Обо всем по чуть-чуть....

Сбор логов по сети

noreply@blogger.com (Andy) — Thu, 21 Jun 2012 06:08:00 +0000

Давно хотел сделать сбор логов по сети. И вот решил поставить OSSIM. Пакет умеет собирать логи с разных систем и устройств. В частности и из Windows. Для этого есть два варианта. Пакет Snare

или OSSEC.

Оба пакета представляют собой программы устанавливаемые на систему и пересылающие логи на сервер. В моем случае сервер OSSIM. Установка простая. В системе появляется новый сервис.

В случае со Snare есть два варианта работы. Первый вариант с агентом, второй без агента. Пробовал оба. Без агента интересней, но у меня он пока не заработал. Думаю из за того, что нужен отдельный логин с правами.

С агентом проще, но тоже есть свои тонкости. В частности, возникла проблема с русским языком. У меня установлены в основном Windows с русским языком. И логи там тоже на русском. Правда проблема не в агенте. Он честно шлет русские логи. Проблема в сервере. Т.е. он не понимает русский язык. Смена локали не особо помогла. Хотя думаю, что проблема в моей кривизне рук.

С OSSEC вариант только с агентом. Агент устанавливается просто. После этого необходимо запустить графический интерфейс (не обязательно) и прописать адрес сервера и ключ. Адрес нам известен, а ключ создается не сервере. Его необходимо скопировать и вставить в соответствующее поле агента. После этого OSSEC шлет логи на сервер. Кроме этого, он умеет отслеживать изменения файлов, реестра, искать руткиты.

В целом OSSEC понравился больше. Основная проблема с этими пакетами в сервере. Т.к. именно он обрабатывает логи и именно у него возникают трудности с русским языком. Но это решаемая проблема.

Public Key Cryptography: Diffie-Hellman Key Exchange

noreply@blogger.com (Andy) — Thu, 12 Apr 2012 10:58:00 +0000

Устранение уязвимостей

noreply@blogger.com (Andy) — Thu, 29 Mar 2012 11:29:00 +0000

В ходе тестирования Lumension Path and Remediation столкнулся с интересной особенностью Nessus.

В частности, сканирование Nessus показывает наличие уязвимостей связанных с браузером Opera. Хотя на компьютере такого браузера нет.

Поиск по компьютеру показал наличие папки Opera, которая осталась после удаления ПО. Удалив на всякий случай папку и повторив сканирование с удивлением обнаружил в отчете уязвимости связанные с Opera. Почему это происходит пока не понял. Возможно нужно почистить еще и реестр.

Еще одна особенность уже Lumension P&R.

Nessus нашел уязвимости связанные с Adobe Reader. Большая часть индексов уязвимостей в Nessus совпали с индексами уязвимостей в Lumension P&R. Часть уязвимостей удалось устранить с помощью Lumension P&R. Однако часть устранить не получается по причине того, что Nessus предлагает установить одну из последних версий Adobe Reader. А в Lumension P&R такого пакета еще нет. Хотя с сайта можно скачать версию еще новее.

Буду искать, почему такая рассинхронизация.

Устранение уязвимостей

noreply@blogger.com (Andy) — Tue, 27 Mar 2012 06:32:00 +0000

Продолжаю изучать систему Lumension Patch & Remediation.

Вот как выглядит главное окно (кликабельно).

Здесь показывается основная информация по состоянию агентов, новые патчи, системы где не установлены все обновления и т.д. Внешний вид можно изменять. Добавлять или убавлять виджеты. Менять местами и т.д.

Первое, что необходимо сделать это найти компьютеры в нашей сети. Для этого выбираем пункт Discover-Assets. Открывается мастер.

В мастере можно выбрать вариант выполнения задания - Немедленно, однократно, ежедневно и т.д.

Далее выбираем вариант выбора целей. Это может быть один IP адрес, диапазон, AD и т.д.

Потом нужно выбрать тип сканирования.

И желательно задать учетные данные. Это позволит точнее определить ОС и параметры системы.

После этого произойдет поиск и в результате у нас появиться список наших компьютеров. Следующим шагом будет установка агентов. Однако предварительно нужно дождаться репликации системы. Это можно увидеть на главном экране в левом верхнем квадрате.

После того, как будет закончена репликация, можно скачать установочные пакеты для различных ОС.

Процесс установки агентов практически не отличается от поиска. Единственно добавляется несколько шагов мастера, где вы указываете какого агента ставить и другие параметры.

Пока все. Продолжение будет позже.

