Главная » Хабрахабр » [Перевод] Курс MIT «Безопасность компьютерных систем». Лекция 22: «Информационная безопасность MIT», часть 3

[Перевод] Курс MIT «Безопасность компьютерных систем». Лекция 22: «Информационная безопасность MIT», часть 3

Массачусетский Технологический институт. Курс лекций #6.858. «Безопасность компьютерных систем». Николай Зельдович, Джеймс Микенс. 2014 год

Computer Systems Security — это курс о разработке и внедрении защищенных компьютерных систем. Лекции охватывают модели угроз, атаки, которые ставят под угрозу безопасность, и методы обеспечения безопасности на основе последних научных работ. Темы включают в себя безопасность операционной системы (ОС), возможности, управление потоками информации, языковую безопасность, сетевые протоколы, аппаратную защиту и безопасность в веб-приложениях.

Лекция 1: «Вступление: модели угроз» Часть 1 / Часть 2 / Часть 3
Лекция 2: «Контроль хакерских атак» Часть 1 / Часть 2 / Часть 3
Лекция 3: «Переполнение буфера: эксплойты и защита» Часть 1 / Часть 2 / Часть 3
Лекция 4: «Разделение привилегий» Часть 1 / Часть 2 / Часть 3
Лекция 5: «Откуда берутся ошибки систем безопасности» Часть 1 / Часть 2
Лекция 6: «Возможности» Часть 1 / Часть 2 / Часть 3
Лекция 7: «Песочница Native Client» Часть 1 / Часть 2 / Часть 3
Лекция 8: «Модель сетевой безопасности» Часть 1 / Часть 2 / Часть 3
Лекция 9: «Безопасность Web-приложений» Часть 1 / Часть 2 / Часть 3
Лекция 10: «Символьное выполнение» Часть 1 / Часть 2 / Часть 3
Лекция 11: «Язык программирования Ur/Web» Часть 1 / Часть 2 / Часть 3
Лекция 12: «Сетевая безопасность» Часть 1 / Часть 2 / Часть 3
Лекция 13: «Сетевые протоколы» Часть 1 / Часть 2 / Часть 3
Лекция 14: «SSL и HTTPS» Часть 1 / Часть 2 / Часть 3
Лекция 15: «Медицинское программное обеспечение» Часть 1 / Часть 2 / Часть 3
Лекция 16: «Атаки через побочный канал» Часть 1 / Часть 2 / Часть 3
Лекция 17: «Аутентификация пользователя» Часть 1 / Часть 2 / Часть 3
Лекция 18: «Частный просмотр интернета» Часть 1 / Часть 2 / Часть 3
Лекция 19: «Анонимные сети» Часть 1 / Часть 2 / Часть 3
Лекция 20: «Безопасность мобильных телефонов» Часть 1 / Часть 2 / Часть 3
Лекция 21: «Отслеживание данных» Часть 1 / Часть 2 / Часть 3
Лекция 22: «Информационная безопасность MIT» Часть 1 / Часть 2 / Часть 3

Со стороны нападавших это выглядело немного уклончивым, сколько бы их ни было. На следующем слайде приведено сообщение с Gizmodo, это то, что я называю троллингом. Здесь они сообщают всему миру, как взламывали нашу сеть, практически на следующий день после того, как это произошло.

Однако в DNS ещё какое-то время присутствовали данные, некоторые из них существуют часами, так что после принятия мер мы ещё наблюдали некоторый поток трафика. Однако как только мы поняли, что взломали не MIT или что-либо в сети mit.net, а нашего регистратора, мы немедленно с ним связались, поменяли наши записи и всё заблокировали. Парня! И вот пока мы пытались ликвидировать последствия атаки, хакеры публикуют на Gizmodo такие комментарии: «Захватили парня из центра управления сетью с помощью эксплойта браузера». То есть вектором атаки будто бы был парень из центра управления сетью MIT NOC. «Получили их учебные логины, которые были бла-бла-бла», и так далее.

