri con a
nome utente e password e fornite
che su richiesta arriva la richiesta
convalida se la richiesta è stata o meno
buono o cattivo e poi andiamo avanti con il nostro
giorno giusto e questo è dove la sicurezza
blocca davvero Billy seriamente in considerazione
questo quando sei quando stai pensando
sulla sicurezza delle tue applicazioni come
molti di voi in realtà si fermano qui
dove sono i vari controlli aggiuntivi
a quanti di voi chiedono una seconda domanda
più tardi forse qualcuno si collegherà e loro
torna indietro come verifichi che siano
la stessa persona che la loro sessione
non è stato dirottato come convalidarlo
se sei su SSL la loro sessione SSL
non è stato dirottato che è un molto
argomento più interessante che non siamo
entrerò in questo discorso ma è
davvero per chiedere più domande, um
ci sono molti dati che arrivano e
ignoriamo la maggior parte di esso e i dati che aiutano
noi decidiamo se qualcosa è o no
in realtà buono o cattivo e tornare a
comportamento non è il comportamento che sono
dopo è l’intenso e il modo
arrivarci è per ricavare l’intento
attraverso il comportamento ma voglio fare
tipo di un avvertimento qui e questo è un
punto davvero importante e penso questo
si ottiene è questo è sbagliato e sicurezza
più e più volte è che io
non voglio mai avere un impatto sull’utente
esperienza, infatti, ce la farò
meglio, c’è solo un po ‘strano
equilibrio dove sicurezza e usabilità
sembra essere una specie di oppositore loro
le forze opposte hanno il giusto tipo di calcio
i capi II pensano che sia terribile, io
penso uno dei miei modelli preferiti per
la sicurezza è un casinò quanti di voi
mai visto la sicurezza in un casinò
visto davvero la sicurezza, giusto non lo fai
attualmente vedi l’agenzia di sicurezza ora
vedere alcuni spettacoli spettacolo abbonamento di
autorità o qualche spettacolo di attenzione che
ti fa pensare che non sei tu
sapere fattibile per rubare da un casinò
quello che succede dietro le quinte è
solo complicato e complicato
e davvero molto intelligente
sofisticato e quel modello pensa sia
interessante perché sei lì
divertiti e loro ti permettono di
divertiti e fai quello che vuoi
e poi uno a cui ti insospettisce
su di te e penso che sia davvero
idea davvero interessante, quindi è così
diritto diverso è diverso
approccio rispetto al tipo di uno standard
approccio alla sicurezza da manuale , quindi voglio
per parlare del tipo di idee che ottengono
noi lì e poi alcuni pezzi su forse
come possiamo quindi cambiare il gioco
noi stessi comincio con
rilevamento basato sulla firma sarà un po ‘
idee abbastanza semplici le idee che io
penso che siano davvero importanti qui
anomalie come troviamo anomalie e
come pensiamo di capire cosa?
valgono bene se lo sono
mostrando un decimo di comportamento malevolo o
solo qualcuno è confuso o forse
anche un bot che è innocuo
non era e questo è quello che stiamo andando
iniziare a raccogliere negozio e tipo di
propagare informazioni su ciò che noi
conoscere l’attività degli attori sul nostro
siti e poi per davvero come agire
loro come quello che fai quando trovi
fuori c’è qualcuno che è malizioso
molte cose diverse da fare quindi solo
impediscigli di entrare c’è
in realtà alcune idee davvero interessanti
lì e poi finalmente uno strumento che ho
creato per aiutare a gestire questo
tutta l’infrastruttura chiamata foglio rap
è un progetto open source e lo farò
parliamo di dove si inserisce e
perché sono un po ‘ motivato ad iniziare
costruendo quegli strumenti quindi inizieremo con
firme e questo sarà il
tipo di parte facile di questo
conversazione perché è molto
semplice solo per ottenere una sorta di
idea di dove siamo a quanti di voi
non ho mai sentito parlare di mod prima
ok, fresco così tante mani ottimo mese
la sicurezza è qualcosa che chiamiamo una rete
firewall firewall di livello 7 dell’applicazione
è un progetto sovradimensionato è un
basato sulle regole quindi dai un sacco di
regole e sarà ciò che realmente sono
è un mucchio di regular lungo davvero cattivo
espressioni che corrispondono a modelli sui dati
è un progetto interessante interessante
idea e parlerò di un po ‘di alcuni di
le cadute di esso pure ma il
tipo di idee di base ti permette di bloccare
traffico o tipo di avvisi quando vede
un attacco diciamo che hai un
forma e qualcuno mette un avviso di script
script e script e posta mall
la sicurezza lo vedrà e andrà così
questo è un attacco di scripting cross-site
fermarsi che ti lascerò
sappi che quello era un attacco, intendo
ovviamente ottiene molto di più
sofisticato di quello ma questo è il
modsecurity idea di base da solo come a
quadro è una specie di nudo e poi esso
ha
questo tipo di regole fresche e gli olas
tipo di progetto fornisce questa regola di corte
insieme alla sicurezza del fango e tutto qui
coprendo i primi dieci e alcuni dei
tipo di attacchi di base che vedrai
anche se con alcuni dei più avanzati
accanto a te e onestamente è davvero
ottimo strumento per aggiungere il tuo stack perché questo
fornisce dati funziona bene in più
server web moderni quindi ascia motore apache
è stato davvero progettato con cui lavorare
Apache funziona bene con Apache l’altro
due server web sai che è così
interessante quindi se sei un Apache questo
è un’installazione molto semplice se sei un
ninja dopo ho chiesto che fosse un po ‘
diverso ma funziona ancora, ma è così
richiede un sacco di messa a punto del problema
il rilevamento basato su regole è che l’ottimizzazione è
super importante perché il tuo modo
sito gestisce il modo in cui le persone interagiscono
con il tuo sito come hai scritto
il tuo codice per interagire con i tuoi server
tutto può inciampare su queste regole giusto e così
c’è un’alta possibilità di falso
positivo quindi non va bene, giusto falso
i positivi sono particolarmente terribili
quando inizi a bloccare il traffico e così via
puoi operare in modo non sicuro in a
coppia modi diversi è il passivo
e versioni attive e tendo a
operare nella versione passiva di
di default perché in realtà non volevo
per bloccare il traffico solo su una regola
partita voglio essere un po ‘di più
intelligenza su quello che sto facendo ma
c’è una classe di attacco così è
davvero buono e questo è un giorno zero
attacca quanti di voi ricordano il
Utilizzo di codice remoto di Ruby on Rails da a
paio di mesi fa, giusto così apolis
è stato pubblicato molto recentemente o molto
significativo entro poche ore
anche le regole sulla sicurezza sono state pubblicate
bloccare questo attacco perché la firma
era molto semplice che rileva così gente
che ha avuto un lungo ciclo di patch o non poteva
abbastanza ottenere il rilascio dalla finestra
quando sai che c’è questo enorme vuoto
buca nella tua applicazione in rail siamo
in grado di installare questa regola in bocca
la sicurezza l’hanno fatta girare e fermarsi
l’attacco mentre cerco i loro server
quindi ti compreremo un po ‘di tempo mentre sei
aggiustando il tuo software per istanze come
che penso sia in realtà incredibilmente
utile che è un po ‘efficace nel giusto
situazioni isolate non giorno per giorno
oggi quello che sto cercando sono i dati
giusto ha fatto qualcosa di strano per qui
questa richiesta normalmente non lo farei
vedere questo genere di cose ma cosa
la modsicurezza ti dirà questo
la richiesta era unica era diversa
c’è qualcosa che non va, voglio indagare
ulteriormente e
Penso per il potere qui, quindi aggiorniamo
il nostro modello e quali cambiamenti aggiungiamo
sicurezza mod per il nostro stack giusto è
ancora entrare in qualche modo all’interno del web
server è um, è un sistema modulare che carichi
nel tuo server web con patchy
oggetto dinamico saglam con asse motore
compilato con con è solo una dll
viene caricato e noi continuiamo a farlo
il nostro giorno non c’è molto per davvero
considera nel mondo del firewall statico
regole è piuttosto semplice dove noi
non focalizzerò di più sulle anomalie, quindi io
voglio fermarmi per un minuto che sto per essere
andando a mostrarvi una serie di richieste
per richieste voglio che tu provi a capire
fuori quello che sta succedendo e questo è quello che io
intendo per tipo di intento di guida quello che sono
ne parlo così la prima richiesta così
pubblichi un registro delle barre qui e poi noi
vedere altre informazioni su
la loro ricerca dà il tuo agente utente così noi
avere una dimensione di indirizzo IP di una richiesta
questo è l’IP interno niente in
particolare ma questa è la prima richiesta
questa macchina ha mai fatto ora sto andando a
mostra le prossime tre richieste così
ecco il prossimo è un post per gli utenti
nome utente e carte di credito questo in
particolare è un altro IP utente
indirizzo ecc la prossima richiesta e infine
l’ultima richiesta cosa sta succedendo qui
cercando di guardare per Beth sopra il perché
c’è qualcosa di molto più ovvio
accadendo, li rivedrò ancora una volta
solo per portarci nel posto giusto così
inserisci un numero di richiesta numero due per il login
tre e il numero quattro, quindi cosa vedi?
qui scusa si il tasso di richiesta è un
un secondo tra intervalli di immagini
la prima richiesta era una richiesta di posta a
un forum che segue sempre ciò che dovrebbe
precedere una richiesta POST a una forma un get
richiesta giusta si dovrebbe ottenere il modulo
prima di postarlo ce n’è un altro
anche le cose in realtà diamo un’occhiata
Vedo che il sito Web viene cardato così
l’industria in cui lavoro è merito
carte a destra Braintree process credit
informazioni sulla carta in particolare c’è
un evento in se prendi le carte di credito
chiamato cardare che solleva la domanda
di ciò che nel mondo sta facendo il karting
molti di voi accettano carte di credito sul proprio
siti web che tutti voi state trasportando
può praticamente garantirlo se tu
prendi le carte di credito su internet sei
andando a essere vittima di carting cosa
questo significa che per fornire
sei un buon servizio per i tuoi clienti
convalida della carta di credito quando loro
inseriscilo in modo da avere una pagina del profilo su
quella pagina del profilo si inserisce un credito
numero di carta e quello che succede è quello
la carta di credito è stata verificata come valida in precedenza
quindi prova ad acquistare con quello
può essere così che acquistano esperienza
che ho avuto esperienza è giusto per te
non devi preoccuparti di questo strano
piccola situazione in cui stanno cercando di
check out e la tua carta di credito
l’informazione non è giusta, quindi non possono
fai la vendita e poi se ne vanno
giusto e perdi una vendita così
tu provi a ricaricare questa trattativa
con una compagnia di carte di credito e assicurati
la carta di credito è buona e quindi cosa
stai facendo quello stava offrendo un libero
servizio a chiunque voglia confermare
carte di credito rubate
e questo è molto meccanico ci sono
organizzazioni criminali molto grandi che
questo è tutto ciò che fanno rubano credito
numeri di carta generano carte di credito
Numera lo spazio della carta di credito valida
i numeri sono molto piccoli, dal 13 al 19
numeri di cifre c’è un algoritmo chiamato
blunt n che convalida la carta di credito
numera lo spazio di lund 10 valido
i numeri delle carte di credito sono molto piccoli
solo generarli sono noti
quantità di informazioni su tale
numero di carta di credito i primi quattro sono a
tu lo sai indietro identificatori come un perno
numero che è un identificatore di banca
molte cose diverse che ti mostrano
esattamente chi sta sostenendo questa carta e
che tipo di carta è il reale
numeri univoci sono vari anche pari
più piccola parte di quella quindi la quantità di
cose che potresti generare solo test
se esiste o meno una carta è davvero
piccolo e molti di noi ti daranno
quell’informazione avanti e indietro è
come oh sì, il valore dell’auto ma il
l’indirizzo è sbagliato e quindi lascia semplicemente tenere
andando finché non provano a capirti
conosci le carte valide e loro andranno avanti e
sui sette nel mercato nero per
in realtà un sacco di soldi e il loro modo
fai questo il test è loro dirottamento server
hanno script che corrono intorno al
Internet fondamentalmente sta prendendo
il controllo delle macchine le mise a inserirle
carica di una rete di controllo di comando e
quindi distribuendo script per ognuno
dei tuoi siti per andare in test rubato
le carte di credito hanno vinto centinaia di migliaia
di server lì per leasing in sostanza
quello che stanno facendo è facile
44 cose cattive che potresti, puoi affittare il tempo
su questi server che lo sono
hackerato per fare ciò che vuoi e
ciò che è interessante è quello
facendolo molto ho lavorato in un’azienda
dove abbiamo visto verso l’alto, forse lo sai
quasi un milione al mese richiede di essere
non provare a convalidare carte di credito e
ora quello che faranno è che sono intelligenti
voleranno sul radar che conoscono basato
su quanto sei grande quanto traffico hai
proveranno a non essere troppo aggressivi
ma la sceneggiatura fallisce nel tempo, quindi
Abbastanza da parte, questa è l’idea del carrello
che gioca per gioco le cose che sono
interessante su questa richiesta giusta
e questo è quello che ho detto che ignoriamo il
i dati sono un paio di cose giuste
la prima cosa che ho già indicato
non c’è richiesta prima del post
è successo qualcosa ora non va
forse il loro IP si è invertito tra loro
stavo facendo o facendo richieste che non lo facevo
conoscere i diritti come se non bastasse dire
questo è male
è solo diverso, c’è anche a
ritardo di un secondo tra ogni richiesta I
non so voi ragazzi ma non posso
digita i dati della mia carta di credito in
un secondo e stretto e premi invio e
poi fallo di nuovo in un secondo e colpisci
entra Conosco il mio numero nella mia testa ma io
ancora non riesco a scriverlo così velocemente e tutto il mio
altre informazioni e quindi qualcos’altro
è diverso qui giusto il tasso di richiesta
è semplicemente troppo uniforme terzo quanti di
ti ricordi quando è stato rilasciato Windows 7
e quale versione di Firefox era fuori quando
Windows 7 è stato rilasciato quindi ti diciamo
installa Firefox il primissimo giorno
Windows 7 è stato rilasciato quale versione di
Firefox hai avuto sì non otto giusto
forse tre perché Firefox di alcuni
versioni strane ma sicuramente non lo erano
otto giusto era già fuori così questo
è una versione precedente di Firefox qualcosa
non corrisponde qui ma di più
importantemente Firefox sette e Firefox
otto sono associati a ciò che molto
strumento comune come agenti utente che senza testa
strumento selenio webdriver ‘ha ragione questo
è un agente utente molto comune su cui lavorare
driver web dal selenio ecc così noi
facendo test senza testa, lo dirai
utente in un bel po ‘pure anche Windows
NT 61 ti dirà la versione di
Windows il numero di revisione o il servizio
il pacchetto ti dirà quale tipo di patch
livello di ciò che gli altri stanno correndo così a
molte volte vedrai MSI sei NT 51
sv1 sta dicendo che questo è Windows
XP service pack 1 in esecuzione ie6 questo è
di solito una bugia la maggior parte delle persone che eseguono XP o
almeno patched oltre che così utente
gli agenti possono essere falsificati non molto grandi
