Размышления о перспективах

Задумался я тут о предстоящих возможных трансформациях отрасли инфобезопасности и решил поделится этими соображениями с вами, дорогие читатели. И вот что мне думается:

1) Информационная безопасность vs. ИТ-безопасность

На мой взгляд в ближайшем будущем термин ИТ-безопасность будет более применим к тому, чем придется заниматься специалистам по ИБ. БОльшая часть информации уже давно циркулирует именно в электронной форме и ее обработка невозможна без информационных технологий. А что это значит ? А то, что безопасность будет обеспечиваться именно в контексте ИТ-технологий. Мне думается, что это приведет к тому, что для обеспечения максимальной эффективности традиционные "технари" от безопасности должны будут перейти под крыло ИТ-подразделения, а директор по информационной безопасности должен будет сконцентрироваться на вопросах уровня GRC, т.е. общем руководстве, управлении рисками и соответствием законодательству.

2) Сращивание ИТ и ИБ

Как продолжение предыдущей мысли, уже сейчас видно как крупные ИТ-игроки скупают компании, занимающиеся информационной безопасностью (Intel купил McAfee, HP купил ArcSight и т.д. и т.п.). Все это на мой взгляд говорит о том, что в будущем элементы безопасности будут встроены в ИТ-сервисы, предоставляемые пользователям. И это будет правильно по двум причинам: во-первых интегрированный сервис удобен пользователям, т.к. им не надо заботится о защите (хотя они и так не заботятся :)), во-вторых такой сервис надежнее, т.к. как известно безопасность встроенная лучше безопасности наложенной.

3) Отказ от жесткого регулирования вопросов применения средств защиты

Я убежден, что "завинчивание гаек" в виде сертификации средств защиты хоть и имеет краткосрочный эффект (многие вендоры задумались о необходимости сертификации), но в долгосрочной перспективе абсолютно нежизнеспособно. Может быть это чересчур эмоционально, но думаю что такие меры это позор для нашей страны, которая так нуждается в модернизации. Так что мне думается, что если уж не в краткосрочной, то в долгосрочной перспективе отказ от обязательной сертификации непременно произойдет.

4) Усиление регуляторного прессинга

И как это не парадоксально в контексте предыдущего размышления, но количество стандартов и разного рода законов и регуляторных требований будет возрастать, т.к. все же безопасностью бизнес старается заниматься в последнюю очередь (в первую конечно же основные процессы) и ничего с этим не сделаешь (люди вообще склонны к риску и игнорированию опасности, особенно когда она не очевидна), а единственный способ заставить все же думать о безопасности - это введение регулирования (отраслевого, законодательного, международного).

Столкновение взглядов: Обновлять или не обновлять

Итак, коллеги, продолжая тему споров на профессиональные тематики хочу сегодня предложить обсудить вопрос обновления/установки патчей. Тема эта опять же не однозначная, с одной стороны все понимают, что обновлять системы необходимо, т.к. хакеры как правило ориентируются именно на непропатченные уязвимости. С другой стороны, само по себе обновление систем может создать проблемы посерьезнее, чем вредоносный код, т.к. частенько случается, что новый патч может стать причиной сбоя системы, потери работоспособности прикладного ПО, скрытых глюков, которые даже не сразу проявляются.

Итог, некоторые специалисты предпочитают либо вообще не обновлять некоторые критичные системы (по принципу "не стоит менять то, что работает"), либо делать это крайне редко.

Мое мнение - обновлять все (!) системы необходимо, но:

во-первых это необходимо делать по согласованному графику (не часто, не редко, в среднем критические уязвимости должны закрываться в течение 1-2 месяцев)

во-вторых все обновления должны быть предварительно протестированы либо на тестовых системах, либо на схожих "живых" системах, но не выполняющих критические функции (например, прежде чем обновить весь парк рабочих станций можно протестировать обновления на десятке активных пользователей, готовых мирится с возможными сбоями)

в-третьих, исключения для ряда систем возможны (например, установленное ПО вообще никак не работает с новым патчем, а разработчик обновлять ПО не собирается, т.к. эта версия уже не поддерживается), но они должны быть согласованы с руководством (включая обсуждение возможных рисков), документально закреплены и должны быть продуманы и реализованы компенсирующие меры

Я убежден, что найдутся и противоположные мнения, давайте поспорим, коллеги.

Пятничный offtopic

В тему пятницы и опроса недели небольшой анекдот:

Попал мужчина (М) в рай, райская жизнь, нега.... стало ему скучно, ходит по раю, вдруг видит - турагентство, занимающееся отправкой экскурсий в АД.