Устранение уязвимостей

noreply@blogger.com (Andy) — Thu, 22 Mar 2012 08:16:00 +0000

Вчера получил свой тестовый сервер для развертывания Lumension Patch & Remediation. Запустил установку.

В ходе установки потребовал добавить MS SQL и Silverlight. Сам скачал нужные пакеты и установил.

Далее по ходу установки потребовалось скачать некие дополнительные пакеты. Но процесс скачивания не удался. Вывели сообщение, что можно пакеты скачать позже. Установка продолжилась.

После установки пакета запустилась консоль управления в браузере. Все управление через веб-интерфейс. Понажимал всякие кнопочки. Интерфейс довольно красивый. Скриншоты сделаю чуть позже.

При попытке установить агента на клиентский компьютер, оказалось, что нет установочных пакетов. Нужно было их скачать с сайта. В консоли есть специальный раздел для скачивания. Но в разделе скачивания установочных пакетов ничего не было. Связавшись с техподдержкой выяснил, что система должна сначала провести репликацию. И пока она не закончится ничего скачать нельзя. Пришлось оставить на ночь. А с утра виртуальный сервер благополучно умер. Так что пока жду его восстановления. Поэтому и скриншоты не могу сделать :-). Как оживет буду пробовать дальше.

Устранение уязвимостей

noreply@blogger.com (Andy) — Tue, 20 Mar 2012 12:24:00 +0000

Занялся поиском решения по устранению уязвимостей. В прошлом году внедрили в качестве сканера уязвимостей Nessus.

Однако получается ситуация, когда мы знаем о том, что уязвимость есть, а устранить ее вовремя не можем. Связано это с тем, что автоматически заплатки ставятся только у Microsoft при помощи WSUS. Остальной софт заплатки качает, но при установке спрашивает пользователя. А пользователь, зачастую, просто закрывает окно. И таким образом заплатка не устанавливается. Уязвимость остается.

Нужен софт, который будет работать аналогично WSUS, но ставить заплатки на все продукты. Ну или на большинство.

Первым на глаза попался Lumension® Patch and Remediation.

Вроде бы умеют устанавливать заплатки не только на продукты MS, но и на Adobe, Citrix и т.д.

Скачал демо версию. Буду пробовать. По результатам буду писать.

Смарт-карты от Аладдина

noreply@blogger.com (Andy) — Mon, 19 Mar 2012 06:47:00 +0000

Ранее я тестировал смарт-карты от компании Аладдин и считыватели Athena (которые предлагает Аладдин).

Все работает вполне неплохо. Но в процессе эксплуатации выявился один интересный момент.

Карта стоит порядка 600 рублей (с чипом EM-Marine и сертифицированная ФСТЭК). Соответственно портить ее путем печатания на ней фотографии и ФИО сотрудника весьма накладно. Если сотрудник уволился, то карту можно просто выкинуть. Т.к. новые фото и ФИО не напечатаешь.

Выходит достаточно накладно. Соответственно, чтобы сэкономить, логично использовать тонкие пластиковые наклейки. На них можно печатать необходимую информацию и при необходимости наклейку можно снять и выбросить, а карту использовать повторно.

Однако при наклеивании на карту этой тонкой пластиковой наклейки толщина карты увеличивается буквально на полмиллиметра. И карта уже не входит в считыватель Athena. Причем втиснуть ее все таки можно, но данные с чипа не читаются.

Разобрав считыватель я обнаружил внутри пластиковую конструкцию, в которую входит смарт-карта.

Щель в данной конструкции точно соответствует толщине карты. И при использовании наклейки карта уже не может пройти в тонкую щель. Если применить силу, то в конструкции открываются защелки и карта входит.

Но дойти до конца ей не позволяют небольшие выступы.

Пришлось на наклейке вырезать небольшие углубления напротив соответствующих выступов в считывателе.

После такой доработки карта заработала. Только теперь в считыватель она входит с небольшим усилием.

Столкнувшись с такой проблемой, решил поискать альтернативные считыватели. В результате протестировал считыватель ACR38U-A1.

В нем использована другая система удержания карты и проблем с наклейкой не возникло.

Таким образом, для себя определил следующий комплект:

- сертифицированная смарт-карта от Aladdin

- считыватель ACR38U-A1.

Оформление внедрения DLP (продолжение)

noreply@blogger.com (Andy) — Sat, 17 Dec 2011 07:07:00 +0000

Интересное развитие получила история с шпионажем в Cisco. Директор российского представительства уволил руководителя профсоюза.

