www.blogspot.com
lukatsky
Бизнес без опасности
1	http://lukatsky.blogspot.com/2013/11/ddos.html	Интересная статистика с визуализацией DDoS-атак, командных центров ботнетов и т.п.	2013-11-01T12:30:02.495+04:00	tag: угрозы endoftag 	  Интересная статистика опубликована на сайте Lancope - с Топ10 стран с центрами управления ботнетами, жертвами DDoS и инициаторами Интернет-сканирований.     Топ10 стран с центрами управления ботнетами    Топ10 стран, проводящих Интернет-сканирование    Топ10 стран с жертвами DDoS-атак  Также там неплохая карта мира с визуализацией собираемой в реальном времени информацией. Она очень неплохо дополняет карту DDoS-атак от Google/Arbor.
2	http://lukatsky.blogspot.com/2013/11/apt.html	Пара заметок по борьбе с APT и внутренними угрозами	2013-11-01T15:32:09.041+04:00	tag: NBAD endoftag tag: внутренние угрозы endoftag tag: APT endoftag 	 На днях опубликовал вне этого блога пару заметок по борьбе с APT и внутренними угрозами:   Пора ломать традиции... Как увидеть невидимое...   Такая активность на тему APT связана с интересным кейсом, который у нас был в одном банке. С помощью системы мониторинга ИБ внутренней сети, установленной в пилотном режиме, уже по истечении первой недели нам удалось найти нескольких ботов, троянца Zeus, а также ряд других "приятных" сюрпризов. Вот про эту проблему я написал две заметки.         
3	http://lukatsky.blogspot.com/2013/10/google-glass.html	Google Glass: новая угроза безопасности?!	2013-10-28T05:00:01.163+04:00	tag: IoT endoftag tag: стратегия endoftag 	 Проходил я тут давеча тренинг по безопасности Интернета вещей и, хотя у нас это устройство не рассматривалось, задумался о том, как изменится картина безопасности после активного распространения в мире очков Google Glass или аналогичных. Да, данное устройство полезно для путешественников или для фиксации тренингов и публичных выступлений. "Акынам" Интернета тоже будет прикольно. Но вот с точки зрения безопасности устройство задает много вопросов, на которые пока нет ответов; ну или мало кто серьезно об этом задумывался.  Фиксация огромных объемов конфиденциальной информации, включая и различные переговоры и телеконференции, изучение расположения защищаемого объекта, подсматривание набираемого PIN-кода или передаваемой кассиру платежной карты... Google Glass в этом смысле гораздо более опасная штука, чем даже смартфон или флешка, которые на некоторых предприятиях могут изымать. Очки не особенно и изымешь - тут может такой вой подняться, что организация против людей с плохим зрением. А если туда добавить еще и толику ЛГБТ составляющей.... :-)  Кстати, с безопасностью и самих очков тоже не все так радужно, а они имеют доступ ко многим ресурсам под учетной записью своего владельца. Кража очков может дорого обойтись любителю инноваций. Да даже если до кражи и не дойдет, то низкий уровень защищенности и подключение к публичному хотспоту может превратить очкарика-интеллигента в секретное оружие хакеров. Шутки шутками, но готовиться к данной проблеме (или, если хотите, угрозе) стоит уже сейчас. Как минимум, надо быть готовым и оценивать риск от этих новых устройств.  Как и от любых других высокотехнологичных устройств, находящихся в корпоративной или ведомственной сети. Игровые приставки, принтеры, видеокамеры, кофеварки, электрочайники, утюги... Да-да, утюги и электрочайники. На днях пробежала новость о том, что в партии китайских утюгов находится модуль, который через незащищенный Wi-Fi может распространять вирусы и спам. Факт пока неподтвержденный, но и ничего сверхъестественного  я в нем не вижу.  Что делать? Что делать, что делать... Все тоже самое. Модель угроз, политики, повышение осведомленности, контроль доступа... Ничего нового не придумано. Главное, что надо сделать, так это четко прописать в политиках и довести до сотрудников и посетителей, можно ли пользоваться такого рода устройствами на территории организации. Если да, то на всей территории или только в зонах гостевого доступа (да и то с оговорками)? Остальные рекомендации идентичны стратегии BYOD (Bring Your Own Device). Стоит подумать и такой проблеме, как, что отвечать, если вас обвинят в противодействии незрячим людям? Непростой вопрос и однозначного ответа не имеющий, как и вообще стык ИБ и поведения людей.
4	http://lukatsky.blogspot.com/2013/10/blog-post_22.html	Всевидящее око ОРД или почему Сноуден приехал в Россию	2013-10-22T02:00:32.974+04:00	tag: DLP endoftag tag: СОРМ endoftag tag: ФСБ endoftag 	 Последние три дня ознаменовались небывалым всплеском темы оперативно-разыскных мероприятий и появления проектов новых нормативных документов по этой тематике. Не могу сказать, что эта тема впрямую касается вопросов информационной безопасности (если не рассматривать ее с государственной точки зрения и в контексте определения из Доктрины ИБ), но поскольку ее последние часы активно муссируют, помуссирую и я. Начну с ретроспективы.  Давным-давно, в 96-м году в России была введена система прослушивания телефонных переговоров (СОРМ-1). Цель как всегда была благая - борьба с терроризмом и экстремизмом, а также обеспечение национальной безопасности. Задачу свою система худо-бедно, но как-то решала и операторы связи, которые были обязаны у себя за свой счет внедрять соответствующее оборудование и предоставлять к нему доступ сотрудникам правоохранительных органов. Время шло, стал активно развиваться Интернет и спецслужбам понадобился доступ к информации о сетевых соединениях, а не только о телефонных. Ну почему АНБ и ЦРУ можно (а после разоблачений Сноудена мы все знаем, что можно), а ФСБ нельзя? Непорядок. Мы же тоже великая держава и тоже в целях борьбы с противоправными элементами должны иметь право немножко нарушить Конституцию с ее правом на тайну переписку, тайну личной жизни и т.п. Но интересы гражданина у нас в данном случае нервно курят в сторонке, так как интересы государства гораздо важнее. Но ни закон об ОРД не позволяет просто и безболезненно получать доступ к информации, циркулирующей в Интернет, ни СОРМ-1 эту задачу не решает. Что надо сделать? Правильно, внести поправки в закон об ОРД и разработать требования СОРМ-2.  Эта работа началась в конце 90-х и в 98- году появился проект приказа "Технические требования к СОРМ (средствам оперативно-розыскных  мероприятий) на сетях документальной электросвязи", разработанного специалистами Госкомсвязи, ФСБ, ЦНИИС и Главсвязьнадзора. В 2000-м году на базе этого проекта родился приказ Минсвязи России от 25.07.2000 № 130 "О порядке внедрения технических средств по обеспечению оперативно-розыскных мероприятий на сетях телефонной, подвижной и беспроводной связи и персонального радиовызова общего пользования", один из пунктов которого, прямо нарушающий Конституцию, был отменен Верховным судом РФ.  Позже, в 2005-м году появилось пресловутое 538-е Постановление Правительства "Об утверждении Правил взаимодействия операторов связи с уполномоченными государственными органами, осуществляющими оперативно-разыскную деятельность", которое вновь вернулось к варианту 2000-го года и также не требовало санкции суда на нарушение тайны переписки. И хотя некоторые эксперты говорят, что этого и не надо, т.к. данное Постановление разработано во исполнение ФЗ об ОРД, отсутствие ссылки "по решению суда" позволило (и до сих пор позволяет) достаточно вольно трактовать полномочия спецслужб в регионах России. Именно во исполнение этого 538-го Постановления и разработаны были все последующие приказы Минкомсвязи. И хотя шумиха поднялась только сегодня, многие эксперты правы - по сути новый проект приказа Минкомсвязи всего лишь утверждает де-юрэ практику, сложившуюся де-факто за последние 8 лет.  В 2008-м году был издан очередной приказ Минкомсвязи "Об утверждении требований к сетям электросвязи при проведении оперативно-разыскных мероприятий". И если раньше основной задачей СОРМ было передавать информацию о соединениях, а не об их содержании, то со временем ситуация стала меняться. Спустя еще 3 года Минкомсвязь уточнил требования 538-го Постановления в виде своих новых приказов:   174-й приказ от 11.07.2011 "Об утверждении Правил применения оборудования систем коммутации, включая программное обеспечение, обеспечивающего выполнение установленных действий при проведении оперативно-разыскных мероприятий. Часть I. Правила применения оборудования оконечно-транзитных узлов связи сетей подвижной радиотелефонной связи, включая программное обеспечение, обеспечивающего выполнение установленных действий при проведении оперативно-разыскных мероприятий" 268-й приказ от 19.11.2012 "Об утверждении Правил применения оборудования систем коммутации, включая программное обеспечение, обеспечивающего выполнение установленных действий при проведении оперативно-разыскных мероприятий. Часть II. Правила применения оборудования транзитных, оконечно-транзитных и оконечных узлов связи сети фиксированной телефонной связи, включая программное обеспечение, обеспечивающего выполнение установленных действий при проведении оперативно-разыскных мероприятий".   Но это так сказать предыстория. В марте 2013-го года на сайте Минкомсвязи появился проект нового приказа - "Об утверждении Правил применения оборудования систем коммутации, включая программное обеспечение, обеспечивающего выполнение установленных действий при проведении оперативно-разыскных мероприятий. Часть III. Правила применения оборудования коммутации и маршрутизации пакетов информации сетей передачи данных, включая программное обеспечение, обеспечивающего выполнение установленных действий при проведении оперативно-разыскных мероприятий". Именно об этом проекте и говорят сегодня СМИ, напуская тумана и величественно заявляя "приказ секретный, но у нас в редакции он есть". Ничего секретного в нем нет, как и концептуальных новаций. ФСБ через Минкомсвязь планомерно закрывает все возможные способы сетевого взаимодействия, разрабатывая для них свою часть СОРМ-2. Единственное, что ФСБ Минкомсвязь начинает требовать хранить данные в течение некоторого интервала времени. Пока он небольшой (всего 12 часов), но лиха беда начало.  Но и это еще не все. 17-го октября Правительство России направило в Госдуму законопроект "О внесении изменений в Федеральный закон "Об оперативно-розыскной деятельности" и статью 13 Федерального закона "О федеральной службе безопасности" (в части совершенствования законодательства в сфере обеспечения информационной безопасности)". Законопроект, получивший номер №361795-6, гениален в своей простоте. В нем всего 2 статьи, которые в закон об ОРД добавляют в качестве оснований для проведения оперативно-разыскных мероприятий вопросы связанные с информационной безопасностью и наделяют соответствующими полномочиями ФСБ России.  В качестве заключения еще пару новостей. Первая касается желания Банка России, а точнее его его службы по финансовым рынкам, получить доступ к материалам ОРД. Законопроекта пока в публичном доступе я не нашел, но о нем официально (если верить "Коммерсантъ") заявляет сам Банк России. Так что число спецслужб у нас возрастет, а число тайн станет еще меньше. И последняя новость касается слухов о наличии проекта требований, устанавливающих обязанность хостинговых компаний предоставлять доступ спецслужб в рамках ОРД к информации, хранимой и обрабатываемой на хостинговых площадках. Еще я слышал вариант, что речь может идти не просто о хостерах, но и о владельцах сайтов, но это, как мне кажется, малореально. Последнюю новость не могу не опровергнуть, не подтвердить. Просто слух...  Если посмотреть на эту картину целиком, то окажется, что инициативы АНБ в части PRISM, XKeyScore и других секретных программ, не кажутся уже чем-то сверхествественным. Это нормальное желание спецслужбы (именно для спецслужбы оно нормальное) контролировать все и вся в государственных интересах, которые "немного" не стыкуются с интересами гражданина и его правом на тайну переписки и тайну личной жизни. Возможно Сноуден осел в России неслучайно и тут он тоже хочет стать разоблачителем; уже отечественных спецслужб?.. Кто знает :-) 