affare ma qualcosa da considerare giusto
le cose a piedi stanno iniziando a salire a destra
le cose stanno iniziando sempre di più
sospettoso e finalmente lo dirò
tu che questa era una compagnia statunitense che faceva gli Stati Uniti
affari basati quindi la cosa esplosione qui
è che la richiesta proveniva dalla Bulgaria
quindi ora abbiamo quattro cose su quattro
chiede che tutto ciò non si aggiorni proprio a te
può vedere la storia non è più avvincente
ora che era la prima volta quando io
fai in modo che questo post abbia ragione
è interessante ma non lo è
offensivo in qualsiasi modo, ma ora vediamo questo
sta costruendo una storia che stiamo costruendo a
coda e possiamo essere abbastanza sicuri qui
qualcosa è abbastanza brutto potresti
vuole agire contro di esso ora il
l’altra cosa è che questo continua
10.000 volte in più, quindi siamo abbastanza sicuri
è un attacco di cardatura ma la cosa è
non vogliamo aspettare diecimila volte
prima di farlo perché puoi farlo
10.000 richieste abbastanza rapidamente ciò che noi
voglio davvero fare è farlo in quattro
richieste o meno destra intendo ovviamente
ci sono altri modi per affrontare questo ma
vogliamo farlo il più velocemente possibile
per impedire quegli attacchi di carting perché
se tutto ciò che abbiamo sta bloccando l’IP è
come giocare a whack-a-mole ed è peggio
perché devi giocare come
whack-a-mole multi-thread perché
ti stanno arrivando con un sacco di
server non appena li blocchi cinque
più pop-up perché ti rendo conto di te
azione contro di lui quindi la prima cosa
Ti farò solo colpirti con un server
fino a quando non li fermi e otterranno di più
aggressivo la strategia cambia questi
i robot sono in realtà davvero sofisticati
non appena si cambia cambiano troppo
e questo gioco è fatto di gatto e topo
avanti e indietro così tu vuoi che sia
davvero facile da rilevare davvero facile da fare
blocco e tipo di automatizzare sé stesso così io
lo dico per quel particolare IP
indirizzo che era l’unica richiesta
mai fatto, non è mai più apparso
scomparso per sempre proprio questo è
parte di questi attacchi proprio lì
ci sono attacchi di frode ma allo stesso tempo
Lì ti costano soldi, proprio là
costi operativi ma tutti
transazioni di nuovo per convalidare credito
le carte ti costano bene alcuni servizi
non fanno pagare per questo alcuni lo fanno dipende
sul tuo accordo ma alla fine della giornata
la maggior parte dei casi in realtà ti costa così
come minimo ti stanno costando
significa forse centesimi ma milioni di
i penny si sommano nel tempo quindi c’è
qualcos’altro che lo dà via ora
questo è un po ‘come giocare in più
più del lato anomalia del mondo
c’è qualcosa che è molto semplice
sulla natura di ciò che accadrà in
questa richiesta è molto ovvia ma
tendiamo a ignorarlo a cui nessuno pensa
su cosa altro potrebbe aver dato via
ripensaci a questo in un primo momento commenta a
domestica
quindi ciò che era comune in tutti e quattro i
quelle richieste in modo che avessimo IP abbiamo avuto
user agent e cos’altro dovevamo essere
hanno in comune tutti e quattro quelli
richieste per quale tipo di richieste postare
richiede sì , non abbiamo mai avuto alcuna ipotesi
quello segue i tre RC giusto così sia
inoltre c’era quel 302 che era
ha risposto che non è mai stato seguito
giusto questo è un altro indicatore enorme ma
abbiamo visto un’anomalia che posso garantire
questo perché quanti di voi hanno
siti web dove la distribuzione di HTTP
i verbi sono pubblicati al cento per cento
in realtà a Braintree ce n’è uno
è quasi così la nostra API gateway
è quasi tutti i post o cuz che abbiamo messo
anche alcuni ritardi, ma è così
messaggi legittimamente quasi sempre ma
quello non è comune giusto la maggior parte del tempo
hai una distribuzione di traffico che
sembra qualcosa di simile forse non come
questo ho fatto un sacco di numeri e io
penso che aggiungano fino al cento per cento
ma tu hai l’idea giusta c’è un
distribuzione di richieste e se tu
assaggia il tuo traffico in qualsiasi momento
puoi calcolare questa distribuzione e
allora puoi prendere un singolo attore e
calcolare la loro distribuzione e c’è
questa cosa meravigliosa chiamata statistica
significato ha diritto è deviato
questo abbastanza diverso da essere un’anomalia
è davvero semplice ma è incredibilmente
potente perché quando disegni un
interazione sul tuo sito web che intendi
le persone a seguire il tuo utente di design
esperienze su come portare qualcuno giù
un percorso e se hai creato un percorso che
tutti seguono la distribuzione
la richiesta sarà la stessa per
tutti gli altri e quando non c’è c’è
intento lì qualcosa è sbagliato giusto
forse è un utente confuso forse loro
non so cosa sta succedendo forse lo sono
un luddista uso solo un computer per il
traghetto per la prima volta e non lo so
come fare clic sulle cose che ci sono
ci sono molte cose diverse forse
hai fatto un errore forse hai avuto un essere
i test che sono andati storto sono molti
cose che potrebbero essere accadute ma il
la parte interessante qui è che c’è un
anomalia e questa è la prima parte di
capire che forse tu vuoi
guarda più da vicino così questa distribuzione di HTTP
metodi super facili da fare e in realtà
diventa davvero importante quindi tornare indietro
al comportamento giusto quando qualcuno devia
dallo schema standard lo standard
le azioni devono essere una ragione che vogliamo
per trovare quella ragione è gentile
di guidarmi verso il mio punto qui
facciamo una specie di tangente per a
per quanto riguarda il comportamento e io sono
parlerò di gip perché ricordo
ho parlato di bulgaria essere il
richiedere e avere una base negli Stati Uniti
affari di cui parlerò a
cambiamento di comportamento che puoi
in realtà probabilmente ha colpito alcuni di voi
in questa stanza e geoip puoi aiutarti
un’idea davvero semplice da aggiungere
mon sicurezza era semplice plugin geoip è
anche un semplice plugin questo è solo un’occhiata
ai dati agire così è genericamente utile
avere i dati del pennino se vuoi saperlo
da dove provengono i tuoi migliori viaggi
e forse stai cercando di espandere il tuo
affari e vuoi aggiungere localizzazioni
più lingue possono essere visualizzate in geoip e
dì da dove vengono tutti quelli che vengo
a quella lingua, a destra, è facile
avere qualche business intelligence ma dentro
la faccia di un attacco in realtà aiuta
inoltre ti aiuta a proteggere i tuoi utenti
questo potrebbe non essere ovvio come ancora ma
dipingerò uno scenario per te che ricordi
molto presto ti ho fatto conoscere il re Roland
entrare come fa il re Roland
il suo account gmail ha violato questo è un
cosa abbastanza comune qual è il primo
cosa fa qualcuno quando ti ha hackerato
account Gmail se stanno davvero andando
dopo l’informazione, cosa stanno andando
fai molte ipotesi che potrebbero cambiarti
password e questo è bello cosa
altrimenti stanno andando a fare sì assolutamente
quindi quanti di voi usano la tua email
indirizzo per ogni social network ogni
cosa tu compri con o tu hai un
impronta digitale è un enorme diritto
è tutto collegato a quella e-mail
conto forse un paio dei miei account se
sai cosa è difficile da fare
cose ma generalmente è legato a uno
account e-mail andranno e
proveranno fondamentalmente a rubare
roba da te è davvero cosa
stanno cercando di fare quando ti hackeranno
Gmail nella maggior parte dei casi ruba solo roba
giusto acquistare cose sui siti web sotto
le tue carte di credito di informazione creatura
ci sei già autenticato ma
la cosa magica come fanno a dirottare il
conto cosa fanno dicono che io
Ho dimenticato la mia password e loro mandano a
richiesta di reimpostazione della password siamo davvero
bello oh vuoi avere un cliente
esperienza quando si avvia la password
vogliamo inviarti la tua password o
forse non la tua password che non dovresti fare
che si invia la richiesta di reimpostazione della password
link e cliccano su quello che può cambiare
la password ma ora che possiedono il tuo
e-mail conto che
clicca sul link e digita il tuo
indirizzo email e ora possono subentrare
il tuo account è davvero semplice
è super semplice questo è efficacemente come
abbiamo a che fare con password dimenticate
ma c’è una scappatoia perché una volta io
possedere il tuo account e-mail è così
tipo di gioco finito per te così questo nel
il costo aggiuntivo passato normalmente risponde
con la password resettata perché è così
quello che vogliamo essere lo sai molto
dei clienti di usare i nostri siti così forse
non scrivi forse non proprio semplicemente
inviare la richiesta di reimpostazione della password, forse
si tiene traccia della regione gip che
quella persona ama sempre da o
forse avrebbero dovuto durare dieci richieste, quindi possiamo
conosci dalla storia quel re Roland
ama sempre da druidia che è
sarà vero su tutta la linea ma
tutto ad un tratto per la prima volta
mai vediamo una richiesta per questo passivo
resettato venendo dalla città di spaceballs a destra
non è mai successo prima ma
è successo proprio ora e non è come è
un tentativo di accesso che sarebbe
interessante o solo un semplice tentativo di
accedi al nostro sito web è questo particolare
ho passato la richiesta di reset
richiesta di modifica proveniente da a
qualcosa di gip precedentemente sconosciuto
è sbagliato qui, questa è quell’anomalia
cosa questa è la cosa del comportamento
c’è qualcosa di sbagliato, invece di inviare
il reset fai domande e questo è
dove controlli di sicurezza e usabilità
in realtà inizia a sfocare la linea a destra
perché puoi cambiare l’esperienza
ora invece di inviare l’ultimo set 30
chiede forse devono rispondere ad alcuni
domande prima di lasciarli resettare
la loro password dice normalmente
password che richiedono di colpire il collegamento
si modifica la password di andare su quel
l’esperienza è divertente per tutti coloro che
sembra un normale utente quando lo sono
non cambi i controlli, lo componi
su di te rendi più difficile o forse non lo fai
mandalo a tutti, forse dici per favore
contatta il servizio clienti e hai a
script che esegui con loro
e avete alcune domande non c’è
un sacco di modi per avvicinarsi a questo, ma il
il punto è che ti fermi e alla fine
risultato è spera di proteggere che
utente da cattive azioni dall’avere
tutto il resto è compromesso e tu devi
ai tuoi clienti farlo correttamente se
se hai in mano la loro carta di credito e
caricandolo si ha la responsabilità di
loro per proteggere quei beni
perché nei loro contatti di Gmail
e qualcuno compra cose sul tuo sito web
sono i loro account a indovinare chi può indovinare
chi ha colpa non è gmail, è il tuo
sicurezza schifosa che ha reso questo accada
le persone giuste reagiscono a questo non lo è
razionali non si rendono conto di loro
sono stati hackerati e hanno ottenuto il cappello e
hanno effettuato l’accesso al tuo account e loro
ha hackerato il tuo account e ottenuto la password
e o meno la password ma il credito
carta e addebitato qualcosa proprio il
il problema è che il tuo sito fa pagare loro dei soldi
cosa non dovrebbe avere quindi è tuo
colpa e questo è potente qualcosa tu
devi ricordare perché hai un
responsabilità quindi voglio dire che c’è anche
quel tipo di grande grande pennello grande tipo
di approccio dove potresti dire bene io
fare affari solo in questi tre
paesi così qualsiasi altra richiesta molti
altri paesi semplicemente li spengono
non mi importa di loro proprio così
in realtà è un’intera classe di problemi
scompare ora crea un come il
problema classico se qualcuno sta viaggiando
per ottenere uno di quegli altri paesi allora
Non posso usare il tuo sito così tu vuoi essere
attento a questo ma forse c’è un
Paese particolare dove non hai mai
fare affari in questo è sempre fastidioso
si si può solo un po ‘come girare
fuori se nascosti dentro di te
vai via giusto e sicuro che possono
provengono da un IP diverso da a
posto diverso c’è il tour c’è
molte cose ma l’ottanta per cento
soluzione funziona davvero bene la maggior parte del
tempo aiuta sicuramente e così tu
solo una specie di spegnere il volume per
alcuni paesi e così ora il nostro modello
sembra diverso, l’abbiamo cambiato
ancora una volta ma siamo ancora nel web
spazio del server la roba gip è moduli
ovunque ogni web server principale ha un
museruola per geoip ci sono cose che puoi
fare anche nel codice ma è più lento il
il database è in realtà lo stesso per tutti
li spingono fino al server web
il livello è in realtà bello perché ora lo è
nelle intestazioni la richiesta è fatta
davvero veloce davvero fatto in C o
qualcosa di veloce e arrivano le intestazioni
in basso puoi semplicemente accedervi e usarli
loro è quello che cerchi in
il primo posto così così altre anomalie che
esisto non voglio andare troppo
dettaglio ma tutti noi non avremo
il tempo di richiesta abbastanza è davvero
semplice quanto velocemente stanno facendo richieste
un utente normale fa richieste a chi lo sa
un utente umano, io sono ogni 30 secondi
un minuto o un minuto qualcosa del genere
giusto a volte hai meccanica
interfacce che sono diverse ma è
importante per tipo di capire cosa
questo è davvero molto interessante è un
cosa chiamata ordine di testa giusto come cosa
sono l’ordine il
inviato il tuo server e non guardi mai
a quel punto sono solo dati, è un rumore giusto
potresti guardare le intestazioni stesse
ma ti dicono qualcosa ogni
il browser ha un ordine di testa unico è a
Impronta digitale di quel browser se qualcuno
dice che sono ms ie6 su Mt 51 service pack 1
c’è ordine in anticipo e si può guardare
quello e poi puoi decidere che il
le intestazioni entrano nello stesso ordine o no
perchè se no non sono msi 6 XP service
pack 1 qualcosa non va qui è a
cosa davvero facile da seguire, ma è così
anche un indizio è forse questo non è chi il
San Diego forse c’è un impostore
qui e se qualcuno sta impersonando
loro stessi o essere un impostore
probabilmente non hanno buone intenzioni ora
forse stanno facendo una cosa del genere
solo facendo qualcosa del genere a te
sai forse sono davvero coscienti
sulla privacy che stanno cercando di fare
qualcosa di diverso non so bene
ma quello che dice è che c’è un’anomalia
qui qualcosa non va, qualcosa non lo è
quello che dice è il fingerprinting TCP
fingerprinting TCP passivo quando loro
passato i tuoi pacchetti a volte no
con un altissimo grado di precisione ma
in molti casi rileva il sistema operativo
quello sta arrivando in te abbinare così
i programmi utente e se mentono ma ora
hai un altro punto di dati così
potrebbe dire l’intestazione o è spento tcp
le impronte digitali che si trovano è come se fosse
è fondamentale costruire un caso che sei
costruire una storia sul fatto o meno
voler agire su qualcuno se avete
utenti se c’è un volume elevato di
attività dell’account che crea la cancellazione
iscrivendosi all’abbonamento dal singolo
l’attore qualcosa potrebbe essere sbagliato, forse
c’è un sacco di utenti a cui si accede
da un singolo indirizzo IP di qualcosa
c’è qualcosa di strano qui c’è qualcosa che non va
la tua attività è davvero unica
fiocco di neve tutto può succedere che tu abbia
per costruire il caso attorno a come il tuo
