30 ноября - Международный день защиты информации

30 ноября в западных странах традиционно отмечается Международный день защиты информации. Не смотря на то, что праздник разменивает уже третий десятка лет (с да, да, с 1988 года), в России он отмечается не так давно, и знают о нем довольно узкий круг людей тесно связанных с ИТ-отраслью и Информационной безопасностью. А тем менее, история появления праздника и его ключевая идея весьма красноречиво говорит о том какое значение ИБ имела в пришлом и безусловно имеет в сегодняшнем  дне

Микрофонный эффект и наушники: тотальная слежка или старый забытый трюк

Ученые из Университета Бен-Гуриона, расположенного в Израиле заявили о новом способе, превращающим обычные наушники в микрофон годный для прослушки пользователей и записи разговоров. Как комментирует исследователь, данная проблема является очень серьезной, поскольку даже после удаления из компьютера микрофона, разговоры пользователя все равно могут записываться через наушники. В принципе в этой новости нет ничего нового, в деле промышленного шпионажа дано уже известен "микрофонный эффект", заключающийся  в том, что устройства воспроизведения звуковых колебаний могут при определенных условиях превращаться в устройства записи, т.е. преобразовывать звуковые колебания происходящее во внешней среде. Однако, новшество открытия в том, что даже после отключения микрофона из гнезда компьютера, разговоры пользователя все равно могут записываться.  Исследователи разработали малварь  SPEAKE(a)R, которая использует малоизвестную опцию jack retasking, найденную в чипсетах Realtek

Джентльменский набор функций Excel для ручных тестов ITGC

Очень часто выгрузки различной информации из финансово-значимых ИТ-систем клиента поступают в распоряжение аудиторов в формате Excel-файлов. Поскольку большинство тестов ITGC в таком случае выполняется вручную, для ускорения процесса неизбежно приходится прибегать к использованию богатого функционала Excel. В сегодняшней статье мы сделаем обзор наиболее популярных и часто используемых встроенных функций значительно облегчающий рутинный труд ИТ-аудиторов

GeekWeek 2016: ежегодная онлайн IT-конференция

Образовательный портал GeekBrains объявил о начале регистрации на масштабную международную онлайн-конференцию Geek Week 2016. На мероприятии ведущие эксперты технологических компаний со всего мира, которые в течение 6 дней будут учить не только программировать, но и помогут узнать подробнее о карьере и трудоустройстве в вашем направлении. Участие в конференции бесплатное, а формат проведения весьма демократичен и доступен любому  слушателю из любой точки мира.

Онлайн битва RuCTFE 2016: международные соревнования по компьютерной безопасности

Организатор и главный драйвер группа HackerDom объявила о старте онлайн соревнований по информационной безопасности RuCTFE 2016. Состязания начнутся 12 ноября с 10.00 UTC. Участники будут бороться за призовой фонд от Лаборатории Касперского и приглашение на финал главной битвы года  DEF CON CTF 2017 в Лас-Вегасе. Как обещает организатор, в этом году помимо классического противостояния Attack-Defense CTF, всех участников ждут еще и таски от команды разработчиков, спонcоров и партнеров мероприятия. Победители соревнований  будут приглашены на  финал крупнейших очных студенческих соpевнований RuCTF 2017

Скрипты экспресс аудита безопасности для Linux

Большинство таких корпоративных  и многокомпонентных систем как SAP, Oracle DB используют в своей платформе операционную систему базирующийся на Linux. В виду этого к ним обращено такое пристальное внимание со стороны ИТ-аудиторов. Сегодня в статье мы представим вашему вниманию несколько бесплатных инструментов представленных в виде скриптов и использующих штатные механизмы ОС для провидения экспресс аудита конфигурации  безопасности.

Цепочка Kill Chain: от моделирования до проектирования защищенного периметра

Тема Kill Chain периодически всплывает то в беседах, то в статьях известных экспертов, то в материалах конференций посвященных тем или иным вопросам ИБ. Не смотря на то, что кажется все уже давно сказано по этой теме, концепция "убийственной цепочки" остается весьма интересной и по сей день. В одной из предыдущих статей мы писали как концепция цепочки применяется для выбора средств защиты. Сегодня мы поговорим о том, о том, почему чисто теоретическая концепции остается такой живой и по сей день. А секрета здесь нет - в купе с некоторыми остальными инструментами она позволяет выполнять моделирование угроз и проектирование собственный системы защиты информационного периметра.

Анонс форума Russian Information Services Summit (RISS 2016) upd.

