Curso MIT "Seguridad de sistemas informáticos". Lección 22: "MIT de seguridad de la información", parte 1

Instituto de Tecnología de Massachusetts. Conferencia Curso # 6.858. "Seguridad de los sistemas informáticos". Nikolai Zeldovich, James Mickens. Año 2014

Computer Systems Security es un curso sobre el desarrollo e implementación de sistemas informáticos seguros. Las conferencias cubren modelos de amenazas, ataques que comprometen la seguridad y técnicas de seguridad basadas en trabajos científicos recientes. Los temas incluyen seguridad del sistema operativo (SO), características, gestión del flujo de información, seguridad del idioma, protocolos de red, seguridad de hardware y seguridad de aplicaciones web.

Lección 1: "Introducción: modelos de amenaza" Parte 1 / Parte 2 / Parte 3
Lección 2: "Control de ataques de hackers" Parte 1 / Parte 2 / Parte 3
Lección 3: “Desbordamientos del búfer: exploits y protección” Parte 1 / Parte 2 / Parte 3
Lección 4: “Separación de privilegios” Parte 1 / Parte 2 / Parte 3
Lección 5: “¿De dónde vienen los sistemas de seguridad?” Parte 1 / Parte 2
Lección 6: “Oportunidades” Parte 1 / Parte 2 / Parte 3
Lección 7: “Sandbox de cliente nativo” Parte 1 / Parte 2 / Parte 3
Lección 8: "Modelo de seguridad de red" Parte 1 / Parte 2 / Parte 3
Lección 9: "Seguridad de aplicaciones web" Parte 1 / Parte 2 / Parte 3
Lección 10: “Ejecución simbólica” Parte 1 / Parte 2 / Parte 3
Lección 11: "Ur / Lenguaje de programación web" Parte 1 / Parte 2 / Parte 3
Lección 12: Seguridad de red Parte 1 / Parte 2 / Parte 3
Lección 13: "Protocolos de red" Parte 1 / Parte 2 / Parte 3
Lección 14: "SSL y HTTPS" Parte 1 / Parte 2 / Parte 3
Lección 15: "Software médico" Parte 1 / Parte 2 / Parte 3
Lección 16: "Ataques de canal lateral" Parte 1 / Parte 2 / Parte 3
Lección 17: "Autenticación de usuario" Parte 1 / Parte 2 / Parte 3
Lección 18: "Navegación privada en Internet" Parte 1 / Parte 2 / Parte 3
Lección 19: "Redes anónimas" Parte 1 / Parte 2 / Parte 3
Lección 20: "Seguridad del teléfono móvil" Parte 1 / Parte 2 / Parte 3
Lección 21: “Datos de seguimiento” Parte 1 / Parte 2 / Parte 3
Lección 22: "MIT de seguridad de la información" Parte 1 / Parte 2 / Parte 3

Mark Silis: gracias a Nicholas por la invitación, estamos muy contentos de venir hoy para hablar con todos ustedes. Traje a uno de mis gerentes superiores que supervisa la seguridad de Internet y de la red, Dave LaPorta, quien le informará sobre algunos de los detalles técnicos de lo que estamos haciendo. Voy a cubrir temas más generales.

No dude en hacer preguntas en cualquier momento, preguntar sobre todo lo que le interese, no dude en unirse a la batalla. Creo que estaba sentado exactamente donde ustedes estaban sentados hace casi 20 años. ¿De verdad, Nikolay? Nikolai y yo éramos mucho más jóvenes. Y probablemente era mucho más delgada entonces, y tenía un poco más de cabello.

Entonces, observando las áreas de infraestructura y administración de MIT, puede ver todo tipo de cosas interesantes. Algo de lo que vamos a hablar, y mucho de lo que estamos haciendo, se refiere a temas interesantes. Como saben, hay suficientes problemas de este tipo en nuestro instituto.



Creo que es genial que administremos una red abierta, pero hay aspectos buenos y malos en esto. No tenemos un firewall con un grado suficiente de cobertura en el campus, por lo que tenemos casi todo abierto. Si desea ejecutar una computadora en su dormitorio, o aquí mismo en el pasillo, o en otro lugar del campus, entonces tiene acceso casi ilimitado a Internet, que, en comparación con otras universidades, es bastante inusual. . Es cierto que sabe que no puede acceder a Internet mientras está sentado aquí en una conferencia, pero esta no es la norma. Desde el punto de vista de la seguridad, dicho acceso gratuito a Internet plantea una serie de problemas.