На самом деле он не клялся, но объяснял, что не был скомпрометирован никоим образом. Марк клялся, что это был не он. Эта ссылка www.exploit-db.com/papers/25306 все еще действует, если вы хотите прочитать об этом. Поэтому после инцидента мы опубликовали правду про то, как на самом деле была организована атака. Оказывается, что каждая учетная запись DNS была скомпрометирована. В действительности хакеры взломали аккаунт регистратора нашего домена EDUCAUSE. Никакой вины нашего института в случившемся не было. Мы не знаем, как долго хакеры владели этими данными, прежде чем решили использовать их для атаки на MIT. Позже, в 2013 году, регистратор признал свою ошибку, заключавшуюся в предоставлении доступа к домену верхнего уровня, и нам всем пришлось сменить пароли, так как около 7000 доменных имён mit.edu были скомпрометированы.

В любом случае, они исправили свою систему. В итоге мы заблокировали учетную запись нашего домена, чтобы ее нельзя было изменить, но вы знаете, что если поставить галочку «заперто», которая не позволяет людям обновлять систему, это не очень хорошо. Итак, в этом не было нашей вины, однако подобная атака была интересна в том смысле, что показала, как можно использовать для нападения некоторые из основных протоколов интернета.

Атаки социального типа можно охарактеризовать девизом: «Если вы не можете использовать кремний, используйте углерод»! Итак, текущий ландшафт угроз состоит из двух составляющих: социальные атаки и атаки на основе сетей. Это то, что сейчас наблюдается особенно часто. Иначе говоря, если вам не удалось проникнуть в «железо» жертвы, взломайте пользователя через его клавиатуру.

Компьютерные системы становятся все больше безопасными, по крайней мере, снаружи. Основываясь на собственном 20-летнем опыте, могу сказать, что сетевые атаки, удалённо использующие хосты, происходят не часто. Все было включено, потому что из двух критериев – удобства и безопасности — они выбирали удобство, они хотели, чтобы пользователь получал всё прямо из коробки. Вы знаете, в старые времена, может быть, десять лет назад, Windows, Solaris и Linux продавались со всеми своими сервисами, и я говорил, что они светились, как рождественская елка.

Когда вы устанавливаете «свежую» операционную систему, в ней запускается файрвол на основе хоста и нет никаких общедоступных сервисов. Сейчас, я считаю, мы нашли разумный компромисс. Теперь у вас нет этих древних коробок с древними сервисами, открытыми всему миру. У нас есть такие вещи, как обновление Windows и обновление Apple, есть менеджеры пакетов во всех дистрибутивах Linux, так что ОС «из коробки», имея выход в интернет, довольно быстро обновится до актуальной на данный момент версии.

Сейчас они в большей степени имеют дело с людьми, чем с компьютерами. Так вот, я клоню к тому, что хакеры поднялись вверх по стеку, возможно, на восьмой или девятый уровень. Вместо использования хостов они используют людей. И они пытаются использовать недостатки или слабости человека, такие как страх, жадность, доверчивость, общительность, чтобы воспользоваться полномочиями законного пользователя и получить доступ к приложениям или привилегированный доступ к системе.

Я не хочу никого пугать. Недавно в кампусе мы стали свидетелями событий, которые называются «целевой фишинг». Это очень серьезная угроза, так что мы вынуждены были спешить, чтобы решить эту проблему, однако непосредственно MIT не пришлось столкнуться с такими атаками. Проявления этих атак наблюдались в учебных заведениях по всей стране. В обычном спаме или фишинге злоумышленник просто массово рассылает сообщения по интернету, закидывают спаммерскую сеть, чтобы поймать людей, которые по какой-то странной причине, возможно, ответят на эти сообщения. Целевой фишинг направлен на конкретное сообщество и использует правдоподобные сообщения.

