Пользователь «Хабра» получил доступ к камерам наблюдения, табло и сервисам РЖД. Компания заявила об отсутствии утечек

Цитата (DAS1970 @ 13.01.2021 - 10:22)

Цитата (djkjlmz @ 13.01.2021 - 10:09) В бухгалтерии и то есть бухгалтер, внутренний аудитор который за ним проверяет и внешний аудитор который проверяет за всеми...а нанять безопасника -нахуй надо, Вася все сделает и принтер починит и чайник и uid диска поправит на хосте и access list настроит, хули Вася сделает, мыж ему 20 тысяч платим. Почему то уверен, что безопасник есть и не один. Только он зять (сват, брат) какого ни будь зама и ни хера не понимает в информационной безопасности, сетях и прочем IT.

Не один. Пока заявку на доступ в АСУ ххх согласуешь, нужно иногда по пять подписей от безопасников. Строго по возрастанию авторитета. Причем каждому надо позвонить по телефону и напомнить про заявку, иначе будешь ждать до собачьей пасхи. И все это делается через отдельную АСУ.
ПС С Лурка..
"Чтобы перечислить, демонстративно загибая пальцы, все системы, которые используются в РЖД, у вас не хватит пальцев на руках и ногах. Точное количество систем неизвестно никому. Только АСУ, непосредственно связанных с движением, более 60. А если учесть, что на каждой дороге есть ещё примерно столько же своих внутренних систем — представьте какой пиздец творится в ВЦ…
Основная система РЖД — АСОУП, разработанная ещё в 70-х годах прошлого столетия и давно устаревшая и морально и физически.

В РЖД уже практически не осталось людей, которые бы могли набрать это сообщение (ТГНЛ, ТелеГрамма Натурный Лист) вручную в терминале, так как теперь эти сообщения формируются в системе АСУ станции (А ведь когда-то всё вручную наколачивали!! На телетайпах!). Однако, менее сложные сообщения (прибытие-отправление поезда) работники способны и сейчас наколотить вручную. Это делается для того, чтобы прикрыть свою задницу ввести информацию в систему, когда по какой то причине не работает АСУ Станции. При этом АСОУП делает минимальное число проверок, благодаря чему в 2003 году скорость движения грузовых поездов на Приволжской дороге достигала ВНИМАНИЕ!!! 600Км/ч. Это, ВНЕЗАПНО, намного больше, чем развивает Сапсан. Тем не менее, эта злачная практика до сих пор имеет место, так как основная задача РЖД — это выполнение планов, норм, нормативов и т. д. (привет, призрак коммунизма).

Для АСОУП станция — это чёрная дыра, куда заезжает вагон и АСОУП даже не знает, где и на каком пути этот вагон находится («где-то на станции»), ибо 40 лет назад главное было — знать, хотя бы на какой станции вагон находится. Была как-то попытка сделать маневровые перемещения внутри станции в АСОУП, но она потерпела неудачу потому, что из АСОУП «пошёл дым», когда настроили передачу маневровых операций из АСУ Станции.

Отдельной статьи заслуживают «дипломированные специалисты» создающие и поддерживающие весь этот зоопарк АСУ. Нормальные программисты за такую ЗП работать на дорогу не идут в принципе, а те, что работают халтурят на стороне, в основном клепая богомерзкие сайтики (похапе, да) уровня «Сайт 9Б класса 7896 школы». Некоторые АСУ можно отправлять на govnokod.ru, прям целиком.

Собеседование с одним из этих пограмистов:

— Где работали до этого?
— На ЖД.
— Чем занимались?
— Участвовал в разработке и сопровождении большого количества проектов.
— Какими языками пользовались?
— Java.
— Значит вы знакомы с объектно ориентированным программированием?[5]
— Нет.

Разделение труда на ВЦ очень жесткое. Каждый сотрудник занимается буквально одним определённым делом, например если человек занимающийся AD уходит в отпуск или на больничный, то работа встаёт, так как это был единственный человек в отделе умеющий работать с AD. В силу такой тонкой специализации при решении каких-либо проблем вам придётся выполнить квест, заключающийся в обращении к другому специалисту, так как тот к кому вы обратились этим не занимается. Обычно через 3-8 перенаправлений вы попадаете туда, куда надо. При этом n-ый специалист, к которому вы обратитесь, может даже и не знать, что тот, кого вы ищите, сидит у него за спиной/слева/справа/etc. и отправит вас куда-нибудь не туда."
Это сообщение отредактировал Barrel0726 - 13 янв 2021 в 11:04

ParazitN

Цитата

С пустым паролем микрот с белым адресом в инете и дня не проживет, как собснно и любое оборудование. Сразу частью ботнета станет как минимум.