5	http://lukatsky.blogspot.com/2013/10/blog-post_18.html	Как автоматизировать измерение ИБ в масштабах предприятия	2013-10-18T05:00:01.673+04:00	tag: SIEM endoftag tag: безопасность бизнеса endoftag tag: метрики endoftag 	 В апреле на РусКрипто я делал доклад о глобальных системах обнаружения и предотвращения вторжения. Тогда, в контексте появления 31-го Указа Президента о национальной системе обнаружение, предотвращения и реагирования на атаки, эта тема была актуальна. Сейчас эта тема становится очень модной и в области корпоративной ИБ. Как собирать информацию с разрозненных источников информации, анализировать ее, коррелировать и представлять в виде, понятном бизнесу.  Для этой задачи можно использовать системы мониторинга различных событий:    Консоль управления Cisco Cyber Threat Defense    Консоль управления Cisco ISE   Но такие системы дают хоть и важную, но все-таки низкоуровневую информацию об эффективности каких-то технологических процессов (контроль доступа, неуспешные попытки аутентификации, инвентаризация подключаемых к сети узлов, число атак или утечек информации и т.п.). Это важно, но ничего не говорит о том, насколько это связано с задачами предприятия в целом и службы ИБ в частности. Тут нужна система немного иного масштаба, которая бы могла показывать информацию не только технологическую, но и о состоянии процессов ИБ, оргмерах, уровне зрелости и т.д. Как например, делается на некоторых критически важных объектах в отношении инцидентов с физической/контртеррористической защищенностью.     Система AlertEnterprise  Можно ли для этой задачи настроить  SIEM? Теоретически, при наличии мощного API для написания коннекторов... Можно. Но все-таки задача SIEM - немного иная. Она собирает и анализирует технологическую информацию. Нужны решения по бизнес-аналитике, заточенные под ИБ. Есть ли такие системы? Да, есть. Причем как отечественной разработки, так и зарубежной. Я не буду подробно рассматривать каждую из них (все-таки это сугубо индивидуальная тема и каждый вкладывает в такую систему свой взгляд, свой опыт и свое понимание эффективности ИБ). Я просто приведу список, который вы сможете проанализировать уже сами:   SecurityVision от компании АйТи Jet InView от Инфосистемы Джет   BitSight Platform от BitSightTechnologies Tripwire Data Mart от Tripwire Tripwire Benchmarking от Tripwire. Вот с этой системой я работал еще когда она принадлежала ClearPoint Metrics. Потом ее купила nCircle, а затем уже и Tripwire.    Правильное использование таких Security BI систем позволит собрать все данные от разнородных систем и процессов на единой платформе и работать с ними уже по своему усмотрению. После внедрения в такие решения можно даже загнать то, что сложно автоматизировать - оценку процессов повышения осведомленности, проведение регулярных встреч с руководством, сравнение разных отделов с точки зрения ИБ и т.п.  Правда, надо заметить, что внедрение таких систем - это уже из разряда высшего пилотажа. Ведь это даже не SIEM, которая требует наличие установленных везде источников данных в виде МСЭ, IPS, антивирусов, сканеров безопасности. Это система будет покруче, т.к. помимо данных от SIEM (или напрямую от сенсоров средств защиты) она получает и другие, "процессные" и "организационные" данные. А значит, что процессы должны быть выстроены или, как минимум, начато их построение.  ЗЫ. Кстати, у BitSight есть интересная услуга/продукт - BitSight SecurityRating, которая позволяет сравнивать схожие компании по уровню ИБ. В свое время такая услуга (Security Benchmarking) была у KPMG и если не вдаваться в суть идеи (она на самом деле не так уж и реализуема), то многие руководители хотят знать, как они соотносятся с другими аналогичными компаниями и конкурентами. По сути, это самая высшая метрика, когда компании сравниваются друг с другом (выше может быть только сравнение государств, но до этого пока никто не додумался).    Портал BitSight SecurityRating  
6	http://lukatsky.blogspot.com/2013/10/soc-csirt.html	Сколько людей надо для собственного SOC и CSIRT?	2013-10-16T05:00:04.068+04:00	tag: SIEM endoftag tag: управление инцидентами endoftag tag: CERT endoftag 	 Тема реагирования на инциденты сегодня является не просто модной, и не только описанной в нормативных актах, но и важной с практической точки зрения. Несмотря на внедряемые меры защиты и непрекращающуюся гонку вооружений, число инцидентов не снижается, а растет. Вдаваться в причины этого явления я не буду, я думаю стоит поговорить о другом - что делать, если инцидент произошел? Реагировать! Именно этому посвящен мой курс и выложенная презентация. В них приводится немало полезной и практической информации о том, как выстраивать процесс управления инцидентами. И одним из безусловно важных вопросов этого процесса является: "Сколько человек необходимо иметь в корпоративном SOC/CSIRT?"  Если посмотреть на презентацию курса, то в ней есть следующие цифры:  1 полностью загруженный «технический» сотрудник CSIRT может отработать 1 новый «усредненный» инцидент в день и 20 открытых и уже расследуемых инцидентов. Учитывайте, что это именно аналитик, который занимается обработкой инцидентов в течение 8-мичасового рабочего дня. Если аналитики должны работать в режиме 24х7, то вам понадобится не менее 3-х человек (без резерва на время болезни). При реализации всего двух сервисов CSIRT (уведомления об инцидентах и обработка инцидентов) требуется задействовать 4-х человек. При реализации полного спектра активностей только в рабочее время понадобится уже 6-8 человек, а в режиме 24х7 - уже 12 полностью загруженных сотрудников.  Не стоит думать, что CSIRT завалена огромным количеством инцидентов. Я не буду вдаваться в терминологические споры о том, что такое "инцидент", но по статистике CERT/CC 38% существующих CSIRT обрабатывают 1-3 новых инцидента ИБ в день. Еще 18% управляют 4-8-мью инцидентами в день. 18% готовы отработать более 15 инцидентов в день, а оставшиеся 10% - не более одного инцидента в неделю.  Немало людей. Вряд ли кто-то способен содержать такие службы у себя в штате. Но... есть и положительный момент. SOC и CSIRT - это не одно и тоже. SOC - это по сути витрина CSIRT, которая позволяет собирать и визуализировать данные от разнородных средств защиты и сетевого оборудования. От эффективности работы SOC зависит, сколько инцидентов будет спущено на CSIRT и насколько загружены будут аналитики группы реагирования на инциденты.  В более менее крупной организации с разветвленной ИТ-инфраструктурой в день от различных источников может поступать миллионы и даже миллиарды событий. Представьте, что у вас всего 100 ПК (я даже не говорю о сетевом оборудовании). Каждый ПК генерит одно событие в секунду (не важно какое). В день набегает 8 640 000 событий. А если приплюсовать маршрутизаторы, коммутаторы и точки доступа? "Сырых данных" действительно будет очень много. Отсечь просто события от событий ИБ должны помочь технологии SIEM или Threat Defense. Они же могут помочь скоррелировать события из разных источников и показать нарушения политики ИБ, разведку перед атакой, уязвимости и т.п. Таких событий должно быть уже несколько сотен тысяч в месяц. Добавляя контекстную информацию и собственноручно написанные правила можно сократить число нарушений до нескольких тысяч в месяц. И наконец оператор SOC должен иметь дело с десятком-других событий в месяц, которые являются подтвержденными инцидентами, требующими дальнейшего расследования и передачи в CSIRT. При хорошо настроенной системе сбора, анализа, корреляции и отсеивания информации для эффективного управления SOC достаточно одного квалифицированного человека. Не забыв про 8-мичасовую рабочую смену окажется, что SOC, контролирующий из центра всю корпоративную инфраструктуру, может быть обслужен от 1-го до 3-х человек.  Поэтому SOC - это вполне подъемная задача для многих компаний. Но если вы не готовы строить такую систему, то что делать? События ИБ надо же как-то собирать, анализировать и принимать решения. Можно поручить эту работу "SOC'у на доверии", т.е. отдать эту функцию на аутсорсинг. Не могу сказать, что в России эта услуга популярна, но и предложения не единичны. В частности я знаю о двух таких услугах от Инфосистемы Джет и Step Logic. C реагированием ситуация похуже. Остается либо выстраивать процесс самостоятельно, либо привлекать внешние силы. Из небольшого множества CERTов в России, коммерческие услуги предлагает, пожалуй, что только CERT-GIB от Group-IB. Возможно в России в ближайшее время появится еще парочку CERTов. А пока решать вопрос реагирования на инциденты приходится самостоятельно...  ЗЫ. Кстати, посмотрите на результаты опроса на тему "Что бывает после инцидента ИБ?"
7	http://lukatsky.blogspot.com/2013/10/blog-post_15.html	Капитан Очевидность сообщает	2013-10-15T05:00:01.284+04:00	tag: философия endoftag tag: терминология endoftag 	 Постулирую очевидную вещь - на каждую тему существует несколько точек зрения и каждая из них будет правильной! Информационная безопасность и ее подмножества не исключение. Можно сколь угодно долго говорить, что запрет на использование несертифицированной криптографии - это плохо, но это точно зрения потребителя (и то не каждого) и вендора (преимущественно зарубежного). Для регулятора в лице ФСБ криптография может быть только сертифицированной и даже если они сами на своем GOV-CERT применяют PGP, то это еще ничего не значит. Для российского производителя криптография может быть тоже только сертифицированной. Иную он не может делать (лицензия не разрешает); да и без бумажки он никому не нужен, т.к. конкурировать с бесплатными VPN в сетевом оборудовании или МСЭ он не в состоянии. Интегратору тоже сертифицированная выгоднее - она тупо дороже бесплатной.  И так по каждому направлению, особенно в части трактовок требований нормативных актов регуляторов или законодателей. Достаточно вспомнить тему "оценки соответствия", "биометрических ПДн", "лицензирование деятельности по ТЗКИ", "собственные нужды" и т.п. Даже при однозначной на первой взгляд трактовке всегда найдется кто-то, кто предложит свой вариант толкования того или иного требования. Не то, чтобы это новость, но про это часто забывают, рассуждая о чем-либо.      ЗЫ. Ну и если забраться совсем высоко, то хочу лишний раз напомнить, что понятия "интересы государства", "интересы общества", "интересы бизнеса" и "интересы гражданина" не равнозначны и даже малость противоположны друг другу. Не стоит думать, что государство (даже если убрать личную заинтересованность отдельных его радетелей) заботится о гражданах так, как того хотели бы граждане. И бизнес глядит на помощь государства совсем не так, как эту помощь видит государство. Нет единых для всех интересов, нет и единой точки зрения. Истины и правды, кстати, тоже нет :-)
8	http://lukatsky.blogspot.com/2013/10/blog-post_14.html	Хакеры голубые, хакеры розовые, хакеры зеленые...	2013-10-14T05:00:00.670+04:00	tag: тенденции endoftag tag: Олимпиада endoftag tag: риски endoftag tag: угрозы endoftag 	 Вы думали, что тему хакеров-геев забыта? Ан нет. Никто не забыт и ничто не забыто. Но к хакерам-голубым (и розовым из Фемен) добавились хакеры-зеленые, которые после инцидентам с судном Гринписа "Арктик Санрайз" начнут донимать Россию всеми правдами и неправдами. Вот об этом среди прочего другого мы и говорили на круглом столе по информационной безопасности крупных спортивных мероприятий, который я модерировал на Инфобез-Экспо.  Сначала я описал объект защиты, т.е. современный спортивный объект с точки зрения применяемых на нем информационных технологий.       ИТ на современных спортивных объектах  from Cisco Russia&amp;CIS   Затем Олег Кузьмин (АйТеко) рассказал об основных угрозах ИБ в ходе проведения массовых спортивных мероприятий и их последствиях. Презентация изобиловала большим количеством примеров из практики, в т.ч. и с последнего Чемпионата мира по легкой атлетики, проходившего в Москве.        презентация спорт инфобез2013  from Oleg Kuzmim   Третий рассказ был посвящен репутационным рискам ИБ применительно к сочинской зимней Олимпиаде. Доклад был подготовлен Игорем Елисеевым (АИС), для которого это стало одновременно и дебютом за последние годы отсутствия презентационной практики. Игорь справился на 5, а мы узнали о высокоуровневой модели угроз, разработанной по просьбе Совета Федерации.       Infobez olimp2014  from Игорь Елисеев   Ну и, наконец, завершал спортивную секция снова я с рассказом о том, как строилась защита Олимпиады и какие уроки были из нее извлечены в контексте ИБ. Я не стал приумывать что-то новое, а рассказал презентацию, уже прочитанную в Сочи на ИнфоБЕРЕГе. Я подумал, что это тот случай, когда стоит повторить уже прочитанный материал и я не ошибся. По окончании мероприятия я пообщался с некоторыми специалистами, имеющими прямое отношение как к самой Олимпиаде, так и к ИТ/ИБ будущих спортивных мероприятий, которые планируется проводить в России.  И хотя этот круглый стол собрал в 3-4 раза меньше людей, чем секция по безопасности Интернета вещей, практического выхлопа от нее будет больше. Я надеюсь, что удастся повлиять на то, как реально будет защищаться ИТ-инфраструктура Сочи 2014.   
