Фронтовики раскрыли секреты своего долголетия — Российская газета
Все они прошли войну, состоялись в мирной жизни и несмотря на свой почтенный возраст сохранили бодрость и оптимизм. Корреспонденты «Российской газеты» побывали в гостях у ветеранов из Сочи, Хабаровска и Саратова. И узнали секреты их долголетия. Если говорить в трех словах — то это движение, оптимизм и любовь.
Крепкое рукопожатие
Незадолго до Дня Победы Тысячный стал столетним. Сочинскому ветерану Николаю Даниловичу Тысячному исполнилось сто лет. Про годы войны фронтовик не любит вспоминать, лишь отмечая, что это было «очень трудное время».
Демобилизовался он в звании майора медицинской службы. Учился. В 1958 году приехал в Сочи, где работал главным врачом в больнице Красной Поляны, хирургом в Сочинском онкологическом диспансере и завотделением в санатории Орджоникидзе. Тысячный написал множество статей для специализированных изданий. И разработал методики для лечения позвоночника и суставов.
Что касается долголетия, то Николай Данилович регулярно питается, но ест в меру. И каждый день уделяет время спорту. «Я просыпаюсь рано, часов в шесть утра, — говорит фронтовик. — Потом опять засыпаю ненадолго, затем встаю, умываюсь, завтракаю и беру в руки гантели. Это моя жизнь».
Гантели, достаточно тяжелые, лежат под кроватью на самом виду. 100-летний ветеран легко демонстрирует упражнения с ними. Дома у него уютно и тепло. Перед юбилеем в однокомнатной квартире фронтовика городские власти провели капитальный ремонт. На прощание Николай Данилович крепко пожимает мне руку.
Главное — оптимизм
Николаю Михайловичу Христофорову из Хабаровска 93 года. В 1945 году он служил автоматчиком на 1-м Дальневосточном фронте. Участвовал в советско-японской войне, дошел до Харбина. Был ранен и окончание Второй мировой встретил в госпитале.
Несмотря на почтенный возраст он ведет активный образ жизни, почти каждый день занимается скандинавской ходьбой, зимой встает на лыжи. А еще он большой оптимист и любит удивлять прохожих, гуляя в футболке с изображением рок-группы Amatory.
Ветеран специально для читателей «Российской газеты» записал свое поздравление с Днем Победы.
Он расписался на Рейхстаге
Пулеметчик Петр Колчин защищал Ленинград и штурмовал Берлин на бронепоезде. Сейчас Петру Дмитриевичу 96 лет. Живет в Саратове.
После штурма Берлина экипажи бронепоездов разместили в столичном районе Румельсбурге. «Когда по радио передали сообщение о капитуляции, кто заплакал, кто в пляс пустился», — вспоминает ветеран.
С друзьями пошли к Рейхстагу, на стенах которого в эти дни многие оставляли свои автографы. «Там была надпись «Мы из Пензы!». Написал рядом: «Я тоже оттуда» и расписался», — вспоминает ветеран.
Из армии Петр Дмитриевич демобилизовался только в 1949 году. Продолжил службу в железнодорожных войсках. И затем вся его жизнь была связана с железнодорожным транспортом.
На станции Лесопильный познакомился с будущей женой. К местной жительнице должна была приехать младшая сестра. Остановки у поезда Андижан — Москва там не было. И женщина долго уговаривала Колчина, чтобы он остановил поезд. Петр согласился. В том поезде ехала его будущая жена, правда, он тогда об этом не знал. Судьба. В согласии и любви они прожили много лет. Похоронил жену Петр Дмитриевич в 2008 году. У него четверо внуков и уже трое правнуков.
А война пулеметчику Петру Колчину снится до сих пор.
Маркировка лекарств и медицинских изделий: требования, система, условия программы обязательной маркировки 2020 — 2021
В системе Честный ЗНАК обязаны зарегистрироваться не только производители лекарственных препаратов и медицинские организации, но и дистрибуторы. Они будут распространять только маркированный товар, что поможет бороться с контрабандой.
Участникам оборота для работы с маркированными товарами понадобится:
- Усиленная квалифицированная электронная подпись (УКЭП).
Она нужна для регистрации и входа в систему маркировки
- Соответствующее программное обеспечение
- 2D сканер штрих-кода для приёма и розничной продажи лекарств с маркировкой
- Терминал сбора данных, если в аптеке реализуются большие партии лекарств. Это ускорит инвентаризацию
- Обновить прошивку онлайн-кассы. Для этого нужно заключить договор с АСЦ производителя контрольно-кассового аппарата
Система МДЛП 2019-2020
В России лекарственные препараты маркируют с 2017 года. Это происходило в рамках эксперимента согласно постановлению Правительства РФ, но с 1 июля 2020 маркировка станет обязательной.
В 2020 году маркироваться будут все лекарства.
Для этого на каждую пачку препарата будет нанесен штрих-код Data Matrix. Этот код содержит основную информацию о товаре. Отпуская товар, фармацевт в аптеке сможет проверить соответствие медикамента на корректность описания препарата в коде и на самом лекарственном средстве.
Данные о препарате, срок производства и годности, информация о производителе будут храниться в системе Честный ЗНАК, что позволит избежать распространения поддельных лекарств.
Маркировка лекарств и медицинских изделий в аптеках, стоматологии, больницах
Обязательная маркировка лекарств включает в себя выполнение нескольких пунктов:
- Регистрацию в системе Честный ЗНАК
- Нанесение DataMatrix кода на каждую упаковку лекарственного средства
- Передачу прав на товары между юридическими лицами с указанием DataMatrix кодов товаров
- Сканирование каждого кода на кассе при продаже
И по закону, зарегистрироваться в системе должны не только производители и дистрибьюторы, но и медицинские учреждения — больницы, стоматологии, аптеки. Система Честный ЗНАК поможет обороту лекарственных товаров быть прозрачным. Проводить медицинские манипуляции можно только с применением проверенных (промаркированных) лекарственных препаратов.
Для этого руководителям аптеки, стоматологии или больницы необходимо:
1) Оформить усиленную квалифицированную электронную подпись (УКЭП) в одном из удостоверяющих центров;3) Перейти на сайт и зарегистрироваться в системе.
Также для удобной работы понадобится установить 2D сканер штрих-кода и протестировать бизнес-процессы (обновить прошивку онлайн кассы, подготовить рабочие места и обучить сотрудников).
Маркировка упаковки лекарственных препаратов 2020
С 1 июля 2020 маркировка лекарственных препаратов стала обязательной. Раньше это осуществлялось в рамках эксперимента, и маркировке подлежали лекарства только из списка высокозатратных нозологий (препараты для больных гемофилией, муковисцидозом, злокачественными новообразованиями, рассеянным склерозом, для пациентов после трансплантации органов и тканей и др.
С 2020 года маркироваться стали все лекарства. И по закону, на каждой упаковке препаратов должен быть цифровой код DataMatrix.
Этот код содержит основную информацию о товаре и совпадает с шифром занесенным в систему лекарства. Отпуская товар, фармацевт в аптеке сможет проверить соответствие медикамента.
В системе Честный ЗНАК также хранятся данные о препарате, срок производства и годности, информация о производителе. Это поможет избежать распространения поддельных лекарств.
Публично доступные песочницы для проверки zero-day
Публично доступные песочницы для проверки zero-day
Современные атакующие редко используют старые виды вредоносного кода для атак. Под каждого человека создается свой собственный вирус. То есть, если идет направленная атака на ваших топ-менеджеров или бухгалтеров или администраторов, то каждому пришлют его личную версию вредоносного кода по электронной почте.
Бывает, что присылают ссылку в письме или в форуме: ссылка на файл одна и та же, но каждый раз кликая на эту ссылку, сайт генерирует каждому зашедшему свою модификацию файла.
Это создает сложности для производителей антивирусов: в их базах этого экземпляра нет и нужно как-то этот каждый новый пришедший в компанию файл проверить. Для этого создаются специальные автоматические механизмы проверки. Раньше на слуху был эвристический анализ, в 2020 году новинкой стало то, что продвинутые производители используют модели полученные от Machine Learning для определения вредоносного кода внутри NGFW прямо на лету. Также ML активно применяется для обнаружения фишинговых URL и вредоносных DNS доменов и даже устройств IoT.
Однако, в современных организациях уже около 10 лет основным средством выявления новых и неизвестных видов вредоносного кода является технология под названием песочница или по-английски sandbox. Обычно это облачный сервис, который получает каким-то образом ваш файл на проверку и в ответ возвращает вердикт: хороший или вредоносный.
Иногда открытием для людей является то, что вредоносный код может быть встроен в неисполняемые файлы DOC, PDF, XLS. Поскольку это частое заблуждение, то его активно используют хакеры. Поэтому нужно также проверять в песочницах неисполняемые файлы. Эти файлы внутри себя песочницы загружают в соответствующие программы просмотра Microsoft Word или Adobe Reader разных версий и проверяют не происходит ли при этом вредоносных действий. Обычно это связано с докачкой другого кода или использованием уязвимостей программ-просмотрщиков, что позволяет запустить произвольные команды. Хорошим примером является Microsoft Word — его файлы часто используют в атаках.
Что не хватает современным песочницам, на мой взгляд, так это информирования пользователей о популярных программах. Часто на проверку уходит уже известная утилита, и песочницы могли бы не только возвращать вердикт, что это хороший файл, но и что это именно эта утилита. Такая информация часто нужна администратору.
Можно ли попробовать такую песочницу сейчас? Да, есть общедоступные сайты, где вы можете свой файл попросить проверить.
https://www.virustotal.com/
Самым известным сервисом проверки является virustotal.com . Он позволяет также проверить информацию по URL и также позволяет делать поиск по IP, DNS и также хешу файла. Песочницы обычно совмещены с антивирусом: сначала механизм анализа проверяет файл на наличие сигнатуры или хеша в базе и, если в базе данных, про этот файл нет информации, то он отправляется на проверку в песочницу. Песочница чаще всего — это виртуальная машина, в которой файл запускается или просматривается. И в процессе работы идет анализ поведения: какие файлы создаются, какие подключения осуществляются и т.
Для проверки я выбрал хороший файл putty.exe , который я скачал с сайта разработчика .
Видно, что часть движков считает этот исполняемый файл вредоносным! Почему так? Потому что у песочниц есть один минус: они дают ложные срабатывания. И как быть вам? Обычно, если уважаемые вами производители говорят, что это хороший файл, то им стоит доверять. Если какой-то неизвестный вам поставщик говорит, что это вредоносное поведение, то стоит это сообщение проигнорировать. Как в примере ниже.
Если все движки сказали, что все ок, то с большой вероятностью все ок. Но есть нюансы. ) Существуют специальные методики обнаружения что ты запущен в песочнице, поэтому не всегда такой метод анализа как запуск внутри виртуальной машины — достоверен. Лучше всего запускать вредоносный код на реальной рабочей станции и результат будет более точным. Такая методика получила название bare metal analysis и предоставляется некоторыми мировыми производителями.
Есть еще один вид песочниц: локальные. Они выглядят как обычный сервер, на котором стоят виртуальные машины. Внутри них и запускаются тестируемые образцы и анализируется их поведение. Часто встречаю заблуждение, что локальная и облачная песочница имеют одинаковый функционал. Это ошибочно, потому что облачные решения всегда имеют больше функций и возможностей, например, вышеупомянутый bare metal analysis. Именно поэтому детектирование вредоносного кода в облаке более точное, чем детектирование вредоносного кода на локальной песочнице. Если вы правда хотите искать zero day в своей компании, то использование только локальных песочниц — недостаточно.
https://virustest.gov.ru/
Недавно открылся наш национальный сервис проверки, который предоставляется также бесплатно.
Я также загрузил в него тестовый файл putty.exe и меня удивило, только, что песочницы запустились. Загружал несколько раз этот файл и несмотря на то, что файл каждый раз одинаковы песочницы запускались снова и снова. Хотя смысла проверять один и тот же файл уже не было.
В государственном сканере используются движки трех (на дату написания статьи 23 марта 2021) наших российских производителей песочниц.
по прошествии времени тестирование было завершено. и тут с putty все ок.Также этот сервис бесплатен и вы можете проверить свой файл и на сайте Касперского.
https://opentip.kaspersky.com/
Он называется Threat Intelligence Portal, что означает вы можете не только проверять файлы, но и получать информацию об индикаторах компрометации, таких как IP, DNS, URL, хеш на данном портале. Обычно такие данные нужны при расследовании инцидентов.
Также важно упомянуть песочницы корпоративного уровня компаний Palo Alto Networks, Trend Micro, Check Point, FireEye.
https://wildfire.paloaltonetworks.com/
Например, можно пользоваться песочницей Wildfire компании Palo Alto Networks. Единственно тонкостью — вы должны быть заказчиком, то есть у вас должен быть логин и пароль для входа.
И тогда вам доступен этот портал . Но существует lifehack — движок анализа Palo Alto Networks используется на virustotal.com, там компания предоставила свой движок анализа exe файлов.
Здесь песочница не стала запускать putty.exe, просто сказала, что файл известный и понятный и хороший.
Типы файлов
Важно также какие типы файлов проверяет песочница. Вредоносный код есть для всех операционных системах Windows, MacOS, Linux, iOS, Android и так далее. В них исполняемые файлы имеют разный формат. Неисполняемые файлы обычно не зависят от операционной системы и они проверяются обычно на базе Windows и приложений под Windows, поскольку это самая популярная операционная система в мире.
А как забирать файлы на проверку
Тот способ, что использовали мы — ручная загрузка на сайт. Однако в реальных корпоративных сетях это нужно делать быстрее и автоматически. Соответственно должен быть какой-то механизм, который забирает файлы с рабочих станций или прямо из сетевого трафика и отправляет на проверку. Об этом будет другая статья.
Если вам нужна консультация по информационной безопасности — пишите [email protected].
Я уже более 25 лет помогаю людям и компаниям строить архитектуру безопасности и выбирать нужные решения.
Мы рассказываем о самых актуальных угрозах и событиях, которые оказывают влияние на обороноспособность стран, бизнес глобальных корпораций и безопасность пользователей по всему миру в
.
Методика по рисованию фигур на песке
Рисование фигур и символов на песке очень понравится вашему ребенку, к тому же это очень полезно для гармоничного развития малыша.
В процессе рисования можно изучать различные геометрические фигуры, рисуя прямые и кривые линии, прямоугольники, треугольники, круги, спирали, звезды, солнце, восьмерки и т.д.. Хотя рисунки на песке очень эстетичны и способны заинтересовать детей, их, конечно, нельзя отнести к числу долго хранящихся изображений. Разровняв песок, вы получите поверхность, снова пригодную для рисования на ней. В данном случае результат (т.е. рисунок) не является целью – цель заключается в самом процессе творчества. При помощи песка дети самовыражаются намного эффективнее, чем при использовании карандаша и бумаги. Рисование фигур на песке является оптимальной методикой и при обучении письму. Играя в песке, дети проявляют уверенность и любознательность. Песочница, да еще и с цветным песком, привлекает их гораздо сильнее, чем чистый лист бумаги. Нетронутая поверхность песка побуждает ребенка к свободному и нестандартному творчеству.
Песок оказывает благотворное воздействие на человека, в особенности на его душевное состояние. Ребенок включается в игру всем своим существом – эмоционально, психически и физически. При этом создаются благоприятные условия для проявления у детей концентрации внимания, любознательности, увлеченности, а также для релаксации. Активируются мыслительные и эмоциональные резервы, что выражается в физических формах, создаваемых руками.
Приведенные методики полезны не только для детей с ограниченными возможностями (в частности, испытывающими затруднения в общении и с нарушенной координацией движений), но и для детей, не имеющих патологии, но нуждающихся в целостном гармоничном развитии.
Занятия и рисование фигур в «ЧУДО-песочнице» с песком коренным образом отличаются от игр в уличной песочнице и имеют совсем иной смысл. Дело в том, что ограниченность поверхности (размеры, например, юнгианской песочницы: 50х 70 см) многим детям дает ощущение безопасности, создает благоприятную атмосферу для их творчества.
В нашем интернет-магазине представлены «ЧУДО-песочницы» прямоугольной формы. Это не случайно: подобная форма воздействует на наше сознание совершенно иначе, чем квадрат или круг. Если квадрат или круг вызывают умиротворение и сосредоточенность, то прямоугольник более динамичен. Ребенок имеет возможность выбирать любой формат будущего рисунка (горизонтальный или вертикальный), ему легче определить центр композиции. Кроме того, прямоугольная форма песочницы лучше, чем квадратная, подходит для создания симметричных фигур.
Итак, приступим!) Но прежде, маленькая рекомендация: Чтобы песок не рассыпался вокруг песочницы во время игры, положите под песочницу большое полотенце или клеенку; с них легко можно будет встряхнуть песок обратно.
Насыпьте в юнгианскую песочницу 1 кг песка понравившегося вам цвета. Выбор цвета очень полезное занятие для ребенка, а для родителей — возможность интерпритировать состояние и настрой малыша, в зависимости от выбранного цвета. Более подробно читайте статью на нашем сайте: «Выбор и интерпритация цвета песка». Для рисования песком достаточно 5 основных цветов по 1 кг каждого, которые можно менять от занятия к занятию.
Выровняйте равномерно по всей поверхности песок (например, скалкой или чем-то наподобие катка) Начните с несложных заданий. Например, попросите ребенка нарисовать горизонтальную и вертикальные линии.
Затем линии по диагонали:
Волнистая линия как символ волны, а зигзаг — горы.
Вертикальную прямую линию можно провести как сверху вниз, так и снизу вверх.
Горизонтальную прямую линию можно провести как слева направо, так и справо налево.
Прямые линии по горизонтали и по вертикали. Сложность заключается в том, чтобы провести их параллельно друг от друга (хорошо развивает глазомер). Спросите сколько получилось линий? Можно ребенка попросить соединить эти линии, получится клетка для льва!)
Длинные прямые линии чередуются с короткими.
Длина прямых линий постепенно увеличивается до максимума, а затем таким же образом уменьшается. Для левой фотографии: помимо того, что линии должны быть параллельны, сложность еще и в том, чтоб нижняя часть линий была на одной прямой, а верхняя часть линий была синхронна относительно середины (по тому же принципу и фото справа).
Те же самые упражнения можно выполнить и с горизонтальными линиями.
Из вертикальных и горизонтальных линий образуются новые интересные формы. Упражнение для продвинутых детишек))
Дети могут работать с песочницей, повернув её к себе длинной (портретный формат) или более короткой (ландшафтный формат) стороной. В первом случае для того, чтобы провести вертикальную линию, ребенку придется сильно наклоняться вперед и вытягивать руку над песочницей. Можно заметить, что ребенок, выполняя такое упражнение, использует не только руку, но и всю верхнюю часть тела, а движение распространяется до самых кончиков пальцев ног. В отличие от вертикальной, горизонтальная ориентация песочницы привлекает детей шириной рабочего пространства. Они получают такое же ощущение, когда широко раздвигают руки.