funzioni aziendali e decidere cosa è
bene e ciò che è male questo è un fine aperto
di storia ma c’è un posto comune qui
o tema comune dovrei dire e questo è
posso fare il comportamento in equazione
in realtà lo dico più grande di questo
brutto qualcosa lungo quelle linee che puoi
fondamentalmente guarda dati applicare una formula
e ottenere una risposta che è il primo passo
il tuo rilevamento è super semplice, se è così
Nel caso in cui esempi di questo sono cose
come è lì
tasso qwest maggiore della soglia
l’ impronta digitale del PCC non corrisponde al
l’ordine principale di user-agent include lo stesso
cosa ma tutta quella storia
la deviazione dei verbi HTTP è in realtà a
Potrei dire che è un po ‘più complicato
deviato ma ciò non significa che sia
ha cattive intenzioni, ad esempio Googlebot
amiamo Googlebot che rende le marche
noi popolari nei motori di ricerca o nell’essere
yahoo qualsiasi titolo che vogliamo che a
riuscire non vogliamo bloccarlo ma
è diverso il suo comportamento non è il
come tutti gli altri è fondamentalmente
un sacco di richieste, ma puoi guardare
presso l’agente utente che dice Googlebot voi
guarda l’ordine di intestazione del
Googlebot che è molto importante e
assicurarsi che corrisponda a questo tipo di
le cose sono importanti nella richiesta come
bene, ma tu vuoi essere sicuro
non stai bloccando le cose che sono
in realtà ci deviato ma per un bene
la ragione proprio lì ci sono solo
hanno fatto anomalie con buone intenzioni
100% richieste post di solito non è come un
segno di cattivo comportamento ma come non lo è
sempre così semplice, ecco questo
grandi aree in cui giudicherai bene
o cattivo o intento in generale, subito dopo
lo scenario giusto hai un equate più alto
chiedi alla pioggia di iscriversi alla tua persona
il servizio è tutto proveniente da un singolo IP
l’indirizzo è buono o cattivo sì, quindi ora
devi decidere se è un aggiunto
IP o se è una frode o meno
è spam qualunque sia comprato di qualche tipo
potrebbe essere che tu abbia appena contratto un affare
e tutti sono venuti in ufficio e
c’è un’ovvia email inviata a tutti
dicendo hey questa società sta svendendo
qualcosa per metà andare iscriversi e
compralo subito e tutti
l’ufficio subito va a iscriversi e
compra qualcosa che ti fa davvero bene
vuoi quel traffico che non vuoi attraccare
non vuoi caricarlo o negarlo
dall’altra parte questo diventa più difficile così là
sono cose che puoi fare per determinare
se c’è o meno possibile frode o
possibile attività acquistata o fondamentalmente
attività meccanica ovviamente
richiesta tasso tutto ciò che io
parlato di c’è ma c’è altro
formule quanti di voi hanno familiarità
la funzione di distanza levenshtein cosa c’è
è davvero molto bravo
se gli dai un indirizzo email o mastichi
gli indirizzi ti diranno come
Diverse sono modo che l’utente sta per
iscrivimi con un indirizzo email
supponendo che la tua parte abbia utenti così se lo fa
ciò non vale in questo caso
ma altri modi, naturalmente, ma questo
lo scenario è che hai degli utenti che hai appena
email se questa è un’attività legittima
vedrai le email essere molto
diritto diverso potrebbero essere tutti voi
conosci il dominio aziendale com e va bene
ma quella prima parte è giusta se
sai che John Smith è calmo
e Irene Sanders alla società calma e
conosci più nomi diversi
funzione a distanza il punteggio su quello
la funzione sarà alta questi questi
email non sono loro non c’è niente
in comune con loro giusto ma ora il
altro scenario è che abbiamo Joe Smith +1
su Gmail Joe Smith più 2 su Gmail
com Joe Smith più 3 a gmail com il
funzione distanza il punteggio su quello è
molto basso e così ora hai questo altro
metrica che puoi usare per tipo di punteggio
attività e decidere se è o non è
una natura meccanica sono super semplice
il trucco funziona davvero molto bene anche se
vengono dalla com di hotmail che hai appena fatto
Sono perché sono probabilmente uno scherzo fraudolento
tutti gli hotmail sono cattivi, ma la maggioranza è così
Vedo che un account spam ha creato un link
torna agli account di hotmail ma è così
di solito qualche grossa e lunga sciocchezza senza senso
a hotmail com conosci indecidibile
generato quasi come un uuido ma io
effettivamente faccio quando vedo email da
hotmail in realtà sono contrassegnati
automaticamente non quello che sono
automaticamente male perchè io non voglio i
non voglio suggerire che sia così
tendono ad avere un rischio più elevato
associati a loro perché di più
fraudolento 70 associato a hotmail così
che è qualcosa da considerare giusto
dati e questo è tutto sui dati questo
è davvero e ci arriveremo in un
minuto giusto abbiamo questi modelli e
abbiamo questi dati e abbiamo ma
non possiamo adattarlo a un’equazione, quindi cosa?
il prossimo passo qui abbiamo una formula noi
non siamo ancora pronti, non possiamo
non possiamo non applicare alcun significato
cosa cosa facciamo con ciò che è
qual è il nostro prossimo passo logico
quindi è il momento per l’analisi quantitativa
giusto abbiamo dati abbiamo uno schema uno
delle cose qui sei tu che potresti usare
questo per provare a usare le statistiche per provare a
Adatta un modello ma non posso davvero chiamarlo
analisi quantitativa perché è così
tempo di prendermi 100 milioni di dollari in DC
quindi lo chiamerò sicurezza come a
problema di scienza dei dati cosa sia veramente
è che ho intenzione di girarmi e
applica alcune tecniche di apprendimento automatico e di base
prova a classificare i dati che sto iniziando
sviluppare tutte queste routine per
raccogliere punti di interesse o
informazioni se non riesco a decidere se
questo è positivo o negativo semplicemente guardandolo
che è difficile perché molto traffico
forse posso trovare un modo per classificarlo
e taggalo, il punteggio è buono
l’inferno è come se io forse volessi costare
dal traffico proprio davanti sto usando
alcuni meccanismi diversi questo è
interessante e ne parliamo di più
questo più in un po ‘ma voglio
aggiornare di nuovo un modello ora che siamo noi
sappiamo che siamo interessanti
cambiando alcune cose giusto quindi c’è un
problema che esiste immediatamente quando noi
aggiungere un meccanismo di classificazione e
questo è basso alcuni di loro lo sono
veloce, ma in generale ho cose andando a
corri sono lenti e tutto ciò che ho parlato
circa finora è stato in linea nel
richiesta nel server web non riesco a inserire la mia
classificatore qui e aspettati che non lo faccia
impatto sulle prestazioni è significativo
il modo in cui dovrà andare al
lato non sono sicuro di dove ancora ma Snuffy
legge dal lato quindi solo una nota a margine
che abbiamo preso una deviazione per il lancio
tutto un server web e farlo
lavoro ma voglio dirti che a
molto valore da questo, quindi stiamo andando a
getti quel problema sul lato per a
minuto e tornare ad esso perché noi
può combinare la rilevazione della firma che
abbiamo fatto prima e alcuni dei punti di
dati e quindi iniziare a tipo di veramente
accenderlo e capire se o non
le cose vanno bene o male e su molti web
server perché la maggior parte di noi ha di più
di un server web che vogliamo avere
raccogliere qualche stato e magari vedere tutto il
richiede che un singolo attore abbia fatto il crossover
tutto il nostro ambiente e forse lo facciamo
alcune scelte, giusto, riguarda noi
tenere traccia di tutto ciò che è
come gestiamo questo attraverso gli ambienti
ed è qui che la reputazione dell’idea
arriva nella sua intelligenza che noi
fornire in base a come qualcuno ha agito
il nostro sito
e attraverso tutto il nostro ambiente noi
potrebbe avere più di un’app semplicemente
avere probabilmente più di un server web
più di una domanda pure noi
leggere questo su tutto e metterlo
torna a uno stato memorizzato centralmente
e quindi è così che ci dividiamo
la sua reputazione e davvero è come
chi è cattivo e chi è veramente cattivo lo siamo
cercando di capire la nostra lista cattiva
è di questo che si trova la lista
persone che sono attualmente solo
comportamento anomalo ed è costruito dal
strumenti e tecniche e modelli che ho
state parlando di tutto questo, ma è così
fornisce una soluzione è un locale
reputazione giusta è solo reputazione
in base a come hanno agito contro di te
ma questa non è una nuova idea questo ha
in realtà è stato intorno per un bel po ‘
ci sono aziende che hanno vasi per il miele
su internet e loro in realtà
vendere mangimi in modo da aver effettivamente acquistato
questi feed di rotazione esterna e tu
possiamo unirle insieme quindi diciamo te
segnala qualcuno e poi file anche tu
trovarli in quella lista di feed esterni è
essere dannoso, quindi è davvero facile
dì oh sì, sono decisamente cattivi, giusto
corrispondono a quello che hanno colpito qui ne ho avuto un po ‘
sospetti che corrispondano a questa lista per
blocchiamoli, quindi questo è
importante e in realtà sono carini
a buon mercato alcuni dei nostri liberi penso che il
compagnia alienvault ha uno libero loro
pubblicare e ti dà davvero un buon
idea di una specie di ciò che sta accadendo nel
resto del mondo è una specie di a
temperatura e questa tazza questo
combinazione ti dà questo davvero solido
consapevolezza del tipo di chi sta facendo
cosa su chi tenere d’occhio e ma noi abbiamo
in realtà lo chiama un problema più grande quindi
ora abbiamo tutta questa idea di
intelligenza rotazionale o del nostro stato
abbiamo anche questi feed esterni e
stiamo iniziando a costruire questa cosa
sono tutti distaccati dal nostro server web quindi
ora ci stiamo costruendo in questo
tipo di strano angolo in cui le cose
non del tutto abbinati, non sappiamo cosa fare
ma non voglio risolvere questo problema
abbastanza ancora perché voglio presentare
un altro problema prima di risolverlo e
è così che agiamo quando decidiamo
qualcuno è cattivo, vogliamo sapere cosa
fare con loro ci sono un sacco di cose
possiamo fare abbiamo quasi nuove informazioni
in realtà non è affatto affatto noi in realtà
ha avuto tutto ciò che non ha mai guardato
è nuovo per noi che stiamo guardando
ora stiamo cercando di capire cosa
per fare ora voglio sapere cosa fare con
le informazioni una volta che ce l’abbiamo una volta
ha deciso sì, questa persona è cattiva che voglio
agisci su di loro ci sono molte cose tu
può fare
non è sempre ovvio quale sia
ecco qui alcuni esempi che possiamo
bloccare il traffico che è ovvio
noi possiamo miele pentola del traffico questo è
interessante e parlerò in a
minuto possiamo modificare la nostra risposta
a loro forse cambiamo i nostri controlli
quando cambiamo ciò a cui rispondiamo
loro perché non siamo sicuri se
sono buoni o cattivi, ma stiamo cercando di
capisci forse tu mi rispondi
Non parlerò di quello che c’è
qualche area grigia lì e se è davvero
brutto forse basta contattare il
le autorità forse hai bisogno di effettivamente
come chiamare qualcuno per aiutarti
e forse è davvero brutto che stia influenzando
il tuo business è un grosso problema fai attenzione
di quello che in realtà ha molto
delle implicazioni si rendono conto quando si fa un
schiacciare alle autorità stanno andando
per farti molte domande indietro e
preparato a trascorrere molto tempo
rispondere alle domande e non sempre in
domande che speri possano chiedere
quindi è molto apertura del kimono
loro daranno molto
le informazioni saranno molto onerose
prenota quell’ultimo per quando tu
in realtà ne ha bisogno a volte è così
necessario ma essere preparati per cosa
succede quando arriva il momento in cui si blocca
il traffico è semplicissimo
la maggior parte dei casi quando parli di
server web che stai restituendo una quarta
risposta stai dicendo no, mi dispiace
la richiesta è vietata non puoi averla
l’altra cosa ovvia sta andando
questo è il blocco nel livello del firewall
più difficile perché alcuni di voi hanno
fornitori upstream quanti di voi hanno
come un Akha meijer Prolexic o
cloudflare una sorta di opzione fornita
è una terminazione CDN e uno ssl ecc
che stanno facendo questo dopo l’invio di
giù non la richiesta effettiva andando
Termina la richiesta e creane una nuova
richiesta di ritorno in base alle informazioni
quello è stato dato loro ora quella richiesta
proviene da un IP di upstream
fornitore non dell’altro allora tu
ottenere questa cosa chiamata x-forwarded-for
le intestazioni entrano e tu e
devi determinare ora il tuo
il fuoco dovrà fare è un pacchetto extra
ispezione e tirando fuori quella intestazione
e bloccando il traffico e ottiene
tipo di strano quindi c’è vantaggio e
svantaggi per entrambi hanno ragione
stare attento a come lavori ed è
davvero sulla tua infrastruttura e come
tu gestisci il tuo business che è dove
tu decidi dove bloccare e forse entrambi
ma i vasi per il miele sono in realtà molto di più
interessante di questo c’è davvero
bella storia qui puoi stare attento
ambienti e lo modifichi così dentro
questo caso abbiamo impostato le immagini del motore delle scatole
questo è tutto
cosa ti ho appena parlato di questo
tutta la reputazione è un modello d’azione
siederà di fronte al tuo tipo di
frontline load balancer e sta andando
decidere se i traversisti sono buoni o cattivi
e se va bene te ne vai in giro
il posto normale ha proprio il tuo standard
sito che interagiscono se è male ottengono
instradato ai siti falsi quali sono i falsi
questa è solo un’altra istanza del tuo
sito con tutta la produzione quindi
replicato sopra ma il back-end lo è
collegato senza addebito di denaro senza spese di spedizione
beni non azione reale ma quello che sei
fare è permettere loro di continuare a farlo
facendo quello che stanno facendo ora puoi
studiarli proprio quando sei tesoro e
l’attaccante l’obiettivo è che non lo sanno
sono stati catturati, quindi sono solo
continuerò a fare quello che stanno facendo e
esibiscono tutto il loro comportamento
li avrebbero avuti con successo
ha attaccato il tuo sito o se lo erano
cercando di attaccare quello che avrebbero
fatto per attaccare e quello che fa è
ti ho permesso di studiarne il comportamento
ti permette di capire cosa sono
cercando di fare e quando lo vedi allora
forse inizi ad aggiornare il tuo approccio
giusto forse entrano effettivamente ma
è un sito falso e tu stai bene
aggiorni il tuo approccio e come tu
prevenire gli attacchi o forse sei giusto
la tua comprensione di ciò che le persone sono
davvero dopo perché puoi farlo
ti aiuto perché vedi i segnali oyes
il livello è super-fantastico che ci ha messo dentro
caso come si vede tutto il segnale perché
è un attacco grezzo ma poi il giorno noi
non posso allontanarmi da tutto questo
gestione dello stato fuori banda strana
il piccolo problema in cui siamo entrati è
abbiamo questa bella piccola soluzione in
ambiente web e poi si stacca e
ora tutto è davvero strano, giusto
lì per capire dove abbiamo fatto il
agendo a dove manteniamo lo stato se
facciamo noi se aspettiamo l’applicazione
ambiente prima di agire che abbiamo
abbiamo aspettato troppo a lungo c’è un sacco di
domande per rispondere qui e questo è
tipo di dove stavo bene ho iniziato noi
tutti questi problemi ho visto questo modello
questo modello continuava a salire e
di nuovo su come facciamo quest’altra