9	http://lukatsky.blogspot.com/2013/10/blog-post_11.html	Интернет вещей как новый объект защиты	2013-10-11T03:06:58.252+04:00	tag: IoT endoftag tag: тенденции endoftag tag: M2M endoftag tag: SCADA endoftag 	 Классика ИБ - "знай себя", т.е. изучи объект защиты, а потом уже строй систему обеспечения ИБ вокруг него. И если традиционные корпоративные сети изучены неплохо, то стали появляться объекты, которые мы не знаем как защищать или какие требования к их защите предъявить. А все потому что мы не потратили некоторое время, чтобы понять, что это за новый объект и с чем его едят.    Одним из таких "объектов" является Интернет вещей, о котором я рассказывал на прошедшем Инфобез-Экспо. Несмотря на некоторый юмор, который сопровождал круглый стол (на тему взлома вибраторов и унитазов народ шел более охотно чем на взлом системы управления парковкой на "Connected Boulevard" в Ницце), посвященный Всеобъемлющему Интернету, это очень серьезная тема, которая в самое ближайшее время встанет на повестке дня не только рядовых граждан, но и общества, бизнеса и государства. И готовиться к этому нужно уже сейчас; особенно в части выработки требований к такого рода объектам, к которым нельзя применить текущие подходы и концепции, заложенные в нормативной базе наших регуляторов.           Интернет вещей  from Alexey Lukatsky    Кстати, аналогичный вопрос касается и защиты, например, мобильных технологий на критически важных объектах. Сейчас тема КВО будет активно подниматься на флаг и прежде чем идти с ним вперед, стоит оглянуться назад и посмотреть, как и для чего применяется мобильность на КВО. Это позволит не только понять, но и предложить адекватные защитные меры.         Применение мобильных технологий в нефтегазовой отрасли и их безопасность  from Cisco Russia&amp;CIS    
10	http://lukatsky.blogspot.com/2013/10/blog-post_10.html	По итогам Инфобеза или куда дели девушку с пронзительными голубыми глазами	2013-10-10T03:28:24.104+04:00	tag: выставки endoftag 	 Инфобез-Экспо закончился; по крайней мере для меня. Сейчас я нахожусь в Казани на конференции "Код информационной безопасности" и поэтому могу уже сделать некоторые выводы по итогам Инфобеза. Скажу сразу, что как я и предполагал выставочная часть этого мероприятия не выдерживает никакой критики. Мало стендов, оформление ужасное, отсутствие раздевалок, питания нет... Продолжать этот список можно долго и смысла, наверное, нет. Каждый, кто был на Инфобезе, пришел должен был прийти к аналогичным выводам.  А вот про конференционную составляющую пару слов скажу - претензий к ней у меня почти и нет. 25-го сентября, по итогам посещения InfoSecurity Russia, я написал небольшую заметку с рекомендациями организаторам событий по ИБ. Ну что сказать - все, что там было написано, на Инфобезе было реализовано (!). Все! Wi-Fi был (я, правда, не успел воспользоваться - сидел на хорошем 3G). Презентер (вибрирующий) был. Девочки, следящие за таймингом были - они даже подходили и спрашивали, за сколько время до конца секции вам показать табличку? Микрофоны  для слушателей были (при небольших залах одного было достаточно); для спикеров - тоже были. На столах в каждом зале лежала программа и спикерская (где можно было посидеть и выпить кофе с бутербродами) тоже была.  Что было не сделано? Еда для участников. Это прокол, но скорее не к организаторам конференции, а вообще к месту проведения и организаторам всего мероприятия в целом. В Экспо-Центре с этим всегда было сложно. В остальном нареканий по организационной части не было.  С контентом все было... офигенно :-) Ничего не могу сказать за первый и последний дни, но во второй день я получил истинное удовольствие. И дело даже не в том, что у меня было два круглых стола (на InfoSecurity Russia их тоже было два). Этот Инфобез был, пожалуй, первым мероприятием, на котором была реальная конкуренция между ведущими. Я, Волков, Медведовский вели круглые параллельно в одно и тоже время... Я, Хайретдинов и Емельянников двумя часами ранее также параллельно вели свои мероприятия... Жуткая конкуренция. Я не представляю себя на месте посетителей :-) А уж какая реклама была за день до этого в социальных сетях... Любо-дорого было смотреть :-)  Могу сказать "спасибо" Наталье Селиной, которая смогла в непростой ситуации вытянуть конференцию. Вот она, героиня Инфобеза :-)    Наталья Селина  С InfoSecurity Russia, к сожалению, у меня связаны не самые лучшие воспоминания - я их уже описывал неоднократно. И ведь свои замечания я озвучивал неоднократно - неужели было так трудно учесть их в работе? Возможно это связано было с тем, что организатор конференционной части  InfoSecurity, Анастасия Мухина, летом покинула Гротек, перейдя в "РБК Деньги".     Анастасия Мухина - девушка с пронзительными голубыми глазами    Все может быть - не берусь предсказывать. По окончании прошлогодней выставки я Анастасии описывал идеи по развитию конференции. Потом ранней весной повторил это (правда, уже не Насте). И летом на сборище экспертов эта тема проскальзывала - безрезультатно :-(    Ну что ж, каждый для себя сделает выводы сам. Я бы на месте организаторов давно бы забил на выставку и ушел в конференционный бизнес. И мороки меньше и маржа может быть выше (если правильно все делать). Уж сейчас Инфобез врядли дает большие доходы с выставки - пара десятков стендов, из которых половина информационных спонсоров, т.е. бесплатных... В чем смысл? Кто-то сказал, что какая отрасль, такая и выставка. Не могу согласиться - конференционная часть показала, что можно делать очень хорошо. Главное не упустить этот шанс и, пользуясь накопленным опытом, в следующем году "взорвать" Россию супер-пупер-мега Инфобезом... но без выставки :-)    
11	http://lukatsky.blogspot.com/2013/10/blog-post_9.html	Козьма Прутков об информационной безопасности	2013-10-09T05:00:00.845+04:00	tag: выставки endoftag 	 Раз пошла такая пьянка, продолжу тему мероприятий по ИБ. Казалось бы очевидная вещь - про нее еще Козьма Прутков писал. Нельзя объять необъятное. Но организаторы упорно пытаются это сделать, впихивая невпихуемое в невпихуемый формат. Спрашивается, на что рассчитывают организаторы московских или питерских или иных мероприятий (исключая, пожалуй, выездные)  включая в одну программу тему электронной подписи, кибервойны, международной ИБ, безопасности банков, безопасности АСУ ТП, электронного документооборота и т.д. и т.п.? Каждая из этих тем стоит того, чтобы ей посвятить целую конференцию, но вмещать все в одну программу (а то и в один день), выделяя на каждую тему по 1-2 часа? За это время даже разогреться не успеешь... Это в начале 2000-х годов, когда деревья были большими, трава зеленой, небо голубым, а вода мокрой, аудитория была не избалована конференциями и "ела" все, что ей давали. Сейчас пришло насыщение и пора дифференцироваться, выбирая одну, максимум две (но смежных) темы и посвятить им все мероприятия.  И будет эффект. И аудитория будет профильная, и дискуссии интересные, и отзывы положительные. Вот только несколько примеров таких профильных и фокусных мероприятий:  Магнитогорская банковская конференция по ИБ ИБ КВО ТЭК PKI Forum PHDays ZeroNights Безопасность в Национальной платежной системе AntiFraud DLP Russia Enterprise Mobile Security Forum.   Каждое из них посвящено какой-то одной теме и этим и интересно. Там почти не бывает тем, выпадающих за рамки названия. Это приводит нужную аудиторию и их ожидания оказываются удовлетворенными полностью. С мероприятиями "все обо всем" такого не бывает. Поэтому и Инфобез и InfoSecurity обречены в нынешнем формате. В дни InfoSecurity не раз видел в Twitter вопросы: "Стоит ехать или нет?" и ответы: "Ради одного-двух докладов не стоит". И это действительно так. Докладов море, а что-то реально выбрать не удается - слишком расфокусированная программа и тратить весь день (а добраться по Москве до места проведения не так уж и просто) ради парочки 20-тиминутных докладов никто не хочет (особенно на фоне все остального что и как там творится).    Но как же РусКрипто или ИнфоБЕРЕГ? Это тоже мероприятия, не посвященные какой-то одной теме. А я специально выделил выше, что выездные мероприятия обычно выпадают из общей картины. На выездное мероприятие часто едут не за контентом - а за общением. За пределами города, когда вы не поедете вечером через пробки домой, совершенно иная атмосфера. Там есть "кулуары" и "тусовка" - то, чего так не хватает столичным, массовым и проходным событиям в мире ИБ. И в этом и есть ценность выездных мероприятий.   Но неужели конференции "все обо всем" не могут существовать? Могут. Если не брать в расчет вопросы организации (еда, Wi-Fi и т.п.), а обратиться только к контенту, то существование такого формата возможно в одном случае - конференция должна быть заточена под конкретную целевую аудиторию. Не для всех скопом, а конкретно под кого-то. Под студентов, под руководителей служб ИБ, под админов межсетевых экранов, под сотрудников конкретного ведомства, под защитников коммерческой тайны... То есть фокусировка важна и тут, но уже по аудитории, а не тематике.   Резюмируя: организаторы - фокусируйтесь и не пытайтесь объять необъятное!     