Мужик записался, прибывает в АД, там встречает гид-черт (Ч), начинаются экскурсии по смертным грехам 1-я экскурсия - чревоугодие - пьянка, обжираловка - жизнь кипит - туристы: "Ах, ОХ" 2-я экскурсия - прелюбодеяние - все ясно, без комментариев. Ну, думает мужик, вот где жизнь, решил остаться.

Подходит к Сатане, тот его спрашивает "уверен, что хочешь остаться ?" - М отвечает - "Да", только подписали бумаги, Мужика сразу на расскаленное масло, тот кричит - "эй, вы что, а где прелюбодеяние, чревоугодие ??!!" - а черти отвечают: "А ТЫ НЕ ПУТАЙ ТУРИЗМ С ЭМИГРАЦИЕЙ"

Что касается результатов опроса касательно профессиональной эмиграции, то тут результаты получились следующие:

Из основного можно отметить следующее:

Людей, желающих работать за рубежом у нас не так уж и мало, больше половины опрошенных.

Основным сдерживающим фактором называется незнание английского языка, так что, коллеги, советую многим (вне зависимости от желания или нежелания покидать страну) задуматься над освоением языка, тем более что сейчас это стало значительно проще, чем раньше (в интернете доступна масса обучающих материалов, сайтов, вебинаров и проч.)

И, что интересно, большинство из опрошенных не работает в настоящий момент в иностранной организации, хотя на мой взгляд для тех, кто желает перебраться за рубеж это должен быть шаг № 1.

А вы уже готовы к появлению Duqu ?

Еще в середине октября компания Symantec сообщила о появлении нового вируса, который получил название Duqu. Название связано с тем, что вирус создавал файлы с префиксом ~DQ. Подробнее можно почитать здесь. Некоторые эксперты склонны считать, что разработчики этого вируса либо знакомы с исходными кодами нашумевшего вируса Stuxnet, либо и есть разработчики Stuxnet.

Для заражения этот вирус использует уязвимость CVE-2011-3402. Для распространения используются doc-файлы. Чем опасны такие вирусы думаю объяснять не надо. Сейчас фактически весь бизнес-обмен документами ведется в 2х форматах - PDF и DOC, а значит риск заражения возрастает очень серьезно.

В настоящий момент в качестве механизмов защиты можно предложить либо

а) убедиться, что вы используете антивирусное программное обеспечение, использующее обновленные базы, содержащие сигнатуру Duqu. К таковым точно относятся антивирусы Symantec, NOD32, Kaspersky. По поводу других точно не скажу.

либо

б) установить fix от компании Microsoft, отключающий использование TrueType шрифтов. решение не самое лучшее, т.к. множество приложений используют эти шрифты, а значит и их внешний вид претерпит изменение. но тут уж каждый выбирает сам что важнее, безопасность или удобство и внешний вид.

Сроки выхода патча от Microsoft пока не известны.

Профессиональная эмиграция

"....Но я, я остаюсь,

Там где мне хочется быть,

И пусть, я немного боюсь, Hо я, я остаюсь,

Я остаюсь, чтобы жить!.."

Анатолий Крупнов, группа Черный Обелиск

Разговоры о том, что "надо валить" я честно говоря слышу с некоторой регулярностью еще с момента поступления в ВУЗ. В основном конечно же от своих сверстников и людей помладше. Каждый в конечном итоге для себя решает сам, а стоит ли оно того или нет. Есть как те, кто доволен, так и те, кто не особо.... А что думаете вы, коллеги ?

Как всегда предлагаю небольшой опрос, результаты которого будут опубликованы в конце недели.

P.S. Честно говоря абсолютно, на мой взгляд, неадекватное регулирование рынка информационной безопасности, которое проявилось главным образом в рамках тематики персональных данных, не прибавляет как я смотрю оптимизма коллегам по цеху и толкает людей уходить в "здравые" области, т.е либо в иностранные организации в России, либо уезжать зарубеж. Вот кстати еще один интересный побочный эффект, о котором вряд ли задумывались наши законодатели.

Справочный материал по внедрению стандарта СТО БР ИББС

Коллеги, хотел бы презентовать вам материал, который сегодня был официально анонсирован Компанией ЛЕТА.

Это брошюра, посвященная подходу к внедрению системы обеспечения информационной безопасности по требованиям стандарта Банка России.

Идея подготовки подобного материала родилась у нас после аналогичной работы, которую мы провели почти 2 года назад, выпустив брошюру по персональным данным. Подготавливая этот материал мы старались взглянуть на стандарт не с точки зрения того, какие требования надо выполнить, а с точки зрения того, какие действия (мероприятия) надо провести в банке для того, чтобы в итоге построить ту самую систему обеспечения информационной безопасности, отвечающую требованиям стандарта.

