Dell покупает SonicWall

Возможно кто-то уже слышал об этом: компания Dell собирается приобрести SonicWall. Думается мне, что это уже становится общей тенденцией: HP некоторое время назад приобрела ArcSight, Intel приобрела McAfee и это только одни из последних примеров. 

Все это на мой взгляд ведет к тому, что ИБ все больше вливается в ИТ и в перспективе функция безопасности будет встроена в предоставляемые ИТ-сервисы (облачные или какие-либо другие, которые появятся в будущем). И этот процесс будет ускоряться по мере того, как доля информации, содержащейся преимущественно в электронном виде будет возрастать. Как это повляет на нашу профессию? Технари от безопасности перейдут под крыло ИТ, а с точки зрения информационной безопасности бизнесом будет востребована функция GRC (т.е. управление рисками, соответствием требованиями и общее управление).  

Это конечно перспектива не завтрашнего дня, но все же это не такое уж далекое будущее. 

P.S. Одним из "плюсов" этого процесса, кстати, будет то, что будут практически исключены конфликты ИТ и ИБ, что сейчас далеко не редкость во многих компаниях. 

Итоги опроса про карьерные предпочтения

Как и обещал, публикую результаты опроса, запущенного в начале этой недели.  Всего в опросе приняло участие 237 человек (я был приятно удивлен такой активности).  Из них 90 человек - представители интеграторов/консультантов и соответственно 147 - представители служб информационной безопасности. 

Результаты опроса среди представителей интеграторов можно увидеть ниже. Для большинства проголосовавших текущее место является не первым местом работы и в ближайшее время основная часть (почти 40%) опрошенных не планирует его менять. Для тех же, кто собирается, большей популярностью пользуется вариант перехода "к Заказчику", т.е. в службу информационной безопасности.

Среди тех, кто сейчас работает в службе информационной безопасности результаты получились несколько иные. Почти половина опрошенных - это молодежь (именно так я могу трактовать то, что у почти половины текущее место работы является первым) и с точки зрения карьерных предпочтений доминирует желание перейти в службу информационной безопасности другой организации.

В общем результаты интересные, местами где-то даже неожиданные. Похоже моя гипотеза о том, что те, кто работает в консалтинге как правило стремятся в дальнейшем перейти к Заказчику, а те, кто работает на Заказчика, планируют переходить в консалтинг похоже не подтверждается (точнее подтверждается лишь частично).

Проблематика защиты мобильных устройств (часть 2)

Итак, я продолжаю писать на тему безопасности использования мобильных устройств. И сегодня я хочу поговорить о рисках, связанных с программным обеспечением.

С подачи компании Apple способом доставки программного обеспечения на мобильные устройства стали разного рода "маркеты". Это удобно, это просто и это хороший способ снизить пиратство и заработать деньги для разработчиков. Все это привело к взрывному росту рынка программного обеспечения и породило те самые риски, о которых сейчас поговорим. Для начала посмотрим на общие тенденции :

во-первых количество выявляемых уязвимостей в мобильном коде растет год от года и связано это со стандартными проблемами, присующими большинству процессов разработки программного кода: разработчики в первую очередь думают о функциональности и в последнюю о безопасности.

во-вторых вирусописатели серьезно взялись за платформу Android. Количество вредоносного когда для этой платформы по отчетам крупнейших антивирусных компаний растет практически с геометрической прогрессией.

Все это конечно же не останавливает пользователей и они продолжают скачивать самое разнообразное программное обеспечение на свои устройства. Более того, применяя 'jailbreak' пользователи могут обходить имеющиеся ограничения и устанавливать программное обеспечение из любых источников. Дать гарантию что вместе с какой-нибудь забавной игрой человек не установит себе на компьютер троянца никто не может.  Старые добрые техники вирусописателей по-прежнему работают.

Еще одной проблемой является то, что установленная программа вполне может вести слежку за пользователем, собирать его личные данные, причем с согласия (неосознанного конечно) пользователя.

Также как в при установке обычных программ на ПК мало кто читает лицензионное соглашение, так и при установке мобильного приложения мало кто читает сообщение, которое содержит перечень информации, которая будет доступна приложению.