Вы, видимо, невнимательно статью на хабре прочитали. Там автор сказал, что туннелей, явно не служебных, там достаточно. Кто сказал, что там нет ботнета? Например, спящего, до команды?

Цитата (sidvsnh @ 13.01.2021 - 09:25)

З.ы: Мля тех горесетевиков выпинывать нужно. А если ИБ в РЖД есть, то этих вообще через одного расстрелять

Если они реально получают зп в 20 килорублей - то думаю свою зарплату они отработали на сто процентов.

"не гонялся бы ты поп за дешевизной"

Получается про внешних врагов и террористов стоящих в очереди чтобы навредить жителям России неплохо так ссут в уши со всех утюгов. Хотелось бы верить что из всех стратегических объектов только у РЖД есть такие дырищи.
Во, из IT отдела РЖД народ подтянулся со шпалами.
Это сообщение отредактировал ВаноJan - 13 янв 2021 в 11:10

Цитата (ParazitN @ 13.01.2021 - 10:47)

Цитата (VampirBFW @ 13.01.2021 - 11:39) Цитата (RaaaF @ 13.01.2021 - 10:33) Влепил минус за ссыль, но прошел по ней и прочел все. Так как работаю с РЖД смело могу сказать - таких проебов у них далекооо не один, причем у наших вояк 2 года назад такая йухня была(сейчас просто не работаю с ними - может исправились, но очень сомневаюсь - зарплаты там пипец низкие). Вот у Газпрёма такого сейчас не найдешь - там хорошо ИТ спецы поработали. Хотя за всех его дочек тоже не скажу)) странно вы как то с ней работаете. Почему? потому что эта статья имеет больше красивых слов чем дела. Вот для меня как человека курящего в этой системе нет тут нихуя прям такого типа УУУ ААА бля пиздец. Чувак получил доступ к сети, которая отдана на оутсорс. Для простого обывателя это как если чувак взял и пролез к вам в прихожую дома. Да, он может спиздить ваши тапки, или насрать на пороге И ВСЕ БЛЯТЬ! нихуя он доступа к критичным процессам не получил, он не сможет спиздить ваш сейф или телевизор. Куда он получил доступ? К системам камер? но это обычные внутренние камеры. Есл ивы работали с сетью РЖД то знаете что она там многоуровневая. И это первый уровень. Чт оон сможет сделать? Максимум перешить камеры обычного видеонаблюдения (которые не критичные) или загрузить порнуху на канал попутчик (насрать под дверь) доступа к управлению или бизнеспроцессам там нет. Да нихуя там нет. Я понимаю что для простого обывателя это прям очень жутко. Но по факту это херня. Я еще лет 6 назад на япе писал как влез в сеть попутчика с ноута, просто из интереса. Это все управляется оутсорсерами. Даже если брать камеры. Если вы работали с РЖД, то должны знать, что там даже камеры имеют несколько уровней и есть камеры например обычного наблюдения, а есть камеры распознавания лиц. И к ним доступ из этой сети ты не получишь. Странно сидеть на жопе ровно и уговаривать себя и других словами "ну всего лишь в прихожую попал вор, чо, не в толчок и не в зал же", вот это действительно странно. Чел потратил ровно 20 минут времени на это. И пох, что это аутсорс, а типа не сама "сеть РЖД", хотя по факту является ее сегментом и в нее (и из нее, полюбас, а по-другому никак) курсируют данные. И надо быть конченым долбоёбом как в сфере ИТ, так и в сфере информ. безопасности, чтобы при таком раскладе успокаивать себя тем, что все хорошо. Нифига не хорошо. Пока дыра не закрыта - любой дебил поставил так же ВПН, подключит ботов, подберет пароли (которые в РДЖ видимо не сильно блещут криптостойкостью) да все что угодно. Нельзя быть изнасилованной "чуть чуть", тебя либо отымели, либо нет. И отымеют еще раз, если ляжки не сдвинешь и труселя не оденешь.

И что он сделает подобрав пароли? Эта сеть физически не связана с рабочей внутренней сетью. Так что он сможет сделать?

Цитата (Lynx @ 13.01.2021 - 10:10)

повальное пьянство диспетчеров, в связи с реально напряженной работой по разруливанию поездов, не перебьешь никаким микротиком

Всё это уже автоматика делает.

