30 января 2014
Безопасность и предстоящее изменение алгоритмов «Яндекса»
Часть 2
Методы противодействия
Универсального рецепта или «серебряной» пули нет. Приемы, которыми пользуются злоумышленники, разнообразны: от социальной инженерии, применяемой к владельцам и администраторам сайтов, и спам-рассылок до создания подставных агентств, предоставляющих услуги SEO, и прямого взлома. Сгруппируем методики, для удобства изложения, по субъекту, который может их применять.
Поисковые системы
Поисковые системы обладают значительными ресурсами и штатом специалистов, что позволяет им качественно и оперативно реагировать на выявленные инциденты, масштабировать удачные решения.
Крупные поисковые системы имеют специальные инструменты для проверки сайтов на наличие вредоносного кода и уведомления владельцев сайтов о выявленных угрозах [6,7,8]. Применяемые методики выявления вредоносного кода полностью не раскрываются, в том числе, чтобы не упрощать задачу злоумышленникам. Очевидно, что антивирусные решения от разных производителей применяются, но обработка всего трафика, из-за его большого объема и ресурсоёмкости антивирусов, маловероятна.
Эвристические методы, позволяющие добиться высокой эффективности проверок при сохранении приемлемых затрат вычислительных ресурсов, являются «ноу-хау» компаний, конкурентным преимуществом и, соответственно, не афишируются.
Логично предположить, что для поисковых систем применяется модифицированное антивирусное ядро, которое, в ущерб универсальности проверяемых объектов, упрощено по типам и количеству поддерживаемых сигнатур.
Можно рекомендовать добавить к существующим эвристическим алгоритмам возможность выявления для наиболее распространенных CMS [9] нетипичных скриптов и параметров. Структура каталогов CMS, распространенные модули и надстройки, формат адресов и переходов известны, поэтому возможно создать шаблоны, нарушение которых должно привлекать дополнительные внимание. Информация о появлении аномальных URL-адресов для сайтов, созданных с использованием известных CMS, может использоваться для машинного обучения с целью автоматизации проверки, учитывающей выход новых версий, обновлений компонентов, описания известных уязвимостей и атак.
Компании, предоставляющие услуги хостинга
Компании, предоставляющие услуги хостинга, очень неоднородны: присутствуют как крупные, со своими центрами обработки данных, средние, так и совсем небольшие, арендующие оборудование и обслуживающие несколько десятков клиентов. Соответственно, различаются подходы к обеспечению безопасности и непрерывности функционирования сервисов.
Рынок услуг хостинга достаточно высококонкурентный, компании применяют различные методики уменьшения издержек. Часто, к сожалению, экономят на антивирусной защите: серверы или совсем незащищены или проверяются только свободным ClamAV [10,11]. Эффективность отдельных антивирусов не очень высока, как было показано ранее, но применение нескольких антивирусных решений может эффективность повысить.
У вредоносного программного обеспечения несколько последних лет отчетливо прослеживается тренд на использование модульной структуры, когда заражение проводится с помощью небольших, часто изменяемых универсальных программ, которые, в соответствии с командами злоумышленника, загружают дополнительные функциональные модули.
Для затруднения реализации описанной схемы развития атак можно рекомендовать внедрение функции ограничения исходящих соединений для сайтов. Оптимальной является реализация «белых списков», когда исходящие соединения разрешены на определенный администратором сайта список серверов, по умолчанию список пуст. Исходящие соединения необходимы, в частности, для обновления установленных скриптов и приложений, для актуализации информационных баз, синхронизации данных. «Белые списки» дополнительно могут проверяться администраторами компании (с помощью скриптов или вручную) на предмет наличия подозрительных или известных серверов с плохой репутацией.
В настоящее время лишь у отдельных компаний, представленных на рынке, есть услуга блокировки исходящих соединений, но реализована только возможность полной блокировки, что не всегда удобно.
Важным аспектом повышения уровня безопасности силами компании – информирование клиентов о существующих угрозах, признаках заражения, что делать и куда обращаться.
В случае выявления вредоносного кода на сайте одного из клиентов, можно настоятельно рекомендовать, при наличии технической возможности, провести поиск аналогичного вредоносного кода на сайтах всех клиентов.
