Постановления Правительства по защите ПДн: смешанные чувства

В минувшую субботу на сайте ФСБ появились проекты Постановлений правительства, определяющих уровни и требования по обеспечению безопасности персональных данных в ИСПДн (ссылка).

Несколько общих замечаний:

• мы пожалуй единственная страна в мире, в которой предлагается обязать защищать (!) общедоступные персональные данные.  Браво ! 
• только в нашей стране, согласно этим документам,  могут существовать персональные данные у юридического лица (улыбнуло). 

Самое интересное, что в этот раз мнение по отношению к этим документам у экспертов оказалось полярным. От явно негативного - Алексей Волков,  до сдержанно позитивного - Алексей Лукацкий, Сергей Борисов.

Я не готов присоединиться ни к положительным, ни к резко отрицательным отзывам. Мое мнение - "недолет". Т.е. конечно же эти документы лучше чем, те что были, но из них совершенно непонятно к чему все в конечно итоге придет (к жестким или гибким требованиям). И это как раз и вызывает опасения. Сейчас поясню почему.

Вот как выглядит схема определения уровней и требований по новым проектам:

Т.е. алгоритм следующий:

1) Сперва определяем актуальные для ИСПДн угрозы (как определять пока не понятно, это будет описано в документах ФСТЭК и ФСБ, хотя вот тут на самом деле и будет заложена вся система того какие уровни получит большинство ИСПДн в стране).

2) Далее, поняв какие угрозы актуальны, нам необходимо понять к каким типам они относятся, а если говорить еще проще, надо понять есть ли среди актуальных угрозы, относящиеся к недокументированным возможностям в ОС или прикладном ПО. Т.е. на самом деле все моделирование должно свестить к простому вопросу: есть угроза наличия НДВ или нет ! 

3) Параллельно нам необходимо определить характеристики ИСПДн: объем обрабатываемых данных, характер обрабатываемых данных.

4) После этого, сложив характеристики ИСПДн и информацию о типах актуальных угроз мы можем определить уровень защищенности ИСПДн и, соответственно, предъявляемые требования. Причем 1 и 2 уровни присваются системам если актуальны угрозы НДВ и 3 и 4, если не актуальны.

Схема вроде более-менее нормальная, но в ее основе лежит именно вопрос моделирования угроз и определения актуальны ли угрозы НДВ или нет. Здесь все будет зависеть от того, какую методику определения актуальных угроз придумают ФСТЭК и ФСБ. 

Если по этой методике угроза НДВ будет актуальна всегда (а по-хорошему такие угрозы никогда нельзя исключать, вспомните периодические скандалы про закладки в оборудовании, которое приходит из Китая), то тогда почти всем светит 1-ый и 2-ой уровень защищенности. А если методика не будет жесткой, то тогда можно будет попытаться большинство ИСПДн перевести на 3-ий или 4-ый уровень, обосновав неактуальность угроз НДВ. 

Кстати, еще немного нарушена логика применения средств защиты. Почему если у меня актуальны угрозы НДВ в операционной системе или прикладном ПО (!)  мне предлагается использовать средства защиты, прошедшие оценку соответствия ?  Они же никак не помогут от этой угрозы, т.е. в самих средствах конечно никаких закладок не будет, но в ОС и прикладном ПО они останутся и после применения таких средств защиты.

И конечно же ФСБ интересуется нашим мнением, которое необходимо направить на адрес fsb@fsb.ru. Ха, как вы думаете кто-то читает эту почту ?  Знаете в Linux системах есть такое виртуальное устройство /dev/null, куда можно отправить все что угодно :) ( кто знает тот поймет о чем я).  Но я свои замечания все же отправлю на этот адрес и призываю всех сделать тоже самое. А еще следить за сайтами МЭРа и Минюста, надеюсь что эти документы также будут выложены на сайтах этих ведомств для проведения экспертизы.

Даешь вебинары ! На этот раз по теме пресловутого 382-П и безопасности в НПС

Думаю все обратили внимание на то, как серьезно возросло количество вебинаров по различым ИБ тематикам за последнее время. Удивительный всплеск при том что еще весной этого года смотреть / слушать было особо нечего. Я считаю это безусловно позитивной тенденцией, т.к. формат вебинара позволяет получать необходимую информацию в комфортной обстановке, без необходимости куда-то ехать.