Уволен председатель профсоюза Cisco Россия

Генеральный директор «Сиско Системс» Павел Бетсис подписал приказ (см. ниже) об увольнении менеджера по работе с клиентами Андрея Хабарова с 14 декабря 2011 г. «в связи с неоднократным неисполнением работником без уважительных причин трудовых обязанностей, если он имеет дисциплинарное взыскание (пункт 5 части первой статьи 81 ТК РФ)».

Андрей Хабаров вместе с коллегами Айдаром Гариповым и Вячеславом Ревичевым в мае 2010 г. организовал в российском офисе Cisco первичную профсоюзную организацию. В… полный текст

Источник: CNews

Хабаров планирует обращение в суд. Становится интересно, что же будет делать компания. Неужели у них все в таком запущенном состоянии в отношении использования DLP и расследований. Будем следить.

Мини-DLP, но главное бесплатно

noreply@blogger.com (Andy) — Fri, 16 Dec 2011 07:16:00 +0000

Интересное ПО обнаружил Александр Бондаренко.

Мини-DLP, но главное бесплатно

Воспользовался ссылкой и скачал. Ищет довольно шустро. Надо только написать своих регулярных выражений. Спасибо Александру.

DLP на коленке

noreply@blogger.com (Andy) — Fri, 16 Dec 2011 06:39:00 +0000

Добры день, коллеги.

Давненько я не писал. За это время многое случилось. В частности, я пытался на коленке сделать псевдо DLP. А именно воспользоваться возможностями MS Exchange по поиску.

У MS Exchange 2007 и выше есть возможность с помощью PowerShell поиска по всем ящикам определенной информации и выгрузка сообщений. Выгружать можно либо в заранее определенный почтовый ящик, либо в pst файл.

Экспорт производится с помощью командлета ExportMailbox. Подробно о его использовании можно посмотреть здесь. Поиск осуществляется по всем папкам почтового ящика. При этом есть возможность ввести ограничения с помощью опций ExcludeFolders или IncludeFolders. Список опций есть здесь. Можно ограничить временной период с помощью StartDate и EndDate. Можно искать отдельно по теме письма, телу письма, названиям вложений (SubjectKeywords, ContentKeywords, AttachmentFilenames). Либо по всем полям сразу (AllContentKeywords).

Предварительно, необходимо получить администраторский доступ к почтовым ящикам.

Для поиска и экспорта сообщений из всех ящиков на сервере я воспользовался такой командой:

Get-Mailbox -Server ИмяСервера | Export-Mailbox -IncludeFolders "\Отправленные" -TargetFolder База -TargetMailbox ИмяЯщикаКудаВыгружаем -AllContentKeywords ("*база*","*клиент*") -StartDate "05/12/2011" -AllowDuplicates -AllowMerge

Данная команда запрашивает имеющиеся ящики на сервере (Get-Mailbox -Server ИмяСервера) и для каждого выполняет экспорт (Export-Mailbox) в выделенную папку (TargetFolder База) выделенного ящика (-TargetMailbox ИмяЯщикаКудаВыгружаем) сообщений содержащих слова либо "база" либо "клиент"(-AllContentKeywords ("*база*","*клиент*")). Поиск идет по всем элементам письма (-AllContentKeywords ) в папке "Отправленные"(-IncludeFolders "\Отправленные") за период начиная с 5 декабря 2011 г. (-StartDate "05/12/2011"). При этом разрешено дублирование сообщений (-AllowDuplicates) и объединение писем в одну папку при выполнении нескольких запросов подряд (-AllowMerge). Если данную опцию убрать, то после каждого запроса будет формироваться новая папка вида "Recovered Data - <MailboxAlias> - <Timestamp>". При использовании опции -AllowMerge будет создана одна папка Recovered Data - <MailboxAlias>. Внутри данной папки будут созданы подпапки с именами почтовых ящиков, в которые будут выгружены сообщения прошедшие фильтр.

Выгруженные сообщения можно просматривать в MS Outlook. После выгрузки все папки выглядят одинаково и не понятно в каких есть сообщения, а в каких нет. Чтобы не заниматься открытием каждой папки для выгрузки желательно сделать отдельный ящик. Включать режим "Поиск по всем элементам почты" т.к. к сожалению MS Outlook не позволяет искать внутри папки и ее подпапок. И далее с помощью поиска выбирать сообщения для просмотра.