ИТ-издание PC Week 30 ноября приглашает участников и посетителей на ставший уже ежегодным  форум Russian Information Services Summit’2016, который концентрирует свое внимание на вопросах обсуждения  методологических и практических аспектов современного аутсорсинга ИТ, бизнес-процессов, и использования  облачных услуг.

10 шагов к обеспечению защищенности базы данных Oracle встроенными механизмами безопасности

Система управления базами данных Oracle DataBase является одной из наиболее популярных и широко используемых баз данных в корпоративном сегменте. И это не удивительно, поскольку ее отличает высокая надежность, производительность, масштабируемость и адаптируемость под бизнес-задачи каждого конкретного пользователя.  Однако, столь широкая популярность оборачивается и другой стороной медали - вектор атак на СУБД остается в топе наиболее существенных угроз.  

В одной и прошлых статей мы рассказывали о экспресс проверке (этакий чек-лист) конфигурации на соответствие требованиям безопасности. В сегодняшней публикации мы рассмотрим 10 простых шагов к повышению безопасности СУБД Oracle DataBase своими силами без использования дополнительного ПО, основываясь лишь на рекомендациях самой компании Oracle, собственном опыты и "best practices". 

Многим эти рекомендации могут показаться слишком банальными и очевидными, однако как показывает практика, именно"простые" ошибки и  невнимательность может привести к очень серьезным последствиям. Описываемые 10 шагов по сути это список самых необходимых последовательных действий для Oracle DataBase, которые необходимо выполнить для  если вы этого еще до сих не сделали.

SOC-Forum v.2.0 пройдет 16 ноября в Москве

За день до открытия международный конференции ZeroNights 2016, пройдет еще одно интересное и крупномасштабное событие SOC-Forum v.2.0 - площадка посвященная практическим вопросам создания центров мониторинга ИБ, отечественной законодательной базы, роли государственных регуляторов (ГосСопка и FinCERT) в этом процессе, а также различных других вопросов и кейсов реально действующих систем. Вся программа форума будет разбита на 6 тематических секций и пройдет в один день. Бесплатное участие в форуме организовано для представителей кредитно-финансовых организаций, операторов связи, компаний топливно-энергетического и промышленного комплексов, других потребителей ИБ-продуктов и услуг

Обзор нескольких свежих отчетов ИБ за осень 2016

Крайние месяцы осени выдались очень насыщенными, это множество интересных и яркий событий, форумов и соревнований за короткий промежуток времени ZeroNiights 2016, SOC-Forum v.2.0 и GeekWeek 2016 и RuCTFEE 2016. И, конечно, как принято к концу года, различные аналитические отчеты, доклады и прогнозы на будущее от отечественных и зарубежных ИБ компаний и аналитических агентств. В сегодняшней публикации мы собрали подборку нескольких наиболее интересных и информативных отчетов по кибер-безопасности от западных коллег. Все отчеты доступны в открытом доступе для свободного скачивания и использования

ZeroNights 2016 состоится 17 и 18 ноября

Вот и настал крайний осенний месяц в этом году, а вместе с ним приближается и грандиозое событие - 17 и 18 ноября состоится ZeroNights 2016, ежегодная международная конференция, посвященная практическим аспектам информационной безопасности. В этом году по заверениям организаторов на мероприятии выступят 60 спикеров из 9 стран среди которых есть и известные всему миру имена. Так же особенностью этого года станет присутствие на мероприятии различных комьюнити, объединяющих специалистов-практиков - OWASP, R0, Defcon Russia, Hardware Village, CTF RU E и др. Программа выступления, как и в прошлые годы, обещает быть насыщенной. Помимо этого в первые в этом году на конференцию можно будет попасть в качестве волонтера. В рамках конференции также пройдут различные активности, HackQuest, соревнования CTF и другие конкурсы победители которых получат ценные призы

443 приказ ФСО или эра безопасного интернета для государства

В середине октября в МинЮсте был зарегистрирован приказ ФСО России №443 об утверждении нового положения о государственном сегменте сети Интернет, получившим название RSNet. Инициатива создания гос сетей уже не в новинку, чуть ранее мы рассказывали о защищенном интернете для военных. В этот раз речь идут о государственных органах власти и организациях обеспечивающих их функционирование. Многие эксперты уже оценили этот шаг как позитивный сдвиг в сторону обеспечения независимости отечественной ИТ-инфраструктуры от влияний из вне, и защиты секретных государственных и критически важных данных. Однако их оппоненты за этими действиями видят потенциальные возможности усиления интернет-цензуры и контроля

Отчет со встречи OWASP Russia Meetup в Яндексе 12/10/16

В середине октября прошла очередная встреча OWASP Russia Meetup организованная Академией Яндекса, собравшая энтузиастов и специалистов по информационной безопасности. Среди докладчиков были представители отечественного разработчика ИБ-продуктов, МГТУ им. Баумана  и московского офиса Яндекса. В программе встречи рассматривались вопросы автоматизации тестирования WAF, настройки и мониторинга TLS и финального аудита безопасности приложений. Все материалы в формате видео доступны для просмотра.