Сергей Борисов в своем блоге даже начал вести календар вебинаров. Как говорится на любой вкус и цвет всего можно найти.

Вот информация о еще одном вебинаре, который пройдет в ближайшее время: компания ISM SYSTEMS приглашает всех на вебинар, посвященный вопросу проведения оценки соответствия требованиям к обеспечению защиты информации при осуществлении переводов денежных средств в Национальной платежной системе.

Вебинар пройдет 25-го сентября в 11:00 по Московскому времени. Зарегистрироваться на вебинар можно по ссылке -https://attendee.gotowebinar.com/register/3730703771289005824.

Вебинар приурочен к выпуску нового модуля для системы управления информационной безопасностью ISM Revision – NPS Auditor, который позволяет провести оценку соответствия информационной безопасности требованиям Положения ЦБ № 382-П и получить необходимые отчетные документы.

Столкновение взглядов: 2х факторная аутентификация

И вновь о спорах на профессиональную тему. В этот раз предлагаю обсудить тему использования средств 2х-факторной аутентификации в корпоративной среде.

Сколько уже писалось о недостатках комбинации логин/пароль как механизма аутентификации, но пароли по-прежнему повсюду и похоже что в ближайшей перспективе своих позиций не потеряют.  А вот 2х-факторная аутентификация так и не находит широкого применения. Давайте рассмотрим возможные аргументы.   

Аргументы "за":

• Более надежная аутентификация, позволяющая в т.ч. бороться с атаками MitM, подбором паролей и проч.;

• Возможность обеспечить неотказуемость пользователя от выполненных им действий (ну или по крайней мере повысить вероятность того, что совершенное действие действительно было выполнено пользователем, предъявившим идентификатор);

• Пользователям не нужно заморачиваться с запоминанием паролей, их регулярной сменой и другими смежными вопросами;

• Более простой способ обеспечить соответствие различным законодательным и отраслевым требованиям (PCI DSS, СТО БР, 152-ФЗ и др.) 

Аргументы "против":

• Более дорогостоящее решение;

• Токены, карточки и тому подобные средства 2х-факторной аутентификации могут быть утеряны, оставлены дома (или в других местах) или повреждены, что сделает невозможным работу пользователя (до получения нового идентификатора);

• Не все приложения поддерживают 2х-факторную аутентификацию, а значит полный отказ от паролей подчас невозможен, стоит ли тогда заморачиваться ?

Думаю что многие смогут добавить к этому списку еще ряд своих. Что скажете, коллеги ? Стоит ли по вашему мнению игра свеч ?  На мой взгляд все другие аргументы кроме финансового вполне устранимы и не должны быть препятствием к внедрению 2х-факторной аутентфикации.

RISSPA инициировала обсуждение терминологии с ФСТЭК

Для тех, кто не в курсе:   RISSPA приглашает сообщество к обсуждению облачной терминологии ФСТЭК России

Ссылка с подробностями - http://risspa.ru/news/risspa-fstek

На мой взгляд это очень хорошая инициатива. Именно этим и должны по хорошему заниматься отраслевые ассоциации вроде RISSPA, АРСИБ и др.  Немного жаль конечно, что обсуждается далеко не самая жизненно важная тема (по моему личному мнению тема "облачной" безопасности для России далеко не самый острый вопрос в поле информационной безопасности).  Но как говорится лиха беда начало. То, что ответственные органы идут на контакт с профессиональным сообществом, можно только приветствовать. 

Так что посмотрим во что это выльется. Всех специалистов с активной жизненной позицией призываю поучаствовать в этой инициативе.

Вебинар компании LETA по продукту Avanpost

Учитывая возросший интерес к теме IDM со стороны наших Заказчиков, мы решили провести повторный вебинар по продукту Avanpost - первому российскому полнофункциональному IDM решению.

Программа Вебинара:

• Проблематика IDM, обзор решения и опыт внедрения ПК «Avanpost» - Александр Бондаренко, технический директор компании LETA  
   
• Демонстрация возможностей системы ПК «Avanpost», Дмитрий Василевский, технический директор компании Avanpost

ПК «Avanpost 3.0» – система идентификации и управления доступом к информационным ресурсам предприятия (IDM) и управления инфраструктурой открытых ключей (PKI). А так же ПК «Avanpost 3.0» позволяет решать большой спектр других задач, таких как:

• управление инфраструктурой открытых ключей (PKI);
• защита от несанкци-онированного доступа (НСД) ;
• осуществлять контроль действий пользователей;
• построение защищенных VPN-соединений.