В общем, в отсутствии возможности внедрения нормальной системы DLP есть возможность хоть как то контролировать процесс. Не очень удобно, не очень красиво. Но это лучше чем ничего.

Оформление внедрения и использования DLP (часть 2)

noreply@blogger.com (Andy) — Tue, 15 Nov 2011 09:26:00 +0000

Появилась новая запись в блоге посвященном борьбе профсоюза работников Cisco с самой Cisco по вопросу нарушения прав работника. Первая часть описывалась у меня здесь.

Так вот, поступил ответ Департамента персонала Cisco, в котором они сообщают о том, что в обращении профсоюза не содержалось доказательной базы (документов, записей и т.д.) и соответственно получается разговор не о чем. Поэтому они не будут консультироваться с профсоюзом по данному вопросу, но если необходимо будет, то они всегда рады помочь.

Интересная позиция. С одной стороны вроде бы правильная. Чем коллеги могут доказать свои обвинения? Как говорится "Разговор к делу не пришьешь.". Мало ли кто и что сказал. Профсоюз планирует обращаться с требованием о проверке фактов. Правда не понятно куда. И еще написать в ФСБ и Министру связи. Думаю правильно обратиться в правоохранительные органы. Но в ответ на запрос органов Cisco вполне может сообщить (и предоставить документы), что имеется соответствующая политика, инструкция, и согласие работника. А может быть и нет таких документов у Cisco (правда я в этом сомневаюсь). Или написаны они не совсем правильно.

В общем буду следить. Очень интересная ситуация.

Ассоциация руководителей служб информационной безопасности (АРСИБ)

noreply@blogger.com (Andy) — Tue, 15 Nov 2011 05:37:00 +0000

На днях прошел процедуру принятия в челны Ассоциации руководителей служб информационной безопасности (АРСИБ). Заявление на вступление подал на выставке Infosecurity в руки Терентьеву Д.А. Он сообщил, что в октябре будет заседание правления, на котором будет принято решение о моем членстве в ассоциации. И вот от него пришло письмо с поздравлениями. Оплатил членский взнос и получил доступ к порталу. Также выбрал комитеты, в работе которых хотел бы принимать участие. Надеюсь, что наше сотрудничество с ассоциацией будет взаимовыгодным и интересным.

Теплоизоляция

noreply@blogger.com (Andy) — Mon, 14 Nov 2011 12:04:00 +0000

В выходные занимался утеплением загородного дома. А именно, утеплял потолок первого этажа. Над ним будет мансарда (позже), а пока просто чердак. Выяснилось, что дед когда строил дом, сэкономил на утеплении. И в результате потолок состоит из двух слоев досок и все. После изучения Интернета выбор пал на утеплитель ЭкоВата. Делается материал из отходов бумажного производства. Представляет собой целлюлозные волокна. В качестве плюсов экологичность, низкая теплопроводность, не сильно горюч. Точнее не поддерживает горение. Множество положительных отзывов.

Цены на монтаж примерно одинаковые. В результате выбрал компанию ЭкоФлок. Договорился на выходные. Проблем никаких. По цене приемлемо. Единственно, за малые объемы (у меня получилось 20 куб.м.) накинули 1000 руб.

В субботу ребята приехали рано. Быстро развернули оборудование.

И процесс пошел. В емкость сверху высыпается мешок утрамбованной ваты. В аппарате он разбивается с помощью мешалки и по шлангу отправляется к месту насыпки. Шума практически нет. Аппарат гудит как пылесос. А наверху вообще тихо. За 2 часа, без перекуров и остановок, ребята засыпали 64 кв.м. слоем 30 см. Потом выяснилось, что получился перерасход ваты. Я готов был оплатить, но они сказали надо понять чей косяк. То ли я обсчитался в кв.м., то ли они сыпанули лишнего. В результате выяснилось, что и я просчитался и они сыпанули. Предложили оплатить перерасход пополам. В общем самой работой я доволен. Теперь посмотрим как будет зимой.

Оформление внедрения и использования DLP

noreply@blogger.com (Andy) — Tue, 08 Nov 2011 06:58:00 +0000

Наткнулся на интересную запись в блоге на CNews. Вкратце речь идет о представлении на увольнение директора Cisco Systems в России П.Бетсиса от профсоюза работников. Основанием послужило то, что в отношении работников организации проводилось служебное расследование (насколько я понял). Основанием для служебного расследования явились данные полученные из перехвата частной переписки по Gmail полученные якобы негласно. Интересная ситуация. С точки зрения сотрудников я согласен. Нельзя негласно собирать информацию. И тем более передавать ее кому то.

