ISSP \ Домен 10. Операционная безопасность. Часть 2

В этой части рассмотрены следующие вопросы:

• Эксплуатационные обязанности
• Необычные и необъяснимые события
• Отклонения от стандартов
• Внеплановая перезагрузка системы
• Идентификация и управление активами
• Системные защитные меры
• Доверенное восстановление
• Контроль входных и выходных данных
• Укрепление систем
• Безопасность удаленного доступа

Дайджест ИБ за 04-10 апреля 2011 года

Обзор самых интересных и полезных сообщений за неделю в блогах по информационной безопасности и не только :-)

В сегодняшнем обзоре:

• Лучшие посты из русскоязычных блогов по ИБ
• Лучшие посты из англоязычных блогов по ИБ
• Интересные статьи и заметки по менеджменту, коммуникациям
• Законодательство, судебная практика
• Стандарты, лучшие практики, обзоры
• Новости
• Инциденты за неделю

ISSP \ Домен 10. Операционная безопасность. Часть 1

В этой части рассмотрены следующие вопросы:

• Роль Департамента эксплуатации
• Административное управление
• Администратор безопасности и администратор сети
• Подотчетность
• Уровни отсечения
• Уровень гарантий

Переводы \ Руководство с Марса, Специалисты по ИБ - с Венеры

В последнем номере журнала (IN)SECURE понравилась статья Брайана Хонана (Brian Honan) о взаимодействии специалистов по информационной безопасности с руководством и бизнес-подразделениями компании. Поскольку проблема не теряет своей актуальности, решил перевести статью на русский.

ISSP \ Домен 09. Безопасность приложений. Содержание

Домен 09. Безопасность приложений


1. Важность программного обеспечения

2. Где нужно размещать безопасность?

3. Различные среды имеют различные потребности в обеспечении безопасности

4. Среда и приложения

5. Безопасность и функциональность

6. Типы, форматы и размер данных

7. Проблемы внедрения приложений и использования настроек «по умолчанию»

8. Сбои и ошибки в приложениях

9. Управление базами данных

• 9.1. Программное обеспечение для управления базами данных
• 9.2. Модели баз данных
• 9.3. Интерфейсы программирования баз данных
• 9.4. Компоненты реляционной базы данных
• Словарь данных
• Первичные и внешние ключи
• 9.5. Целостность
• 9.6. Вопросы безопасности баз данных
• Представления базы данных
• Многоэкземплярность
• Обработка транзакций в режиме реального времени
• 9.7. Хранилища и интеллектуальный анализ данных

10. Разработка систем

• 10.1. Управление разработкой
• 10.2. Этапы жизненного цикла
• Инициирование проекта
• Управление рисками
• Анализ рисков
• Функциональное проектирование и планирование
• Техническое задание на разработку системы
• Разработка программного обеспечения
• Установка и внедрение
• Эксплуатация и сопровождение
• Удаление
• Виды тестирования
• Анализ завершенного проекта
• 10.3. Методы разработки программного обеспечения
• 10.4. Средства автоматизированной разработки программного обеспечения (CASE-средства)
• 10.5. Разработка прототипов
• 10.6. Методология безопасного проектирования
• 10.7. Методология безопасной разработки
• 10.8. Проверка на защищенность
• 10.9. Управление изменениями
• 10.10. Модель зрелости процессов разработки программного обеспечения (CMM)
• 10.11. Передача исходного кода программного обеспечения на хранение независимой третьей стороне

11. Методология разработки программного обеспечения

• 11.1. Концепции объектно-ориентированного программирования
• 11.2. Моделирование данных
• 11.3. Архитектура программного обеспечения
• 11.4. Структуры данных
• 11.5. Связность и связанность

12. Распределенные вычисления

• 12.1. CORBA и ORB
• 12.2. COM и DCOM
• 12.3. EJB
• 12.4. OLE
• 12.5. Распределенная вычислительная среда

13. Экспертные системы

14. Искусственные нейронные сети

15. Безопасность веб-приложений

• 15.1. Вандализм
• 15.2. Финансовое мошенничество
• 15.3. Привилегированный доступ
• 15.4. Кража информации о транзакциях
• 15.5. Кража интеллектуальной собственности
• 15.6. Атаки «отказ в обслуживании»
• 15.7. Организация процесса обеспечения качества
• 15.8. Межсетевые экраны для веб-приложений
• 15.9. Системы предотвращения вторжений
• 15.10. Реализация SYN-прокси на межсетевом экране
• 15.11. Специфические угрозы веб-среде
• Сбор информации
• Административные интерфейсы
• Аутентификация и управление доступом
• Управление конфигурациями
• Проверка входных данных
• Провека параметров
• Управление сеансами

16. Мобильный код

• 16.1. Java-апплеты
• 16.2. Элементы управления ActiveX
• 16.3. Вредоносное программное обеспечение
• Вирусы
• Черви
• Троянские программы
• Логические бомбы
• Ботсети
• 16.4. Антивирусное программное обеспечение
• 16.5. Выявление спама
• 16.6. Противодействие вредоносному коду

17. Управление патчами

• 17.1. Методология управления патчами
• 17.2. Проблемы при установке патчей
• 17.3. Лучшие практики
• 17.4. Атаки
• Отказ в обслуживании
• Smurf
• Fraggle
• SYN-флуд
• Teardrop
• Распределенная атака отказ в обслуживании

18. Резюме

19. Тест

ISSP \ Домен 09. Безопасность приложений. Тест

Вопросы экзамена CISSP являются концептуальными, поэтому они сформулированы соответствующим образом. Задачей кандидата является выбор наилучшего из всех представленных вариантов ответа. Среди вариантов ответа может не быть идеального ответа на поставленный вопрос - кандидат должен выбрать лучший ответ из имеющихся вариантов.