В рамках вебинара у Вас будет возможность узнать, какие задачи решает ПК Avanpost и как это работает, увидеть демонстрацию системы, а также услышать о реальных реализованных проектах и итогах работы первых внедрений системы. Мы будем рады видеть Вас на нашем вебинаре и ответить на Ваши вопросы и выслушать Ваше мнение!

Участие в мероприятии бесплатное, предварительная регистрация обязательна!

Зарегистрироваться на вебинар Вы можете: по ссылке http://my.comdi.com/event/72904/,  а также по электронной почте bkomarov@leta.ru

Проблематика защиты мобильных устройств - часть 5

Снова я решил затронуть вопрос безопасности мобильных устройств и сегодня хотелось бы поговорить непосредственно о средствах защиты, существующих на рынке.

Исходя из того, что я писал уже ранее по этой теме, для мобильных устройств в контексте имеющихся рисков в первую очередь актуально внедрение следующих защитных механизмов:

• средства контроля доступа
• средства шифрования устройства
• средства шифрования каналов связи (VPN)
• средства антивирусной защиты
• средства контроля за обращением с информацией (DLP, IRM и т.п.)

Посмотрим что есть в настоящий момент именно с точки зрения бизнес-потребителя. Т.е. нам нужна возможность централизованного развертывания, управления, обновления, мониторинга и пр.

И вот тут сразу же первое огорчение. В настоящий момент еще не существует технологий, позволяющих централизованно установить на мобильное устройство (здесь и далее я понимаю под таковым планшет или смартфон) какое-либо программное обеспечение. Вы можете разослать всем своим пользователям ссылку на программу, находящуюся в App Store или Google Play, и попросить ее установить, но не сможете это сделать за них, как это уже стало привычным для обычных десктопов или ноутбуков. Так что вопросы установки каких-либо агентов, вопросы принудительного обновления программного обеспечения и пр., пока придется выполнять вручную.

Идем дальше. Контроль доступа. И Android и iOS (и, как я предполагаю, Windows 8) содержат функционал блокировки устройства с помощью пароля произвольной длины. Вопрос можно ли этим как-то управлять ? Можно, для этих целей служат системы класса MDM (Mobile Device Management). Такие системы позволяют централизовано управлять параметрами работы мобильных устройств, которые к ней подключены (посредством установки агента на мобильное устройство), и в т.ч. определять необходимость использования и длину пароля. 

Шифрование устройства. Эта функция также по-умолчанию присутствует в  iOS и Android (начиная с версии 2.3.4).  Централизованно включить принудительное шифрование устройства можно также за счет использования MDM системы.

Шифрование каналов связи (VPN). И Android и iOS обладают встроенными VPN-клиентами. Помимо этого есть и сторонние клиенты, например, от компании Cisco. С ГОСТовым шифрованием дела обстоят хуже. Компания Инфотекс выпустила VPN-клиент, но для этого потребуется сделать на устройстве jailbreak, что далеко не всегда приемлемо. С точки зрения централизованного управления, то здесь также в политики MDM системы можно внести параметры VPN-соединений и они автоматически будут применены на всех управляемых устройствах.

Средства антивирусной защиты. Здесь дела пока обстоят несколько хуже. Да, большинство крупных производителей средств антивирусной защиты уже выпустили версии своих продуктов для различных мобильных платформ, НО пока эти продукты ориентированы на конечных потребителей, а не на корпоративных Заказчиков. Т.е. в настоящий момент не существует возможности централизованно устанавливать параметры работы антивирусов, проводить принудительное сканирование, обновление и другие задачи, ставшие уже привычными для администраторов сети.

Средства контроля за обращением с информацией (DLP, IRM и т.п.). В настоящий момент мне известно только 2 продукта, которые могут помочь в борьбе с утечкой конфиденциальной информации через мобильные устройства. Это система DLP от компании Symantec (Symantec Data Loss Prevention for Mobile) и продукт компании Cortado (Cortado Corporate Server), который позволяет ограничить доступ к файлам исключительно на просмотр и исключить возможность пападания файлов с конфиденциальной информацией на мобильное устройство.
Основной проблемой, которую называют производители систем класса DLP, является то, что постоянная работа DLP-агента будет неминуемо сажать батарею устройства и серьезно влиять на время его работы. Решить эту проблему судя по всему пока не получается.  Вот, например, как ее сейчас решает компания Symantec:

Т.е. по сути задача сводится к тому, чтобы весь трафик с мобильного устройства пропускать через корпоративную сеть и на уровне сети уже мониторить трафик и боротья с утечкой.

Вот такая вот картинка, коллеги. Несмотря на бурный рост рынка мобильных устройств, с точки зрения безопасности остается ряд неразрешенных моментов. Пока можно сказать, что начинать решать вопрос обеспечения безопасности мобильных устройств рекомендуется с внедрения системы управления (MDM). Об этих системах и поговорим более подробно в следующий раз.

11 сентября

Сегодня годовщина терактов 11 сентября 2001 г. Безусловно эта тратегия сказалась на многих процессах в мире (в первую очередь, конечно же, политических). Повлияло это событие и на нашу отрасль (хотя конечно же главным образом на американском рынке).  Именно после этого терракта вопросы обеспечения непрерывности деятельности (business continuity planning) снова обрели актуальность. В этом году, кстати, требования к системам управления непрерывностью деятельности были стандартизованы на уровне ISO (ссылка). 

В России требования по наличию планов обеспечения непрерывности деятельности (в т.ч. и в части ИТ) пока являются обязательными только на уровне банковской отрасли.

Итак, вам достался отдел ИБ

[Предупреждение: данный пост не предназначен стать учебником или пошаговой инструкцией. Это всего лишь набор идей, которые могут оказаться полезны.]

Итак, вас взяли на работу на должность руководителя отдела ИБ. С чего начать, на что обратить внимание, о чем не забыть ? Вот парочка идей для начала:

Обсудите с руководством ключевые цели, которые ставятся перед подразделением.  Конечно то, что от вас ожидают лучше всего выяснять еще на этапе собеседования, чтобы потом не было неприятных сюрпризов. Однако уже после выхода на работу основные цели и задачи необходимо повторно обсудить и согласовать с руководством.  Идеальный вариант - согласовать показатели, по которым будет оцениваться ваша работа. Кроме того, такой разговор позволяет получить понимание того, насколько вопросы информационой безопасности важны для жизнедеятельности организации.

 

Пообщайтесь с вашими новыми подчинеными. Во-первых нужно быть готовым к тому, что практически наверняка какая-то часть людей уйдет после вашего назначения. Это естесственный процесс. Причин тому может быть масса, в т.ч. и нереализованные амбиции, и застарелые конфликты/обиды и проч. Но именно поэтому важно пообщаться с каждым из подчиненных индивидуально, понять их пожелания, ожидания, цели. С другой стороны и вам будет полезно понять насколько данный сотрудник подходит вам для решения возложенных на ваше подразделение задач. Возможно с кем-то из этих людей вы сами решите расстаться. Цель в конечном итоге проста - удержать ценных людей и избавиться от бездельников, вам нужна команда, способная добиваться результата.

Развивайте презентационные навыки. Работы по обеспечению ИБ, все эти тонкости законодательства и регуляторных требований далеко не всегда понятны бизнес-руководителям. Именно поэтому навыки объяснять сложные профессиональные тонкости простыми словами, которые способы понять люди, не занимающиеся информационной безопасностю, а также умение грамотно представить задачи и проекты, которые выполняются вашим подразделением,  - это крайне ценный навык. Не стоит им пренебрегать.

На этом пока все, продолжение следует....

О доверии на рынке информационной безопасности

Продолжая тему предыдущего поста, сегодня хотелось бы коснуться вопроса доверия на рынке товаров и услуг по информационной безопасности.

Дело в том, что в настоящий момент, на мой взгляд, у потребителя (заказчика), нуждающегося в решении какой-то своей прикладной задачи за счет закупки какого-то технического средства или консалтинговой услуги нет совершенно никаких механизмов, которое обеспечат его гарантией, что товар или услуга будут качественными и подходящими для решения его задач. Давайте рассмотрим какие механизмы в принципе сейчас существуют:

Сертификация. Почему по моему мнению это не работает я уже писал тут. В дополнение к сказанному добавлю, что сертификация не проверяет качество исполнения продукта и среди сертифицированных СЗИ хватает таких, которые совершенно не приспособлены для нормальной работы в современной ИТ-инфраструктуре, хотя и выполняют все формальные требования. А во-вторых, есть еще один минус, который на самом свойствинен и другим существущим механизмам, это наличие финансовых взаимоотношений между тем, кто выдает сертификат (сертифицирующая лаборатория) и тем, кто его получает. Т.е. в данном случае клиентами таких лабораторий являются не потребители продукта, а его изготовители. А кто платит, тот в конечном итоге ожидает, что получит заветную бумажку. Теряется элемент непредвзятости и независимости (кто бы мне что не говорил, до тех пор пока будут прямые бизнес-взаимоотношения между этими сторонами я не готов поверить в непредвзятость сертификации).

Органы по аккредитации/аудиторы. Что я здесь имею ввиду. Это разного рода внешние аудиторы, к которым можно отнести аудиторов по ISO-сертификации (9001, 27001 и проч.), а также аудиторы внутри определенных сообществ, к примеру, проверяющие по качеству исполнения услуг со стороны PCI Council или НП АБИСС. При том что этот механизм работает, я тем не менее считаю, что наличие финансовых взаимоотношений (компания, получающая сертификат ISO платит тем, кто этот сертификат выдает, а PCI Council и НП АБИСС живет за счет взносов своих членов) и здесь не позволяет судить о полной независимости суждения проверяющего (предполагаю, что меня попытаются переубедить, но пока достойных аргументов я не встречал).

Обзоры и отчеты от независимых лабораторий/агенств. Ну на примере отчетов AV Test можно было посмотреть, что и здесь бывает такое, что спонсорами каких-то исследований выступают компании-разработчики, а значит опять появляется элемент денежных взаимоотношений между оценщиком и оцениваемым.  Но по сравнению с вышеперечисленными механизмами здесь можно сказать, что все же в мире есть примеры независимых лабораторий, но чаще всего они занимаются проверкой и сравнением антивирусов. Отчетов по системам класса IDM или, например, DLP я что-то не припомню.

Есть еще конечно же знаменитые квадранты фирмы Gartner и надо сказать многие на них ориентируются. Единственное, что меня (и не только меня) смущает в этих отчетах, это непрозрачность методики, по которой продукт попадает в тот или иной квадрант. 

Вот выдержка из Wikipedia:

It has been pointed out that the criteria for the Magic Quadrant cater more towards investors and large vendors than towards buyers.   (полный текст)

 

Обмен мнениями среди специалистов. Это уже из разряда неформальных механизмов, но он работает. Думаю многие из нас сейчас когда выбирают себе новый телефон, плазму, выбирают страховую фирму или заказывают какие-нибудь услуги отправляются в интернет и начинают читают отзывы. Кто и как написал эти отзывы причем не всех интересует. 

Такой обмен мнениями в среде безопасников существует, но он довольно скудаен, а кроме того происходит как правило только в форумах и, к сожалению, на таких площадках быстро найти нужную информацию не всегда получается.

Каков же вывод ?  На мой взгляд нашему рынку нехватает независимых органов, которые могли бы как в случае с рейтинговыми агенствами S&P или Moody's на финансовом рынке, оценивать качество продуктов и услуг оставаясь независимыми и не боясь в том числе критиковать и снижать рейтинги компаний, которые делают некачественный продукт или оказывают некачественный сервис.

Такие разные отчеты об эффективности антивирусов

Прослушал вчера вебинар Symantec, посвященный 12-ой версии Symantec Endpoint Protection и в презентации бросился в глаза вот этот слайд:

Отрыв Symantec от других компаний очень серьезный, но это то как раз и смущает.  Я попытался найти отчет, на основании которого был составлен этот слайд. Мне удалось найти только вот это. Отчет, подготовленный компанией AV Test в феврале 2011 года, и что самое интересное "заказанный компанией Symantec".  Ничего более свежего мне найти не удалось.  Если кто-то сможет, поделитесь ссылкой. 

Но с другой стороны если посмотреть на сайте этой же организации и сравнить Symantec SEP с решением, к примеру, Kaspersky Endpoint Security, то получается следующее:

Как видно по позиции "Protection" Symantec несколько отстает. Но суть в конечном итоге не в этом (как известно на вкус и цвет все фломастеры, в смысле антивирусы, отличаются). Суть в том, что эти отчеты натолкнули меня на 2 вопроса:

1) Правильно ли, что компании-разработчики спонсируют тесты, в которых участвуют в т.ч. и их разработки ? Не снижает ли это ценности и уверенности в качестве отчета ?