Por supuesto, es bueno que estemos abiertos a todo el mundo, a cualquiera, en cualquier lugar, desde cualquier lugar, desde cualquier país y cualquier parte del planeta. Pero si quieren alcanzar su dispositivo desde allí mientras está sentado aquí en esta sala, ya sea su teléfono en su bolsillo o la computadora portátil en la que escribe cuando está sentado aquí, pueden hacerlo. Nada les impedirá hacer esto, ¿verdad?

Esto da un poco de miedo. Hace un par de años, realizamos un experimento simplemente sacando una nueva computadora portátil Apple y enchufándola a la red. Se registró a través de DHCP y permaneció en línea durante 24 horas. Lanzamos los volcados de TCP para luego hacer un inventario de lo que entró en la computadora durante un período de 24 horas, solo para descubrir qué encontraríamos allí. Luego combinamos los resultados en forma de direcciones IP con su visualización gráfica en Google Earth usando el visor GeoIP para ver cómo se ve en el mapa.

Descubrimos que durante un solo período de 24 horas, la computadora portátil de un host descuidado que se registró públicamente en Internet recibió conexiones entrantes de computadoras en todos los países del mundo, con la excepción de dos. Solo 24 horas, un propietario, todos los países del mundo, excepto dos. Eso es fuerte, ¿no? ¿Alguien quiere adivinar qué dos países no han intentado conectarse a esta computadora portátil?

Audiencia: Corea del Norte?

Mark Silis: correcto, uno de estos países fue Corea del Norte. China No, China ha sido muy activa en estos compuestos. Tal vez era algún tipo de departamento militar, no lo sé, pero estaba tratando de contactar nuestra computadora de manera muy activa.



Audiencia: Antártida?

Mark Silis: Así es , Antártida. Por esta suposición, obtienes una estrella dorada hoy. Esto es excelente

Entonces, durante un período de 24 horas, nos expusimos a muchas amenazas, ataques potenciales y malware. Y todo esto recayó en un usuario de la computadora. Hay aproximadamente 150,000 dispositivos diferentes en todo el campus del MIT, y todos pueden verse comprometidos. Esto sucede a diario durante todo el día, y da bastante miedo.

¿Quieres asustarte aún más? Hace unos meses, Dave y yo asistimos a una reunión que se centró en los problemas de los cortes de energía. ¿Alguno de ustedes recuerda un corte de energía hace un año o año y medio? Fue un evento emocionante, ¿verdad?

Estuve aquí durante un apagón importante hace unos 20 años, cuando toda la ciudad de Cambridge quedó sin luz. Entonces, eso fue realmente genial. Excepto que era aproximadamente 100 grados (38 ° C), pero era una buena razón para ir a Boston y ver una película en una sala de cine.

Pero una cosa que sucedió por esto fue realmente interesante para nosotros. Después de la reunión, los chicos del departamento de equipos vinieron a nosotros y dijeron que debido a este apagón, tuvieron que pasar los últimos cuatro o cinco meses reprogramando todos sus dispositivos en el campus. Ya sabes, usan sistemas SCADA conectados a aires acondicionados, iluminación y calefacción en habitaciones, cerraduras de puertas, etc. Esto es comprensible, porque tenemos un instituto tecnológico, donde debería estar lleno de tales sistemas. Estoy seguro de que se presentaron con total seguridad, pero tuvieron problemas para desconectar constantemente los dispositivos de la red, conectarse a Internet, etc. Hablando con ellos, parece que limpiamos la bombilla capa por capa, revelando constantemente más y más detalles nuevos.
Preguntamos a qué se refieren cuando hablan de conectar equipos a la red. Bueno, responden, todos nuestros dispositivos se comunican a través de Internet. Dijimos que en este caso deberían tener sistemas que garanticen la operación estable de los equipos en varios accidentes, un sistema de control separado, una red autónoma, etc.

Nos miraron sin comprender y respondieron: “¡Sí, eso es lo que es! ¡Entonces, el vendedor de equipos nos contó precisamente sobre estas cosas! ”

Esto toca uno de los problemas interesantes de la "Internet de las cosas", una era en la que estamos entrando más y más. Cuando era más joven, las personas que usaban Internet sabían lo que estaban haciendo, tenían que descubrir cosas específicas sobre las redes. Hoy, todos pueden usar Internet sin pensar en cómo funciona. La gente creció a partir de viejos estándares. Es como cuando te acercas a un cohete en un carrusel y notas que se ha vuelto mucho más pequeño, pero en realidad solo eres tú quien creció.

