Обзор рынка ИБ (выпуск 12)

Аватар пользователя cwZerro
Автор: Коржов Валерий, журнал "Connect. Мир информационных технологий"
(4)
()
Опубликовано в:

Регуляторы. Законодательство

ФСТЭК опубликовала документ с названием "Меры защиты информации в государственных информационных системах", который опубликован для реализации Приказа ФСТЭК #17, который описывает требования к государственным информационным системам. Документ содержит 165 страниц текста, который описывает как именно нужно защищать государственные информационные системы. Пока это проект, который будет принят через какое-то время, поэтому есть возможность хотя бы постараться поучаствовать в исправлении положений документа, которые могут не понравиться участникам рынка. По мнению Алексея Лукацкого документ по идеологии похож на NIST SP 800-53. Есть также анализ документа от Сергея Борисова.

Артём Агеев приоткрыл завесу тайны, которая сопровождает процедуру аттестации информационных систем на соответствие требованиям регуляторов. Процедура определяется ГОСТом РО 0043-004-2013, который является закрытым. Тем не менее Агеев опубликовал выдержки из него с комментариями в своём блоге, что позволяет общественности сделать определённые выводы о возможностях этой процедуры.

Алексей Лукацкий в своём блоге рассказывает про обсуждение стратегии информационной безопасности России, которая обсуждалась в конце ноябре в Совете Федерации. Работа над концепцией продолжается в рабочей группе, а потом Председатель Совета Федерации, Валентина Матвиенко должна внести Стратегию на рассмотрение Совета Безопасности.

Новости безопасности

Компания Microsoft вступила в альянс FIDO Alliance, который занимается разработкой стандартов идентификации без пароля. Вступление в эту организацию Microsoft позволяет надеяться, что разрабатываемая альянсом технология аутентификации на веб-ресурсах будет поддержана в продуктах компании. Альянс разрабатывает технологии аутентификации с помощью голоса, отпечатка пальца или по изображению лица пользователя.

В браузере Mozilla Firefox версии 26 модуль работы с Java выключен по умолчанию. Сделано это было из-за того, что технология Java имеет слишком много уязвимостей, а разработчики их практически не исправляют. Теперь при обнаружении на странице обращения к Java браузер предупреждает пользователя о потенциальной опасности сайта. Предусмотрен также список исключений из правил блокировки.

В Шотландии в области Файф фиксируется до 1,5 тыс. случаев в год, когда пассажиры не заплатили за поездку в такси. В результате, таксомоторные парки были вынуждены ставить в автомобилях камеры видеонаблюдения, чтобы у них была возможность расследовать эти случаи. Предполагается, что устанавливаемые камеры смогут защитить и самого пассажира.

Инциденты и утечки

Зафиксирован массовый взлом учётных записей топовых блоггеров "Живого Журнала". В частности, пост с одинаковым заголовком был опубликован в блогах Алексея Навального, Рустема Адагамова, Антона Носика, Ксении Собчак и других с разницей в несколько минут. Большинство блоггеров, после возвращения себе контроля за своими учётными записями, удалили данный пост.

Зафиксирован взлом Исландского оператора Vodafone Iceland, в результате которого в распоряжении хакеров оказалось 77 тысяч учетных записей оператора. Сам инцидент произошёл ещё в 2011 году, но стало о нём известно только сейчас. Оператор порекомендовал сменить пароли на собственных ресурсах и в социальных сетях, пароли от которых также могли быть перехвачены.

Зафиксирована утечка текстов договоров у регистратора доменных имён R01, в которых помимо прочего содержались паспортные данные клиентов, адреса фактического проживания, номера телефонов и адреса электронной почты. Утверждается, что таких договоров было обнаружено в Сети 99999 штук. Походе, что утечка произошла через интерфейс взаимодействия с регистратором, разработанный для доступ к базе его партнёров.

Аналитика и тенденции

Свои результаты исследования киберпреступности в 2013 году подвела компания "Лаборатория Касперского". При этом указывается, что ежедневно продукты компании отражали до 4,5 млн. угроз. При этом за год компания обнаружила 1,8 млн. новых потенциально опасных программ на территории России. При этом атаки, использовавшие уязвимости в ПО, в 90,52% случаев использовали уязвимости в Java.

Опрос компании McAfee показал, что корпоративные пользователи в 80% случаев пользуются облачными сервисами даже если это противоречит требованиям безопасности работодателя. Причём среди ИТ-специалистов доля таких пользователей дежа выше. При этом 39% утверждают, что таким образом они старались обойти принятые в компании процедуры. При этом в 18% случаев указывается, что установленные ИТ-отделом ограничения затрудняют исполнение служебных обязанностей.