Сам материал можно сказать здесь.

Соответствующий анонс на сайте ЛЕТА можно прочитать здесь.

Понятно, что это не является единственно верным/возможным подходом к реализации требований СТО БР ИББС. Но мы надеемся, что этот материал станет полезным для специалистов по информационной безопасности, работающих в кредитно-финансовых учреждениях России.

Конструктивная критика и комментарии приветствуются.

Солдаты кибер-войны

Сегодня по новостным лентам прошла парочка интересных новостей:

1) Как передает информационное агентство Bloomberg со ссылкой на одно из правительственных ведомств США, за последние несколько лет неизвестными злоумышленниками были взломаны системы управления четырьмя американскими спутниками. Непрямые улики указывают на то, что в каждой из этих атак участвовали китайские хакеры. Источник - http://www.securitylab.ru/news/409126.php

2) Баронесса Невилл-Джонс (Neville-Jones) заявила, что Россия и Китай имеют отношение к масштабной хакерской атаке на компьютерные системы Министерства иностранных дел Великобритании и ряда других ведомств, которые были проведены летом текущего года. Источник - http://www.securitylab.ru/news/409473.php

Конечно же представители Китая оперативно выступили с опровержением, но интересно тут другое.

Разговоры о серьезной кибер-угрозе, которая исходит от Китая, идут уже давно. Считается, что Китай готовит целую армию хакеров, которые должны будут включиться в борьбу в кибер-войне, которая может случиться в ближайшей перспективе. Вспомним опять же операцию "Аврора" и последующий скандал и выход Google из Китая.

Вопрос к читателям блога: вы верите, что Китай целенаправленно готовит специалистов для проведения кибер-атак в целях шпионажа (в т.ч. коммерческого) ? Или это ни что иное как транснациональные группировки кибер-преступников, которые всего лишь скрываются за личиной китайских или русских "хакеров".

Что лично смущает меня. Сообщения о нападении китайских хакеров на западные ресурсы и компании появляются с завидной регулярностью, но в отношении российских - полная тишина. В чем причина ? Мы так хорошо защищены ? Сомнительно, лично мне думается, что мы менее других стран подготовлены к кибер-атакам, потому что

а) у нас этой проблемой никто не занимается, в то время как в других странах это вопрос поднят на уровень президента и правительства

б) в государственных структурах у нас работают (к сожалению) не самые выдающиеся эксперты, а нормативные требования наших регуляторов не способствуют организации защиты, отвечающей требованиям современности

То, что в будущем экономические/политические войны могут усилится - думаю это факт и то, что в этих войнах хакеры, целью которых будет хищение секретов или вывод систем конкурентов из строя, станут неотъемлемой частью, думаю что тоже факт.

Пора начинать готовится к "светлому будущему", коллеги :)

Книжная полка - Web Application Hackers Handbook

Хочу представить вам очень свежее издание (сентябрь 2011) интереснейшей книжки - Web Application Hackers Handbook 2. По сути это детальная методология (и практика) тестирования на стойкость веб-приложений. Это уже второе издание, в которое вошли самые свежие техники и, что характерно, взятые из реальной практики.

В свое время я читал первую редакцию этой книги и был очень приятно поражен следующими факторами:

- материал в книге подается последовательно в соответствии с возможным алгоритмом проведения проверки, создавая системный взгляд на методику тестирования;

- очень много конкретных приемов, которые также можно отработать на практике, используя соответствующие тестовые дистрибутивы (WebGoat и др.);

- книга содержит именно современные техники, уязвимости и приемы их эксплуатирования (никаких шаблонных, типовых подходов, которые уже лет 5 как не работают на практике ибо разработчики веб-приоложений тоже чему-то научились :) )

В общем для всех кто интересуется вопросами всестороннего тестирования веб-приложений на прочность настоятельно рекомендую прочесть эту книгу и потренироваться на описанных в ней примерах.

Книжку можно купить через Amazon.

Как защитить ребенка в сети Интернет

Защита детей в сети Интернет - это проблема, с которой сейчас сталкивается большинство родителей. В поисковике даже порой совсем безобидные словосочетания приводят на сайты с самым чернушным содержанием.
Я уже не говорю о многочисленных баннерах, всплывающих окнах и проч., в общем наткнутся на материалы порнографического, экстримистского или просто нецензурного характера ребенку легче легкого.

Что делать ? Не пускать к компьютеру ? Практически невозможно... Да и потом, помимо всего негатива в интернете есть масса полезных образовательных и развлекательных ресурсов, зачем же лишать ребенка возможности с ними познакомиться ?