В данном случае они смогли выбрать сообщества различных учреждений. Однако при целевом фишинге злоумышленники сужают свою сеть и находят сообщество, которое верит в правдоподобность полученного сообщения, например, сообщество клиентов Bank of America или сообщество студентов, сотрудников и преподавателей MIT. Злоумышленники атакуют сообщество фиктивными сообщениями электронной почты, указывающими на фиктивный сайт аутентификации. Например, одним из таких сообществ стал Бостонский Университет. Затем злоумышленник перешел на настоящий сайт и перенаправил сбережения этих пользователей на свой счет. Некоторый процент пользователей щелкнул по ссылке и вошел в систему, что, конечно, предоставило злоумышленнику учетные данные. Сумма ущерба не сообщалась, но думаю, что она была большой.

В значительной степени это проблема невежественности пользователя, поэтому необходимо осведомлять сообщества о таком виде мошенничества. Как с этим можно бороться? Однако из опыта и знаний человеческой природы следует, что всегда найдётся некий процент пользователей, которые проигнорируют данное предупреждение и нажмут куда не следует, и я просто поражаюсь этому. Просто сообщите людям, что они не должны доверять электронной почте, и им придётся проверять ссылки, прежде чем нажимать на них. Я получаю почту от отца, от сестры, и иногда бывает трудно определить её достоверность, поэтому всегда нужно обращать внимание на адрес отправителя писем. Можете представить, что мой почтовый ящик является получателем всех фишинговых сообщений, адресованных членам моей семьи.

В настоящие время многие клиенты электронной почты не любят показывать вам ссылку на свой адрес, что очень раздражает, так что становится все труднее идентифицировать отправителя письма.

Она основана на том, что вы знаете — это пароль; что вы из себя представляете — это биометрия; и на том, чем вы владеете — это токен. На мой взгляд, корень проблемы заключается в том, что пароли — это просто мертвая технология. Но если вы можете к нему что-то добавить, это остановит атаку на половине пути, и хакеры не смогут скомпрометировать вашу идентичность. Атака методом «человек посередине» просто крадёт то, что вы знаете, то есть пароль.

Вы можете ознакомиться с ранним доступом к этой функции, если зайдёте на адрес duo.mit.edu, где мы используем вендора под названием Duo Security. В ближайшем будущем мы запускаем второй фактор аутентификации, который будет привязан к IDP Touchstone. Принцип работы заключается в том, что вы регистрируете свой телефон в качестве второго фактора и используете для него небольшое мобильное приложение. Это облачная система двухфакторной аутентификации, которая используется во многих образовательных учреждениях. Вы также можете создавать списки из 10-ти одноразовых паролей. Если у вас нет смартфона, вы можете пройти аутентификацию с помощью SMS, то есть система отправит вам сообщение с номером. В ближайшее время мы предоставим эту систему сообществу MIT, на данный момент она полностью функциональна, но пока не анонсирована.

Сейчас я покажу вам короткое демо, как происходит интеграция в систему. Если вы хотите зайти на duo.mit.edu, можете выбрать свой телефон и включить идентификатор пользователя Touchstone. Я намерен просто перейти к инструменту, который использую, и который наглядно проведёт мою аутентификацию в Touchstone с помощью моего сертификата.
Сейчас я использую адрес atlas.mit.edu. Прелесть использования стандартов и федеративных систем типа SAML и Shibboleth, лежащих в основе Touchstone, состоит в том, что мы легко можем заложить дополнительные факторы аутентификации. Итак, вот мой обычный логин Touchstone, я нажму «Продолжить» и получу ещё одно приглашение.

Что ж, давайте оставим демо на потом, позже мы отредактируем видеозапись этой лекции (смех в аудитории). К сожалению, похоже, что я не могу подключиться к Wi-Fi.

Но поверьте мне, это работает. Я не репетировал это демо, поэтому так получилось. Благодаря такой схеме аутентификации вы будете в полной безопасности. Если вы заходите через Duo, то можете зарегистрироваться, и все ваши взаимодействия с Touchstone будут теперь двухфакторными. Это действительно хорошо работает.