2) Стоит ли доверять подобным отчетам о сравнении продуктов при выборе антивируса (межсетевого экрана, сканера уязвимостей  и т.д., нужное подчеркнуть). ?

В связи с этим я решил провети небольшой опрос на тему того, чем руководствуетесь вы при выборе того или иного средства защиты. Свои ответы прошу писать в комментарии к этому посту.

P.S. Вот кстати еще один отчет уже другой организации, в котором Symantec почему то нет вообще.

Stonesoft Evader: А насколько прочны ваши межсетевые экраны ?

Некоторое время назад я писал о поездке в Финляндию, которую организовала компания Stonesoft. Помимо всякой развлекухи вроде знакомства с красотами города и игры в хакеров в тестовой лаборатории в рамках данного мероприятия у нас была небольшая лекция от эксперта компании Stonesoft, Olli-Pekka Niemi, по поводу продвинутых техник обхода различных сетевых фильтров (AET). 

В качестве инструмента для моделирования подобных техник коллеги показали нам так называемый Predator. Конечно заполучить его очень хотелось, но нам сказали, что это секретное оружие Stonesoft, которое они никому не дают (ну под тем предлогом, чтобы не в те руки не попало). 

И вот на днях я натыкаюсь на интересный сайт - http://evader.stonesoft.com/.  Ба, да это же тот самый Predator.  

С указанного сайта можно скачать виртуалку, с уже предустановленным инструментарием, которая может использоваться для тестирования возможностей обхода ваших сетевых экранов. В самом простом варианте схема тестирования выглядит следующим образом:

На указанной схеме 1 - это атакующая машина, 2 - цель атаки.  Загруженная с сайта виртуалка может играть роль и атакующего и жерты. Т.е. задача атакующего направить трафик на цель атаки через тестируемое устройство, а виртуалка на целевом узле уже будет определять какие техники обхода оказались успешными. 

Техник там огромное количество, а если учесть, что их можно комбинировать, то вообще получается просто бездна возможных вариантов (конечно же работать будут далеко не все). Вот собственно как выглядит интерфейс системы:

Инструмент просто отличный и с точки зрения реального аудита сетевой безопасности просто крайне необходимый. Рад, что эксперты Stonesoft не зажали разместили его в свободном доступе. 

Удачного вам тестирования, коллеги. Думаю что результаты вас очень удивят.

Firefox для пентестера

Firefox довольно удобный браузер, но благодаря разного рода надстройкам его функционал может быть безгранично расширен. И среди множества надстроек есть немалое количество тех, которые могут пригодится специалистам по аудиту информационной безопасности.

Хочу представить вам, коллеги, проект FireCAT (Firefox Catalog of Auditing exTensions) - ссылка, в рамках которого его участники занимаются сбором и систематизацией полезных надстроек для Firefox. 

Вот лишь некоторые из них:

1) Firebug

Надстройка позволяет детально анализировать все файлы и скрипты загружаемые в браузер. Обязательная вещь при тестировании веб-приложений.

2) Hackbar

Полезная надстройка для проведения атак типа SQL-Injection и XSS. Помимо этого еще содержит функции по кодированию/декодированию URL-ов и др. полезные штуки.

3) Tamper Data

Позволяет просматривать и изменять HTTP/HTTPS-заголовки и параметры POST-запросов "на лету"

4) OSVDB

Поиск по базе Open Source Vulnerability Database

5) Packet Storm search plugin

Поиск по базе эксплоитов "Packet Storm"

6) Offsec Exploit-db Search

Поиск по базе эксплоитов Exploit-db

7) Cookie Watcher

Просмотр кукисов веб-сайта

8) XSS Me

Надстройка для тестирования на XSS-уязвимости

9) SQL Inject Me

Надстройка для тестирования на  SQL-Injection

10) Wappalyzer

Определение технологий и приложений, которые используются на исследуемом веб-сайте

11) Javascript Deobfuscator

Деобфускатор JavaScript-кода

12) FoxyProxy

Продвинутый инструмент для переключения между прокси-серверами

13) CryptoFox

Инструмент шифровки/дешифровки для взлома MD5-паролей

14) WorldIP

Сетевые инструменты для определения IP-адреса, физического размещения веб-сервера, выполнения команд Ping,Traceroute,RDNS,AS etc.

