19.02.2019

Как измерять ИБ в рамках государства?

В 2012-м году в СовБезе шла работа над основными направлениями государственной политики в области формирования культуры информационной безопасности. В процессе этой работы возникла тема о том, что достижение этих направлений должно как-то измеряться, но... к сожалению в итоговый проект документа ни одной метрики, ни одного показателя эффективности, ни одного индикатора не попало и причина тому была одна - никто не хотел брать на себя непростую задачу измерения результативности (как минимум) и оптимальности (как максимум) основных направлений.

В рамках федерального проекта "Информационная безопасность" нацпрограммы "Цифровая экономика" этот недостаток учли и добавили 6 индикаторов, которые должны олицетворять достижение (то есть измерять результативность, а не оптимальность) проекта:
  • Объем затрат на продукты и услуги в области ИБ. На первом месте именно размер денег, которые потрачены на защиту информации :-( 
  • Средний срок простоя ГИС в результате компьютерных атак. На мой взгляд, это хороший дифференциальный показатель, который отражает эффективность реализации мероприятий из 17-го приказа ФСТЭК. Правда, не совсем понятно, как измеряется этот показатель? Статистики же по времени простоя ни ФСТЭК, ни даже ФСБ в рамках ГосСОПКИ не собирают. Возможно, в скором времени планируется принятие какого-либо нормативного акта в этой сфере... Но ФСТЭК про него не упоминала на своей недавней конференции. Так что измерение этого индикатора пока находится под вопросом. Но цель в 1 час простоя к 2024-му году выглядит заманчиво.
  • Доля населения, использующего отечественные средства защиты информации (в процентах от численности Интернет-пользователей). Цель - 97% через 5 лет. Учитывая грядущее принятие нормы по установке на каждый смартфон или компьютер отечественного антивируса, этот показатель будет достигнут. Правда, к реальной ИБ он никакого отношения не имеет. 
  • Количество подготовленных специалистов по программам в области ИБ на базе отечественных средств защиты информации. Если бы речь шла о специалистах ИБ, то цифра в 21 тысячу человек к 2024-му году выглядит вполне себе неплохо. Но если речь о специалистах вообще, то это маловато. Особенно в условиях звучащих цифр в 500 тысяч айтишников, которые должны быть подготовлены.
  • Стоимостная доля закупленного или арендованного госорганами и госкорпорациями отечественного ПО (именно ПО, а не средств защиты). К реальной ИБ этот индикатор тоже никакого отношения не имеет.
Когда еще только шла подготовка ко второму заходу в "Цифровой экономике" в Кластере ИБ в РАЭК тоже готовились свои предложения по тому, что должно входить в направление ИБ и как измерять его успех. У нас тогда родился следующий перечень показателей:

  • Объем экспорта товаров и услуг в области информационной безопасности. Это тоже денежный показатель, но в отличие от затрат на покупку, он говорит о доходах от продажи и не внутри страны, а за ее пределами. Иными словами, речь идет о том, чтобы не пытаться законодательно заставить купить убогие поделки, ориентированные только на закрытые требования регуляторов, а предложить мировому рынку конкурентные решения и получать за это деньги.
  • Количество преступлений в сфере компьютерной информации. Понятно, что при палочной системе в МВД это не самый лучший показатель, но все-таки.
  • Количество компаний малого и среднего бизнеса в области информационной безопасности. Понятно, что можно измерять число лицензиатов ФСТЭК - это более простой и легко вычислимый показатель, но учитывая закрытое распоряжение Президента об ужесточении требований к лицензиатам, ждать роста этого индикатора не приходилось бы. А вот рост числа ИБ-стартапов гораздо больше говорит о благоприятном климате для бизнеса, чем все остальное.
  • Уровень грамотности населения в сфере информационной безопасности. Учитывая проникновение ИТ во все сферы нашей жизни, у каждого человека - от школьника до пенсионера должны быть навыки компьютерной гигиены.
  • Количество выпускников по направлению "Информационная безопасность". Ну тут все просто.
  • Количество Центров информационного обмена в области информационной безопасности. Вроде и эта метрика тоже очевидна.
  • Размеры инвестиций в научные исследования в области информационной безопасности. Какое нафиг импортозамещение без R&D? И вот тут как раз можно говорить о затратах. Хотя нет, не о затратах, а об инвестициях, которые вернутся; в отличие от затрат.
  • Ущерб по объектам критической информационной инфраструктуры. Эта метрика должна компенсировать слабость подсчета количества преступлений. Иначе может получиться ситуация, как в опросе Ральфа Лангнера (хотя он и не очень репрезентативен), когда инциденты (читай, преступления) есть, а ущерба нет.

Правда, если бы сейчас меня спросили, чтобы еще я включил в список индикаторов, то я бы добавил еще число международных стандартов по ИБ (ISO, ITU, IEC и т.п.), в разработке которых принимали участие российские специалисты.

18.02.2019

Несколько новых примеров геймификации в ИБ

Легкая заметка сегодня будет, но про серьезную тему, - про геймификацию в ИБ. Купил я на днях настольную игру HACKER, которая позволяет в упрощенной форме научиться думать как безопасник :-)


Да, согласен, настольная игра - не самый лучший для этого способ, но он достаточно интересен. А самое главное, что он позволяет это делать, начиная с детского возраста (с 10-ти лет), что достаточно важно для цифровой экономики (да-да, с маленькой буквы, так как речь идет не нацпроекте, а о чем-то более реальном).


40 сценариев и три фазы в каждом, позволяющих поучаствовать на стороне Добра и на стороне Зла (всего 120 кейсов).


Фазы описываются различные этапы жизненного цикла ИБ (условно) - создание системы, поиск уязвимостей, устранение проблем. Во втором случае участники (от одного до множества) могут почувствовать себя хакерами, ищущими слабые места.


Уровни сложности разные - от начинающего до продвинутого.




Второй пример будет в виде одной картинки - это штаб-квартира Salesforce, которая известна своей программой повышения осведомленности ИБ и различными интересными фишками в этой области. У них есть и своя многоуровневая система "мастеров и джедаев по ИБ", и различные конкурсы, и каталогов "плюшек" за участие в разных инициативах по ИБ. А на фото показан один день из жизни программы борьбы с фишингом, устроенный при входе в штаб-квартиру. Детская ловля рыбок на удочку, мини-"Своя игра", мини-тренинги, конкурсы и призы. И все это не так дорого - было бы желание...


Третий пример гораздо более "взрослый", чем первый. Это макет нефтедобывающей вышки, напечатанный на 3D-принтере, который демонстрирует уязвимость промышленных систем для руководства компаний или асутпшников, считающих, что их системы никому не интересны и их никто не будет атаковать. Его разработали в подразделении Cisco Talos, которое занимается исследованиями угроз ИБ и которое является крупнейшей в мире частной группой исследователей Threat Intelligence. Мы у себя в блоге подробно расписали, что это за стенд, и выложили все материалы для его повторения и, возможно, и расширения функционала.


Финальный пример возвращает нас снова в детство. Компания CyberSponse выпустила наборы Lego для создания детского `SOCа :-)


Теперь, когда у вас дети спросят, чем вы занимаете, вы можете вместе с ними собрать в домашних условиях SOC, чтобы продемонстрировать то, чем вы занимаетесь :-)


У CyberSponse разные наборы - для создания SOCа, SUPER SOCа, ЦОДа, зала для совета директоров, хакерской спальни и комнаты для ситуационного моделирования (war room). На подходе ряд других наборов - WhiteHat, государственные хакеры, команды реагирования на инциденты.


Все это разные примеры, но их объединяет одно - желание продемонстрировать ИБ для разных аудиторий и сделать ее ближе и понятнее. В этом и заключается цель повышения осведомленности!!!

12.02.2019

Что общего между собакой Павлова и специалистом по кибербезопасности?