МинОбороны РФ создает защищенный интернет для военных

Министерство Обороны РФ в рамках программа создания сетецентрических вооруженных сил сделало очередной шаг по повышению боеготовности и техническому оснащению. Завершился финальный этап реализации военного интернета получившего название «Закрытый сегмент передачи данных» (ЗСПД). Это защищенный сетевой сегмент обеспечивает безопасную передачу секретной информации, включая документы с грифом особой важности. Напомним, ранее в МинОбороны был создан Центр специальных разработок, еще мы рассказывали о новом роде кибервойск РФ, а так же о новой редакции  Военной доктрины

SWIFT вводит обязательные требований к информационной безопасности

В последнее время в мире прослеживается тренд хакерских атак на банки и другие финансовые структуры. Наиболее существенным прецедентом стала хакерская атака на центральный банк Бангладеш в феврале 2016 года в результате которой было выведено 50$ млн. Отечественные и зарубежные компании в сфере информационной безопасности публикуют неутешительные отчеты о целенаправленных атаках и взломах банковских систем, возросшем количестве угроз и новых методах мошенничества и кражи денежных средств. На фоне этих событий мировое сообщество выразило свою обеспокоенность вопросами защищенности финансовых институтов. В ответ на это международная межбанковская система SWIFT разработала новые требования к защите информации в банках подключенных к SWIFT, которые будут введены в действие с начала 2017 года

Windows 10 и Linux: различий стало меньше

Исторически так сложилось, что операционные системы Windows и Linux развивались разными путями. Постоянные конкуренты и давние соперники имели больше различий чем сходств между собой. Это были и взаимные обвинения и патентная борьба и судебные разбирательства. Однако времена меняются. С приходом на пост CEO Сатьи Наделлы компания Microsoft меняет стратегию и поворачивается лицом к сообществу Linux. Примером того cтаили глобальные изменения в Windows 10 и ряде других серверных продуктов ИТ-гиганта

Банк России ведет разработку ГОСТ по ИБ и ужесточает требования к кибербезопаности

В последнее время от Банка России поступило несколько важных сообщений касающихся обеспечения информационной безопасности финансовых учреждений. Некоторые инициативы мы уже описывали в одной из наших прошлых статей. В октябре стало известно, что ЦБ в настоящее время ведет активную разработку ГОСТ по информационной безопасности, который станет обязательным для всех участников банковский системы РФ с 2017 года.  На этом фоне снова возникли  слухи о переводе СТО БР ИББС из разряда рекомендательных в обязательные. Последние же данные и вовсе свидетельствуют о скором почине СТО БР. Помимо этого регулятор опубликовал проект нового положения «О требованиях к защите информации в платежной системе Банка России», в котором некогда ранее добровольные пункты перешли в разряд обязательных, это касается и отчетности в FInCERT и ужесточении требований к АРМ посредством которых обрабатываются платежные операции

Общения ФСТЭК на 2016 год: ожидание и реальность

Нормотворчество в области информационной безопасности в нашей стране это часто критикуемый, но в то же время необходимый и весьма важный процесс, особенно, что касается обеспечения защиты государственных органов. И поскольку ключевыми игроками в нем являются ведомственные структуры в лице ФСБ и ФСТЭК, пристальное внимание публики будет обращено ко всем обещаниям, которые эти структуры официально заявляли. А заявлений было достаточно: это и внесение правок в ФЗ-149 и новые методички по 31 приказу о защите АСУ ТП и новая редакция 17 приказа о защите ГИС и много чего еще. Как оказалось на практике большинство  обещанных новых документов до сих пор не разработано, сроки сдвинуты на 2017 год. Остается надежда, что эти переносы пойдут на пользу и мы в конце концов получим более продуманный и качественный документы на выходе

Лекции от Яндекса - подборка самого интересного за лето\осень 2016

Академия Яндекса продолжает приглашать к себе именитых ученых, разработчиков, талантливых руководителей и основателей проектов. Онлайн копилка Академии постепенно наполняется новыми видео и презентационными материалами. В этом году Яндекс посетили ведущие отечественные теоретики и практики, а так же зарубежные гости среди которых был и основатель Википедии Джимми Уэйлс.

Сегодня мы хотим предложить вашему вниманию подборку самых интересных, на наш взгляд, лекций проведенных в стенах Яндекс Академии за период лето-осень 2016 года.