roba strana fuori dalla band e questo è quello
mi porta a vedere questo è il motivo per cui ho fatto
ed è essenzialmente la reputazione
motore che è tutto qui cambia la
modella un po ‘quello che succede è
un modulo per il web server è anche un
di nuovo in ambienti e un utente Edison
denaro femorale fondamentalmente non importa
di archiviazione ciò che fa sono alcune cose
è giusto che legge e scrive da
Redis ma che cosa
registrare l’attività ogni volta che vengono richieste
in e registrare alcuni pezzi su questo
metodo di attività utente timestamp metodo voi
stringa di query roba semplice che cosa anche
è gestito quello stato per te e
quello stato può essere disponibile per tutti i tuoi
server web in modo da sapere come funziona
questo bel stato globalmente gestito che
tutti i tuoi server web possono anche accedervi
avere qualcosa che possa agire quale rap
il foglio è davvero al centro
la funzionalità primale di base è
guarda su Redis per scoprire se
o non si contrassegna qualcuno e se lo fa
lo bloccherà o lo notificherà
un modello davvero semplice e finalmente tu
avere quel libro fuori dall’elaborazione della band
è quel back-end che si metterà a correre
i modelli e aggiornerà Redis e
quando capisce che qualcuno è stato
cattivo quindi è fuori aggiornamento di fascia ricercato
per vedere i dati aggregati a
tutto e integrerà anche il
feed esterni quindi l’altro pezzo qui
la visualizzazione è davvero ciò che ho costruito
questo era per capire cosa fosse
andando avanti voglio sapere cosa sta succedendo
Ho costruito una visualizzazione molto piccola
strumento ti succhio, quindi è solo un
piccola cosa di bootstrap su Twitter ma è così
super utile mi fa sapere cosa è stato
lista nera e le prime 10 trasgressori tutti
giusto le persone che sono attualmente
sospetti che non hanno ancora inserito nella lista nera
automaticamente o manualmente a destra vedi
i pulsanti che ti lasciano automaticamente
fai quello che vedi è un mucchio di
informazioni potrebbero essere difficili da trovare
questo schermo ma tutti questi qui in questo
caso le nostre regole di sicurezza mod che quello
la persona ha innescato che hanno scattato tutto
di quelle regole di modsecurity e loro hanno
fatto una ventina di 3567 volte Stanno
probabilmente non va bene, questo è un
caso davvero ovvio di un trasgressore
qualcuno in questo caso era vero
basta eseguire uno scanner contro il nostro sito
retrocedere e questo è il punto di riferimento intendo no
uno di quei strumenti gratuiti e strumenti
basta scansionare i siti l’altra cosa è
gli umani sono veramente bravi nei modelli e
riconoscendo i modelli così ho aggiunto a
visualizzazione del mondo e spille su a
mappa diciamo ecco dove sono le tue minacce
stanno arrivando dalla parte interessante è
questo era 20 questo è 24 ore in media 24
ore di braintree ci sono molti spilli
siamo un grande obiettivo che ti trasferiamo denaro
sappiamo che i nostri ultimi numeri sono circa 12
miliardi di dollari in transazioni all’anno
è un sacco di soldi che scorre attraverso di noi
vuoi rubarlo vedendo questo
interessante vedere tutto questo rumore
non lo fa
quanto sai che migliora come
il tempo passa e tu inizi a identificarti
e bloccare il traffico legittimo, ma ha
ha aiutato a individuare le botnet nel processo decisionale
visto di quel pop-up in Francia che
iniziato con piccoli e diventati più grandi e
più grande è stato isolato in Francia però
abbiamo cercato sempre di più ogni giorno
crescere e crescere, crescere e crescere e noi
visto che ha colpito la massa critica e poi ma noi
ho visto i dettagli per tutto il tempo che sapevamo
quello che era lo user agent era un molto
botnet semplice ma che cosa in realtà
acceso il tubo antincendio che sapevamo era un
affare è stato davvero semplice noi solo noi
chiamare il nostro Vidant a monte ha detto hey
questo user agent lo ha semplicemente bloccato
tra cinque minuti, quindi cosa sarebbe successo
è stata una negazione piuttosto catastrofica
attacco di servizio che avrebbe probabilmente
colpiscili, non l’ho fatto loro
ho provato a battere circa 10 concerti che non lo sono
enorme ma ancora piuttosto significativo
quantità di dati sarebbe stata
il disruptive avrebbe richiesto un po ‘di tempo
capirlo, sapevamo già che stava arrivando
avevamo già gli avvisi su così una volta
è successo come se fosse un cinque
affare minuto era finita quindi ha aiutato
questi modelli sono davvero molto utili
quindi quello che fa veramente il foglio di gomma
tutto insieme sai come ho detto
il modello del server Web registra l’attività
e cerca combattenti nella cache
il sovraccarico di questo è ovunque
5 e 10 millisecondi o meno in base
su come la reticenza locale sia davvero quella
chiave in modo che non abbia un impatto reale
performance a tempo di bulbo oculare a destra 10
millisecondi è ancora molto tempo ma per
http che è lento in generale e negli umani
che percepiscono che i dati sono suoi
nominale ascolta il diritto di sicurezza mod
quindi quello che fa è ascoltare il
informazioni di sicurezza autistico invio
giù nelle intestazioni e lo raccoglie e
lo registra quindi se qualcuno che viaggi
dirai che odi la modsecurity i
Ho capito che ho scoperto che mi hai avvertito
qui le regole che ho attivato lo manterranno
conta e poi fornisce quell’idea
dove potrai bloccare una notifica così
ti aiuterà a costruire quel caso
in questo particolare esempio di blocco
succede a livello di web server giusto
il modulo di foglio di riferimento bloccherà dentro
il web server e questo è il 403
invece del vero firewall ma da allora
questo database è aperto, in realtà
stato un piccolo script ci sono un sacco di
strumenti come IP set che ti aiutano ad aggiornare
Tabelle IP al volo puoi leggere a
piccolo script che appare in Redis in
le persone che hai inserito e incollato nella lista nera
il tuo firewall per bloccarli davvero facile
lo script della coppia fa la differenza
notifica contro il blocco così
la notifica invia le intestazioni
a valle aggiunge effettivamente
intestazione X foglio rap e dice questa persona
è sul foglio di riferimento quindi l’applicazione
quello che è a valle può dire che lo farò
cambia il mio comportamento sono stato
segnalato male, agirò diversamente
che ti dà il potere di scegliere come
tu risponderai per esempio
mostra CAPTCHA giusto questo è semplice ma
I CAPTCHA fanno schifo che tutti noi li odiamo
terribile e quando sei un legittimo
l’utente è doloroso questa è tutta la croce
sezione di usabilità e sicurezza giusta
quindi dico di spegnerlo finché non lo sai
si comportano male poi riaccenderlo
ancora una volta rendilo migliore, rendi migliore
esperienza di persone che legittimo e
accenderlo per le persone che sono cattive
la parte posteriore e ha guardato i dati registrati
per cattivo comportamento e questo è solo per fare
un caso e quando capisce qualcosa
legittimo aggiorna il denaro e quindi
ne trarrai vantaggio, la buona parte
questo è un modello di gioco plug-in è a
ordinando un cappello senza cervello, lo dai
il cervello si prende lo schiaffo
logstash e altre cose e prodotti
quel dato è un progetto con un mucchio di
repository il visualizzatore del modulo
tutto è come se fosse un acquisto
posto per ragioni logiche github.com /
foglio rap è l’organizzazione in modo sintesi
è semplice ci sono molti indicatori
di attacco sono ovunque e il
i dati non sono che devi fabbricare
è in ogni richiesta è meglio come
lo guardi che vuoi costruire a
sistema in grado di acquisire i dati e
ordina il bene dalla cattiva comprensione
quello che sta succedendo è critico
importanza per essere in grado di proteggere
te stesso da attacchi gli strumenti noi
coperto la nostra modsecurity gip genericamente
le regole personalizzate sono come la tua attività
funziona la classificazione del comportamento e trova
il foglio rap è l’unica cosa da ricordare
anche se le linee di basso sono importanti
e vengono attaccati ogni giorno
in alcuni punti il tuo bar e l’altro
il bar sarà onesto con ciascuno
altro se la tua barra è troppo bassa
script sei tu che otterranno
così questo è un passo in due
tutte le cose che sentirai
nel prossimo talk guardate le ls
i primi 10 difendono il tuo codice assicurati che sia così
solido assicurati della tua difesa nel tuo
codici altrettanto validi della tua difesa
il perimetro
e penso di essere appena fuori dal tempo
quindi farò domande che dovremo fare
stai bene una domanda così veloce
domanda interessante qui è perché mentire
su quale browser viene utilizzato questo
è interessante e ce ne sono stati molti
molte ragioni che vengono fuori
intorno a questo, ad esempio, ce n’erano alcuni
viaggiasse c’era un sito di viaggi a uno
Indica chi se tu venissi da un Macintosh
computer i tassi che hai ottenuto erano più alti
rispetto alle tariffe o un computer Windows
Non so perché ma era era era
categoria sicura che potresti cambiare utente
agente e hai avuto prezzi più bassi, quindi è così
una ragione per mentire, alcuni siti dicono
bene, io solo lavoro con questi
i browser vanno così bene io sono questo
il browser smette di bloccarmi lasciami andare
attraverso a destra un’altra ragione proprio così
in realtà i motivi legittimi per cui
cambieresti maggiormente il tuo user-agent
il momento in cui l’ID utente sta mentendo
male, ma ricorda che non è sempre
brutto quindi c’è una specie di area grigia
c’è tempo per un altro cosa è il
ponte tra modsecurity e rap sheet
il ponte è modsecurity molto semplice
ha un’opzione per le intestazioni di abilitazione così
cosa fa quando vede venire l’attacco
attraverso è aggiunge intestazioni al
richiesta che dice qui sono le cose che io
trovato qui le regole che innescano tutto
rappresentante lei guarda quelle intestazioni
perché sono nell’ambiente in
Apache o nel modulo del server Web e
li tira fuori davvero loro
rapidamente e poi mettine un po ‘dentro
l’applicazione quindi se hai un centro commerciale
sicurezza attivata su beneficio foglio rap
da quello semplicemente analizzando i dati da
sulla sicurezza nelle intestazioni che è tutto quello che
è molto semplice altrimenti ho avuto un
domanda siamo fuori tempo grazie
molto
tu
il mio discorso dal titolo pubblicizzato in
particolare che volevo enfatizzare
approccio basato sul comportamento alla sicurezza e
in realtà parliamo di come ci arriviamo e
che comportamento ci dice così penso questo
sarà interessante perché penso questo
i discorsi si concentreranno maggiormente sulla difesa e
l’altro discorso che segue si concentrerà su
attaccando penso che sia davvero grandioso
combinazione perché è davvero necessario
avere entrambi i lati della storia
efficace ma parlerò del foglio rap
tipo di verso la fine del mio parlare cosa
questo è davvero è che tu sai se
hai un’applicazione web nel pub di
pubblico in questo momento è stato attaccato
non è un segreto, non è questo
nessuna sorpresa se qualcuno di voi è sorpreso
preparatevi per altre sorprese
Succede che succederà ancora e
ancora e ancora tutto il giorno ogni
singolo giorno e non perché tu sei il
bersaglio di un attacco ma di qualcuno
è alla ricerca di un crimine di opportunità
essenzialmente un drive-by
cercare un’opportunità per provare a
infiltrati o semplicemente sfrutta il tuo sistema
per quello che possono uscirne e
Voglio parlare di modi in cui potresti non farlo
pensa che qualcuno possa approfittare di
il tuo sistema in modo da ottenere
ci sto per iniziare con alcuni molto
idee semplici e poi lo faremo
costruisci su di loro mentre andiamo e creiamo gentilezza
di un approccio olistico alla difesa del web così
Inizierò con il disegno e
questo è un disegno piuttosto semplice
il diritto stack predefinito avete un po ‘
roba di terra dell’utente che arriva in te
ciò che è essenzialmente un server web in realtà
un proxy inverso per l’applicazione e
quindi la tua stessa applicazione ovviamente
avrai bilanciamento del carico e tutti i tipi
di altre cose divertenti di fronte ma
questa è la vista di 10.000 o 15.000 piedi
e la nostra risposta predefinita alla protezione
le nostre applicazioni web è questo diritto quanti di
ti fermi qui è ok per alzare il tuo
mano sì, intendo il ragionevole
approccio è proteggere questo mettendo a
accesso di fronte a noi abbiamo un nome utente
e una password e ci sono molti modi
gestirlo in modo errato ma lo faremo
concentrati su quello solo per un minuto e
speriamo che abbia un designer migliore di
quindi, cosa succede quando entri con a
nome utente e password e fornite
che su richiesta arriva la richiesta
convalida se la richiesta è stata o meno
buono o cattivo e poi andiamo avanti con il nostro
giorno giusto e questo è dove la sicurezza
blocca davvero Billy seriamente in considerazione
questo quando sei quando stai pensando
sulla sicurezza delle tue applicazioni come
molti di voi in realtà si fermano qui
dove sono i vari controlli aggiuntivi
a quanti di voi chiedono una seconda domanda
più tardi forse qualcuno si collegherà e loro
torna indietro come verifichi che siano
la stessa persona che la loro sessione
non è stato dirottato come convalidarlo
se sei su SSL la loro sessione SSL
non è stato dirottato che è un molto
argomento più interessante che non siamo
entrerò in questo discorso ma è
davvero per chiedere più domande, um
ci sono molti dati che arrivano e
ignoriamo la maggior parte di esso e i dati che aiutano
noi decidiamo se qualcosa è o no
in realtà buono o cattivo e tornare a
comportamento non è il comportamento che sono
dopo è l’intenso e il modo
arrivarci è per ricavare l’intento
attraverso il comportamento ma voglio fare
tipo di un avvertimento qui e questo è un
punto davvero importante e penso questo
si ottiene è questo è sbagliato e sicurezza
più e più volte è che io
non voglio mai avere un impatto sull’utente
esperienza, infatti, ce la farò
meglio, c’è solo un po ‘strano
equilibrio dove sicurezza e usabilità
sembra essere una specie di oppositore loro
le forze opposte hanno il giusto tipo di calcio
i capi II pensano che sia terribile, io
penso uno dei miei modelli preferiti per
la sicurezza è un casinò quanti di voi
mai visto la sicurezza in un casinò
visto davvero la sicurezza, giusto non lo fai
attualmente vedi l’agenzia di sicurezza ora
vedere alcuni spettacoli spettacolo abbonamento di
autorità o qualche spettacolo di attenzione che
ti fa pensare che non sei tu
sapere fattibile per rubare da un casinò
quello che succede dietro le quinte è
solo complicato e complicato
e davvero molto intelligente
sofisticato e quel modello pensa sia
interessante perché sei lì
divertiti e loro ti permettono di
divertiti e fai quello che vuoi
e poi uno a cui ti insospettisce
su di te e penso che sia davvero
idea davvero interessante, quindi è così
diritto diverso è diverso
approccio rispetto al tipo di uno standard
approccio alla sicurezza da manuale , quindi voglio
per parlare del tipo di idee che ottengono
noi lì e poi alcuni pezzi su forse
come possiamo quindi cambiare il gioco
noi stessi comincio con
rilevamento basato sulla firma sarà un po ‘
idee abbastanza semplici le idee che io
penso che siano davvero importanti qui
anomalie come troviamo anomalie e
come pensiamo di capire cosa?