Так пользователь с своего молчаливого согласия может предоставить программе доступ к своей почте, смс-сообщениям, телефонной книге и проч., хотя ведь совершенно непонятно порой зачем это нужно какой-нибудь очередной игре. А чтобы не быть голословным привожу пример.

Или другой вариант. Google в настоящий момент предоставляет массу сервисов под одной учетной записью (GMail, Reader, Calendar, Blogger, Picasa и др.).  Т.е. достаточно украсть один логин/пароль чтобы получить доступ ко всему, что вы имеете на серверах Google. А сделать это можно если вы, например, установите программу для просмотра фотографий в Picasa и внесете в эту программу данные своего логина и пароля. Уппсс... уже это сделали ?

Надо конечно признать, что большинство из описанных проблем актуальны в большей степени именно для платформы Android. Для iOS хоть и существует вредоносный код, но масштаб бедствия все же значительно меньше. И тут стоит признать, что закрытый подход Apple и проводимая проверка приложений, загружаемых в iTunes, пока что дает достойный отпор разного рода кибер-преступникам.

Как же минимизировать описанные риски ?  Несколько простых советов по безопасности:

• по возможности следует ограничить список программного обеспечения, устанавливаемого на мобильные устройства;
• следует использовать антивирус для мобильных устройств (это уже перестает быть экзотикой, а становится насущной необходимостью);
• следует ограничить или вообще исключить использование устройств, для которых был сделан 'jailbreak';
• прежде чем подтвердить установку любой дополнительной программы следует проанализировать перечень прав, запрашиваемых программой, на предмет их возможной избыточности; 
• рекомендуется устанавливать программное обеспечение только из проверенных источников.

Свежие публикации

Из полезного:  Вышел в свет новый номер журнала (IN)SECURE. Тема номера: прошедшая недавно международная конференция по безопасности - RSA Conference 2012.

Скачать номер можно по ссылке.

Из формального: На сайте Российской газеты опубликован текст Положения о лицензировании деятельности по технической защите конфиденциальной информации (первая часть, вторая часть). По неофициальным заявлениям представителей ФСТЭК данное положение ничего не меняет в области лицензирования деятельности по ТЗКИ и получать лицензию по-прежнему нужно всем и вся*. На мой взгляд это не соответствует действительности и не отвечает современным реалиям. Время конечно же покажет кто прав, только к сожалению пока еще наши власти живут в каком-то параллельном мире от остального общества (как бы это им и всем нам боком не вышло).

* либо заключать фиктивный договор с лицензиатом

Опрос недели (карьерные предпочтения)

Поздравляю всех с началом трудовой недели ! :)   Мой сегодняшний опрос мне бы хотелось посвятить выяснению того, какие карьерные пожелания превалируют в среде специалистов по информационной безопасности. 

Опрос для тех, кто сейчас работает в консультанте/интеграторе - ссылка.

Опрос для тех, кто сейчас работает в службе информационной безопасности - ссылка.

Результаты как всегда опубликую в конце недели.

Об эффективности ИТ

На недавней конференции, проводимой АНХ, в одном из докладов был представлен проект IT-Value. Несколько слов об этом проекте:

Некоммерческий научный проект, финансирующийся из госбюджета из гранта Минобрнауки. В проект привлечены исследователи и практики, имеющие большой опыт работы на российском ИТ рынке. Проект ведется в координации с ведущими научными школами мира в области исследования эффективности ИТ. Сроки реализации проекта: 2010 – 2012 гг.

На сайте опубликован ряд интересных материалов, которые хоть и относятся к тематике ИТ, а не ИБ, но все же стоят внимания.

В одном из документов мне попался на глаза вот этот слайд:

Думаю, что все что здесь представлено, можно в равной степени отнести и к некоторым технологиям информационной безопасности. В частности:

• Эффект от реализации мер по информационной безопасности как правило наступает не мгновенно.

• Эффект также определяется комплементарными продуктами (введением организационных мер, изменением внутренней культуры компании и проч.)

• Что касается изменения бизнес-процессов под технологии защиты, то это конечно же "голубая" мечта безопасника :), но тут все же все происходит наоборот.

• Система безопасности эволюционирует в ходе адаптации к фирме и фирмы к ней после завершения проекта.