15) Default Passwords

Поиск по базе дефолтных паролей на CIRT.net

Отпуск

Ваш покорный слуга отбыл на 2 недели в отпуск, так что до 20 августа от меня никаких новых сообщений не будет.

А пока в тему поста поделюсь небольшой ссылкой на инструмент по аудиту, но только не ИБ-шному, а личностному энергетическому: http://theenergyproject.com/tools.

Взял я эту ссылку из книжки "То, как мы работаем, - не работает", которую сейчас читаю.

Всем, кто интересуется тем, насколько он эффективно расходует и восполняет личную энергию предлагаю воспользоваться материалами по указанным ссылкам.

Вакансии в компании ЛЕТА

Предыдущее мое объявление о работенке на август оказалось очень удачным и я получил достаточно большое количество запросов от желающих  поэтому я решил еще немного поэксплуатировать свой блог с целью поиска персонала.  

Сегодня речь пойдет о вакансии на должность инженера по системам защиты информации (профиль: системы класса IDM), которая открыта в компании ЛЕТА. 

Обязанности:

• Выполнение работ по проектам:
• Проектирование Решения
• Развертывание Решения
• Разработка правил и политик Системы
• Ведение проектной документации.
• Проведение пресейл активностей
• Технические консультации менеджеров по продажам.

Требования к кандидату:

• Знание основ построения ИТ-Инфраструтуры предприятия
• Опыт работы с продуктами Microsoft: Windows Server 2003; ISA Server 2004/2006; Exchange Server 2003/2007; SQL Server 2000/2005
• Знание технологий: VPN; Microsoft Cluster Service; Microsoft Active Directory

Желательные навыки и знания:

• Опыт развертывания ИТ-Инфраструтуры с нуля
• Опыт администрирования Linux-системам
• Опыт работы с оборудованием: Cisco; Check Point; HP; IBM; DELL;

Главными конкурентными преимуществами будут являться:

• Хорошие знания одного или нескольких основных решений IAM – Identity and Access Management, IdM – Identity Management: Oracle, Sun, IBM Tivoli, Novell.
• Опыт внедрения одной из следующих систем: AvanPost IAM, Aladdin TMS, Aladdin NetLogon, Indeed-ID ESSO, Oracle IAM, Oracle SSO.

Условия работы в Компании LETA:

• Работа в Москве, в офисе недалеко от м.Текстильщики
• Возможны командировки, но не частые
• Заработная плата обсуждается индивидуально (оклад + проектные премии)
• Перспективы профессионального и карьерного роста
• Молодой и дружный коллектив
• Медицинская страховка со стоматологией
• Корпоративная мобильная связь

График работы - понедельник-пятница, с 9.30 до 18.00.

Все, кто заинтересовался, могут направить свое резюме на адрес:  omakarenko (соб@ка) leta.ru

Письма в редакцию. О взломе почты.

Как это не парадоксально, но одним из самых популярных сообщений в моем блоге (т.е сообщений, собравших максимум просмотров) является моя заметка, посвященная тому, какие методы используют взломщики электронной почты (ссылка). 

Мне периодически даже приходят сообщения с предложением либо взломать чью-то почту, либо разместить у себя в блоге рекламу сервиса по взлому электронной почты :)  Такие сообщения, естественно остаются без ответа.  Но бывает и по-другому.

Вот какое сообщение я недавно получил от одного из пользователей (письмо публикую специально по двум причинам, во-первых для обсуждения поднятых вопросов публично, во-вторых потому, что отправитель сообщения видимо указал не правильный адрес электронной почты и поэтому направить ему свой ответ я не смог):