Однако с точки зрения работодателя все немного по другому. Получается, что процесс использования DLP системы не был должным образом оформлен.

Как я уже писал ранее, в таких случаях нужно получать письменное согласие работника на проведение контроля. Уведомлять работника о наличии системы DLP. Доводить под роспись запрет на обработку личных данных, а также запрет на личную переписку. В этом случае, сразу отпадает уголовно наказуемый негласный сбор информации. А имея согласие работника на контроль за его работой (в том числе и перепиской) и его обязательство не использовать средства для личной переписки будет сложно ссылаться на конституционное право.

В общем я надеюсь, что компания Cisco все таки грамотно внедряет свои системы.

А работникам желаю, чтобы наоборот.

А зачем шифровать?

noreply@blogger.com (Andy) — Sat, 29 Oct 2011 10:05:00 +0000

Очень часто слышу вопрос: "А зачем шифровать ноутбуки? Ведь это не удобно и сложно и дорого (возможно).". Или вот еще у больших боссов: "У меня охранник всегда со мной. Так что его не украдут.".

Так вот мое мнение шифровать необходимо. Потому что в жизни всякое бывает. И у топов ноуты пропадают. На одном из мест работы зашифровали все ноутбуки. Все ругались, плевались и т.д. Однако вскоре произошло ЧП. У директора департамента украли сумку с ноутбуком, документами и т.д. Совершенно случайно. Приехал домой после ресторана и забыл сумку на полу заднего сиденья. Окна тонированы почти в ноль. И тем не менее, разбили окно и унесли. И вот он рассказывает нам как же хорошо, что все зашифровано. А в другом месте украли у топа. И вроде бы охрана была, и все остальное. Тем не менее и на старуху бывает проруха.

Тогда мы использовали SecretDisk, сертифицированную версию. И шифровали весь диск. Т.е. и системный диск. Соответственно перед загрузкой требовалось предоставить токен и пароль.

Но в целом можно использовать и бесплатный TrueCrypt. Тем более, что он тоже умеет шифровать системный диск. И имеет еще множество вкусностей, с которыми можно ознакомиться на сайте.

VMWare vCenter Converter и сохранение информации

noreply@blogger.com (Andy) — Fri, 28 Oct 2011 08:08:00 +0000

В любой нормальной организации проводится резервное копирование информации. Обязательно с серверов. Реже с рабочих станций. Достаточно часто возникает вопрос с увольняемыми. Человек написал заявление на увольнение. А вдруг у него на рабочей машине что то ценное, что он не положил на сервер? А если он все сотрет в последний день?

Одним из решений, на мой взгляд, может быть использование продукта VMWare vCenter Converter. Продукт бесплатен и позволяет сделать VMWare образ с работающего компьютера. При этом сохранится возможность использования всего того ПО с которым работал сотрудник. Правда при этом возникает вопрос с доступом к личным данным. Но здесь, я думаю, поможет получение согласия и всего остального в рамках использования DLP.

Интерфейс программы достаточно прост и понятен. Можно настроить какой именно образ нужен. Изменить результирующие параметры виртуальной машины.

vCenter Converter работает достаточно хорошо. Хотя бывают моменты. У меня была ситуация, когда в начале снятия образа все работало быстро, но в какой то момент вдруг резко падала скорость передачи (с 12 Мб/с до 600 кб/с). При этом причина падения была не понятна. В остальном все было хорошо. Снятые образы запускались в VMWare Player и позволяли, при необходимости, получить необходимые документы.

Решение конечно не самое правильное, но тем не менее работающее и позволяющее хоть как то решать вопрос сохранения информации.

