Positive Technologies: The Standoff Киберполигон

Основные статьи:

• Виртуализация. Классификация и области применения
• Security Information and Event Management (SIEM)
• DLP - Data Loss / Leak Prevention - Технологии предотвращения утечек конфиденциальной информации

The Standoff — это платформа Positive Technologies, позволяющая создавать виртуальные модели ключевых объектов информационной инфраструктуры и тестировать их на устойчивость к попыткам получения несанкционированного доступа, к хакерским атакам.

2021

Тяжело в киберучениях, легко в кибербезопасности. Итоги The Standoff Moscow

В Москве прошли крупнейшие в мире киберучения The Standoff Moscow, организованные компанией Positive Technologies в партнерстве с ГК Innostage. В статье "Тяжело в киберучениях, легко в кибербезопасности. Итоги The Standoff Moscow" подробно рассказывается о ходе битвы, дается оценка инфраструктуре виртуального государства и разбираются техники нападающих и защитников. Подробнее здесь.

Обнаружение уязвимостей в смарт-контрактах NFT-картин

В Москве на открытых киберучениях завершился конкурс The Standoff Digital Art, в ходе которого «белые» хакеры взламывали картины представителей отечественного цифрового искусства. Об этом 17 ноября 2021 года TAdviser сообщили представители проекта The Standoff.

NFT-картины всё-таки можно украсть

The Standoff Digital Art — это виртуальная галерея, каждая картина в которой представлена в виде NFT-токена. Именно его и пытались взломать специалисты по кибербезопасности. Свои работы предоставили российские диджитал-художники Desinfo, Meta Rite, Артем Ткач, volv_victory, Anomalit Kate и Loit.

NFT — невзаимозаменяемый токен. Его нельзя разделить на части или заменить на аналогичный. NFT обладает всеми свойствами уникального предмета в физическом мире, поэтому ценится не меньше, а в некоторых случаях даже больше своей аналоговой версии. Но спрос рождает не только предложение. Произведения искусства всегда кто-то хочет присвоить. Из галереи картину можно украсть, проникнув на выставку. Диджитал-картину можно украсть не вставая с дивана.

При этом технического способа вернуть украденный NFT прежнему владельцу не существует. Вся технология блокчейна, смарт-контрактов подразумевает, что выполненные действия нельзя отменить. Если в самом смарт-контракте не прописан вариант возвращения NFT, то нет и возможности это сделать. С другой стороны, вывести деньги за украденный NFT-объект очень сложно. И замести следы сложнее, чем в случае кражи реальной картины. Все транзакции видны в эксплорере, отследить, кто, что и когда сделал, довольно просто. При этом из блокчейна невозможно что-либо вывести в реальный мир, не используя криптобиржу, а все криптобиржи на ноябрь 2021 года запрашивают подробные персональные данные о каждом из своих пользователей. И тем не менее, кражи совершаются. Одним из громких «дел» стала кража двух криптопанков с платформы NFTX в июне 2021 года. Взломщику удалось выручить лишь 6 ETH, в итоге платформа выкупила их обратно. Другой инцидент случился с коллекцией авторов криптопанков (Larva Labs) под названием Meebits. В коде смарт-контракта была обнаружена уязвимость, которая позволяла предугадать редкость нового meebit при его минтинге. Хакеру удалось получить сверхредкий NFT и продать его за 200 ETH.

NFT — это токен, который реализуется по определенным стандартам. Но они являются лишь предписанием о том, что должно быть в смарт-контракте. При этом стандарт не регламентирует сам код — отсюда и возникают проблемы. Конечно, есть библиотеки, в которых уже все реализовано и протестировано, но ничто не мешает изменять этот код или добавлять свой. Как правило, именно в этом причина всех уязвимостей, говорит руководитель отдела исследований по защите приложений Positive Technologies Арсений Реутов.

Подобные слабые места и искали участники The Standoff Digital Art, проверяя на прочность смарт-контракты настоящих российских NFT-объектов. Чтобы завладеть картиной, нападающие находили уязвимости в смарт-контрактах путем анализа исходного кода. Они были опубликованы в тестовой сети блокчейна Ethereum. Каждую из уязвимостей проэксплуатировали только один раз.

Представители кибер-арта сошлись во мнении, что NFT — это безусловный тренд, а NFT-картины могут не уступать по стоимости аналоговым. Это связано с механизмом ценообразования.

NFT обеспечил CG-художникам возможность выхода на арт-рынок. Появилась возможность продавать — появился и рынок. Именно рынок формирует стоимость диджитал-арта: самые дорогие работы — это либо самые известные изображения, либо то, что создано медийным автором. Ценность определяется вовлеченной аудиторией, заметил цифровой художник Артем Ткач.

Участники The Standoff Digital Art также отметили, что наметилась определенная тенденция на взаимопроникновение аналогового и цифрового искусства:

Диджитал-направление принесло офлайновым художникам инструмент, чтоб создавать свои произведения и делиться ими. Например, когда был карантин, многие традиционные художники занялись созданием цифрового арта, которым было удобно делиться со всем миром. Так что, с моей точки зрения, это направление — дополнительный инструментарий для художников, чтобы показать миру, чтó ты умеешь. Также это удобно. Технологии должны работать на человека, отметил художник, креатор, артист Александр Тито.

Однако очевидно, что об обеспечении безопасности NFT-арта известно недостаточно. Итоги конкурса доказывают актуальность этого направления для ИБ-компаний. Ведь хакеры внимательно следят за трендами, и все технологии мгновенно попадают в их поле зрения.

Все больше людей погружаются в тему, изучают язык Solidity и блокчейн-платформы. Но порог вхождения остается довольно высоким, особенно в сфере децентрализованных финансов. Чтобы разобраться в смарт-контрактах, нужно не только знать Solidity, но и сам протокол и всю связанную с ним математику и финансовую сторону. В NFT все попроще, но и там есть очень сложная логика, с которой необходимо разобраться, отметил организатор The Standoff Digital Art Арсений Реутов.

Описание The Standoff

По информации на ноябрь 2021 года The Standoff — это киберполигон, на котором ведущие специалисты в области «нападения» (offensive) и «защиты» (defensive) борются за ресурсы виртуальной копии мира. На полигоне воссозданы производственные цепочки, бизнес-сценарии и технологический ландшафт, характерные для различных отраслей экономики.

На The Standоff защитникам и атакующим из всего многообразия прототипов реальных компаний доступны логистические, транспортные (грузовые и пассажирские перевозки), добывающие и распределительные энергетические инфраструктуры, системы умного городского хозяйства, финансовые, телекоммуникационные структуры и многое другое. Участие в The Standoff позволяет протестировать возможность реализации кибератак и оценить масштабы их последствий в безопасной среде, получить знания и практические навыки выявления кибератак и противодействия им, изучить сценарии реагирования на известные и неизвестные риски, исследовать взаимосвязи кибербезопасности и бизнеса.