понедельник, 23 мая 2011 г.

Дайджест ИБ за 16-22 мая 2011 года

Обзор самых интересных и полезных сообщений за неделю в блогах по информационной безопасности и не только :-)

В сегодняшнем обзоре:
  • Лучшие посты из русскоязычных блогов по ИБ
  • Лучшие посты из англоязычных блогов по ИБ
  • Интересные статьи и заметки по менеджменту, коммуникациям
  • Стандарты, руководства, лучшие практики, исследования
  • Новости
  • Инциденты за неделю

Лучшие посты из русскоязычных блогов по ИБ
  • Статья Дениса Балуева "DNS в облаках", в которой Денис делает обзор бесплатного сервиса SkyDNS. SkyDNS - это DNS-сервер с возможностью фильтрации запросов. С его помощью можно легко защитить компьютер от фишинга, закрыть доступ к вредоносным сайтам, блокировать баннеры, запретить отдельные нежелательные категории сайтов.
Лучшие посты из англоязычных блогов по ИБ
  • Статья Dave Piscitello "Топ 10 угроз APT" (часть 1, часть 2). Дейв считает, что в угрозах APT нет ничего нового и необычного, а сам термин APT (Advanced Persistent Threat) не имеет никакого смысла. Это просто целенаправленная атака мотивированного и квалифицированного злоумышленника. Дейв составил перечень из 10 основных угроз, которые сейчас рассматриваются в качестве APT. Среди них - социальная инженерия, неосознанные утечки данных (типа публикаций в социальных сетях), уязвимости и недостатки систем и веб-приложений, спуфинг, незащищенная передача сообщений и т.п. Аналогичного мнения придерживается Lenny Zeltser. Ленни считает APT просто новым модным термином, используемым средствами массовой информации, а также производителями продуктов по безопасности.
  • Пост Dejan Kosutic "Взгляд руководства на информационную безопасность", в котором Дижен затрагивает тему взаимодействия специалистов по ИБ с руководством. Точно также, как специалисты по ИБ думают, что руководство ничего не понимает в ИБ, руководство считает, что специалисты по ИБ понятия не имеют, что нужно бизнесу. Дижен приводит 5 основных вопросов руководства при реализации проектов по ИБ: Это действительно необходимо? Это соответствует корпоративной стратегии? Как можно уменьшить стоимость? Как мы узнаем, что мы достигли нужного результата? Какие риски связаны с этим проектом?
  • Пост Lenny Zeltser "4 причины, почему пользователи боятся устанавливать патчи". По мнению Ленни, основными причинами, по которым пользователи не устанавливают патчи являются: слишком много кликов для установки патча; патчи имеют слишком большой размер; после установки патча требуется перезагрузка; некоторые патчи требуют установки от имени администратора. Также Ленни приводит примеры наиболее удачных решений по установке патчей, которые лишены (или почти лишены) этих проблем: Google Chrome, антивирусные продукты, Windows Update.
    Интересные статьи и заметки по менеджменту, коммуникациям
    • Пост Сергея Славинского "Успешные проекты", в котором Сергей затрагивает вопрос о том, почему многие проекты, к которым привлекаются внешние консультанты, так и не доходят до успешной реализации. На мой взгляд, описанные Сергеем проблемы очень близки руководителям подразделений ИБ и консультантам по ИБ. В частности, Сергей пишет: "Бесполезно выстраивать стратегию, если собственник требует "как можно больше и прямо сейчас". Так же бесполезно заниматься заниматься маркетингом в компании, где маркетинг воспринимается скорее как обуза, чем как драйвер бизнеса. И даже если компания проходит критический период (снижение спроса, спад продаж), то если компания не готова внутри себя к каким бы то ни было изменениям - даже самый аргументированный и "беспроигрышный" маркетинговый план будет похерен."
    Стандарты, руководства, лучшие практики, исследования

    • CERT опубликовал еще две "шпаргалки" по реагированию на инциденты. Первая касается DDoS-атак, а вторая - взлома Unix-систем (на английском).
    • Application Security совместно с ассоциацией ISUG провели исследование угроз безопасности базам данных. В результате исследования было выявлено, что наибольшие риски для БД представляют человеческие ошибки и злоупотребление привилегиями, а не действия хакеров. Также было установлено, что большинство администраторов БД обладает недостаточными знаниями и опытом в обеспечении безопасности БД. Основные проблемные области - управление конфигурациями, управление изменениями и управление патчами. Тем не менее большинство респондентов, принявших участие в исследовании, убеждены, что конфиденциальная информация в их базах данных надежно защищены. Краткий обзор отчета можно посмотреть здесь (на английском) или здесь (на русском).

    Новости
    • Обнаружена уязвимость в OpenSSL, которая может позволить злоумышленнику получить доступ к критичной информации (в частности - закрытого ключа сервера TLS). Уязвимость вызвана недостатками реализации алгоритма цифровой подписи на основе эллиптических кривых. Рекомендуется использовать другой алгоритм подписи.
    • Вышел новый номер журнала ClubHACK Magazine. Это индийский журнал, издаваемый на английском языке. Этот номер журнала посвящен безопасности интернет-браузеров.
    Инциденты за неделю

    Комментариев нет: