Дайджест ИБ за 04-10 апреля 2011 года

Обзор самых интересных и полезных сообщений за неделю в блогах по информационной безопасности и не только :-)

В сегодняшнем обзоре:

• Лучшие посты из русскоязычных блогов по ИБ
• Лучшие посты из англоязычных блогов по ИБ
• Интересные статьи и заметки по менеджменту, коммуникациям
• Законодательство, судебная практика
• Стандарты, лучшие практики, обзоры
• Новости
• Инциденты за неделю

Лучшие посты из русскоязычных блогов по ИБ

• Пост Владимира Матвийчука о том, к чему приводит экономия на специалистах ИБ "Что нам стоит ИБ построить?". К сожалению, Владимир ничего не говорит о том, почему так происходит и почему компании часто стараются сэкономить на ИБ. И не предлагает вариантов решения проблемы (ведь наличие в компании квалифицированного и опытного специалиста по ИБ само по себе, увы, не является гарантией успеха). Зато последствия приема на работу неопытных специалистов по ИБ показаны очень хорошо.

• Короткая заметка Алексея Лукацкого "И вновь об оценке соответствия" о том, какие существуют способы оценки соответствия средств защиты информации в соответствии с российским законодательством.

• Статья Дениса Батранкова "Можно ли защищать WEB сервер при помощи IPS от DDoS", в которой Денис делится практическими способами использования систем предотвращения вторжений для защиты от DDoS-атак.

• Две презентации Владимира Безмалого "Взлом парольной защиты" и "Что наши мобильные телефоны знают о нас".

• Перевод статьи Брайана Хонана "Руководство с Марса, Специалисты по ИБ - с Венеры". В статье рассказывается о проблемах взаимодействия специалистов по ИБ с руководителями компаний и даются рекомендации по решению этих проблем и нахождению общего языка.

• Статья Юрия Лапина "Автоматизация документооборота" в журнале "Системный администратор". Хотя это не пост в блоге, и электронный документооборот больше относится к области ИТ, но статья представляет из себя прекрасный отчет по внедрению нового продукта, который можно использовать в качестве шаблона. Кратко и ясно описаны особенности среды, существующие проблемы, анализ возможных решений, что было сделано в рамках проекта и что это дало в результате. Проведена даже оценка экономической эффективности. 

Лучшие посты из англоязычных блогов по ИБ

• Пост "Истинные масштабы инсайдерских угроз" по результатам исследования, произведенного компанией LogRhythm в Великобритании (было опрошено 3000 сотрудников компаний). В частности, согласно этого исследования 37% сотрудников делится секретами своих компаний с семьей и друзьями, 21% копируют информацию компании на собственные устройства (ноутбуки, ПК, смартфоны), причем больше половины из них используют эти устройства совместно с другими людьми. В большинстве случаев это не является следствием злого умысла - это просто небрежность. Причем часто это вызвано и недоработками самих компаний, в которых нет соответствующих политик и средств контроля.

• Пост "Firestarter: Что теперь?" - в нем Rich Mogull рассуждает о том, как сообщество информационной безопасности должно отреагировать на целую серию громких инцидентов, произошедших всего за несколько последних месяцев (RSA, Comodo, Epsilon, Nasdaq). "Мы можем сделать больше и профессионалы по безопасности уверены в том, что мы должны делать больше, но хочет ли мир, чтобы мы делали больше?", спрашивает Рич.

• Статья технического аналитика EFF Chris Palmer "Неправильные имена в Обсерватории SSL". Крис провел анализ имен, на которые выпущены SSL-сертификаты различными доверенными Центрами сертификации, и обнаружил 37244 действительных сертификата, которые выпущены для недопустимых имен (например, 2201 сертификат для localhost). Он делает вывод, что многие доверенные ЦС вообще не проверяют имена, на которые они выдают сертификаты, что значительно упрощает для злоумышленников проведение MitM-атак.

• Статья Dejan Kosutic "Необходимо ли обеспечение непрерывности бизнеса для малого бизнеса?". В статье автор объясняет, почему это необходимо и дает практические рекомендации по обеспечению непрерывности в небольших компаниях, не требующие значительных финансовых затрат.

