Проблематика защиты мобильных устройств (часть 3) - утечка данных

Продолжаем говорить о вопросах обеспечения информационной безопасности при использовании мобильных устройств.

Сегодня мне бы хотелось коснуться такого вопроса как утечка информации. Мобильные устройства в первую очередь предназначены для того, чтобы человек мог всегда иметь доступ к необходимой ему информации и сервисам (почта, скайп, соцсети и проч.) где бы он не находился. Но попытка удовлетворить такую бизнес-потребность приводит к возрастанию следующих рисков:

• нарушение конфиденциальности информации в результате кражи или утери устройства
• нарушение конфиденциальности информации в результате доступа посторонних лиц к устройству, оставленному без присмотра
• хищение информации работником, имеющим легитимный доступ к информации и хранящий эту информацию на своем устройстве (путем отправки через личную почту, выкладывания в dropbpx и проч.)

Каким образом можно указанные риски минимизировать ?

1) Применение криптографии

Здесь есть определенные трудности. Во-первых отечественной криптографии для шифрования устройств нет, да и вряд ли она появится в ближайшее время (я говорю именно про шифрование устройств, а не про VPN). Все шифрование может быть организовано исключительно средствами самого устройства и здесь в первую очередь возникает вопрос как рулить этим механизмом централизованно. Для этих целей потребуется развернуть MDM-систему (mobile device management). Об этих продуктах я подробнее будут писать в последующих постах на тему мобильной безопасности.

Кроме того надо учесть, что если iPad - это монолитное устройство, то устройства на базе Android как правило активно используют подключаемые карты памяти SD, а значит они тоже должны быть зашифрованы. 

2) Усиленный контроль доступа

Т.е. использование на устройствах пароля доступа (passcode). И тут конечно же важно не просто его наличие, но и требования к сложности пароля. Чтобы не получилось вот это:

Опять же тут встает вопрос централизованного управления политиками безопасности, который в настоящий момент также решается с помощью MDM систем.

Еще один момент: пользователь может использовать не код доступа, а специальную программу, которая заменяет код на рисунок, который должен нарисовать пользователь, чтобы разблокировать устройство. Здесь MDM системы бессильны, непонятно каким образом определять необходимую сложность подобного рода механизмов доступа.

3) Использование DLP-систем для мобильных устройств 

Пока такой системой не может похвастаться ни один из ведущих разработчиков DLP систем. Symantec и McAfee правда уже начали обещать появление подобных систем в ближайшее время, однако, основная проблема, с которой предстоит здесь столкнуться, это ограниченность ресурсов мобильного устройства. Наличие агента DLP на устройстве скорее всего будет влиять и на продолжительность работы устройства (аккумулятор будет разряжаться быстрее) и на производительность работы (DLP требует серьезных ресурсов, особенно если производятся сложные проверки вроде распознавания картинок).

4) Исключение хранения информации на мобильном устройстве

Конечно же это не всегда возможно в силу того, что у нас пока еще не везде можно обеспечить уверенный прием 3G/WiMax сигнала, который позволит работать с удаленным сервисом без хранения информации на устройстве.

Однако в тех случаях, когда обстоятельства это допускают, исключить хранение можно несколькими способами:

1) Использование специальных клиентов для доступа к прикладным системам, которые исключают хранение информации на устройстве.

Этот способ хорош, но требует чтобы либо у вас были разработчики, которые напишут такого клиента под ваши бизнес-системы, либо чтобы разработчик прикладных систем был готов такую разработку осуществить.

2) Использование веб-приложений, позволяющих просматривать информацию в браузере без возможности сохранения документа.

Способ не самый надежный, т.к. не существует возможности заблокировать функции самого браузера (например, копирование текста).

3) Терминальный доступ с мобильного устройства к корпоративному серверу, на котором хранится необходимая информация/приложения

Таким способом сейчас тоже пользуются ряд организаций, однако думаю что никому не надо объяснять, что обычная операционная система (а именно она появляется на экране пользователя в случае терминального доступа) не совсем предназначена (скорее даже совсем не предназначена) для работы на планшете. Отсюда и масса неудобств для пользователей.

