Регуляторы. Законодательство.

Во время отпуска Государственной Думы было выдвинуто несколько законодательных инициатив, которые так или иначе связаны с информационной безопасностью. Наиболее интересной является законопроект, который предполагает депутат Госдумы от фракции ЛДПР Михаил Дегтярев. В этом законопроекте предлагается ввести верификацию учетных записей в социальных сетях. При этом для верифицированных записей предлагается законодательно ограничить цитирование опубликованных текстов без согласия их владельца.

Ещё одной законодательной инициативой отметился вице-спикер нижней палаты Сергей Железняк, который предложил хранить все данные о российских гражданах только на серверах, расположенных на территории России. Это была своеобразная реакция российских законодателей на скандал с прослушкой Интернет-компаний со стороны АНБ. Сведения об объёмах слежки рассекретил Эдвард Сноуден.

Новости безопасности

Разработчики браузера Firefox предложили протокол для взаимодействия между браузером и антивирусной защитой. Протокол предполагает универсальный способ интеграции антивирусной проверки в браузер, которая могла бы упростить работу как разработчикам средств защиты, так и создателям браузеров.

Компания Infotecs подвела результаты своего конкурса проектов в области информационной безопасности под названием "Инфотекс Академия 2012". В этом году компания определила 7 победителей, между которыми распределила 3 млн. руб. Из победителей четыре проекта были связаны с криптографией, два - с защитой от несанкционированного доступа и по одному - на тему защиты мобильных устройств и сетевой безопасности.

Инциденты и утечки

Обнаружена потенциальная утечка данных учётных записей Twitter, которая, возможно, произошла из-за ошибки в реализации протокола федеративной аутентификации пользователей. Впрочем, сама компания отрицает наличие утечки и даже её возможность.

В системе межведомственного электронного взаимодействия (СМЭВ) зафиксирован сбой, который привёл к временной недоступности портала госуслуг, а также возможности ведомствам обмениваться информацией в электронной форме.

Обнаружена утечка записей видеонаблюдения из общественного транспорта в Интернет. В частности, на порносайты попали те фрагменты записей, на которых запечатлены сексуальные сцены. Хотя занятие сексом в общественных местах порицаемо в обществе, но утечка подобных данных прямо противоречит конституции и законодательству РФ.

Аналитика и тренды

Самое яркое высказывание аналитиков за август - это заявление аналитика Gartner Джона Джирара, который рекомендует клиентам не сильно доверять заявлениям вендоров по информационной безопасности. Их поведение он сравнивает с финансовыми пирамидами.

Компания McAfee опубликовала отчёт, в котором проанализировала вредоносную активность в Интернет. По данным McAfee можно сделать вывод, что разработчики вредоносных программ переключили своё внимание с Windows на платформу Android. Новых вредоносов для настольных компьютеров разрабатывается не очень много, в то время как активность разработчиков вредоносов для Android очень велика.

Вокруг света

В Wall Street Journal опубликованы подробности о системе контроля за Интернет, которые обнародовал Эдвард Сноуден. В статье приводятся подробности построения инфраструктуры АНБ, построенную для контроля за информацией, передающейся по каналам Интернет. Утверждается, что американские спецслужбы могли контролировать до 75% всего трафика, проходящего по территории США.

Статья про возможности британских систем видеонаблюдения. Сейчас подобные системы являются достаточно распространёнными, а данные, которые они собирают, могут содержать много интересных сведений. Автор статьи попытался показать как именно наличие такой привычной системы видеонаблюдения может изменить представление о безопасности.

Статьи и выступления экспертов

В своём блоге Алексей Комаров провёл исследование причин неудачи международных производителей UTM-устройств на российском рынке. Он отметил, что комплексные защитные решения, которые по данным Gartner достаточно популярны в мире, в России не получили должного распространения. Связано это по мнению Комарова с ментальностью российских потребителей.