Мы называем это «полицейским ID спуфингом». Еще одна угроза, с которой мы столкнулись за последние несколько месяцев, это тоже целевой фишинг, только не учебных заведений, а людей по всей стране. Мошенничество стоит в том, что членам сообщества MIT звонят будто бы из отделения полиции, расположенного вблизи их родного города. И такого рода махинации выходят за рамки цифрового мира. Они говорят, что вам вскоре будет предъявлено обвинение, связанное с налоговыми махинациями, или сообщают, что с вашим родственником произошёл несчастный случай, и предлагают решить проблему за определённую сумму. Сотрудники полиции сообщают им плохие новости.

Звонок поступает от злоумышленника, который использует спуфинг исходящего звонка с помощью фальшивого определения номера ANI и SIP телефон, который настраивается так, чтобы получивший звонок доверял любой информации, расположенной в поле «От кого», независимо от того, с какого номера фактически поступил звонок. Конечно, в действительности ничего этого нет.

Эта услуга носит название «SIP- телефония номера с подменой». Марк Сайлис: атакующий подписывается на дешевую услугу SIP, устанавливает в своём поле телефонный номер полицейского участка в Лексингтоне, и отправляет вам сообщение. Как только звонок добирается до шлюза перекодирования, который превращает его обратно в традиционную телефонию, программа говорит, что всё в порядке – это правильный номер, и именно мы покажем его пользователю.

Опять же, преступники эксплуатируют человеческую слабость. Дэвид Лапорт: таким образом, вы в конечном итоге получаете звонок с очень плохой новостью из того места, которое, по вашему мнению, является полицейским участком. В данном случае, это, вероятно, страх.

Марк Сайлис: или чувство вины.

Но в любом случае, суть всех звонков сводится к тому, что вы должны за что-то заплатить, хотя это и может показаться мошенничеством. Дэвид Лапорт: да, если вы не нарушали закон (cмеётся). Но если они скажут, что моя жена попала в автомобильную аварию, я не смогу хладнокровно оценить ситуацию и поверю всякой абсурдной информации, которую мне могут наговорить.

Не думаю, что они заплатили, но они были целями этой атаки. У нас в кампусе было несколько людей, которые получили такие звонки. Если вы поищите информацию в Google, то найдёте сообщения о таких звонках в газетах Питтсбурга и по всей стране. Повторюсь, это происходит не только у нас.

Они выясняют, где вы живете, просто погуглив ваше имя или просмотрев список студентов или сотрудников MIT, и выясняют о вас некоторые детали. Но опять же, это целевая фишинговая атака, верно? Им просто нужно быть достаточно правдоподобными, после чего они позвонят вам, напугают и займутся вымогательством.

Честно говоря, я не телефонный парень, и для меня эта система состоит из множества вещей, на которые я просто махну рукой. В этом случае смягчение последствий затруднено, поскольку задействована телефонная система, которая включает в себя несколько «мостов», из-за чего чрезвычайно сложно определить настоящий источник звонка. Вы должны обратиться к вашему провайдеру, чтобы он вместе с правоохранительными органами отследил этих мошенников. Но здесь должны быть задействованы правоохранительные органы.

\

Некоторые люди называют её «китобойным промыслом» — это целенаправленные атаки на высшее руководство организации.
Я столкнулся с этим в другом месте, но мы также испытали подобные атаки здесь. Есть ещё одна вещь, касающаяся целевого фишинга с помощью e-mail.

Будучи недостаточны внимательными, жертвы реагировали на такие сообщения. Злоумышленники отправляли целевые сообщения руководящему персоналу MIT, используя списки сотрудников для большего правдоподобия информации. Согласившись, жертва отправляла деньги кому-то на другом конце страны или на другом конце света. Например, знакомый просил перевести ему деньги, причём реальный человек, от имени которого приходило письмо, не имел о нём никакого понятия. Так что мы тоже пережили подобное.

С его помощью вы не можете проверить ничего. Короче говоря, знайте — SMTP не является надежным протоколом. Так что относитесь ко всему с недоверием.