Дополнительно можно предложить организовать обмен между хостинговыми компаниями информацией о вредоносных или подозрительных файлах. Чтобы однозначно не раскрывать информацию о клиентах и полностью исключить существующий риск передачи посторонним организациям исходных текстов скриптов или программ защищенных авторским или иным правом, обмен осуществлять только контрольными суммами. Аналогично тому, как информацию о проверенных файлах предоставляет сервис virustotal.com.
Владельцы и администраторы сайтов
Состав владельцев и администраторов сайтов ещё более неоднородный, чем состав компаний, предоставляющих услуги хостинга.
Наиболее актуальные рекомендации для большинства администраторов сайтов сейчас публикуются поисковыми системами [12], которые по-своему заинтересованы в повышении качества сайтов.
Стандартные действия, которые необходимо выполнять всегда:
- установка всех обновлений безопасности для модулей, библиотек, скриптов;
- использование сложных паролей, периодическая смена всех паролей, желательно не реже двух раз в год;
- регулярное резервное копирование файлов и баз данных.
Также можно рекомендовать мероприятия, требующие минимальных навыков от администратора или владельца сайта. Сохранить все файлы сайта на локальный компьютер администратора (сделать это можно самостоятельно или с помощью службы поддержки хостинговой компании) и:
- проверить несколькими доступными антивирусами;
- выполнить локальную «чистую» установку сайта (резервная копия не подходит, так как в ней уже могут содержаться файлы с вредоносным кодом) и выполнить сравнение перечней файлов в «чистой» установке и сохраненной с сервера;
- если в процессе проверок будут выявлены подозрительные файлы — необходимо немедленно обратиться к специалистам или в службу поддержки хостинговой компании.
Заключение
Выявлены и обоснованы предпосылки возможного всплеска угроз для пользователей сети Интернет, связанные с изменением алгоритмов работы поисковой системы компании Яндекс. Аналогичные всплески могут наблюдаться при изменении поисковых алгоритмов других крупных игроков, таких как Google, Bing, Baidu.
В статье предложены комплексы мер для повышения качества выявления и снижения распространения вредоносного кода, которые могут быть реализованы на уровне владельцев отдельных сайтов, хостинговых компаний, поисковых сервисов.
Список информационных ссылок
- Александр Садовский, Руководитель поисковых сервисов, Яндекс // http://sadovsky.moikrug.ru/
- Александр Садовский , IBC Russia 2013, Яндекс // http://www.youtube.com/watch?v=bUIaTMSx6ww
- «Яндекс» поставил на уши весь поисковый бизнес // http://www.cnews.ru/top/2013/12/05/yandeks_postavil_na_ushi_ves_poiskovyy_biznes_552464
- Поисковая оптимизация // http://ru.wikipedia.org/wiki/поисковая_оптимизация
- Чёрная оптимизация // http://ru.wikipedia.org/wiki/чёрная_оптимизация
- Информация о заражении в Яндекс.Вебмастере // http://help.yandex.ru/webmaster/security/infection-info.xml
- О вредоносном ПО и взломе сайтов - Cправка - Инструменты для веб-мастеров // https://support.google.com/webmasters/answer/163633?hl=ru&ref_topic=2365140
- Bing - Средства веб-мастера // http://www.bing.com/toolbox/webmaster/
- Система управления содержимым // http://ru.wikipedia.org/wiki/система_управления_содержимым
- Clam Antivirus // http://ru.wikipedia.org/wiki/Clam_Antivirus
- Clam AntiVirus // http://www.clamav.net
- Обнаружение вредоносного кода — Яндекс.Помощь. Вебмастер // http://help.yandex.ru/webmaster/security/detecting-malware.xml
- Bitcoin // http://ru.wikipedia.org/wiki/Bitcoin
- Единый реестр доменных имен, указателей страниц сайтов в сети «Интернет» и сетевых адресов, позволяющих идентифицировать сайты в сети «Интернет», содержащие информацию, распространение которой в Российской Федерации запрещено // http://eais.rkn.gov.ru