В своём блоге Андрей Прозоров привёл возможный алгоритм подсчёта стоимости утечки персональных данных - это необходимый элемент процесса организации их защиты. Предложенный им подход является первой попыткой вывести универсальную формулу, поэтому в дальнейшем подход вполне может быть модифицирован. Собственно, предлагаемый способ очень похож на вычисления риска использования персональных данных различных групп сотрудников для реализации различных типов угроз.

Посты в блогах

В электронных документах сохраняется много всякой информации, разглашение которой совсем необязательно. Конечно, далеко не все пользователи могут читать между строк, тем не менее полезно лишние данные из документа убирать перед его публикацией. Именно этому и посвящён пост Артёма Агеева в его блоге.

Сергей Гордейчик в своём блоге продолжает тему поиска уязвимостей, сравнивая два подхода к этой проблеме - статический и динамический. Спор о том, какой из них лучше ведётся уже давно, и мнение не последнего в отрасли человека является интересным для понимания проблемы.

Что посетить?

Системный интегратор "Крок" совместно с компанией Symantec впервые проводит 10 сентября CROC Cyber Conference, на которой ожидается в том числе и выступление Кевина Митника. Мероприятие предназначено для топ-менеджеров компаний клиентов и для экспертов в области информационной безопасности.

Серия региональных конференций под общим названием "Код информационной безопасности", которые пройдут в Екатеринбурге, Перми, Челябинске, Казани и Нижнем Новгороде. Основная цель - познакомить слушателей с новинками в области информационной безопасности.

Что почитать?

Сеть Hyperboria основана на протоколе IPv6 и представляет собой децентрализованную одноранговую сеть, которая предназначена для объединения большого количества мобильных устройств. Проект уже имеет реализацию для UNIX-подобных платформ, и его результатами уже можно пользоваться для создания собственной сети мобильных устройств.

Эллиптические кривые сейчас основной вектор развития криптографии. Уже есть стандарты и их описания, есть программное обеспечение, которое позволяет реализовать заложенные в алгоритмах принципы. Однако лучше всего методы шифрования изучаются на практике. В частности, на Хабре недавно появилась статья, в которой обсуждается реализация алгоритмов шифрования на эллиптических кривых на языке программирования Си++.

Пора уже составить список мероприятий по информационной безопасности. Будет он таким:

Сентябрь

17 – 19 сентября, Санкт-Петербург - XI международная конференция «PKI-Forum Россия 2013»

19 сентября, Москва - Технологии безопасности 2013: обеспечение защиты в меняющихся реалиях

19 сентября, Челябинск - Конференция "Код информационной безопасности (г. Челябинск)"

19 сентября, Екатеринбург - IDC IT Security and Datacenter Transformation Roadshow 2013 Ekaterinburg

20 сентября, Москва - DLP-Russia 2013

25 - 27 сентября, Москва - InfoSecurity Russia 2013

Октябрь

8 - 10 октября, Москва - Infobez-Expo 2013

10 октября, Казань - Конференция "Код информационной безопасности (г. Казань)"

10 октября, Москва - Secure World 2013

22 - 23 октября, Москва - Information Security Russia 2013

24 октября, Пермь - Конференция "Код Информационной безопасности (г. Пермь)"

Ноябрь

7 - 8 ноября, Москва - ZeroNights 2013

14 ноября, Нижний Новгород - Конференция "Код информационной безопасности (г. Нижний Новгород)"

28 ноября, Москва - IV Всероссийская конференция «Борьба с мошенничеством в сфере высоких технологий. Профилактика и противодействие. AntiFraud Russia - 2013»

Недавно институт SANS обнародовал плакат, где собраны 20 наиболее важных инструментов для контроля безопасности корпоративной среды. Причем они названы в порядке убывания важности - первые самые важные, а чем ближе к концу списка, тем необходимость инструментов уменьшается. В этом посте приведу только те инструменты, которые необходимы для обеспечения защиты информационных активов.