Марк Сайлис: вы собираетесь рассказать им нашу историю?

Дэвид Лапорт: нет, давайте лучше вы!

Итак, один из представителей высшей администрации MIT протягивает мне руку и говорит: «Эй, я получил это письмо. Марк Сайлис: хорошо, это произошло недавно, я не буду вдаваться в подробности и раскрывать имена, чтобы сохранить анонимность. Я ответил ему, но он сказал, что не знает, о чем я говорю. Оно от одного высокопоставленного руководителя, который обратился ко мне с просьбой о помощи и попросил перевести ему некоторую сумму денег. Кто-то взломал мой аккаунт электронной почты»? Как такое могло произойти?

По мнению Дейва, люди не могут представить, что электронная почта может быть каким-то образом подделана без взлома их почтового ящика, ведь это доверительные отношения.

Злоумышленник просто ознакомился с организационной структурой MIT, нашел старшего исполнительного директора, нашел кого-то в офисе вице-президента по финансам и написал: „Эй, мне нужно, чтобы ты помог мне этим банковским переводом, вот номер счёта». Оказывается, это был кто-то интернет-кафе в Нигерии или чего-то в этом роде. Очевидно, что наш сотрудник не перевел никаких денег. Такие вещи случаются каждый день.

Дэвид Лапорт: письмо было абсолютно правдоподобным?

Марк Сайлис: да.

Дэвид Лапорт: я уже видел это.

Марк Сайлис: даже тон письма и все остальное казалось очень правдоподобным.

Дэвид Лапорт: да.

Даже язык и термины, которые они использовали, были идентичны. Марк Сайлис: на самом деле злоумышленник взял за основу сообщения электронной почты, написанные старшим руководителем для общедоступных веб-сайтов, потому что они отправляют заметки сообществу и тому подобное, в которых использован точно такой же стиль, введение и окончание сообщений. Даже я удивился, насколько правдоподобно выглядело это сообщение. Это был материал, который злоумышленник обратил в свою пользу.

Однако всё могло случиться не так быстро. Дэвид Лапорт: к счастью, сотрудник, которого об этом попросили, воспринял это сообщение как неординарное, хотя оно выглядело вполне правдоподобным, и решил связаться с тем, кого считал отправителем письма, благодаря чему мошенническая схема была раскрыта.

Этот год был годом серьёзного использования эксплойтов. Поэтому я упомянул, что на сегодня, по моему опыту, сетевой вектор атаки не так распространен, как раньше. 3.
SSL это служба безопасности, поэтому, когда вы открыто предоставляете свой сервис, вы запускаете SSL. В первую очередь они были нацелены на криптографический протокол SSL и использовали его ошибку Heartbleed, критическую ошибку SChannel у Microsoft и уязвимость POODLE при реализации открытого SSL v. Shellshock был одной из атак, влияющих на оболочку Bash, что давало злоумышленнику возможность удалённо использовать систему. Таким образом, у нас было много сервисов, уязвимых для подобных атак. Их можно использовать удалённо с административными привилегиями. Все это своего рода «золотой стандарт» сетевых эксплойтов. В этом смысле проходящий год был довольно неприятным, потому что, на мой взгляд, имел место некий перебор с эксплойтами.

Ведь наши услуги являются государственными, поэтому они должны быть общедоступными. Как мы с этим справляемся? Мы не можем просто отгородиться от всего мира, потому что наши системы уязвимы к каким-то угрозам.

Раньше задержка между днем релиза и патчем могла быть довольно длительной, но сейчас необходимо сокращать время выхода «заплаток» до нескольких часов после выявления уязвимости. Во-первых, необходимо автоматическое исправление и обновление ПО. Для обновления систем, которые мы не поддерживаем, мы можем использовать наших людей из Офиса коммуникаций и Моник, отвечающую за связи с общественностью, чтобы вовремя разослать сообщение сообществу или, по крайней мере, предупредить о том, что им действительно нужен патч, потому что обнаружена уязвимость и дальнейшее использование программы небезопасно. Так что когда эти вещи «всплывают на поверхность», мы можем выгрузить обновления, по крайней мере, для систем, которые мы поддерживаем.