В следующих упражнениях прямые линии нужно проводить по диагонали или с каким-либо наклоном. Движения, которые совершает ребенок, когда проводит линию по диагонали сверху вниз, отличаются от движений при проведении такой линии снизу вверх. Соответственно, он и запоминает их по-разному. Идущая сверху вниз линия напоминает луч, светящий в глубину, и наоборот: линия, проведенная снизу, подобна лучу, бьющему из глубины.
Далее предложите ребенку проделать все те же упражнения, что и с прямыми линиями, только теперь под углом, т.е. по диагонали.
Следующие задания направлены на понимание того, как образуются углы. В снежинках углы образуются пересекающимися линиями.
Прямоугольники слева это еще и 4 прямых угла, образовавшихся двумя сходящимися линиями.
Сочетание горизонтальных и диагональных линий:
Сочетание вертикальных и диагональных линий:
Другие упражнения с линиями, нарисованными по диагонали и с различным наклоном:
Следующие упражнения можно выполнять как с диагональными линиями, так и с линиями, имеющими разный наклон:
Треугольник, нарисованный с вершиной вверх и вниз:
Два составленных вместе треугольника образуют квадрат или ромб:
Вершины треугольников попеременно направлены вверх и вниз. Упражнение хорошо развивает пространственное воображение.
Слева: Два треугольника накладываются друг на друга вершинами. Справа: Наложенные друг на друга треугольники образуют шестиконечную звезду.
Разомкнутая слева кривая линия кажется открытой, а нарисованная наоборот — закрытой.
Дуги, направленные вверх и вниз. Могут быть, как симметричными, так и увеличиваться/уменьшаться.
Замкнутая кривая линия образует круг. Круг можно преобразовать в овал:
В овал можно одним движением, не отрываясь, вписать S-образную или волнистую линию:
Если фигуру нарисовать в обратном направлении, то получится восьмерка. Справа представлены пересекающиеся линии.
Половинки окружностей, открытые вниз и вверх. Задание хорошо развивает чувство симметрии.
Упражнения с пересекающимися прямыми линиями:
Упражнения с пересекающимися петлями:
Если кривую линию нарисовать таким образом, то она будет напоминать красивую четкую волну:
В круге можно найти центр, а можно описать окружность вокруг центра. Крест, вписанный в круг, разделяет его на четыре сектора:
Квадрат, вписанный в круг. Если вписать в круг снежинку, получится колесо:
Треугольник, вписанный в круг. Круг, заштрихованный прямыми линиями:
Рисование концентрических (т.е. имеющих общий центр) окружностей способствует концентрации внимания. Можно предложить детям начать рисование с самого маленького кружка в центре или, наоборот, двигаться от внешней окружности к центру.
Радиальные (т.е. расположенные по радиусу) и концентрические формы:
Рисование спирали, закручивающейся к центру, способствует концентрации внимания.А спираль, раскручивающаяся наружу, предполагает динамичное движение. Следующее задание способствует концентрации внимания:
В данном примере окружность, обозначающая солнце, — это воображаемая линия. Рисуя солнце, лучи можно проводить как от центра наружу, так и снаружи к центру.
Рисование спирали, закручивающейся к центру, способствует концентрации внимания.А спираль, раскручивающаяся наружу, предполагает динамичное движение.
Раскручивающаяся наружу спираль переходит в спираль, закручивающуюся внутрь, и в результате образуется двойная спираль. Достигая центра, закручивающаяся внутрь спираль разворачивается, а затем раскручивается наружу:
Взрослому тоже будет интересно понаблюдать за собой, когда он пытаетесь определить, что проще нарисовать: спираль, закручивающуюся внутрь, или спираль, раскручивающуюся наружу; спираль, которая начинается в верхнем левом углу и далее идет вниз и вправо, или, наоборот, спираль, которая начинается в верхнем правом углу, а затем идет вниз и влево.
Упражнения можно выполнять и с лабиринтом:
Как вы уже поняли, вариантов рисования разного рода фигур много. Желаем вам интересных занятий и как результат — успешных деток!
песочная терапия купить для песочной терапии песочная терапия купить для песочной терапии песочная терапия купить для песочной терапии песочная терапия купить для песочной терапии песочная терапия купить для песочной терапии песочница песочница песочница
песочница купить песочницу песочная терапия игры с песком юнгианская песочная терапия песочница купить спб песочная терапия купить песочницу для песоной терапии песок песочная терапия купить для песочной терапии песочная терапия купить песочница песок
Не навреди! Как научить ребенка читать? Педагог отвечает на вопросы родителей
Обзоры, 05 Октября 2020
Стоит ли учить ребенка читать или оставить эту задачу учителям? Как бы вы ни ответили для себя на этот вопрос, главное — не навредить. Опытный учитель-практик, методист и автор учебных и развивающих пособий Ольга Узорова ответила на частые вопросы родителей и рассказала, когда нужно учить ребенка читать и как делать это правильно.
В каком возрасте можно начать обучение чтению?
В этом вопросе мы отталкиваемся от слова «можно». Можно начинать и в 2, 3 или в 4 года, но только в том случае, если ребенок уже сам тянется к книге и просит показать ему буквы. Просто так, по собственному желанию вытаскивать ребенка из песочницы и сажать его за азбуку не нужно! Если есть желание — поможет правильная методика. Родителям очень понравился «Букварь. Учимся читать с 2–3 лет» и его продолжение «Учимся читать с 3–4 лет» — их можно предлагать детям от 2 и вплоть до 6–7 лет, это универсальные пособия.
Что делать, если ребенок хорошо знает буквы, но связывание их в слоги и чтение никак не даются?
Если совсем не получается, и вы активно портите настроение ребенку провальными попытками, то лучше закончить такие занятия. Небольшой лайфхак, как научить складывать буквы в слоги. Покажите на простом примере: буква О и буква Н — вместе ОН. Тренируйтесь складывать простые слоги дома, на улице, в поездках. Например, в букваре «Учимся читать с 2–3 лет» все слова состоят из 2–3 букв, а все диалоги — из этих коротких слов. В этом отчасти и состоит секрет успеха книжки: освоив самые простые примеры, малышу проще двигаться дальше. Если все же не получается, обратитесь к лучшим друзьям учителей начальной школы — логопедам!
Что НЕЛЬЗЯ делать при обучении чтению?
Ни в коем случае нельзя ругать ребенка. Если что-то не получается, это в первую очередь ваша неудача, — значит, вы используете какой-то неправильный метод обучения. Мало того, что ребенок уже потратил немало времени и усилий, пытаясь слушать ваши объяснения, так ему еще за этой и влетело! В следующий раз он уже заниматься не захочет, как бы ни размахивали перед ним букварем.
Нельзя лишать ребенка ситуации учебного успеха. Если у него получилось вспомнить букву или прочитать слог, не стоит воспринимать это как данность. Для малыша это очень сложно, он проделал большую работу, уважайте труд своего ребенка. Если что-то получилось — обязательно похвалите!
Зачем учить ребенка читать быстро и увеличивать скорость чтения? Он читает, как получается.
Наш мозг воспринимает информацию за доли секунды, и медленное чтение тормозит этот процесс. Если вы хотите, чтобы у ребенка развивалось мышление, надо обязательно следить за скоростью чтения. Если ребенок начал читать по слогам и продолжает так делать уже продолжительно время (год-два), не переходя на следующий уровень, значит, что-то не так. Если у вас не получается самостоятельно перейти от слогового чтения к плавному, ищите специалиста, который подберет грамотную методику.
Обучение чтению и самооценка ребенка — как найти баланс?
Баланс в этом вопросе необходим! Многие родители покупают азбуку уже годовалому малышу. Сначала ребенок долго учит буквы, потом от него требуют, чтобы он научился складывать их в слоги. Тут часто коса находит на камень, потому что родители ждут быстрого прогресса, им кажется, что это очень легко. Но для малыша это очень сложная задача, нужно набраться терпения. Если у ребенка что-то не получается, страдает его самооценка. А у дошкольника обязательно самооценка должна быть завышена, иначе в школе придется нелегко и ему, и его учителям. Если у ребенка опущены руки, он заранее уверен, что у него ничего не получится, учителю очень нелегко вытащить его из этой ямы низкой самооценки. Поэтому обязательно хвалите ребенка за достижения, создавайте ситуации учебного успеха и ни в коем случае не ругайте!
Надо ли учить дошкольников читать?
Однажды Бальзак сказал, что будущее нации в руках матерей. Пусть эти слова помогут вам собрать все силы и терпение! Я прекрасно понимаю: у вас иные профессии, свои увлечения и вряд ли много времени на обучение ребенка. Но все же лучше, если вы начнете учить малыша читать еще до школы. В школах сейчас этому уделяется достаточно мало времени, и учителя прямо или намеками говорят, что очень желательно к первому классу научить ребенка читать хотя бы со скоростью 30–40 слов в минуту. Это достаточно быстрое слоговое чтение. В начальной школе сейчас просто нет достаточного времени на обучение чтению.
Можно ли заниматься нерегулярно и тогда, когда это удобно родителям?
В старых методичках, по которым обучали еще детей царской семьи, есть такое выражение: обучение состоит не столько в правилах, сколько в упражнении. Вы можете быстренько объяснить ребенку теорию и рассказать правило, но если нет системных упражнений, то знания не усвоятся. Как строится любая хорошая программа? Немного часов на знакомство с темой, много-много-много отработки и практических занятий, немного часов итогового контроля и обязательные часы на работу над ошибками.
Какие сложности могут возникнуть при обучении чтению?
Сложностей может возникнуть очень много. Часто бывают проблемы, если у ребенка плохо развита память. Он стремится порадовать родителей и выучить буквы, но просто не может это сделать, а маме кажется, что он капризничает, издевается, специально не слушает. После нескольких таких занятий, ребенок понимает: несколько дней я сидел, старался, и у меня все равно ничего не получилось, так зачем продолжать? В этот момент дает о себе знать природный инстинкт самосохранения, и ребенок укрывается за прочной стеной, через которую сложно пробиться. Чтобы не навредить, нужно вооружиться грамотной методикой и, повторюсь, побольше хвалить ребенка. В наших «Букварях» заложена система, предусмотрено развитие памяти и внимания, а в начале есть подробная методичка для родителей, которая поможет выстроить занятия.
«Букварь» для малышей с 2 лет и другие книги Ольги Узоровой можно найти
здесь.Читайте также:Учусь читать, дружить и поступать правильно
Детский книжный гороскоп
Осторожно МИКРОСПОРИЯ | ГАУЗ «Краевой клинический кожно-венерологический диспансер»
Определение.
Микроспория – это грибковое заболевание с поражением волос, гладкой кожи с вовлечением или без вовлечения пушковых волос, чрезвычайно редко ногтей, вызываемая грибами рода Microsporum.
Помимо медицинского названия, у данного грибкового заболевания имеется еще одно широко распространенное наименование – стригущий лишай.
Термин «стригущий лишай» является традиционным обозначением группы заболеваний кожи и волосистой части головы, при которых поражаются волосы и происходит их обламывание, вследствие чего образуются проплешины. А поскольку еще 100 лет назад врачи не умели определять возбудителей инфекций ввиду отсутствия соответствующих методик, то все заболевания классифицировались, описывались и назывались преимущественно по внешним проявлениям. Именно поэтому микроспория была названа стригущим лишаем. Однако с развитием науки и техническим прогрессом врачи смогли выявлять не только признаки заболеваний, но и выделять их возбудителей, что стало буквально прорывом. В этот период удалось установить, что заболевание, которое всегда называли стригущим лишаем, может вызываться двумя видами патогенных грибков – Trichophyton и Microsporum. И тогда разновидность стригущего лишая, вызываемую грибками рода Trichophyton, стали называть трихофитией, а Microsporum – соответственно, микроспорией. Но поскольку внешние признаки и течение трихофитии и микроспории очень похожи, то за этими двумя инфекциями осталось прежнее общее название – стригущий лишай. Таким образом, согласно современным представлениям, микроспория является грибковой инфекцией (микозом), поражающей кожу, волосы, крайне редко ногти, и одновременно считается одной из разновидностей стригущего лишая.
Актуальность.
В настоящее время микроспория — самый распространенный микоз у детей.
Возбудитель инфекции. Среди грибов рода Microsporum имеется около 20 видов, способных вызывать заболевание. Грибы рода Microsporum устойчивы к повреждающим факторам внешней среды, а также к различным противогрибковым препаратам, что связано с особенностями строения. У данного вида грибов выявлена ультраструктурно плотная толстая стенка, состоящая из 6 слоев, усиленная реберными выступами. Эти грибы способны сохранять жизнеспособность в волосах до 10 лет, в кожных чешуйках – до 7 лет.
Эпидемиология.
Источниками микроспории могут служить животные, люди и почва.
Основные животные, участвующие в сохранении и передаче инфекции, являются кошки, особенно котята (70-80%), реже собаки (4%).. Особенно часто болеют микроспорией кошки светлых мастей и тигрового окраса, видимо, это связанно со сниженной резистентностью к грибам у данных разновидностей кошек.
Крайне опасен контакт с бродячими кошками и собаками, которые нередко оказываются больными микроспорией.
Также заражение этим микозом возможно от больного микроспорией человека, чаще детей (3-10%), и чрезвычайно редко – от почвы (0,7%).
К редким животным, болеющим микроспорией и могущим явиться источником заражения людей, причисляют обезьян, тигров, львов, диких и домашних свиней (особенно поросят), лошадей, овец, серебристо-черных лисиц, кроликов, крыс, мышей, хомяков, морских свинок и других мелких грызунов, а также домашних птиц.
Механизм заражения
Чаще всего заражаются микроспорией непосредственно от больного животного, когда с ним играют, моют, греют под рубашкой, пускают его в постель, а также через инфицированные от него предметы окружающей среды. А поскольку чаще всего носителями микроспории являются котята, то наблюдается два сезонных пика повышения заболеваемости данной инфекцией – в середине лета и осенью, когда кошки приносят приплод. Чтобы заразиться микроспорией, достаточно погладить кошку или собаку, которые больны инфекцией или являются бессимптомными носителями.
Заражение микроспорией возможно не только при непосредственном контакте с больным животным, но также при прикосновении к предметам, на которых имеется шерсть и чешуйки кожи инфицированного животного.
Дело в том, что кошки и собаки, больные микроспорией или являющиеся носителями грибка, могут оставлять маленькие и незаметные кусочки шерсти на различных предметах обихода (мебель, ковры, кровати, диваны, кресла, одежда, обувь и т.д.), в которых содержатся споры грибка. Человек, прикасаясь к таким кусочкам шерсти, содержащим споры грибка, также заражается микроспорией.
Передача инфекции от больного человека к здоровому при непосредственных близких контактах или при использовании различных предметов, на которых находятся чешуйки кожи инфицированного лица (например, при использовании расчески, шапки, ножниц для стрижки волос, принадлежащих человеку, больному микроспорией).
В домашних условиях – предметом инфицирования может быть постельное белье, полотенце, одежда, подстилки для животных и предметы ухода за ними.
В подъездах домов и дворах инфекция может передаваться через околодверные коврики, пыль лестничных клеток, песок детских песочниц, вода луж.
Источником инфицирования новорожденных может быть детская коляска, оставленная на ночь в подъезде дома и облюбованная кошками.
В парикмахерских при ненадлежащей стерилизации, инфицироваться можно через машинки для стрижки волос, ножницы, расчески, пеньюары, бигуди, фены, кисти для мытья.
При простом попадании грибка на кожу человек не заболеет микроспорией, поскольку патогенный грибок будет уничтожен нормальной микрофлорой и иммунной системной или просто смыт в ходе выполнения гигиенических мероприятий.
Таким образом, для заболевания микроспорией необходимо не только попадание грибка на кожный покров, но и наличие неких предрасполагающих факторов, которые позволят ему внедриться в кожу и спровоцировать инфекцию. К ним относятся: 1. Травматические повреждения кожи; 2. Мацерация кожи; 3. Сниженный иммунитет 4. Невыполнение гигиенических мероприятий.
Интересные факты
Подъем заболеваемости микроспорией отмечается с июня до ноября, затем снижается до минимума к апрелю.
Микроспория чаще регистрируется в городах с многоэтажными домами, где бродячие животные контактируют с домашними. Заболеваемость среди безнадзорных животных достигает 50%.
Микроспория у детей у детей встречается гораздо чаще, чем у взрослых, что объясняется двумя основными факторами. Во-первых, дети чаще контактируют с больными животными, соответственно, у них выше риск заражения инфекцией. И во-вторых, сальные железы кожного покрова детей не вырабатывают кислот, обладающих губительным действием в отношении грибков. То есть грибок, попавший на кожу ребенка, вызовет микроспорию с гораздо большей вероятностью, чем у взрослого в аналогичной ситуации, поскольку после полового созревания железы начинают вырабатывать кислоты, губительно действующие на возбудителей микроспории. Немаловажно, что у детей менее развиты гигиенические навыки, чем у взрослых.
Клиника
Инкубационный период составляет в большинстве случаев 1-2 недели.
При микроспории волосистой части головы появляются единичные 1 или 2 очага до 3-5 см в диаметре, правильной округло-овальной формы с четкими границами. Волосы в очагах становятся тусклыми, сероватыми, обломаны на одном уровне на высоте 4-6 мм, как бы подстрижены. При беглом взгляде очаги напоминают вид «серых пятен». Поверхность очагов бывает покрыта сероватыми чешуйками, будто слегка присыпаны мукой.
При микроспории гладкой кожи очаги чаще всего наблюдаются на лице, шее, кистях, предплечьях, плечах, но могут быть и на туловище. Типичны округлые или овальные эритематосквамозные отечные пятна от 0,5 до 2-3 см в диаметре, окруженные непрерывным возвышающимся периферическим валиком, на котором определяются пузырьки, быстро подсыхающие корочки. Микроспория может поражать также пушковые волосы.
Диагностика микроспории.
Клинический диагноз микроспории обязательно должен быть подтвержден данными лабораторного исследования.
Принципы лечения включают:
- Изоляцию от больного животного;
- Прием системных противогрибковых препаратов внутрь
- Местно-мазевое противогрибковое лечение.
Принципы профилактики микроспории
- Основные меры профилактики микроспории у детей – обучение малыша правильному общению с животными: ребенок должен знать, что такие контакты могут быть небезопасным. Ребенок должен знать внешние признаки микроспории у животных , не допускать общения с больными животными. После того как ребенок погладил кошку или собаку, он должен помыть руки.