1. Инвентаризация авторизованных и неавторизованных устройств. Программное обеспечение обнаруживает устройства, пдключаемые к корпоративной сети, причем как санкционированно, так и без разрешения. Инструмент относится к категории базовых, без внедрения которого обеспечение безопасности вообще невозможно. Выделяют два типа таких приложений: просто инвентаризация устройств и управление  их защищенностью и контроль доступа к сети (NAP). Из предложенных на плакате подуктов  в России доступны Nmap (Open Source), QualysGuard (Qualys), ISE (Cisco).
   
2. Инвентаризация авторизованного и неавторизованного программного обеспечения. Инструмент необходим для определения установленного программного обеспечения, причём как разрешенного, так и запрещённого. Это также базовый инструмент, без внедрения которого сложно говорить о защите корпоративной среды. Здесь также выделено два уровня реализации: учёт с установкой обновлений и инструменыт для удаления неразрешённого ПО. Институт предлагает следующие продукты этого класса: Tivoli Endpoint Manager (IBM), System Center (Microsoft), QualysGuard Policy Compliance Module (Qualys), SolidCore (McAfee).
   
3. Безопасное управление конфигурациями для мобильных компьютеров, рабочих станций и серверов. Эта категория продуктов относится к классу инструментов системного управления, но только с повышенными требованиями к безопасности этого процесса. Продукты этой категории позволяют централизованно управлять защитой мобильных компьютеров, рабочих станций и серверов. Они обеспечивают изменение конфигураций для улучшения защищённости и выявляют несанкционированные изменения. К этой категории относятся Tivoli Endpoint Manager (IBM), System Center (Microsoft), QualysGuard (Qualys), CSP (Symantec), Configuration Manager (VMware).
   
4. Управление уязвимостями и конфигурациями. Продукты этой категории предназначены для постоянного поиска дефектов безопасности и небезопасных конфигураций. Его наличие необходимо для обеспечения безопасного развития информационной среды предприятия. SANS к таким инструментам поиска уязвимостей предъявляет требование по поиску и устранению дефектов в течении 48 часов. В качестве производителей институт предлагает использовать Vulnarability Managment Services (Dell), Vulnarability & Remediation Manager (McAfee), OpenVAS (Open Source), QualysGuard (Qualys), CCS (Symantec). В России к этому классу можно отнести продукт Max Patrol компании Positive Software.
   
5. Защита от вредоносного ПО. Механизмы этого класса обеспечивают работу в операционной системе только безопасных программ, которые полезны как отдельным сотрудникам, так и предприятию в целом. Выделяется два типа таких инструментов: защита от вредоносных программ и контроль установленных приложений. На плакат попали только продукты, которые позволяют работать с крупными информационными системами. В частности, к ним относятся Admin Kit ("Лаборатория Касперского"), ePolicy Orchestrator (McAfee), Forefront и System Center (Microsoft), Endpoint Protection (Sophos), SEP (Symantec), Control Manager (Trend Micro), SolidCore (McAfee).
   
6. Инструменты для тестирования ПО. Эти инструменты предназначены для определения безопасности того или иного программного обеспечения, которое может быть сделано методом статического или динамического анализа. Обычно эти инструменты используются для сертификации программ, однако в случае использования в компании продуктов заказной разработки, эти инструменты также необходимы для контроля качества представленного разработчиком кода. К этим инструментам относятся следующие продукты: Managed Web App Firewall и Web Application Testing (Dell), Fortify 360 и WebInspect (HP), Ounce Labs Core и Appscan (IBM), QualysGuard WAS (Qualys).
   
7. Контроль беспроводных устройств. Это продукты для контроля корпоративной беспроводной сети - блокирование посторонних устройств в сети и предотвращение попыток вторжения через неё. В России этой темой практически не занимаются, просто выделяя беспроводной сегмент во внешнюю сеть. Поэтому и из доступных продуктов есть только aWIPS и CleanAir компании Cisco.
   
8. Безопасное управление сетевыми устройствами.Это продукты, которые обеспечивают безопасное управление корпоративными маршрутизаторами, коммутаторами и межсетевыми экранами. Они должны не просто управлять конфигурацией устройства, но и контролировать насколько получившаяся конфигурация соответствует корпоративной политике безопасности. Из приведённого на плакате списка в России не присутствует ни один продукт.
   