Инструмент StealthWatch, о котором я уже упоминал, «вытягивает» данные NetFlow из наших сетевых устройств, благодаря чему мы можем получить основную эвристическую информацию. Более активный вариант смягчения угроз – это сканирование. Мы так поступили в отношении множества исследовательских проектов и просто вещей, которые являются законными. Если мы видим, что внешний IP-адрес разговаривает с несколькими сотнями пользователей системы MIT, вероятно, это не очень хорошо.
Если же в этом нет ничего плохого, то мы можем создать «белый» список IP-адресов.

И если мы увидим аномальное поведение, мы обнулим маршрут на лету. У нас имеется автоматизированная нулевая маршрутизация BGP, где мы фактически наблюдаем за потоком. Таким образом, в отношении Shellshock и некоторых более ранних уязвимостей SSL, которые были действительно смертельно опасны, мы отсканировали сообщество и разослали списки тем, чьими контактами располагали, чтобы сообщить, что на таком-то IP-адресе работает сервис, мы узнали о его уязвимости, поэтому, пожалуйста, пропатчите этот сервис. Такая процедура происходит каждые 5 минут, и как только запущено сканирование, мы можем засечь любую угрозу. Это как раз касается необходимости как можно быстрей донести до сообщества важную информацию.

Я называю их «будущие тенденции», но это будущее творится в MIT прямо сейчас. К будущим тенденциям относится совершенствование требований, предъявляемых к IT-сфере. Однако организация работы и обучения по принципу BYOD усложняет применение политик безопасности, потому что вы не можете полностью управлять устройством, которое не покупали. Например, мы давно имеем дело с BYOD, это распространённая практика в образовательных учреждениях.

Неограниченный объём хранилища на Dropbox — это здорово, но чревато проблемами, связанными с безопасным хранением данных. Совершенствование сервисов в MIT заключается, например, в том, что у нас есть корпоративное соглашение с Dropbox, и каждый студент получает право хранить там неограниченный объём своих данных. Что делать, если человек размещает в Dropboх конфиденциальную информацию, где она синхронизируется с облаком? В нашем случае мы позаботились о том, чтобы эти хранилища всегда находились под юрисдикцией США, но что произойдет, если вы имеете дело с поставщиком, который работает за границей, где действует другое законодательство? Здесь возникает множество проблем, потому что IT больше не распоряжается интернет-сервисами, они просто посредники между провайдером интернета и пользователем. Многие думают, что информация «живёт» в облаке, но мы знаем, что Dropbox синхронизируется с локальной системой.

Вы можете отправить конфиденциальную информацию через систему электронной почты, которая не является полностью локальной. То же самое касается сторонних поставщиков услуг электронной почты. У Массачусетского технологического института никогда не было периметра, как и у большей части остальных общеобразовательных учреждений в мире в наше время. Таким образом, конфиденциальные данные могут покинуть учреждение.
Использование облачных технологий также связано с некоторыми проблемами. Они используют материал, который полностью находится в облаке. Если вы начали небольшой стартап, а я уверен, что у вас много друзей, которые участвуют в стартапах, то вы знаете, что ни один из них не использует исключительно локальные ресурсы. Поэтому нам нужны более прогрессивные методы, чтобы справляться с проблемами безопасности. Невозможно построить защитный периметр или отгородится от внешнего мира, если данные обитают в веб-сервисах Amazon, Salesforce.com, Google Apps или Dropbox. Как вы сможете убедитесь, что лишь ваши пользователи получают доступ к этим услугам? Там точно так же существуют утечки данных и возникают проблемы аутентификации и авторизации.