4) Использование специализированных программ, которые позволяют организовать доступ к файловым ресурсам организации и позволяют ограничить операции, которые пользователь может совершать с документами.

Таких систем лично я знаю только одну. Пока я о ней говорить не буду (сохраню интригу для последующих публикаций), но если кому-то не терпится, то можете обратиться ко мне напрямую. Пообщаемся.

Межбанковская конференция "Вопросы обеспечения безопасности НПС"

Для информации, коллеги, 7 июня 2012 года состоится Межбанковская конференция "Вопросы обеспечения безопасности Национальной платежной системы и дистанционного банковского обслуживания». Место проведения: Москва, Конгресс-центр МТУСИ. 

Обсуждаемые вопросы:

• Регулятивная функция Банка России в свете выполнения закона "О национальной платежной системе"
• О документах Банка России по информационной безопасности в рамках закона "О национальной платежной системе"
• Обеспечение бесперебойности функционирования платежной системы: роль и место вопросов информационной безопасности
• Механизмы саморегулирования субъектов предпринимательской и профессиональной деятельности в кредитно-финансовых и других организациях – участниках национальной платежной системы Российской Федерации
• Нормативные и технические вопросы обеспечения безопасности систем ДБО
• Практический опыт совершенствования систем ДБО
• Взаимодействие банковского сообщества по решению проблем обеспечения безопасности систем ДБО

Подробнее -  http://www.ib-bank.ru/dbo/

Open source в инфобезопасности

Помню на волне кризиса, который начался в 2008 году, шло немало разговоров (в т.ч. на уровне государства) о возможном переходе на СПО (свободно распространяемое программное обеспечение, open source).  Я даже в свое время размещал список open source решений, которые могут быть полезны для безопасника.  Сейчас эти разговоры поутихли, да и активное развитие облачных и мобильных технологий серьезно повлияло на рынок ПО.  В связи с этим у меня возник вопрос к читателям этого блога. А вы используете open source решения для обеспечения информационной безопасности ? Если да, то какие ?  Напишите в комментариях. 

Всех с днем смеха !

В прошлом году я в этот день устроил небольшой розыгрыш на тему принятия поправок в 152-ФЗ. В этом году не буду, т.к. к сожалению мой розыгрыш начинает сбываться.... :) 

Поэтому в этот раз просто хочу с вами поделиться одним забавным наблюдением. Дело в том, что в панели управления блогом на сервисе Blogger можно отслеживать статистику посещения блога, а также источники приходящего трафика. И есть там в том числе возможность видеть поисковые фразы, которые вбивали в поисковик Google пользователи, которые переходили на мой блог. Итак:

1) truecrypt vs. фсб

Лейдз..ээээнд джентлменс... ин зе ред корнер......да, я хотел бы на это посмотреть :).  Кстати, а как вы думаете кто кого ? 

2) iБондаренко блог

Нет, все таки эпломания захватила всех, теперь даже к фамилии i прибавляют.  или это мой iКлон ?

3) александр лукацкий блог

Гы, интересно, как выглядит этот человек ?  Прямо так и захотелось в фотошопе поэкспериментировать :)

4) регулятор давления ак 11 б нового образца

Вот скажите мне как можно было по такой поисковой фразе зайти на мой блог ?   Кстати,  а что это вообще такое ? :)

5) ребята вот email и пароль на сайт мой мир

спасибо конечно

Dell покупает SonicWall

Возможно кто-то уже слышал об этом: компания Dell собирается приобрести SonicWall. Думается мне, что это уже становится общей тенденцией: HP некоторое время назад приобрела ArcSight, Intel приобрела McAfee и это только одни из последних примеров. 

Все это на мой взгляд ведет к тому, что ИБ все больше вливается в ИТ и в перспективе функция безопасности будет встроена в предоставляемые ИТ-сервисы (облачные или какие-либо другие, которые появятся в будущем). И этот процесс будет ускоряться по мере того, как доля информации, содержащейся преимущественно в электронном виде будет возрастать. Как это повляет на нашу профессию? Технари от безопасности перейдут под крыло ИТ, а с точки зрения информационной безопасности бизнесом будет востребована функция GRC (т.е. управление рисками, соответствием требованиями и общее управление).  

Это конечно перспектива не завтрашнего дня, но все же это не такое уж далекое будущее. 

P.S. Одним из "плюсов" этого процесса, кстати, будет то, что будут практически исключены конфликты ИТ и ИБ, что сейчас далеко не редкость во многих компаниях. 

Итоги опроса про карьерные предпочтения

Как и обещал, публикую результаты опроса, запущенного в начале этой недели.  Всего в опросе приняло участие 237 человек (я был приятно удивлен такой активности).  Из них 90 человек - представители интеграторов/консультантов и соответственно 147 - представители служб информационной безопасности. 

Результаты опроса среди представителей интеграторов можно увидеть ниже. Для большинства проголосовавших текущее место является не первым местом работы и в ближайшее время основная часть (почти 40%) опрошенных не планирует его менять. Для тех же, кто собирается, большей популярностью пользуется вариант перехода "к Заказчику", т.е. в службу информационной безопасности.

Среди тех, кто сейчас работает в службе информационной безопасности результаты получились несколько иные. Почти половина опрошенных - это молодежь (именно так я могу трактовать то, что у почти половины текущее место работы является первым) и с точки зрения карьерных предпочтений доминирует желание перейти в службу информационной безопасности другой организации.

В общем результаты интересные, местами где-то даже неожиданные. Похоже моя гипотеза о том, что те, кто работает в консалтинге как правило стремятся в дальнейшем перейти к Заказчику, а те, кто работает на Заказчика, планируют переходить в консалтинг похоже не подтверждается (точнее подтверждается лишь частично).

Проблематика защиты мобильных устройств (часть 2)

Итак, я продолжаю писать на тему безопасности использования мобильных устройств. И сегодня я хочу поговорить о рисках, связанных с программным обеспечением.

С подачи компании Apple способом доставки программного обеспечения на мобильные устройства стали разного рода "маркеты". Это удобно, это просто и это хороший способ снизить пиратство и заработать деньги для разработчиков. Все это привело к взрывному росту рынка программного обеспечения и породило те самые риски, о которых сейчас поговорим. Для начала посмотрим на общие тенденции :

во-первых количество выявляемых уязвимостей в мобильном коде растет год от года и связано это со стандартными проблемами, присующими большинству процессов разработки программного кода: разработчики в первую очередь думают о функциональности и в последнюю о безопасности.

во-вторых вирусописатели серьезно взялись за платформу Android. Количество вредоносного когда для этой платформы по отчетам крупнейших антивирусных компаний растет практически с геометрической прогрессией.

Все это конечно же не останавливает пользователей и они продолжают скачивать самое разнообразное программное обеспечение на свои устройства. Более того, применяя 'jailbreak' пользователи могут обходить имеющиеся ограничения и устанавливать программное обеспечение из любых источников. Дать гарантию что вместе с какой-нибудь забавной игрой человек не установит себе на компьютер троянца никто не может.  Старые добрые техники вирусописателей по-прежнему работают.

Еще одной проблемой является то, что установленная программа вполне может вести слежку за пользователем, собирать его личные данные, причем с согласия (неосознанного конечно) пользователя.

Также как в при установке обычных программ на ПК мало кто читает лицензионное соглашение, так и при установке мобильного приложения мало кто читает сообщение, которое содержит перечень информации, которая будет доступна приложению.

Так пользователь с своего молчаливого согласия может предоставить программе доступ к своей почте, смс-сообщениям, телефонной книге и проч., хотя ведь совершенно непонятно порой зачем это нужно какой-нибудь очередной игре. А чтобы не быть голословным привожу пример.

Или другой вариант. Google в настоящий момент предоставляет массу сервисов под одной учетной записью (GMail, Reader, Calendar, Blogger, Picasa и др.).  Т.е. достаточно украсть один логин/пароль чтобы получить доступ ко всему, что вы имеете на серверах Google. А сделать это можно если вы, например, установите программу для просмотра фотографий в Picasa и внесете в эту программу данные своего логина и пароля. Уппсс... уже это сделали ?