12	http://lukatsky.blogspot.com/2013/10/2.html	2 модерируемых мной круглых стола на Инфобезе	2013-10-11T03:07:41.559+04:00	tag: IoT endoftag tag: выставки endoftag tag: Олимпиада endoftag tag: M2M endoftag 	 Завтра я буду вести два круглых столах в рамках Инфобез-Экспо. Первый посвящен безопасности Интернета вещей (Всеобъемлющего Интернета) - понятию очень интересному. Как в смысле академического интереса к этому вопросу, так и в смысле практического - Интернет вещей - это то, что либо уже сейчас, либо в ближайшем будущем будет пронизывать все - телевизоры, холодильники, часы, унитазы, климатические датчики, "умные" автомобили, браслеты осужденных, RFID-метки на кроссовках спортсменов, тахографы на инкассатроских броневиках, кардиостимуляторы... Действительно все! Поэтому вопросы безопасности Интернета вещей - это не персональные данные, почти никому не наносящие ущерба, и не законодательство об электронной подписи, которое все никак не гармонизируют не только с Европой, но и между регуляторами внутри России. Это то, что может коснуться каждого в самом ближайшем будущем.  Вторая тема врядли коснется многих - речь на круглом столе пойдет об информационной безопасности Олимпиады, а точнее крупных спортивных мероприятий. Врядли многие россияне посетят сие мероприятие. А те, кто посетят, надеюсь, не столкнутся с проявлениями киберугроз в той или иной степени (там и без этого угроз немало - постоянное отключение электричества, наводнения, ветер, тушащий факелы, близость Северного Кавказа, геи, террористы...). Но сама тема более чем интересна. В первую очередь тем, что она ни разу еще не освещалась в России (первой попыткой стала моя презентация в Сочи на ИнфоБЕРЕГ). А во вторую - она показывает совершенно иную ИБ, непривычную. Критически важный объект, который посещает огромное количеств людей в сжатые сроки; плюс серьезнейшие репутационные риски. Никакие персданные, электронная подпись, госуслуги, МИБ не сравнятся с этой темой, если она "стрельнет", чего не хотелось бы (радует, что у нас такие мероприятия проводятся нечасто).  Если на InfoSecurity темы модерируемых мной столов были мне предложены, то тут я выбирал сам. Докладчиков приглашал тоже сам. И вот тут возникла интересная коллизия. Объявив в Твиттер и блоге (а это около 5 с половиной тысяч читателей) о приглашении выступить, на данные круглые столы отозвалось всего два человека - Илья Медведовский (Digital Security) и Дима Евтеев (независимый эксперт). Причем оба заинтересовались только темой Интернета вещей. Поэтому программа круглого стола по безопасности Всеобъемлющего Интернета сформиролась практически сразу же и выглядит следующим образом (9-е октября, конференц-зал №2, 12.30-14.00):  Я делаю вводное вступление с кратким обзором понятия "Интернет вещей" и тенденций в этой области, включая и российские проекты. Затем  будет доклад Digital Security про атаки на трекинговые системы. Потом будет доклад Дмитрия Евтеева про взлом бытовых приборов, которые есть у каждого из нас дома. Завершу круглый стол я небольшим рассказом о состоянии дел в области безопасности Интернета вещей и вопросов ее стандартизации.   Со вторым круглым столом ситуация оказалась сложнее. Почему-то в России никто не хочет говорить о том, как будет/может/должна строиться система информационной безопасности такого мероприятия как Олимпиада в Сочи или чемпионат мира по футболу в 2018-м году или прошедшая Универсиада в Казани. Про защиту атомных электростанций известно больше, чем про ИБ крупных спортивных событий. И ведь ладно бы, если бы про эту тему не было кому рассказывать. Так ведь есть. Но никто не хочет. То ли стесняются, то ли опасаются, то ли стыдно рассказывать о том, как все это сделано (если сделано). Поэтому желающих выступить на круглом столе не было до последнего и он оказался под угрозой срыва. Но невероятными усилиями нам удалось собрать кворум и в настоящий момент программа круглого стола по ИБ крупных спортивных мероприятий выглядит следующим образом (9-е октября, конференц-зал №3, 14.30 - 16.00):   Я делаю вводное вступление с кратким рассказом об ИТ-инфраструктуре современного спортивного объекта. Затем доклад об основных угрозах крупным спортивным мероприятиям и их последствиях сделает Олег Кузьмин (АйТеко). О важности репутационных рисков ИБ для Олимпиады расскажет Игорь Елисеев (АИС). Завершу снова я с рассказом о том, как строились системы защиты последних Олимпиад (Ванкувер, Пекин, Лондон).   Если вам интересны любая из этих тем, то приходите 9-го октября в 12.30 на безопасность Интернета вещей (конференц-зал №2) и в 14.30 на безопасность Олимпиады (конференц-зал №3). Кстати, если вам интересно посмотреть, кто все-таки стал победителем нашумевшей награды Security Awards, то вы можете переждать время до церемонии награждения акурат на моем круглом столе по Олимпиаде. Вручение наград начнется через 20 минут после его окончания :-)     ЗЫ. Место проведения выставки-конференции - ЦВК "Экспо-Центр". Проезд до м.Выставочная. Оттуда пару минут до входа в 7-й павильон (учтите, что вам может потребоваться время на прохождение регистрации). С парковкой дела обстоят средне - в окрестностях всегда можно найти где припарковаться; а за деньги тем более. Но на метро, как мне кажется, будет проще.       
13	http://lukatsky.blogspot.com/2013/10/blog-post_7.html	Что объединяет семинары по ИБ и проституцию?	2013-10-07T05:00:00.764+04:00	tag: выставки endoftag 	 Ехал я вчера с CIO Congress'а "Болдинская осень" и зашел в машине разговор о современных ИТ и ИБ мероприятиях. А неделей ранее, после InfoSecurity Russia, эта тема всплыла в Facebook. Все сходятся во мнении, что российские мероприятия по информационной безопасности (ИТ оставим в стороне) не просто стагнируют, а катятся в тартарары. Почему так? Неужели никто не хочет присутствовать на качественных мероприятиях? Неужели организаторы не хотят из года в год получать отличных спонсоров, приходящих за правильной аудиторией? Неужели спикеры не хотят срывать овации и говорить перед полными залами? Все хотят, но почему-то не получается... Почему?  Про организаторов я уже писал неоднократно - повторяться не буду. Для них большинство мероприятий проходные и спикеры проходные - как женщины легкого поведения, которых используют один раз и переходят к другой. Есть звезды, которые привлекают внимание, и зачастую на них и приходит аудитория. Иногда их используют втемную, как свадебных генералов. Иногда они сами потакают этому. И вот тут кроется вторая проблема российских мероприятий - спикеры. Да-да, это именно спикеры, которые читают одни и те же свои доклады по несколько раз в год, не меняя даже шапки слайдов. Именно спикеры соглашаются, чтобы их имя вписали в программу, а потом не приходят на мероприятие (хотя и заранее знают, что не придут). Это спикеры приезжают за 5-10 минут до доклада и уезжают сразу после него, лишая возможности посетителей поговорить. А зачастую именно ради этого "поговорить" и приходят на конференцию. Десятый раз слушать рекламу об очередной революционной и инновационной системе отражения и нейтрализации целенаправленных атак, работающей на всех уровнях эталонной модели, включая нулевой, уже никто не хочет, воспринимая это как данность или выходя в зал, чтобы там встретить собеседника, с которым можно обсудить наболевшее. И этот собеседник, выбегает из зала и набегу отвечает: "Давайте потом, я спешу" :-( Это именно спикеры выдают аудитории очевидные и прописные истины, считая, что кроме них до азбуки никто не додумался. Это спикеры соглашаются выступать у проштрафившихся организаторов и второй раз и третий, продолжая эту бесконечную историю. Но вина есть не только у спикеров...  Пожалуй, самый главный виновник - это аудитория большинства мероприятий! Да, как это ни странно. Кто продолжает ходить на говеные мероприятия, тем самым давая понять организаторам, что можно и дальше продолжать в том же духе? Кто стесняется высказать правду о мероприятии в анкете или в Интернете? Кто выбивает командировки на столичные "раскрученные" конференции?  Но ведь другого у нас нет? У нас нет RSA Conference. У нас нет Forrester Security Summit. У нас нет Gartner Security Symposium. У нас даже лондонской InfoSecurity нет (если вы там не были, то поверьте, что лондонская и московская InfoSecurity - это небо и земля). Да нет. А почему? А потому что в описанных условиях такие конференции не появятся. Ведь все всех устраивает.  Что можно сделать? В первую очередь сделать мероприятия платными. Именно так. Почему-то бытует мнение, что на платные конференции народ в России не ходит. А почему он не ходит? А потому он не готов платить свои или даже корпоративные деньги за всякую фигню? Нет, не готов. Но только поэтому, а не потому что платить не привыкли. Когда несколько лет назад мы из бесплатной CiscoExpo делали платную, мы тоже думали, что посетители не пойдут и их число снизится. Ан нет, не снизилось. Людей стало даже больше и большинство платило деньги за участие. Деньги небольшие, но и это уже большой шаг. А за участие в мероприятиях Gartner, Forrester, Burton (до ее покупки) посетители платили по 1-2 тысячи долларов, евро или фунтов. И даже если принять в расчет разницу в зарплатах (а с Москвой она и не такая значительная), то все равно получается колоссальная разница с Россией. Люди платят! За хороший контент! Не прописные истины (хотя и они встречаются) и не рекламу (хотя нередко выступают представители спонсоров). Плата дисциплинирует посетителей - они приходят с конкретной целью и готовы за свои деньги требовать лучшего. Сейчас многие считают: "А что я хочу, если я не плачу ни за что?" Но это же не повод слушать всякую чушь!  Плата должна быть и для спикеров. Но плата им, а не с них. Кто-то читает хорошо всегда, кто-то на проходных мероприятиях расслабляется. Плата же дисциплинирует и мотивирует. Получив оплату за свой труд, человек скорее всего не будет читать прописные истины (если он хороший спикер). Плата поможет и организаторам делать более качественные мероприятия. Иными словами плата нужна всем, чтобы мероприятие стало лучше и кто-то должен сделать первый шаг в этом направлении.  Есть ли у платы минусы? Да, конечно. Отсеется немалое количество слушателей, которые не готовы или не могут платить. Но при этом какие-то бесплатные мероприятия все равно останутся, в т.ч. и онлайн. Сужение же аудитории позволит сделать мероприятия более сфокусированными и конкретными - без попыток рассказать всем обо всем, без учета целевой аудитории. Лучше конференция на 50 человек, которым действительно интересно, чем на 500, которые приезжают пожрать на халяву и набрать эротических календариков на стендах спонсоров.  Не знаю, повлияет ли очередной выплеск откровений на ситуацию на рынке мероприятий по ИБ? Еще пару лет назад я бы сказал, что нет. Сегодня я постоянно слышу негативные отзывы о многих мероприятиях, проводимых в России. В какой-то момент чаша терпения должна переполниться и либо аудитория начнет голосовать ногами, либо нормальные спикеры перестанут ходить на провальные мероприятия. Я, например, зарекся посещать мероприятия компании "Форт-Росс". Это абсолютно непрофессиональная компания, нарушающая все мыслимые этические и законодательные нормы (ну как можно продавать за деньги базу контактов участников?) и не держащие своего слова. Я удивляюсь, как они еще собирают мероприятия (правда, судя по последним их конференциям на них покупаются только регионалы, не знающие об их репутации). Я скорее всего больше не буду участвовать в InfoSecurity Russia. Я такое решение принял еще в прошлом году, но в этом меня убедили, что ситуация будет совершенно иной. Не получилось - лучше мероприятие не стало :-( Второй раз я врядли куплюсь на эту удочку. Инфобез... посмотрим на неделе, когда она будет проходить. И хотя я там веду два круглых стола (по безопасности Интернета вещей и крупных спортивных мероприятий), я пока настроен достаточно пессимистично.