Когда мы захотели добавить сервис Dropbox, было достаточно легко встроить этого поставщика услуг в нашу инфраструктуру Touchstone. Применение таких вещей, как аутентификация с использованием языка разметки SAML очень удобно, ведь в MIT действительно надежная архитектура SAML.

Я уверен, что идеализирую некоторые вещи, но вы знаете, в великой схеме, основанной на стандартах и федеративных системах, такие вещи, как SAML и Shibboleth, действительно облегчают жизнь в мире облачных технологий.

Это компьютерные системы, которые построены прекрасными людьми, которые обустроили кондиционирование в прошлом году. Ещё одно модное словосочетание – «интернет вещей», но в mit.net мы давно уже повсюду выстраиваем такие системы управления. У Марка есть история о том, как они просто выложили эти системы на mit.net в публичный доступ. В большинстве случаев эти системы не снабжены защитой. Мы почти полностью закончили наши системы управления зданиями и намерены использовать для этого VRF — технологию, которая позволяет реализовывать на базе одного физического маршрутизатора несколько виртуальных, так что они имеют совершенно другой путь пересылки. Кто угодно в мире может их исследовать. Эта система расположена в раздельной физической инфраструктуре в специальных охраняемых «шкафах». И мы объединим всё это с файрволом, обеспечив полный контроль за доступом.

Что может случиться, если выключатели света будут иметь IP-адреса и, кто знает, может, IP-адреса получат даже мои ботинки? Но когда мы перейдем в мир интернета вещей, эта проблема будет только множиться. Это будет просто сумасшествие, и честно говоря, у меня пока нет ответа, как мы с этим справимся.

Всё, что я могу придумать — это предоставить политику доступа к устройствам на основе 802. Многие компании говорят, что они с этим справляются, и они заставляют вас потратить много денег на предлагаемые решения. 1 X, то есть когда я аутентифицируюсь или мое устройство аутентифицируется, то они могут сосуществовать в одной сети, и все же не быть настолько широко открыты миру, как, скажем, мой ноутбук.

На этом я заканчиваю и теперь смогу ответить на ваши вопросы.

Аудитория: вы пропустили один слайд презентации, который был посвящен файрволу кампуса.

Пускай об этом расскажет Марк! Дэвид Лапорт: клянусь, я это сделал не нарочно!

Весь этот интернет вещей и огромное разнообразие устройств на mit.net имеют более безопасное положение по умолчанию, так что они не обязательно должны быть открыты для всей публичной сети. Марк Сайлис: как уже заметил Дэвид, когда вы устанавливаете ПО из коробки, будь то Linux или Windows, у вас по умолчанию уже имеется файрвол.

Вы знаете, одна из хороших черт MIT — если люди хотят сделать что-то, вы позволяете им это сделать. Но есть законные причины, по которым люди хотят иметь устройство в публичной сети, и это нормально. Они могут сделать это сами. Они могут сделать это в автоматическом режиме. Им не нужно делать ничего подобного. Им не нужно спрашивать о политике института в этой области.

Если они хотят перейти на общедоступную веб-страницу, они могут сделать это без чьего-либо разрешения. Итак, мы пытаемся перейти к топологии сети, в которой люди по умолчанию будут находиться под какой-то защитой. Мы пытаемся просто распространить безопасность по умолчанию на то, на что её можно распространить по умолчанию. Этот процесс автоматизирован и занимает 1-2 минуты. И поэтому, если студенты или преподаватели хотят зайти на какую-то веб-страницу, расположенную во внешней сети, это их право. Но в то же время мы признаем, что наша цель состоит в том, чтобы не нарушать инновационную деятельность, которая здесь происходит.

Аудитория: трафик какого вида чаще всего наблюдается в сети MIT?

Марк Сайлис: глядя на StealthWatch, я бы сказал, что 80% нашего трафика использует протокол HTTP.

Дэвид Лапорт: и этот трафик включает в себя HTTP-потоковые медиа.

