Если вам есть, что сказать сообществу профессионалов ИБ и ИТ – заведите здесь свой блог

Обзор рынка ИБ конец марта

Аватар пользователя cwZerro
Автор: Коржов Валерий, журнал "Connect. Мир информационных технологий"
(0)
()
Опубликовано в:

Регуляторы и законодательство

 
Госдумой был принят ФЗ-35 «О внесении изменений в части первую, вторую и четвертую Гражданского кодекса Российской Федерации и отдельные законодательные акты Российской Федерации», который касается изменения законодательства в части коммерческой тайны. В частности, отменено определение коммерческой тайны как секрета производства, что упрощает введение режима защиты. Изменения вступают в силу с 1 октября 2014 года, но поскольку они требуют определённых изменений при оформлении коммерческой тайны, то компаниям, которые уже имеют введенный режим коммерческой тайны, стоит подготовиться к этому моменту. Обсуждение нововведений можно найти в блогах компании "Эшелон" и у Михаила Емельянникова.

 
На сайте ФГУП «Стандартинформ» опубликован рад новых стандартов, среди которых есть в том числе и документы по управлению информационной безопасностью, большая часть из которых является переводом международных документов. В частности, там опубликован стандарт для телекоммуникационных компаний под названием ГОСТ Р ИСО/МЭК 27011-2012 «Информационная технология. Методы и средства обеспечения безопасности. Руководство по менеджменту информационной безопасности для телекоммуникационных организаций на основе ИСО/МЭК 27002», вступивший в действие в России с 1 января 2014 года. Есть также руководство по непрерывности бизнеса ГОСТ Р ИСО/МЭК 27031-2012 «Информационная технология. Методы и средства обеспечения безопасности. Руководство по готовности информационно-коммуникационных технологий к обеспечению непрерывности бизнеса», которое также вступило в действие с января 2014. Там же опубликованы три части стандарта ГОСТ Р ИСО/МЭК 15408-2012 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий: Часть 1. Введение и общая модель, Часть 2. Функциональные компоненты безопасности и Часть 3. Компоненты доверия к безопасности». Если первая часть была в введена в действие 1 декабря 2014 года, то вторую и третью планируется ввести с 1 сентября 2014 года. Также с 1 июля планируется ввести в действие ГОСТ Р ИСО/МЭК 18045-2013 «Информационная технология. Методы и средства обеспечения безопасности. Методология оценки безопасности информационных технологий», по которому, видимо, будут проверять безопасность информационных технологий в будущем. Следует отметить, что с 1 сентября 2014 года вступает в силу ещё один стандарт ГОСТ Р 51583-2014 «Защита информации. Порядок создания автоматизированных систем в защищенном исполнении. Общие положения», который уже не является переводом, но полностью российским изобретением.

 
ФНС отказалась от ЭЦП. То есть в своём письме № 6-4-02/0081 от 27 декабря 2013 года сообщается, что теперь ФНС не будет принимать ЭЦП изготовленную в соответствии с ФЗ-1. Документы должны быть подписаны только электронной подписью, которая должны соответствовать ФЗ-63. В письме также приводится список из 35 операторов, чью неквалифицированную подпись принимает ФНС, а также описана процедура перевода юридически значимого документооборота на соответствие новому закону. Собственно и сам ФЗ-63 будет меняться - для этого уже опубликован ФЗ-33 «О внесении изменений в отдельные законодательные акты Российской Федерации», принятый 12 марта 2014 года. Его обсуждение есть в блоге Натальи Храмцовской.

 
Новости безопасности

 
Предлагается, что каждый военнослужащий центрального военного округа получит электронную карточку с демографическими данными, медицинскими показателями, фотографией и информации о месте службы. Эти карточки в осенний призыв получат и призывники. При этом для защиты от утечек персональных данных предполагается не подключать к Интернет те компьютеры, которые эти карточки обрабатывают.

 
На рынке информационной безопасности намечаются некоторые изменения. В частности, объявлено, что одна из компаний аэрокосмической отрасли Lockheed Martin покупает производителя решений ИБ АСУ ТП Industrial Defender. Собственно, на рынке информационной безопасности, похоже, активно идёт процесс консолидации - Алексей Лукацкий насчитал 11 сделок по покупке или слиянию, которые произошли в ближайшее время.

 
В США, похоже, знают, что делать с виртуальными валютами. Разговоры об этом начали финансовые власти страны. Предполагается, что до июля этого года будет разработан свод правил для бирж электронной валюты, после чего начнётся их регистрация. Это сделано для защиты пользователей после банкротства биржи Mt.Gox.