valgono bene se lo sono
mostrando un decimo di comportamento malevolo o
solo qualcuno è confuso o forse
anche un bot che è innocuo
non era e questo è quello che stiamo andando
iniziare a raccogliere negozio e tipo di
propagare informazioni su ciò che noi
conoscere l’attività degli attori sul nostro
siti e poi per davvero come agire
loro come quello che fai quando trovi
fuori c’è qualcuno che è malizioso
molte cose diverse da fare quindi solo
impediscigli di entrare c’è
in realtà alcune idee davvero interessanti
lì e poi finalmente uno strumento che ho
creato per aiutare a gestire questo
tutta l’infrastruttura chiamata foglio rap
è un progetto open source e lo farò
parliamo di dove si inserisce e
perché sono un po ‘ motivato ad iniziare
costruendo quegli strumenti quindi inizieremo con
firme e questo sarà il
tipo di parte facile di questo
conversazione perché è molto
semplice solo per ottenere una sorta di
idea di dove siamo a quanti di voi
non ho mai sentito parlare di mod prima
ok, fresco così tante mani ottimo mese
la sicurezza è qualcosa che chiamiamo una rete
firewall firewall di livello 7 dell’applicazione
è un progetto sovradimensionato è un
basato sulle regole quindi dai un sacco di
regole e sarà ciò che realmente sono
è un mucchio di regular lungo davvero cattivo
espressioni che corrispondono a modelli sui dati
è un progetto interessante interessante
idea e parlerò di un po ‘di alcuni di
le cadute di esso pure ma il
tipo di idee di base ti permette di bloccare
traffico o tipo di avvisi quando vede
un attacco diciamo che hai un
forma e qualcuno mette un avviso di script
script e script e posta mall
la sicurezza lo vedrà e andrà così
questo è un attacco di scripting cross-site
fermarsi che ti lascerò
sappi che quello era un attacco, intendo
ovviamente ottiene molto di più
sofisticato di quello ma questo è il
modsecurity idea di base da solo come a
quadro è una specie di nudo e poi esso
ha
questo tipo di regole fresche e gli olas
tipo di progetto fornisce questa regola di corte
insieme alla sicurezza del fango e tutto qui
coprendo i primi dieci e alcuni dei
tipo di attacchi di base che vedrai
anche se con alcuni dei più avanzati
accanto a te e onestamente è davvero
ottimo strumento per aggiungere il tuo stack perché questo
fornisce dati funziona bene in più
server web moderni quindi ascia motore apache
è stato davvero progettato con cui lavorare
Apache funziona bene con Apache l’altro
due server web sai che è così
interessante quindi se sei un Apache questo
è un’installazione molto semplice se sei un
ninja dopo ho chiesto che fosse un po ‘
diverso ma funziona ancora, ma è così
richiede un sacco di messa a punto del problema
il rilevamento basato su regole è che l’ottimizzazione è
super importante perché il tuo modo
sito gestisce il modo in cui le persone interagiscono
con il tuo sito come hai scritto
il tuo codice per interagire con i tuoi server
tutto può inciampare su queste regole giusto e così
c’è un’alta possibilità di falso
positivo quindi non va bene, giusto falso
i positivi sono particolarmente terribili
quando inizi a bloccare il traffico e così via
puoi operare in modo non sicuro in a
coppia modi diversi è il passivo
e versioni attive e tendo a
operare nella versione passiva di
di default perché in realtà non volevo
per bloccare il traffico solo su una regola
partita voglio essere un po ‘di più
intelligenza su quello che sto facendo ma
c’è una classe di attacco così è
davvero buono e questo è un giorno zero
attacca quanti di voi ricordano il
Utilizzo di codice remoto di Ruby on Rails da a
paio di mesi fa, giusto così apolis
è stato pubblicato molto recentemente o molto
significativo entro poche ore
anche le regole sulla sicurezza sono state pubblicate
bloccare questo attacco perché la firma
era molto semplice che rileva così gente
che ha avuto un lungo ciclo di patch o non poteva
abbastanza ottenere il rilascio dalla finestra
quando sai che c’è questo enorme vuoto
buca nella tua applicazione in rail siamo
in grado di installare questa regola in bocca
la sicurezza l’hanno fatta girare e fermarsi
l’attacco mentre cerco i loro server
quindi ti compreremo un po ‘di tempo mentre sei
aggiustando il tuo software per istanze come
che penso sia in realtà incredibilmente
utile che è un po ‘efficace nel giusto
situazioni isolate non giorno per giorno
oggi quello che sto cercando sono i dati
giusto ha fatto qualcosa di strano per qui
questa richiesta normalmente non lo farei
vedere questo genere di cose ma cosa
la modsicurezza ti dirà questo
la richiesta era unica era diversa
c’è qualcosa che non va, voglio indagare
ulteriormente e
Penso per il potere qui, quindi aggiorniamo
il nostro modello e quali cambiamenti aggiungiamo
sicurezza mod per il nostro stack giusto è
ancora entrare in qualche modo all’interno del web
server è um, è un sistema modulare che carichi
nel tuo server web con patchy
oggetto dinamico saglam con asse motore
compilato con con è solo una dll
viene caricato e noi continuiamo a farlo
il nostro giorno non c’è molto per davvero
considera nel mondo del firewall statico
regole è piuttosto semplice dove noi
non focalizzerò di più sulle anomalie, quindi io
voglio fermarmi per un minuto che sto per essere
andando a mostrarvi una serie di richieste
per richieste voglio che tu provi a capire
fuori quello che sta succedendo e questo è quello che io
intendo per tipo di intento di guida quello che sono
ne parlo così la prima richiesta così
pubblichi un registro delle barre qui e poi noi
vedere altre informazioni su
la loro ricerca dà il tuo agente utente così noi
avere una dimensione di indirizzo IP di una richiesta
questo è l’IP interno niente in
particolare ma questa è la prima richiesta
questa macchina ha mai fatto ora sto andando a
mostra le prossime tre richieste così
ecco il prossimo è un post per gli utenti
nome utente e carte di credito questo in
particolare è un altro IP utente
indirizzo ecc la prossima richiesta e infine
l’ultima richiesta cosa sta succedendo qui
cercando di guardare per Beth sopra il perché
c’è qualcosa di molto più ovvio
accadendo, li rivedrò ancora una volta
solo per portarci nel posto giusto così
inserisci un numero di richiesta numero due per il login
tre e il numero quattro, quindi cosa vedi?