Я никогда не мог понять, почему специалисты по кибербезопасности не пытаются выйти на уровень бизнеса, принижая свою роль в организации? И вот недавно я, как мне кажется, нашел ответ на странице Олега Вайнберга в Фейсбуке. Олег перепечатал заметку о теории Селигмана, американского психолога, который продолжал опыты известного русского физиолога Ивана Павлова.

Если вы помните школьную программу, то Павлов изучал условные рефлексы собак: у них выделялась слюна при звуке сигнала, за которым следовал прием пищи. Мартин Селигман решил сопровождать звук сигнала не куском мяса, а ударом тока. Логично предположить, что в такой ситуации собака должна была пытаться убежать от боли, что и происходило. Селигман стал фиксировать собак, чтобы они не сбежали. Проведя какое-то количество опытов, американский психолог выпустил подопытных собак в вольер с низким забором, чтобы проверить, как поведут себя собаки, если по-прежнему давать удар тока (конечно же во благо науки). И вот тут случился парадокс. Здравый смысл подсказывает, что собаки должны были убегать, но... нет. Они забивались в угол и скулили, даже не пытались покинуть вольер. Это явление назвали выученной беспомощностью.


Данная теория проверялась многократно, в том числе на людях, и выяснились удивительные факты: человек поступал так же, как и собака. Разумеется, он не забивался в угол и не скулил в прямом смысле слова, но в переносном именно так себя и вел. Психологи доказали, что если человек испытывает поражение, несмотря на многократные усилия, у него атрофируется желание что-то менять. Наступает апатия, и человек сдается. Я думаю, вы уже поняли, куда я клоню?

Да, именно так. Многие классические безопасники, которые никогда не учились на курсах MBA, не знают основ бизнеса, не умеют общаться со своим руководством, попытавшись несколько раз вынести проблематику ИБ на уровень бизнеса и не получив положительного ответа, теряют желание делать это вновь. Они опускают руки и продолжают заниматься тем, что у них получается прекрасно, – торговать страхом, запугивая регуляторикой и хакерами...

...продолжение в моей статье в "ИТ-менеджере".

11.02.2019

4П, которые интересуют каждый бизнес, в т.ч. и с точки зрения ИБ

Существует очень простая «модель 4П», которая описывает все, что волнует любое лицо, принимающее решение на вашем предприятии. Любая деятельность может быть и должна быть увязана с этими 4П. Если вам это удалось, то вы сделали большой шаг вперед. Если, как бы вы не старались, у вас не получается связать ваши проекты по кибербезопасности с 4П, значит вы делаете что-то не то (хотя отсутствие связи фиксируется достаточно часто).

Что же это за 4П? Прибыль, процессы, персонал и ***. Последнее слово, скрытое звездочками, я могу произнести вслух но не могу воспроизвести на бумаге из-за опасений блокирования блога Роскомнадзором). Но это то, что приходит неожиданно и сможет смешать все карты. Мы не будем дальше обсуждать эту четвертую П, сосредоточившись на первых трех).
Генеральному директору не нужен маркетинг – ему нужно решить эти три проблемы. Финансовому директору не нужен новый модуль в SAP – ему нужно решить эти три проблемы (или некоторые из них). ИТ-директору не нужен аутсорсинг – ему нужно решить эти три проблемы. И так далее. SAP, маркетинг, аутсорсинг только помогают в решении этих задач. Тоже самое и с кибербезопасностью. Надо просто связать два компонента вместе – с одной стороны у нас будет одна (или все) из «П», а с другой ИБ. Попробуем раскрыть каждую из трех букв «П».

Прибыль… Это то, ради чего существует любая компания (хотя есть и те, кто хочет нарастить клиентскую базу и продаться кому-то большому). Любая деятельность в компании должна быть увязана с прибылью в той или иной форме, в том числе и безопасность. Любой проект в этой области, когда вы его представляете топ-менеджменту своего работодателя, должен заканчиваться следующей фразой: «так, чтобы вы...». А в качестве многоточия может быть один из следующих вариантов:

  • «Зарабатывали больше». Можно ли зарабатывать больше на ИБ? Если речь не идет о производители средств защиты информации, то вроде бы и нет. Но это поверхностное суждение. Например, кибербезопасность может сделать сайт Интернет-магазина доступнее, то есть обслужить больше клиентов и заработать больше.
  • «Продавали больше». Представьте, что мы сможем ускорить процесс проверки заемщика в банке, тем самым уменьшив время на заключение сделки и увеличив их число?
  • «Открыли новые рынки»
  • «Снизили издержки». Утечка информации о клиентах, тарифах или ноу-хау приводит к издержкам. Расследование инцидентов ИБ тоже приводит к издержкам. Атаки «отказ в обслуживании» тоже. Борьба с этими издержками (а не с самими атаками или инцидентами) и есть еще одна задача кибербезопасности на предприятии в контексте бизнеса.
Про остальные две "П" модели "4П" можно прочитать в моей статье для "ИТ-Меенеджера", опубликованной на днях...

07.02.2019

Реестр сертифицированных средств защиты ФСТЭК 2.0

Близится конференция ФСТЭК, на которой помимо вопросов КИИ будут рассказывать о новой методике обеспечения доверия (взамен НДВ), практике оценке соответствия в соответствии с новым приказом ФСТЭК №55 по сертификации и т.п. И приснилось мне тут во сне, что один из докладов мог бы быть посвящен абсолютно новой версии реестра сертифицированных средств защиты ФСТЭК, который, как мне кажется, является самой популярной и самой востребованной страницей сайта регулятора. И вот выходит представитель воронежского ГНИИ ПТЗИ и начинает свой доклад (не по бумажке и с отличными слайдами).

Уважаемые коллеги! Все вы знаете, что одной из задач ФСТЭК является ведение реестра сертифицированных средств защиты информации, который является подспорьем для всех заказчиков, которые ищут для своей безопасности средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации. Мы давно и планомерно улучшаем реестр, расширяя его функциональность и повышая оперативность размещения в нем сведений о новых сертификатах. Если раньше данный реестр приходилось скачивать на комьпютер для полноценного поиска в нем, то сегодня это можно сделать сразу на сайте с помощью соответствующей строки поиска/фильтрации. Также, начиная с 2019-го года мы стали обновлять реестр не раз в квартал, как было раньше, а в течение суток после появления нового сертификата.


Однако мы не стоим на месте и хотим вам представить новую версию реестра, работа над которой сейчас завершается и в самое ближайшее время она будет представлена общественности. Сегодня же мне бы хотелось кратко рассказать о тех нововведениях, которые вас ждут и которые были реализованы опираясь на опыт работы с банком данных угроз и уязвимостей ФСТЭК. Те, кто активно пользуется БДУ знают, что в нем реализована эффективная система фильтрации, позволяющая быстро находить среди двух десятков тысяч уязвимостей те, которые вас интересуют. Мы решили перенять этот опыт и реализовали в новой версии реестра фильтрацию по всем полям реестра. Если раньше, например, можно было искать теперь можно легко найти все сертификаты, в которых упоминалось конкретное решение (например, Cisco ASA) наряду с его заявителем и испытательной лабораторией (надо было только в строке поиска указать через пробел три слова), то в новой версии мы сделали возможность более сложных множественных фильтров, учитывающих также диапазон дат действия сертификата и схему сертификации. Кроме того, у нас появилась возможность поиска всех сертификатов, которые начали свое действия позже указанной даты, а также сертификатов, которые завершают свое действие до указанной даты. Это позволит быстрее искать сертификаты, которые, например, скоро прекратят свое действие.

Для стимуляции заявителей более оперативно устранять выявленные в их продуктах уязвимости, мы решили добавить информацию об отозванных сертификатах и причинах этого. Кроме того, теперь доступа возможность поиска в уже недействующих сертификатах, для того, чтобы своевременно выявлять неточности в маркетинговых материалах отдельных компаний, использующих недобросовестную конкуренцию и рекламу.