Надо конечно признать, что большинство из описанных проблем актуальны в большей степени именно для платформы Android. Для iOS хоть и существует вредоносный код, но масштаб бедствия все же значительно меньше. И тут стоит признать, что закрытый подход Apple и проводимая проверка приложений, загружаемых в iTunes, пока что дает достойный отпор разного рода кибер-преступникам.

Как же минимизировать описанные риски ?  Несколько простых советов по безопасности:

• по возможности следует ограничить список программного обеспечения, устанавливаемого на мобильные устройства;
• следует использовать антивирус для мобильных устройств (это уже перестает быть экзотикой, а становится насущной необходимостью);
• следует ограничить или вообще исключить использование устройств, для которых был сделан 'jailbreak';
• прежде чем подтвердить установку любой дополнительной программы следует проанализировать перечень прав, запрашиваемых программой, на предмет их возможной избыточности; 
• рекомендуется устанавливать программное обеспечение только из проверенных источников.

Свежие публикации

Из полезного:  Вышел в свет новый номер журнала (IN)SECURE. Тема номера: прошедшая недавно международная конференция по безопасности - RSA Conference 2012.

Скачать номер можно по ссылке.

Из формального: На сайте Российской газеты опубликован текст Положения о лицензировании деятельности по технической защите конфиденциальной информации (первая часть, вторая часть). По неофициальным заявлениям представителей ФСТЭК данное положение ничего не меняет в области лицензирования деятельности по ТЗКИ и получать лицензию по-прежнему нужно всем и вся*. На мой взгляд это не соответствует действительности и не отвечает современным реалиям. Время конечно же покажет кто прав, только к сожалению пока еще наши власти живут в каком-то параллельном мире от остального общества (как бы это им и всем нам боком не вышло).

* либо заключать фиктивный договор с лицензиатом

Опрос недели (карьерные предпочтения)

Поздравляю всех с началом трудовой недели ! :)   Мой сегодняшний опрос мне бы хотелось посвятить выяснению того, какие карьерные пожелания превалируют в среде специалистов по информационной безопасности. 

Опрос для тех, кто сейчас работает в консультанте/интеграторе - ссылка.

Опрос для тех, кто сейчас работает в службе информационной безопасности - ссылка.

Результаты как всегда опубликую в конце недели.

Об эффективности ИТ

На недавней конференции, проводимой АНХ, в одном из докладов был представлен проект IT-Value. Несколько слов об этом проекте:

Некоммерческий научный проект, финансирующийся из госбюджета из гранта Минобрнауки. В проект привлечены исследователи и практики, имеющие большой опыт работы на российском ИТ рынке. Проект ведется в координации с ведущими научными школами мира в области исследования эффективности ИТ. Сроки реализации проекта: 2010 – 2012 гг.

На сайте опубликован ряд интересных материалов, которые хоть и относятся к тематике ИТ, а не ИБ, но все же стоят внимания.

В одном из документов мне попался на глаза вот этот слайд:

Думаю, что все что здесь представлено, можно в равной степени отнести и к некоторым технологиям информационной безопасности. В частности:

• Эффект от реализации мер по информационной безопасности как правило наступает не мгновенно.

• Эффект также определяется комплементарными продуктами (введением организационных мер, изменением внутренней культуры компании и проч.)

• Что касается изменения бизнес-процессов под технологии защиты, то это конечно же "голубая" мечта безопасника :), но тут все же все происходит наоборот.

• Система безопасности эволюционирует в ходе адаптации к фирме и фирмы к ней после завершения проекта.

Компания LETA приглашает на бизнес-завтрак с демонстрацией программного комплекса "Avanpost"

Компания LETA приглашает на бизнес-завтрак, в рамках которого представит уникальный продукт – Программный Комплекс «Avanpost» – единый универсальный механизм защищенного доступа к информационным ресурсам организации и управления учетными данными.