- Недопустимо пользование чужими предметами — такими, как расческа, носовой платок и т.п. Нельзя надевать на себя чужую одежду.
- Нельзя разрешать пускать животных, особенно кошек и собак, в постель, греть их под рубашкой. После игры с ними следует сразу же вымыть руки теплой водой с мылом.
- Следует избегать контакта с бездомными животными, осматривать домашних животных, в том числе и тех, которые не контактируют с дикими, снижают риск заражения микроспорией.
- Осмотры детей в организованных коллективах (детские сады, пионерские лагеря) должны проводиться не реже 2 раз в год, с применением лампы Вуда
- При выявлении заболевания ребенка следует изолировать от других детей.
- По решению врача больной может быть направлен на лечение в специализированный стационар. Показаниями для госпитализации являются:
— тяжелое течение заболевания и наличие сопутствующей патологии
— отсутствие эффекта от амбулаторного лечения;
— по эпидемиологическим показаниям: больные из организованных коллективов при отсутствии возможности изоляции их от здоровых лиц (например, при наличии микроспории у лиц, проживающих в интернатах, детских домах, общежитиях, дети из многодетных и асоциальных семей).
- Все вещи, принадлежавшие заболевшему ребенку, подлежат дезинфекции в паровоздушной камере, а при ее отсутствии – кипячению и глажению.
- В квартире, где был больной котенок, всю мебель, инвентарь, полы, ковры, подстилки для животных следует обработать дезинфицирующим средством, обладающих противогрибковым действием. После обработки вещей дезинфектантом их стирают горячей водой с мылом.
- Дети должны иметь индивидуальные постельные принадлежности, нательное белье, полотенца, расчески, заколки, бантики и т.д.
- Особенно опасен контакт с бродячими, и, зачастую, больными микроспорией, кошками и собаками. Иногда заразить ребенка может подаренная родителями обезьянка, хомячок, морская свинка, которые, хоть и редко, но также болеют этим микозом. Поэтому домашние питомцы должны периодически наблюдаться у ветеринара.
- Домашние животные, больные микроспорией, подлежат полноценному лечению с осуществлением ветеринарного надзора за их излеченностью.
- В детских учреждениях, особенно в детских садах и яслях запрещается содержать каких-либо животных.
- Машинки для стрижки, ножницы, расчески в парикмахерских необходимо дезинфицировать после каждого клиента.
- Существенная роль в борьбе с микроспорией принадлежит санитарному просвещению. В специальных лекциях, стенгазетах, массовых печатных изданиях целесообразно рассказывать о путях заражения микроспорией, мерах профилактики, последствиях заболевания.
От сказок и картинок к съёмкам видеоклипов
Детский сад «Родничок» приобрёл новое оборудование — световые мольберт и планшет. Вот уже неделю педагог-психолог I категории Оксана Ермакова проводит с их помощью занятия по песочной арт-терапии.
— Я в своей работе пытаюсь связать психологию с творчеством. По моему мнению, именно через творчество, через игру, ребёнок развивается лучше. Поэтому мне очень нравится метод песочной арт-терапии. У нас есть мягкая песочница с кинетическим песком, я сшила её сама. На кинетическом песке работают детки, которые нуждаются в углублённых занятиях для развития мелкой моторики руки. Через песочек, через тактильное восприятие очень хорошо развивается мелкая моторика руки, — рассказал Оксана Ермакова. — Метод «Песочница» хорошо подходит деткам, которым необходимо индивидуальное сопровождение. Если ребёнок не может в группе работать, или познавательная сфера развивается не так, как у всех детей, какие-то навыки страдают, то образовательный процесс нужно выстраивать один на один. На первоначальном этапе это позволяет снять внутреннее напряжение ребёнка, потому что эти дети часто страдают оттого, что они внутренне очень напряжены, у них высокое внутреннее напряжение, тревожность, которая потом может перерасти в агрессию. Важно научить ребёнка снимать это внутреннее напряжение, и песок очень для этого подходит, — добавила Оксана Демировна.
Световой мольберт используется для групповой работы по четыре-шесть человек, а световой переносной планшет — для индивидуальных занятий. Эти планшеты могут менять цвет и оттенки подсветки, дети не просто получают возможность тактильного массажа, они также играют с цветом.
Занятие начинается с разминки рук массажными мячиками, чтобы дети включились в процесс. Ребята обеими руками крутят массажный мячик и проговаривают четверостишия. Здесь одновременно развиваются мелкая, крупная моторика и эмоциональное восприятие.
— Мне важно включить две руки, чтобы, когда дети рисуют, играют с песком, у них работали оба полушария. С помощью песочной методики развивается вся познавательная сфера. Мы говорим — активизируем речь, задаём вопросы — строим диалог, развивается воображение, мышечная и слуховая память, — рассказывает Оксана Ермакова.
Дети занимаются индивидуально и в группах. В начале года происходит диагностика, определяются проблемные зоны малыша.
— Если вдруг у ребёнка в три года «запало» мышление или цветовое восприятие, то я советуюсь с родителями, и мы берём ребёнка на коррекционные развивающие занятия. Также работают логопед, инструктор по физкультуре, музыканты. Если есть общие западания в развитии определённых познавательных сфер у нескольких детей, то я формирую группы, например, группу по развитию мышления и мелкой моторики рук.
Оксана Ермакова 18 лет работает в образовательной сфере и 15 лет педагогом-психологом. В детском саду «Родничок» она уже три года.
— Через тактильную чувствительность у ребёнка идёт развитие всей познавательной сферы, особенно мышления и речи. Рука — пульт управления мозгом, что делала когда-нибудь рука — не забудет никогда. Важно детям в этом возрасте развивать мышечную память, через неё идёт развитие мелкой моторики, активизируется речь и мышление. А мышление — это интеллект, это удачи в школе и в жизни в дальнейшем. У нас есть желание создать ресурсный центр с интерактивным оборудованием и применением его в образовательной среде, у нас уже есть несколько интерактивных досок с оборудованием, теперь появились вот такие «песочницы». Детям нравится тактильный массаж, они расслабляются. Я создала программу работы с кинетическим песком, теперь я дорабатываю раздел с сухим песком. От сказок и картинок можно перейти к съёмкам видеоклипов, создавать мультики, это уже будет зависеть от творческой инициативы педагога и умения зарядить этим детей.
фото Юлии Базай / автор текста Олеся Каминская / Пресс-служба города Переславля-Залесского
Еще больше фото на официальных ресурсах:
https://vk.com/newspereslavl
https://ok.ru/newspereslavl
https://www.instagram.com/NewsPereslavl/
https://www.facebook.com/NewsPereslavl/
19 Апреля 2018 21:43
Просмотров: 709
Терапия с песочными лотками
Терапия с песочными лотками — это форма экспрессивной терапии, которую иногда называют песочной терапией (хотя у песочной игры есть другой подход) или Мировой техникой. Его разработали Маргарет Ловенфельд, Дора Калфф, Геста Хардинг, Шарлотта Бюлер, Хедда Болгар, Лизолотт Фишер и Рут Бойер.
Этот вид терапии часто используется с детьми, но может применяться и к взрослым, и к подросткам. В то время как песочная терапия может применяться в парах и в группах, песочная терапия предназначена для отдельных лиц.
Терапия с песочницей позволяет человеку построить собственный микрокосм из миниатюрных игрушек и цветного песка. Созданная сцена действует как отражение собственной жизни человека и дает ему возможность разрешать конфликты, устранять препятствия и принимать себя.
Чем отличаются терапия песочными лотками и песочными играми?Хотя и терапия с использованием песочных лотков, и песочная терапия включают использование песка в терапевтических целях в безопасной среде, подходы имеют тонкие, но существенные различия.Например, песочная терапия может включать в себя различные теоретические направления, тогда как песочная терапия основана на юнгианской психологии.
Терапия с песочными подносами подчеркивает, что человек, проходящий терапию, испытывает в данный момент, и терапевты активно участвуют в облегчении текущих переживаний осознания и роста. Поскольку пациенты, проходящие лечение, должны эмоционально открываться — делиться своими глубочайшими мыслями и чувствами по мере их появления, — терапевтические отношения в терапии с песочницей должны быть сильными, чтобы лечение было эффективным.В отличие от этого терапевты, занимающиеся песочными играми, сосредотачиваются на бессознательном и стремятся предоставить людям, проходящим терапию, свободное, защищенное пространство и возможность невербального общения. Таким образом, терапевты с песочными играми никоим образом не интерпретируют, не вмешиваются и не направляют человека во время терапии, а анализ проводится после сеанса терапии.
Хотя вербализация является важным аспектом каждого сеанса песочницы, песочная терапия может быть более эффективной для детей или для людей, которые не могут выразить себя вербально из-за перенесенной травмы.
Методы терапии с песочными лоткамиГуманистический подход — распространенная стратегия, применяемая в терапии песочными лотками. Клиницисты, использующие эту технику, полагаются исключительно на клиента в поиске решений своих проблем, используя песок как инструмент для исцеления. Посредством творческого самовыражения человек, проходящий терапию, может проявлять в песке то, что он иначе не смог бы озвучить или адресовать в традиционной терапии. Терапевт относится к человеку как к целому и исцеленному, зная, что процесс терапии песочными лотками позволяет человеку найти ответы, которые уже находятся в нем.
Методы песочной терапии
Одной из наиболее распространенных техник, используемых в песочной терапии, является Мировая Техника. Этот невербальный подход предполагает использование миниатюр. Людей, проходящих терапию, побуждают использовать миниатюрные игрушки, фигурки и предметы на песке по своему усмотрению, в то время как терапевт наблюдает, а затем анализирует взаимодействие человека.
Человек, проходящий терапию, может добавлять воду в песок и помещать миниатюры в песочницу в любом порядке. В дизайне песочницы руководствуется их воображение и их подсознание.Результат — микрокосм их внутреннего мира. Мир внутри песочного лотка выражен через символизм и метафору и может даже не иметь непосредственного смысла для человека, создавшего его. Но с помощью терапевта человек, проходящий терапию, даже ребенок, может начать осознавать взаимосвязь между творением на песке и своим собственным внутренним миром.
Песочная терапия при травмах, пренебрежении или жестоком обращенииМногие дети не могут выразить словами эмоциональные состояния, особенно перед лицом травмы, пренебрежения или жестокого обращения.Невербальный характер песочной терапии и привычная среда — песок — могут помочь детям обрести чувство комфорта и безопасности. С небольшими инструкциями терапевта ребенок может свободно играть и развивать свое собственное выражение ситуаций. Часто дети испытывают чувство самостоятельной игры и начинают делать предположения и изменять поведение без подсказок терапевта. Этот метод терапии может служить для детей ценным и мощным средством выхода и невероятно проницательным методом получения доступа к травматическим переживаниям.
Песочная терапия также очень полезна при лечении детей, подвергшихся сексуальному насилию. Эти дети часто хранят молчание, опасаясь причинения вреда или даже смерти. Когда они приходят на терапию, им часто угрожают и они находятся в очень тревожном состоянии. Расслабленная и интерактивная обстановка песочной терапии обеспечивает им исходную арену безопасности, которая может им понадобиться для перехода к исцелению.
Песочная терапия для взрослых
Хотя терапия с песочницей может показаться детской игрой, это в высшей степени терапевтическая и многомерная форма терапии, которая также может обеспечить эмоциональное высвобождение и реализацию для взрослых в терапии.Взрослые, которые были травмированы и демонстрируют ограниченную реакцию на другие формы терапии, могут хорошо подойти к терапии с песочницей. Окружающая среда представляет собой атмосферу, свободную от угроз, и терапевт работает с пациентом в процессе терапии, чтобы изменить положение миниатюрных объектов как репрезентаций истинных людей и событий.
Терапия с песочными лотками для взрослых может помочь, начав способствовать изменениям на фиктивном уровне, и человек может обрести смелость и способность признать, что такие же изменения могут быть внесены в их собственную жизнь.Хотя процесс песочной игры включает в себя создание серии лотков и может длиться месяцами или годами, некоторые изменения могут произойти всего за один сеанс песочного лотка.
Тренинг по терапии с использованием песочных лотков
Терапевты с песочными лотками, также называемые фасилитаторами или свидетелями, выступают в качестве наставников для клиента или «строителей» во время экспериментов с песочными лотками. Свидетеля учат, как помочь строителю полностью погрузиться в мир, который они создают на песке. Строитель всегда остается в центре внимания процесса, а свидетель должен ободрять, поддерживать и направлять строителя, когда они изображают элементы своего внутреннего мира на песке.Через обучение свидетель может узнать, как интегрировать в терапию дополнительные выразительные стратегии, такие как музыка, рассказы, йога и медитация.
Специалисты в области психического здоровья не нуждаются в какой-либо специальной сертификации, чтобы проводить терапию с песочницей, если они имеют лицензию терапевта. Международная ассоциация песочной терапии в настоящее время предоставляет терапевтам сертификаты. Терапевты, получившие этот сертификат, затем называются сертифицированными на международном уровне терапевтами Sandtray (ICST).На сегодняшний день, однако, практикующим песочницам не требуется никакого признанного на национальном уровне обучения или сертификации.
Прежде чем человек сможет претендовать на звание терапевта с песочными играми, он должен получить сертификат Международного общества песочной терапии (ISST). Специалист в области психического здоровья может на законных основаниях рекламироваться как специалист по песочным играм после прохождения 120 часов обучения.
Ограничения терапии песочными лотками
Терапия с песочными лотками, как и другие терапевтические методы, может иметь ограничения.В некоторых сообществах или культурах этот метод может рассматриваться как трудоемкий, сбивающий с толку, разочаровывающий, навязчивый или слишком зависящий от клинического опыта терапевта. Взрослые могут сопротивляться этому визуально выразительному подходу, потому что считают, что им не хватает творческих способностей или достаточных художественных навыков для того, чтобы лечение было эффективным.
Кроме того, интерпретация изображений песка остается обсуждаемой темой в сообществе психиатров. Иногда интерпретация символов, фигур или целых сцен терапевтом и / или терапевтом может быть расплывчатой или двусмысленной, причем такие интерпретации иногда способствуют игнорированию альтернативных объяснений.В то время как использование песочной терапии основано на теоретической поддержке и значительных клинических данных, было проведено относительно мало исследований, чтобы обеспечить конкретную научную валидацию этого подхода.
История песочной терапииБританский педиатр Маргарет Лоуэнфельд считается первым человеком, который применил песочницу в качестве терапевтического метода. После развития интереса к психодинамической психологии в 1921 году Ловенфельд начал заниматься детской психотерапией в 1928 году.
Ловенфельд утверждала, что ее идея использования песочных лотков в терапии была вдохновлена книгой «Напольные игры», написанной в 1911 году Гербертом Уэллсом. В книге Уэллс описывает различные веселые игры, в которые он и его сыновья играли на полу, и поощряет игру как средство личного развития как для детей, так и для родителей.
После основания Института детской психологии в Лондоне в начале 1930-х годов Ловенфельд ввел в детскую игровую комнату два цинковых подноса; первый был наполовину заполнен песком, второй содержал воду и множество предметов, используемых для формования или формования песка.В непосредственной близости от подносов хранилась «чудо-шкатулка», наполненная маленькими игрушками, бумагой, кусочками металла и прочими разноцветными безделушками. Ловенфельд сообщил, что со временем дети, проходящие лечение, начали называть чудо-ящик «миром» и вскоре они создали трехмерные сцены, комбинируя элементы из ящика с песком в лотке. Она считала, что этот подход, который она назвала «Мировой техникой», может служить средством общения между создателем сцены и наблюдателем, давая возможность наблюдателю заглянуть во внутренний мир строителя.
После того, как Дора Калфф познакомилась с мировой техникой на международной конференции в 1956 году, она приехала в Лондон, чтобы учиться у Ловенфельда. Калфф в конечном итоге объединил технику мира Ловенфельда с восточной философией, системной моделью Неймана и теорией индивидуации Карла Юнга. С разрешения Ловенфельда Калфф назвал свой подход песочной игрой и обучил многих практикующих по всему миру новой технике.
Если вы или ваш ребенок боретесь с эмоциональными последствиями травмы, жестокого обращения или пренебрежения и ищете выход для исцеления, терапия с песочницей может оказаться полезной.Найдите терапевта, который может помочь сегодня.
Эта страница содержит как минимум одну партнерскую ссылку для программы Amazon Services LLC Associates, что означает, что GoodTherapy.org получает финансовую компенсацию, если вы совершаете покупку, используя ссылку Amazon.
Каталожные номера:
- Каннингем, Л. (нет данных). Введение в песочную терапию. Тренировки Sandplay по всему миру. Получено с https://www.sandplaytrainingworldwide.com/weekend-sandplay-trainings .
- Дейл, М.А., и Лиддон, У. Дж. (2000). Sandplay: конструктивистская стратегия оценки и изменений. Журнал конструктивистской психологии, 13 (2), 135-154. DOI: 10.1080 / 107205300265928
- ДеДоменико, Г.С. (нет данных). Что такое песочная терапия? Получено с https://www.playbuildgrow.com/more-information/detailed-description-sandtray-therapy .
- Часто задаваемые вопросы. (нет данных). Международная ассоциация песочной терапии. Получено с https://sandtraytherapy.org/faq .
- Фридман, Х.С. и Митчелл Р. Р. (1994). Sandplay: прошлое, настоящее и будущее . Нью-Йорк, Нью-Йорк: Рутледж.
- Линцмайер, К. Д., & Халпенни, Э. А. (1 февраля 2013 г.). «Было весело»: оценка картинок в песочнице, инновационный визуально выразительный метод исследования детских впечатлений от природы. Международный журнал качественных методов, 12 (1), 310-337. DOI: 10.1177 / 160940691301200115
- Санганджанаванич, В. Ф. и Магнусон, С. (23 декабря 2011 г.).Использование подносов с песком и миниатюрных фигурок для облегчения принятия решения о карьере. The Career Development Quarterly, 59 (3), 264-273. DOI: 10.1002 / j.2161-0045.2011.tb00068.x
- Мировая техника. (нет данных). Доктор Маргарет Лоуэнфельд Траст. Получено с http://lowenfeld.org/the-world-technique .
Вредоносное ПО в образах
Введение
Злоумышленники часто хотят получить интересующую информацию из целевых компьютерных сред. Для достижения этой цели они обычно решают установить какое-то программное обеспечение, которое будет предоставлять эту информацию непрерывно.На протяжении всей истории наиболее распространенным способом сделать это было установить исполняемый файл и запустить его. Со временем защитные системы улучшились и стали более успешными в обнаружении таких исполняемых имплантатов. В этой игре в кошки-мышки обе стороны пытаются улучшить свои инструменты, и по мере совершенствования защитных инструментов злоумышленники пытаются найти новые способы контрабанды вредоносного ПО в систему. Есть несколько популярных способов сделать это, например, встраивание вредоносного кода в различные форматы документов или выполнение вредоносного кода в памяти без сохранения чего-либо на диске.Со временем решения по обеспечению безопасности все больше осознают такие угрозы.