9. Инструменты для контроля сетевых портов, протоколов и сервисов. Это программное обеспечение занимается проверкой сетевой конфигурации, наличия открытых портов и использования посторонних протоколов взаимодействия. Здесь выделяется два типа продуктов: сканеры, обнаруживающие нарушения в сетевой конфигурации, и экраны уровня приложений, которые блокируют посторонние протоколы и сервисы. Из списка можно привести BSA Visibility и FoundScan (McAfee), QualysGuard (Qualys), CSS (Symantec), 2200 (CheckPoint), ASA (Cisco), SonicWall (Dell), FortiGate (Fortinet), SRX и vGW (Juniper), Polo Alto NGFW (Polo Alto Network).
   
10. Контроль административных привилегий. Администраторы информационных систем часто имеют достаточно широкие полномочия и получают возможность вольно или невольно нарушать правила информационной безопасности. Поэтому в компании должны быть механизмы, которые с одной стороны позволяли бы контролировать действия администраторов, а с другой не давали администраторам возможность нарушить работу средств защиты. Для решения этой проблемы SANS предлагает следующие продукты: eDMZ (Dell), ArcSight ESM и ArcSight Itentify View (HP), System Center и Active Directory (Microsoft), CCS (Symantec).
    
11. Защита периметра. Это шлюзовые устройства, которые обеспечивают защиту от внешних атак через сетевые соединения. Разделяются два класса подобных устройств: межсетвой экран, который обеспечивает проверку статических коммуникаций по портам и протоколам, и система предотвращения вторжений. Собственно, сейчас устройства второго типа называют ещё межсетевыми экранами нового покаления. SANS предлагает пользоваться устройствами 2200 ( Check Point), ASA (Cisco), SonicWall (Dell), ForiGate (Fortinet), SRX и vGW (Juniper), Polo Alto NGFW (Polo Alto), XPS (Fidelis), TippingPoint (HP), Network IPS (IBM), Network Security Platform (McAfee), Snort (Open Source).
    

Этот список содержит только основные элементы защиты. Причем, первые пять относятся к первому уровню внедрения, которые должны быть установлены для обеспечения работы более высокоуровневых средств защиты. В частности, шестая  и седьмая категория относится ко второму уровню, восьмая и девятая к третьему, а остальные - к четвертому. Приведённый список явно неполон - я выбирал только те названия, которые сам знал. Кроме того, в России есть и свои продукты для каждой категории - было бы интересно узнать какие.

Страх и ненависть в Сети
Статья посвящена проблеме контроля блогов со стороны государства. В частности, обсуждается дело против блоггера из Сыктывкара Саввы Терентьева.
Ссылки: Страх и ненависть в Сети

Найдена «ахиллесова пята» спамеров
В статье обсуждается альтернативный способ борьбы со спамом, точнее с рекламируемыми в спаме Web-серверами, которые, как правило, имеют ограниченные ресурсы.
Ранее в блоге: Найдена "ахиллесова пята" спама

Ссылки: Найдена «ахиллесова пята» спамеров

Процессоры со встроенной защитой
Обсуждение новой технологии Intel vPro, которая предназначена в том числе и для обеспечения безопасности. Эта технология встроена в процессоры Core 2 Duo, поэтому со временем должна получить широкое распространение.
Ссылки: Процессоры со встроенной защитой

NAC на кристалле
Продолжение темы разработок Intel по безопасности - поддержка на уровне процессора технологии контроля доступа Cisco NAC. У Intel эта технология реализована в виде технологии Intel Embedded Trust Agent.
Ссылки: NAC на кристалле

Болевые точки предприятия
Моя статья про защиту критически важных информационных систем. В качестве средства защиты можно использовать специализированный продукт Symantec Critical System Protection.
Ссылки: Болевые точки предприятия