Компания LETA приглашает на бизнес-завтрак с демонстрацией программного комплекса "Avanpost"

Компания LETA приглашает на бизнес-завтрак, в рамках которого представит уникальный продукт – Программный Комплекс «Avanpost» – единый универсальный механизм защищенного доступа к информационным ресурсам организации и управления учетными данными.

Мероприятие состоится 22 марта, 2012 г. 

Время проведения с 10:00 до 12:30.

По соотношению полноты функционала и стоимости ПК «Avanpost» сегодня не имеет аналогов на российском и западном рынках. ПК «Avanpost» разработан специально для того, чтобы единолично закрыть большинство проблем, которые возникают у служб ИБ при реализации политик безопасности в различных областях. Комплекс удовлетворяет требованиям российского законодательства и отраслевых стандартов, имеет поддержку всех отечественных удостоверяющих центров и криптопровайдеров, и при этом максимально автоматизирован и прост в управлении, масштабировании и анализе.

Вот некоторые из преимуществ и особенностей системы:

·         Помимо IAM объединяет функции TMS, VPN, SIEM (user activity monitor)

·         Криптоалгоритмы ГОСТ

·         «Один токен - один PIN»

·         Разделение полномочий ИТ и ИБ подразделений

·         Управление одним кликом

·         Масштабирование: простота и удобство

·         Любой отчет за 5 секунд

На нашей встрече у Вас будет возможность узнать, какие задачи решает ПК Avanpost и как это работает, увидеть демонстрацию системы, а также услышать о реальных реализованных проектах и итогах работы первых внедрений системы. Мы будем рады видеть Вас на нашем бизнес-завтраке и ответить на Ваши вопросы и выслушать Ваше мнение!

По вопросам участия:

Кондратьева Екатерина

Телефон: +7 (495) 921-1410

Электронная почта: EKondrateva@leta.ru

Подробности: http://www.leta.ru/press-center/events/avanpost.html

Бесплатный сервис экспресс-оценки соответствия требованиям СТО БР ИББС

Сегодня компания ISM SYSTEMS презентовала свой новый онлайн-сервис для проведения экспресс-оценки соответствия требованиям СТО БР ИББС. Чтобы воспользоваться сервисом необходимо зарегистрироваться, указав адрес своей электронной почты. После этого станет доступен интерфейс, состоящий из двух элементов: перечня итоговых показателей и перечня мероприятий по информационной безопасности. 

Все что нужно для того, чтобы провести самооценку, это отметить в списке те мероприятия, которые уже реализованы в банке. При этом в целях упрощения расчета система не предлагает возможности "частичного" выполнения. Если мероприятие отмечено, предполагается, что оно полностью реализовано (и документировано и выполняется). Используя такой подход, провести самооценку можно буквально минут за 30 !! 

Конечно же эти результаты нельзя использовать для отчетности перед Центральным Банком, но если нужно оперативно оценить уровень безопасности в банке, данный сервис то что надо. 

Для того, чтобы воспользоваться сервисом, перейдите по ссылке - http://www.ismsys.ru/express-assessment

Про собеседования

За последние несколько лет мне довелось провести немалое количество собеседований (и сейчас этот процесс продолжается) и могу сказать, что очень многие специалисты (как молодые, так уже и опытные) совершают массу ошибок. В связи с этим позволю себе дать несколько советов относительно того, что на мой взгляд важно при прохождении собеседования (особенно, если вы придете ко мне :) ):

• Заранее определитесь, чем вам было бы интересно заниматься, чего вы хотите добиться, что ожидаете от работы в компании
• Не опаздывайте, на крайний случай предупредите, уважайте людей которые тратят свое время на общение с вами
• Не бойтесь запороться на каком-то вопросе, в первую очередь смотрят на общую картину знаний и умений, адекватность
• Ничего страшного, если вы чего-то не знаете
• Будьте предельно честны. Если о чем то читали или слышали так и говорите, не стоит выдавать желаемое за действительное, все равно рано или поздно правда всплывет, но и скрывать что интересовались вопросом не стоит
• Будьте готовы ответить за каждую строчку своего резюме (!)
• Заготовьте рассказ о интересной задаче, которую приходилось решить, вероятнее всего об этом зайдет разговор
• Случается так что на собеседовании дают несложные задачки или задают вопросы на знание определенных технологий, так что рекомендуется освежить общие знания до похода на собеседование
• Постарайтесь адекватно оценить свои знания и уровень оплаты труда за них
• Внимательно слушайте вопрос который вам задают, если возникли сомнения озвучьте то как вы его поняли и уточните детали
• Отключите телефон, чтобы он не зазвонил в неподходящий момент
• Подготовьте вопросы о предлагаемой работе, компании. Чем больше спрашиваете вы, тем меньше спрашивают вас
• При ответах старайтесь не озвучивать термины и технологии о которых не имеете представления, скорее всего вас спросят про них