посоны, я целый состав выкупил до Владика, с вас бухло и девки, выезд в 12 оо по полуночи

Цитата (RA2FDR @ 13.01.2021 - 10:56)

Вот админ с зп 20 000 рублей так вполне может настроить, ибо ему похуй. А тот, кто умеет делать нормально - на такую зп даже жопу от стула не оторвет. "На старте ракета упала в болото какая зарплата - такая работа"

Я не про этих админов имел ввиду, а про админов с зп от 55к
Размещено через приложение ЯПлакалъ

Скажем большое спасибо американцам, китайцам и т.д. что видя весь этот цирк они не трогают наши сети даже в шутку.

Цитата (Порфирий19 @ 13.01.2021 - 11:06)

Скажем большое спасибо американцам, китайцам и т.д. что видя весь этот цирк они не трогают наши сети даже в шутку.

В прошлом году была вскрыта сеть камер. И туда же попали сети из США, и внезапно оказалось что в той самой великой америке где всех админов просто осыпают деньгами полно камер и роутеров со связкой админ админ.

Цитата (Порфирий19 @ 13.01.2021 - 11:06)

Скажем большое спасибо американцам, китайцам и т.д. что видя весь этот цирк они не трогают наши сети даже в шутку.

Скорее они там давно поковырялись на предмет нужных действий при наступлении горячих событий. Кто же будет подобное афишировать?

Цитата (VampirBFW @ 13.01.2021 - 10:39)

странно вы как то с ней работаете. Почему? потому что эта статья имеет больше красивых слов чем дела. Вот для меня как человека курящего в этой системе нет тут нихуя прям такого типа УУУ ААА бля пиздец. Чувак получил доступ к сети, которая отдана на оутсорс. Для простого обывателя это как если чувак взял и пролез к вам в прихожую дома. Да, он может спиздить ваши тапки, или насрать на пороге И ВСЕ БЛЯТЬ! нихуя он доступа к критичным процессам не получил, он не сможет спиздить ваш сейф или телевизор. Куда он получил доступ? К системам камер? но это обычные внутренние камеры. Есл ивы работали с сетью РЖД то знаете что она там многоуровневая. И это первый уровень. Чт оон сможет сделать? Максимум перешить камеры обычного видеонаблюдения (которые не критичные) или загрузить порнуху на канал попутчик (насрать под дверь) доступа к управлению или бизнеспроцессам там нет. Да нихуя там нет. Я понимаю что для простого обывателя это прям очень жутко. Но по факту это херня. Я еще лет 6 назад на япе писал как влез в сеть попутчика с ноута, просто из интереса. Это все управляется оутсорсерами. Даже если брать камеры. Если вы работали с РЖД, то должны знать, что там даже камеры имеют несколько уровней и есть камеры например обычного наблюдения, а есть камеры распознавания лиц. И к ним доступ из этой сети ты не получишь. И заголовок у статьи ебанутся. ВЗЛОМАНА ВСЯ СТРУКТУРА! Где тут блят ьвся структура?

Вы видимо тоже админ или программер, и понимаете что если к вам зашли в "прихожку" то открыть "дверь" это дело времени, и как я сказал выше имеется доступ от камер в кабинетах, возможно камеры с микрофонами, а это уже утечка инфы. А за утечку инфы пологается в лучшем случае увольнение, в худшем статья. Так что принебригать не стоит.
Размещено через приложение ЯПлакалъ

Цитата (ParazitN @ 13.01.2021 - 10:47)