Помимо расширения функции поиска и фильтрации, мы решили вставлять ссылки на требования, по которым сертифицировался тот или иной продукт. Это позволит сразу увидеть, какие требования проверялись в процессе оценке соответствия. При этом ссылка дается не на весь руководящий документ, а на конкретную таблицу с проверяемыми требованиями. Кроме того, мы добавили ссылки на сайт заявителей, на которых можно получить более подробную информацию о возможности приобретения сертифицированных средств защиты (это позволит поддержать наших разработчиков и стимулирует их развитие), а также о возможностях обновления сертифицированных решений.

Несмотря на то, что ФСТЭК исключила практику указания в сертификатах ссылок на классы защищенности информационных систем, в которых возможно применять сертифицированное средство защиты, в новой версии реестра появилась возможность такой подсказки. Наведя курсором на соответствующее упоминание класса защиты будет появляться подсказка, в каких классах защищенности ГИС, ИСПДн, АСУ ТП или КИИ могут применяться указанные решения. Разумеется, речь идет только о подсказке, которая, однако, очень востребована заказчиками, которые не всегда хорошо разбираются в мерах защиты, разработанных регулятором.

Наконец, мы решили сделать еще один большой шаг вперед и будем выкладывать теперь копии всех сертификатов, чтобы потребителям не пришлось искать их в Интернет или клянчить у заявителей, которые не всегда готовы делиться этими документами. Это вызывает раздражение у потребителя и поэтому мы решили помимо выходных данных сертификатов, в реестре также давать возможность скачивания и скан-копии самого сертификата. Для защиты от подделки таких сертификатов мы планируем ввести соответствующие цифровые "водяные" знаки. Кроме того, учитывая, что основными потребителями, использующими сертифицированные средства защиты, являются госорганы, мы думаем о том, чтобы снабжать копию каждого сертификата электронной подписью, что будет гарантировать ее подлинность. Пока вопрос еще не решен, но возможно, мы также будем выкладывать на сайт еще и ТУ (или выписки из них).

В заключение мне хотелось бы объявить о еще двух новшествах, связанных с реестром. Во-первых, мы добавим по аналогии с БДУ раздел инфографики, где можно будет увидеть статистику по сертификации различных типов средств защиты, наиболее активных заявителях и испытательных лабораториях, а также ряд других интересных графиков и диаграмм, отражающих процесс сертификации средств защиты информации. А во-вторых, мы запустим официальный Твиттер-канал для реестра сертифицированных средств защиты, в котором будут размещаться новости о новых, завершающих свое действие, продленных или отозванных сертификатов. Аналогичный Твиттер-канал действует для банка данных угроз и уязвимостей и он показал свою эффективность. За два года с момента его запуска мы опубликовали 170 обновлений, что говорит о том, что частота публикации в нем составляет около одного твита в четыре дня.

Уважаемые коллеги! На этом позвольте мне завершить свое краткое выступление про новую версию реестра сертифицированных средств защиты информации, которая в ближайшее время будет запущена и доступна для всех потребителей сертифицированной ФСТЭК продукции. Большое спасибо за внимание!

ЗЫ. Дабы у читателей не возникло мысли, что это все взаправду, я еще раз хочу отметить, что это моя фантазия, сон. Хотя такие мечты есть у многих коллег по цеху, судя по результатам опроса, который я проводил неделю назад в своем Твиттере и в Телеграме.



06.02.2019

Горячая дюжина ресурсов для бесплатного обучения по ИБ

Илья Борисов в своем Фейсбуке набросал перечень советов (не в формате чеклиста), как и где пополнять свой багаж знаний для специалиста по безопасности. А у меня как раз уже был загатовлен проект заметки, которую я сначала хотел удалить, а потом подумал, что все-таки выложу, чуть переписав. В конце-концов, у Ильи блога нет, а найти заметку в ФБ спустя месяц и вовсе невозможно. Так что можно рассматривать данную заметку, как мой вклад в бесплатное образование специалистов по ИБ (конечно, помимо моего блога :-).




Итак, мой перечень конкретных ссылок, которые позволяют поддерживать свои знания по ИБ на современном уровне:
  1. ENISA. На прошлой неделе народ активно репостил новость о том, что ENISA выложила в открытый доступ курс по сетевой форензике. На самом деле ENISA давно уже выкладывает просто отличные курсы по ИБ. В частности, среди технических курсов уже сейчас выложены - управление артефактами, управление инцидентами на мобильных устройствах, управление электронными доказательствами, обманные системы, управление индикаторами, управление уязвимостями и т.п. Длительность курсов - от 3 часов до 3 дней (24 часа). К курсам приложены виртуальные машины, руководства, тестовые задания и т.п. Отдельный блок курсов посвящен операционным вопросам - управление инцидентами в КИИ и APT, облаках и территориально масштабных системах, написание бюллетеней ИБ, социальные сети, как вектор атаки и т.п. Еще один блок посвящен созданию группы реагирования на инциденты CSIRT. Последняя группа курсов посвящена юридическим вопросам - взаимодействие с другими CERTами, правоохранительными органами и т.п.
  2. RSA Conference и Black Hat. Эта два огромных по объему ресурса с множеством презентаций, посвященных двум большим блокам - защите и нападению. На RSAC, понятно, тысячи презентаций и чуть меньше видео с одной из лучших мировых конференций по ИБ (на мой взгляд), ориентированных именно на обзор различных точек зрения на защиты. Black Hat в свою очередь ориентирована на обратную сторону нашей профессии и содержит много презентаций о том, как найти слабину в чем-то. Безусловно, есть еще много разных конференций (BSides, Gartner и т.п.), но они, к сожалению, редко выкладывают (а и то вовсе нет) свои материалы. Поэтому удаленно и бесплатно на них не поучишься. Из российских можно назвать тот PHDays, на котором материала поменьше, но зато есть видео всех докладов.
  3. SANS. В России SANS известен, но мало кто посещал курсы этой, одной из ведущих в США организаций по обучению и сертификации в области ИБ. Это связано с высокой ценой на обучение, которое составляет для недельного курса около шести тысяч долларов, не считая авибилетов и проживания в месте проведения (в США или Европе). Я учился на нескольких курсах SANS и могу сказать, что там дают очень качественный материал. Но у SANS есть и большой блок бесплатного контента, которым они делятся. Это архив материалов SANS Summit'ов по различным тематикам - Threat Intelligence, SOC, ICS, Awareness и др. Кроме этого, чуть ли не еженедельно SANS проводит различные вебкасты с участием различных компаний. Они тоже бесплатны. Наконец, у SANS есть проект по бесплатному обучению под названием Cyber Aces.
  4. Cybrary. Этот портал представляет собой кибер-библиотеку с множеством различных курсов, которые доступны в том числе и при наличии бесплатной учетной записи. В отличие от сайтов RSAC или Black Hat тут речь идет именно о разнообразнейших курсах обучения.
  5. NICSS. Это портал, который запущен американским US-CERT для выстраивания карьеры специалистов по ИБ и их обучения. Несколько сотен курсов, в том числе и онлайн. Чтобы найти среди них бесплатный придется постараться, но они там есть по разным направлениям - от анализа вредоносного кода до security operations. Но... может понадобиться VPN для доступа из России.
  6. ICS-CERT. Известный центр реагирования на инциденты в промышленных системах предлагает 11 бесплатных курсов по основному направлению своей деятельности. Все в онлайне.
  7. edX. На этой платформе онлайн-обучения 9 курсов - от базовых до фокусных (например, на управлении инцидентами или обнаружении угроз).
  8. MOOC. MOOC - это Massive Open Online Courses - программа, запущенная ведущими ВУЗами мира, по выкладыванию в онлайн курсов, которые раньше были не по карману многим специалистам. Есть такие курсы и по ИБ - от введения в управление рисками или стратегию ИБ до криптографии или аппаратной ИБ, от юзабилити в ИБ до цифровой демократии.
  9. OpenSecurityTraining. На этом ресурсе сейчас выложено 29 курсов общей длительностью 63 дня - все бесплатно и на разные темы - от ИБ мобильной связи или форензики до хантинга и безопасного программирования, анализа малвари до реверс-инжиниринга.
  10. Udemy. Еще одна платформа для онлайн-обучения, в том числе и по ИБ.
Хочу отметить, что из перечисленных ресурсов я пользовался почти всеми, но преимущественно вторым и третьим. Длительное обучение я прохожу на работе (у нас в Cisco для этого много возможностей), а вот для получения доступа к быстрым знаниям мне хватает RSAC, BlackHat и SANS. Тем же, у кого возможностей по обучению меньше, я бы рекомендовал прошерстить все ссылки в поисках интересного для себя курса (тоже можно посоветовать и применительно к YouTube). Если позволяют возможности или вы сможете обосновать перед своим руководством, то можно попробовать и заплатить за подписку (я бы в этом случае посоветовал Safaribooks - на ней тоже полно курсов и особенно книг по ИБ). В прошлый раз я уже упоминал Академию Кода ИБ - на этом ресурсе по ИБ много всего и на русском языке, но потребуется заплатить (есть и бесплатный доступ, но он сильно ограничен).