ReversingLabs постоянно совершенствует свои возможности по обнаружению вредоносных программ. Один из наиболее новых методов, которые привлекли наше внимание, — это сокрытие вредоносных программ внутри графических форматов, таких как PNG, BMP, GIF или JPEG. Недавно мы расширили поддержку нашей платформы для распаковки этих форматов изображений и перечислили некоторые из этих улучшений в одном из наших предыдущих сообщений в блоге.
В этом блоге мы продемонстрируем, как эти новые усовершенствования могут быть использованы для обнаружения новых вредоносных программ, и продемонстрируем несколько примеров изображений со скрытым исполняемым содержимым PHP.Большинство из них пытаются получить дополнительные ресурсы с удаленного сервера и используют различные виды обфускации, чтобы скрыть свои злонамеренные намерения. В качестве примера поиска угроз с помощью этой новой функции также будет показана скрытая веб-оболочка, которая привела к обнаружению уязвимого веб-сайта.
Вредоносное ПО, скрывающееся в образах
Форматы изображений представляют интерес для авторов вредоносных программ, поскольку они обычно считаются гораздо менее опасными, чем исполняемые файлы. Образы могут использоваться для развертывания вредоносных программ в сочетании с дроппером, где дроппер действует как безопасный исполняемый файл, который анализирует вредоносный контент, скрытый внутри изображения.
Одной из областей, где можно использовать этот метод, является загрузка в Интернет. Многие веб-сайты позволяют загружать изображения, но неправильно отфильтровывают исполняемые файлы и скрипты. В таких случаях вредоносный код может быть упакован в изображение и загружен на веб-сервер, содержащий потенциальную уязвимость, которая позволяет выполнить его содержимое. Вероятно, наиболее знакомый тип такой полезной нагрузки — это веб-оболочки PHP.
Злоумышленники обнаруживают и используют уязвимости в приложениях, используемых для анализа форматов изображений.Чтобы оставаться незамеченными и не привлекать внимание средств безопасности, они обычно стараются создавать файлы, которые соответствуют спецификации формата изображения, когда это возможно.
Самый простой способ встроить вредоносный контент в изображение — добавить его в конец изображения или, как его обычно называют, наложение. Злоумышленники обычно просто берут неопасный файл изображения и добавляют некоторое содержание. Это делает его хорошо известным методом, который довольно легко обнаружить.
Например, в случае файла GIF все байты после байта конца (0x3B) GIF могут считаться наложенными.В случае файла PNG все, что находится после конца фрагмента IEND , может считаться наложением. Это концептуально то же самое, что и добавление контента в любой другой обычный формат файла, поэтому мы не будем вдаваться в подробности о наложениях в этом сообщении блога.
Еще одно интересное место для поиска вредоносных программ при анализе образцов изображений — это теги EXIF. Эти теги представляют собой поля метаданных, используемые для хранения дополнительных описательных данных об изображении, таких как модель камеры, используемой для съемки, дата и время, когда был сделан снимок, или даже геолокация места, где было снято изображение.Эти данные являются частью формата изображения, но они не требуются для визуальной интерпретации изображения, и некоторые инструменты, используемые для просмотра изображений, не предоставляют пользователям все эти теги, что делает их отличным укрытием.
Вредоносное ПО в тегах PHP EXIF
Titanium Platform использует собственный синтаксический анализатор для извлечения этих полей метаданных и позволяет искать изображения на основе их содержимого метаданных EXIF. Поэтому интересной отправной точкой является поиск изображений, содержащих код PHP в своих тегах EXIF.Даже такой простой поисковый запрос дает несколько достойных результатов.
Использование расширенного поиска A1000 для поиска образца с кодом PHP в тегах exif
Первым в списке идет файл с хешем SHA1 b497e231d19934c5d96853985bdbc147589a9a77. Анализ его тегов Artist и ImageDescription EXIF показывает, что код PHP получает контент с URL-адреса. Несмотря на то, что это не обязательно вредоносное поведение, поскольку оно может иметь некоторые законные применения, также вполне возможно, что такой PHP-код может быть использован для получения вредоносного контента с сервера C2.
EXIF данные из b497e231d19934c5d96853985bdbc147589a9a77 образца
Второй в списке — файл с хешем SHA1 518178bdd959ca17eca15777d38499bc9f3d95ad. Он имеет довольно большой фрагмент кода в теге Copyright . В начале фрагмента приведены некоторые манипуляции с комментариями PHP. Кажется, что код пытается скрыть тот факт, что это сценарий PHP, закомментировав открывающий тег PHP. Обычные парсеры PHP игнорируют комментарий, открывающийся перед тегом.Однако некоторые инструменты могут иметь другую реализацию алгоритма синтаксического анализа PHP.
EXIF данные из 518178bdd959ca17eca15777d38499bc9f3d95ad образца
Детальный взгляд на код показывает, что он пытается открыть сокет для определенного IP-адреса и порта, а затем использует этот сокет для получения потока данных и его последующего выполнения с помощью функции eval (). Несмотря на то, что IP-адрес принадлежит к частному диапазону IP-адресов, трудно представить себе законную причину для встраивания такого кода в тег EXIF изображения.Такой образец может быть использован злоумышленником для бокового движения в частной сети после того, как он получит начальную точку опоры.
Третий пример — файл с хешем SHA1 1c308589a493469416df53acaa75a7fd4aed7e65. Единственные метаданные EXIF - это тег Copyright . Очевидно, что это специально подобранная последовательность байтов. Небольшой поиск в Google дает быстрый ответ: этот PHP-код использовался в прошлом, чтобы проверить, уязвим ли сервер для атак включения файлов.В основном на сайтах, использующих системы управления контентом, такие как Joomla или WordPress .
EXIF данные из 1c308589a493469416df53acaa75a7fd4aed7e65 образца
Хотя этот код PHP сам по себе обнаруживается большинством инструментов безопасности, его скрытие внутри изображения резко снижает скорость обнаружения. Понятно, почему уровень обнаружения был низким 10 лет назад, когда этот код был впервые обнаружен в дикой природе, но проблема в том, что уровень обнаружения этого типа контрабанды кода за последние годы существенно не улучшился.
Как упакованная веб-оболочка привела к уязвимому веб-сайту
Предыдущие образцы были найдены с помощью расширенной поисковой системы Titanium Platform, но еще один способ найти интересные файлы — использовать функцию ReversingLabs YARA Retrohunt.
rule image_eval_hunt
{
strings:
$ png = {89 50 4E 47}
$ jpeg = {FF D8 FF}
$ gif = «GIF»
$ eval = «eval (»
условие:
(($ png при 0) или ($ jpeg на 0) или ($ gif на 0)) и $ eval
}
Правило YARA для поиска образцов с помощью eval call
Предоставленное правило YARA пытается сопоставить образцы, начинающиеся с некоторых из последовательностей магических байтов, характерных для форматов изображений, а также иметь строку «eval (» внутри, что означает, что они потенциально имеют вызов функции eval где-то в содержимом изображения. чего не ожидается в мультимедийных файлах.TitaniumCloud YARA Retrohunt предоставляет довольно много образцов, и после анализа результатов появляются два интересных. Оба этих примера содержат код PHP в обычном сегменте изображения.
Первый — это файл с хешем SHA1 e3a64475e1272f34fe8a9043b486d60595460aa2.
ReversingLabs A1000 — Пример сводки
Из аннотации видно, что это изображение в формате JPEG. В сводке также показано, что Titanium Platform обнаружила и извлекла из нее дополнительный файл.Быстрый анализ извлеченных файлов показывает, что он распознается как текстовый / PHP-файл, и при использовании функции предварительного просмотра A1000 отображается его содержимое. Этот простой сценарий PHP сначала декодирует строку в кодировке base64, а затем вызывает функцию eval для декодированного содержимого.
Предварительный просмотр содержимого сегмента, извлеченного из образца изображения
Строка в кодировке base64 может быть декодирована с помощью удобного инструмента CyberChef. Эта операция приводит к более запутанному PHP-коду, который можно увидеть на следующем изображении.
Результат декодирования строки base64 первого уровня
Приведенный выше код выполняет самодеобфускацию и приводит к еще одному уровню запутанного кода. Этот метод обфускации включает в себя вставку символа «I» в случайных местах в некоторые строковые литералы и вставку последовательности символов «an», чтобы скрыть строку create_function .
Самый простой способ деобфускации такого PHP-кода — это скопировать / вставить его в песочницу PHP и заменить последнюю строку кода на echo в переменной $ H.Это распечатает деобфусцированный код.
Результат деобфускации кода второго уровня
Это последний слой. Он берет необработанные данные после HTTP-заголовков HTTP-запроса и пытается найти контент, ограниченный значениями, указанными в переменных $ kh и $ kf . Когда регулярное выражение сопоставляется, оно берет содержимое между разделителями, декодирует его через base64 и передает его в качестве аргумента функции x , которая выполняет простую расшифровку XOR.Результатом всех этих операций является сжатый поток, который распаковывается и затем выполняется функцией eval .
Помимо информации о функциональности кода, встроенного в изображение, Titanium Platform также предоставляет способ найти источник образца. Глядя на источники, из которых был получен этот образец, обнаруживается интересный URL.
ReversingLabs A1000 — Источник образца
Этот образец можно найти в открытом доступе на веб-сайте behinburg.com . По этому адресу находится веб-сайт иранского туристического агентства, выглядящего вполне законно. Путь URL содержит интересную структуру каталогов с «загрузками», которые имеют неограниченный доступ к контенту, загруженному пользователями. Веб-сайт также не пытается ограничить доступ неавторизованных пользователей к структуре каталогов. Содержимое каталога, в котором находилось это изображение, включало 35 других файлов, загруженных в период с 11 по 12 декабря 2020 года. Все они содержали какую-то веб-оболочку и, очевидно, использовались в попытке взломать этот сервер.
Справочник
Используя нашу телеметрию, мы не смогли определить, была ли попытка злоумышленника успешной. Однако в этом случае злоумышленнику не нужно было получать какие-либо дополнительные привилегии для получения конфиденциальных данных. В том же каталоге загрузки, помимо файлов, загруженных злоумышленником, можно было найти множество изображений, содержащих сканы паспортов. Это туристическое агентство позволяет своим пользователям подавать заявление на получение иранской визы с помощью своей веб-страницы. Чтобы подать заявку, пользователям необходимо загрузить скан паспорта через веб-форму.
Часть визовой анкеты
Загруженные изображения хранятся на сервере неопределенное время. Хранение незащищенных и незашифрованных файлов в общедоступном веб-каталоге — очень плохая практика безопасности. Пользователям рекомендуется рассмотреть другие варианты, прежде чем загружать отсканированные изображения своих личных документов на любую веб-страницу. Есть много подобных веб-сайтов, которые не следуют лучшим методам безопасности, когда дело доходит до обработки личной информации.
Когда маленький PHP-код приводит его большого друга
Последний пример, который мы рассмотрим, — это изображение в формате JPEG со встроенным PHP-скриптом в одном из его обычных сегментов. Это сохраняет его в соответствии со спецификацией формата JPEG. Titanium Platform может легко обнаруживать и извлекать такой встроенный вредоносный контент.
Пример сводки
Предварительный просмотр фрагмента извлеченного изображения показывает, что это еще один запутанный PHP-скрипт. На этот раз метод обфускации создает строку URL путем вызова функции chr для целочисленных значений, представляющих коды ASCII.Затем выходные символы объединяются, чтобы сформировать результирующий URL.
ReversingLabs A1000 — Предварительный просмотр содержимого сегмента
Комментарии PHP между паролем $ и присвоением переменной $ c закодированы в ISO 2022 Simplified Chinese , что дает нам представление о возможном происхождении этого вредоносного сценария.
Весь PHP-код с деобфусцированными константами в комментариях можно увидеть на следующем изображении.
Содержание скрипта
Деобфусцированный URL «http: // i.niupic.com/images/2017/05/21/v1QR1M.gif » был доступен на момент написания. На нем размещен файл с хешем SHA1 370788d26150bba413082979e26da4cd6828a752.
Это сжатый поток Gzip, содержащий веб-оболочку PHP. Он имеет размер 145 КБ и содержит почти 3000 строк кода PHP, включая функции, которые включают повышение привилегий, работу с базой данных SQL, загрузку файлов, сканирование портов и некоторые другие.
Большинство строковых литералов в сообщениях, отображаемых веб-оболочкой, закодированы в уже упомянутом наборе символов китайского языка.
Поиск в Google информации по конкретным строкам показывает, что некоторые китайские источники называют этот тип веб-оболочки PHP Малайзия бэкдором , с одним аналогичным образцом, найденным в этом репозитории github.
Заключение
Форматы изображениймогут быть столь же опасными, как и исполняемые файлы, и Titanium Platform — надежный партнер, который может быстро обнаружить такие встроенные угрозы. Несмотря на то, что в большинстве случаев образы используются в качестве неисполняемого контейнера для вредоносных программ, бывают случаи, когда изображения могут запускать выполнение, если помещены в неожиданное или неправильно настроенное место.Например, описанные веб-оболочки PHP размещены на уязвимом сервере.
Вот почему каждый элемент контента, поступающий в бизнес-сеть, должен быть проанализирован и проверяться на наличие вредоносного контента, независимо от формата файла. Авторы вредоносных программ и злоумышленники всегда будут искать слепые зоны, где они могут обойти защиту. Пробелы в обнаружении могут привести к серьезному прерыванию бизнес-операций и нанести ущерб бренду.
ReversingLabs постоянно совершенствует свои продукты, чтобы не отставать от бессонных авторов вредоносных программ.Хотя некоторые решения безопасности могут помочь вам определить, содержит ли неисполняемый файл что-то, что может считаться вредоносным, Titanium Platform предоставляет вам дополнительную информацию, которая поможет вам понять, как, где и почему контент считается вредоносным. Его возможности проверки дают вам возможность анализировать и собирать метаданные из более чем 400 форматов файлов. Для обнаружения вредоносных программ до того, как они станут проблемой.
Список IOC
Следующий список содержит хэши SHA1 образцов, упомянутых в этом сообщении в блоге.
b497e231d19934c5d96853985bdbc147589a9a77
518178bdd959ca17eca15777d38499bc9f3d95ad
1c308589a493469416df53acaa75a7fd4aed7e65
e3a64475e1272f34fe8a9043b486d60595460aa2
9b7284f89af7174a1d3ba91330f67c08a0054c60
370788d26150bba413082979e26da4cd6828a752
Прочтите другие исследовательские блоги Карло:
Определение, типы, методы и эффективность
Что такое песочная терапия?
Терапия песочными подносами или песочная терапия — это терапевтический подход, используемый для людей, которые пережили травмирующее событие, такое как жестокое обращение или катастрофический инцидент.Хотя этот вид терапии чаще всего используется с детьми, песочная терапия также может быть полезна для подростков и взрослых.
При использовании этой терапии психотерапевты используют песочные лотки для оценки, диагностики или лечения различных психических заболеваний. Исследования показывают, что песочная терапия может помочь улучшить эмоциональное выражение, уменьшив психологический стресс, который может возникнуть в результате обсуждения травмирующих событий или переживаний.
Терапия с песочными лотками была разработана Дорой Калфф, вдохновленной работой с Маргарет Ловенфельд, британским детским психиатром и разработчиком World Technique.На юнгианскую теорию Кальфа также повлияли буддийские созерцательные практики.
Терапия с песочными лотками основана на представлении о том, что если терапевт предоставляет клиенту безопасное пространство, клиент будет использовать песочные лотки для самостоятельного решения своих проблем.
Типы игровой терапии
Терапия с песочницей — это разновидность игровой терапии. К другим распространенным типам игровой терапии относятся:
- Библиотерапия , которая использует литературу для изучения конкретных концепций или навыков
- Когнитивно-поведенческая игровая терапия , которая использует игру, чтобы помочь ребенку научиться думать и вести себя по-другому (например, просят ребенка дать своей кукле или мягкому игрушечному животному совет о том, как справиться со стрессовой ситуацией)
- Сыновняя терапия , цель которой — научить родителей взаимодействовать с ребенком через игру
- Воображаемая игра , в которой используются игрушки, такие как наряженная одежда, куклы или фигурки, чтобы пробудить детское воображение
Методы
Терапия песочными лотками — это комбинация игровой терапии и арт-терапии.Терапевт предоставляет клиенту поднос или коробку с песком, а также различные миниатюрные игрушки для создания игрового мира. Игрушки могут включать в себя что угодно, от сельскохозяйственных животных и динозавров до людей и автомобилей. Также распространены деревья, заборы, ворота, двери и постройки.
Клиенты выбирают, какие игрушки положить в лоток, и расставляют их так, как они хотят. Между тем терапевт в основном выполняет роль наблюдателя и редко прерывает клиента.
Те, кто предлагает этот тип терапии, считают, что клиенты создадут мир, отражающий их внутренние проблемы или конфликты.После завершения игры с песком терапевт и клиент обычно обсуждают то, что наблюдалось — игрушки, которые были выбраны, как они были расположены, а также любые символические или метафорические значения.
Затем клиент может переставить игрушки на основе обсуждения. Терапия с песочницей может также включать терапию разговорами, другие виды игры или арт-терапии или другие виды лечения.
Что может помочь терапия с использованием песочных лотков?
Было показано, что песочная терапия помогает при следующих проблемах:
- Синдром дефицита внимания с гиперактивностью (СДВГ)
- Нападение
- Управление гневом
- Тревожные расстройства
- Расстройство аутистического спектра
- Депрессия
- Развод
- Горе и потеря
- Низкая самооценка
- Физические нарушения и нарушения обучаемости
- Проблемы, связанные со школой
- Социальные проблемы
- Травма и кризис
Преимущества песочной терапии
Исследования показывают, что песочная терапия уменьшает симптомы многих проблем с психическим здоровьем и повышает сопротивляемость.Поскольку песочная терапия не структурирована, она позволяет клиентам испытать исцеление в процессе лечения.
Клиенты освобождают себя от глубоко укоренившихся негативных эмоций во время песочной терапии, потому что они могут выражать свои внутренние мысли, чувствуя, что терапевт их принимает.
Sandplay также может помочь терапевтам вникнуть в смыслы, которые клиенты развивают и приписывают своему опыту, отслеживая их взаимодействие с игрушками или символами, с которыми они хотят играть.