14	http://lukatsky.blogspot.com/2013/10/blog-post_4.html	Опубликован проект приказа ФСБ по защите персональных данных	2013-10-04T03:58:52.297+04:00	tag: законодательство endoftag tag: ФСБ endoftag tag: персональные данные endoftag 	 Вчера появился проект приказа ФСБ "Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности".  Что интересного в этом документе? Я бы выделил несколько моментов:   Даны разъяснения (имеющие характер обязательных) положений ПП-1119. Например, что такое "организация режима обеспечения безопасности помещений", "сохранность персональных данных", "электронный журнал сообщений" и т.п. Средства криптографической защиты персональных данных могут быть ТОЛЬКО сертифицированными. И это, пожалуй, самая большая засада, которая только возможна. При условии, что для огромного числа сценариев обработки ПДн сертифицированных СКЗИ попросту нет. Я еще три с лишним года назад об этом писал. Как эта коллизия будет разрешаться я даже и не знаю. Точнее знаю - стандартным методом 8-го Центра - "в частном порядке" :-( По моему скромному мнению 8-й Центр сознательно или несознательно, но ограничил применение для защиты ПДн СКЗИ классом КС3 (!) и выше. Почему я так считаю? Все просто. Если вы считаете, что потенциальный нарушитель может получить доступ к средствам вычислительной техники, на которых установлены СКЗИ, то будьте добры применять СКЗИ не ниже КС3. Хотя если вдуматься чуть глубже, то вы обязаны будете применять СКЗИ класса КВ1, если вы опасаетесь, что нарушитель может привлечь специалистов, имеющих опыт разработки и анализа СКЗИ. А сейчас нет ограничений на таких специалистов - вот у меня такой опыт есть - я с 92-го по 95-й годы разрабатывал СКЗИ в одном из московских "ящиков". А сейчас с этим ситуация и подавно стала легче - криптографию преподают в 100 с лишним ВУЗах России. СКЗИ КВ2 применяются, когда могут быть использованы недекларированные возможности в прикладном ПО или у нарушителя есть исходные коды прикладного ПО. Прощай open source ибо наличие исходников сразу повышает класс сертификации до почти недосягаемых высот (в России СКЗИ, сертифицированных по КВ2, раз-два и обчелся).  Вы уже догадались, что СКЗИ КА1 применяются, когда могут быть использованы недекларированные возможности в системном ПО. И вновь забор для open source операционных систем, распространенных в России. Недокументированных возможностей там может быть выше крыши. Все помещения, в которых ведется обработка ПДн, должны по окончании рабочего дня не просто закрываться, а опечатываться (!). Это минимум требований для 4-го уровня защищенности. На 1-м уровне от вас потребуют на первых и последних этажах зданий установки решеток или ставень (!). Я могу понять, как такое требование выполнить к зданию ФСБ на Лубянке, но к той же "Стекляшке" на Ярцевской это требование уже неприменимо. А ведь современные бизнес-центры вообще не используют конструкций, к которым можно было бы прикрутить решетки или ставни (достаточно посмотреть на Москва-Сити). Все носители персональных данных должна учитываться поэкземплярно (!). Все без исключения. Если у ФСТЭК в 21-м приказе речь шла только о машинных носителях, то в 8-м Центре решили под одну гребенку еще и бумажные носители отнести и все остальные.     Здание ФСБ на Ярцевской  Революции не произошло. Год назад я уже примерно говорил о том, к чему стоит готовиться с точки зрения применения сертифицированных СКЗИ, и вот мои слова подтвердились.  Документ достаточно сложен в изучении - очень много не относящейся к делу информации. Например, подробное описание на 4 страницах случаев, когда нужно применять СКЗИ, сертифицированные по классу КС1. Чуть меньше текста для КС2 и т.д. Я бы все это сократил и поставил бы четко - для этого уровня защищенности и типа ИСПДн КС1, для этого - КС2, для этого - КВ и т.д. Хотя вынужден повториться - случаев, когда сертифицированной криптографии нет, вагон и маленькая тележка. И даже ФСБ сама не соблюдает свои же требования. Про другие госорганы я и не говорю даже.  Ну ладно о грустном. Что можно и нужно сделать? Во-первых, самостоятельно проанализировать текст проекта приказа и направить в ФСБ свои мысли и КОНКРЕТНЫЕ предложения по изменению нормативно-правового акта. Подчеркиваю - конкретные! Слова "все плохо" рассматриваться не будут. До 18-го октября можно свои мотивированные отзывы направлять по адресу: pdn@fsb.ru.  Во-вторых, в соответствие с ПП-1119 именно оператор ПДн определяет актуальность типов угроз. Я повторю то, что писал год назад - я считаю угрозы НДВ неактуальными в области ПДн. Не невозможными в теории, а неактуальными на практике. Хотите считать по другому? Ваше право. Не хотите заставлять интеграторов и консультантов переделывать сданные вам проекты с актуальными 1-м и 2-м типами угроз? Ваше право. Тогда вперед - за покупкой СКЗИ классов КВ и КА. На сайте ЦЛСиЗГТ ФСБ вы найдете список сертифицированных СКЗИ. Основная масса продуктов имеет сертификаты на классы не выше КС1-КС2. Кому-то повезло с КС3. КВ и тем более КА - единицы. А вот цена обратно пропорциональна числу сертифицированных изделий и пусть вас не смущает, если вам предложат средство шифрования за 10 и более тысяч долларов (за один экземпляр СКЗИ) :-(  В-третьих... А больше и не надо ничего. Если все мы не сможем убедить 8-й Центр изменить приказ (а надежды, если честно, маловато), то даже с актуальными угрозами 3-го типа, уйти от сертифицированных СКЗИ нам не удастся, а если учесть п.3 этой заметки, то должны они быть не ниже КС3.  ЗЫ. Лишний раз убеждаюсь, что между интересами государства, общества/бизнеса и гражданина лежит огромная пропасть. ФСБ работает во имя интересов государства и об остальном они просто не думают. А жаль :-( 
15	http://lukatsky.blogspot.com/2013/10/blog-post_3.html	Установлены правила информирования об атаках на объекты ТЭК	2013-10-03T05:00:01.352+04:00	tag: законодательство endoftag tag: SCADA endoftag tag: ФСБ endoftag 	 2 октября премьер-министр Медведев после случая с "пиратским нападением" судна GreenPeace "Арктик Санрайз" на платформу "Приразломная" в Печорском море. Спецсназ ФСБ доблестно захватил активистов-экологов, а суд выдал санкцию на их арест. Но интересно не это, а то, что после этого Правительство выпустило Постановление от 2 октября 2013 года №861 "Об утверждении Правил информирования субъектами топливно-энергетического комплекса об угрозах совершения или совершении актов незаконного вмешательства на объектах топливно-энергетического комплекса". В нем приведен перечень угроз, относящихся к сфере действия ПП-861. На последнем, седьмом месте находится "угроза технического воздействия - несанкционированные действия техническими способами в отношении систем электропитания, управления или защиты технологических процессов (включая дистанционное) объекта в целях вывода их из строя, а также хищение секретной или конфиденциальной информации, использование которой может облегчить организацию несанкционированных действий в отношении объекта".  И дело не в том, что Правительству лучше было бы заняться защитой пенсионных накоплений граждан. И не в том, что термин "конфиденциальная информация" давно не существует и вместо него в законодательстве используется термин "информация ограниченного доступа" или "информация, в отношении которой установлено требование конфиденциальности". Дело совсем в другом.  Постановление устанавливает процедуру информирования об угрозах, включая и угрозы ИБ, не одного, не двух и даже не трех регуляторов; а целых четырех! Это МВД, ФСБ, МЧС и МинЭнерго! Забыли упомянуть ФСТЭК, т.к. по законопроекту ФСБ по безопасности критических информационных инфраструктур за безопасность критически важных объектов низкой и средней опасности (а так и незапущенная платформа "Приразломная" врядли относится к высокой степени опасности) отвечает именно ФСТЭК. Или Правительство не знало о законопроекте ФСБ (допускаю), или подразумевается, что за управление инцидентами ИБ на КВО и объектах ТЭК ФСТЭК не будет отвечать ни при каких условиях.  Информирование осуществляется незамедлительно (не позднее суток) с момента обнаружения угрозы или акта вмешательства или с момента получения субъектом ТЭК информации (в т.ч. и анонимной) об угрозе. Кто-нибудь думал как это требование применить в отношении угроз ИБ? Сообщать в МВД, МЧС, ФСБ и МинЭнерго о каждом вирусе, попавшем в поле зрения объекта ТЭК? Или о каждом сообщении Anonymous о планируемой атаке? Замечательный DDoS на 4-х регуляторов может получиться. Но пойдем дальше.  Указанные уведомления регуляторов осуществляются с помощью телефонной или радиосвязи, электронным способом или на бумажном носителе. В последнем случае писать можно только синей или черной ручкой, печатными буквами, на русском языке и не допускать помарок!  Радует форма уведомления - 17 пунктов при наличии угрозы и 10 - при наличии анонимного сообщения о ней. Без автоматизации подготовки данной формы заполнять ее при каждой вирусной атаке или сканировании сети замучаешься. Отдельного внимания стоят сами пункты, ответы на которые надо давать - о численности, о тактике действия нападающих :-)  Мы семимильными шагами идем в сторону ОБЯЗАТЕЛЬНОГО информирования об инцидентах информационной безопасности отечественных регуляторов. Сначала это было Указание Банка России 2831-У с его 203-й формой отчетности. Теперь вот ПП-861. Планируются аналогичные нормы и в части обязательного уведомления регулятора о фактах утечки персональных данных субъектов ПДн.  Готовимся! Внедряем процедуры управления инцидентами! Автоматизируем процесс заполнения форм! Жизнь становится все чудесатее и чудесатее :-) 
16	http://lukatsky.blogspot.com/2013/10/blog-post_2.html	Как Вы яхту назовете... или о нейминге в области ИБ	2013-10-02T05:00:00.429+04:00	tag: маркетинг endoftag 	 Отниму немного хлеба у Алексея Комарова, но поговорю о маркетинге информационной безопасности, а точнее об одной его составляющей - нейминге или выборе названий для своего продукта. В области информационной безопасности существует три больших направления, отражающих подходы к маркетингу ИБ. Первый я бы назвал "военным". Он присущ производителям, ориентированным на продажу своих решений военным, которые достаточно строги к названиям продуктов и (или) стараются скрывать все и вся и от всех. Вот вы можете сказать, что скрывается за названием М506, АПМДЗ или ФПСУ? С ходу и не определишь.  Второй подход более традиционный для маркетинга и заключается в выборе "говорящих" имен для средств защиты; зачастую имен собственных. В этом сценарии названия обычно делятся на подвиды - из которых однозначно вытекает предназначение продукта (например, Traffic Monitor или ERPScan) и которые просто красиво звучат (например, MaxPatrol или Континент). Но чаще всего выбирается третий вариант наименования продукта - самый банальный и местами скучный. К типу продукта (например, Firewall, IPS или Antivirus) добавляется имя производителя (например, Cisco или Kaspersky), а иногда и номер версии или модели (например, 2013 или 4500). В итоге получается скромно и практично (Kaspersky Antivirus 2013, Cisco IPS 4300, S-Terra CSP VPN Gate и т.п.). Часто в названии продукта скрывается аббревиатура - ASA (adaptive security appliance), IPS (intrusion prevention system), NGFW (next generation firewall), ISE (identity service engine), AVP (antivirus pro).  Очень редко, когда название продукта настолько удачное, что запоминается сразу. У каждого такие примеры, наверное, свои. У меня в памяти сразу всплывает ЗАСТАВА. Очень удачно выбранное на мой взгляд название для системы периметровой защиты. Других примеров с ходу наверное и не припомню, если не брать различные "Щиты", "Брони", "Панцири"...   Почему в массе своей продукты имеют скучные и даже обезличенные имена? Все просто. Чем проще имя, тем меньше шансов, что название продукты будет плохо читаться на разных языках мира. Разумеется, это имеет смысл только для компаний либо международных, либо планирующих выход на международный рынок. В этом случае очень важно оценить звучание имени в стране предполагаемых продаж. И не просто звучание (по этой причине на Западе продаются не труднопроизносимые и трудонаписуемые "Жигули", которые еще и ассоциируются с "жиголо", а Lada), а перевод имени на локальный язык. Наверное поэтому в России никогда не будет пользоваться популярностью моющее средство Antikal (в отличие от слабительного Dristal или туалетной бумаги Serla), пиво Gavno, минеральная вода Debil, детское питание Bledina, холодильники Ebano, яйца Super Huevo, шоколадки Huesitos, спреи Pedik... И вы врядли когда-нибудь посетите (если только не разок, чтобы сфоткаться на фоне вывески) ресторан Pedrini или Fuk Mi. Маркетологи могут приводить сотни примеров из сегмента B2C, где такие ляпы наиболее чреваты.  