Парочка новостей одной строкой

- Опубликована электронная версия 1-го в этому году номера журнала Information Security (ссылка). 

В журнале помимо всего прочего опубликовано открытое письмо директору ФСТЭК от неизвестного автора (cм. стр. 42). Я очень рад что вопросы (якобы) обязательной сертификации все чаще обсуждаются публично. Пора уже выходить из парадигмы "суровость российских законов компенсируется необязательностью их исполнения" и делать это только за счет попыток устранения необязательности исполнения просто невозможно, надо еще что-то с суровостью делать. Мое мнение: обязательность сертификации негативно влияет на развитие российского рынка информационной безопасности и она должна быть исключена.

- Компания Qualys анонсировала новый сервис - WebApplication Firewall (ссылка)

Сервис вполне логично вписывается в модель SaaS, по которой Qualys предлагает другие свои решения.  Краткое описание:

QualysGuard WAF delivers enterprise-grade web application security without the traditional costs, footprint, and complexity associated with WAF solutions. Protect your users and your apps from known and emergent web attacks with QualysGuard WAF's continually updated ruleset and globally-aware threat inference engine. Easy-to-digest reporting and analytics allow you to identify and respond to hostile visitors amongst your sites' legitimate traffic. The service's customizable protection can "virtually patch" a high-value web asset during long patch and remediation cycles. Participation in the beta program will be limited.

Отчеты о развитии компьютерных угроз за 2011 г.

В последнее время в сети были опубликованы 2 отчета, касающиеся вирусной активности в 2011 г:

• Kaspersky Security Bulletin 2011. Развитие угроз в 2011 году (ссылка)
• McAfee Threats Report: Fourth Quarter 2011 (ссылка)

Напрямую пожалуй сравнивать эти два отчета не совсем правильно, т.к. все же они описывают разный временной масштаб, однако я попробую выделить общие тенденции, которые в том числе получат свое развитие в 2012.

1. Всплеск хактивизма

То, что казалось бы никто не ждал в нашем насквозь коммерционализированном мире, это появление группировок, которые совершают хакерские атаки не ради денег, а исключительно в борьбе за "идею".  Однако это случилось, и LulzSec и Anonymous несмотря на аресты удается  доставлять серьезную головную боль многим организациям. Последние, кстати, недавно объявили о том, что собираются, ни много ни мало, нарушить работу сети Интернет (ссылка)

2. Возрастание числа мобильных угроз

Основной всплеск вирусной активности направлен в сторону Android-устройств, хотя и для iPhone в настоящий момент известно 2 образца вредоносного кода. Эта тенденция не только сохранится, но и усилится в 2012 г.

3. Снижение объема спама

Тому есть несколько причин, и в т.ч. активность правоохранительных органов, выразившаяся в аресте хакерских групп и закрытию ботнетов.

От себя добавлю, что по моему мнению в настоящее время происходит  переход от использования кибер-преступниками спам-рассылок как основного инструмента массового заражения и это в том числе сказывается на объеме рассылаемого спама.

---

Отдельно еще хочу отметить, что по данным Лаборатории Касперского использование уязвимостей в Adobe Acrobat в 2011 году был наиболее частым способом атаки со стороны вредоносного кода.  Об этом я писал в конце прошлого года, однако ряд читателей в комментах выразили сомнение в моей правоте. Вот, коллеги, подтверждение моих слов:

                                   Приложения, уязвимости в которых использовали веб-эксплойты, 2011

P.S. Интересный кстати анализ полезности разного рода отчетов, опубликованных разными компаниями, нашел еще вот тут.