Кроме того, песочная терапия часто доставляет удовольствие, способствуя естественному выражению эмоций. Его можно использовать как часть индивидуальной, групповой или семейной терапии.
Эффективность
Исследования показывают, что песочные поддоны являются эффективным способом решения множества проблем и могут использоваться в самых разных группах населения.
- Исследование, проведенное в Корее, показало, что песочная игра в рамках школьного консультирования привела к повышению самооценки и значительным изменениям эмоциональных проблем у четвертых и пятых классов.
- Исследование, проведенное на 4–5-летних детях с проблемами экстернализирующего поведения, показало, что эти дети проявляли менее агрессивное поведение после 30 минут групповой игры в песочнице. Они проходили терапию дважды в неделю по 16 сеансов.
- Другое небольшое исследование, проведенное в Корее, включало трех детей, ставших свидетелями домашнего насилия. Было обнаружено, что поддерживающая музыка и образы в сочетании с песочной терапией улучшили эмоциональную и поведенческую адаптивность после шести индивидуальных занятий.
- Между тем, в другом исследовании оценивали песочные игры женщин-мигрантов в Корее. Исследователи обнаружили, что групповая песочная терапия способствует позитивному самовыражению и снижает негативное самовыражение.
- В Китае проводится исследование с участием мальчиков с синдромом Аспергера — диагнозом, который DSM-5 поставил на пенсию и сегодня считается расстройством аутистического спектра (РАС) первого уровня, сочетает песочную терапию с другими формами лечения. Он пришел к выводу, что песочная терапия помогла мальчикам развить психологическое благополучие и навыки межличностного общения.
- Исследователи предполагают, что песочная терапия может помочь уязвимым, довербальным детям с травмами, что делает ее хорошей стратегией для тех, кто слишком молод, чтобы рассказывать о своем травматическом опыте. Исследование, подтверждающее эту теорию, было проведено на 3-летней сироте с вирусом иммунодефицита человека (ВИЧ). Исследователи обнаружили, что песочная терапия оказывала ребенку эмоциональную поддержку.
На что обратить внимание
Некоторые люди считают терапию песочными лотками запутанной и трудоемкой или слишком зависимой от клинической экспертизы терапевта, отмечая, что интерпретация изображений песка может быть расплывчатой или двусмысленной.Кроме того, взрослые, которым не хватает творческих способностей, могут сопротивляться этой форме терапии.
Нередко возникает вопрос, как использование миниатюрных игрушек в песке помогает решить любые проблемы. Но песочная терапия может дать терапевтам возможность заглянуть внутрь того, что может беспокоить их клиентов. Это особенно полезно для людей, которым трудно говорить о факторах стресса.
Когда песочная терапия используется как часть плана лечения, терапевт может предоставить поднос с песком, а затем искать общие темы, которые указывают на неуверенность или агрессивное поведение, а также на стойкость и позитивное эмоциональное выражение.
Если вас беспокоит эффективность лечения, поделитесь своими опасениями с терапевтом. Вместе вы сможете составить план лечения, соответствующий вашим потребностям.
С чего начать
Если вы думаете, что вам или вашему близкому может помочь терапия с песочницей, начните с разговора со своим врачом. Ваш врач может направить вас к местному терапевту.
- Найдите сертифицированного специалиста . В то время как любой психотерапевт может провести терапию с песочницей, некоторые терапевты имеют специальную сертификацию в области песочной терапии.Sandplay Therapists of America предлагает справочник сертифицированных терапевтов с песочными играми.
- Позвоните в свою медицинскую страховку . Поинтересуйтесь, покрывается ли ваша медицинская страховка терапией с использованием песочных лотков и, если нет, принимает ли терапевт оплату по скользящей шкале.
- Знайте, чего ожидать . Сеансы подноса с песком могут длиться от 30 до 60 минут и планироваться еженедельно или раз в две недели. По прибытии на сеанс терапевт приветствует вас и дает вам пустой лоток для песка и миниатюры, чтобы вы могли приступить к работе.Терапевт может попросить сфотографировать ваши песочные поддоны, чтобы можно было со временем проанализировать изменения в создаваемых вами сценах.
- Будьте готовы ответить на вопросы . В конце каждого сеанса терапевт может уделить время разговору о вашей песочнице. Например, они могут обсудить, что это может означать, если одомашненные животные в вашем песочнике находятся в клетке, а более опасные животные могут свободно бродить. Вместе вы можете найти какой-то смысл в песочнице. Также возможно, что вообще будет мало обсуждений.Вместо этого терапевт может просто предоставить вам безопасное место для работы.
вредоносных программ | Шаги и примеры
Что такое анализ вредоносных программ?
Анализ вредоносного ПО — это процесс понимания поведения и назначения подозрительного файла или URL-адреса. Результаты анализа помогают в обнаружении и смягчении потенциальной угрозы.
Основным преимуществом анализа вредоносных программ является то, что он помогает специалистам по реагированию на инциденты и аналитикам безопасности:
- Прагматическая сортировка инцидентов по степени серьезности
- Обнаружение скрытых индикаторов взлома (IOC), которые должны быть заблокированы
- Повышение эффективности предупреждений и уведомлений IOC
- Обогащение контекста при поиске угроз
Типы анализа вредоносных программ
Анализ может проводиться статическим, динамическим или гибридным способом.
Статический анализ
Базовый статический анализ не требует фактического запуска кода. Вместо этого статический анализ проверяет файл на наличие признаков злого умысла . Это может быть полезно для выявления вредоносной инфраструктуры, библиотек или упакованных файлов.
Определяются технические индикаторы, такие как имена файлов, хэши, строки, такие как IP-адреса, домены и данные заголовка файла, которые могут использоваться для определения того, является ли этот файл вредоносным. Кроме того, такие инструменты, как дизассемблеры и сетевые анализаторы, могут использоваться для наблюдения за вредоносным ПО без его фактического запуска, чтобы собрать информацию о том, как работает вредоносное ПО.
2021 CrowdStrike Global Threat Report
Загрузите 2021 Global Threat Report , чтобы выявить тенденции в постоянно меняющихся тактике, методах и процедурах злоумышленников, которые наши команды наблюдали в прошлом году.
Загрузить сейчасОднако , поскольку статический анализ фактически не запускает код, сложное вредоносное ПО может включать вредоносное поведение во время выполнения, которое может остаться незамеченным . Например, если файл генерирует строку, которая затем загружает вредоносный файл на основе динамической строки, он может остаться незамеченным при базовом статическом анализе.Предприятия обратились к динамическому анализу для более полного понимания поведения файла.
Динамический анализ
Динамический анализ вредоносных программ выполняет предполагаемый вредоносный код в безопасной среде, которая называется песочницей . Эта закрытая система позволяет специалистам по безопасности наблюдать за вредоносным ПО в действии, не рискуя заразить их систему или проникнуть в корпоративную сеть.
Динамический анализ предоставляет охотникам за угрозами и лицам, отвечающим за реагирование на инциденты, более глубокую видимость, позволяя им раскрыть истинную природу угрозы.В качестве дополнительного преимущества автоматизированная песочница исключает время, которое потребуется на обратное проектирование файла для обнаружения вредоносного кода.
Проблема с динамическим анализом заключается в том, что злоумышленники умны и знают, что существуют песочницы, поэтому они очень хорошо умеют их обнаруживать. Чтобы обмануть песочницу, злоумышленники прячут внутри нее код, который может оставаться бездействующим до тех пор, пока не будут выполнены определенные условия. Только после этого запускается код.
Гибридный анализ (включает оба вышеперечисленных метода)
Базовый статический анализ не является надежным способом обнаружения сложного вредоносного кода, а сложные вредоносные программы иногда могут скрыться от присутствия технологии песочницы. Комбинируя методы базового и динамического анализа, гибридный анализ предоставляет группе безопасности лучшее из обоих подходов — в первую очередь потому, что он может обнаруживать вредоносный код, который пытается скрыть, а затем может извлекать гораздо больше индикаторов компрометации (IOC) статически и предварительно. невидимый код. Гибридный анализ помогает обнаруживать неизвестные угрозы, даже от самых сложных вредоносных программ.
Например, гибридный анализ применяет статический анализ к данным, сгенерированным поведенческим анализом, например, когда часть вредоносного кода запускается и генерирует некоторые изменения в памяти.Динамический анализ обнаружит это, и аналитики будут предупреждены, чтобы они вернулись и выполнили базовый статический анализ этого дампа памяти. В результате будет создано больше IOC и будут обнаружены эксплойты нулевого дня.
Узнать больше
Falcon Sandbox позволяет командам по кибербезопасности любого уровня подготовки лучше понимать угрозы, с которыми они сталкиваются, и использовать эти знания для защиты от будущих атак. Узнайте больше о Falcon Sandbox здесь.
Примеры использования анализа вредоносных программ
Обнаружение вредоносных программ
Злоумышленники используют более сложные методы, чтобы избежать традиционных механизмов обнаружения.Обеспечивая глубокий поведенческий анализ и идентифицируя общий код, вредоносные функции или инфраструктуру, можно более эффективно обнаруживать угрозы. Кроме того, результатом анализа вредоносных программ является извлечение IOC. Затем IOC могут быть загружены в SEIM, платформы анализа угроз (TIP) и инструменты оркестровки безопасности, чтобы помочь в предупреждении групп о связанных угрозах в будущем.
Предупреждения об угрозах и сортировка
Решениядля анализа вредоносных программ обеспечивают более точные оповещения на ранних этапах жизненного цикла атаки.Таким образом, команды могут сэкономить время, отдавая приоритет результатам этих предупреждений перед другими технологиями.
Реагирование на инциденты
Цель группы реагирования на инциденты (IR) — провести анализ первопричин, определить последствия и добиться успеха в устранении и восстановлении. Процесс анализа вредоносных программ помогает повысить эффективность и результативность этих усилий.
Охота на угрозы
Анализ вредоносных программ может выявить поведение и артефакты, которые охотники за угрозами могут использовать для обнаружения аналогичных действий, таких как доступ к определенному сетевому соединению, порту или домену.Выполняя поиск в журналах брандмауэра и прокси или в данных SIEM, группы могут использовать эти данные для поиска похожих угроз.
Исследование вредоносного ПО
Академические или отраслевые исследователи вредоносных программ проводят анализ вредоносных программ, чтобы получить представление о новейших методах, эксплойтах и инструментах, используемых злоумышленниками.
Этапы анализа вредоносного ПО
Анализ статических свойств
Статические свойства включают строки, встроенные в код вредоносной программы, детали заголовка, хэши, метаданные, встроенные ресурсы и т. Д.Этот тип данных может быть всем, что нужно для создания IOC, и их можно получить очень быстро, потому что нет необходимости запускать программу, чтобы их увидеть. Информация, собранная в ходе анализа статических свойств, может указать, необходимо ли более глубокое исследование с использованием более всеобъемлющих методов, и определить, какие шаги следует предпринять дальше.
Интерактивный анализ поведения
Поведенческий анализ используется для наблюдения за образцом вредоносного ПО, работающего в лаборатории, и взаимодействия с ним.Аналитики стремятся понять реестр образца, файловую систему, процессы и сетевую активность. Они также могут проводить экспертизу памяти, чтобы узнать, как вредоносная программа использует память. Если аналитики подозревают, что у вредоносной программы есть определенные возможности, они могут провести имитационное моделирование, чтобы проверить свою теорию.
Поведенческий анализ требует творческого аналитика с продвинутыми навыками. Этот процесс трудоемкий и сложный, и его невозможно эффективно выполнить без автоматизированных инструментов.
Полностью автоматизированный анализ
Полностью автоматизированный анализ, быстрый и простой анализ подозрительных файлов.Анализ может определить возможные последствия, если вредоносная программа проникнет в сеть, а затем составить удобный для чтения отчет, который дает быстрые ответы для групп безопасности. Полностью автоматизированный анализ — лучший способ масштабной обработки вредоносных программ.
Ручное переключение кода
На этом этапе аналитики реконструируют код с помощью отладчиков, дизассемблеров, компиляторов и специализированных инструментов для декодирования зашифрованных данных, определяют логику алгоритма вредоносного ПО и понимают любые скрытые возможности, которые вредоносное ПО еще не продемонстрировало.Реверсирование кода — это редкий навык, а выполнение реверсирования кода занимает много времени. По этим причинам при расследовании вредоносных программ этот шаг часто пропускается, и поэтому упускается много ценных сведений о природе вредоносного ПО.
Самая мощная песочница для вредоносных программ в мире
Команды безопасностимогут использовать CrowdStrike Falcon® Sandbox для анализа сложных атак вредоносного ПО и усиления своей защиты. Falcon Sandbox ™ выполняет глубокий анализ скрытых и неизвестных угроз и обогащает результаты аналитикой угроз.
Ключевые преимущества Falcon Sandbox
- Обеспечивает глубокое понимание всей файловой, сетевой и памяти активности
- Предлагает передовую технологию обнаружения «песочницы».
- Создает интуитивно понятные отчеты с криминалистическими данными, доступными по запросу.
- Поддерживает платформу MITER ATT & CK®
- Управляет рабочими процессами с помощью обширного интерфейса прикладного программирования (API) и встроенных интеграций
Обнаружение неизвестных угроз
Falcon Sandbox извлекает больше IOC, чем любое другое конкурирующее решение для песочницы, за счет использования уникальной технологии гибридного анализа для обнаружения неизвестных уязвимостей и уязвимостей нулевого дня.Все данные, извлеченные из гибридного механизма анализа, обрабатываются автоматически и интегрируются в отчеты Falcon Sandbox.
Falcon Sandbox имеет технологию защиты от уклонения, которая включает в себя ультрасовременное обнаружение анти-песочницы. Мониторинг файлов выполняется в ядре и не может быть отслежен приложениями пользовательского режима. Не существует агента, который можно было бы легко идентифицировать с помощью вредоносных программ, и каждый выпуск постоянно тестируется, чтобы гарантировать, что Falcon Sandbox практически не обнаруживается даже вредоносными программами, использующими самые сложные методы обнаружения песочницы.Среду можно настроить по дате / времени, переменным среды, поведению пользователя и т. Д.
Выявление связанных угроз
Уметь защищаться от нападения, понимая противника. Falcon Sandbox дает представление о том, кто стоит за атакой вредоносного ПО, с помощью поиска вредоносного ПО — уникальной возможности, которая определяет, связан ли файл вредоносного ПО с более крупной кампанией, семейством вредоносных программ или злоумышленником. Falcon Sandbox автоматически выполнит поиск в крупнейшей поисковой системе вредоносных программ в индустрии кибербезопасности, чтобы найти соответствующие образцы, и в течение нескольких секунд расширит анализ, включив в него все файлы.Это важно, потому что это дает аналитикам более глубокое понимание атаки и больший набор IOC, которые можно использовать для лучшей защиты организации.
Добейтесь полной видимости
Раскройте полный жизненный цикл атаки с глубоким анализом всех файлов, сети, памяти и активности процессов. Аналитики на всех уровнях получают доступ к легким для чтения отчетам, которые делают их более эффективными в выполнении своих функций. Отчеты предоставляют практические рекомендации по приоритизации угроз и реагированию, поэтому группы IR могут отслеживать угрозы, а группы криминалистов могут углубляться в записи памяти и трассировки стека для более глубокого анализа.Falcon Sandbox анализирует более 40 различных типов файлов, включая широкий спектр исполняемых файлов, форматов документов и изображений, а также файлов сценариев и архивов, и поддерживает Windows, Linux и Android.
Отвечайте быстрее
Команды безопасностиболее эффективны и быстрее реагируют благодаря простым для понимания отчетам Falcon Sandbox, оперативным IOC и бесшовной интеграции. Оценка угроз и сводки реагирования на инциденты делают немедленную сортировку реальностью, а отчеты, обогащенные информацией и IOC от CrowdStrike Falcon MalQuery ™ и CrowdStrike Falcon Intelligence ™, обеспечивают контекст, необходимый для более быстрого и правильного принятия решений.
Falcon Sandbox интегрируется с помощью простого REST API, встроенных интеграций и поддержки форматов совместного использования индикаторов, таких как Structured Threat Information Expression ™ (STIX), OpenIOC, перечисление и характеристика атрибутов вредоносного ПО (MAEC), платформа приложений для совместного использования вредоносных программ ( MISP) и XML / JSON (расширяемый язык разметки / нотация объектов JavaScript). Результаты могут быть получены с помощью SIEM, TIP и систем оркестровки.
Доступно облачное или локальное развертывание.Облачный вариант обеспечивает немедленную окупаемость и снижает затраты на инфраструктуру, а локальный вариант позволяет пользователям блокировать и обрабатывать образцы исключительно в своей среде. Оба варианта обеспечивают безопасную и масштабируемую среду песочницы.
Автоматика
Falcon Sandbox использует уникальную технологию гибридного анализа, которая включает автоматическое обнаружение и анализ неизвестных угроз. Все данные, извлеченные из гибридного механизма анализа, обрабатываются автоматически и интегрируются в отчеты Falcon Sandbox.Автоматизация позволяет Falcon Sandbox обрабатывать до 25 000 файлов в месяц и создавать крупномасштабное распределение с использованием балансировки нагрузки. Пользователи сохраняют контроль благодаря возможности настраивать параметры и определять способ взрыва вредоносного ПО.
Узнайте, как CrowdStrike может помочь вам получить больше от анализа вредоносных программ:
Начать бесплатную пробную версию
Что такое режим песочницы Windows в Windows 10?
Давным-давно я писал об использовании Client Hyper-V и включении и выключении режима расширенного сеанса гостя, чтобы использовать его в качестве среды песочницы.Эта процедура работает, но многие находят ее неудобной, и для ее правильного использования могут потребоваться изрядные усилия. Предстоящая функция Windows 10 в конечном итоге упростит эти виды деятельности. В настоящее время она называется «Windows Sandbox», и вы можете найти ее в текущей и будущих сборках Windows Insider. Я опробовал новую функцию и покажу вам экскурсию.
Что такое песочница Windows?
Более подробно вы можете прочитать в официальном анонсе, который включает достаточно подробную техническую информацию.Windows Sandbox сочетает в себе функции виртуальных машин и контейнеров для создания легкой временной виртуальной машины. В отличие от традиционной виртуальной машины Hyper-V, операционная система управления запускает Windows Sandbox больше как процесс, чем традиционный раздел, что дает ему профиль производительности, более похожий на тип 2, чем на тип 1. Я хочу выделить несколько ключевых моментов:
- Transient : при отключении Windows Sandbox теряет все изменения и возвращается в фиксированное холодное состояние.
- Clean : Windows Sandbox запускается так же чисто, как и новая установка Windows при каждом запуске.