PS. Кстати, вопреки распространному мнению о том, что материалы и мероприятия Gartner все платные и обывателю недоступные, хочу отметить, что это не совсем так. Помимо лицензированных для публичного доступа документов, которые можно найти на сайтах многих производителей (например, документ Gartner про концепцию Zero Trust), на сайте самого Gartner регулярно проводятся вебинары, в том числе и по ИБ. Например, на днях прошел вебинар по системам мониторинга сетевой инфраструктуры с точки зрения безопасности. Так что "ищущий да обрящет"...

05.02.2019

Как подготовить презентацию для конференции по ИБ или топ-менеджмента (чеклист)

Продолжить идею с чеклистами я хотел бы еще одним чеклистом, который пусть и не относится впрямую к ИБ, все-таки важен в деятельности современного безопасника, который должен уметь готовить правильные презентации, как минимум, для своего руководства. В идеале, если следовать опубликованной вчера шкале значимости CISO, то презентации понадобятся и при выступлении на публичных мероприятиях.

Я разделил чеклист на 3 части. Первая описывает, что из себя вообще представляет презентация. Вопреки распространенному мнению, что это "просто слайды и все", это не так. Гораздо важнее знать, что мы отим рассказать и кому. Слайды, контент - это все вторично (хотя и важно). Вторая часть перечисляет в виде списка, что не надо делать при подготовке презентации или ее донесении для вашей аудитории. Ну а третья часть просто перечисляет способы улучшения навыков чтения презентаций, которые можно реализовать на практике.

Так как с февраля начинается активный "чёс" по ИБ-мероприятиям, то я думаю этот чеклист будет полезен как опытым спикерам, так и начинающим, которые приглашены выступать на мероприятия, многие из которых я перечислил в своем календаре. Если же вы планируете модерировать какие-то мероприятия, то рекомендую свой чеклист модератора, который я делал в 2014-м году (думаю оформить его в отчуждаемый формат для скачивания).



У грядущего московского "Кода ИБ. Профи" (при регистрации до конца января действует скидка 20%) ключевая тема как раз чеклисты - по итогам каждого мастер-класса планируется представить чеклист, чтобы участники конференции смогли получить концентрированную квинтесенцию мудрости спикеров :-)

ЗЫ. Файл с чеклистом можно скачать тут.

04.02.2019

Шкала значимости CISO

Давно ли вы проводили самооценку себя, своих знаний, своих способностей и своего места на работе? Чтобы не превратиться в застывший монолит, который скоро выкинут на свалку истории, необходимо регулярно заниматься этой непростой работой, чтобы не останавливаться на достигнутом и намечать шаги для дальнейшего своего развития. Я попробовал разработать шкалу значимости руководителя ИБ (но она применима и шире - для специалистов и даже для целых служб ИБ и даже компаний), в которой указаны ключевые вехи, позволяющие оценить нахождение себя на том или ином уровне.

Очевидно, что данная шкала нужна не для собственной оценки (это промежуточная цель), сколько для выстраивания плана своего развития (и своей службы).

ЗЫ. Шкалу можно скачать также и в формате PDF.


01.02.2019

Современные ИБшники перестали посещать курсы обучения или почему я больше не пишу книг

На днях в зарубежном Твиттере один из пользователей поднял вопрос о том, какие каналы чаще всего используются при обучении современные специалисты по ИБ. Варианты были даны следующие - книги, блоги, презентации/доклады или что-то иное (Twitter не позволяет в опросе использовать более 4-х пунктов). Интересно, что курсы обучения в список вариантов даже не попали, что само по себе интересно (либо они попали в Talk, либо в Something else). В любом случае на них приходится не так много голосов - основной способо обучения сегодня представляют блоги. Причины тут, на мой взгляд, просты. Подчерпнуть новые знания из блога можно очень быстро и не вставая с дивана (ну или с борта самолете или из зала ожидания в аэропорту). Приятно, что второе место отдано книгам, но оно все-таки второе, а не первое :-(


Я решил "украсть" идею и спросил тоже самое у своих подписчиков в Твиттере и в Телеграме (в Фейсбуке число вариантов ограничено всего двумя, поэтому я не стал там спрашивать). В Телеграме "Олимп" также заняли блоги. На втором месте прочно обосновались курсы, а третье отдано книгам (хоть в тройку вошли). 


В Твиттере (я надеюсь с Телеграмом аудитория голосовавших не пересекалась) блоги вырвались гораздо дальше, чем в Телеге или у "иностранцев". Второе и третье места также были поделены между курсами и книгами соответственно.


Глубокие выводы делать на основе этой статистики, наверное, не имеет смысла, но парочка напрашивается само собой. Во-первых, абсолютное большинство безопасников по-прежнему предпочитает читать, но уже не длинные тексты, а что-нибудь покороче. Не зря после поколения NEXT появилось поколение SMS, которое любит короткие тексты.

Отсюда следует второй вывод - писать сегодня книги по ИБ не имеет большого смысла. Разумеется при условии, что книга пишется как источник знаний. Порадовать маму или потешить свое самолюбие - вполне себе мотивы для написания книги, но не более. Если вы пишете книгу ради денег, то разочарую, на этом много денег не сделаешь. Свою первую книгу "Обнаружение атак" я писал в 2000-м году и потратил на нее около года, а гонорар составил меньше моей месячной зарплаты. Второе издание далось мне быстрее, но на полученные деньги ни год, ни даже месяц прожить было нельзя. Английское издание, а также соавторство в "Атаке из Интернет", не принесло мне ни копейки (это вообще две отдельные истории и хороший урок).

В России с книгами ситуация обстоит еще хуже, чем на Западе. Там просто огромный выбор книг на разные темы и от разных авторов. У нас же нормальных книг по ИБ не было оооочень давно (это я так мягко говорю) - авторов гораздо меньше, а интересно пишущих тем более. Поэтому фокус меняется на блоги - способ быстрого поглощения информации. Отсюда можно сделать третий вывод - формат блога очень востребован и жаль, что у нас не так много пишущих безопасников; знания не накапливаются и не передаются.

Интересно, что презентации у нас тоже не очень хорошо заходят как источник информации. Причина тут тоже лежит на поверхности - все устали от рекламы, которая превалирует на многих конференциях. Что-то интересное приходится выискивать по крупицам. Частично эту задачу выполняет Сергей Борисов, который на своем портале выкладывает избранные видео-презентации. Ну и большой потенциал у портала "Код ИБ. Академия", где выложено несколько сотен презентаций и видео со всех мероприятий Код ИБ (в том числе и "Профи"), но доступ к ним платный. Есть еще YouTube, но выискивать в нем что-то ценное непросто.