Цитата (VampirBFW @ 13.01.2021 - 11:39) Цитата (RaaaF @ 13.01.2021 - 10:33) Влепил минус за ссыль, но прошел по ней и прочел все. Так как работаю с РЖД смело могу сказать - таких проебов у них далекооо не один, причем у наших вояк 2 года назад такая йухня была(сейчас просто не работаю с ними - может исправились, но очень сомневаюсь - зарплаты там пипец низкие). Вот у Газпрёма такого сейчас не найдешь - там хорошо ИТ спецы поработали. Хотя за всех его дочек тоже не скажу)) странно вы как то с ней работаете. Почему? потому что эта статья имеет больше красивых слов чем дела. Вот для меня как человека курящего в этой системе нет тут нихуя прям такого типа УУУ ААА бля пиздец. Чувак получил доступ к сети, которая отдана на оутсорс. Для простого обывателя это как если чувак взял и пролез к вам в прихожую дома. Да, он может спиздить ваши тапки, или насрать на пороге И ВСЕ БЛЯТЬ! нихуя он доступа к критичным процессам не получил, он не сможет спиздить ваш сейф или телевизор. Куда он получил доступ? К системам камер? но это обычные внутренние камеры. Есл ивы работали с сетью РЖД то знаете что она там многоуровневая. И это первый уровень. Чт оон сможет сделать? Максимум перешить камеры обычного видеонаблюдения (которые не критичные) или загрузить порнуху на канал попутчик (насрать под дверь) доступа к управлению или бизнеспроцессам там нет. Да нихуя там нет. Я понимаю что для простого обывателя это прям очень жутко. Но по факту это херня. Я еще лет 6 назад на япе писал как влез в сеть попутчика с ноута, просто из интереса. Это все управляется оутсорсерами. Даже если брать камеры. Если вы работали с РЖД, то должны знать, что там даже камеры имеют несколько уровней и есть камеры например обычного наблюдения, а есть камеры распознавания лиц. И к ним доступ из этой сети ты не получишь. Странно сидеть на жопе ровно и уговаривать себя и других словами "ну всего лишь в прихожую попал вор, чо, не в толчок и не в зал же", вот это действительно странно. Чел потратил ровно 20 минут времени на это. И пох, что это аутсорс, а типа не сама "сеть РЖД", хотя по факту является ее сегментом и в нее (и из нее, полюбас, а по-другому никак) курсируют данные. И надо быть конченым долбоёбом как в сфере ИТ, так и в сфере информ. безопасности, чтобы при таком раскладе успокаивать себя тем, что все хорошо. Нифига не хорошо. Пока дыра не закрыта - любой дебил поставил так же ВПН, подключит ботов, подберет пароли (которые в РДЖ видимо не сильно блещут криптостойкостью) да все что угодно. Нельзя быть изнасилованной "чуть чуть", тебя либо отымели, либо нет. И отымеют еще раз, если ляжки не сдвинешь и труселя не оденешь.

Да не мог чувак дальше лезть и писать об этом, можно статью схватить. Но глупо думать что если дверь в прихожку дырявая, то внутри всё хорошо.

Цитата (alien900 @ 13.01.2021 - 11:10)

Цитата (VampirBFW @ 13.01.2021 - 10:39) странно вы как то с ней работаете. Почему? потому что эта статья имеет больше красивых слов чем дела. Вот для меня как человека курящего в этой системе нет тут нихуя прям такого типа УУУ ААА бля пиздец. Чувак получил доступ к сети, которая отдана на оутсорс. Для простого обывателя это как если чувак взял и пролез к вам в прихожую дома. Да, он может спиздить ваши тапки, или насрать на пороге И ВСЕ БЛЯТЬ! нихуя он доступа к критичным процессам не получил, он не сможет спиздить ваш сейф или телевизор. Куда он получил доступ? К системам камер? но это обычные внутренние камеры. Есл ивы работали с сетью РЖД то знаете что она там многоуровневая. И это первый уровень. Чт оон сможет сделать? Максимум перешить камеры обычного видеонаблюдения (которые не критичные) или загрузить порнуху на канал попутчик (насрать под дверь) доступа к управлению или бизнеспроцессам там нет. Да нихуя там нет. Я понимаю что для простого обывателя это прям очень жутко. Но по факту это херня. Я еще лет 6 назад на япе писал как влез в сеть попутчика с ноута, просто из интереса. Это все управляется оутсорсерами. Даже если брать камеры. Если вы работали с РЖД, то должны знать, что там даже камеры имеют несколько уровней и есть камеры например обычного наблюдения, а есть камеры распознавания лиц. И к ним доступ из этой сети ты не получишь. И заголовок у статьи ебанутся. ВЗЛОМАНА ВСЯ СТРУКТУРА! Где тут блят ьвся структура? Вы видимо тоже админ или программер, и понимаете что если к вам зашли в "прихожку" то открыть "дверь" это дело времени, и как я сказал выше имеется доступ от камер в кабинетах, возможно камеры с микрофонами, а это уже утечка инфы. А за утечку инфы пологается в лучшем случае увольнение, в худшем статья. Так что принебригать не стоит.

Я именно админ, и понимаю что ввалившись в прихожую которая не связана с домом физически, максимум что можно сделать это насрать на входе.

представляю что там будет у тюремщиков за 20 мильярдов нахуеверчено )))
и насколько дырявым будет

Цитата (Strangerr @ 13.01.2021 - 11:10)

Цитата (Порфирий19 @ 13.01.2021 - 11:06) Скажем большое спасибо американцам, китайцам и т.д. что видя весь этот цирк они не трогают наши сети даже в шутку. Скорее они там давно поковырялись на предмет нужных действий при наступлении горячих событий. Кто же будет подобное афишировать?

Не сомневаюсь , и это грустно.

