Отпуск

Ваш покорный слуга отбыл на 2 недели в отпуск, так что до 20 августа от меня никаких новых сообщений не будет.

А пока в тему поста поделюсь небольшой ссылкой на инструмент по аудиту, но только не ИБ-шному, а личностному энергетическому: http://theenergyproject.com/tools.

Взял я эту ссылку из книжки "То, как мы работаем, - не работает", которую сейчас читаю.

Всем, кто интересуется тем, насколько он эффективно расходует и восполняет личную энергию предлагаю воспользоваться материалами по указанным ссылкам.

20-ка наиболее важных механизмов защиты от SANS

Думаю никому не надо рассказывать что такое SANS. Эти ребята довольно часто радуют сообщество специалистов по информационной безопасности полезной информацией.  И вот не сказать чтобы очень новый, но довольно интересный материал:

Twenty Critical Security Controls for Effective Cyber Defense: Consensus Audit Guidelines

По сути это набор методов защиты, реализация которых позволит, по мнению экспертов SANS, обеспечить надежную защиту от кибер-атак. Помимо перечисления методов защиты документ содержит и рекомендации по аудиту каждого из указанных методов.

Некоторое время назад я своем блоге уже поднимал тему базового набора первоочередных мер по информационной безопасности (см. тут), но перечень SANS значительно более широкий.  Итак, 20-ка SANS:

• Critical Control 1: Инвентаризация авторизованных и неавторизованных устройств
• Critical Control 2: Инвентаризация авторизованного и неавторизованного программного обеспечения
• Critical Control 3: Безопасная конфигурация программного и аппаратного обеспечения ноутбуков, рабочих станций и серверов
• Critical Control 4: Регулярное выявление и устранение уязвимостей
• Critical Control 5: Антивирусная защита
• Critical Control 6: Обеспечение безопасности прикладных систем
• Critical Control 7: Контроль беспроводных устройств
• Critical Control 8: Резервное копирование и восстановление
• Critical Control 9: Оценка навыков персонала и проведение обучений
• Critical Control 10: Безопасная конфигурация сетевых устройств (МСЭ, маршрутизаторы, свитчи)
• Critical Control 11: Ограничение и контроль сетевых протоколов, портов и сервисов
• Critical Control 12: Контроль использования административных привилегий
• Critical Control 13: Защита периметра
• Critical Control 14: Мониторинг, хранение и анализ журналов аудита событий безопасности
• Critical Control 15: Контроль доступа на основе минимально необходимых прав
• Critical Control 16: Мониторинг и контроль использования учетных записей
• Critical Control 17: Предотвращение утечки информации (Data Loss Prevention)
• Critical Control 18: Реагирование на инциденты информационной безопасности
• Critical Control 19: Безопасность на уровне сетевой архитектуры
• Critical Control 20: Проведение тестов на проникновение

Про собеседования

За последние несколько лет мне довелось провести немалое количество собеседований (и сейчас этот процесс продолжается) и могу сказать, что очень многие специалисты (как молодые, так уже и опытные) совершают массу ошибок. В связи с этим позволю себе дать несколько советов относительно того, что на мой взгляд важно при прохождении собеседования (особенно, если вы придете ко мне :) ):

• Заранее определитесь, чем вам было бы интересно заниматься, чего вы хотите добиться, что ожидаете от работы в компании
• Не опаздывайте, на крайний случай предупредите, уважайте людей которые тратят свое время на общение с вами
• Не бойтесь запороться на каком-то вопросе, в первую очередь смотрят на общую картину знаний и умений, адекватность
• Ничего страшного, если вы чего-то не знаете
• Будьте предельно честны. Если о чем то читали или слышали так и говорите, не стоит выдавать желаемое за действительное, все равно рано или поздно правда всплывет, но и скрывать что интересовались вопросом не стоит
• Будьте готовы ответить за каждую строчку своего резюме (!)
• Заготовьте рассказ о интересной задаче, которую приходилось решить, вероятнее всего об этом зайдет разговор
• Случается так что на собеседовании дают несложные задачки или задают вопросы на знание определенных технологий, так что рекомендуется освежить общие знания до похода на собеседование
• Постарайтесь адекватно оценить свои знания и уровень оплаты труда за них
• Внимательно слушайте вопрос который вам задают, если возникли сомнения озвучьте то как вы его поняли и уточните детали
• Отключите телефон, чтобы он не зазвонил в неподходящий момент
• Подготовьте вопросы о предлагаемой работе, компании. Чем больше спрашиваете вы, тем меньше спрашивают вас
• При ответах старайтесь не озвучивать термины и технологии о которых не имеете представления, скорее всего вас спросят про них

Закон Парето и информационная безопасность

"Закон Парето" как известно гласит что «20 % усилий дают 80 % результата, а остальные 80 % усилий — лишь 20 % результата». Если не придираться конкретно к цифрам, то думаю можно смело утверждать, что  эффективность механизмов безопасности различна и в большинстве случаев определенный, ограниченный набор действий позволяет ликвидировать большую часть угроз и обеспечить требуемый уровень безопасности (в т.ч. с учетом требований законодательства). Но что это за набор действий ? Точного ответа никто не дает, но я со своей стороны рискну сделать некоторое предположение, основанное на различных материалах, которые мне за последние годы довелось изучить. Итак, 

5 основных мероприятий, позволяющих обеспечить базовый  уровень защиты:

1. Антивирусная защита 

(включая защиту серверов, рабочих станций, интернет-шлюза, почты)

2. Выявление и устранение уязвимостей и своевременное обновление программного обеспечения 

(vulnerability & patch management)

3. Управление доступом 

(включая вопросы идентификации, распределения ролей, разграничения полномочий и доступа)

4. Сегментирование сети и защита каналов связи 

(включая шифрование каналов связи, VPN, SSL и проч.)

5. Шифрование хранимой информации 

(на носителях, устройствах, в базах данных)