31.01.2019

Алаверды Дмитрию Кузнецову про сертификацию "комбайнов" и UTM-решений

Блогосфера оживилась... Блогеры комментируют и критикуют блогеров, жизнь кипит, аудитория радуется и жуют попкорн, регуляторы тоже при делах, получая обратную связь по касающихся их темам. Позволю себе небольшое алаверды Дмитрию Кузнецову, который прокомментировал мою недавнюю заметку про иллюзии сертификации ФСТЭК. Уважаю Дмитрия за его методологический подход, но позволю все-таки встрять в его рассуждения, которые, невольно, но подтверждают мою первоначальную заметку.

Дима в своей заметке упомянул, что есть два подхода при сертификации комбайна - использовать уже сертифицированные компоненты (и тогда их не надо сертифицировать в составе комбайна) или сертифицировать как интеграционную платформу. Второй метод я оставлю в сторону - на мой взгляд, так это чистой воды обход требований регулятора (пусть и законный). Но оставлю это в стороне, такой фокус скорее доступен для отечественных производителей, чем для иностранных. А вот первый вариант очень интересен и важен, хотя и упомянут вскользь.

Я начну с того факта, что сертифицируется обычно законченное решение, а встраивается отдельный модуль (например, антивирусный движок). Например, есть у меня Kaspersky Endpoint Security for Windows, который сертифицирован как антивирус (и не только). Он обладает набором функций, начиная от обнаружения вредоносного кода и обновления и заканчивая системой управления, контролем состояния и т.п. Так вот когда я хочу встроить антивирус в свой продукт, я беру не весь антивирус "из коробки" с определенными контрольными суммами, а только его часть, которая позволит моему продукту обнаруживать вирусы. И, например, систему управления я выброшу, так как антивирусный движок будет интегрирован с моей системой управления. И вот уже получается, что антивирусный движок не выполняет часть требований по безопасности и у него также не совпадают контрольные суммы с тем решением, на которое и выдан сертификат ФСТЭК. Поэтому считать встраиваемый антивирусный движок сертифицированным я никак не могу.

Кстати, если вспомнить, ровно с той же проблемой столкнулась в свое время ФСБ, которая регулярно сталкивалась с некорректным использованием криптобиблиотек и в конце концов запретила сертификацию библиотек, настаивая на сертификации законченного изделия целиком. Кроме того, встраивание криптобиблиотеки в чужие решение требовало и требует отдельного ТЗ, согласованного с ФСБ, которая проверит правильность (или как часто любят говорить корректность) встраивания и только после этого выдаст сертификат. Я не очень положительно оцениваю эту схему, хотя и понимаю ее правильность с точки зрения здравого смысла. Но то, как это реализовано (долго и непрозрачно) и вызывает мою критику. Если мы встраиваем антивирусный или ids'ный движок, то встраивание тоже должно проверяться. А то вдруг встроят, а трафик на модули заворачивать не будут?..

Ну да ладно, ФСТЭК не требует проверки корректности встраивания и это положительный факт для разработчиков. Я хочу посмотреть на эту проблему с другой стороны. Допустим на антивирусный движок от сертифицированного продукта также распространяется первоначальный сертификат (хотя это и странно). Но... у сертификата есть вполне конкретный срок действия. И действие сертификата на комбайн будет вычисляться исходя из минимально оставшегося срока действия любого из сертификатов, выданных на модули, входящие в комбайн. Попробую визуализировать эту ситуацию на примере всего одного компонента современных отечественных "комбайнов" - антивируса.

Представим, что вы разработали системы класса Endpoint Protection (EPP), которая включает в свой состав антивирусный модуль. Вы не имеет экспертизы в разработке антивируса, поэтому заключаете соглашение с Лабораторией Касперского, которая вам предоставляет свою прекрасную продукцию. Так как вы разработали средство защиты сразу для двух платформ - Windows и Linux (тему с форками Linux я оставлю в стороне), то вы взяли от ЛК их два продукта - KES for Windows и KES for Linux. Обратите внимание, эти два продукта получали свои сертификаты ФСТЭК в разное время и продлевали их в разное время. Поэтому и сроки окончания их действия тоже разнятся. Если вы разработали свое средство защиты в 2015-м году и 29 февраля 2016 года (срок взят с потолка) получили сертификат, то срок его действия должен закончиться через 3 года (обычно). В такой ситуации никакой проблемы нет - оба сертификата на KES перекрывают срок действия сертификата на ваше средство защиты. А теперь представим, что вы решили (а почему бы и нет) продлить срок действия сертификата своего решения еще на 3 года. ФСТЭК пошла вам на встречу и... вы надеетесь, что получите сертификат, продленный до 29 февраля 2022 года. Но... Согласно правилам ФСТЭК сертификат вам будет выдан исходя из срока сертификата, который заканчивается раньше всех. В данном случае это будет 25.11.2019 (по сроку KES10 for Windows).


Если же вы подождали бы до конца января, то вы могли бы встроить в свой EPP новую версию KES11 for Windows, которая была сертифицирована 22 января 2019 года. Правда, тут речь идет уже о новом продукте... Я не знаю, как будет трактовать ФСТЭК эту ситуацию. Если они отнесутся к встраиванию нового продукта лояльно (а почему бы и нет - производители-то свои, патриотически настроенные), то... срок действия продленного сертификата на ваше средство защиты будет заканчиваться... нет, 22 января 2024 года, и не 29 февраля 2022 года, а 18 ноября 2020 года. Именно тогда заканчивается срок действия сертификата на KES10 for Linux.

Вот такая картинка получается вроде бы из банальной идеи об использовании сертифицированных продуктов внутри "комбайна", Не такая уже она и банальная и простая. И ставит много новых вопросов по поводу сертификации по требованиям ФСТЭК в новых условиях. Надеюсь, что и на этот вопрос регулятор ответит на своей конференции 13-го февраля. Кстати, эту ссылку на конференцию ФСТЭК дважды удалили из группы обсуждения КИИ и ФЗ-187 в Телеграмме за якобы нарушение правил.