- Минимальное влияние на хост : Hyper-V обычно предоставляет приоритет управляющей операционной системе, но не совсем так, как мы обычно думаем о балансировке процессов. Когда вы устанавливаете более высокий приоритет для процесса в операционной системе, этот статус приоритета не передается планировщику гипервизора. Таким образом, Windows Sandbox использует новый тип планировщика, который заставляет его вести себя как процесс в операционной системе управления.Это позволит хосту отдавать приоритет своим высокоприоритетным процессам над песочницей Windows. Кроме того, Windows Sandbox также выполняет одностороннее отображение исполняемых файлов операционной системы хоста в пространство памяти песочницы. В результате вы увидите значительно меньшую нагрузку на память.
- Односторонний : В дополнение к отображению памяти исполняемые файлы операционной системы также отображаются в пространство памяти гостя. Экземпляр Windows Sandbox не может вносить какие-либо изменения в память, отображаемую с хоста.Любые изменения, которые он вносит в файлы на диске, происходят только в Windows Sandbox.
- По одному : Вы не можете запускать более одного экземпляра Windows Sandbox одновременно.
- Pro или Enterprise как минимум : Только SKU Pro и Enterprise позволяют использовать эту функцию. Я вижу серьезный аргумент в пользу того, что он также может быть у Home SKU. Однако при некотором мониторинге мы видим, что песочницы Windows используют некоторые из тех же компонентов, что и Hyper-V, который не поставляется в Home Edition.
Установка Windows Sandbox
Во-первых, вам необходимо использовать сборку Windows не ниже Insiders 18305. Я не ожидаю, что эта функция появится в основных выпусках ранее, чем версия 1903, которая должна выйти в марте. Как упоминалось в предыдущем разделе, Windows Sandbox появится только в версиях Pro и Enterprise.
Вы можете найти запись для Windows Sandbox в обычном окне Включение и отключение функций Windows :
Как ни странно, я не смог найти ни одной функции, которая бы соответствовала DISM.exe или Get-WindowsOptionalFeature .
Начало работы с Windows Sandbox
Вы найдете запись Windows Sandbox в меню «Пуск»:
При первом запуске Windows Sandbox необходимо полностью упорядочить базовые файлы в пригодный для использования контейнер. На вращающихся дисках это займет несколько минут. Итак, если вы какое-то время видите этот экран-заставку, подождите:
После загрузки вы получите новый красивый рабочий стол Windows, работающий в окне:
Если вы зарегистрируетесь в системе System , вы обнаружите, что она очень похожа на вашу локальную установку Windows:
Если копнуть дальше, то можно также обнаружить, что Windows Sandbox считается неактивированной установкой.Я не знаю, что произойдет, если вы пройдете активацию, но рекомендую не тратить зря ключи.
Также обратите внимание, что Windows Sandbox имеет NAT-IP для вас, чтобы вы могли иметь сетевое подключение. Вы также можете увидеть на этом снимке экрана, что у вас есть отдельная учетная запись пользователя при работе в Windows Sandbox:
Еще одна особенность: Windows Sandbox устанавливает часовой пояс на международную шкалу дат:
Если хотите, покопайтесь немного.Вы найдете и другие странности. Например, вы не можете включить другие функции.
Когда вы закончите, не закрывайте работающий экземпляр (когда я пытался вызвать ошибки). Просто щелкните X в строке заголовка Windows Sandbox. Вам будет предложено уничтожить экземпляр:
В следующий раз, когда вы запустите Windows Sandbox, она должна запуститься быстрее.
Использование Windows Sandbox в качестве инструмента тестирования
Если вы раньше не встречали этот термин, мы используем среды «песочницы» для безопасного тестирования.Что бы мы ни помещали в песочницу, мы ожидаем, что его эффекты останутся ограниченными этой песочницей. Я намеренно использовал слово «безопасное тестирование» нечетко, потому что оно может означать многое. Я считаю, что песочница Windows лучше всего подходит для тестирования неизвестных исполняемых файлов, которые могут содержать вредоносное ПО. Я продемонстрирую это.
Сначала разместим диагностический прибор. Мы ожидаем, что вредоносное ПО атакует процессы в памяти, реестре или файлах. Итак, мы хотим отслеживать такую активность. В вашем распоряжении множество вариантов для проведения такого мониторинга.Для этой демонстрации я выбрал инструмент, который большинству из нас уже известен: procmon Sysinternals.
Краткое знакомство с Procmon (Process Monitor)
Как и многие инструменты такого типа, вам нужно будет потратить время на то, чтобы познакомиться с ним, чтобы использовать его эффективно. Я не могу показать вам много, но даже небольшое знание имеет большое значение. Самое главное, потратьте немного времени на изучение того, как уменьшить шум на выходе. У вас есть три основных способа достичь этой цели:
- Исключить процессы напрямую : щелкните правой кнопкой мыши любой элемент в окне вывода и выберите Исключить <имя процесса> .Это отфильтрует все экземпляры этого процесса из списка:
- Прямой выбор процессов : щелкните и удерживайте целевой значок на панели инструментов Process Monitor, затем перетащите его в строку заголовка программы, которую вы хотите просмотреть. При необходимости вы также можете указать на подокна. В результате будут исключены все процессы , кроме , выделенного вами:
- Назначьте фильтр вручную : щелкните значок фильтра на панели инструментов Process Monitor.Откроется небольшое окно, в котором можно создавать логические операторы для включения или исключения процессов:
Для использования этого инструмента с максимальной эффективностью требуется некоторый опыт. При тестировании подозреваемого вредоносного ПО я рекомендую избегать выбора одного процесса. Ожидайте, что гнусные приложения будут задействовать законные процессы для выполнения своих приказов.
Как перенести файлы в Windows Sandbox
Вы не можете использовать перетаскивание для перемещения элементов в песочницу.Однако вы можете использовать буфер обмена для передачи файлов, текста, изображений и т. Д. Через границу контейнера. Итак, просто найдите файлы, которые вы хотите попробовать, в песочнице Windows и используйте любую технику, которую вы предпочитаете, чтобы поместить их в буфер обмена:
Внутри Windows Sandbox используйте любой из обычных инструментов буфера обмена, чтобы вставить файл. Вы можете размещать элементы прямо на рабочем столе или в папке, как обычно:
Демонстрация песочницы Windows
Помимо procmon, exe, я скопировал созданный мной сценарий PowerShell, который нанесет значительный ущерб системе, но, вероятно, не запустит какие-либо антивирусные инструменты.
Я включил сюда список вместе с первой строкой, которая, надеюсь, должна предотвратить случайное копирование / вставку непреднамеренного выхода из строя своих систем:
Сообщение об ошибке записи "Вы сошли с ума !?" -ErrorAction Stop Get-ChildItem -Path $ env: SystemDrive -Filter '*' -Recurse -ErrorAction SilentlyContinue | для каждого { if (-not $ _. PSIsContainer) { Remove-Item -Path $ _. FullName -ErrorAction SilentlyContinue } }
Без этой первой строки этот сценарий удалит все файлы на локальном системном диске.
В Windows Sandbox я сначала запустил Process Monitor с фильтром для уменьшения шума. Затем я запустил сценарий PowerShell:
В Process Monitor я вижу массовые события удаления файлов:
Имейте в виду, что даже при относительно жестком фильтре многие другие события по-прежнему значительно снижают видимость этих событий. Этот конкретный скрипт перечисляет файлы перед их удалением, поэтому он создает много собственного шума. Конечно, если бы я просто позволил сценарию дойти до его естественного конца, я бы заметил его повреждение.Я не ожидал такого очевидного результата от большинства вредоносных программ. Чтобы получить максимальную отдачу от Windows Sandbox, улучшите свои навыки цифровой криминалистики.
Ограничения Windows Sandbox
Мне нравится Windows Sandbox, но в некоторых отношениях она не соответствует альтернативным подходам:
- Каждый запуск всегда безупречен : В целом, полностью чистая среда с общеизвестным состоянием служит сильной стороной. Тем не менее, вы можете быстро найти утомительное занятие, если будете копировать инструменты при каждом новом использовании.Одна копия файла, например procmon.exe, не занимает много времени. Перемещение более крупного инструмента, особенно требующего установки, может оказаться утомительным.
- Нет устанавливаемых ролей или компонентов : Без возможности установки ролей или компонентов у вас будет ограниченный объем тестирования. Например, если вы не доверяете одному из моих сценариев Hyper-V, Windows Sandbox вам не поможет.
- Нет интерфейсов разработки : Песочницы имеют много жизнеспособных применений, помимо тестирования вредоносных программ.Разработчики программного обеспечения используют их, чтобы опробовать свою работу. Любой пользователь компьютера любого уровня может захотеть использовать его, чтобы опробовать какое-нибудь новое приложение в безопасном месте, прежде чем использовать его в своей реальной системе. К сожалению, простой метод копирования / вставки оказывается единственным способом отправить файлы в Windows Sandbox. Вы можете использовать сетевой интерфейс Windows Sandbox для подключения к внешним источникам, но в некоторых случаях это может оказаться непозволительным. Независимо от того, какое решение вы найдете, оно может быстро оказаться утомительным после нескольких итераций.
Можно разместить файлы до запуска Windows Sandbox. Я пробовал несколько разных способов, но безуспешно.
Вам нужно будет, по крайней мере, на данный момент, продолжать использовать традиционные виртуальные машины или контейнеры, если Windows Sandbox не соответствует вашим потребностям.
Windows Sandbox все еще нуждается в доработке
Я прочитал несколько отчетов о других проблемах, связанных с работой Windows Sandbox. Иногда мне не удается запустить его без перезагрузки управляющей операционной системы.Иногда некоторые его части зависают (например, меню «Пуск» и панель задач). Время от времени все замирает. Ожидайте проблем.
Если вы присоединитесь к программе Windows Insider, вы можете протестировать Windows Sandbox и предоставить отзывы, которые могут помочь в улучшении Windows Sandbox, прежде чем она попадет в официальный выпуск.
Внутренние компоненты Windows Sandbox
Статья в блоге о выпуске содержит много информации о внутреннем функционировании продукта Windows Sandbox.Я резюмирую несколько моментов и добавлю несколько собственных открытий.
- Windows Sandbox использует файлы базовой операционной системы установленной системы для создания образа песочницы. Он использует относительно небольшое количество собственных файлов.
- Выше я упомянул совместное использование памяти Windows Sandbox. В статье этот прием назван «прямой картой».
- Я также говорил о том, как Windows Sandbox позволяет управляющей операционной системе контролировать использование ЦП песочницы.В статье это называется «интегрированный планировщик ядра».
- Windows Sandbox использует то, что в статье называется «моментальным снимком» и «клонированием», чтобы ограничить использование и дублирование файлов. Я не могу напрямую определить, как они соотносятся с технологиями моментальных снимков / контрольных точек в Hyper-V, хотя само собой разумеется, что они имеют хоть какое-то отношение.
- В системе используются очевидно новые, но нечетко описанные методы виртуализации графики. В статье утверждается, что вы можете без проблем запускать графические приложения в Windows Sandbox.Учитывая другие ограничения Windows Sandbox, я не уверен в ценности этой технологии. Однако это может сигнализировать о будущем графики в Hyper-V.
- Файлы для песочницы Windows можно найти в папке C: ProgramDataMicrosoftWindowsContainers. Внесение изменений не дает положительного эффекта. Я могу остановить запуск Windows Sandbox до тех пор, пока я не перезагружу хост, но затем все вернется в ту же первозданную среду.
- Когда песочница активна, вы можете видеть запущенные процессы vmwp.exe.Это тот же исполняемый файл, который Hyper-V использует со своими виртуальными машинами.
- Если вы запускаете Windows Sandbox внутри виртуализированного экземпляра Windows 10, в нем должны быть включены расширения виртуализации процессора.
Попробуйте Windows Sandbox!
Если эта новая функция вас вообще заинтриговала, я предлагаю вам поучаствовать в программе предварительной оценки Windows и попробовать ее. Сообщите нам, как проходит ваше тестирование!
Process Hollowing встречает Cuckoo Sandbox
В детстве я любил смотреть фильмы ужасов.Оглядываясь назад, они напугали меня до смерти, вероятно, потому, что я был слишком молод, чтобы смотреть на них. Одним из таких фильмов был фильм 1986 года «Ночь чудовищ». Инопланетные слизни проникают через рот людей и в конечном итоге захватывают их тела. Классический фильм в стиле похитителей тела, который несколько дней заставлял меня волноваться, разговаривая с близкими людьми. Пустота процесса (также известная как замена процесса) — это метод, который вредоносное ПО использует для перезаписи запущенного процесса вредоносным кодом. Для меня это технический эквивалент похитителей тел инопланетян.В этом посте исследуются техники обработки пустот с использованием песочницы с кукушкой.Обработка пустотелых материалов (также известная как замена процесса)
В своем посте Prefetch File Meet Process Hollowing я рассмотрел, что это за процесс, но для полноты скопирую то, что написал ниже:
Malware использует различные методы для скрытого выполнения кода в системах. Одним из таких методов является выдавливание отверстий, также известное как замена процесса.
В книге «Практический анализ вредоносного ПО» говорится следующее относительно этого метода:
«Замена процесса используется, когда автор вредоносного ПО хочет замаскировать вредоносное ПО как законный процесс без риска сбоя процесса за счет внедрения процесса. .
Ключом к замене процесса является создание процесса в приостановленном состоянии. Это означает, что процесс будет загружен в память, но основной поток процесса будет приостановлен. Программа не будет делать ничего, пока внешняя программа не возобновит работу основного потока, что приведет к запуску программы «
Кроме того, в книге» Искусство криминалистики памяти «говорится следующее:
» Вредоносный процесс запускает новый экземпляр. законного процесса (например, lsass.exe) в приостановленном режиме. Перед его возобновлением исполняемые разделы освобождаются и перераспределяются с вредоносным кодом ».
По сути, пустота процесса — это когда процесс запускается в приостановленном состоянии, в процесс вводится код для перезаписи исходных данных, и когда процесс возобновляется, внедренный код выполняется.Все в начальном процессе кажется отражением исходного процесса.Точно так же, как все в человеке изначально кажется исходным человеком.При ближайшем рассмотрении оказывается, что все не так, как кажется. Процесс ведет себя иначе (например, сетевое взаимодействие), и код внутри процесса не является исходным кодом. Это очень похоже на поведение человека по-другому (например, при попытке съесть вас), и биологический материал внутри человека не является исходным биологическим материалом.
Обычная техника обработки пустотелых отверстий
Посредством наблюдений персонажи «Ночи крипов» выяснили, как похищали тела людей.Слизни переходили изо рта в рот другого человека. Наблюдая за этим методом, персонажи заклеили рот изолентой и смогли сражаться с зомби, не становясь самими собой. Зная, какая техника была использована для похищения тела, персонажи могли защитить себя. То же самое можно сказать о пустоте процесса, и знание того, как выглядит эта техника, позволяет вам обнаружить зомбированные процессы. Один из наиболее известных методов был описан в книге «Практический анализ вредоносных программ» (решение лабораторной работы 12-2 на стр. 590), а также в статье Trustwave SpiderLabs «Анализ полых процессов вредоносного ПО».Последовательность функций Windows, их описания и то, как они появляются во время динамического анализа образца Profoma Invoice.exe (md5 ab30c5c81a9b3509d77d83a5d18091de) с песочницей Cuckoo, выглядит следующим образом:
— CreateProcessA: создает новый процесс, и установлен флаг создания процесса 0x00000004. используется для создания процесса в приостановленном состоянии
— GetThreadContext: извлекает контекст указанного потока для приостановленного процесса
— ReadProcessMemory: считывает базу образов приостановленного процесса
— GetProcAddress: согласно Практическому анализу вредоносных программ эта функция «разрешает вручную» импорт UnMapViewofSection с использованием GetProcAddress, ImageBaseAddress является параметром UnMapViewofSection ».Это удаляет приостановленный процесс из памяти.
— VirtualAllocEx: выделяет память в адресном пространстве приостановленного процесса
— WriteProcessMemory: записывает данные PE-файла в память, только что выделенную в приостановленном процессе
— SetThreadContext: согласно Практическому анализу вредоносных программ эта функция устанавливает регистр EAX в точку входа исполняемого файла, только что записанного в область памяти приостановленного процесса. Это означает, что поток приостановленного процесса указывает на внедренный код, поэтому он будет выполняться при возобновлении процесса
— ResumeThread: возобновляет поток приостановленного процесса, выполняя введенный код
Песочница с кукушкой, демонстрирующая общую технику выемки
Cuckoo Sandbox — это автоматизированная система анализа вредоносных программ с открытым исходным кодом.По их собственным словам, « это просто означает, что вы можете бросить в него любой подозрительный файл, и в считанные секунды Cuckoo вернет вам некоторые подробные результаты, описывающие, что такой файл делал при запуске в изолированной среде ». Malwr — это бесплатный онлайн-сервис для анализа вредоносных программ, использующий Cuckoo Sandbox. В разделе «Поведенческий анализ» описаны вызовы функций, выполняемые во время выполнения. На рисунках ниже показаны вызовы функций из примера Profoma Invoice.exe (md5 ab30c5c81a9b3509d77d83a5d18091de), которые выполняют обработку пустот.
На изображении ниже показано, как Profoma Invoice.exe создает процесс в приостановленном состоянии. Дескриптор приостановленного процесса — 0x00000088, а дескриптор потока — 0x0000008c.
На следующем изображении показано, как программа Profoma Invoice.exe извлекает контекст приостановленного процесса, поскольку он ссылается на дескриптор потока 0x0000008c.
На изображении ниже показано, как программа Profoma Invoice.exe считывает базу образов приостановленного процесса, поскольку она ссылается на дескриптор процесса 0x00000088.
На изображении ниже показан счет-фактура Profoma.exe, получая адреса вызовов функций UnMapViewofSection и VirtualAllocEx.
На изображениях ниже показано, как Profoma Invoice.exe записывает PE-файл в адресное пространство приостановленного процесса, поскольку он ссылается на дескриптор процесса 0x00000088. Для записи всего PE-файла требуется несколько вызовов функции WriteProcessMemory.
На изображении ниже показано, как программа Profoma Invoice.exe устанавливает контекст потока для приостановленного процесса, поскольку он ссылается на дескриптор потока 0x0000008c.
На изображении ниже показан счет-фактура Profoma.exe возобновляет приостановленный поток для выполнения введенного кода.
Песочница с кукушкой, обнаруживающая общую технику выемки
Cuckoo Sandbox обнаруживает вредоносное ПО с помощью сигнатур. На изображении ниже показано, как Malwr обнаруживает стандартную технику выемки, используемую Profoma Invoice.exe (md5 ab30c5c81a9b3509d77d83a5d18091de).
