Яма. Как научиться выбираться и стать победителем

 

Прочитал вчера книжку Сета Година под названием "Яма. Как научиться выбираться и стать победителем". Несмотря на то, что это произведение относится к классу бизнес-литературы, я рекомендую ее к прочтению широкому кругу лиц, так как многие вещи относятся в том числе и к вопросам личностного роста, профессионального и карьерного развития. 

Книга небольшая, меньше сотни страниц, и в общем не содержит какие-то инновационные или революционные идеи, однако при прочтении заставляет по новому взглянуть на свою профессию, карьеру, бизнес, жизнь в конце концов.   

Более подробно о книге можно почитать тут - http://www.ozon.ru/context/detail/id/3759456/

Книжная полка - Web Application Hackers Handbook

Хочу представить вам очень свежее издание (сентябрь 2011) интереснейшей книжки - Web Application Hackers Handbook 2. По сути это детальная методология (и практика) тестирования на стойкость веб-приложений. Это уже второе издание, в которое вошли самые свежие техники и, что характерно, взятые из реальной практики.

В свое время я читал первую редакцию этой книги и был очень приятно поражен следующими факторами:

- материал в книге подается последовательно в соответствии с возможным алгоритмом проведения проверки, создавая системный взгляд на методику тестирования;

- очень много конкретных приемов, которые также можно отработать на практике, используя соответствующие тестовые дистрибутивы (WebGoat и др.);

- книга содержит именно современные техники, уязвимости и приемы их эксплуатирования (никаких шаблонных, типовых подходов, которые уже лет 5 как не работают на практике ибо разработчики веб-приоложений тоже чему-то научились :) )

В общем для всех кто интересуется вопросами всестороннего тестирования веб-приложений на прочность настоятельно рекомендую прочесть эту книгу и потренироваться на описанных в ней примерах.

Книжку можно купить через Amazon.

В библиотеку пентестеру

В последнее время вышли две книги, которые могут быть интересны тем, кто интересуется вопросами выявления уязвимостей и проведения тестов на проникновение.

1) Penetration Tester's Open Source Toolkit, Third Edition

Книжка доступна на Amazon. В свое время я читал первую ее редакцию и вот уже выходит третья. Посвящена книга описанию инструментов пентестера на базе открытого кода (читай бесплатных).

2) Metasploit: The Penetration Tester's Guide

Книжка также доступна на Amazon. Посвящена она довольно известному хакерскому фреймворку - Metasploit. Книжек про Metasploit выходило за последние годы не так много, хотя этот фреймворк необычайно популярен, и вот наконец что-то свежее.

Так как я сам с этими книгами пока ознакомиться не успел, то никакой рецензии от себя дать не могу.

Книжная полка - IT Auditing: Using Controls to Protect Information Assets

IT Auditing: Using Controls to Protect Information Assets - книга, посвященная вопросам организации и проведения ИТ-аудита.

Книжка совсем свежая, вышла в январе этого года и доступна для покупки на Amazon.

Первая часть книжки посвящена вопросам организации функции аудита в компании (создание команды, формализация процесса, подготовка и проведение аудита, обработка результатов и проч.)

Вторая часть полностью посвящена вопросам проведения аудитов конкретных технологий (сетевое оборудование, беспроводные сети, веб-приложения, базы данных и проч.). В этой части масса примеров, чек-листов и описаний параметров, влияющих на безопасность ИТ-систем.

Третья часть посвящена вопросам рассмотрения различных стандартов и законодательных норм в области ИТ и ИБ. Здесь в основном представлены североамериканские нормы, поэтому для российской специфики полезного немного.

В общем книга мне очень понравилась наличием массы примеров, простым и доступным описанием технологии проведения аудита. Крайне рекомендую к прочтению.

По моему рейтингу этой книжке достается 5 звезд !

Книжная полка - Information Security Management Metrics: A Definitive Guide to Effective Security Monitoring and Measurement

Information Security Management Metrics: A Definitive Guide to Effective Security Monitoring and Measurement - еще одна книжка, посвященная вопросам метрик информационной безопасности.