ISSP \ Домен 09. Безопасность приложений. Часть 10

В этой части рассмотрены следующие вопросы:

• Управление патчами
• Методология управления патчами
• Проблемы при установке патчей
• Лучшие практики
• Атаки
• Отказ в обслуживании
• Smurf
• Fraggle
• SYN-флуд
• Teardrop
• Распределенная атака отказ в обслуживании
• Резюме

ISSP \ Домен 09. Безопасность приложений. Часть 9

В этой части рассмотрены следующие вопросы:

• Мобильный код
• Java-апплеты
• Элементы управления ActiveX
• Вредоносное программное обеспечение
• Вирусы
• Черви
• Троянские программы
• Логические бомбы
• Ботсети
• Антивирусное программное обеспечение
• Выявление спама
• Противодействие вредоносному коду

Практика ИБ \ Скрытые затраты на проекты по информационной безопасности

Еще одна полезная заметка из блога Lenny Zeltser'а. 

Все мы периодически реализуем различные проекты в области информационной безопасности, планируем бюджеты, защищаем их перед руководством... Но даже в случае утверждения бюджета в достаточном объеме не редко возникают ситуации, когда денег все равно на что-то не хватает, когда неожиданно возникает необходимость в существенных дополнительных трудозатратах, которые изначально не планировались и на которые нет ресурсов. Иногда это приводит к невозможности завершения проекта или к сдвигу сроков его реализации. Почему так происходит? Дело в том, что часто при планировании проекта учитываются только явные денежные и трудовые затраты, а неявные, косвенные затраты, либо вообще не учитываются, либо недооцениваются. К тому же люди склонны выдавать желаемое за действительное и обманывать себя при оценке рисков проекта, считая, что проект непременно пройдет гладко. К сожалению, большинство проектов сталкивается с теми или иными проблемами, а неявные затраты порой существенно превышают явные.

Правильно оценить объем финансовых и трудовых затрат проекта поможет методика определения Совокупной стоимости владения (TCO - Total Cost of Ownership). К тому же эта методика поможет сделать правильный выбор решения или поставщика, учитывая при этом не только единовременные затраты, но и затраты на последующее содержание и управление купленным продуктом или сервисом.

Проект закона об электронной подписи прошел третье чтение

В пятницу проект закона "Об электронной подписи" успешно прошел третье чтение. Как и ожидалось, никаких существенных изменений в тексте для третьего чтения (по сравнению с текстом второго чтения) не произошло - все изменения чисто "косметические" и смысла не меняют. Поэтому подготовленный ранее обзор и графическая версия закона не потеряли своей актуальности.

Но есть и одно очень интересное исключение из сказанного выше. В тексте третьего чтения в п.4 ст.12 была исправлена явная ошибка, на которую я указывал в своем обзоре... Однако исправленный текст вызывает дополнительные вопросы. Взгляните:

Текст в редакции второго чтения:

Средства ЭП, предназначенные для создания ЭП в ЭД, содержащих информацию ограниченного доступа (в том числе ПДн), должны обеспечивать конфиденциальность такой информации.

Безусловно, даже элементарных познаний в криптографии достаточно, чтобы заметить эту ошибку. ЭП (усиленная) может обеспечить целостность информации, аутентификацию подписавшего ее лица и неотказуемость, но никак не конфиденциальность. Для обеспечения конфиденциальности требуется шифрование.

Текст в редакции третьего чтения:

Средства ЭП, предназначенные для создания ЭП в ЭД, содержащих информацию ограниченного доступа (в том числе ПДн), не должны нарушать конфиденциальность такой информации.

Теперь, конечно, текст не противоречит здравому смыслу. Но вот что хотел сказать автор этого изменения? Средство ЭП может нарушить конфиденциальность информации из-за программных ошибок и недекларированных возможностей. Также причиной нарушения конфиденциальности могут стать ошибки при организации процесса использования (и встраивания) самого средства ЭП, но тут (вроде бы) речь идет исключительно о самом средстве ЭП. Возникает очень интересный вопрос - а как подтвердить, что используемое средство ЭП конфиденциальность подписываемого документа нарушить не может? Уж не сертификацией ли на отсутствие НДВ?! Причем тут нет деления по видам ЭП - это относится ко всем видам ЭП, включая простую ЭП. Похоже, это еще один пункт, трактовка которого будет зависеть от конкретных проверяющих... :-(