• Пост "За и Против "безопасного" доступа по Wi-Fi", в котором Raul Siles дает рекомендации по использованию различных вариантов обеспечения безопасности сетей Wi-Fi для различных ситуаций (общественные точки доступа, домашние или корпоративные).

Интересные статьи и заметки по менеджменту, коммуникациям:

• Перевод статьи Лео Бабуты "Ваши письма слишком длинные", в котором автор рассказывает о том, почему нужно писать как можно более короткие сообщения по электронной почте и дает рекомендации, как этого достичь. Советы могут быть очень полезны при взаимодействии с руководством (и не только).

• Пост Олега Гончарова "Управление проблемами - правильное совещание". Олег затрагивает проблемы, которые возникают в любом неорганизованном (неправильно организованном) совещании. Чтобы избежать этих проблем, Олег предлагает "Регламент проведения совещаний", прикладывает шаблоны для уведомления о совещании и протокола совещания.

• В статье Светланы Кругловой "Домашняя работа" очень хорошо описаны плюсы и минусы удаленной работы с точки зрения сотрудника HR компании PwC. Светлана рассматривает вопросы практической реализации удаленной работы сотрудников, получаемые выгоды (повышается эффективность труда, снижаются затраты), а также недостатки (не все могут эффективно работать из дома) и сложности (нужно кардинально пересматривать подход к оценке персонала).

Законодательство, судебная практика

• Подписан и вступил в силу Федеральный закон "Об электронной подписи" №63-ФЗ от 06.04.2011. В Российской газете опубликован сам закон и статья по нему. Недавно я делал обзор нового закона, пока он еще находился в стадии проекта. Но поскольку существенных изменений в нем не произошло, обзор остался актуален: часть 1 и часть 2. И графическая версия.

• Дело №A41-16043/2010. ОАО "Софрино" успешно оспорило мошеннические платежи на 2 млн.руб., проведенные по системе Банк-Клиент Сбербанка. Суд пришел к выводу, что Сбербанк ненадлежащим образом исполнил свои обязательства по проверке платежных документов (в платежках не было ИНН получателя и КПП плательщика). Кроме того, суд счел, что Сбербанк не обеспечил необходимого уровня защиты своей системы "Клиент-Сбербанк", что позволило получить к ней доступ неуполномоченному лицу. Этот вывод был сделан по результатам экспертизы, проведенной АНО "Независимая экспертиза", эксперт которой сообщил, что "представленный на экспертизу электронный ключ (закрытый ключ ЭЦП) является некачественным средством защиты, что могло послужить причиной несанкционированного доступа к системе, повышению рисков взлома и как следствие – перевод денежных средств" (!!!). И это при том, что в системе "Клиент-Сбербанк" используются сертифицированные СКЗИ "Бикрипт".

Стандарты, лучшие практики, обзоры

• Агентство ENISA опубликовало всеобъемлющий доклад о том, как оценивать угрозы от ботсетей и как нейтрализовать их. Доклад называется "Botnets: Detection, Measurement, Disinfection and Defence" (на английском).

Новости:

• На следующей неделе Microsoft выпустит 64 патча

• СУБД Microsoft SQL Server 2008 сертифицирована ФСБ по классам АК2/АК3

• Некоторые подробности по мартовской атаке на RSA - атакующие воспользовались уязвимостями Adobe Flash Player и Microsoft Excel. Очень интересно теперь перечитать январское интервью технического директора RSA Брета Хартмана "Отслеживание действий плохих парней, которые получают доступ к ИТ-системам" (на английском)...

• Большое интервью с Ильей Сачковым (Group-IB) на "Финам FM" по теме киберпреступности в России 

• "Инфотекс" разработал приложение ViPNet Client iOS - это VPN-клиент для iPhone и iPad, использующий криптографические алгоритмы ГОСТ. Но... установить приложение на устройство можно будет только после джейлбрейка... Разработчик планирует получить сертификат ФСБ.

Инциденты за неделю:

• Дефейс сайта ФК "Зенит", подозреваемый уже задержан

• Повторная DDoS-атака на LiveJournal

• DDoS-атака на сайт "Новой газеты" - атака была произведена с помощью того же ботнета, который атаковал LiveJournal

• Фишинг-атака на Молоток.Ру

• Сайт бизнес-школы "Консультант" заражен вредоносным кодом

• Сайт интернет-журнала "Личные финансы" заражен вредоносным кодом