вторник, 27 сентября 2016 г.

Беспощадная машина ЦБ: за 10 лет Банк России отозвал лицензии у 463 банков

Новостью об отзыве лицензии на банковскую деятельность в последнее время уже никого не удивишь. Банк России с завидным постоянством приостанавливает деятельность и отзывает лицензии коммерческих банков. Проблема касается не только мало известных и небольших финансовых институтов, но и крупных игроков рынка из Топ-100 рейтинга. Официальными причинами называются несоответствие кредитных организация требованиям ЦБ. В экспертном сообществе уже давно ходят мнения о негласной политик регулятора направленной на методичное снижение количества банков в отечественной банковской системе. 

Не соблюдение требований ИБ в частности может фигурировать в списке причин на отзыв лицензий. В виду этого соблюдение СТО БР ИББС  и вообще политик ИБ приобретает для банков новый смысл

воскресенье, 25 сентября 2016 г.

Компания Group-IB анонсировала конференцию CyberCrimeCon 2016

Компания Group-IB в своем пресс-релизе сообщила об открытии регистрации на ежегодную конференцию CyberCrimeCon 2016 «Тенденции развития преступлений в области высоких технологий», которая пройдет 13 октября в Культурном центре ЗИЛ.  В прошлом году конференция привлекла более 600 участников из России и стран ближнего и дальнего зарубежья.  Как заявляет организатор мероприятия, в этом году площадка объединит лучших российских и зарубежных экспертов – представителей Европола, киберполиции из Европы и Азии, которые поделятся актуальными практиками противодействия киберугрозам.

пятница, 23 сентября 2016 г.

Патологическое дежавю: Роскомнадзор хочет обязать всех пользователей Wi-Fi проходить идентификацию


В четверг 22 сентября. сообщает издание «Коммерсант», Роскомнадзор выступил с новой инициативой внедрить специальное программное обеспечение для абонентских устройств, которое позволит идентифицировать всех пользователей публичных Wi-Fi-сетей при осуществлении доступа в интернет. Это похоже не параноидальное дежавю, ведь нечто похожее уже было в 2014 году, когда ведомство подготавливало документы обязывающее владельцев бесплатных точек доступа Wi-Fi идентифицировать всех пользователей по паспорту, номеру мобильного телефона или учетной записи на сайте госуслуг. А совсем недавно, буквально неделю назад Роскомнадзор привлек к себе внимание опубликовав на сайте SuperJob объявление о найме в штат хакера.

Что ждать от ведомства дальше неизвестно. А пока попытаемся мы попытаемся разобраться с теми предложениями, которые выдвинул Роскомнадзор.

четверг, 22 сентября 2016 г.

Экстренное стирание информации как способ защиты от несанкционированного доступа

Когда заходит речь о ценности конфиденциальной информации на ум сразу приходят вопросы обеспечения ее безопасности и сохранности. Однако, существуют и обратные ситуации, когда по каким то причинам, все данные хранящиеся на устройствах хранения или внутри различных гаджетов необходимо не сохранить, а экстренно и гарантированно стереть (уничтожить). Не впадая в крайности, довольно редко, но такие ситуации все же встречаются в реальной жизни. И тут появляются вопросы практической реализации данной проблемы. Более того в некоторых оговоренных случаях того требуют и стандарты безопасности, например, это весь к военным или строго конфиденциальным данным коммерческих организаций.

В сегодняшней статье мы рассмотрим теорию вопроса о гарантированном уничтожении информации, поговорим о программных и аппаратным методах,а так же о средствах практической реализации доступных в современных условиях.

среда, 21 сентября 2016 г.

Назад в будущее: слухи об объединении ФСБ, ФСО и СВР в Министерство безопасности России

На прошлой неделе, 19 сентября Рунет облетела новость о готовящихся фундаментальных реформах в отечественных силовых структурах. По данным источников издательства «Коммерсанта» в сжатые сроки, до президентских выборов 2018 года планируется провести масштабную реформу с целью повышения эффективности управления ведомств, искоренения коррупции и усиления безопасности как гражданского общества таки и государства в целом. И ладно бы на этом все. К примеру, несколько лет назад мы уже переживали реформу МВД, когда на смену советской милиции пришла полиция. Сейчас же речь по сути идет о фактическом возвращении нынешней ФСБ функций Комитета госбезопасности СССР.  Но если учитывать, что ФСБ является одним из ключевых регуляторов в области ИБ, то любые изменения однозначно будут отражаться на на "гражданском секторе".

Возможно все это слухи, но как говорит хорошая русская поговорка "дыма без огня не бывает" и "кто предупрежден  тот вооружен".


Новые методические документы ФСТЭК: с 1 декабря 2016 года сертификаты для МСЭ станут обязательными

На проходившей 20 сентября 2016 года конференции Infosecurity Russia выступил официальный представитель ФСТЭК Алексей Кубарев, который рассказал всем присутствующим о новых методических документах ФСТЭК пришедших на смену устаревшим документам РД, классах межсетевых экранов, и, что очень взволновало публику, о требовании ведомства к производителям и реселлерам не поставлять с 1 декабря 2016 года в продажу МСЭ не имеющие  сертификата  нового образца.

понедельник, 19 сентября 2016 г.

Роскомнадзор ищет хакера

В четверг, 15 сентября на портале по поиску работы SuperJob от официального профиля Роскомнадзора была опубликована вакансия о поиске в штат ведомства «программиста с навыками обхода систем компьютерной безопасности, хакера». Объявление несомненно вызвало всеобщий интерес и заинтересовало многие интернет СМИ, поэтому за несколько часов новость попала на первые страницы новостных агентств и разошлась по многочисленным репостам. Однако, уже в скором времени вакансия была удалена с сайта, но пристальный интерес к публикации остался. В Роскомнадзоре подтвердили факт размещения объявления, однако от дополнительных комментариев отказались.

суббота, 17 сентября 2016 г.

Свод по нескольким отчетам ИБ за 1 полугодие 2016

Первая половина 2016 года ознаменовала собой большим количеством событий связанных с информационной безопасностью. С наступлением осени приходит время подводить промежуточные итоги, сравнивать ожидания и прогнозы аналитиков с происходящей действительностью. Для одних это информация для размышления, для других, возможно станет руководством к действию, а кому то будет просто интересно познакомиться со свежей статистикой. 

В  прошлой статье мы уже публиковали один из самых авторитетных отчетов по информационной безопасности за первое полугодие 2016 года от Cisco. В сегодняшней публикации мы подготовили свод  наиболее интересных отчетов по ИБ, которые и  хотим представить читателю. Все отчеты доступны для ознакомления по указанным под ними ссылкам.

пятница, 16 сентября 2016 г.

Пишем RFP правильно

Некогда работая в компании-интеграторе предоставляющей услуги по проектированию систем обеспечения информационной безопасности, весь упор при подготовке новых контрактов для потенциальных клиентов я делал на технико-коммерческое предложение (ТКП). Однако, порой что бы грамотно подготовить ТКП необходимо получить исходные данные - понять то что хочет клиент, и если у компании соответствующие компетенции позволяющие выполнить его запрос. Примером таких данных может послужить  Request for Proposal или в русскоязычном варианте запрос предложения.

В сегодняшней статье мы кратко каснемся RFP как документа, а так же рассмотрим его структуру и опишем общие рекомендации,выработанные опытом, по пошаговой подготовке запроса предложения.

понедельник, 12 сентября 2016 г.

Банк России берется за страховщиков: новые требования по бесперебойности работы сайтов

Банк России продолжает экспансию своего влияния в сфере информационной безопасности на различные финансовые институты. В этот раз очередь подошла к страховым компаниям для коих регулятор подготовил проект нового указания опубликованного на официальном сайте. Требования содержащиеся в документе обязывают страховщиков обеспечивать бесперебойную непрерывную работу сайтов и онлайн-серсисов, сообщать о всех фактах сбоев (атак) в профильное подразделение регулятора, а так же выполнять ряд некоторых других процедур направленных на обеспечение информационной безопасности

суббота, 10 сентября 2016 г.