Процесс определения сигнатуры пустого сообщает, что он «выполнил процесс и ввел в него код, вероятно, во время распаковки».Сигнатура, определяющая методику, называется инъекцией_runpe.py и доступна в подписях сообщества. Подпись открыта, и любой может прочитать ее, чтобы увидеть, как он определяет такое поведение. Однако на изображении ниже показана часть сигнатуры, которая обнаруживает последовательность вызовов функций, описанных ранее, для выполнения обработки пустот.
Другой способ обработки пустотелых отверстий
Описанная выше техника обработки пустотелых отверстий широко известна, и это техника, которую я обычно ожидал увидеть.Это было так, как если бы у меня был скотч на рту, ожидая, когда зомбированный друг выйдет, прогуливаясь по улице. Есть несколько способов выполнить действие, подобное тому, как есть несколько способов схватить тело. В фильме 1998 года «Факультет» неизвестное существо хватало тела, проникая в тело через ухо. А теперь представьте, что случилось бы с персонажами из фильма «Ночь ползаний», столкнувшимися с этими похитителями тел. Зомбированные тела обнаружить труднее, поскольку они не похожи на зомби.Попытки защитить себя с помощью скотча на ртах и с бейсбольными битами в руках будут недолгими. Лента не обеспечивает защиты, поскольку существа проникают через ухо. Это другая техника с тем же результатом. Процесс выдавливания схож с разными техниками, заканчивающимися одинаковым результатом.
Я был немного удивлен еще в декабре, когда увидел поведение на изображении ниже после запуска образца Kroger_OrderID.exe (md5 1de7834ba959e734ad701dc18ef0edfc) через песочницу.
Поведение ясно показывает, что Kroger_OrderID.exe собирается выполнить очистку процесса, поскольку он запустил процесс svchost.exe в приостановленном состоянии (флаг создания 0x00000004). Однако последующие вызовы функций не являются типичными, широко разрекламированными; это была другая техника. После небольшого поиска я нашел статью Lexsi «Обзор руткита банковского вредоносного ПО Kronos», в которой подробно описывается, как работает этот метод. (в статье также показано, как использовать Volatility для анализа этого.) Я резюмировал ниже последовательность функций Windows и их описания, как указано в статье:
— CreateProcessA: создает новый процесс, и флаг создания процесса 0x00000004 используется для создания процесс в приостановленном состоянии
— ReadProcessMemory: считывает базу изображений приостановленного процесса
— NtCreateSection: создает два раздела чтения / записи / выполнения
— ZwMapViewOfSection: отображает разделы чтения / записи / выполнения в адресное пространство вредоносной программы
— ZwMapViewOfSection: отображает второй раздел в адресное пространство приостановленного процесса (поэтому этот раздел используется обоими процессами).
— ReadProcessMemory: считывает основу образа приостановленного процесса в раздел 1
— ReadProcessMemory: считывает базу образа образа вредоносной программы в раздел 2
— NtMapViewOfSection: перезаписывает код точки входа приостановленного процесса, сопоставляя раздел 1 с новым базовым адресом процесса
— ResumeThread: возобновляет поток приостановленного процесса, выполняя введенный код
Песочница с кукушкой, демонстрирующая различные техники обработки пустотелых отверстий
В разделе «Поведенческий анализ» описаны вызовы функций, выполняемые во время выполнения.На рисунках ниже показаны примеры вызовов функции Kroger_OrderID.exe (md5 1de7834ba959e734ad701dc18ef0edfc), выполняющих различные техники обработки пустот.
На изображении ниже показаны первые три вызова функций. Пример Kroger_OrderID.exe создает приостановленный процесс с дескриптором потока 0x00000608 и дескриптором процесса 0x00000604. Затем функция ReadProcessMemory считывает базу изображений приостановленного процесса из-за ссылки на дескриптор процесса 0x00000604. Затем функция NtCreateSection создает вторую секцию чтения / записи / выполнения с дескриптором секции 0x000005f8.
На изображении ниже показаны следующие три вызова функций. Функция ZwMapViewOfSection отображает разделы чтения / записи / выполнения в адресное пространство вредоносной программы из-за ссылки на дескриптор раздела 0x000005f8. Следующий ZwMapViewOfSection отображает второй раздел в адресное пространство приостановленного процесса из-за того, что используются как дескриптор раздела 0x000005f8, так и дескриптор процесса 0x00000604. Затем функция ReadProcessMemory считывает изображение вредоносной программы в раздел. На изображении не показана функция ReadProcessMemory, ссылающаяся на дескриптор процесса 0x00000604.
На изображении ниже показаны остальные четыре функции. Затем функция NtCreateSection создает первую секцию чтения / записи / выполнения с дескриптором секции 0x000005f4. Функции ZwMapViewOfSection сопоставляют разделы чтения / записи / выполнения между вредоносной программой и приостановленным процессом из-за ссылки на дескриптор раздела 0x000005f4 и дескриптор процесса 0x00000604. Это сопоставление перезаписывает код точки входа в приостановленном процессе. Наконец, функция ResumeThread возобновляет поток приостановленного процесса, выполняющий внедренный код.
Песочница с кукушкой, обнаруживающая различные техники выдавливания полостей
**** Обновлено 02.04.15 *****
Этот раздел блога был отредактирован, так как он был опубликован ранее сегодня. В исходном сообщении блога я подчеркнул, что подпись инъекции_run.py не обнаруживает эту технику инъекции, и я поделился подписью, которую я собрал для ее обнаружения.
Брэд Спенглер прислал мне электронное письмо о том, что я видел. Он упомянул, что в обновленный файл injection_run не внесены изменения.подпись py. В частности, он упомянул, что плагин ищет NtMapViewOfSection, который он использует в своей песочнице с кукушкой, вместо того, чтобы искать более старый ZwMapViewOfSection. Я изменил подпись injection_run.py, переименовав NtMapViewOfSection в ZwMapViewOfSection (в строках 45 и 51), и впоследствии он обнаружил эту технику. В результате я обновил этот раздел блога, чтобы отразить это, поскольку целью этого сообщения было изучить различные техники инъекций и то, как Cuckoo может помочь в их изучении.
**** Обновлено 02/04/15. *****
Cuckoo Sandbox может обнаруживать этот другой метод обработки пустот (см. Обновление об изменении, внесенном в сигнатуру injection_runpe.py). Выполнение образца Kroger_OrderID.exe (md5 1de7834ba959e734ad701dc18ef0edfc) в Cuckoo приводит к следующему обнаружению поведения.
Завершение вещей
Нам не нужно сидеть за компьютерами в наушниках с липкой лентой во рту, чтобы выслеживать зомбированные процессы в нашей среде.Вытеснение — интересная техника, и она постоянно напоминает мне о различных фильмах ужасов о похитителях тел, которые я видел. Использование песочницы с кукушкой делает изучение различных техник пустотелого процесса еще более интересным, поскольку позволяет отслеживать последовательность вызовов функций Windows.
Удачной охоты, и если вы встретите зомби в своих путешествиях, не рискуйте и просто следуйте правилу из фильма «Зомбиленд». Правило 2 Двойное нажатие: если сомневаетесь, не скупитесь на пули.
Обзор проекта безопасности инфраструктуры Google | Решения
Содержание, содержащееся в данном документе, является правильным по состоянию на январь 2017 года и отражает статус-кво на момент написания. Политики и системы безопасности Google могут измениться в будущем, поскольку мы постоянно улучшаем защиту наших клиентов.
Скачать версию в формате pdf
Сводка на уровне ИТ-директора
- Google имеет техническую инфраструктуру глобального масштаба, предназначенную для обеспечения безопасности на протяжении всего жизненного цикла обработки информации в Google.Эта инфраструктура обеспечивает безопасное развертывание услуг, безопасное хранение данных с гарантиями конфиденциальности конечных пользователей, безопасную связь между службами, безопасную и конфиденциальную связь с клиентами через Интернет и безопасную работу администраторов.
- Google использует эту инфраструктуру для создания своих интернет-сервисов, включая как потребительские сервисы, такие как Search, Gmail и Photos, так и корпоративные сервисы, такие как G Suite и Google Cloud.
- Безопасность инфраструктуры спроектирована на прогрессивных уровнях, начиная с физической безопасности центров обработки данных, заканчивая безопасностью аппаратного и программного обеспечения, лежащего в основе инфраструктуры, и, наконец, техническими ограничениями и существующими процессами для поддержки операционной безопасности.
- Google вкладывает большие средства в обеспечение безопасности своей инфраструктуры, имея сотни инженеров, занимающихся вопросами безопасности и конфиденциальности, распределенных по всей системе Google, включая многих, которые являются признанными авторитетами в отрасли.
Введение
В этом документе дается обзор того, как безопасность встроена в техническую инфраструктуру Google. Эта глобальная инфраструктура предназначена для обеспечения безопасности на протяжении всего жизненного цикла обработки информации в Google.Эта инфраструктура обеспечивает безопасное развертывание услуг, безопасное хранение данных с гарантиями конфиденциальности конечных пользователей, безопасную связь между службами, безопасную и конфиденциальную связь с клиентами через Интернет и безопасную работу администраторов.
Google использует эту инфраструктуру для создания своих интернет-сервисов, включая как потребительские сервисы, такие как Search, Gmail и Photos, так и корпоративные сервисы, такие как G Suite и Google Cloud.
Мы будем описывать безопасность этой инфраструктуры на последовательных уровнях, начиная с физической безопасности наших центров обработки данных, продолжая до того, как обеспечивается безопасность оборудования и программного обеспечения, которые лежат в основе инфраструктуры, и, наконец, описывая технические ограничения и процессы на месте для поддержки операционная безопасность.
Уровни безопасности инфраструктуры Google: различные уровни безопасности, начиная от аппаратной инфраструктуры на нижнем уровне и заканчивая эксплуатационной безопасностью на верхнем уровне. Содержимое каждого слоя подробно описано в документе.
Безопасная инфраструктура нижнего уровня
В этом разделе мы описываем, как мы защищаем самые нижние уровни нашей инфраструктуры, начиная от физических помещений и заканчивая специализированным оборудованием в наших центрах обработки данных и программным стеком нижнего уровня, работающим на каждой машине.
Охрана физических помещений
Google проектирует и строит собственные центры обработки данных, которые включают несколько уровней физической защиты. Доступ к этим центрам обработки данных имеет только очень небольшая часть сотрудников Google. Мы используем несколько уровней физической безопасности для защиты полов в наших центрах обработки данных и используем такие технологии, как биометрическая идентификация, обнаружение металлов, камеры, автомобильные шлагбаумы и лазерные системы обнаружения вторжений. Google дополнительно размещает некоторые серверы в сторонних центрах обработки данных, где мы обеспечиваем наличие контролируемых Google мер физической безопасности помимо уровней безопасности, предоставляемых оператором центра обработки данных.Например, на таких сайтах мы можем использовать независимые системы биометрической идентификации, камеры и металлоискатели.
Проектирование и производство оборудования
Дата-центр Google состоит из тысяч серверов, подключенных к локальной сети. И серверные платы, и сетевое оборудование разрабатываются Google по индивидуальному заказу. Мы проверяем поставщиков компонентов, с которыми работаем, и тщательно выбираем компоненты, работая с поставщиками над аудитом и проверкой свойств безопасности, обеспечиваемых компонентами.Мы также разрабатываем индивидуальные микросхемы, в том числе микросхему аппаратной безопасности, которая в настоящее время развертывается как на серверах, так и на периферийных устройствах. Эти чипы позволяют нам безопасно идентифицировать и аутентифицировать законные устройства Google на аппаратном уровне.
Стек безопасной загрузки и идентификация машины
Серверные машины Google используют различные технологии, чтобы гарантировать, что они загружают правильный программный стек. Мы используем криптографические подписи над низкоуровневыми компонентами, такими как BIOS, загрузчик, ядро и базовый образ операционной системы.Эти подписи можно проверять при каждой загрузке или обновлении. Все компоненты контролируются Google, созданы и защищены. С каждым новым поколением оборудования мы стремимся постоянно улучшать безопасность: например, в зависимости от конструкции сервера, мы подкрепляем доверие загрузочной цепочки либо в блокируемом чипе прошивки, либо в микроконтроллере с кодом безопасности, написанном Google, либо в вышеупомянутый чип безопасности, разработанный Google.
Каждая серверная машина в центре обработки данных имеет свой собственный идентификатор, который может быть привязан к корневому каталогу оборудования и программному обеспечению, с которым загружалась машина.Это удостоверение используется для аутентификации вызовов API к службам низкоуровневого управления на машине и от них.
Компания Google создала автоматизированные системы для обеспечения того, чтобы на серверах работали новейшие версии их программных стеков (включая исправления безопасности), для обнаружения и диагностики аппаратных и программных проблем, а также для вывода компьютеров из эксплуатации, если это необходимо.
Безопасное развертывание услуг
Теперь мы перейдем к описанию того, как мы переходим от базового оборудования и программного обеспечения к обеспечению безопасного развертывания службы в нашей инфраструктуре.Под «службой» мы подразумеваем двоичный файл приложения, который разработчик написал и хочет запустить в нашей инфраструктуре, например, SMTP-сервер Gmail, сервер хранения Bigtable, транскодер видео YouTube или песочницу App Engine, на которой запущено клиентское приложение. На тысячах компьютеров могут быть запущены копии одной и той же службы для обработки требуемого масштаба рабочей нагрузки. Службы, работающие в инфраструктуре, контролируются службой оркестровки кластеров под названием Borg.
Как мы увидим в этом разделе, инфраструктура не предполагает никакого доверия между службами, работающими в инфраструктуре.Другими словами, инфраструктура изначально предназначена для работы с несколькими арендаторами.
Идентификация, целостность и изоляция службы
Мы используем криптографическую аутентификацию и авторизацию на уровне приложений для связи между службами. Это обеспечивает строгий контроль доступа на уровне абстракции и детализации, которые администраторы и службы могут естественно понять.
Мы не полагаемся на внутреннюю сегментацию сети или межсетевой экран в качестве наших основных механизмов безопасности, хотя мы используем входящую и исходящую фильтрацию в различных точках нашей сети, чтобы предотвратить подмену IP-адреса в качестве дополнительного уровня безопасности.Этот подход также помогает нам максимизировать производительность и доступность нашей сети.
Каждая служба, работающая в инфраструктуре, имеет связанный идентификатор учетной записи службы. Службе предоставляются криптографические учетные данные, которые она может использовать для подтверждения своей личности при выполнении или получении удаленных вызовов процедур (RPC) к другим службам. Эти удостоверения используются клиентами, чтобы гарантировать, что они разговаривают с правильным предполагаемым сервером, и серверами, чтобы ограничить доступ к методам и данным для определенных клиентов.
Исходный код Google хранится в центральном репозитории, где проверяются как текущая, так и предыдущая версии службы. Инфраструктура может быть дополнительно настроена так, чтобы требовать, чтобы двоичные файлы службы были построены из определенного проверенного, зарегистрированного и протестированного исходного кода. Такие обзоры кода требуют проверки и одобрения по крайней мере от одного инженера, кроме автора, и система требует, чтобы модификации кода в любой системе были одобрены владельцами этой системы.Эти требования ограничивают возможность инсайдера или злоумышленника вносить злонамеренные изменения в исходный код, а также обеспечивают криминалистический след от службы до ее источника.
У нас есть различные методы изоляции и песочницы для защиты службы от других служб, работающих на той же машине. Эти методы включают в себя обычное разделение пользователей Linux, песочницы на основе языка и ядра и виртуализацию оборудования. Как правило, мы используем больше уровней изоляции для более рискованных рабочих нагрузок; например, при запуске конвертеров сложных форматов файлов для пользовательских данных или при запуске пользовательского кода для таких продуктов, как Google App Engine или Google Compute Engine.В качестве дополнительной границы безопасности мы разрешаем очень конфиденциальные службы, такие как служба оркестрации кластера и некоторые службы управления ключами, работать исключительно на выделенных машинах.
Управление межсервисным доступом
Владелец службы может использовать функции управления доступом, предоставляемые инфраструктурой, чтобы точно указать, какие другие службы могут взаимодействовать с ней. Например, служба может захотеть предложить некоторые API-интерфейсы исключительно для определенного белого списка других служб.Эта служба может быть настроена с использованием белого списка разрешенных идентификаторов учетных записей служб, и это ограничение доступа затем автоматически применяется инфраструктурой.
Инженеры Google, получающие доступ к службам, также получают индивидуальные удостоверения, поэтому службы можно настроить аналогичным образом, чтобы разрешить или запретить их доступ. Все эти типы удостоверений (машина, служба и сотрудник) находятся в глобальном пространстве имен, поддерживаемом инфраструктурой. Как будет объяснено позже в этом документе, идентификаторы конечных пользователей обрабатываются отдельно.
Инфраструктура предоставляет богатую систему рабочего процесса управления идентификацией для этих внутренних удостоверений, включая цепочки утверждения, ведение журнала и уведомление. Например, эти идентификаторы могут быть назначены группам управления доступом через систему, которая позволяет осуществлять двухсторонний контроль, когда один инженер может предложить изменение в группе, которое другой инженер (который также является администратором группы) должен одобрить. Эта система позволяет масштабировать процессы управления безопасным доступом до тысяч служб, работающих в инфраструктуре.
В дополнение к автоматическому механизму управления доступом на уровне API, инфраструктура также предоставляет сервисам возможность чтения из центральных ACL и групповых баз данных, чтобы они могли реализовать свой собственный настраиваемый, детализированный контроль доступа, где это необходимо.
Шифрование межсервисной связи
Помимо возможностей аутентификации и авторизации RPC, описанных в предыдущих разделах, инфраструктура также обеспечивает криптографическую конфиденциальность и целостность данных RPC в сети.Чтобы обеспечить эти преимущества безопасности другим протоколам прикладного уровня, таким как HTTP, мы инкапсулируем их в механизмы RPC нашей инфраструктуры. По сути, это обеспечивает изоляцию уровня приложения и устраняет любую зависимость от безопасности сетевого пути. Зашифрованная межсервисная связь может оставаться безопасной, даже если сеть перехвачена или сетевое устройство скомпрометировано.
Services могут настраивать уровень криптографической защиты, который они хотят для каждого RPC инфраструктуры (например,г. настраивать защиту на уровне целостности только для малоценных данных внутри центров обработки данных). Для защиты от изощренных злоумышленников, которые могут попытаться перехватить наши частные каналы глобальной сети, инфраструктура автоматически шифрует весь трафик RPC инфраструктуры, который проходит через глобальную сеть между центрами обработки данных, не требуя какой-либо явной настройки со стороны службы. Мы начали развертывание аппаратных ускорителей криптографии, которые позволят нам распространить это шифрование по умолчанию на весь RPC-трафик инфраструктуры внутри наших центров обработки данных.