30.01.2019

12 причин, почему бизнес "не видит" ИБ, или кибербезопасность Шредингера

А продолжу-ка я тему с чеклистами и визуализацией :-) Тем более, что вчерашняя тема зашла очень хорошо - Андрей Прозоров даже флешмоб замутил и несколько человек в Фейсбуке на него уже откликнулись, опубликовав свои чеклисты CISO. Сегодня будет список из 12 причин, описывающих почему бизнес "не видит" ИБ и не ценит ее. Хотя после прочтения отчета anti-malware, в котором написано, что 63% компаний имеют бюджет менее полумиллиона рублей, становится понятно, почему. Это же в пределах погрешности для многих предприятий. За что любить ИБ, которая и не делает ничего (ибо не на что), и не тратит ничего, и не приносит ничего. Кибербезопасность Шредингера, которая вроде бы и есть, а вроде бы и нет :-(
Ну а чтобы заметка не выглядела совсем уж куце, прокомментирую эти причины.
  1. Вы считаете, что лучше знаете, что нужно бизнесу. Я поставил этот пункт первым, как и во вчерашнем первым стоял пункт, что вы знаете, что нужно бизнесу. Но вчера это звучало как выполненная после общения с бизнесом задача, а сегодня - как частая ошибка многих безопасников, считающих, что именно они могут диктовать своему работодателю, что ему нужно с точки зрения кибербезопасности.
  2. Вы прекрасно защищаете свою организацию, но совершенно не умеете “продать” это наверх. Говорите со своей аудиторией на ее языке! Я про это писал и говорил уже много раз - повторяться не буду (хотя одну ссылку приведу). Но планирую в блоге писать больше про это и публиковать больше примеров того, как можно доносить до бизнеса свою задачи и свои достижения.
  3. Вы не получили вовремя грамотную помощь или ее не было вовсе. Очень мало кто способен самостоятельно разобраться в том, чем живет бизнес, что ему нужно и как работают бизнес-процессы. В ВУЗах этому не учат, MBA безопасники пока массово не посещают (дорого). Отсюда и результат.
  4. Вы не делегируете. Один в поле не воин. В крупной организации, да и в небольшой тоже, нельзя все делать самому. Нужно уметь делегировать часть задач подчиненным, беря на себя контроль их исполнения. Наймите правильных сотрудников или отдайте задачи на выполнение подрядчикам. Все делать самому - значит не успеть все. Так делает бизнес, этого он ждет и от безопасника. 
  5. У вас нет бизнес-плана/цели/миссии, включая план действий на случай провала. Ну тут вроде все понятно и так :-)
  6. Вы ничем не отличаетесь от внутренних конкурентов, которые тоже хотят внимания руководства и бизнеса. Конкуренция сопровождает почти любой бизнес (только РЖД у нас монополист в России :-), как снаружи, так и внутри организации. На что потратить деньги? На кофе, туалетную бумагу, картриджи для принтера или безопасность? Надо уметь бороться с внутренними конкурентами; иначе проиграешь!
  7. Вы не относитесь к своей работе всерьез. Без комментариев.
  8. Вы тратите неоправданно мало на безопасность, стараясь сделать все подешевле и попроще. Бизнес умеет считать деньги, но это не значит, что он готов покупать дешевку. Он хочет получить то, что нужно, и с предсказуемым результатом. Нужен миллион? Хорошо. Но обоснуйте. Нужно десять? Обоснуйте. Можете сделать все бесплатно? Обоснуйте (бесплатный сыр только в мышеловке и чтобы бесплатное решение заработало возможно нужен соответствующий недешевый персонал).
  9. Вы тратите неоправданно много на безопасность. А это обратная сторона медали. Вы приносите бизнесу счет на проект по ПДн стоимостью в полмиллиона рублей. Ну ОК? А что теряет бизнес от невыполнения законодательства? 10 тысяч рублей? Дебет с кредитом не сходится - никакого смысла в такой инвестиции нет. Затраты в 50 раз превышают возможные предотвращаемые потери? Ну-ну...
  10. В вашей стратегии ИБ нет фокуса - вы пытаетесь защитить все. Защитить все нельзя - нужна концентрация на ключевых задачах и проектах. Нет ее, значит вы не умеете выделять главное, что и сказывается на отношении бизнеса.
  11. Вы не умеете сотрудничать. Научитесь общаться с бизнес-подразделениями, чтобы получать от них данные для своей работы, чтобы заручиться их поддержкой при защите проектов, чтобы понять их нужды, чтобы помогать им, а не мешать. 
  12. Вы склонны недооценивать, сколько времени и денег потратите, пока ваша служба встанет на ноги. Неумение считать деньги и время - это плохой знак для вас и для бизнеса. Как вам можно поручать задания и выделять бюджеты, если вы не умеете ими распоряжаться?
Если приглядеться внимательно, то эти 12 причин совпадают с вчерашним чеклистом, который направлен на их устранение. Здравый смысл подсказывает, что начать надо было с проблем, чтобы потом наметить пути их решения, но я решил немного нарушить логику и сделал наоборот. И получилось хорошо - мне, по крайней мере, понравилось как повернулась тема, - дискуссия, флешмоб, новые идеи и мысли...

ЗЫ. Тут можно скачать файл в PDF.

29.01.2019

План CISO на 2019 год (чеклист)

Продолжу тему чеклистов, которую я начал последней заметкой ушедшего года - ровно месяц назад. Тогда я предложил персональный план для безопасника на 2019-й. Сегодня решил вновь вернуться к этой теме, но уже в контексте деятельности руководителя ИБ. Попробовал составить план ключевых задач CISO в 2019-м году. Сделал немного в немного упрощенной форме, чтобы можно было распечатать на одной странице А4 и иметь перед глазами.


Формат чеклиста тоже выбран неслучайно. Во-первых, он позволяет систематизировать набор задач и оперативно отмечать их исполнение. В области кибербезопасности мы сегодня имеем доступ к беспрецедентному объему информации, что дает… множество проблем. Перегрузка, рассеяность, потеря фокуса, невозможность превратить теорию в практику, излишняя самоуверенность. Вот только небольшой список сложностей, с которыми приходится сталкиваться сегодня специалистам по безопасности. Как выстроить свою работу так, чтобы не утонуть в океане данных? Существует множество современных методик привести свои дела в порядок и не забывать важных вещей. На их фоне обычные чеклисты выглядят устаревшими и слишком простыми. Но в этом и кроется их уникальность и скрытая мощь.

Чеклист структурирует мысли и упорядочивает действия; особенно в ИБ, где часто требуется оперативность и точность, а не метание в поиске правильного ответа. Чеклист - мощный инструмент, который:
  • позволяет не забыть базовые вещи, особенно в сферах, с которыми еще не приходилось сталкиваться
  • дает возможность работать над сложными проектами, не заморачиваясь на мелочи
  • дисциплинирует в рутинных задачах, соверщаемых изо дня в день, что приводит к потере внимания и появлению ошибок
  • экономит время, так как не надо заново придумывать, что делать, особенно в непредвиденных ситуациях и тех ситуациях, которые встречаются нечасто и мы забываем, что делать
А во-вторых, грядет московский "Код ИБ. Профи" (28-31 марта), где я вновь являюсь куратором деловой программы. В этот раз хотелось бы сделать мероприятие еще более практичным, чтобы участники по окончании ушли не только со знаниями и впечатлениями, но и с набором чеклистов по темам выступлений, которые можно будет сразу применять на практике.

Если обратить внимание на чеклист, то там самый главный пункт - первый. Но так как он и самый короткий и в формате чеклиста его сложно раскрыть детально, то я детализирую его в виде нескольких заметок дальше (помимо тех, что уже описывают эту тему в блоге). А пока скачивайте файл в формате PDF и изучайте. Кстати, если у вас вдруг возникнет вопрос, почему я использовал иной шаблон, чем в прошлый раз, то ответ просто - я ищу и экспериментирую :-)

28.01.2019

В плену иллюзий относительно сертификации по требованиям ФСТЭК

Продолжу тему, начатую в пятницу. На Уральском форуме вместе с Андреем Страшновым из Банка России буду модерировать секцию про импортозамещение с участием и российских разработчиков, и зарубежных, и представителей государства. Готовясь к секции, собираю воедино все, что недавно произошло с точки зрения сертификации средств защиты по требованиям ФСТЭК, так как изначально планировалось участие регулятора в этой секции. Но увы... Представитель ФСТЭК покинет Уральский форум чуть раньше и нам не удастся заслушать начальника транспортного цеха его позицию. Но зато меньше чем через месяц, 13-го февраля, пройдет уже ставшая ежегодной конференция ФСТЭК "Актуальные вопросы защиты информации", на которой можно было бы поднять эти вопросы. Я пока не знаю, буду ли участвовать в этом мероприятии, поэтому позволю себе порассуждать о происходящем на страницах блога.

Многие заказчики, партнеры, да и производители тоже, живут в плену иллюзий касательно темы сертификации по требованиям безопасности (не исключаю, что и я тоже). Они по-прежнему ориентируются на позицию регулятора 3-4-хлетней давности и ничтоже сумняшеся разносят эту позицию по рынку, как сеятель в известном романе "12 стульев" Ильфа и Петрова. Хотелось бы прокомментировать некоторые из этих высказываний, опираясь на то, что часто звучит на мероприятиях ФСТЭК из уст ее руководителей, а также развивая темы, поднятые мной ранее на страницах блога (тут, тут и тут).