Мероприятие состоится 22 марта, 2012 г. 

Время проведения с 10:00 до 12:30.

По соотношению полноты функционала и стоимости ПК «Avanpost» сегодня не имеет аналогов на российском и западном рынках. ПК «Avanpost» разработан специально для того, чтобы единолично закрыть большинство проблем, которые возникают у служб ИБ при реализации политик безопасности в различных областях. Комплекс удовлетворяет требованиям российского законодательства и отраслевых стандартов, имеет поддержку всех отечественных удостоверяющих центров и криптопровайдеров, и при этом максимально автоматизирован и прост в управлении, масштабировании и анализе.

Вот некоторые из преимуществ и особенностей системы:

·         Помимо IAM объединяет функции TMS, VPN, SIEM (user activity monitor)

·         Криптоалгоритмы ГОСТ

·         «Один токен - один PIN»

·         Разделение полномочий ИТ и ИБ подразделений

·         Управление одним кликом

·         Масштабирование: простота и удобство

·         Любой отчет за 5 секунд

На нашей встрече у Вас будет возможность узнать, какие задачи решает ПК Avanpost и как это работает, увидеть демонстрацию системы, а также услышать о реальных реализованных проектах и итогах работы первых внедрений системы. Мы будем рады видеть Вас на нашем бизнес-завтраке и ответить на Ваши вопросы и выслушать Ваше мнение!

По вопросам участия:

Кондратьева Екатерина

Телефон: +7 (495) 921-1410

Электронная почта: EKondrateva@leta.ru

Подробности: http://www.leta.ru/press-center/events/avanpost.html

Бесплатный сервис экспресс-оценки соответствия требованиям СТО БР ИББС

Сегодня компания ISM SYSTEMS презентовала свой новый онлайн-сервис для проведения экспресс-оценки соответствия требованиям СТО БР ИББС. Чтобы воспользоваться сервисом необходимо зарегистрироваться, указав адрес своей электронной почты. После этого станет доступен интерфейс, состоящий из двух элементов: перечня итоговых показателей и перечня мероприятий по информационной безопасности. 

Все что нужно для того, чтобы провести самооценку, это отметить в списке те мероприятия, которые уже реализованы в банке. При этом в целях упрощения расчета система не предлагает возможности "частичного" выполнения. Если мероприятие отмечено, предполагается, что оно полностью реализовано (и документировано и выполняется). Используя такой подход, провести самооценку можно буквально минут за 30 !! 

Конечно же эти результаты нельзя использовать для отчетности перед Центральным Банком, но если нужно оперативно оценить уровень безопасности в банке, данный сервис то что надо. 

Для того, чтобы воспользоваться сервисом, перейдите по ссылке - http://www.ismsys.ru/express-assessment

Про собеседования

За последние несколько лет мне довелось провести немалое количество собеседований (и сейчас этот процесс продолжается) и могу сказать, что очень многие специалисты (как молодые, так уже и опытные) совершают массу ошибок. В связи с этим позволю себе дать несколько советов относительно того, что на мой взгляд важно при прохождении собеседования (особенно, если вы придете ко мне :) ):

• Заранее определитесь, чем вам было бы интересно заниматься, чего вы хотите добиться, что ожидаете от работы в компании
• Не опаздывайте, на крайний случай предупредите, уважайте людей которые тратят свое время на общение с вами
• Не бойтесь запороться на каком-то вопросе, в первую очередь смотрят на общую картину знаний и умений, адекватность
• Ничего страшного, если вы чего-то не знаете
• Будьте предельно честны. Если о чем то читали или слышали так и говорите, не стоит выдавать желаемое за действительное, все равно рано или поздно правда всплывет, но и скрывать что интересовались вопросом не стоит
• Будьте готовы ответить за каждую строчку своего резюме (!)
• Заготовьте рассказ о интересной задаче, которую приходилось решить, вероятнее всего об этом зайдет разговор
• Случается так что на собеседовании дают несложные задачки или задают вопросы на знание определенных технологий, так что рекомендуется освежить общие знания до похода на собеседование
• Постарайтесь адекватно оценить свои знания и уровень оплаты труда за них
• Внимательно слушайте вопрос который вам задают, если возникли сомнения озвучьте то как вы его поняли и уточните детали
• Отключите телефон, чтобы он не зазвонил в неподходящий момент
• Подготовьте вопросы о предлагаемой работе, компании. Чем больше спрашиваете вы, тем меньше спрашивают вас
• При ответах старайтесь не озвучивать термины и технологии о которых не имеете представления, скорее всего вас спросят про них