Вокруг света

Все популярнее становится криптовалюта Bitcoin, и все чаще появляются публикации о том как она устроена. В частности, в публикации Майкла Ноэльса (Michael Nielse) подробно разбирается протокол, с помощью которого эта распределённая база транзакций обеспечивает своё согласованное состояние. Впрочем, автор подробно разбирает не сам Bitcoin, но принципы построения криптовалюты.

Организация European Network and Information Security Agency (ENISA) опубликовала отчёт, в котором проанализировала тенденции в области киберкриминала в 2013 году. Среди отрицательных тенденций отмечается активность некоторых государств по взлому информационных систем коммерческих компаний и других государств через компьютерные сети. Среди положительных тенденций отмечается проведение нескольких успешных операций по поимке преступников, которые совершают атаки через Сеть.

Статьи и выступления экспертов

В конце ноября состоялась конференция AntiFraud Russia – 2013, в которой приняло участие большое число экспертов по информационной безопасности. Свои мнения о проведённой конференции высказали представители "Информзащиты" и Сергей Борисов. Если первый отчёт спонсорский о проделанной работе, то второй - менее формальный и выражающий личное мнение автора блога.

Алексей Лукацкий поделился своим мнением о семинаре ПИР-Центра, на котором обсуждали проблемы расследования киберпреступлений. Оказывается, что рынок и спецслужбы по разному воспринимают деятельность  CERTов, которые действуют на территории России.

Украинский рынок информационной безопасность сильно отличается от российского. В частности, Виктор Давыдич обсуждает в своём блоге как обстоит в Украине дела с кадрами в сфере информационной безопасности. Хотя нехватка кадров там ни чуть не меньше, чем в России, но платят за соответствующие должности не в пример меньше.

Посты в блогах

Алексей Лукацкий выступил в своём блоге с предложением руководствоваться при управлении информационной безопасностью предприятия принципами agile-разработки, принятыми в сфере программного обеспечения. По приведенным принципам похоже, что безопасники и разработчики ПО работают в примерно одинаковых условиях неопределённости технических заданий и необходимости на лету подстраивать свои системы под текущие потребности бизнеса.

Николай Федотов в своём блоге опубликовал мнение о кибервойсках и кибероружии. Понятно, что сохранить его на складе будет сложнее, а опасность оно может представлять немалую. Поэтому кроме разработки самого наступательно вооружения в сфере кибервойск стоит заранее позаботиться и о его защите.

Владимир Стыран в своём блоге обсуждает возможность использования технологий больших данных для решения задач информационной безопасности. В основном эта технология необходима для быстрой обработки сведений о событиях в SIEM-продуктах. При этом данных накопилось уже достаточно много, и не совсем понятно насколько они неоходимы и полезны. 

Что посетить?

Компания Positive Technologies готовится к проведению четвёртого Positive Hack Days. В частности, в его рамках планируется конкурс молодых авторов, где можно будет получить независимую рецензию на статью. И если рецензия будет положительной, то автора статьи могут пригласил поучаствовать в самом PHD IV с докладом.

Что почитать?

Игорь Агурьянов затеял перевод статьи "Анализ рисков по OWASP" с сайта OWASP, который поможет разобраться с уязвимостями веб-приложений. Прочитать статью стоит хотя бы для того, что проверить насколько правильно автор понимает веб-безопасность и выработать согласованный и качестве военный текст.

В продолжении темы Bitcoin - статья на Хабре, посвящённая попыткам обойти анонимность криптовалюты и вернуть украденные деньги. Оказалось, что таки да - это по-прежнему невозможно. Тем не менее попытки найти брешь в защите Bitcoin будут продолжаться.

Оцените материал:
Total votes: 189
 
Комментарии в Facebook
 

Комментарии на сайте

Аватар пользователя Антон Карпин

Валерий, форум проводит не Positive Software, а Positive Technologies:)

up
9 users have voted.
Аватар пользователя cwZerro

Спасибо! Действительно - всегда PT был, а тут бац и...

up
9 users have voted.
Аватар пользователя ser-storchak

Владимир Стыран не обидится за "Владимира Штиряна"? =)

up
5 users have voted.
Аватар пользователя cwZerro

Спасибо за правильную кириллизацию - я не угадал...

up
7 users have voted.
Вы сообщаете об ошибке в следующем тексте:
Нажмите кнопку «Сообщить об ошибке», чтобы отправить сообщение. Вы также можете добавить комментарий.