qui scusa si il tasso di richiesta è un
un secondo tra intervalli di immagini
la prima richiesta era una richiesta di posta a
un forum che segue sempre ciò che dovrebbe
precedere una richiesta POST a una forma un get
richiesta giusta si dovrebbe ottenere il modulo
prima di postarlo ce n’è un altro
anche le cose in realtà diamo un’occhiata
Vedo che il sito Web viene cardato così
l’industria in cui lavoro è merito
carte a destra Braintree process credit
informazioni sulla carta in particolare c’è
un evento in se prendi le carte di credito
chiamato cardare che solleva la domanda
di ciò che nel mondo sta facendo il karting
molti di voi accettano carte di credito sul proprio
siti web che tutti voi state trasportando
può praticamente garantirlo se tu
prendi le carte di credito su internet sei
andando a essere vittima di carting cosa
questo significa che per fornire
sei un buon servizio per i tuoi clienti
convalida della carta di credito quando loro
inseriscilo in modo da avere una pagina del profilo su
quella pagina del profilo si inserisce un credito
numero di carta e quello che succede è quello
la carta di credito è stata verificata come valida in precedenza
quindi prova ad acquistare con quello
può essere così che acquistano esperienza
che ho avuto esperienza è giusto per te
non devi preoccuparti di questo strano
piccola situazione in cui stanno cercando di
check out e la tua carta di credito
l’informazione non è giusta, quindi non possono
fai la vendita e poi se ne vanno
giusto e perdi una vendita così
tu provi a ricaricare questa trattativa
con una compagnia di carte di credito e assicurati
la carta di credito è buona e quindi cosa
stai facendo quello stava offrendo un libero
servizio a chiunque voglia confermare
carte di credito rubate
e questo è molto meccanico ci sono
organizzazioni criminali molto grandi che
questo è tutto ciò che fanno rubano credito
numeri di carta generano carte di credito
Numera lo spazio della carta di credito valida
i numeri sono molto piccoli, dal 13 al 19
numeri di cifre c’è un algoritmo chiamato
blunt n che convalida la carta di credito
numera lo spazio di lund 10 valido
i numeri delle carte di credito sono molto piccoli
solo generarli sono noti
quantità di informazioni su tale
numero di carta di credito i primi quattro sono a
tu lo sai indietro identificatori come un perno
numero che è un identificatore di banca
molte cose diverse che ti mostrano
esattamente chi sta sostenendo questa carta e
che tipo di carta è il reale
numeri univoci sono vari anche pari
più piccola parte di quella quindi la quantità di
cose che potresti generare solo test
se esiste o meno una carta è davvero
piccolo e molti di noi ti daranno
quell’informazione avanti e indietro è
come oh sì, il valore dell’auto ma il
l’indirizzo è sbagliato e quindi lascia semplicemente tenere
andando finché non provano a capirti
conosci le carte valide e loro andranno avanti e
sui sette nel mercato nero per
in realtà un sacco di soldi e il loro modo
fai questo il test è loro dirottamento server
hanno script che corrono intorno al
Internet fondamentalmente sta prendendo
il controllo delle macchine le mise a inserirle
carica di una rete di controllo di comando e
quindi distribuendo script per ognuno
dei tuoi siti per andare in test rubato
le carte di credito hanno vinto centinaia di migliaia
di server lì per leasing in sostanza
quello che stanno facendo è facile
44 cose cattive che potresti, puoi affittare il tempo
su questi server che lo sono
hackerato per fare ciò che vuoi e
ciò che è interessante è quello
facendolo molto ho lavorato in un’azienda
dove abbiamo visto verso l’alto, forse lo sai
quasi un milione al mese richiede di essere
non provare a convalidare carte di credito e
ora quello che faranno è che sono intelligenti
voleranno sul radar che conoscono basato
su quanto sei grande quanto traffico hai
proveranno a non essere troppo aggressivi
ma la sceneggiatura fallisce nel tempo, quindi
Abbastanza da parte, questa è l’idea del carrello
che gioca per gioco le cose che sono
interessante su questa richiesta giusta
e questo è quello che ho detto che ignoriamo il
i dati sono un paio di cose giuste
la prima cosa che ho già indicato
non c’è richiesta prima del post
è successo qualcosa ora non va
forse il loro IP si è invertito tra loro
stavo facendo o facendo richieste che non lo facevo
conoscere i diritti come se non bastasse dire
questo è male
è solo diverso, c’è anche a
ritardo di un secondo tra ogni richiesta I
non so voi ragazzi ma non posso
digita i dati della mia carta di credito in
un secondo e stretto e premi invio e
poi fallo di nuovo in un secondo e colpisci
entra Conosco il mio numero nella mia testa ma io
ancora non riesco a scriverlo così velocemente e tutto il mio
altre informazioni e quindi qualcos’altro
è diverso qui giusto il tasso di richiesta
è semplicemente troppo uniforme terzo quanti di
ti ricordi quando è stato rilasciato Windows 7
e quale versione di Firefox era fuori quando
Windows 7 è stato rilasciato quindi ti diciamo
installa Firefox il primissimo giorno
Windows 7 è stato rilasciato quale versione di
Firefox hai avuto sì non otto giusto
forse tre perché Firefox di alcuni
versioni strane ma sicuramente non lo erano
otto giusto era già fuori così questo
è una versione precedente di Firefox qualcosa
non corrisponde qui ma di più
importantemente Firefox sette e Firefox
otto sono associati a ciò che molto
strumento comune come agenti utente che senza testa
strumento selenio webdriver ‘ha ragione questo
è un agente utente molto comune su cui lavorare
driver web dal selenio ecc così noi
facendo test senza testa, lo dirai
utente in un bel po ‘pure anche Windows
NT 61 ti dirà la versione di
Windows il numero di revisione o il servizio
il pacchetto ti dirà quale tipo di patch
livello di ciò che gli altri stanno correndo così a
molte volte vedrai MSI sei NT 51
sv1 sta dicendo che questo è Windows
XP service pack 1 in esecuzione ie6 questo è
di solito una bugia la maggior parte delle persone che eseguono XP o
almeno patched oltre che così utente
gli agenti possono essere falsificati non molto grandi
affare ma qualcosa da considerare giusto
le cose a piedi stanno iniziando a salire a destra
le cose stanno iniziando sempre di più
sospettoso e finalmente lo dirò
tu che questa era una compagnia statunitense che faceva gli Stati Uniti
affari basati quindi la cosa esplosione qui
è che la richiesta proveniva dalla Bulgaria
quindi ora abbiamo quattro cose su quattro
chiede che tutto ciò non si aggiorni proprio a te
può vedere la storia non è più avvincente
ora che era la prima volta quando io
fai in modo che questo post abbia ragione
è interessante ma non lo è
offensivo in qualsiasi modo, ma ora vediamo questo
sta costruendo una storia che stiamo costruendo a
coda e possiamo essere abbastanza sicuri qui
qualcosa è abbastanza brutto potresti
vuole agire contro di esso ora il
l’altra cosa è che questo continua
10.000 volte in più, quindi siamo abbastanza sicuri
è un attacco di cardatura ma la cosa è
non vogliamo aspettare diecimila volte
prima di farlo perché puoi farlo
10.000 richieste abbastanza rapidamente ciò che noi
voglio davvero fare è farlo in quattro
richieste o meno destra intendo ovviamente
ci sono altri modi per affrontare questo ma
vogliamo farlo il più velocemente possibile
per impedire quegli attacchi di carting perché
se tutto ciò che abbiamo sta bloccando l’IP è
come giocare a whack-a-mole ed è peggio
perché devi giocare come
whack-a-mole multi-thread perché
ti stanno arrivando con un sacco di
server non appena li blocchi cinque
più pop-up perché ti rendo conto di te
azione contro di lui quindi la prima cosa
Ti farò solo colpirti con un server
fino a quando non li fermi e otterranno di più
aggressivo la strategia cambia questi
i robot sono in realtà davvero sofisticati
non appena si cambia cambiano troppo
e questo gioco è fatto di gatto e topo
avanti e indietro così tu vuoi che sia
davvero facile da rilevare davvero facile da fare
blocco e tipo di automatizzare sé stesso così io
lo dico per quel particolare IP
indirizzo che era l’unica richiesta
mai fatto, non è mai più apparso
scomparso per sempre proprio questo è
parte di questi attacchi proprio lì
ci sono attacchi di frode ma allo stesso tempo
Lì ti costano soldi, proprio là
costi operativi ma tutti
transazioni di nuovo per convalidare credito
le carte ti costano bene alcuni servizi
non fanno pagare per questo alcuni lo fanno dipende
sul tuo accordo ma alla fine della giornata
la maggior parte dei casi in realtà ti costa così
come minimo ti stanno costando
significa forse centesimi ma milioni di
i penny si sommano nel tempo quindi c’è
qualcos’altro che lo dà via ora
questo è un po ‘come giocare in più
più del lato anomalia del mondo
c’è qualcosa che è molto semplice
sulla natura di ciò che accadrà in
questa richiesta è molto ovvia ma
tendiamo a ignorarlo a cui nessuno pensa
su cosa altro potrebbe aver dato via
ripensaci a questo in un primo momento commenta a
domestica
quindi ciò che era comune in tutti e quattro i
quelle richieste in modo che avessimo IP abbiamo avuto
user agent e cos’altro dovevamo essere
hanno in comune tutti e quattro quelli
richieste per quale tipo di richieste postare
richiede sì , non abbiamo mai avuto alcuna ipotesi
quello segue i tre RC giusto così sia
inoltre c’era quel 302 che era
ha risposto che non è mai stato seguito
giusto questo è un altro indicatore enorme ma
abbiamo visto un’anomalia che posso garantire
questo perché quanti di voi hanno
siti web dove la distribuzione di HTTP
i verbi sono pubblicati al cento per cento
in realtà a Braintree ce n’è uno
è quasi così la nostra API gateway
è quasi tutti i post o cuz che abbiamo messo
anche alcuni ritardi, ma è così
messaggi legittimamente quasi sempre ma
quello non è comune giusto la maggior parte del tempo
hai una distribuzione di traffico che
sembra qualcosa di simile forse non come
questo ho fatto un sacco di numeri e io
penso che aggiungano fino al cento per cento
ma tu hai l’idea giusta c’è un
distribuzione di richieste e se tu
assaggia il tuo traffico in qualsiasi momento
puoi calcolare questa distribuzione e
allora puoi prendere un singolo attore e
calcolare la loro distribuzione e c’è
questa cosa meravigliosa chiamata statistica
significato ha diritto è deviato
questo abbastanza diverso da essere un’anomalia
è davvero semplice ma è incredibilmente
potente perché quando disegni un
interazione sul tuo sito web che intendi
le persone a seguire il tuo utente di design
esperienze su come portare qualcuno giù
un percorso e se hai creato un percorso che
tutti seguono la distribuzione
la richiesta sarà la stessa per
tutti gli altri e quando non c’è c’è
intento lì qualcosa è sbagliato giusto
forse è un utente confuso forse loro
non so cosa sta succedendo forse lo sono
un luddista uso solo un computer per il
traghetto per la prima volta e non lo so
come fare clic sulle cose che ci sono
ci sono molte cose diverse forse
hai fatto un errore forse hai avuto un essere
i test che sono andati storto sono molti
cose che potrebbero essere accadute ma il
la parte interessante qui è che c’è un
anomalia e questa è la prima parte di
capire che forse tu vuoi
guarda più da vicino così questa distribuzione di HTTP
metodi super facili da fare e in realtà
diventa davvero importante quindi tornare indietro
al comportamento giusto quando qualcuno devia
dallo schema standard lo standard
le azioni devono essere una ragione che vogliamo
per trovare quella ragione è gentile
di guidarmi verso il mio punto qui
facciamo una specie di tangente per a
per quanto riguarda il comportamento e io sono
parlerò di gip perché ricordo
ho parlato di bulgaria essere il
richiedere e avere una base negli Stati Uniti
affari di cui parlerò a
cambiamento di comportamento che puoi
in realtà probabilmente ha colpito alcuni di voi
in questa stanza e geoip puoi aiutarti
un’idea davvero semplice da aggiungere
mon sicurezza era semplice plugin geoip è
anche un semplice plugin questo è solo un’occhiata
ai dati agire così è genericamente utile
avere i dati del pennino se vuoi saperlo
da dove provengono i tuoi migliori viaggi
e forse stai cercando di espandere il tuo
affari e vuoi aggiungere localizzazioni
più lingue possono essere visualizzate in geoip e
dì da dove vengono tutti quelli che vengo
a quella lingua, a destra, è facile
avere qualche business intelligence ma dentro
la faccia di un attacco in realtà aiuta
inoltre ti aiuta a proteggere i tuoi utenti
questo potrebbe non essere ovvio come ancora ma
dipingerò uno scenario per te che ricordi
molto presto ti ho fatto conoscere il re Roland
entrare come fa il re Roland
il suo account gmail ha violato questo è un
cosa abbastanza comune qual è il primo
cosa fa qualcuno quando ti ha hackerato
account Gmail se stanno davvero andando
dopo l’informazione, cosa stanno andando
fai molte ipotesi che potrebbero cambiarti
password e questo è bello cosa
altrimenti stanno andando a fare sì assolutamente
quindi quanti di voi usano la tua email
indirizzo per ogni social network ogni
cosa tu compri con o tu hai un
impronta digitale è un enorme diritto
è tutto collegato a quella e-mail
conto forse un paio dei miei account se
sai cosa è difficile da fare
cose ma generalmente è legato a uno
account e-mail andranno e
proveranno fondamentalmente a rubare
roba da te è davvero cosa
stanno cercando di fare quando ti hackeranno
Gmail nella maggior parte dei casi ruba solo roba
giusto acquistare cose sui siti web sotto
le tue carte di credito di informazione creatura
ci sei già autenticato ma
la cosa magica come fanno a dirottare il
conto cosa fanno dicono che io
Ho dimenticato la mia password e loro mandano a
richiesta di reimpostazione della password siamo davvero
bello oh vuoi avere un cliente
esperienza quando si avvia la password
vogliamo inviarti la tua password o
forse non la tua password che non dovresti fare
che si invia la richiesta di reimpostazione della password
link e cliccano su quello che può cambiare
la password ma ora che possiedono il tuo
e-mail conto che
clicca sul link e digita il tuo
indirizzo email e ora possono subentrare
il tuo account è davvero semplice
è super semplice questo è efficacemente come
abbiamo a che fare con password dimenticate
ma c’è una scappatoia perché una volta io
possedere il tuo account e-mail è così
tipo di gioco finito per te così questo nel
il costo aggiuntivo passato normalmente risponde
con la password resettata perché è così
quello che vogliamo essere lo sai molto
dei clienti di usare i nostri siti così forse
non scrivi forse non proprio semplicemente
inviare la richiesta di reimpostazione della password, forse
si tiene traccia della regione gip che
quella persona ama sempre da o
forse avrebbero dovuto durare dieci richieste, quindi possiamo
conosci dalla storia quel re Roland
ama sempre da druidia che è
sarà vero su tutta la linea ma
tutto ad un tratto per la prima volta
mai vediamo una richiesta per questo passivo
resettato venendo dalla città di spaceballs a destra
non è mai successo prima ma
è successo proprio ora e non è come è
un tentativo di accesso che sarebbe
interessante o solo un semplice tentativo di
accedi al nostro sito web è questo particolare
ho passato la richiesta di reset
richiesta di modifica proveniente da a
qualcosa di gip precedentemente sconosciuto
è sbagliato qui, questa è quell’anomalia
cosa questa è la cosa del comportamento
c’è qualcosa di sbagliato, invece di inviare