Парочка новостей одной строкой

- Опубликована электронная версия 1-го в этому году номера журнала Information Security (ссылка). 

В журнале помимо всего прочего опубликовано открытое письмо директору ФСТЭК от неизвестного автора (cм. стр. 42). Я очень рад что вопросы (якобы) обязательной сертификации все чаще обсуждаются публично. Пора уже выходить из парадигмы "суровость российских законов компенсируется необязательностью их исполнения" и делать это только за счет попыток устранения необязательности исполнения просто невозможно, надо еще что-то с суровостью делать. Мое мнение: обязательность сертификации негативно влияет на развитие российского рынка информационной безопасности и она должна быть исключена.

- Компания Qualys анонсировала новый сервис - WebApplication Firewall (ссылка)

Сервис вполне логично вписывается в модель SaaS, по которой Qualys предлагает другие свои решения.  Краткое описание:

QualysGuard WAF delivers enterprise-grade web application security without the traditional costs, footprint, and complexity associated with WAF solutions. Protect your users and your apps from known and emergent web attacks with QualysGuard WAF's continually updated ruleset and globally-aware threat inference engine. Easy-to-digest reporting and analytics allow you to identify and respond to hostile visitors amongst your sites' legitimate traffic. The service's customizable protection can "virtually patch" a high-value web asset during long patch and remediation cycles. Participation in the beta program will be limited.

Отчеты о развитии компьютерных угроз за 2011 г.

В последнее время в сети были опубликованы 2 отчета, касающиеся вирусной активности в 2011 г:

• Kaspersky Security Bulletin 2011. Развитие угроз в 2011 году (ссылка)
• McAfee Threats Report: Fourth Quarter 2011 (ссылка)

Напрямую пожалуй сравнивать эти два отчета не совсем правильно, т.к. все же они описывают разный временной масштаб, однако я попробую выделить общие тенденции, которые в том числе получат свое развитие в 2012.

1. Всплеск хактивизма

То, что казалось бы никто не ждал в нашем насквозь коммерционализированном мире, это появление группировок, которые совершают хакерские атаки не ради денег, а исключительно в борьбе за "идею".  Однако это случилось, и LulzSec и Anonymous несмотря на аресты удается  доставлять серьезную головную боль многим организациям. Последние, кстати, недавно объявили о том, что собираются, ни много ни мало, нарушить работу сети Интернет (ссылка)

2. Возрастание числа мобильных угроз

Основной всплеск вирусной активности направлен в сторону Android-устройств, хотя и для iPhone в настоящий момент известно 2 образца вредоносного кода. Эта тенденция не только сохранится, но и усилится в 2012 г.

3. Снижение объема спама

Тому есть несколько причин, и в т.ч. активность правоохранительных органов, выразившаяся в аресте хакерских групп и закрытию ботнетов.

От себя добавлю, что по моему мнению в настоящее время происходит  переход от использования кибер-преступниками спам-рассылок как основного инструмента массового заражения и это в том числе сказывается на объеме рассылаемого спама.

---

Отдельно еще хочу отметить, что по данным Лаборатории Касперского использование уязвимостей в Adobe Acrobat в 2011 году был наиболее частым способом атаки со стороны вредоносного кода.  Об этом я писал в конце прошлого года, однако ряд читателей в комментах выразили сомнение в моей правоте. Вот, коллеги, подтверждение моих слов:

                                   Приложения, уязвимости в которых использовали веб-эксплойты, 2011

P.S. Интересный кстати анализ полезности разного рода отчетов, опубликованных разными компаниями, нашел еще вот тут.