Именно поэтому в крупных международных компаниях работают целые отделы или выделенные сотрудники, занимающиеся "звучанием" продуктов. И в ряде случаев широко известные в мире имена приходится менять в той или иной стране. Так, например, известный случай, когда Mitsubishi Pajero поменяли на Montero т.к. в Испании pajero означает оскорбительное прозвище геев. В Испании и Chevrolet Nova не имело успеха, потому что No Va по-испански означает "не движется". Последний пример из автомаркетинга - только в России известен Chevrolet Aveo - в других странах это Daewoo Kalos.  Но все это примеры для ритейла. На рынке корпоративных продаж (B2B) это не столь большая проблема, но тоже может повлиять на уровень заработков производителя. Почти в любом классическом учебнике маркетинга говорится о важности правильного выбора названия продукта или компании. Неудачное имя может если не совсем поставить крест на продвижении продукта, то существенно снизить объемы его продаж, напрочь закрепив в голове потребителя неблагозвучное или смешное имя. В области безопасности таких примеров не так уж и много, но и они есть. Например, врядли производителю системы защиты "Щит" стоит выходить с этим именем на рынок англоязычных стран, т.к. это имя на английском будет созвучно с "Shit", т.е. дерьмо. С отходами жизнедеятельности человека связан и обратный пример. У компании Palo Alto операционная система называется PanOS, что на русском языке звучит схоже с "Щитом" на английском, т.е. "понос". Не самое удачное название для продукта в любой категории, не только в отрасли ИБ.  Есть ли примеры, изменения названий своих продуктов в области ИБ из-за возможных сложностей с переводом и восприятием? Я знаю о двух из них (может быть есть и еще). Первый связан с продукцией Cisco, а точнее с модулем шифрования NME-RVPN, который разрабатывался специально для России (это был первый случай в истории Cisco, когда специально для локального рынка создавался отдельный продукт). Рабочее название этого модуля было Stoli. Как вы думаете почему? Все просто. Для иностранцев Россия ассоциируется с несколькими известными словами - "Горбачев", "перестройка", "водка", "матрешка", "бабушка". А что обычно везут в подарок иностранцам из России или одаривают их по приезду сюда? Правильно, это водка :-) А самая известная в мире водка из России (СССР) - это "Столичная". Отсюда и было выбрано первое название для VPN-модуля, который совместно с компанией С-Терра СиЭсПи был сертифицирован в ФСБ. Но по понятным причинам, оптимизм американских коллег не разделяли в российском офисе и в итоге было выбрано нейтральное NME-RVPN.  Второй пример, когда российская компания выходила на рынок другой страны. Например, Лаборатория Касперского с одноименным антивирусом вынуждена была в Китае поменять название своего продукта на Ка-ба. Вот как об этом говорил Евгений Касперский: "Мы выяснили, что в чем−то рынки обеих стран похожи: порой звучание зарубежных торговых марок вызывает как у нас, так и у китайцев ассоциации, о которых не догадываются маркетологи в штаб−квартирах транснациональных компаний. Так что имейте в виду: скорее всего, вам придется изменить название своего бренда или продукта, адаптировав его к "китайскому уху".  С правильным выбором названия компании или продукта связан и еще два нюанса. Первый - когда у продукта/компании есть двойник в другой стране. Например, Алексей Раевский, генеральный директор Zecurion, так объяснял смену названия с SecurIT на Zecurion - "При выходе на международный рынок мы не могли пользоваться таким очевидным названием, как SecurIT, — оно уже было занято. Так был разработан бренд Zecurion". По этой же причине, как я понимаю, питерская Digital Security в мире известна как ERPScan.  Второй и, пожалуй, последний, нюанс с именованием в области ИБ - стоит или нет давать продукту или компании свое имя. Примеров тут тоже немало (Нортон, Касперский, Данилов, Макафи...). Такой нарциссизм может быть как выигрышной стратегией, так и вести к неудачам. А что если владелец (даже бывший) компании, давший свое имя и ей и ее продуктам, попадет в тюрьму или с его именем будут связаны какие-то черные и неблаговидные делишки? Как это может сказаться на продажах? Вспомните историю с обвинением Джона Макафи в убийстве и в шпионаже...  Резюмируя эту заметку, которая оказалась длиннее, чем я ожидал, могу только заметить, что маркетинг в области ИБ и, в частности, выбор правильного имени продукта или компании - это очень непростая и очень важная задача. Вспоминая известный мультфильм про капитана Врунгеля: "Как вы яхту назовете, так она и поплывет". Не пренебрегайте этим вопросом при продвижении своей продукции в России или на Западе, не доводите до диареи :-) Это может сыграть дурную шутку в какой-то момент.
17	http://lukatsky.blogspot.com/2013/10/f5-versafe.html	F5 покупает Versafe	2013-10-01T16:00:15.987+04:00	tag: консолидация endoftag tag: поглощения endoftag 	 17 сентября компания F5 анонсировала приобретение израильской компании Versafe, поставщика решений по борьбе с вредоносным кодом, мошенничеством и фишингом в Web-среде. Детали сделки не разглашаются.
18	http://lukatsky.blogspot.com/2013/10/blog-post.html	Надо ли покупать полупальто или парафраз о сертификации межсетевых экранов	2013-10-01T05:00:01.316+04:00	tag: оценка соответствия endoftag tag: ФСТЭК endoftag 	 Сошлись на небе звезды и совпало сразу несколько событий. Я выбирал себе полупальто, один вендор разослал несоответствующее действительности письмо относительно решений Cisco, и Женя Родыгин опубликовал материал про сертификацию средств защиты. Поэтому решил объединить эти три события вместе, что и привело к рождению этой заметки.  С полупальто ситуация забавная произошла. Пришел в магазин, нашел продавца и состоялся у нас с ним такой диалог: - Полупальто есть? - Есть! Но может быть вам пальто нужно? - Нет, мне нужно полупальто. Пальто длинное и я буду его низ о машину постоянно пачкать. - Вам какое полупальто? - Под погоду! Теплое! Чтоб задницу прикрывал! И не промокал сразу! И не бабское. И чтобы выглядело солидным. И материал, чтобы качественный. И вообще... - Хорошо, подождите.  Приносит. Смотрю я на ЭТО изделие из какой-то тонкой синтетики, которое и мой "комок нервов"-то врядли прикроет и спрашиваю: "Это что? Полупальто?" Продавец ничтоже сумняшеся - "Да!" (Почти как в старом фильме "Верные друзья" - "Износу нет" :-) Я ему: "Ну какое это полупальто? Это третьпальто!" Он говорит: "Вы не правы. Вот и на ценнике написано, что это полупальто"... В итоге непродолжительной дискуссии продавец был послан, полупальто так и не куплено, но зато теперь и заметку можно написать :-)  Перейдем к нашим баранам. Есть такое защитное средство, как межсетевой экран. В принципе многие даже понимают, что он делает. Вроде как он является преградой между защищенной и незащищенной сетями, и путем фильтрации трафика он пропускает то, что можно, и не пускает то, что нельзя. Это в теории. На практике все обстоит немного иначе. Межсетевым экраном себя назвать может кто угодно. Хоть полупальто назовите межсетевым экраном. Или на заборе напишите "межсетевой экран". И в принципе нет ничего плохого в том, что кто-то как-то назвал что-то. Ну назвал и назвал. Если потребителя устраивает функционал этого синтетического "полупальто", то почему бы и нет. Главное же, чтобы потребитель был доволен. Но это с полупальто так (на самом деле и там тоже не так, но это уже лирика). В информационной безопасности все немного иначе.  Есть требования нормативных актов, устанавливающих обязательные требования по используемым средствам защиты. Например, ПП-584 о защите информации в платежных системах. Или приказ №17/21 ФСТЭК. Или требования ПП-424 и разработанных во его исполнение приказов 104 Минкомсвязи и 416/489 ФСТЭК/ФСБ. Везде говорится о межсетевых экранах, как средствах защиты, необходимых для отражения тех или иных угроз. Но что такое межсетевой экран с точки зрения регулятора? Это не то, что я захотел назвать "межсетевым экраном", а то, что соответствует определениям, данным в РД ФСТЭК или РД ФСБ. Можно долго спорить, правильный это подход или нет, закрывают ли РД регуляторов современные возможности защитных продуктов или нет, но факт остается фактом. В текущей ситуации сертифицировать средство защиты будут по этим документам и если оно пройдет все испытания, то его смело можно называть межсетевым экраном и на него будет выдан соответствущий сертификат. Не соответствуешь требованиям, как не крутись, но с позиции регулятора ты не межсетевой экран (как бы ты себя не бил пяткой в грудь и не писал в своих рекламных материалах "межсетевой экран", добавляя к нему различные эпитеты - "прикладной", "следующего поколения" и и т.п.).  К чему это я? К тому, что если какой-либо нормативный акт говорит об обязанности иметь в наличии межсетевой экран, то он должен быть таким, как это понимали авторы нормативного акта, а не разработчик. И если в какой-либо отрасли установлены требования по сертификации средств защиты (а это госорганы, критически важные объекты и еще много кто), то межсетевой экран должен иметь сертификат соответствия РД ФСТЭК (или ФСБ) на МЕЖСЕТЕВЫЕ ЭКРАНЫ. Не на отсутствие НДВ, не на СВТ, не на возможность применения в АС/ИСПДн/ИС какого-либо класса. А именно на соответствие РД по межсетевым экранам.  Но что делать производителю, который продает свой продукт как межсетевой экран, но не может сертифицировать его по требованиям российских РД. Например, по причине отсутствия функции фильтрации на сетевом и транспортном уровне. Да-да, бывают и такие "межсетевые экраны", концентрирующиеся только на прикладном уровне. Это безусловно важно, но явно недостаточно для построения комплексной периметровой защиты. Такой производитель пытается сертифицировать свою поделку хоть как-то, например, на отсутствие НДВ. Это неплохо. Только вот межсетевым экраном в терминах регуляторов это продукт не делает. И при инспекционной проверке (или аттестации) этот вопрос обязательно всплывет. Производитель-то уже давно умыл руки - он свой продукт продал. Партнер тоже деньги получил. А заказчик, поверив рекламе "межсетевого экрана" и сертификату на НДВ, сталкивается с суровой правдой жизни. Используемый им продукт может и неплох, но не соответствует тому, что ему надо было изначально.  У данного правила есть два исключения. Первое. В той или иной отрасли не требуется обязательная сертификация средств защиты или заказчик сознательно идет на принятие риска несоответствия. Нет вопросов. Нет так нет. Второе. Продукт сертифицировался по ТУ, в которых перечислены требования из руководящих документов, которые должны быть реализованы в контексте управления информационными потоками или разграничения/сегментации сетей. В этом случае тоже возможно, что сам продукт не имеет сертификата как межсетевой экран, но в процессе его проверки необходимый функционал проверялся. Правда, ФСТЭК не очень любит в последнее время такую сертификацию. В остальных случаях, сертификат соответствия РД на МСЭ вынь да положь.  Какое резюме из всего этого длинного поста про ненастоящее полупальто? Во-первых, не доверяйте слепо производителям средств защиты. Их цели не всегда совпадают с вашими. Во-вторых, западные вендоры, даже и лидеры каких-то магических квадратов, не всегда понимают специфики российского рынка и пытаются идти сюда со своим, как правило, американским опытом. А он тут не применим. Лидер там и лидер тут - это две большие разницы. В-третьих, РД ФСТЭК на МСЭ давно устарел и его пора менять. Могу сказать, что ФСТЭК планирует это делать в 2014-м году. Но сейчас он есть и уйти от него нельзя - надо выполнять. В-четвертых, авторам нормативных актов лучше избегать использования терминов, содержание которых или очень быстро устаревает, или очень быстро меняется. Лучше уж заменить термин "межсетевой экран" на "управление информационными потоками" (ФСТЭК так и планирует делать). В-пятых, если уж вам не повезло и от вас требуется именно межсетевой экран, то смотрите на то, на что выдан сертификат. Отвечать-то вам, а не производителю или поставщику. И, наконец, разберитесь, хотя бы немного, в особенностях отечественной системы сертификации (если уж ФСТЭК не проводит таких обучающих семинаров, то хотя бы самостоятельно сделайте это).  ЗЫ. Аналогичные рассуждения применимы и к другим типам средств защиты.