Закон и хакеры: истории о преступлениях и наказании

Мы очень часто слышим и читаем новости в которых рассказывается о новом взломе компьютерных систем, краже конфиденциальных данных, мошенничестве с финансами, утечки баз данных пользователей крупнейших интернет-магазинов или социальных сетей. Причем действия одних хакеров, например, группы Fancy Bears, которые взломали антидопинговое агенство WADA и опубликовали ряд документов, свидетельствующих о том, что американские атлеты на олимпиаде в Рио принимали запрещенные препараты, вызывают скорее симпатию, нежели чем желание их наказать. То же самое можно сказать и о взломах в результате которых материалы компрометирующие АНБ или ЦРУ были выложены на WikiLeaks. Однако не смотря на это компьютерный взлом и несанкционированный доступ к информации приравнивается к преступлениям, и как для любых других правонарушений, для них предусмотрены меры ответственности.

В сегодняшней публикации мы рассмотрим хакерскую активность с правовой точки зрения. Кратко пробежимся по западному законодательству в сфере кибер преступлений, и более подробно остановимся на санкциях предусмотренных в отечественной нормативной базе. Так же немного расскажем о самых крупных в современной истории хакерских взломах и приведем примеры преступлений и последовавших за ними наказаний

пятница, 9 сентября 2016 г.

Финал VolgaCTF 2016 пройдет в Самаре

Стало известно о проведении второго финального этапа  соревнований среди команд по кибер-безопасности  VolgaCTF 2016, который пройдет с 12 по 16 сентября в стенах Самарского государственного университета.  Организаторы обещают изменить формат мероприятия и расширить его  лекциями, неформальным общением и площадкой для хакатона.  В финале соревнований сойдутся 16 лучших команд отобранных по результатам отборочного тура приехавшие  из разных регионов России и зарубежных стран. 

четверг, 8 сентября 2016 г.

Лаборатория хакера: обзор площадок для взлома

Перед новичками ровно как и перед уже опытными экспертами ИБ порой встает вопрос о том где можно изучить или отточить свои навыки этичного взлома компьютерных систем. Где проверить жизнеспособность той или иной уязвимости легально или протестировать механизмы защиты новой версии системы. Один из вариантов это  пройти специализированные профильные курсы, к примеру CEH или регулярно посещать ИБ мероприятия, т.к. BlackHat USA, PHDays или ZeroNight. Однако, повышать свой уровень компетенции и оттачивать навыки технического аудита ИБ можно самостоятельно. Для этих целей существуют специально подготовленные площадки с предустановленной уязвимой ОС или web-сервером. 

В сегодняшней публикации мы подготовили небольшой обзор наиболее популярных площадок для обучения этичному хакингу компьютерных систем. Все образы и документация к ним доступны для скачивания.


вторник, 6 сентября 2016 г.

Полугодовой отчет по ИБ от Cisco (2016)

Компания Cisco в недавнем времени опубликовала собственный полугогодовой отчет по основным угрозам и тенденциям в области информационной безопасности. Отчет состоит из 58 страниц на которых расписаны важнейшие события, статистика  и экспертное мнение специалистов.
В сегодняшней публикации мы познакомим  читателей с самим отчетом и кратко представим обзор нескольких ключевых моментов.

понедельник, 5 сентября 2016 г.

CFT турнир по безопаности АСУ ТП от Лаборатории Касперского

Лаборатория Касперского объявила о продлении крупного CTF-турнира по индустриальной кибербезопасности, в рамках которого 4 команды состоящие из  энтузиастов и экспертов смогут попробовать  свои силы в проникновении в корпоративную сеть энергосистему, организованную по принципу автономной микросети (microgrid).

Турнир пройдет с 10 по 12 октября в науко-граде Иннополисе. Отборочный этап состоится 9 сентября по результатам которого будут отобраны лучшие команды, которые и примут участие в финале соревнований.


четверг, 1 сентября 2016 г.

Государственная bug bounty: меняем баги на казенные деньги

Крупные ИТ-гиганты и популярные публичные сервисы, разработчики массовых информационных продуктов часто прибегают к использованию программ bug bounty - программ поиск уязвимостей и ошибок в собственных продуктах. Бегхантинг некогда начинавший свою историю в далеком 1996 году к сегодняшний дню оформился как самостоятельное направление и серьезно изменился. Сегодня существуют специальные команды экспертов-исследователей специализирующихся на этом ремесле. Программы bug bounty запускают и на государственном уровне, в частности стало известно известно и привлечении white-hacker Министерством обороны США. А в недавнем времени стало известно об инициативе МинКомСвязи разрабатывающей стратегию запуска отечественной государственной программы поиска уязвимостей.