Я думаю, интересный вопрос, который вы могли бы задать, это какая часть этого трафика относится к исследовательской деятельности (смех в аудитории). Марк Сайлис: да, кино, медиафайлы. Как провайдеры интернета, мы относимся к этому философски. Я знаю, что вы все усердно учитесь, я поступал так же, поэтому все еще работаю здесь. Мы уверены, что ни я, ни кто-либо еще в администрации не в состоянии вынести суждение о ценности чьей-либо интернет-активности. Было время, когда многие учебные заведения пытались выяснить, какого рода трафик транслировался по сетям кампуса, но MIT этого не делает.

Я имею в виду, люди делают много исследований на Netflix, потому что у нас есть кэш Netflix, и туда утекает много трафика. Дэвид Лапорт: потому что здесь живут люди, и это не только работа. Но у нас также есть тысячи студентов и персонал, которые живут здесь, так что это они ночью включают свою коробку Netflix и начинают «стримить».

Но я бы сказал, что значительная часть трафика, даже в наши дни, просто пугает. Марк Сайлис: или что бы там ни было, поэтому мы всегда были курсе того, что собой представляет наш трафик. Ночью половина видео-потока…

Аудитория: разрешите ли вы торрент-трафик?

Марк Сайлис: порно?

Аудитория: нет, не порно, а торренты!

Знаете, что интересно? Марк Сайлис: а, торренты. Мне послышалось «порно», не подумайте, что это была оговорка по Фрейду. Порно и торренты очень похожи (смех в аудитории). Я бы сказал, что с годами все пошло наперекосяк. Интересно, что торрент-трафик значительно упал. У нас студентам предлагается бесплатное телевидение Comcast. Положительно то, что большинство вещей становятся для людей намного доступнее, как Netflix или Amazon Prime, где вы можете подписаться на что угодно за $4 в месяц, и обычно люди так и делают. Возможно, поэтому число скачиваний торрентов резко уменьшилось, и это приятный сюрприз. Если вы хотите смотреть IPTV, вы можете элементарно подключить его к своему компьютеру.

Николай Зельдович: что же, отлично, давайте поблагодарим Дейва и Марка!

Дэвид Лапорт: спасибо, ребята!

Марк Сайлис: благодарю вас за внимание!

Полная версия курса доступна здесь.

Вам нравятся наши статьи? Спасибо, что остаётесь с нами. Поддержите нас оформив заказ или порекомендовав знакомым, 30% скидка для пользователей Хабра на уникальный аналог entry-level серверов, который был придуман нами для Вас: Вся правда о VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps от $20 или как правильно делить сервер? Хотите видеть больше интересных материалов? (доступны варианты с RAID1 и RAID10, до 24 ядер и до 40GB DDR4).

VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps до весны бесплатно при оплате на срок от полугода, заказать можно тут.

класса c применением серверов Dell R730xd Е5-2650 v4 стоимостью 9000 евро за копейки? Dell R730xd в 2 раза дешевле? Только у нас 2 х Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps 100 ТВ от $249 в Нидерландах и США! Читайте о том Как построить инфраструктуру корп.


Оставить комментарий

Ваш email нигде не будет показан
Обязательные для заполнения поля помечены *

*

x

Ещё Hi-Tech Интересное!

[Из песочницы] Haiku β1 — сделаем /b/ OS великой снова

Совсем недавно (почти 4 месяца назад) вышла новая Haiku (далее — просто BeOS, ибо проект гораздо удачнее ReactOS — настолько, что разница между Haiku и BeOS уже пренебрежимо мала). Да и недавно прочитанный киберпанк-роман Александра Чубарьяна давал понять, что BeOS ...

Минкомсвязи одобрило законопроект об изоляции рунета

Министерство цифрового развития, связи и массовых коммуникаций РФ поддержало законопроект №608767-7 об автономной работе рунета, внесённый в Госдуму 14 декабря 2018 года. Об этом сегодня сообщил замглавы Минкомсвязи Олег Иванов в ходе расширенного заседания комитета Госдумы по информационной политике, информационным технологиям ...