Смарт-карты от Аладдина и Windows7

noreply@blogger.com (Andy) — Thu, 27 Oct 2011 05:48:00 +0000

Ранее я писал, что выбираю и тестирую систему двухфакторной аутентификации на базе смарт-карт. Так вот недавно, с директором по ИТ, мы тестировали продукт от Алладина. Ставили Network Logon на Windows7. При этом использованный компьютер был не в домене. Выяснились несколько особенностей. В частности, сделать вход только по смарт-карте так, как написано в инструкции нельзя. По крайней мере у нас не получилось. Звонок в поддержку Аладдина не прояснил ситуации. Девушка упорно сообщала, что вся процедура написана в инструкции. На наше замечание, что описанная процедура не работает, она сообщала:"Но ведь в инструкции написано, значит работает.". Забавно. Но в конце концов с помощью лома и какой то матери, а также с помощью правки реестра мы своего добились. Но выяснилось, что если у вас есть учетные данные в нескольких доменах и вы хотите эти учетные данные записать на смарт-карту, то ничего не выйдет. При запуске wizard'а он автоматически подставляет текущий домен (т.е. тот в котором находится компьютер, на котором запущен wizard). В инструкции написано, что можно исправить реестр и тогда такой подстановки не будет. Однако на Windows7 это не срабатывает (что в общем то и написано в инструкции). Поэтому пришлось директору идти на мой компьютер (который входит в основной домен) и на нем запускать wizard и прописывать свою учетную запись для другого домена в свою смарт-карту.

В общем и целом мы победили. Однако в ходе установки и проверки возникла мысль. Ведь Windows7 умеет работать со смарт-картами самостоятельно. И теоретически, если подключить совместимый считыватель и смарт-карту, то можно работать и без использования всяких Network Logon и т.д. Но смарт-карты от Алладина не распознаются Windows7 как совместимые.

Мы обратились к коллегам с этим вопросом и те предложили попробовать другую смарт-карту и считыватель. А именно эти смарт-карту и считыватель. И даже любезно предоставили один комплект на тестирование. Единственно, этот комплект не сертифицирован. Но нам никто не мешает в нужных местах использовать сертифицированное решение от Аладина, а для остальных использовать другие карты. Тем более, что цены примерно одинаковые. Так что по результатам напишу.

Интересный и опасный DDOS

noreply@blogger.com (Andy) — Thu, 13 Oct 2011 06:19:00 +0000

Наткнулся на интересное описание варианта атаки DDOS. Метод называется slow HTTP POST. Является развитием атаки Slowloris. Впервые обнаружена в сентябре 2009 года Wong Onn

Chee и его командой.

Смысл атаки в том, что мы посылаем POST запрос обычного вида. При этом в поле Content-length пишем, например, значение 1000 байт. Т.е. сервер понимает, что мы хотим отправить ему 1000 байт. Соответственно он их начинает ждать. А мы в ответ посылаем эти 1000 байт со скоростью 1 байт в 110 секунд. Если таких запросов 20 000 = DDOS. Исходя из реализации принципа атаки, атакующему не нужен скоростной канал. При этом, атаки такого типа будет на мой взгляд довольно сложно обнаружить. Т.к. формально ничего особенного не происходит. Просто у клиента медленный канал. Или это мобильный пользователь.

Таким образом, web сервера, на которых есть формы для ввода данных (логин/пароль, webmail и т.д.) подвержены такой атаке. При этом вероятность такой атаки увеличивается, т.к. злоумышленники переходят на использование сетей 3G, а там скорости не супер.

Вариантом защиты может быть ограничение размера принимаемых данных. Если это логин и пароль то не нужно принимать в такое поле 1 Кб данных. Установить Request Timeout. Определить порог минимальной скорости. Но при этом есть вероятность отсечь пользователей с медленными каналами и мобильных пользователей.

В сети есть ПО для проверки уязвимости. И есть описание в виде презентации (на англ. языке).

ИБ и проекты

noreply@blogger.com (Andy) — Tue, 11 Oct 2011 13:52:00 +0000

Я вот задался вопросом "Должен ли специалист по ИБ сам влезать в проекты и обеспечивать их безопасность или все таки его должны включать в проектную группу?". По правильному вроде бы второй вариант. Но по моему опыту редко когда спеца по ИБ включают в проектную группу. Но почти всегда возникает момент, когда руководитель проекта приходит к спецу по ИБ с вопросом будем ли мы защищаться и как? Один из моих руководителей называл это "Разделить ответственность". Обычно после разговора руководитель проекта огорчается и уходит. Хорошо, если после этого начинают что то делать в области ИБ. Мне удавалось изменить ситуацию и добиться, чтобы вопросы ИБ согласовывали с самого начала.

Коллеги, мне интересно это только мне так "везло" или это стандартная ситуация?

Кибервойна

noreply@blogger.com (Andy) — Mon, 10 Oct 2011 05:02:00 +0000

Интересная новость появилась на сайте www.lenta.ru.

Компьютерный вирус поразил систему управления американскими БПЛА

В системе управления американскими беспилотными летательными аппаратами (БПЛА) обнаружен компьютерный вирус, сообщает Associated Press в субботу, 8 октября, со ссылкой на журнал Wired.