Книжка вышла в 2009 году и доступна для покупки на Amazon. Я получил к ней доступ через библиотеку ISACA.

Не смотря на то, что на Амазоне у книги рейтинг - 5 звезд, после ее прочтения я не очень понимаю почему. Книжка слишком теоретизирована, очень много "воды". Затронута масса тем, связанных с информационной безопасностью: оценка рисков, соответствие стандартам, менеджмент ИБ. Много чего, только о самих метриках сказано крайне мало. В итоге я не готов порекомендовать ее к прочтению.

По моему рейтингу этой книжке достается только 2 звезды.

Книжная полка - IT Security Metrics: A Practical Framework for Measuring Security & Protecting Data

Недавно прочел это книжку (автор Lance Hayden), посвященную метрикам информационной безопасности или иначе говоря тематике "измерения" эффективности безопасности.

Мой интерес к ней был вызван тем, что о книжке довольно лестно отзывались известные западные ИБ-эксперты (можно посмотреть на сайте Amazon), такие как Anton Chuvakin, Richard Bejtlich, да и вопрос "измерения" безопасности для меня сейчас крайне интересен.

Не смотря на то, что в целом я считаю эту книжку неплохой и стоящей внимания, некоторые главы этой книги я просто пролистывал. Все дело в том, что автор довольно широко трактует понятие "метрик" (никто не запрещает, его право) и из-за этого книжка получилась вообще о том, какие есть механизмы улучшения безопасности за счет введения механизмов анализа и оценки определенной аналитической информации.

Кроме того есть и общие разделы посвященные тому как вообще организовать в компании проект по сбору метрик, как заручится поддержкой менеджмента и проч. Для меня в этом ничего нового нет, но для кого-то возможно окажется полезно, поэтому я не считаю это большим недостатком книги.

По пятибальной системе я готов дать этой книге твердую четверку.

P.S. Вообще всем кто интересуется метриками рекомендую почитать вот эту книжку и заглянуть вот на этот сайт.

Книжная полка - Vulnerability Management by Park Foreman

Этим постом я открываю в своем блоге новую рубрику - "Книжная полка", которая будет посвящена обзорам специализированной литературы.

Сегодня я хочу представить книгу Vulnerability Management, автор - Park Foreman, Издатель: Auerbach Publications, дата выхода: 2009 г. Сам я получил доступ к этой книге через электронную библиотеку ISACA, приобрести же ее можно, например, на Amazon.

На моей памяти это первая книга, посвященная именно области управления уязвимостями, в то время как это довольно важный и непростой процесс, связанный с информационной безопасностью (во многих компаниях его отдают в ИТ-службу, где он реализуется с разной степенью успешности; действительно хорошо выстроенных процессов управления уязвимостями мне пока встречать не довелось).

В книге можно найти и детальное описание подходов к организации программы управления уязвимостями (участвующие подразделения, порядок документирования, план реализации проекта, руководства, чек-листы, политики, рекомендации по составлению отчетности, анализу данных об уязвимостях и проч.), описание технологий, используемых для выявления уязвимостей, а также подробное и популярное объяснение того, что такое CVE, NVD, CPE, SCAP. Очень интересно описано взаимодействие процесса управления уязвимостями с другими ИТ и ИБ-процессами (процессы ITIL, управление рисками, управление активами и др.).

В одной из глав встретилась такая фраза (что сказать, и забавно и грустно):

Some countries have import duties and restrictions on technologies that can extend thereplacement cycle for months. Certain locations seem particularly unfriendly to commerce, particularly where technology is concerned. Russia, Venezuela, and even Mexico can be very resistant to receiving technology, to the detriment of their own citizens. It is even possible that final delivery in some locations may call for a small bribe to the delivery person.

На мой взгляд эта книга может стать довольно полезным подспорьем для тех, перед кем стоит задача по организации эффективно работающего процесса по управлению уязвимостями.

По пятибальной системе я готов дать этой книге твердую четверку.