19	http://lukatsky.blogspot.com/2013/09/blog-post_30.html	От хакерских конкурсов к киберучениям	2013-09-30T05:00:04.125+04:00	tag: SCADA endoftag tag: кибербезопасность endoftag 	 Кого мы можем называть специалистом-практиком по информационной безопасности? Выпускника ВУЗа с большими, но теоретическими знаниями? Человека, прошедшего курсы повышения квалификации в АИС или УЦ "Информзащита"? Или человека, имеющего реальный практический опыт защиты информации в госоргане? Наверное ни того, ни другого, ни третьего. Нужна не просто комбинация теоретических и практических знаний, но и их регулярное подтверждение. Вот о нем мы и поговорим.  В романе "Нейромант" Гибсона и "Лабиринте отражений" Лукьяненко есть интересная идея о создании полностью автоматической системы защиты, которая только усиливает свой потенциал  при нападении на нее. За счет искусственного интеллекта и нейронных сетей защита сама анализирует методы вторжения и подстраивается под них, автоматически выстраивая линию обороны. Если представить, что и система нападения тоже могла бы быть полностью автоматический и действующей без участия человека, то можно было бы получить очень интересную самообучающуюся систему, а точнее две, которая бы выбирала только выигрышные стратегии для атак и их нейтрализации. Но это фантастика, до которой нам еще далеко...  В реальности же мы имеем людей, которым помогают какие-то инструменты - для атак и для их отражения. Без человека эти инструменты пока не очень эффективны; хотя и облегчают решение некоторых задач. Функции самообучаемых систем атак и нападения выполняют люди, которым необходимо постоянно повышать свой уровень, не только получая новые знания, но и тестируя их на практике. В реальной жизни такой опыт дается слишком дорого и он слишком ценен, чтобы ждать возможности проверить свой багаж знаний и "ловкость рук". Поэтому и появляется красивая идея соревнований CTF (Capture The Flag), которые довольно распространены во всем мире, включая и Россию.  RuCTF, VolgaCTF, Defcon CTF, UralCTF, rfCTF, NeoQuest, PHD CTF и т.д. Считаясь молодежными, а иногда и студенческими мероприятиями, на них как раз и осуществляется проверка сил защитников и нападающих. К сожалению, данные мероприятия пока проводятся в России на добровольных началах без существенной поддержки со стороны государства. Конкурсы CTF не поддерживаются ни Рособразованием (не уверен, что там вообще знают про такую форму практических занятий), ни УМО по ИБ, ни ФСТЭК, ни ФСБ. Хотя нет, ЦИБ ФСБ на последнем PHD как раз заявил о поддержке идеи CTF, но пока только словесной. Работа в ФСБ по направлению информационной безопасности пока прельщает немногих победителей CTF. Помимо преимуществ работы в этой структуре, есть и ограничения, которые отрезвляют многих. А вот отсутствие хоть какой-то официальной реакции со стороны УМО по ИБ странно - именно это учебно-методическое объединение отвечает за развитие направления ИБ в России; именно через них проходят все ФГОСы по нашей тематике.  Но вернемся к идее проверке сил атакующих и нападающих. Врядли можно себе сейчас представить, что специалисты коммерческих служб ИБ ломанутся "играть" в эти игры. Кто-то стесняется, у кого-то нет опыта, у кого-то тупо нет времени. Но если не CTF, то что, как и где? И вот тут нам на помощь приходит европейский, американский и австралийский опыт. У них уже давно проводятся киберучения (cyber exercise). С 2002-го по 2012-й годы в мире было проведено 85 киберучений, в которых участвовало 84 государства. 71% всех учений прошли в период с 2010-го по 2012-й годы. Практически половина всех учений длится один день (как и большинство CTF); 32% длятся до 3-х дней, еще 15% - от 4 до 5 дней, и еще 4% - больше 5 дней.  Идея правильная, но врядли ее можно организовать в общегосударственном масштабе для всех без исключения предприятий. Поэтому в Европе, Австралии, США такие учения проводятся для критически важных объектов, что закономерно. Успешная атака на критическую информационную инфраструктуру может обойтись очень дорого, как для экономики страны, так и для жизни и здоровья ее граждан. Правда, наш 8-й Центр ФСБ пока не видит необходимости в такой инициативе. По крайней мере это предложение в законопроект по безопасности критических информационных инфраструктур было отклонено как неотносящееся к предмету законодательного регулирования (интересно, а к чему оно относится).  Понятно, что восьмерке врядли хочется брать на себя эту задачу (опыта-то нет). Но может все-таки в финальный текст закона эта идея попадет, как здравая и полезная в деле защиты наших критически важных объектов от случайных или направленных воздействий? А что касается отсутствия опыта... Начинать-то с чего-то надо. В качестве лучшей практики могу посоветовать посмотреть на европейские рекомендации ENISA, которые разработаны на основе проведения регулярных европейский киберучений Cyber Europe и трансатлантических киберучений Cyber Atlantic.
20	http://lukatsky.blogspot.com/2013/09/blog-post_26.html	Международный опыт защиты критических инфраструктур	2013-09-26T10:05:00.261+04:00	tag: международная ИБ endoftag tag: SCADA endoftag 	 Так получается, что на InfoSecurity я сегодня видимо не попаду - заболел-таки. Но так как выход из строя произошел внезапно, то слушатели, пришедшие на мое выступление, его не услышат. Но зато хотя бы увидят. Я выкладываю свою презентацию, которую должен читать в 10 утра.       Международный опыт защиты критических инфраструктур  from Alexey Lukatsky   ЗЫ. Если мне повезет, то я все-таки выберусь на InfoSecurity Russia 2013. 
21	http://lukatsky.blogspot.com/2013/09/blog-post_25.html	Организаторы ИБ-мероприятий, ну хотя бы раз прочитайте то, что вам советуют!!!	2013-09-25T20:58:41.342+04:00	tag: выставки endoftag 	 Зарекся в очередной раз быть капитаном очевидность в отношении организации мероприятий, но сегодняшнее посещение InfoSecurity Russia привело к нарушению данного обета. Я уже не раз писал про то, что такое нормальное мероприятие и какие составные части должны на нем присутствовать. Мне казалось, что компания, заявляющая, что она специализируется на проведении мероприятий, должна понимать, как надо их организовывать. Когда в прошлом году я писал свою заметку, я написал, что содержание 5-го пункта (окружение) очевидно. Оказалось нет. Поэтому повторюсь и раскрою очевидные вещи, если организаторы не могут заглянуть в любую книжку по организации мероприятий или записаться на аналогичные курсы.  Доступ в Интернет. Ну как можно проводить мероприятие, связанное с информационными технологиями и не имеющего доступа в Интернет? Я не понимаю. Ладно свой не можете предоставить, так хотя бы проверьте, есть ли местный. А его нет. И МТС не ловит; вообще не ловит. Это же анахронизм. Еда. Уж сколько говорили на эту тему и по результатом прошлогодней InfoSecurity Russia не раз высказывались, что еда в Крокусе - говно. Она дорогая (ну не может салатик и холодная брокколи с кофе стоить 900 рублей), холодная (даже горячие блюда) и несъедобная. Почему нельзя кейтеринг нормальный организовать? Это дорого? Так за это будут платить посетители и участники. Презентер. А вот это вообще в никакие ворота не лезет. Как на КОНФЕРЕНЦИИ может не быть презентера? Организаторы подразумевают, что у спикеров они свои? Или что спикер придет с девочкой, которая будет жмакать по кнопкам? Или что спикер должен, стоя на трибуне, постоянно нагинаться, чтобы нажать на клавиши ноутбука. Так это у длинноногой и пышногрудой красотки в короткой юбке это получается интересно, а спикеров это отвлекает от презентации. Не говоря уже о потере звука, т.к. микрофон остается на трибуне. Презентаторские панели. Вы когда-нибудь пытались стоять за трибуной, иметь большой экран за спиной и ноутбук с презентацией не перед глазами? Вот как спикер должен следить за тем, что показывается на экране? А за временем он как будет следить? Что мешает поставить презентаторские панели (хотя бы одну)? Девочки. Не в том смысле, что каждому спикеру надо приставить по девочке, угадывающей все желания VIP-персоны. Просто девочка в зале решает очень много важнейших задач, которые и составляют качество мероприятия. Она должна следить за таймингом и вовремя показывать спикерам карточки с оставшимся временем (причем стоит показывать не только 5, 2 и 0 минут, но и -2 и -5). Она должна микрофон передавать слушателям из зала. Да мало ли чего она еще может делать? Как минимум, быть каналом связи с организаторами, если что-то пойдет не так. Микрофоны для слушателей. Как вы считаете, сколько микрофонов должно быть на зал, вытянутый по ширине, в котором свыше 100 человек сидит? Явно не один. А если он один, то стоять он должен в центре зала, а не лежать на столе президиума, что заставляет слушателей ходить к нему, чтобы задать свой вопрос. Микрофоны для докладчика. На одной из DLP Russia, которую организовывала компания Event Solution (рекомендую), Лена Гращенкова задала мне за пару недель до мероприятия сакраментальный вопрос - а какой микрофон я предпочитаю и как я люблю выступать - стоя за трибуной или ходя по сцене. От ответа на эти банальные вопросы зависит, какой микрофон или микрофоны могут понадобиться - стояк, ручной, петличный... Почему нельзя этот вопрос в опросник/чеклист добавить? Спикерская. У нас на Cisco Connect есть такая фишка - спикерская комната. В ней спикер готовится к своему выступлению и отдыхает после него. А где готовиться на InfoSecurity Russia? Там нет мест для этого - может искал плохо. В памятке участника этого тоже не было. Я понимаю какое-нибудь мероприятие, где плоская программа с одним потоком и десятком спикеров. Но когда у вас таких спикеров (и немало иностранцев среди них) несколько десятков почему нельзя позаботиться об их комфорте? Программа. Я понимаю, что типографская программа готовится заранее и если в нее не успели включить спикеров, то уже поздно. Но почему нельзя распечатать список спикеров и регалиями, с названиями их докладов и таймингом и выдать модераторам? А также указать там, когда будет в этом зале следующее мероприятие. Очевидные же вещи.   И это только то, что возникло в результате одного дня мероприятия :-( Слишком много для выставки-конференции, которая проводится в России уже не первый год и все больше и больше теряет свою аудиторию (какие бы реляции о тысячах зарегистрированных ботов не публиковались организаторами). Я поговорил с некоторыми коллегами, которые считают также :-(    А ведь я еще не поднимал темы контента. Это вообще отдельная песня. Поднимать ее не буду... Кто был на мероприятии и так все понял. Лишний раз убеждаюсь в том, что готовить программу может только профессионал в области ИБ - никто со стороны не способен это сделать нормально. И этому человеку надо заплатить, а не тупо эксплуатировать его как свадебного генерала. Он тратит свое время - это надо ценить и дать ему что-то взамен. Иначе желающих помогать будет все меньше и меньше. Вообще тема оплаты в последнее время поднимается все чаще и чаще. Кто-то говорит, что в России платные мероприятия невозможны. Но это ложь. Почему на платную Cisco Connect приходят несколько тысяч человек? А на DLP Russia? Да, там есть и бесплатные билеты, но много и платных. Людей с улицы, пришедших за шариками и пакетиками там нет. Но ходят и платят. А за деньги и контент может быть гораздо более качественный - как за счет иностранных спикеров, так и за счет проработки темы и создания шоу отечественными выступающими.    Не первый раз в узком кругу возникает мысль, что мероприятия по ИБ в их текущем варианте, сходят на нет и постепенно перестанут собирать аудиторию. Выставки тем более. Организаторам пора придумать что-то другое, чем простая аренда необорудованных залов с последующим исключением себя из процесса управления мероприятием... 