По данным издания, вирус, отслеживающий нажатие клавиш на клавиатурах, поразил компьютеры на базе ВВС США Крич в штате Невада. С этой базы дистанционно управляют беспилотниками Predator и Reaper, участвующими в операциях в Ираке, Афганистане и других странах мира. Удалить вирус, как стало известно Wired, пока не удается.

Такими темпами скоро войны будут похожи на компьютерные игры, типа Command&Conquer. И где гарантия, что следующий вирус не начнет бомбить кого нибудь. А еще вопрос, где же была система безопасности. Антивирусы разные, система контроля доступа и т.д.

Rutoken и eToken

noreply@blogger.com (Andy) — Fri, 07 Oct 2011 05:07:00 +0000

Чуть ранее, на выставке INFOBEZ, я общался с представителями Рутокен. И выдвинул предположение о том, что стоимость их ключей больше стоимости ключей Аладдина. Вчера решил посмотреть и оказалось, что ключи Рутокен дешевле. В частности, по официальным данным с сайта:

eToken PRO (Java)/72K USB-ключ eToken PRO (Java), защищённая память 72КБ

(1 - 1000 шт) - 991р.

(1000+ шт) - 921р.

eToken PRO (Java)/72K/CERT-1883 USB-ключ eToken PRO (Java), защищённая память 72КБ, сертификат ФСТЭК №1883

(1 - 1000 шт) - 1 060р.

(1000+ шт) - 1 007р.

Рутокен 32 Кб (1-199 шт) 770 руб

(200-499) 704 руб

(500-999) 681 руб

Рутокен 64 Кб (1-199 шт) 784 руб

(200-499) 717 руб

(500-999) 693 руб

Рутокен 128 Кб (1-199 шт) 986 руб

(200-499) 925 руб

(500-999) звоните

Рутокен 32Кб (серт ФСТЭК) (1-199 шт) 827 руб

(200-499) 760 руб

(500-999) 736 руб

Рутокен 64Кб (серт ФСТЭК) (1-199 шт) 841 руб

(200-499) 773 руб

(500-999) 748 руб

Получается по стоимости чистого железа Рутокен дешевле. Интересно было бы посмотреть решение в целом. Т.е. железо + ПО в пересчете на одно рабочее место. Если будет время и возможность надо будет посмотреть. Должно быть интересно.

Умер Стив Джобс

noreply@blogger.com (Andy) — Thu, 06 Oct 2011 05:16:00 +0000

Сегодня сообщили, что умер основатель компании Apple Стив Джобс. Это большая потеря для мира ИТ. Человек стоявший у истоков персональных компьютеров. Создатель персонального компьютера Макинтош, графического интерфейса, компьютеров Next, студии Pixar, iPhone, iPad и много другого. Мое знакомство с миром компьютеров начиналось с Apple II (который до сих пор жив).

Этот человек обладал даром предвиденья будущего информационных технологий.

Выражаю свое соболезнование семье Джобса.

INFOBEZ-EXPO 2011

noreply@blogger.com (Andy) — Wed, 05 Oct 2011 05:39:00 +0000

Вчера был на INFOBEZ-EXPO 2011. Посмотрел, послушал, пообщался. В целом выставка похожа на Infosecurity. Что в общем то и понятно, т.к. вышли они друг из друга. Заметил одну особенность (хотя может просто показалось). На Infosecurity было больше зарубежных компаний, а на INFOBEZ больше российских. Сама выставка не очень большая. Мне показалось даже меньше Infosecurity. Запланировано много мероприятий. Толком на мероприятиях посидеть не удалось, как и попасть на раздачу пива в конце дня. Но тем не менее.

Один раз очень напугали барабанщицы. Они незаметно вышли из за спины и как грянули марш. Оказалось, это был своего рода анонс выступления на центральной сцене.

Пообщался на стенде Сертифицированные информационные системы с Ульяной Малиной. В ходе беседы Ульяна активно рекламировала сертифицированные продукты Microsoft. На вопрос,

"Если установлена сертифицированная Windows XP/7 можно ли считать встроенный межсетевой экран также сертифицированным?", Ульяна ответить затруднилась. Но сказала, что уточнит. В качестве межсетевого экрана у них сертифицирована MS ISA 2006. А вот TMG только сертифицируется.