Изучая эту тематику сам натыкался на массу бесполезных советов для родителей вроде: ставьте монитор так, чтобы вы видели чем занимается Ваше чадо, проводите разъяснительные беседы с ребенком :) ...просматривайте историю посещений и проч.
Давайте признаемся сами себе, большинству из нас нужно простое и действенное решение, т.к. откровенно говоря некоторые родители знают компьютер еще хуже современных первоклашек (без обид ! ), а вести тотальный визуальный контроль практически невозможно.

Самый действенный способ - блокировать доступ к "плохому" содержимому и для этого есть специализированные средства так называемого родительского контроля. Они встраиваются в современные антивирусы (NOD32, Kaspersky и др.), есть также и отдельные программы. Мегафон, например, сейчас активно рекламирует тариф "Детский Интернет", обеспечивающий безопасный серфинг для детей.

Возвращаясь к тебе отдельных программ, некоторое время назад мне на глаза попалась программка Интернет-Цензор. Устанавливается легко и быстро. Принцип защиты - база "одобренных" разработчиками программы сайтов. Кроме того в программе есть возможность самому добавлять "разрешенные" сайты.
Установил у себя, работает без вопросов. Фильтрует отменно. И что самое важное, программа абсолютно бесплатна ! За более подробной информацией отправляю всех на сайт разработчика.

А чем вы пользуетесь для защиты своих детей в сети Интернет ?

Результаты опроса недели

Вот и завершается трудовая неделя. Как и обещал, публикую результаты опроса про обучение и сертификацию. Комментировать особо не буду, результаты говорят сами за себя.

Лекция в рамках проекта обратная связь

Сегодня состоялась очередная лекция в рамках проекта "Обратная связь".

Время и место: 21.10.2011 с 9:00 до 11:00 МИЭТ Конференцзал библиотеки МИЭТа.

Тема лекции: "Что важно знать будущему специалисту по информационной безопасности.

В этот раз лекция читалась для студентов МИЭТа. Помог ее организовать Хорев Анатолий Анатольевич, Заведующий кафедрой информационной безопасности, д.т.н. Вот здесь можно прочитать о нем дополнительную информацию.

Анатолий Анатольевич был одним из первых кто вообще откликнулся на мои письма (а писал я во многие ВУЗы), вот вроде говоришь, что готов делится опытом бескорыстно, а никому не надо.... обидно.

Но здесь иная ситуация, видно что Анатолий Анатольевич понимает необходимость получения ребятами актуальных, свежих знаний. В общем старт сотрудничеству дан, будем надеяться что оно будет полезным и плодотворным.

Как и обещал, выкладываю файл с полезными ссылками, которые упоминаются в моей презентации (саму презентацию выкладывать не буду, т.к. она не сильно изменилась, см. предыдущие посты о проекте с самой презентацией).

Файл лежит тут.

Технический аудит - часть 2 (Общий алгоритм и первые шаги)

Итак, продолжая тему проведения технического аудита своими силами переходим непосредственно к алгоритму действий.

Типовой аудит состоит из следующих стадий:

- Сбор первичной информации

- Выявление уязвимостей

- Эксплуатация обнаруженных уязвимостей и получение доступа

- Фиксация результата и расширение полученных привилегий

Сегодня поговорим о первой стадии "Сбор первичной информации", а точнее о сборе информации, доступной в сети Интернет. К такой информации относится все то, что может быть использовано злоумышленником для проведения атаки: ip-адреса, адреса электронной почты, файлы конфигурации, логины и пароли и многое другое.

Для сбора этой информации есть ряд инструментов, с которыми и хотел бы вас познакомить:

1) Maltego - инструмент №1 для сбора публичной информации, он позволяет собирать множество сведений (ip-адреса, mx-записи, email и проч.) используя поисковые системы и механизм так называемых трансформаций, представляющий собой поиск сведений на основании уже полученных или внесенных в систему. Есть как бесплатный, так и платный варианты данного программного обеспечения.

Для тех, кто хочет освоить этот инструмент есть хорошие видео-инструкции здесь. Скачать Maltego можно здесь.

2) Google Hacking Diggity Project - инструмент для поиска разного рода информации, проиндексированной поисковыми системами (т.н Google Hacking). Не секрет, что в поисковые системы часто уходит множество интересной информации, это и файлы конфигурации, содержащие логины, пароли и другую информацию о внутренней архитектуре компании, и различные временные страницы, позволяющие определить версию веб-сервера, операционной системы, установленной на сервере, и многое другое.

Сам инструмент можно скачать здесь. Про Google Hacking можно прочитать здесь.