Цитата

Я именно админ, и понимаю что ввалившись в прихожую которая не связана с домом физически, максимум что можно сделать это насрать на входе.

"Настрато будет ооочень много и с сильной вонью" если представить как автор статьи описывает с заменой прошивок, и еще, получается, есть возможность из этой "прихожки кинуть коктель молотова соседям" чтоб им скучно не было. Другими словами это дырище в которую сможет зайти почти любой маломальски грамотный человек, другой вопрос, а нужно ли заходить, чтоб испачкатся. Это уже к уровню админа)) мне лично нафиг это не нужно, главное чтоб у самого таких дыр не образовалось))
Размещено через приложение ЯПлакалъ

Просто охренеть! Это хорошо, что добрые люди указывают на дыры...

Цитата (VampirBFW @ 13.01.2021 - 11:10)

Цитата (Порфирий19 @ 13.01.2021 - 11:06) Скажем большое спасибо американцам, китайцам и т.д. что видя весь этот цирк они не трогают наши сети даже в шутку. В прошлом году была вскрыта сеть камер. И туда же попали сети из США, и внезапно оказалось что в той самой великой америке где всех админов просто осыпают деньгами полно камер и роутеров со связкой админ админ.

я так соседкий роутер залез, пароль , а уних еще камеры наблюдения висят ))))
Это сообщение отредактировал Sхвостом - 13 янв 2021 в 11:24

Цитата (alien900 @ 13.01.2021 - 11:21)

Цитата Я именно админ, и понимаю что ввалившись в прихожую которая не связана с домом физически, максимум что можно сделать это насрать на входе. "Настрато будет ооочень много и с сильной вонью" если представить как автор статьи описывает с заменой прошивок, и еще, получается, есть возможность из этой "прихожки кинуть коктель молотова соседям" чтоб им скучно не было. Другими словами это дырище в которую сможет зайти почти любой маломальски грамотный человек, другой вопрос, а нужно ли заходить, чтоб испачкатся. Это уже к уровню админа)) мне лично нафиг это не нужно, главное чтоб у самого таких дыр не образовалось))

Но окромя вони ничего не поменяется. Ну тапки еще могут спиздить, что в размерха РЖД по цене даже не заметят.

Карочь посоны… Пока система РЖД взломана, я как есть чотки хакер, успел заделать себе годовой обонимент на бесплатный проезд везде хоть до Магадана. Кто хочет зделать себе такой-же лайфак для халявных поездок, присылайте мне в личку фоточки своих банковских карт с двух сторон. Будет чотко!

Почему я не удивлена? В крупных компаниях давным давно на более/менее хлебных должностях работаю "позвоночные".

Помните старый анекдот? - На третьем этаже у нас довлики (дети очень влиятельных людей), на втором этаже у нас ловлики (любовницы очень влиятельных людей), на первом этаже у нас жовлики (жены очень влиятельных людей), а в подвале у нас суки (случайно уцелевшие квалифицированные инженеры).

Не на пустом месте это все возникло.

Цитата (VampirBFW @ 13.01.2021 - 11:25)

Но окромя вони ничего не поменяется. Ну тапки еще могут спиздить, что в размерха РЖД по цене даже не заметят.

Тут не могу не согласится. Но ситуевина все равно неприятная. С тем учетом что требования к админам хотят ябунистическте.
Размещено через приложение ЯПлакалъ

Цитата (alien900 @ 13.01.2021 - 10:05)

Цитата (RA2FDR @ 13.01.2021 - 10:56) Вот админ с зп 20 000 рублей так вполне может настроить, ибо ему похуй. А тот, кто умеет делать нормально - на такую зп даже жопу от стула не оторвет. "На старте ракета упала в болото какая зарплата - такая работа" Я не про этих админов имел ввиду, а про админов с зп от 55к

А они там есть такие? Возьмите меня админом в РЖД на 55к, я сделаю. Может не совсем по высшим стандартам защищенности, но по крайней мере без таких вот зияющих дыр - это точно. Не должно быть в сети ни одного устройства в промышленной эксплуатации и ни одной службы с заводским или с пустым паролем - это необходимый минимум. И доступ снаружи к каким-то интерфейсам администрирования - только там, где это действительно необходимо. Да и любой студент может быть обучен этому минимуму живительными пиздюлями за одну неделю работы. А так как этот пиздец, судя по статье, не единичный, а массовый - то это дело не в одном студенте. Это вся система по организации сети дырявая насквозь.

Кстати, еще проблема в связке "недоадмин" + "микротик с винбоксом" - эта хуйня вообще разжижает моск и не заставляет думать. Зло.