Entonces, conversando con estos muchachos, descubrimos que tienen casi todo lo que se puede pensar al conectarse a Internet. Todo lo que se necesitaba.



Curiosamente, el Instituto de Tecnología de Massachusetts lanzó la Iniciativa de Energía hace cinco o siete años cuando Susan Hawfield era presidenta. Uno de los requisitos para el departamento de equipos era el despliegue de un verdadero "Internet de las cosas" en el campus para crear una gestión dinámica de los sistemas de soporte vital del edificio. Por ejemplo, si no se usa la audiencia, la luz se apaga, la temperatura del sistema de calefacción disminuye, y así sucesivamente. Y esta tecnología funciona en todo el campus.

Implementaron una red de gestión gigantesca, solo una gigantesca. Es varias veces más grande que nuestro instituto local de Internet. Creo que controlan unos 400,000 puntos diferentes, desde los cuales monitorean todo el campus, estos son de 75,000 a 100,000 objetos.

Y luego Dave, abriendo mucho los ojos, les pregunta: "¿Cómo protegen todo esto, muchachos?" Responden algo como: "Bueno, los llamamos para que lo revisen todos juntos". Y comienzan a verificar: solicitan una dirección IP a través de un formulario web, se conectan y dicen: "bueno, ya ves, ¡todo funciona!"

Lo miramos y decimos: "pero todo está conectado con Internet abierto, ¿cómo se garantiza la seguridad de la red aquí?", Y obtenemos una respuesta de la cual nuestra presión aumenta un poco: "bueno, es seguro porque ustedes están hablando de eso ¡Cuídate! Es decir, en su opinión, es seguro, porque a alguien le importa.

Entonces, la expresión de nuestras caras cambia de nuevo y preguntamos qué quieren decir con seguridad. “Bueno, ¡tenemos un firewall corporativo! ¡Con él ya hemos descubierto y nos hemos dado cuenta de que todo está completamente seguro!

Mi siguiente pregunta fue: "¿Puedes mostrarme dónde está este firewall? ¡Porque no sé esto! " La respuesta fue: "Bueno, ¡todos lo hacen!"

Entonces, volviendo a lo que dije antes, repito: trabajamos en un entorno bastante abierto. Y siempre hemos creído, y es la filosofía del MIT, que creemos en la defensa y la seguridad "a través de la pila". No queremos que la implementación de seguridad dependa de ninguna parte de la infraestructura; la seguridad debe garantizarse en todos los niveles. No solo lo hace a través de la infraestructura, proporciona seguridad a través de la aplicación, lo hace en diferentes lugares. Esto no es en absoluto cómo se crea el "Internet de las cosas" desde el punto de vista de SCADA. Y eso da un poco de miedo.

Esta es una de las cosas con las que tratamos, además del hecho de que tratamos con personas como tú que inventan trucos sucios tecnológicamente avanzados, por lo que Dave y yo nos vemos obligados a saltar en medio de la noche. Ya sabes, Internet se está convirtiendo en un tipo de utilidad que se utiliza para todo lo que sucede en el campus. Y eso realmente cambió las tendencias, de las cuales deberíamos preocuparnos en términos de amenazas, problemas de seguridad y todo lo demás.
Ahora sabe que cuando Internet desaparece o surge un problema de red, los estudiantes se sienten incómodos porque los aires acondicionados dejan de funcionar o la calefacción desaparece. Entonces las amenazas realmente han cambiado.

Por lo tanto, estamos lidiando con una amplia gama de cosas, actuamos como un proveedor de red para un campus que brinda servicios a personas como usted, y también brindamos servicios de outsourcing. Si combina esto con nuestra filosofía de red abierta, comprenderá por qué este enfoque crea amenazas de las que debemos preocuparnos constantemente.



Las personas están acostumbradas a depender de Internet y esperan que funcione sin interrupción. Cuando se produjo un corte de energía, las primeras preguntas fueron: ¿por qué Internet dejó de funcionar? Respondimos: "porque no hay electricidad". Pero algunos estudiantes dijeron que la red se toma de la batería en los teléfonos, ¿de dónde viene la electricidad del tomacorriente? Tenía que explicar que esto no es así, esta es la tecnología de telefonía analógica. "¿Y qué, cuál es la diferencia"? Bueno chicos, ¡realmente sabes mucho!

Por lo tanto, la gente espera que todos los problemas a nivel de seguridad, tolerancia a fallas y todo lo demás sean resueltos por el proveedor del servicio. Me gustan las personas que están completamente seguras de que todos los problemas pueden resolverse a nivel de proveedor, pero, desafortunadamente, esta confianza está lejos del estado real de las cosas.

Por lo tanto, pasamos la mayor parte de nuestro tiempo tratando de mantener la capacidad de trabajo y la máxima seguridad del entorno de Internet de la universidad. Dave le contará un poco más sobre esto y le dará un ejemplo de historias interesantes sobre las cosas con las que tratamos. Pero tenemos un trabajo realmente interesante y creo que los problemas son cada vez más difíciles. El caso es que Internet se está expandiendo.

Por ejemplo, el "Internet de las cosas" es una palabra de moda. ¿Cuántos de ustedes han oído hablar de esto hasta hoy? Vaya a un sitio web de Cisco o similar donde usen esta frase para intentar venderle equipos caros. Hay un fenómeno cuando casi todo está conectado a Internet o tiene una dirección IP. Desafortunadamente, muchas personas que escriben estos sistemas no son tan diligentes como las personas que estudiaron en el Instituto de Tecnología de Massachusetts, por lo que crean todo tipo de problemas interesantes.



El verdadero problema es que cuando observa la seguridad desde el nivel del sistema, ve un mosaico de miles de piezas pequeñas, y es muy difícil. Incluso tenemos que tratar con proveedores externos de servicios de Internet, debemos tratar con nuestros propios clientes, tenemos que hacer negocios con proveedores de aplicaciones. Este es un gran sistema de problemas por el que debe preocuparse para garantizar una seguridad completa, y en ocasiones es una tarea muy difícil.

Ahora le pediré a Dave que hable un poco sobre las cosas que enfrentamos en nuestro trabajo. ¿Tienes alguna pregunta para mi?

Audiencia: ¿Has visto alguna campaña de APT que ataque a MIT directamente?

Mark Silis: sí, lo vimos. Lo interesante es, y Dave hablará sobre eso, que lo más difícil en nuestro trabajo es ver el ataque. Si te cuento una historia sobre una computadora portátil, y tenemos 100 o 150 mil dispositivos que tienen su dirección IP en la red del instituto / 8, entonces es tan difícil como encontrar una aguja en un pajar. Por lo tanto, es muy difícil detectar un ataque APT dirigido en todo este flujo de tráfico más amplio.

Ahora que tenemos herramientas avanzadas que pueden ayudar a resolver el problema, hablaremos de ello en un minuto. También vemos un deseo de ayudarnos por parte de las agencias de aplicación de la ley, el sistema federal, que nos dan instrucciones útiles sobre cómo contrarrestar ciertos tipos de amenazas. Una de las cosas que nos ayuda a mirar con confianza hacia el futuro es la investigación que nuestro instituto está llevando a cabo en esta área. Esta es una de nuestras principales tareas. Las fuentes de financiación federales que proporcionan dicha investigación no establecen reglas estrictas sobre cómo debemos hacer esto.
Cuando encuentre subsidios de investigación, ya sean privados o gubernamentales, NSF, NIH, verá que sus requisitos son bastante vagos. Por ejemplo, uno de los requisitos para obtener una subvención es la obligación de cumplir con dicha política de datos, de acuerdo con la cual se deben guardar todos los resultados de su investigación. El MIT hace exactamente eso, decimos: "excelente, lo haremos, nos encargaremos de ello", y firmamos el documento. La forma en que almacenamos los datos es nuestra única preocupación. ¿Cómo verifican los otorgantes el cumplimiento de este requisito? Si el gobierno llega a usted un día y le dice: "¿Dónde están los datos de la investigación?", ¡Solo señale al maestro y dígale "hable con él"!

Vemos que el gobierno en algunos casos dice: "miren, invertimos mucho dinero en este estudio porque no queremos gastar dinero en ese estudio en otro país". Representantes de agencias federales u organizaciones financieras se acercan a nosotros y nos dicen que, dado que tienen una industria completa, sienten la necesidad de crear departamentos de seguridad adicionales y, al mismo tiempo, el MIT actúa como una incubadora para una increíble cantidad de personas brillantes.

Para la administración en su conjunto, servimos como una especie de empresa de alojamiento, ¿verdad? Estamos desarrollando esta actividad. Les proporcionamos instalaciones de laboratorio, o una conexión a Internet, o todo tipo de cosas para la investigación. Sin embargo, este es principalmente un entorno federal en el que las personas trabajan de manera autónoma, por lo que tenemos diferentes requisitos para garantizar la seguridad de actividades de una naturaleza muy diferente, que fluyen dentro de los muros de nuestro instituto. Y esta es la complejidad de nuestro trabajo.

Volviendo al problema de la APT, diré que una gran cantidad de capital intelectual se concentra en nuestro instituto. Aquí están sucediendo muchas cosas interesantes que son de gran interés para las personas fuera de nuestro país.

¿Qué país crees que es responsable del robo de propiedad intelectual más que cualquier otro país del mundo? Alguien adivina?



Público: esta es una propuesta peligrosa.
Mark Silis: no, no, pregunto muy en serio. Esto me sorprendió, porque la respuesta es muy inesperada. , , . - ?

: ?

: , .

: ?

: , .

: ?

: , , , .

: ?

: . , . , ? , , , . , . , . , , , . , ? , , , ? , , . , . ?

: IP-?

: , , ! () , . , Kerberos, Active Directory, Touchstone, SAML iVP, . Retention policies, , . - , , , – . , . . 30 .

: MIT CA, ? MIT . ? ( )

: -, .



: , , - ? - Linux?

: , . , 1990-. MIT , SSL , PKI. , , , 1998 , PKI - , , 20 .

– tamper-resistant hardware, «», . .

: CA?

: CA USB- , , , , , - , .

, CA, , , . , , MIT. , , . . , .

: , « » ?

: , . , , , , , , , . , , , , .

, , . , , .

: MIT ?

: . , , ? , , : « , »? . , , .

«» , , , . , . , : „ , ». ! — . : “, . ? , , , ! »?

, 200 000 , .

, 10, 15, 20, 30 , , . , — , .
, , , MIT . « » . MIT, , , . , ? , . . , , , , , . .

: , - -, , Touchstone ?



: , , , , – . 30 , , . , . - GeoIP, , , 30 , , , , .

. , , . , , , - . , . , .

: , MIT ? ? ?

: , , , , . . UDP-, , , . , , .

: MIT?

: , - 100 120 . , 2,5 , 35 40 .

: TOR MIT?

: ? ? Por supuesto que no!

: ?

: , MIT — , . , . — -, , , . MIT. , : „, exit-node, », - . – . , , .

, . « », . MIT . , , ? . , . , , . , MIT 125 .

, , . MIT TOR – exit-node SIPI, CSAIL. , . .

, . , . , -, . , .

: , . — . , , mit.net, .



, . - , , , .

Security Operations Team, , MIT. , , , , mit.net.

, , , , . , , .
En esta diapositiva, verá un diagrama del Equipo de operaciones de seguridad. Está dirigido por Mark, a quien obedezco directamente. Bajo mi liderazgo está el Grupo de Seguridad, dirigido por el líder del grupo Harry Hoffman. 3 personas le obedecen.

El analista Andrew Munchbach supervisa el sistema, envía notificaciones a los usuarios y responde a las quejas de fuera del instituto. Mike Hosl está involucrado en ingeniería y informática forense. Monique Buchanan es responsable de la mayor parte de la correspondencia y comunicación con la comunidad del instituto. El propio Harry se ocupa de casi todos estos problemas.

29:10 min

Curso MIT "Seguridad de sistemas informáticos". Lección 22: "MIT de seguridad de la información", parte 2


La versión completa del curso está disponible aquí .

Gracias por quedarte con nosotros. ¿Te gustan nuestros artículos? ¿Quieres ver más materiales interesantes? Apóyenos haciendo un pedido o recomendándolo a sus amigos, un descuento del 30% para los usuarios de Habr en un análogo único de servidores de nivel de entrada que inventamos para usted: toda la verdad sobre VPS (KVM) E5-2650 v4 (6 núcleos) 10GB DDR4 240GB SSD 1Gbps de $ 20 o cómo dividir el servidor? (las opciones están disponibles con RAID1 y RAID10, hasta 24 núcleos y hasta 40GB DDR4).

VPS (KVM) E5-2650 v4 (6 núcleos) 10GB DDR4 240GB SSD 1Gbps hasta enero de forma gratuita al pagar por un período de seis meses, puede ordenar aquí .

Dell R730xd 2 veces más barato? ¡Solo tenemos 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 TV desde $ 249 en los Países Bajos y los Estados Unidos! Lea sobre Cómo construir un edificio de infraestructura. clase utilizando servidores Dell R730xd E5-2650 v4 que cuestan 9,000 euros por un centavo?