«Нортон» в розницу
Мой материал по пресс-конференции Symantec, где они объявляли запуск продукции под торговой маркой Norton для частных пользователей на российском рынке. Первым продуктом, который активно будет продвигаться на этот сегмент рынка, будет комплексная защита Norton 360.
Ранее в блоге: Norton 360 для России
Ссылки: «Нортон» в розницу

Безопасная интеграция
Моя статья про защиту систем, интегрированных с помощью SOA. Она написана по материалам доклада "Открытых технологий" на МАКС-2007.
Ссылки: Безопасная интеграция

Евгений Касперский выпустил новый антивирус. Новое решение не требует исполнения на компьютере, а напрямую воздействует на сознание пользователей. Такой "антивирус" выполнен в виде книги под названием "Компьютерное Zловредство" и предназначен он для защиты от наиболее опасных типов атак - социальной инженерии. Дело в том, что обман может сработать только в том случае, если жертва не может заподозрить подвоха. Если же своевременно предупредить пользователя о возможных типах атак, то социальная инженерия перестает работать. Уязвимость будет закрыта, причем самая сложная уязвимость - в человеческих мозгах.

В своей книге Евгений Касперский попытался популярно изложить современное состояние дел в вирусной и антивирусной индустриях. Автор дает свое представление о том, какие сейчас есть типы вредоносного ПО и что они могут сделать с компьютером неосторожного пользователя. Также в книге есть история развития индустрии создания вирусов, и переплетенная с ней история развития антивирусных продуктов. Книга вышла в издательстве "Питер", имеет мягкий переплет и 207 страниц доступного большинству пользователей текста. По заверениям Касперского инструкции языка Assembler встречаются только на обложке, к которой автор ни какого отношения не имеет. Стоит книга 177 руб. Как любое современное комплексное антивирусное решение, книга снабжена CD-ROM с дистрибутивом "Антивируса Касперского" с лицензией сроком на пол года - это самый дешевый на сегодняшний день способ получить антизловредный продукт Касперского.
Книга на Bolero.ru: Компьютерное zловредство (+ CD)

Ссылки:
Новая книга Евгения Касперского поможет защитить компьютеры читателей от «Компьютерного Zловредства»

От защиты устройств к защите взаимодействий
Интервью с Джоном Томпсоном — председателем совета директоров и генеральным директором Symantec. Он рассказывает о информационной безопасности мобильных сотрудников, о Veritas и Microsoft.
Прочитать статью

Лучший способ обороны
Интервью с Тедом Гарфункелем из Стэнфордского университета и одним из руководителей программы WOOT. Он рассказывает о том, как можно разрабатывать средства защиты следя за развитием индустрии разработки вредоносного ПО.
Прочитать статью

Мастер-класс электронного мошенничества
Рассказ о работе Маркуса Якобсона, который изучает проблемы социальной инженерии, а также предлагает определенные решения, которые было бы трудно обойти с помощью обмана котрудников. Он проводит свои эксперименты в Internet над ни чего не подозревающими посетителями сайтов, а потом публикует научные отчеты о проделанном "взломе".
Прочитать статью

«Хакеры – это у них»
Статья про ситуацию в Германии, где обсуждаются законы о допустимости установки троянцев-шпионов на компьютеры террористов. В статье собраны мнения различных сторон на проблему "Государственных троянцев".
Прочитать статью
Ранее в ленте: Троянцы напали на правительство Германии

Немцы испугалась китайцев
Продолжение германской темы, но с другой стороны - как недавно обнаруженные китайские троянские программы подхлестнули работы по обеспечению безопасности в Германии. Теперь правительство Германии планирует реализовать ряд радикальных мер по обеспечению безопасности в рамках государственного плана по защите коммуникационной инфраструктуры.
Прочитать статью
Ранее в ленте: Троянцы напали на правительство Германии

Пробный отчет «Касперского»
Моя статья по результатам пресс-конференции "Лаборатории Касперского", где они впервые огласили свои финансовые показатели. Большой относительный рост, которым компания гордится, скорее всего, означает, что рынок персональных продуктов и решений для SMB еще находится в стадии формирования.
Прочитать статью
Ранее в ленте: Первый финансовый отчет Касперских