Обновление в реальном времени из-за зарубежа

В условиях непростой геополитики многие органы власти считают, что иностранные ИТ/ИБ-компании представляют собой угрозу национальной безопасности России. Опираясь на этот тезис регуляторы (что ФСТЭК в документах по КИИ, что в ФСБ в проектах документов по ГосСОПКЕ) устанавливают особые требования к системе обновления как программного обеспечения, так и к базе решающих правил. Так вот ФСТЭК в последнее время не сертифицирует решения, если они обновляются в реальном времени из-за рубежа. Если иностранная IDS, NGFW, антивирус или сканер безопасности имеют возможность скачивать обновления, а потом, по команде распространять их на сенсоры/агенты/шлюзы, то это вполне нормальная схема. Но если решение обновляет базу хешей вредоносного кода, получает фиды Threat Intelligence, сигнатуры атак или приложений, и делает это в реальном времени с зарубежных сайтов, то это рассматривается как угроза и такая возможность должна быть отключена. Для отечественных игроков никакой сложности в этом нет - они вообще не обновляются через облака (разве, что KSN от Касперского). А вот "иностранцы" для оперативного обновления своих решений знаниями об угрозах это делают. Эту функцию можно отключить, заменив обновление на ручное (по старинце, на флешке), но тогда эффективность защиты будет существенно снижаться.

Вывод 1. Либо снижение защищенности за счет отключения обновления в реальном времени, либо отказ от сертификации, либо использование отечественного решения, которое лишено всех этих проблем.

Встраивание антивируса в свои продукты

Не секрет, что многие отечественные производители встраивают в свои решения чужие модули. Обычно речь идет об антивирусе, а точнее об антивирусном движке, который в сетевом решении представляет собой возможность поиска вредоносных файлов в сетевом трафике, а в хостовом решении - ищет следы малвари на диске или в памяти. Например, "Код безопасности" объявил год назад о сотрудничестве с Лабораторией Касперского, а MultiScanner от Positive Technologies включает в свой состав сразу несколько антивирусных движков. Вообще это одна из стратегий развития продуктов по ИБ (купить кого-то, разработать свое или интегрироваться с кем-то), которая позволяет быстро удовлетворить задачи своих заказчиков. Так вот согласно требованиям ФСТЭК, чтобы сертифицировать такое решение на класс 5 и выше, заявитель обязан представить исходные тексты каждого из модулей. Без этого сертификация конечного решения невозможна.

Вывод 2. Либо отказаться от интеграционных решений, состоящих из модулей разных производителей, либо пытаться получить исходные тексты от всех них.



Практическая невозможность сертификации UTM и NGFW

Схожая ситуация с UTM-решениями и NGFW. Чтобы сертифицировать целиком продукт данного класса, вы должны отдать на проверку все модули (МСЭ, СОВ, АВЗ, URL-фильтрацию, VPN и т.п.). И проверяться такой продукт будет на соответствие отдельным РД (на МСЭ, на СОВ, на антивирусы и др.). Если на какой-то функционал нет РД, вы должны в задание по безопасности включить соответствующий функционал. Иными словами вы не можете иметь в рамках сертифицируемого продукта несертифицированные компоненты. Или все, или... А что или? Регулятор считает, что компонент, который не будет сертифицироваться должен быть исключен из продукта. На логичный вопрос, а может просто не активировать его лицензией (например, в NGFW купить только функционал контроля приложений, без обнаружения вторжений и антивируса) регулятор дает закономерный ответ - низззяяя, а вдруг в непроверенном коде есть вредоносная составляющая?

Вывод 3. Либо отказаться от NGFW/UTM и использовать набор отдельных продуктов, легко сертифицируемых по отдельным РД, либо расширять область сертификации, увеличивая время на сертификацию (и инспекцию) и стоимость решения.

Шифрование канала управления

Прошли те времена, когда системы защиты были автономными. Сегодня любая система защиты корпоративного класса состоит как минимум из двух компонентов - самой системы защиты (агента, сенсора, шлюза и т.п.) и системы управления, которая осуществляется удаленно. Так вот согласно последним веяниям и официальным разъяснениям регулятора защита канала удаленного управления, например, межсетевого экрана, должна осуществляться с помощью СКЗИ, имеющих сертификат ФСБ. По мнению ФСТЭК применение иных способов и средств защиты информации (OOB-канал, отдельный VLAN и т.п.) невозможно.

Вывод 4. Встраивать в продукт сертифицированные СКЗИ (нереально ввиду необходимости одновременной сертификации у двух регуляторов с разными требованиями и разными жизненными циклами оценки соответствия) или использовать наложенные решения, существенно удорожающие стоимость всей системы защиты.

Неопределенность с решениями без гарантийного обслуживания

Дальше будет две неопределенности, связанные с новыми требованиями ФСТЭК из приказов по КИИ, которые требуют использовать только те средства защиты, которые имеют действующую техническую и гарантийную поддержку. И вот тут возникает два вопроса. Что делать с open source решениями, которые не имеют никакой официальной поддержки со стороны... кого? Ни производителя, ни службы поддержки, ни договоров (кроме оферты без ответственности). Если верить обзору с anti-malware.ru, то у 63% компаний бюджет на ИБ составляет менее 500 тысяч рублей в год, что ставит перед организацией вопрос о необходимости применения решений с нулевой стоимостью. Open Source подходит для этого лучше всего. Но нельзя :-( Наверное.

Аналогичная неопределенность с ПО, которое снято с поддержки. Например, на многих объектах КИИ в промышленности, энергетике и др. до сих пор используется Windows 2000, снятая с поддержки в 2010-м году. Так можно ее теперь использовать или нет? И если нет, то что делать?


Буду рад ошибиться в своих умозаключениях, но они базируются либо на официальных документах или письмах регулятора, либо на беседах с ним. Если я не прав, то готов буду внести соответствующие поправки в текст, если они будут подкреплены документальными доказательствами.

А пока следуйте советам, которые я давал летом применительно к сертификации по требованиям ИБ. Без жесткой необходимости не стоит влезать в эту бесконечную историю. Стоит помнить, что если вы хотите отстроиться в каком-то тендере от других игроков, установив соответствующее требование по сертификации, то потом вам будет сложно слезть с этой иглы и вам потребуются сертификаты и на другие средства защиты, что может быть уже и невозможно. Так что десять раз подумайте, прежде чем требовать сертификат на средство защиты. Тем более, что во многих случаях это не является законодательно необходимым.

25.01.2019

Анализ реестра сертифицированных ФСТЭК в 2018-м году средств защиты информации

Вчера на портале anti-malware.ru вышла первая часть обзора российского рынка ИБ, которая вызывает лично у меня вопросы (у 63% компаний в России бюджет на ИБ меньше 500 тысяч рублей????), но которая при этом ставит перед собой цель проанализировать общее (и оно, судя по отчету, удручащее) состояние ИБ в нашей стране. Я же параллельно провел уже ставшее традиционным исследование реестра сертифицированных ФСТЭК в 2018-м году средств защиты информации.

Если сравнивать результаты с 2017-м годом, то может сложится впечатление, что ситуация хуже не стала, а местами даже лучше. Общее число выданных за год сертификатов выросло на 18%, а число сертификатов на иностранные решения выросло на 2%. Но на самом деле ситуация немного иная. Например, 77% всех сертификатов у "иностранцев" выдано на решения Cisco. Да, мне, как работнику Cisco, приятно видеть доминирование своей компании, но в целом картина получается той, которую я предсказывал в прошлом году - "иностранцы" уходят с рынка сертифицированных решений, не имея возможности соответствовать все более жестким требованиям регулятора. В списке сертификатов за 2018-й год я не увидел ни одного сертификата от Check Point или Fortinet, а они были достаточно агрессивны в части выполнения требований своих продуктов требованиям ФСТЭК в прошлые годы. Да, на продукты этих компаний действующие сертификаты еще есть, но не на текущие версии ПО (некоторое ПО уже не продается и не поддерживается).