Добрый день, Александр.С интересом прочитал вашу заметку о взломе почты. Вы, правда, описываете, один частный случай. А бывают и другие частные случаи.
Мне необходимо завести электронную почту для работы с платежными системами (PerfectMoney, Payza и т. д.) на стационарном компьютере (с проводным подключением интернета VPN).
При изучении этого вопроса (выбора наиболее защищенной почты) обнаружил не только Ваш блог, но и огромное количество ресурсов, предлагающих "взлом" за небольшие деньги (сопоставимые со стоимостью переустановки операционной системы - !) большинства web-почт:
http://nova.rambler.ru/search?query=взлом+электронной+почтыЯ понимаю, что часть таких предложений - заведомое мошенничество, когда после выплаты аванса заказчик получает письмо якобы со "взломанного" ящика, отправляет оставшуюся сумму платежа, но никакого пароля уже в обмен не получает. Но есть и множества таких, которые предлагают в качестве доказательства полученного доступа снимок экрана почтового ящика "жертвы" или данные из почтового ящика (часть контактов из адресной книги, текст "контрольного" письма и т. п.) 
Судя по этим фактам, небольшому количеству нареканий на такие сервисы и частые взломы почтовых ящиков моих знакомых, которые вдумчиво относились к соблюдению норм безопасности, сложилось представление, что сегодня получить доступ к любой web-почте стало настолько же несложно, как и переустановить windows.
Подтверждением подозрения стала ситуация у знакомого, счёт которого в международной платежной системе обнулили, запросив смену пароля. Каким образом обошли очень сложные ответы на 2 секретных вопроса и как узнали пароль к почте - остается непонятным (в почту вошли с первого раза судя по login log), так как человек пользуется виртуальной клавиатурой и лицензионным антивирусом ежедневно сканирует всю систему; cache, cookies броузера (FireFox 14) вычищает после каждого сеанса связи с почтовым сервером и платежной системой. Пользуется динамическим IP и делает winsock reset.после каждой сессии. Пароль к почте, разумеется, нигде на носителях не хранится и очень нетривиальный. Варианты "социальной инженерии", фишинга и пр. методы на малоопытного пользователя тоже не подходят...
В связи с этим прошу Вас как специалиста посоветовать (в форме ответа на 4 вопроса для облегчения задачи и экономии времени):
1). К какому из видов электронной почты более сложно получить несанкционированный доступ ("взломать"), т. е. какая более защищенная:
предоставляемая провайдером
web-почта (gmail.com, mail.com, yahoo.com и т. п.)
почта, предоставленная хост-провайдером для сайта.
2). Уменьшает ли возможность перехвата пароля такая процедура: пароль копируется в буфер, лишь после этого устанавливается соединение с интернетом, запускается броузер и пароль вставляется из памяти (после чего память сразу заполняется каким-то содержимым).
3). Правильно ли я понимаю, что виртуальная клавиатура - более надёжная защита, чем та, что встроена в саму платёжную систему.
4). Имеет ли смысл использовать различные proxy-серверы при каждом новом соединении?
Заранее вам благодарен, желаю успехов,
Олег.

А вот собственно мой ответ:

Олег, здравствуйте !

Отвечаю на Ваши вопросы:

1) К какому из видов электронной почты более сложно получить несанкционированный доступ ("взломать"), т. е. какая более защищенная: предоставляемая провайдером web-почта (gmail.com, mail.com, yahoo.com и т. п.) почта, предоставленная хост-провайдером для сайта.

Не готов сравнивать провайдеров. Я бы рекомендовал Gmail по причине того, что он предоставляет возможность подключения по шифрованному каналу для получения и отправки почты.

2). Уменьшает ли возможность перехвата пароля такая процедура: пароль копируется в буфер, лишь после этого устанавливается соединение с интернетом, запускается броузер и пароль вставляется из памяти (после чего память сразу заполняется каким-то содержимым).

Никак это не решает проблему. В первую очередь надо понимать шифруется ли сам канал связи, по которому передаётся пароль доступа (особенно если вы пользуетесь, например, в дороге каким-нибудь бесплатным wifi-ем) и кукисы, которые используются после авторизации. Если вы говорите о защите от кейлоггера, то это конечно может помочь, но возможно что в вашем случае вирус просто дождется авторизации в почте и после этого запустит определённые действия (например, смену пароля)

3) Правильно ли я понимаю, что виртуальная клавиатура - более надёжная защита, чем та, что встроена в саму платёжную систему.

Нет, так как уже давно созданы вирусы которые воруют пароль, набранный на виртуальной клавиатуре, просто делая скриншоты при каждом нажатии на виртуальную клавишу.

4). Имеет ли смысл использовать различные proxy-серверы при каждом новом соединении?

Не совсем понимаю зачем Вы вообще используете прокси ? Прячетесь от кого-то ?


А что порекомендуете Олегу вы, коллеги ?