3) FOCA - инструмент для анализа мета-полей в файлах, выложенных на веб-сайте компании или любом другом публичном источнике. Такие файлы (в формате MS Office или PDF) могут стать источником полезной информации для злоумышленника, т.к. иногда содержат доменный аккаунт пользователя, составившего документ, сведения о программном обеспечении, использовавшемся для его создания и прочее.

Сам инструмент можно скачать здесь. Краткая статья о нем здесь.

4) netcraft.com - сайт, предоставляющий онлайн-инструменты для выявления различной информации (ip-адрес сайта, владелец блока ip-адресов, другие севера, относящиеся к домену и проч.). Также для выявления блоков ip-адресов, принадлежащих одной компании, могут использоваться базы данных региональных регистраторов:

ARIN (www.arin.net)

RIPE (www.ripe.net)

APNIC (www.apnic.net)

LACNIC (www.lacnic.net)

AFRNIC (www.afrinic.net)

На этом пока все. В следующий раз поговорим о сборе информации о внутренней сети.

Нужно ли обучение/сертификация в кризис ?

Сейчас уже все кому не лень говорят о "второй волне кризиса", которая вот-вот должна накрыть Европу, а следом за ней и весь остальной мир. Произойдет это или нет нельзя утверждать однозначно, хотя конечно всеобщее ожидание второй волны скорее всего также вносит свой вклад в это, т.к. мысль материальна. Да и в целом общая нервозность грозит разного рода срывами, которые могут перерасти в общую панику.

Но я хотел поговорить не об этом. Говорят что в кризис наилучшая стратегия - это копить силы для рывка в тот момент когда этот самый кризис закончится. И обучение некоторые рассматривают как раз как способ накопления этих самых сил и повышения личной конкурентоспособности.

Поэтому опрос этой недели мне бы хотелось посвятить теме обучения и сертификации специалистов по информационной безопасности.

Планируете ли вы обучаться ? На какое обучение/сертификацию лучше потратить свое время и деньги (и нужно ли тратить вообще) ?

Опрос находится здесь.

Результаты, как обычно, будут опубликованы в конце недели.

Бесплатные вебинары для тех, кто готовится сдавать на CISSP

В интернете есть довольно интересная площадка Brighttalk, на которой постоянно читаются онлайн-вебинары различными компаниям, даже проходят целые онлайн-конференции, посвященные той или иной тематике.

Ресурс очень полезный, поэтому крайне рекомендую с ним познакомиться.

Что же касается тех, кто планирует в ближайшее время получать сертификацию CISSP, то на этой площадке недавно появились 2 бесплатных вебинара:

Первый

Второй

По своему опыту подготовки к сертификации могу сказать, что лишних знаний при подготовке не бывает, поэтому советую послушать указанные вебинары.

Исследование Ponemon о последствиях кибератак

В августе этого года известный институт Ponemon Institute опубликовал отчет о результатах второго исследования по теме финансовых потерь для американских компаний от киберпреступлений.

Сам отчет можно скачать здесь.

Хотя все эти западные исследования как правило редко применимы для нашей российской действительности, но в данном случае я думаю, что результаты могут быть интересны, т.к. все же западные компании чаще подвергаются атакам со стороны киберпреступников, а значит их опыт может быть полезен.

Из основных выводов исследования можно выделить следующее:

Потери американских компаний от киберпреступности растут год от года и составляют в настоящий момент довольно серьезные цифры - средние потери среди 50 опрошенных организаций составили 5,9 млн $.

Ущерб от киберпреступлений отличается в зависимости от размера организации. И если более крупные компании в абсолютном значении несут большие потери, то для организаций меньшего размера ущерб относительно их оборота оказывается более существенным.

Практически все опрошенные организации постоянно сталкиваются с кибератаками. Статистика показала что в течении недели на каждую организацию совершается в среднем 1,4 успешных атаки.

Практически в 90% случаев кибератаки были связаны с вредоносным кодом, DDOS-ом, украденными устройствами или инсайдерами.

Скорость реакции на кибератаку обратно пропорциональна ущербу, который может быть нанесен организации. Среднее время реакции по опрошенным организациями составило 18 дней.

Кражи информации, а также прерывание деятельности являются источниками наибольшего ущерба для опрошенных организаций.

Компании, использующие технологии класса SIEM, а также GRC-практики несут меньший ущерб от киберпрестуников в силу более быстрой реакции и оперативного выявления атак. Мне все же кажется, что этот результат как-то связан с тем, что среди спонсоров исследования значится компания ArcSight :) Хотя определенная логика в этих выводах конечно же присутствует. О том, что такое GRC я поподробнее расскажу в последующих постах.