Зато возросло число сертификатов по схеме "серия". ФСТЭК давно говорила, что она будет стараться уходить от сертификации единичных экзмепляров и партий, допуская это в особых случаях. Если посмотреть на реестр, то мы увидим, что такие сертификаты выданы преимущественно заказчикам под их нужды или под решения, которые массовыми никогда не будут (например, под ПО портала госуслуг или ПО ведения какого-либо реестра, которые существуют в единственном экземпляре). Таких средств защиты узкого применения в реестре более половины. Кстати, обратил внимание, что под Единую биометрическую систему, никаких сертификатов соответствия требованиям безопасности нет.


С момента введения санкций против России и начала курса на импортозамещение прошло уже почти 5 лет. Достаточно большой срок, чтобы российские производители выпустили аналоги иностранным решениям по ИБ. Интерес со стороны заказчиков есть. Поддержа государства (не деньгами, так нормативкой) тоже есть. Конкуренция снижается. А рынок так ничем и не может заполнить возникший вакуум :-( Лидером по числу выданных сертификатов является направление межсетевых экранов, коих получено 22% от общего числа бумажек с голограммой. В то время как весь мир уже давно бороздит мировой океан движется в сторону прикладной ИБ, занимается решениями по ИБ на блокчейне и искусственном интеллекте, борется с целевыми угрозами, мы по-прежнему основную ставку в защите делаем на межсетевые экраны :-( Правда, стоит снова отметить, что 78% сертификатов на МСЭ выдано на продукцию Cisco. А вот сегмент, который рванул с прошлого года - это системы обнаружения вторжений - их стало больше в три раза. Причем 78% всех сертификатов - это российская продукция. Это, на мой взгляд, тоже объяснимо. Бери иностранные Snort, Surricata или Bro и строй на них "свою" IDS. Затрат минимум - один профит. Можно даже сигнатуры свои не писать, а брать чужие.


Еще ряд интересных наблюдений - из сертифицированных ОС (а их 4), три были иностранного происхождения. Некоторые решения по старинце сертифицировались как СВТ, хотя являлись по сути либо средствами защиты базами данных, либо операционными системами. Кстати, средств защиты СУБД, сертифицированных по ТУ или НДВ, было больше одного (4, если быть точнее). Новый WAF в реестре появился только один, средств защиты виртуализации - три, средство анализа кода - одно, недоSIEM (от СерчИнформа и Ankey) - два, средств анализа защищенности - тоже два.

Кстати, мне можно возразить, что отсутствие новых сертификатов в 2018-м году может означать, что решение было сертифицировано в 2017-м и поэтому, при сроке действия сертификата в течение 3-х лет, оно не требует обновления бумаги от регулятора. Отчасти это так, но... А как же новые версии ПО? Или их за год так и не появилось?

Новых выводов не будет - сделанные год назад подтверждаются. Иностранные решения из сегмента сертифицированных выживают, российских решений больше не становится; закрыть все потребности заказчиков и все пункты из 17/21/31/239 приказов они не могут. Что делать заказчикам, не совсем понятно. Остается вспомнить только птицу Говоруна из мультфильма "Тайна третьей планеты": "Держаться нету больше сил..." :-)

Самое парадоксальное во всей этой ситуации, что ФСТЭК, регулятор, который призван обеспечивать защиту информации в государства, своими требованиями ее только снижает :-( Защищаться-то нечем - на рынок и новые решения ФСТЭК влиять не может, только на установление требований... реализовывать которые становится все сложнее и сложнее. Понять регулятора тоже можно (враги сжимают кольцо), но от этого не легче.

22.01.2019

Почему хостовые средства защиты не так хороши, как их описывает Сергей Солдатов :-)

Возвращаюсь к давно забытому формату, когда блогер не согласен с блогером и начинает с ним заочно спорить (правило двух блогеров от Сергея Борисова). Вот и я сегодня хочу поспорить с Сергеем Солдатовым, который позавчера написал заметку, в которой зачем-то противопоставил сетевые и хостовые средства защиты и стал доказывать, что хостовые лучше/эффективнее сетевых. В качестве одного из доводов Сергей ссылался на матрицу MITRE ATT&CK, которая описывает поведенческие индикаторы и в которой хостовых индикаторов в пять раз больше, чем сетевых. Не ставя под сомнение арифметику Сергея и с уважением относясь к MITRE ATT&CK хочу только отметить, что матрица техник, тактик и процедур для Windows, то есть для хоста, по определению будет содержать больше хостовых индикаторов, чем любых иных :-)

Тут мне надо было начать доказывать, что хостовые средства защиты - это полный отстой и лучше сетевых быть ничего не может (достаточно вспомнить про наличие узлов, для которых хостовых решений не бывает в принципе, или про тормоза, которые часто сопровождают хостовые средства защиты), но я не буду этого делать (зачем, если это и так понятно :-). На самом деле я не буду уподобляться производителям только сетевых средств ИБ, которые используют такую риторику. Я бы хотел посмотреть на задачу немного с другой стороны.

Я как раз сторонник интеграции двух типов решений - сетевых и хостовых, которые только в альянсе способны повысить эффективность системы защиты информации на предприятии. Возьмем к примеру задачу отслеживания точки отсчета для атаки, которая была зафиксирована на рабочей станции Windows. Как это сделать без интеграции двух типов решений и реализации механизма ретроспективной безопасности? Ответ прост - никак. При этом важно, чтобы хостовые данные коррелировались с сетевыми автоматически, а не требовали ручной работы, которую не все могут сделать и не все любят. И, по статистике Forrester, и не делают.


Или еще один кейс. Вы зафиксировали на МСЭ прохождение файла, с неизвестным изначально вердиктом. Потом файл прошел попал на оконечное устройство и именно там, по поведению, выяснилось, что файл вредоносный. В "чисто" хостовой истории агенты системы защиты могут  (в идеальной ситуации) обмениваться соответствующими индикаторами/сигнатурами и оперативно блокировать угрозу, если она вдруг попадет в сеть вторично. Но только на тех хостах, которые обеспечены защитным агентом. А если по каким-то причинам такого агента нет или он не работает? Идеальным было бы сообщить о соответствующем индикаторе/сигнатуре МСЭ и все промежуточные сетевые средства, которые в следующий раз смогут блокировать угрозу, не давая ей даже приблизиться к хостам. В идеале индикаторы могут быть переданы также и на средства защиты электронной почты - тогда мы сможем блокировать угрозу еще и на этом рубеже.

Третий пример. Вы внедрили у себя средство мониторинга DNS-трафика, которое позволяет вам не только обнаруживать существующие, но и предсказывать будущие DGA-домены, с которых могут быть осуществлены атаки против вашей инфраструктуры. Данное средство не только идентифицирует опасные домены и командные сервера, но и связанные с ними вредоносные семплы. Вам нужно проверить, не встречались ли в вашей инфраструктуре данные семплы? И сделать это можно только путем интеграции сетевой и хостовой безопасности (защитный агент должен в этом случае обладать функцией threat hunting). Одно хостовое решение будет долго ждать, когда до них будет доведена эта информация в ручном режиме.

Если идти еще дальше, то интеграция должна касаться всех средств кибербезопасности. Например, ваша IPS зафиксировала соединение с командным сервером. Полученный IP-адрес был "прокачан" через облачную TI-платформу, которая вернула (конечно же в автоматическом режиме) вам список семплов, ассоциированных с этим командным сервером, которые были загружены на хостовую систему защиты, которая смогла проинспектировать защищаемые рабочие станции и сервера и найти вредоносный код на ПК. Данный же вредонос был обнаружен в почтовых ящиках пользователей, присланных с e-mail контрагента, который, как позже выяснилось, был заражен и послужил причиной целенаправленной атаки на вас. И все это должно осуществляться автоматически, за счет интеграции различных типов средств защиты, а не в ручном режиме, как сейчас.


ЗЫ. Отчет Forrester с приведенной выше статистикой о важности автоматизации и интеграции средств защиты можно скачать тут.