 
Инциденты и утечки

 
Во второй половине марта продолжилась кибервойна между российскими и украинскими группировками. В частности, сайт Центробанка опять стал жертвой DDoS-атаки, а также были атакованы сайты некоторых других российских банков и МИДа. Впрочем, во второй половине марта в это противостояние вступили и власти, блокируя, например, блог Алексея Навального и все ресурсы, которые его репостят. Аналогичную акцию предприняли и власти США, заблокировав в YouTube телеканал RT. Хотя, конечно, наиболее крупную DDoS-атаку организовали платёжные системы Visa и MasterCard против банков "Россия" и СМП, слишков расширив понятие "санкции". Также продолжаются и взломы компьютеров на территории России - например, пострадал инвестиционный фонд Александра Багнюка и посольство КНР в Москве. Противники евроинтеграции не остались в стороне, и опубликовали переписку председателя правления украинской неправительственной организации «Учебно-методический центр защиты прав человека» Эдуарда Егорова, в которой чётко намечается американский след денег для организации Евромайдана. Впрочем, как хакеры не бьются за финансовую независимость, а конец у них один - тюрьма в США.

 
В США задержан российский программист Алексей Кибкало, который якобы разгласил секреты Microsoft и тем самым нанёс компании огромный вред. Речь идёт о программе Activation Server Software Development Kit и внутренних сборках Windows 8, которые были опубликованы ранее их официального выпуска. При этом в процессе расследования компания нарушила тайну переписки на собственном почтовом ресурсе HotMail, что не добавило популярности данной службе.

 
Уязвимости и вредоносы

 
Судебный департамент обнаружил целый ряд фальшивых сайтов, якобы принадлежащих судам. Первый сайт-клон был замечен в феврале 2014 года. Сайты были сделаны для рекламы адвокатской практики - сейчас проводится проверка всех адвокатских контор, которые так рекламировались, на предмет обнаружения признаков правонарушений.

 
Компания Eset раскрыла подробности о хакерской атаке, которая была названа "Операция Windigo". По заверениям Eset операция была направлена против веб-серверов под управлением Linux и персональных компьютеров под Windows, Mac OS X и смартфонов iOS. Захваченными оказались 10 тыс. серверов, посетителями которых в общей сумме оказались 500 тыс. человек. Операция длилась в общей сложности около 2,5 лет. Есть сведения, что в России заражено в результате указанной операции порядка 800 веб-серверов.

 
Турецкий хакер нашёл уязвимость, которая позволяет нарушить работу сервиса Google Play Store. При этом проблемы с хранилищем приложений возникают уже при загрузке в него специально созданного приложения. Хакер под именем Ибрагим Балик (Ibrahim Balic) дважды таким способом остановил работу Google Play.

 
Решения и сервисы

 
Компания Panasonic и российский производитель средств защиты "АльтЭль" заключили партнёрское соглашение, в рамках которого электронные замки Altell Trust будут интегрироваться в защищённые конфигурации ноутбуков Panasonic Toughbook CF-31 и CF-53. Модуль доверенной загрузки интегрируется с технологией UEFI Trusted Boot и не может быть удалён из компьютера.

 
Курс доллара начинает вмешиваться в работу рыночных механизмов. В частности , компания "Аладдин Р.Д." объявила о изменении ценообразования с 31 марта 2014 года. Цена будет плавающей и привязанной к курсу доллара, установленному Центробанком, +2%. Причём, цена будет пересматриваться ежедневно по указанному курсу.

 
Компания "Росинтеграция" предлагает всем желающим подготовить программу тестирования на уязвимости. Специалисты компании разрабатывают условия программы и обеспечивают её реализацию. Специалисты по поиску уязвимостей могут получить вознаграждение за найденные проблемы в веб-сайтах или других системах. Утверждается, что это может оказаться дешевле, чем заказывать аудит на уязвимости у специалистов. Однако, это может сильно зависть от качества того продукта, уязвимости в котором покупаются. Подробности можно узнать в блоге Артёма Агеева.

 
Аналитика и тенденции

 
Эксперты НАИРИТ, ИСА РАН и Института социально экономической модернизации оценили ущерб, который DDoS-атаки нанесли российским компаниям в течении 2013 года. Он составляет 1,3 млрд. долл. За год он увеличился на 178%. Вполне возможно, что в связи с информационным конфликтом с Украиной в 2014 году цифра ущерба может ещё увеличиться.

 
Компания Group-IB проанализировала насколько увеличилось время, которое сотрудники компаний тратят в среднем на социальные сети и обсуждение новостей. Оказалось, что это время в период информационной войны между Россией и Украиной увеличилось до 40 минут в день. В период Олимпиады это время составляло около 20 минут. По мнению экспертов компании это нанесло куда больший вред для экономики России, чем описанные выше и в прошлом обзоре DDoS-атаки.

