12 октября 2021

Ещё раз о безопасности на HighLoad++ 2021

Уже через полтора месяца, 25-26 ноября, мы соберёмся в Москве на HighLoad++ 2021, чтобы подвести итоги 2021 года и заглянуть в будущее. Билеты в продаже. Предварительное расписание опубликовано на сайте. В этот раз нас ждут более 130 докладов: звёздные спикеры, практические кейсы от крупных компаний, возможность найти решение своей проблемы.

Забронировать билет на HighLoad++ 2021

Мы продолжаем знакомить вас с докладами конференции и предлагаем поговорить о безопасности. Думать о безопасности своих проектов бывает трудно и больно, не думать — ещё больней. Поэтому на HighLoad++ 2021 будем мыслить как хакеры, изучать новые ботнеты и смотреть на DDoS-атаки под другим углом, между делом проведём инвентаризацию уязвимостей.


Доклады о безопасности на HighLoad++ 2021 

Вы когда-нибудь задумывались о том, сколько пакетов стоит в ваших системах? А каких они версий? А сможете быстро сказать, сколько версий nginx у вас сейчас существует? А какие там есть уязвимости? А какие уязвимости там были вчера? Вот и в Wargaming не могли. А теперь — могут.

Иван Агарков расскажет о том, как сделать такую систему буквально на коленке за то время, пока он будет рассказывать этот доклад, и какие проблемы с её помощью можно решить.


От Дмитрия Мишунина (HashEx) узнаем про атаки на DeFi-проекты. DeFi — быстрорастущий рынок, заманивающий своими высокодоходными ставками. Любой высокий доход сопровождается и высоким риском.

Дмитрий расскажет про контролируемые (минимизируемые) риски. Из $100B+, вложенных в DeFi, более $14B подверглось атакам и хищениям. При этом речь идет только про публично известные случаи. По оценке HashEx, непубличные хищения могут увеличить общий размер утрат на 50%.

Кроме этого, вы узнаете:

  • DeFi-рынок. Размер. Темпы роста. Доходы и потери за год существования рынка. Типы проектов.
  • Контролируемые риски со стороны создателя и мейнтейнера проекта, их цена, объем потерь.
  • Практический разбор векторов атак ($5B+ потерянных средств).

Доклад Омара Гариева из DeteAct про уязвимости и про DoS. Мы узнаем про хитроумные атаки, которые можно придумать, если посмотреть на систему с точки зрения пентестера/хакера. Например, можно найти какой-то интерфейс, который шлёт много запросов к БД, или у него неоптимальный алгоритм, который уводит CPU в полку.

Омар расскажет про интересные прикладные и канальные атаки из практики DDoS-тестирования разных сервисов (ритейл, соцсети, банки и т.д.). Оказывается, DoS какой-то подсистемы может привести к очень интересным последствиям и уязвимостям. Можно обойти защиту или взломать приложение, хитро повалив его. В общем, посмотрим на DDoS-атаки с точки зрения хакера.


С Андреем Лескиным (Qrator Labs) поговорим о ботнетах. Вообще, ботнет ботнету — рознь, и зачастую между атаками на разных клиентов можно увидеть подозрительные совпадения. Более того, в некоторых случаях можно проследить за развитием мысли атакующего и его попытки тем или иным методом пробить защиту ресурса.

Новый виток именованных ботнетов в очередной раз показал, что опасность хорошо организованной DDoS-атаки может быть не столько в самой атаке, сколько в «сопутствующем ущербе» от неё.

Андрей расскажет о новом ботнете с чумовым названием Mēris, который не только поднял волну интереса, но и доставил немало проблем сайтам и ресурсам.


Скорее всего, HighLoad++ 2021, как и другие наши осенние конференции, будет COVID-free зоной. Всю информацию о мерах безопасности на наших площадках мы собрали в этой статье. По мере изменения ситуации статья будет обновляться. А всю важную информацию мы сообщим в наших соцсетях (FB, VK, Telegram-канал) и чате конференции. Рекомендуем вам заранее позаботиться о необходимых QR-кодах. И… берегите себя, будьте здоровы.

На сегодня всё! До скорого!