Управление доступом к данным конечного пользователя
Типичный сервис Google написан для того, чтобы делать что-то для конечного пользователя. Например, конечный пользователь может хранить свою электронную почту в Gmail. Взаимодействие конечного пользователя с таким приложением, как Gmail, распространяется на другие службы в инфраструктуре. Так, например, служба Gmail может вызывать API, предоставляемый службой контактов, для доступа к адресной книге конечного пользователя.
В предыдущем разделе мы видели, что службу «Контакты» можно настроить так, чтобы разрешенные запросы RPC поступали только из службы Gmail (или из любых других конкретных служб, которые служба контактов хочет разрешить).
Однако это все еще очень широкий набор разрешений. В рамках этого разрешения служба Gmail сможет запрашивать контакты любого пользователя в любое время.
Поскольку служба Gmail делает запрос RPC к службе контактов от имени конкретного конечного пользователя, инфраструктура предоставляет службе Gmail возможность представлять «билет разрешения конечного пользователя» как часть RPC. Этот билет доказывает, что служба Gmail в настоящее время обслуживает запрос от имени этого конкретного конечного пользователя.Это позволяет службе контактов реализовать защиту, при которой она возвращает данные только для конечного пользователя, указанного в билете.
Инфраструктура предоставляет центральную службу идентификации пользователей, которая выдает эти «билеты разрешений для конечных пользователей». Вход в систему конечного пользователя проверяется центральной службой идентификации, которая затем выдает учетные данные пользователя, такие как файл cookie или токен OAuth, на клиентское устройство пользователя. Каждый последующий запрос от клиентского устройства в Google должен предоставлять учетные данные этого пользователя.
Когда служба получает учетные данные конечного пользователя, она передает их в центральную службу идентификации для проверки. Если учетные данные конечного пользователя проверены правильно, центральная служба идентификации возвращает краткосрочный «билет разрешения конечного пользователя», который можно использовать для RPC, связанных с запросом. В нашем примере тем сервисом, который получает «билет с разрешением конечного пользователя», будет сервис Gmail, который передаст его сервису «Контакты». С этого момента для любых каскадных вызовов «билет разрешения конечного пользователя» может быть передан вызывающей службой вызываемому как часть вызова RPC.
Идентификация услуги и управление доступом: инфраструктура обеспечивает идентификацию услуги, автоматическую взаимную аутентификацию, зашифрованную связь между услугами и обеспечение соблюдения политик доступа, определенных владельцем услуги.
Безопасное хранилище данных
До этого момента обсуждения мы описали безопасное развертывание служб. Теперь мы переходим к обсуждению того, как мы реализуем безопасное хранение данных в инфраструктуре.
Шифрование в состоянии покоя
Инфраструктура Google предоставляет различные службы хранения, такие как Bigtable и Spanner, а также центральную службу управления ключами.Большинство приложений в Google получают доступ к физическому хранилищу косвенно через эти сервисы хранилища. Службы хранения можно настроить на использование ключей из центральной службы управления ключами для шифрования данных перед их записью в физическое хранилище. Эта служба управления ключами поддерживает автоматическую ротацию ключей, предоставляет обширные журналы аудита и интегрируется с ранее упомянутыми билетами разрешений конечных пользователей для привязки ключей к конкретным конечным пользователям.
Выполнение шифрования на уровне приложений позволяет инфраструктуре изолировать себя от потенциальных угроз на более низких уровнях хранения, таких как вредоносное микропрограммное обеспечение диска.При этом инфраструктура также реализует дополнительные уровни защиты. Мы обеспечиваем поддержку аппаратного шифрования на наших жестких дисках и твердотельных накопителях и тщательно отслеживаем каждый диск на протяжении его жизненного цикла. Прежде чем списанное зашифрованное запоминающее устройство может физически покинуть нашу опеку, оно очищается с помощью многоступенчатого процесса, который включает две независимые проверки. Устройства, не прошедшие эту процедуру очистки, физически уничтожаются (например, измельчаются) на месте.
Удаление данных
Удаление данных в Google чаще всего начинается с пометки определенных данных как «запланированных для удаления», а не с фактического удаления данных полностью.Это позволяет нам восстанавливаться после непреднамеренного удаления, инициированного клиентом или из-за ошибки или внутренней ошибки процесса. После того, как они были помечены как «запланированные для удаления», данные удаляются в соответствии с политиками конкретной службы.
Когда конечный пользователь удаляет всю свою учетную запись, инфраструктура уведомляет службы, обрабатывающие данные конечного пользователя, о том, что учетная запись была удалена. Затем службы могут запланировать удаление данных, связанных с удаленной учетной записью конечного пользователя. Эта функция позволяет разработчику службы легко реализовать контроль со стороны конечного пользователя.
Безопасная связь через Интернет
До этого момента в этом документе мы описывали, как мы защищаем сервисы в нашей инфраструктуре. В этом разделе мы переходим к описанию того, как мы защищаем связь между Интернетом и этими службами.
Как обсуждалось ранее, инфраструктура состоит из большого набора физических машин, которые связаны между собой через LAN и WAN, и безопасность межсервисной связи не зависит от безопасности сети.Тем не менее, мы изолируем нашу инфраструктуру от Интернета в частное IP-пространство, чтобы нам было проще реализовать дополнительные меры защиты, такие как защита от атак типа «отказ в обслуживании» (DoS), путем прямого воздействия внешнего интернет-трафика только на подмножество машин.
Интерфейсная служба Google
Когда служба хочет сделать себя доступной в Интернете, она может зарегистрироваться в службе инфраструктуры, называемой Google Front End (GFE). GFE гарантирует, что все соединения TLS завершаются с использованием правильных сертификатов и следующих передовых методов, таких как поддержка полной прямой секретности.GFE дополнительно применяет защиту от атак типа «отказ в обслуживании» (которые мы обсудим более подробно позже). Затем GFE пересылает запросы на службу, используя описанный ранее протокол безопасности RPC.
Фактически, любая внутренняя служба, которая решает опубликовать себя извне, использует GFE как интеллектуальный интерфейс обратного прокси. Этот интерфейс обеспечивает публичный IP-хостинг своего публичного DNS-имени, защиту от отказа в обслуживании (DoS) и завершение TLS. Обратите внимание, что GFE работают в инфраструктуре, как и любой другой сервис, и поэтому имеют возможность масштабирования в соответствии с объемами входящих запросов.
Защита от отказа в обслуживании (DoS)
Огромный масштаб нашей инфраструктуры позволяет Google просто противостоять множеству DoS-атак. Тем не менее, у нас есть многоуровневая, многоуровневая защита от DoS-атак, которая еще больше снижает риск любого DoS-воздействия на сервис, работающий за GFE.
После того, как наша магистраль обеспечивает внешнее соединение с одним из наших центров обработки данных, она проходит через несколько уровней аппаратной и программной балансировки нагрузки. Эти балансировщики нагрузки передают информацию о входящем трафике в центральную службу DoS, работающую в инфраструктуре.Когда центральная служба DoS обнаруживает, что происходит DoS-атака, она может настроить балансировщики нагрузки на отбрасывание или регулирование трафика, связанного с атакой.
На следующем уровне экземпляры GFE также сообщают информацию о запросах, которые они получают в центральную службу DoS, включая информацию уровня приложения, которой нет у балансировщиков нагрузки. Затем центральная служба DoS может также настроить экземпляры GFE для отбрасывания или ограничения трафика атаки.
Аутентификация пользователя
После защиты от DoS следующий уровень защиты исходит от нашей центральной службы идентификации.Эта услуга обычно отображается для конечных пользователей как страница входа в Google. Помимо запроса простого имени пользователя и пароля, служба также интеллектуально запрашивает у пользователей дополнительную информацию в зависимости от факторов риска, например, входили ли они в систему с того же устройства или из аналогичного места в прошлом. После аутентификации пользователя служба идентификации выдает учетные данные, такие как файлы cookie и токены OAuth, которые можно использовать для последующих вызовов.
Пользователитакже могут использовать дополнительные факторы, такие как одноразовые пароли или защищенные от фишинга ключи безопасности при входе в систему.Чтобы преимущества выходили за рамки Google, мы работали в альянсе FIDO Alliance с несколькими поставщиками устройств над разработкой открытого стандарта Universal 2nd Factor (U2F). Эти устройства теперь доступны на рынке, и другие крупные веб-службы также последовали за нами в реализации поддержки U2F.
Операционная безопасность
До этого момента мы описали, как безопасность встроена в нашу инфраструктуру, а также описали некоторые механизмы безопасной работы, такие как контроль доступа к RPC.
Теперь мы переходим к описанию того, как мы на самом деле безопасно управляем инфраструктурой: мы безопасно создаем программное обеспечение инфраструктуры, мы защищаем машины и учетные данные наших сотрудников, а также защищаемся от угроз для инфраструктуры как со стороны внутренних, так и внешних субъектов.
Разработка безопасного программного обеспечения
Помимо функций централизованного управления версиями и двусторонней проверки, описанных ранее, мы также предоставляем библиотеки, которые не позволяют разработчикам вносить определенные классы ошибок безопасности.Например, у нас есть библиотеки и фреймворки, устраняющие XSS-уязвимости в веб-приложениях. У нас также есть автоматизированные инструменты для автоматического обнаружения ошибок безопасности, включая фаззеры, инструменты статического анализа и сканеры веб-безопасности.
В качестве окончательной проверки мы используем ручную проверку безопасности, которая варьируется от быстрой проверки менее рискованных функций до углубленных проверок проектирования и реализации наиболее рискованных функций. Эти обзоры проводятся группой, в которую входят эксперты по веб-безопасности, криптографии и безопасности операционных систем.Обзор может также привести к появлению новых функций библиотеки безопасности и новых фаззеров, которые затем могут быть применены к другим будущим продуктам.
Кроме того, мы запускаем программу вознаграждений за уязвимости, в рамках которой мы платим всем, кто может обнаружить и сообщить нам об ошибках в нашей инфраструктуре или приложениях. В рамках этой программы мы выплатили несколько миллионов долларов вознаграждения.
Google также прилагает большие усилия для поиска уязвимостей нулевого дня и других проблем безопасности во всем используемом нами программном обеспечении с открытым исходным кодом, а также в поиске этих проблем.Например, в Google была обнаружена ошибка OpenSSL Heartbleed, и мы являемся крупнейшим поставщиком CVE и исправлений ошибок безопасности для гипервизора Linux KVM.
Обеспечение безопасности устройств и учетных данных сотрудников
Мы вкладываем большие средства в защиту устройств и учетных данных наших сотрудников от взлома, а также в мониторинг деятельности для обнаружения потенциальных взломов или незаконных инсайдерских действий. Это важная часть наших инвестиций в обеспечение безопасной эксплуатации нашей инфраструктуры.
Изощренный фишинг — постоянный способ атаковать наших сотрудников. Чтобы защититься от этой угрозы, мы заменили фишинговые второстепенные факторы OTP обязательным использованием U2F-совместимых ключей безопасности для учетных записей наших сотрудников.
Мы делаем большие инвестиции в мониторинг клиентских устройств, которые наши сотрудники используют для управления нашей инфраструктурой. Мы гарантируем, что образы операционной системы для этих клиентских устройств обновлены с помощью исправлений безопасности, и мы контролируем приложения, которые могут быть установлены.У нас также есть системы для сканирования установленных пользователем приложений, загрузок, расширений браузера и контента, просматриваемого из Интернета, на предмет соответствия корпоративным клиентам.
Нахождение в корпоративной локальной сети не является нашим основным механизмом предоставления прав доступа. Вместо этого мы используем средства управления доступом на уровне приложений, которые позволяют нам предоставлять внутренние приложения только определенным пользователям, когда они поступают с правильно управляемого устройства и из ожидаемых сетей и географических местоположений. (Для получения дополнительной информации см. Дополнительную информацию о BeyondCorp.)
Снижение инсайдерского риска
Мы агрессивно ограничиваем и активно отслеживаем деятельность сотрудников, которым предоставлен административный доступ к инфраструктуре, и постоянно работаем над устранением необходимости в привилегированном доступе для определенных задач, обеспечивая автоматизацию, которая может выполнять те же задачи безопасным и контролируемым образом. Это включает в себя требование двустороннего утверждения некоторых действий и введение ограниченных API-интерфейсов, которые позволяют выполнять отладку без раскрытия конфиденциальной информации.
Доступ сотрудников Google к информации о конечных пользователях может регистрироваться с помощью низкоуровневых инфраструктурных перехватчиков. Команда безопасности Google активно отслеживает схемы доступа и расследует необычные события.
Обнаружение вторжений
Google имеет сложные конвейеры обработки данных, которые объединяют сигналы хоста на отдельных устройствах, сетевые сигналы от различных точек мониторинга в инфраструктуре и сигналы от служб инфраструктуры. Правила и машинный интеллект, построенные на основе этих конвейеров, предупреждают инженеров по безопасности о возможных инцидентах.Наши группы по расследованию и реагированию на инциденты сортируют, расследуют и реагируют на эти потенциальные инциденты 24 часа в сутки, 365 дней в году. Мы проводим учения Red Team для измерения и повышения эффективности наших механизмов обнаружения и реагирования.
Защита Google Cloud
В этом разделе мы расскажем, как наша общедоступная облачная инфраструктура, Google Cloud, выигрывает от безопасности базовой инфраструктуры. В этом разделе мы возьмем Google Compute Engine в качестве примера службы и подробно опишем улучшения безопасности для конкретных служб, которые мы создаем поверх инфраструктуры.
Compute Engine позволяет клиентам запускать свои собственные виртуальные машины в инфраструктуре Google. Реализация Compute Engine состоит из нескольких логических компонентов, в первую очередь из плоскости управления и самих виртуальных машин.
Плоскость управления предоставляет доступ к внешней поверхности API и координирует такие задачи, как создание и миграция виртуальных машин. Он работает как множество служб в инфраструктуре, поэтому автоматически получает базовые функции целостности, такие как безопасная цепочка загрузки.Отдельные службы работают под разными учетными записями внутренних служб, поэтому каждой службе могут быть предоставлены только те разрешения, которые ей необходимы при выполнении удаленных вызовов процедур (RPC) для остальной части плоскости управления. Как обсуждалось ранее, код для всех этих служб хранится в центральном репозитории исходного кода Google, и между этим кодом и двоичными файлами, которые в конечном итоге развертываются, существует контрольный журнал.
Уровень управления Compute Engine предоставляет свой API через GFE, поэтому он использует преимущества функций безопасности инфраструктуры, таких как защита от отказа в обслуживании (DoS) и централизованно управляемая поддержка SSL / TLS.Клиенты могут получить аналогичную защиту для приложений, работающих на их виртуальных машинах Compute Engine, выбрав использование дополнительной службы Google Cloud Load Balancer, которая построена на основе GFE и может смягчить многие типы DoS-атак.
Аутентификация конечного пользователя в API плоскости управления Compute Engine выполняется через централизованную службу идентификации Google, которая обеспечивает такие функции безопасности, как обнаружение угона. Авторизация выполняется с помощью центральной службы управления идентификацией и доступом.
Сетевой трафик для уровня управления, как от GFE к первой службе, стоящей за ним, так и между другими службами уровня управления, автоматически аутентифицируется инфраструктурой и шифруется всякий раз, когда он перемещается из одного центра обработки данных в другой. Кроме того, инфраструктура была настроена для шифрования некоторой части трафика плоскости управления в центре обработки данных.
Каждая виртуальная машина (ВМ) работает со связанным экземпляром службы диспетчера виртуальных машин (VMM).Инфраструктура предоставляет эти услуги с двумя идентификаторами. Один идентификатор используется экземпляром службы VMM для своих собственных вызовов, а один идентификатор используется для вызовов, которые VMM выполняет от имени виртуальной машины клиента. Это позволяет нам еще больше сегментировать доверие к вызовам, поступающим от VMM.
Постоянные дискиCompute Engine шифруются при хранении с использованием ключей, защищенных центральной системой управления ключами инфраструктуры. Это позволяет производить автоматическую ротацию и централизованный аудит доступа к этим ключам.
Сегодня заказчики могут выбирать, отправлять ли трафик со своих виртуальных машин на другие виртуальные машины или в Интернет в открытом виде или применять любое шифрование, которое они выбирают для этого трафика. Мы начали развертывание автоматического шифрования для перехода от виртуальной машины клиента к трафику виртуальной машины через глобальную сеть. Как описано ранее, весь WAN-трафик плоскости управления в инфраструктуре уже зашифрован. В будущем мы планируем воспользоваться преимуществами аппаратного ускорения сетевого шифрования, о котором говорилось ранее, чтобы также зашифровать трафик LAN между виртуальными машинами в центре обработки данных.
Изоляция, обеспечиваемая виртуальным машинам, основана на аппаратной виртуализации с использованием стека KVM с открытым исходным кодом. Мы дополнительно усилили нашу конкретную реализацию KVM, переместив часть стека управления и аппаратной эмуляции в непривилегированный процесс вне ядра. Мы также тщательно протестировали ядро KVM, используя такие методы, как фаззинг, статический анализ и ручная проверка кода. Как упоминалось ранее, большинство недавно обнародованных уязвимостей, которые были переданы в KVM, исходят от Google.
Наконец, наши операционные меры безопасности являются ключевой частью обеспечения того, чтобы доступ к данным соответствовал нашим политикам. Как часть Google Cloud, Compute Engine использует данные клиентов в соответствии с политикой использования данных клиентов Google Cloud, а именно: Google не будет получать доступ или использовать данные клиентов, за исключением случаев, когда это необходимо для предоставления услуг клиентам.
Заключение
Мы описали, как инфраструктура Google предназначена для безопасного создания, развертывания и эксплуатации служб в масштабе Интернета.Сюда входят как потребительские сервисы, такие как Gmail, так и наши корпоративные сервисы. Кроме того, наши предложения Google Cloud построены на базе этой же инфраструктуры.
Мы вкладываем большие средства в безопасность нашей инфраструктуры. У нас есть сотни инженеров, занимающихся вопросами безопасности и конфиденциальности, распределенных по всей системе Google, в том числе многие из них являются признанными авторитетами в отрасли.
Как мы видели, безопасность в инфраструктуре спроектирована на нескольких уровнях, начиная с физических компонентов и центра обработки данных, заканчивая источником оборудования, а затем — безопасную загрузку, безопасную межсервисную связь, защищенные данные в состоянии покоя, защищенный доступ к сервисам. из Интернета и, наконец, о технологиях и человеческих процессах, которые мы применяем для обеспечения операционной безопасности.