il reset fai domande e questo è
dove controlli di sicurezza e usabilità
in realtà inizia a sfocare la linea a destra
perché puoi cambiare l’esperienza
ora invece di inviare l’ultimo set 30
chiede forse devono rispondere ad alcuni
domande prima di lasciarli resettare
la loro password dice normalmente
password che richiedono di colpire il collegamento
si modifica la password di andare su quel
l’esperienza è divertente per tutti coloro che
sembra un normale utente quando lo sono
non cambi i controlli, lo componi
su di te rendi più difficile o forse non lo fai
mandalo a tutti, forse dici per favore
contatta il servizio clienti e hai a
script che esegui con loro
e avete alcune domande non c’è
un sacco di modi per avvicinarsi a questo, ma il
il punto è che ti fermi e alla fine
risultato è spera di proteggere che
utente da cattive azioni dall’avere
tutto il resto è compromesso e tu devi
ai tuoi clienti farlo correttamente se
se hai in mano la loro carta di credito e
caricandolo si ha la responsabilità di
loro per proteggere quei beni
perché nei loro contatti di Gmail
e qualcuno compra cose sul tuo sito web
sono i loro account a indovinare chi può indovinare
chi ha colpa non è gmail, è il tuo
sicurezza schifosa che ha reso questo accada
le persone giuste reagiscono a questo non lo è
razionali non si rendono conto di loro
sono stati hackerati e hanno ottenuto il cappello e
hanno effettuato l’accesso al tuo account e loro
ha hackerato il tuo account e ottenuto la password
e o meno la password ma il credito
carta e addebitato qualcosa proprio il
il problema è che il tuo sito fa pagare loro dei soldi
cosa non dovrebbe avere quindi è tuo
colpa e questo è potente qualcosa tu
devi ricordare perché hai un
responsabilità quindi voglio dire che c’è anche
quel tipo di grande grande pennello grande tipo
di approccio dove potresti dire bene io
fare affari solo in questi tre
paesi così qualsiasi altra richiesta molti
altri paesi semplicemente li spengono
non mi importa di loro proprio così
in realtà è un’intera classe di problemi
scompare ora crea un come il
problema classico se qualcuno sta viaggiando
per ottenere uno di quegli altri paesi allora
Non posso usare il tuo sito così tu vuoi essere
attento a questo ma forse c’è un
Paese particolare dove non hai mai
fare affari in questo è sempre fastidioso
si si può solo un po ‘come girare
fuori se nascosti dentro di te
vai via giusto e sicuro che possono
provengono da un IP diverso da a
posto diverso c’è il tour c’è
molte cose ma l’ottanta per cento
soluzione funziona davvero bene la maggior parte del
tempo aiuta sicuramente e così tu
solo una specie di spegnere il volume per
alcuni paesi e così ora il nostro modello
sembra diverso, l’abbiamo cambiato
ancora una volta ma siamo ancora nel web
spazio del server la roba gip è moduli
ovunque ogni web server principale ha un
museruola per geoip ci sono cose che puoi
fare anche nel codice ma è più lento il
il database è in realtà lo stesso per tutti
li spingono fino al server web
il livello è in realtà bello perché ora lo è
nelle intestazioni la richiesta è fatta
davvero veloce davvero fatto in C o
qualcosa di veloce e arrivano le intestazioni
in basso puoi semplicemente accedervi e usarli
loro è quello che cerchi in
il primo posto così così altre anomalie che
esisto non voglio andare troppo
dettaglio ma tutti noi non avremo
il tempo di richiesta abbastanza è davvero
semplice quanto velocemente stanno facendo richieste
un utente normale fa richieste a chi lo sa
un utente umano, io sono ogni 30 secondi
un minuto o un minuto qualcosa del genere
giusto a volte hai meccanica
interfacce che sono diverse ma è
importante per tipo di capire cosa
questo è davvero molto interessante è un
cosa chiamata ordine di testa giusto come cosa
sono l’ordine il
inviato il tuo server e non guardi mai
a quel punto sono solo dati, è un rumore giusto
potresti guardare le intestazioni stesse
ma ti dicono qualcosa ogni
il browser ha un ordine di testa unico è a
Impronta digitale di quel browser se qualcuno
dice che sono ms ie6 su Mt 51 service pack 1
c’è ordine in anticipo e si può guardare
quello e poi puoi decidere che il
le intestazioni entrano nello stesso ordine o no
perchè se no non sono msi 6 XP service
pack 1 qualcosa non va qui è a
cosa davvero facile da seguire, ma è così
anche un indizio è forse questo non è chi il
San Diego forse c’è un impostore
qui e se qualcuno sta impersonando
loro stessi o essere un impostore
probabilmente non hanno buone intenzioni ora
forse stanno facendo una cosa del genere
solo facendo qualcosa del genere a te
sai forse sono davvero coscienti
sulla privacy che stanno cercando di fare
qualcosa di diverso non so bene
ma quello che dice è che c’è un’anomalia
qui qualcosa non va, qualcosa non lo è
quello che dice è il fingerprinting TCP
fingerprinting TCP passivo quando loro
passato i tuoi pacchetti a volte no
con un altissimo grado di precisione ma
in molti casi rileva il sistema operativo
quello sta arrivando in te abbinare così
i programmi utente e se mentono ma ora
hai un altro punto di dati così
potrebbe dire l’intestazione o è spento tcp
le impronte digitali che si trovano è come se fosse
è fondamentale costruire un caso che sei
costruire una storia sul fatto o meno
voler agire su qualcuno se avete
utenti se c’è un volume elevato di
attività dell’account che crea la cancellazione
iscrivendosi all’abbonamento dal singolo
l’attore qualcosa potrebbe essere sbagliato, forse
c’è un sacco di utenti a cui si accede
da un singolo indirizzo IP di qualcosa
c’è qualcosa di strano qui c’è qualcosa che non va
la tua attività è davvero unica
fiocco di neve tutto può succedere che tu abbia
per costruire il caso attorno a come il tuo
funzioni aziendali e decidere cosa è
bene e ciò che è male questo è un fine aperto
di storia ma c’è un posto comune qui
o tema comune dovrei dire e questo è
posso fare il comportamento in equazione
in realtà lo dico più grande di questo
brutto qualcosa lungo quelle linee che puoi
fondamentalmente guarda dati applicare una formula
e ottenere una risposta che è il primo passo
il tuo rilevamento è super semplice, se è così
Nel caso in cui esempi di questo sono cose
come è lì
tasso qwest maggiore della soglia
l’ impronta digitale del PCC non corrisponde al
l’ordine principale di user-agent include lo stesso
cosa ma tutta quella storia
la deviazione dei verbi HTTP è in realtà a
Potrei dire che è un po ‘più complicato
deviato ma ciò non significa che sia
ha cattive intenzioni, ad esempio Googlebot
amiamo Googlebot che rende le marche
noi popolari nei motori di ricerca o nell’essere
yahoo qualsiasi titolo che vogliamo che a
riuscire non vogliamo bloccarlo ma
è diverso il suo comportamento non è il
come tutti gli altri è fondamentalmente
un sacco di richieste, ma puoi guardare
presso l’agente utente che dice Googlebot voi
guarda l’ordine di intestazione del
Googlebot che è molto importante e
assicurarsi che corrisponda a questo tipo di
le cose sono importanti nella richiesta come
bene, ma tu vuoi essere sicuro
non stai bloccando le cose che sono
in realtà ci deviato ma per un bene
la ragione proprio lì ci sono solo
hanno fatto anomalie con buone intenzioni
100% richieste post di solito non è come un
segno di cattivo comportamento ma come non lo è
sempre così semplice, ecco questo
grandi aree in cui giudicherai bene
o cattivo o intento in generale, subito dopo
lo scenario giusto hai un equate più alto
chiedi alla pioggia di iscriversi alla tua persona
il servizio è tutto proveniente da un singolo IP
l’indirizzo è buono o cattivo sì, quindi ora
devi decidere se è un aggiunto
IP o se è una frode o meno
è spam qualunque sia comprato di qualche tipo
potrebbe essere che tu abbia appena contratto un affare
e tutti sono venuti in ufficio e
c’è un’ovvia email inviata a tutti
dicendo hey questa società sta svendendo
qualcosa per metà andare iscriversi e
compralo subito e tutti
l’ufficio subito va a iscriversi e
compra qualcosa che ti fa davvero bene
vuoi quel traffico che non vuoi attraccare
non vuoi caricarlo o negarlo
dall’altra parte questo diventa più difficile così là
sono cose che puoi fare per determinare
se c’è o meno possibile frode o
possibile attività acquistata o fondamentalmente
attività meccanica ovviamente
richiesta tasso tutto ciò che io
parlato di c’è ma c’è altro
formule quanti di voi hanno familiarità
la funzione di distanza levenshtein cosa c’è
è davvero molto bravo
se gli dai un indirizzo email o mastichi
gli indirizzi ti diranno come
Diverse sono modo che l’utente sta per
iscrivimi con un indirizzo email
supponendo che la tua parte abbia utenti così se lo fa
ciò non vale in questo caso
ma altri modi, naturalmente, ma questo
lo scenario è che hai degli utenti che hai appena
email se questa è un’attività legittima
vedrai le email essere molto
diritto diverso potrebbero essere tutti voi
conosci il dominio aziendale com e va bene
ma quella prima parte è giusta se
sai che John Smith è calmo
e Irene Sanders alla società calma e
conosci più nomi diversi
funzione a distanza il punteggio su quello
la funzione sarà alta questi questi
email non sono loro non c’è niente
in comune con loro giusto ma ora il
altro scenario è che abbiamo Joe Smith +1
su Gmail Joe Smith più 2 su Gmail
com Joe Smith più 3 a gmail com il
funzione distanza il punteggio su quello è
molto basso e così ora hai questo altro
metrica che puoi usare per tipo di punteggio
attività e decidere se è o non è
una natura meccanica sono super semplice
il trucco funziona davvero molto bene anche se
vengono dalla com di hotmail che hai appena fatto
Sono perché sono probabilmente uno scherzo fraudolento
tutti gli hotmail sono cattivi, ma la maggioranza è così
Vedo che un account spam ha creato un link
torna agli account di hotmail ma è così
di solito qualche grossa e lunga sciocchezza senza senso
a hotmail com conosci indecidibile
generato quasi come un uuido ma io
effettivamente faccio quando vedo email da
hotmail in realtà sono contrassegnati
automaticamente non quello che sono
automaticamente male perchè io non voglio i
non voglio suggerire che sia così
tendono ad avere un rischio più elevato
associati a loro perché di più
fraudolento 70 associato a hotmail così
che è qualcosa da considerare giusto
dati e questo è tutto sui dati questo
è davvero e ci arriveremo in un
minuto giusto abbiamo questi modelli e
abbiamo questi dati e abbiamo ma
non possiamo adattarlo a un’equazione, quindi cosa?
il prossimo passo qui abbiamo una formula noi
non siamo ancora pronti, non possiamo
non possiamo non applicare alcun significato
cosa cosa facciamo con ciò che è
qual è il nostro prossimo passo logico
quindi è il momento per l’analisi quantitativa
giusto abbiamo dati abbiamo uno schema uno
delle cose qui sei tu che potresti usare
questo per provare a usare le statistiche per provare a
Adatta un modello ma non posso davvero chiamarlo
analisi quantitativa perché è così
tempo di prendermi 100 milioni di dollari in DC
quindi lo chiamerò sicurezza come a
problema di scienza dei dati cosa sia veramente
è che ho intenzione di girarmi e
applica alcune tecniche di apprendimento automatico e di base
prova a classificare i dati che sto iniziando
sviluppare tutte queste routine per
raccogliere punti di interesse o
informazioni se non riesco a decidere se
questo è positivo o negativo semplicemente guardandolo
che è difficile perché molto traffico
forse posso trovare un modo per classificarlo
e taggalo, il punteggio è buono
l’inferno è come se io forse volessi costare
dal traffico proprio davanti sto usando
alcuni meccanismi diversi questo è
interessante e ne parliamo di più
questo più in un po ‘ma voglio
aggiornare di nuovo un modello ora che siamo noi
sappiamo che siamo interessanti
cambiando alcune cose giusto quindi c’è un
problema che esiste immediatamente quando noi
aggiungere un meccanismo di classificazione e
questo è basso alcuni di loro lo sono
veloce, ma in generale ho cose andando a
corri sono lenti e tutto ciò che ho parlato
circa finora è stato in linea nel
richiesta nel server web non riesco a inserire la mia
classificatore qui e aspettati che non lo faccia
impatto sulle prestazioni è significativo
il modo in cui dovrà andare al
lato non sono sicuro di dove ancora ma Snuffy
legge dal lato quindi solo una nota a margine
che abbiamo preso una deviazione per il lancio
tutto un server web e farlo
lavoro ma voglio dirti che a
molto valore da questo, quindi stiamo andando a
getti quel problema sul lato per a
minuto e tornare ad esso perché noi
può combinare la rilevazione della firma che
abbiamo fatto prima e alcuni dei punti di
dati e quindi iniziare a tipo di veramente
accenderlo e capire se o non
le cose vanno bene o male e su molti web
server perché la maggior parte di noi ha di più
di un server web che vogliamo avere
raccogliere qualche stato e magari vedere tutto il
richiede che un singolo attore abbia fatto il crossover
tutto il nostro ambiente e forse lo facciamo
alcune scelte, giusto, riguarda noi
tenere traccia di tutto ciò che è
come gestiamo questo attraverso gli ambienti
ed è qui che la reputazione dell’idea
arriva nella sua intelligenza che noi
fornire in base a come qualcuno ha agito
il nostro sito
e attraverso tutto il nostro ambiente noi
potrebbe avere più di un’app semplicemente
avere probabilmente più di un server web
più di una domanda pure noi
leggere questo su tutto e metterlo
torna a uno stato memorizzato centralmente
e quindi è così che ci dividiamo
la sua reputazione e davvero è come
chi è cattivo e chi è veramente cattivo lo siamo
cercando di capire la nostra lista cattiva
è di questo che si trova la lista
persone che sono attualmente solo
comportamento anomalo ed è costruito dal
strumenti e tecniche e modelli che ho
state parlando di tutto questo, ma è così
fornisce una soluzione è un locale
reputazione giusta è solo reputazione
in base a come hanno agito contro di te
ma questa non è una nuova idea questo ha
in realtà è stato intorno per un bel po ‘
ci sono aziende che hanno vasi per il miele
su internet e loro in realtà
vendere mangimi in modo da aver effettivamente acquistato
questi feed di rotazione esterna e tu
possiamo unirle insieme quindi diciamo te
segnala qualcuno e poi file anche tu
trovarli in quella lista di feed esterni è
essere dannoso, quindi è davvero facile
dì oh sì, sono decisamente cattivi, giusto
corrispondono a quello che hanno colpito qui ne ho avuto un po ‘
sospetti che corrispondano a questa lista per
blocchiamoli, quindi questo è
importante e in realtà sono carini
a buon mercato alcuni dei nostri liberi penso che il
compagnia alienvault ha uno libero loro
pubblicare e ti dà davvero un buon
idea di una specie di ciò che sta accadendo nel
resto del mondo è una specie di a
temperatura e questa tazza questo
combinazione ti dà questo davvero solido
consapevolezza del tipo di chi sta facendo
cosa su chi tenere d’occhio e ma noi abbiamo
in realtà lo chiama un problema più grande quindi
ora abbiamo tutta questa idea di
intelligenza rotazionale o del nostro stato
abbiamo anche questi feed esterni e
stiamo iniziando a costruire questa cosa
sono tutti distaccati dal nostro server web quindi
ora ci stiamo costruendo in questo
tipo di strano angolo in cui le cose
non del tutto abbinati, non sappiamo cosa fare
ma non voglio risolvere questo problema
abbastanza ancora perché voglio presentare
un altro problema prima di risolverlo e
è così che agiamo quando decidiamo