Интересно идет получение сертифицированного продукта. Если у Вас ничего нет, то просто покупаете сертифицированную версию и все. А вот если у Вас уже куплена лицензионная версия скажем Windows 7. ТО тогда Вы передаете диск и лицензионный номер к ним в компанию. Они вместе с Microsoft проводят сертификацию и возвращают Вам. После этого нужно переустановить систему с выданного диска. Потом установить сертифицированные обновления. Потом, по словам Ульяны, можно установить несертифицированные обновления. И все. Хотя у меня возникает вопрос, после установки несертифицированных обновлений не аннулируется ли сертификация продукта? На то они и сертифицировали продукт и обновления к нему, чтобы сказать, что в нем все чисто. А после установки несертифицированных обновлений, так сказать уже нельзя. В общем вот такой разговор был на стенде Сертифицированных информационных систем.

Еще пообщался с Рутокен. Спрашивал о наличии смарткарт. Сказали пока нет, но будут. По ценам на USB-токены они по моему проигрывают Аладину. Надо сравнить. Плюс у них нет своего ПО типа Network Login и TMS. Это может и не слишком важно, но все таки.

Также интересно рассказывали на стенде ТаксКом. Предлагали перейти на электронный документооборот с поставщиками и заказчиками. В качестве платформы предлагали свой продукт Такском-Файлер. Пока бесплатно. Но когда правительство примет соответствующее законодательство, то будет за деньги. Весь обмен идет через них, как оператора. Причем если Ваш контрагент нуждается только в получении документов, то он может и не ставить клиента, а работать через WEB сайт. В этом режиме возможно только получение. На вопрос о том хранят ли они на сайте копии сообщений, сказали, что не хранят сами сообщения. У них остается на хранение только квитанции об отправке и получении. Если надо могут организовать и полноценный архив. Надо будет подумать над этим вместе с финансистами.

В общем неплохо провел день.

Взлом из сети выставки по безопасности.

noreply@blogger.com (Andy) — Tue, 04 Oct 2011 06:14:00 +0000

Забавный случай произошел на выставке Infosecurity 2011. Мы с коллегой слушали одну из презентаций. В какой то момент выступление был не очень интересно и коллега решил посмотреть, что происходит в окружающем эфире. Включив на своем Ipad обнаружение WiFi сетей, он обнаружил большое количество устройств. Среди найденных устройств высветился некая точка доступа D-Link. Проведя сканирование портов обнаружили открытый порт 80. Это оказалась консоль управления. Пробуем классическое admin/admin, и вот он интерфейс управления. Покопавшись в настройках и не найдя ничего интересного, поиграли со светодиодами, отключили несколько устройств. Потом перезагрузили точку доступа и отключились. Искать где же расположено это устройство не очень хотелось и было некогда.

Очень забавно выглядело использование незащищенной точки доступа и логина/пароля по умолчанию на выставке по безопасности. При этом, существует опасность того, что такой точкой доступа воспользуются злоумышленники. И будет очень смешно, когда выяснится, что взлом произошел из сети выставки по инфобезопасности. С другой стороны в парке Сокольники кругом бесплатный WiFi, но тем не менее.

Когда люди научатся менять пароли по умолчанию сразу после включения устройства?

А нужно ли внедрять дорогую DLP систему?

noreply@blogger.com (Andy) — Tue, 04 Oct 2011 05:22:00 +0000

В выходные сидел в Интернете и наткнулся на статью одного человека, о том как он сделал себе на дачу GSM сигнализацию о взломе. Статья конечно интересная, но не менее интересны комментарии к статье. И вот, в частности, в комментариях один из читателей написал, что в целом достаточно эффективно защищает простая установка мигающего светодиода. Залетных отпугнет, а если кто захочет, так и сигнализация не спасет. Тем более без соответствующего договора с ЧОПом или ВОХР.

Так вот, к чему это я. Мне кажется, что во многих компаниях вместо дорогостоящего внедрения DLP вполне хватит "мигающего светодиода". Т.е. объявления сотрудникам о наличии системы контроля. Здесь конечно есть и минусы. Такое решение не обеспечит защиту от случайного нарушения, типа отправки не тому адресату. И все равно нужны хоть элементарные средства контроля, чтобы периодически показательно карать нарушителей (типа NetResident от TamosSoft). Кроме этого, нужно проводить мероприятия по повышению осведомленности. Чтобы люди знали и понимали вопросы безопасности. Но тем не менее, в не очень крупных компаниях где воровать особенно нечего, но порядок все равно нужен, такое решение может и сработать. У меня такой вариант сработал ранее в одной из компаний. Кстати, интересное обсуждение по теме внедрять или нет DLP есть в блоге Александра Бондаренко.