22	http://lukatsky.blogspot.com/2013/09/blog-post_5481.html	О пальчиковой истерии	2013-09-24T23:56:22.874+04:00	tag: философия endoftag 	 Вообще, истерии последних месяцев, связанные с тематикой информационной безопасности, удивляют. То, все начинают удивляться откровениям Сноудена. Мол как это так, спецслужбы контролируют коммуникации других государств?! Ну так на то они и спецслужбы - работа у них такая. Что ФСБ лучше что ли? Да они такие же - только ресурсов поменьше и за пределы России  пока мало выходят (а может мы просто многого не знаем). Вот возьмем к примеру июльские новости по делу "Врублевский против Аэрофлота". Представитель ЦИБ ФСБ заявляет, что "У нас есть оперативно-техническое управление, которое может в ускоренном порядке, без санкции суда получить информацию от провайдера о каком-либо IP-адресе. После чего мы просим сохранить провайдера данную информацию и затем оформляем соответствующий запрос в официальном порядке". Ни у кого даже не возникло желания спрашивать по поводу конституционных прав на тайну переписки :-) Про неконституционное Постановление Правительства от 27 августа 2005 года №538 и вспоминать не хочется... Но про то "как у нас" все молчат :-)  А вот про закупку ФСО пишущих машинок написали опять все. И эксперты тут же стали комментировать это событие, связав его почему-то со Сноуденом? А связь разве есть? Кто сказал, что размещение информации о тендере ПОСЛЕ новостей о Сноудене, означает ВСЛЕДСТВИЕ? Почему ФСО не могла просто заказать печатные машинки? Ну кто всерьез (кроме некоторых журналистов) может рассматривать ситуацию с возвратом в каменный век и отказом от компьютеров? Это же смешно. Но зато горячая новость не сходила с Web-страниц несколько дней. Еще бы вспомнили закупку одной из в/ч ФСБ партии ледорубов :-)  Что там у нас еще было? А, взлом системы TouchID на новых iPhone. Ошеломительная новость, которую перепечатывают все. Ну взломали и что? Кто вообще говорил, что это функция защиты? На сайте Apple четко написано, что она сделана для УДОБСТВА пользователей, которые по несколько раз в день вынуждены вводить свой ПИН-код, теряя на это время. Не хотите вводить - используйте TouchID. Хотите остаться на старом ПИН-коде? Так разве кто-то мешает? Но панику-то чего наводить? Не первый раз кто-то что-то взломал и не последний. Но истерить-то зачем?  Вот нет, чтобы тему ИБ на Олимпиаде поднять... :-)
23	http://lukatsky.blogspot.com/2013/09/blog-post_24.html	Как расейский сайт государев защитить от супостатов заморских?!	2013-09-24T05:00:01.250+04:00	tag: Web endoftag tag: законодательство endoftag tag: Минкомсвязь endoftag tag: ФСТЭК endoftag tag: ФСБ endoftag tag: Интернет-ресурсы endoftag 	 На прошедшей DLP Russia я в очередной раз говорил о законодательстве в области информационной безопасности, а точнее о тенденциях его развития. Тогда я высказал мысль, что раньше безопасники жаловались, что у нас очень неадекватные и неактуальные документы и жить по ним нельзя. А сейчас ситуация ровно обратная - документов с требованиями выходит столько, что впору уже прекращать работу этого принтера и начинать разбираться с уже выпущенными нормативными документами. Масла в огонь подливается огромным количеством регуляторов, которые так и норовят выпустить в свет очередное свое творение и застолбить себе имя в истории. И дело не столько в ФСТЭК, ФСБ или ЦБ (с ними нормально удается сосуществовать), сколько в других регуляторах, которые вдруг выплеснут ни с того, ни с сего обязательный нормативный документ, которые залезает на чужую поляну и мало что не учитывает уже разработанных требований, так еще и конфликтует с другими.  Вот возьмем к примеру наше Правительство, которое через ФМС России, разработало Концепцию введения удостоверения личности гражданина Российской Федерации в виде пластиковой карты в качестве основного документа, удостоверяющего личность. Ну почему нельзя было в разделе по информационной безопасности этой концепции просто написать, что требования по ИБ должны соответствовать правовым актам ФСТЭК в области защиты персональных данных? Нет, надо изголяться и надергивать требования из разных документов. Зачем? Чтобы в очередной раз убедились, что на этом пластике будет работать сертифицированная в ФСБ криптография? Или что разработчики из ФМС и Правительства мало знакомы с российским законодательством, если позволяют себе использовать термин "отраслевой стандарт"? Вот зачем?  А еще случай хотите? Возьмем к примеру такую простую сущность, как сайт государственного органа, размещенный в государственном сегменте сети Интернет. И представим, что надо его защитить от супостатов заморских, так и норовящих открытые данные с этого сайта украсть, а админов его в полон забрать. Какие требования могут распространяться на такой сайт?  На первый взгляд все просто - есть приказ ФСТЭК №17 (почти как Балтика №9), который, распространяясь на все государевы информационные системы, должен и покрывать сайт как бык корову. Ан нет, и другие желающие найдутся. Во-первых, Минкомсвязь с его 149-м приказом от 27.06.2013. Новехонький такой приказ. Называется "Об утверждении Требований к технологическим, программным и лингвистическим средствам, необходимым для размещения информации государственными органами и органами местного самоуправления в сети "Интернет" в форме открытых данных, а также для обеспечения ее использования". И там есть, как ни странно, раздел по защите информации. Странно потому, что у Минкомсвязи свое понимание защиты информации. Оно неплохое и нехорошее, оно свое. И оно плохо сочетается с требованиями ФСТЭК и ФСБ.  А еще у Минкомсвязи есть приказ №104 от 25.08.2009. Называется он - "Об утверждении Требований по обеспечению целостности, устойчивости функционирования и безопасности информационных систем общего пользования" и разработан он в целях реализации пункта 2 постановления Правительства Российской Федерации от 18 мая 2009 года N 424 "Об особенностях подключения федеральных государственных систем к информационно-телекоммуникационным сетям". Парадокс, но во исполнении этого же Постановления (только пункта 3, посвященного защите информации) нашими традиционными регуляторами ФСТЭК и ФСБ на двоих разработан в 2010-м году совместный приказ от 31.08.2010 №416/489. Спрашивается и в чем разница между информационной безопасностью во 2-м пункте и защитой информацией в 3-м?..  А есть еще приказ Минэкономразвития (ну эти-то куда суются) №470 от 16.11.2009 "О Требованиях к технологическим, программным и лингвистическим средствам обеспечения пользования официальными сайтами федеральных органов исполнительной власти". И там... фанфары... тоже есть раздел про защиту информации. Вы думали это все? Нет, это еще не все..  Напоследок добавлю полено (или поленом) от ФСО, которая 07.08.2009 выпустила приказ №487 "Об утверждении Положения о сегменте информационно-телекоммуникационной сети "Интернет" для федеральных органов государственной власти и органов государственной власти субъектов Российской Федерации". Если сайт размещается в этом сегменте, то будьте добры соответствовать еще и требованиям Федеральной службы охраны.  Стоп-стоп-стоп... Не все это, судари и сударыни. У нас же еще есть Верховный Главнокомандующий, который в 2008-м году разродился указом 351-м от 17-го марта "О мерах по обеспечению информационной безопасности российской федерации при использовании информационно-телекоммуникационных сетей международного информационного обмена". В нем тоже немало про возможность передачи государственной информационной собственности по сети Интернет и особенно за пределы Российской Федерации, а точнее про запрет такой передачи (это в Интернет-то).  Ну теперь-то все? Похоже, что да. С требованиями по защите все, исключая, быть может, ФСБшные требования по защите персональных данных. Но они пока не вышли. Подытожим. У нас есть 7 нормативных актов, устанавливающих разные требования по защите информации к сайтам государственных органов, размещаемых в сети Интернет. Авторами этих нормативных актов являются 5 органов государственной власти (ФСТЭК, ФСБ, Минкомсвязь, Минэкономразвития и ФСО) и один Президент. Немного ли для одного простенького сайта?  Может все-таки вернуться к идее единого госоргана по вопросам информационной безопасности? Не такая уж и глупая идея...
24	http://lukatsky.blogspot.com/2013/09/dlp-russia-2013.html	Моя презентация с DLP Russia 2013	2013-09-20T13:00:06.074+04:00	tag: законодательство endoftag tag: тенденции endoftag 	 Сегодня проходит замечательное мероприятие - DLP Russia 2013, на пленарном заседании которого я рассказывал об основных тенденциях в области законодательного регулирования защиты данных. Этой теме я посвятил уже немало презентаций и регулярно их выкладываю, поэтому я постарался не сильно повторяться. А учитывая выделенное мне время на пленарном заседании, я много и не смог включить в презентацию. Но основные направления она показывают верно :-)       Ключевые тенденции законодательства России по защите данных  from Alexey Lukatsky  
25	http://lukatsky.blogspot.com/2013/09/3.html	Суровые челябинские презентации. №3 - защищенный ЦОД	2013-09-19T14:30:01.355+04:00	tag: ЦОД endoftag 	 И, наконец, третья презентация из Челябинска. На этот раз про защищенные ЦОДы.       Безопасность современного ЦОДа  from Alexey Lukatsky  