qualcuno è cattivo, vogliamo sapere cosa
fare con loro ci sono un sacco di cose
possiamo fare abbiamo quasi nuove informazioni
in realtà non è affatto affatto noi in realtà
ha avuto tutto ciò che non ha mai guardato
è nuovo per noi che stiamo guardando
ora stiamo cercando di capire cosa
per fare ora voglio sapere cosa fare con
le informazioni una volta che ce l’abbiamo una volta
ha deciso sì, questa persona è cattiva che voglio
agisci su di loro ci sono molte cose tu
può fare
non è sempre ovvio quale sia
ecco qui alcuni esempi che possiamo
bloccare il traffico che è ovvio
noi possiamo miele pentola del traffico questo è
interessante e parlerò in a
minuto possiamo modificare la nostra risposta
a loro forse cambiamo i nostri controlli
quando cambiamo ciò a cui rispondiamo
loro perché non siamo sicuri se
sono buoni o cattivi, ma stiamo cercando di
capisci forse tu mi rispondi
Non parlerò di quello che c’è
qualche area grigia lì e se è davvero
brutto forse basta contattare il
le autorità forse hai bisogno di effettivamente
come chiamare qualcuno per aiutarti
e forse è davvero brutto che stia influenzando
il tuo business è un grosso problema fai attenzione
di quello che in realtà ha molto
delle implicazioni si rendono conto quando si fa un
schiacciare alle autorità stanno andando
per farti molte domande indietro e
preparato a trascorrere molto tempo
rispondere alle domande e non sempre in
domande che speri possano chiedere
quindi è molto apertura del kimono
loro daranno molto
le informazioni saranno molto onerose
prenota quell’ultimo per quando tu
in realtà ne ha bisogno a volte è così
necessario ma essere preparati per cosa
succede quando arriva il momento in cui si blocca
il traffico è semplicissimo
la maggior parte dei casi quando parli di
server web che stai restituendo una quarta
risposta stai dicendo no, mi dispiace
la richiesta è vietata non puoi averla
l’altra cosa ovvia sta andando
questo è il blocco nel livello del firewall
più difficile perché alcuni di voi hanno
fornitori upstream quanti di voi hanno
come un Akha meijer Prolexic o
cloudflare una sorta di opzione fornita
è una terminazione CDN e uno ssl ecc
che stanno facendo questo dopo l’invio di
giù non la richiesta effettiva andando
Termina la richiesta e creane una nuova
richiesta di ritorno in base alle informazioni
quello è stato dato loro ora quella richiesta
proviene da un IP di upstream
fornitore non dell’altro allora tu
ottenere questa cosa chiamata x-forwarded-for
le intestazioni entrano e tu e
devi determinare ora il tuo
il fuoco dovrà fare è un pacchetto extra
ispezione e tirando fuori quella intestazione
e bloccando il traffico e ottiene
tipo di strano quindi c’è vantaggio e
svantaggi per entrambi hanno ragione
stare attento a come lavori ed è
davvero sulla tua infrastruttura e come
tu gestisci il tuo business che è dove
tu decidi dove bloccare e forse entrambi
ma i vasi per il miele sono in realtà molto di più
interessante di questo c’è davvero
bella storia qui puoi stare attento
ambienti e lo modifichi così dentro
questo caso abbiamo impostato le immagini del motore delle scatole
questo è tutto
cosa ti ho appena parlato di questo
tutta la reputazione è un modello d’azione
siederà di fronte al tuo tipo di
frontline load balancer e sta andando
decidere se i traversisti sono buoni o cattivi
e se va bene te ne vai in giro
il posto normale ha proprio il tuo standard
sito che interagiscono se è male ottengono
instradato ai siti falsi quali sono i falsi
questa è solo un’altra istanza del tuo
sito con tutta la produzione quindi
replicato sopra ma il back-end lo è
collegato senza addebito di denaro senza spese di spedizione
beni non azione reale ma quello che sei
fare è permettere loro di continuare a farlo
facendo quello che stanno facendo ora puoi
studiarli proprio quando sei tesoro e
l’attaccante l’obiettivo è che non lo sanno
sono stati catturati, quindi sono solo
continuerò a fare quello che stanno facendo e
esibiscono tutto il loro comportamento
li avrebbero avuti con successo
ha attaccato il tuo sito o se lo erano
cercando di attaccare quello che avrebbero
fatto per attaccare e quello che fa è
ti ho permesso di studiarne il comportamento
ti permette di capire cosa sono
cercando di fare e quando lo vedi allora
forse inizi ad aggiornare il tuo approccio
giusto forse entrano effettivamente ma
è un sito falso e tu stai bene
aggiorni il tuo approccio e come tu
prevenire gli attacchi o forse sei giusto
la tua comprensione di ciò che le persone sono
davvero dopo perché puoi farlo
ti aiuto perché vedi i segnali oyes
il livello è super-fantastico che ci ha messo dentro
caso come si vede tutto il segnale perché
è un attacco grezzo ma poi il giorno noi
non posso allontanarmi da tutto questo
gestione dello stato fuori banda strana
il piccolo problema in cui siamo entrati è
abbiamo questa bella piccola soluzione in
ambiente web e poi si stacca e
ora tutto è davvero strano, giusto
lì per capire dove abbiamo fatto il
agendo a dove manteniamo lo stato se
facciamo noi se aspettiamo l’applicazione
ambiente prima di agire che abbiamo
abbiamo aspettato troppo a lungo c’è un sacco di
domande per rispondere qui e questo è
tipo di dove stavo bene ho iniziato noi
tutti questi problemi ho visto questo modello
questo modello continuava a salire e
di nuovo su come facciamo quest’altra
roba strana fuori dalla band e questo è quello
mi porta a vedere questo è il motivo per cui ho fatto
ed è essenzialmente la reputazione
motore che è tutto qui cambia la
modella un po ‘quello che succede è
un modulo per il web server è anche un
di nuovo in ambienti e un utente Edison
denaro femorale fondamentalmente non importa
di archiviazione ciò che fa sono alcune cose
è giusto che legge e scrive da
Redis ma che cosa
registrare l’attività ogni volta che vengono richieste
in e registrare alcuni pezzi su questo
metodo di attività utente timestamp metodo voi
stringa di query roba semplice che cosa anche
è gestito quello stato per te e
quello stato può essere disponibile per tutti i tuoi
server web in modo da sapere come funziona
questo bel stato globalmente gestito che
tutti i tuoi server web possono anche accedervi
avere qualcosa che possa agire quale rap
il foglio è davvero al centro
la funzionalità primale di base è
guarda su Redis per scoprire se
o non si contrassegna qualcuno e se lo fa
lo bloccherà o lo notificherà
un modello davvero semplice e finalmente tu
avere quel libro fuori dall’elaborazione della band
è quel back-end che si metterà a correre
i modelli e aggiornerà Redis e
quando capisce che qualcuno è stato
cattivo quindi è fuori aggiornamento di fascia ricercato
per vedere i dati aggregati a
tutto e integrerà anche il
feed esterni quindi l’altro pezzo qui
la visualizzazione è davvero ciò che ho costruito
questo era per capire cosa fosse
andando avanti voglio sapere cosa sta succedendo
Ho costruito una visualizzazione molto piccola
strumento ti succhio, quindi è solo un
piccola cosa di bootstrap su Twitter ma è così
super utile mi fa sapere cosa è stato
lista nera e le prime 10 trasgressori tutti
giusto le persone che sono attualmente
sospetti che non hanno ancora inserito nella lista nera
automaticamente o manualmente a destra vedi
i pulsanti che ti lasciano automaticamente
fai quello che vedi è un mucchio di
informazioni potrebbero essere difficili da trovare
questo schermo ma tutti questi qui in questo
caso le nostre regole di sicurezza mod che quello
la persona ha innescato che hanno scattato tutto
di quelle regole di modsecurity e loro hanno
fatto una ventina di 3567 volte Stanno
probabilmente non va bene, questo è un
caso davvero ovvio di un trasgressore
qualcuno in questo caso era vero
basta eseguire uno scanner contro il nostro sito
retrocedere e questo è il punto di riferimento intendo no
uno di quei strumenti gratuiti e strumenti
basta scansionare i siti l’altra cosa è
gli umani sono veramente bravi nei modelli e
riconoscendo i modelli così ho aggiunto a
visualizzazione del mondo e spille su a
mappa diciamo ecco dove sono le tue minacce
stanno arrivando dalla parte interessante è
questo era 20 questo è 24 ore in media 24
ore di braintree ci sono molti spilli
siamo un grande obiettivo che ti trasferiamo denaro
sappiamo che i nostri ultimi numeri sono circa 12
miliardi di dollari in transazioni all’anno
è un sacco di soldi che scorre attraverso di noi
vuoi rubarlo vedendo questo
interessante vedere tutto questo rumore
non lo fa
quanto sai che migliora come
il tempo passa e tu inizi a identificarti
e bloccare il traffico legittimo, ma ha
ha aiutato a individuare le botnet nel processo decisionale
visto di quel pop-up in Francia che
iniziato con piccoli e diventati più grandi e
più grande è stato isolato in Francia però
abbiamo cercato sempre di più ogni giorno
crescere e crescere, crescere e crescere e noi
visto che ha colpito la massa critica e poi ma noi
ho visto i dettagli per tutto il tempo che sapevamo
quello che era lo user agent era un molto
botnet semplice ma che cosa in realtà
acceso il tubo antincendio che sapevamo era un
affare è stato davvero semplice noi solo noi
chiamare il nostro Vidant a monte ha detto hey
questo user agent lo ha semplicemente bloccato
tra cinque minuti, quindi cosa sarebbe successo
è stata una negazione piuttosto catastrofica
attacco di servizio che avrebbe probabilmente
colpiscili, non l’ho fatto loro
ho provato a battere circa 10 concerti che non lo sono
enorme ma ancora piuttosto significativo
quantità di dati sarebbe stata
il disruptive avrebbe richiesto un po ‘di tempo
capirlo, sapevamo già che stava arrivando
avevamo già gli avvisi su così una volta
è successo come se fosse un cinque
affare minuto era finita quindi ha aiutato
questi modelli sono davvero molto utili
quindi quello che fa veramente il foglio di gomma
tutto insieme sai come ho detto
il modello del server Web registra l’attività
e cerca combattenti nella cache
il sovraccarico di questo è ovunque
5 e 10 millisecondi o meno in base
su come la reticenza locale sia davvero quella
chiave in modo che non abbia un impatto reale
performance a tempo di bulbo oculare a destra 10
millisecondi è ancora molto tempo ma per
http che è lento in generale e negli umani
che percepiscono che i dati sono suoi
nominale ascolta il diritto di sicurezza mod
quindi quello che fa è ascoltare il
informazioni di sicurezza autistico invio
giù nelle intestazioni e lo raccoglie e
lo registra quindi se qualcuno che viaggi
dirai che odi la modsecurity i
Ho capito che ho scoperto che mi hai avvertito
qui le regole che ho attivato lo manterranno
conta e poi fornisce quell’idea
dove potrai bloccare una notifica così
ti aiuterà a costruire quel caso
in questo particolare esempio di blocco
succede a livello di web server giusto
il modulo di foglio di riferimento bloccherà dentro
il web server e questo è il 403
invece del vero firewall ma da allora
questo database è aperto, in realtà
stato un piccolo script ci sono un sacco di
strumenti come IP set che ti aiutano ad aggiornare
Tabelle IP al volo puoi leggere a
piccolo script che appare in Redis in
le persone che hai inserito e incollato nella lista nera
il tuo firewall per bloccarli davvero facile
lo script della coppia fa la differenza
notifica contro il blocco così
la notifica invia le intestazioni
a valle aggiunge effettivamente
intestazione X foglio rap e dice questa persona
è sul foglio di riferimento quindi l’applicazione
quello che è a valle può dire che lo farò
cambia il mio comportamento sono stato
segnalato male, agirò diversamente
che ti dà il potere di scegliere come
tu risponderai per esempio
mostra CAPTCHA giusto questo è semplice ma
I CAPTCHA fanno schifo che tutti noi li odiamo
terribile e quando sei un legittimo
l’utente è doloroso questa è tutta la croce
sezione di usabilità e sicurezza giusta
quindi dico di spegnerlo finché non lo sai
si comportano male poi riaccenderlo
ancora una volta rendilo migliore, rendi migliore
esperienza di persone che legittimo e
accenderlo per le persone che sono cattive
la parte posteriore e ha guardato i dati registrati
per cattivo comportamento e questo è solo per fare
un caso e quando capisce qualcosa
legittimo aggiorna il denaro e quindi
ne trarrai vantaggio, la buona parte
questo è un modello di gioco plug-in è a
ordinando un cappello senza cervello, lo dai
il cervello si prende lo schiaffo
logstash e altre cose e prodotti
quel dato è un progetto con un mucchio di
repository il visualizzatore del modulo
tutto è come se fosse un acquisto
posto per ragioni logiche github.com /
foglio rap è l’organizzazione in modo sintesi
è semplice ci sono molti indicatori
di attacco sono ovunque e il
i dati non sono che devi fabbricare
è in ogni richiesta è meglio come
lo guardi che vuoi costruire a
sistema in grado di acquisire i dati e
ordina il bene dalla cattiva comprensione
quello che sta succedendo è critico
importanza per essere in grado di proteggere
te stesso da attacchi gli strumenti noi
coperto la nostra modsecurity gip genericamente
le regole personalizzate sono come la tua attività
funziona la classificazione del comportamento e trova
il foglio rap è l’unica cosa da ricordare
anche se le linee di basso sono importanti
e vengono attaccati ogni giorno
in alcuni punti il tuo bar e l’altro
il bar sarà onesto con ciascuno
altro se la tua barra è troppo bassa
script sei tu che otterranno
così questo è un passo in due
tutte le cose che sentirai
nel prossimo talk guardate le ls
i primi 10 difendono il tuo codice assicurati che sia così
solido assicurati della tua difesa nel tuo
codici altrettanto validi della tua difesa
il perimetro
e penso di essere appena fuori dal tempo
quindi farò domande che dovremo fare
stai bene una domanda così veloce
domanda interessante qui è perché mentire
su quale browser viene utilizzato questo
è interessante e ce ne sono stati molti
molte ragioni che vengono fuori
intorno a questo, ad esempio, ce n’erano alcuni
viaggiasse c’era un sito di viaggi a uno
Indica chi se tu venissi da un Macintosh
computer i tassi che hai ottenuto erano più alti
rispetto alle tariffe o un computer Windows
Non so perché ma era era era
categoria sicura che potresti cambiare utente
agente e hai avuto prezzi più bassi, quindi è così
una ragione per mentire, alcuni siti dicono
bene, io solo lavoro con questi
i browser vanno così bene io sono questo
il browser smette di bloccarmi lasciami andare
attraverso a destra un’altra ragione proprio così
in realtà i motivi legittimi per cui
cambieresti maggiormente il tuo user-agent
il momento in cui l’ID utente sta mentendo
male, ma ricorda che non è sempre
brutto quindi c’è una specie di area grigia
c’è tempo per un altro cosa è il
ponte tra modsecurity e rap sheet
il ponte è modsecurity molto semplice
ha un’opzione per le intestazioni di abilitazione così
cosa fa quando vede venire l’attacco
attraverso è aggiunge intestazioni al
richiesta che dice qui sono le cose che io
trovato qui le regole che innescano tutto
rappresentante lei guarda quelle intestazioni
perché sono nell’ambiente in
Apache o nel modulo del server Web e
li tira fuori davvero loro
rapidamente e poi mettine un po ‘dentro
l’applicazione quindi se hai un centro commerciale
sicurezza attivata su beneficio foglio rap
da quello semplicemente analizzando i dati da
sulla sicurezza nelle intestazioni che è tutto quello che
è molto semplice altrimenti ho avuto un
domanda siamo fuori tempo grazie
molto
tu
Please follow and like us: