# Практика №1. Риски, угрозы и моделирование угроз корпоративной инфраструктуры --- *Выполнил студент группы БСБО-05-21 Кузнецов М.Г.* # Задание - В [draw.io](http://draw.io/) создать пустой файл или (Альтернативный вариант - В EVE-NG создать новую лабораторную работу с название "Infrastructure" (для продвинутых) + [инструкция по развертыванию](https://hackmd.io/@sadykovildar/HyETZyhJF)) - Построить примерную модель корпоративной инфраструктуры в одном из инструментов. Если нет примеров - можно построить домашнюю - Обозначить, на ваш взгляд, наиболее опасные (или уязвимые места в корпоративной инфраструктуре) - Придумать 3-5 сценариев атаки на корпоративную инфраструктуру с указанием целей атак --- # Реализация задания Построим в draw.io модель домашней архитектуры. (см. Рис. 1) Она включает в себя роутер с выходом в интернет и сеть состоящую из четырех устройств. ![image](https://hackmd.io/_uploads/rkAASCBe0.png) # Наиболее опасные места данной архитектуры: * **Пользователи сети**. Халатность и недостаточная осведомленность пользователей может привести к взлому сети и утери персональных данных. Пользователи могут быть обмануты мошенниками и передать свои пересональные данные * **Слабые пароли**. Злоумышленники могут подобрать ваш пароль и войти в систему используя brute force * **Устаревшее ПО**. Устаревшее ПО имеет больше уязвимостий для вирусов и взломов. Поэтому всегда нужно следить за своим программным обеспечением. * **Ненастроенный Firewall**. отключенный Firewall может дать мошенникам удаленный доступ к компьютеру. # Сценарии атак: ## 1. Фишинг Фишинговые атаки направлены на получение личных данных пользователей.Например, злоумышленники могут рассылать на email адреса сообщения с формами регистрации, после заполнения которых, ваши данные отправляются злоумышленникам. ## 2. Брутфорс Метод атаки с угадыванием паролей, учетных данных для входа в систему, ключей шифрования и прочей информации. Основная цель брутфорса — получить несанкционированный доступ к данным, системам или сетям. Это метод проб и ошибок, цель которого — перебрать все возможные комбинации для получения правильного пароля. ## 3. Социальная инженерия Психологическое манипулирование людьми с целью получения конфиденциальной информации. Получение информации может быть сделано через занесения вредоносного ПО или же получения удаленного доступа ## 4. DDoS Хакерская атака на вычислительную систему с целью довести её до отказа. Обычно злоумышленники генерируют большое количество пакетов или запросов, которые в конечном счете перегружают систему, уменьшая тем самым ее скорость или полностью выводя из строя. ## 5. BadUSB атак на USB-порт, при которых подключаемое устройство выдает себя за другой девайс. Это может быть например: HID-устройство (клавиатура или мышка); Ethernet — сетевая карта; Mass storage (съемный накопитель). BadUSB пользуется тем фактом, что производители не защищают свои устройства от перепрошивки, а хосты не проверяют USB устройства на подлинность.