 
По оценкам экспертов в государственных ведомствах США порядка 10% компьютеров работает под управлением операционной системы Windows XP, поддержка которой прекращена. Утверждается, что при этом уязвимость компьютеров при этом увеличится в 5 раз, что ставит под угрозу в том числе и важные государственные данные. Вместе с тем, несколько миллионов компьютеров, для которых существует данная проблема, не удастся заменить в течении ближайшего месяца. А ущерб для государственных ведомств от перехода на новую версию ПО, а, скорее всего, и оборудования, точно будет больше, чем лишние 20 минут в социальной сети.

 
Вокруг света

 
Собственно, для тех, кто желает перейти с устаревшей операционной системы Windows XP компания Eset выпустила набор рекомендаций. Компания рекомендует переходить на Windows 7, которая будет поддерживаться компанией до 2020 года, а кроме этого имеет режим совместимости с Windows XP. При переходе на Windows 8.1 могут возникнуть определённые проблемы у пользователей, связанные с переходом на сенсорный интерфейс - удобнее при этом перейти и на новое оборудование, что будет несколько дороже.

 
Компания AVG разбирает пять мифов, связанных с безопасностью использования информационных систем. Приведённые мифы отрабатывались годами практики и ошибок, поэтому прочно осели в массовом сознании. Однако сейчас ситуация изменилась, и выработанные реакции пользователей стоит пересмотреть и выработать новые правила цифровой гигиены при использовании Интернет.

 
Статьи и выступления экспертов

 
Ксения Шудрова в своём блоге продолжает обсуждать задачу обезличивания персональных данных. Так в следующей публикации цикла обсуждаются свойства обезличенных данных, а в заключительной статье цикла - требования к процедуре обезличивания.

 
В конце марта много публикаций экспертов связано с платежными системами. В начале речь шла просто о MITM-атаках - одна и другая публикация на Хабре. Однако после демарша Visa и MasterCard публикации были в основном о защите от подобных действий в дальнейшем. В частности, Алексей Лукацкий опубликовал пост о защите китайской платёжной системы China UnionPay и японской JCB. Тут же в блоге компании "Крок" появился обзор законодательства в области НПС. Появилась информация, что на роль российской платежной системы прочат "Про100", разработанную "СберБанком" на основе технологий MasterCard, однако Центробанк не согласился с этим мнением. Своё мнение о НПС также высказал и Евгений Шауро. В общем спор о НПС только начался.

 
Посты в блогах

 
Михаил Хромов в своём блоге обсудил изменение на рынке ИБ, связанные с конфликтом России с остальным миром из-за Украины. Для ИБ - это значит смену парадигмы и модели угроз. Предлагается присоединиться к обсуждению возникших проблем в связи с конфликтом. Своё видение проблемы изменения рынка ИБ в связи с конфликтом с Украиной представил и Лев Матвеев, а также Алексей Дрозд и Алексей Комаров.

 
Прошла конференция по безопасности критически важных объектов, в которой обсуждали проблемы информационной безопасности АСУ ТП. Алексей Лукацкий, который выступал на ней с докладом, затеял в своём блоге активное обсуждение различных аспектов проблемы защиты промышленных систем. В частности, он привёл статистику по инцидентам в этой области, методику риск-ориентированного управления и даже проблему того, кто из государственных органов будет контролировать ситуацию с защитой промышленных систем. в блоге "Информзащиты", 

 
Что посетить?

 
"Лаборатория Касперского" опубликовала программу грантов для студентов, которые обучаются по специальности информационная безопасность. Компания будет проводить конкурс до осени этого года.

 
Компания InfoWatch расширяет географический охват своих выездных мероприятий - компания опубликовала планы выездных мероприятий, которые пройдут в различных городах России.

 
Что почитать?

 
Китай - это теперь интересно, как партнёр в борьбе с Западом, но он также имеет свои особенности в части хакеров. Поэтому может оказаться небезинтересной статья на Хабре, посвящённая описанию хакерской тусовки Китая.

 
DDoS-атаки сейчас уже становятся элементами информационной войны, поэтому ценные ресурсы должны быть защищены от подобных проблем. Для этого нужно проводить предварительное нагрузочное тестирование серверов - именно описание подобного тестирования и обсуждается подробно в статье в блоге Digital Security.

Оцените материал:
Total votes: 341
 
Комментарии в Facebook
 

Рассылка BISA

Подпишитесь на новости информационной безопасности и актуальные статьи экспертов

Ищите нас также:
Вы сообщаете об ошибке в следующем тексте:
Нажмите кнопку «Сообщить об ошибке», чтобы отправить сообщение. Вы также можете добавить комментарий.