Бизнес безопасности или безопасность бизнеса? О том и о другом в одном непросветительском блоге от еще неиностранного агента... Имеющий мозг да применит его (6+)
про линукс vs windows - при всем желании согласиться, особенно в свете последнего абзаца, не могу: a) в windows-сетях имеет место быть неотключаемая никакими способами legacy ntlm аутентикация, которая считай одна большая дырка. набившие руку виндовые пентестеры имеют на этом success rate близкий к ста процентам b) встроенные в современные дистрибутивы linux механизмы безопасности (selinux) уже почти что всегда работают "из коробки" c) окно уязвимости под linux практически гарантированно меньше d) linux не страдает от дурных привычек пользовтелей ставить что попало и дурных дефолтных настроек запускать с флешек что попало e) меньшая популярность системы ей на руку - проблема malware и массовых компрометаций практически не стоит - чего не обеспечивает даже макос, а для типового пользовтеля это на порядок актуальнее угрозы профессиональной таргетированной атаки
Итого, в теории разницы между теорией и практикой никакой, а на практике windows требует ощутимо больших вложений в безопасность. Мы же не о сферических конях в вакууме?
a) согласен, но ты не забывай, что мы не говорим о ГОЛОЙ винде. Мы говорим о винде, которая стоит в конкретной организации определенным образом настроенная и под защитой некоторых средств защиты. b) как и в последней винде c) вот это спорно. тогда уж давай с цифрами обсуждать. d) дурные привычки на то и дурные привычки, что присущи пользователю, а не системе. Я когда работал в Linux'е ставил на комп всякую фигню, которую скачивал в Интернет только потому, что мне казалось, что она мне поможет решить насущные на тот момент задачи. А сейчас у меня и на винде времени этим заниматься нет ;-) e) с популярностью не поспоришь ;-(
Вот и получается, что в ТЕОРИИ, линух будет защищеннее. А на практике, спор вообще бессмысленный. И линух может быть заломан при том, что винда будет непоколебимой ;-)
ЗЫ. Я не сторонник ни той, ни другой ОС. Дома юзаю Mac OS и EPOC ;-)
Комментарий по 21-му мифу (про ФСТЭК). Я оказывается оперировал немного устаревшим вариантом Постановления 1009, но суть от этого не поменялась. Из 4-х тезисов, на которые я ссылался, вопрос теперь вызывает только первый (про уровень подписыващего). В устаревшем варианте Постановления было написано, что нормативные акты может подписывать директор органа власти или его первый зам, но для органов, подчиняющихся непосредственно президенту, только директор органа власти. В текущей редакции эти оговорки были удалены. Согласно текущему тексту постановления нормативные акты может подписывать только руководитель органа власти или исполнябщий его обязанности. Т.е. мы опять приходим к тому, что подпись заместителя директора ФСТЭК не подпадает под это определение. И к тому же у нас остается три остальных тезиса.
http://e1am0.livejournal.com/83675.html я вчера разразился пьяной руганью по поводу очередной китайской поделки. проблема в головах, одни делают гтыecure by design, другие делают unsecure by damaged brains. В итоге страдают все
PS. Кстати в securityblog тоже обсудили линукс вис виндовс )), в результате чего я отметил недопонимание твоих аргументов аудиторией, тщательней бы слова подбирал, а то эта ругань так и будет продолжаться
e1am0: А там мои аргументы и не будут поняты ;-) После мифа про спам меня там (и не только там) стали врагом всей отрасли безопасности считать ;-) Мол я подрываю продажи антиспам решений ;-) Так что я и не рассчитывал на понимание у "специалистов" ;-) Ты бы видел еще ряд внутренних рассылок по поводу мифов. Их почитать, так я подрываю бизнес Cisco и как меня работодатель еще держит непонятно ;-)
Думаю, что после РусКриптовской конференции меня вообще запишут во враги №1 ;-)
про линукс vs windows - при всем желании согласиться, особенно в свете последнего абзаца, не могу:
ОтветитьУдалитьa) в windows-сетях имеет место быть неотключаемая никакими способами legacy ntlm аутентикация, которая считай одна большая дырка. набившие руку виндовые пентестеры имеют на этом success rate близкий к ста процентам
b) встроенные в современные дистрибутивы linux механизмы безопасности (selinux) уже почти что всегда работают "из коробки"
c) окно уязвимости под linux практически гарантированно меньше
d) linux не страдает от дурных привычек пользовтелей ставить что попало и дурных дефолтных настроек запускать с флешек что попало
e) меньшая популярность системы ей на руку - проблема malware и массовых компрометаций практически не стоит - чего не обеспечивает даже макос, а для типового пользовтеля это на порядок актуальнее угрозы профессиональной таргетированной атаки
Итого, в теории разницы между теорией и практикой никакой, а на практике windows требует ощутимо больших вложений в безопасность. Мы же не о сферических конях в вакууме?
arkanoid'у: Ну давай подискутируем ;-)
ОтветитьУдалитьa) согласен, но ты не забывай, что мы не говорим о ГОЛОЙ винде. Мы говорим о винде, которая стоит в конкретной организации определенным образом настроенная и под защитой некоторых средств защиты.
b) как и в последней винде
c) вот это спорно. тогда уж давай с цифрами обсуждать.
d) дурные привычки на то и дурные привычки, что присущи пользователю, а не системе. Я когда работал в Linux'е ставил на комп всякую фигню, которую скачивал в Интернет только потому, что мне казалось, что она мне поможет решить насущные на тот момент задачи. А сейчас у меня и на винде времени этим заниматься нет ;-)
e) с популярностью не поспоришь ;-(
Вот и получается, что в ТЕОРИИ, линух будет защищеннее. А на практике, спор вообще бессмысленный. И линух может быть заломан при том, что винда будет непоколебимой ;-)
ЗЫ. Я не сторонник ни той, ни другой ОС. Дома юзаю Mac OS и EPOC ;-)
Комментарий по 21-му мифу (про ФСТЭК). Я оказывается оперировал немного устаревшим вариантом Постановления 1009, но суть от этого не поменялась. Из 4-х тезисов, на которые я ссылался, вопрос теперь вызывает только первый (про уровень подписыващего). В устаревшем варианте Постановления было написано, что нормативные акты может подписывать директор органа власти или его первый зам, но для органов, подчиняющихся непосредственно президенту, только директор органа власти. В текущей редакции эти оговорки были удалены. Согласно текущему тексту постановления нормативные акты может подписывать только руководитель органа власти или исполнябщий его обязанности. Т.е. мы опять приходим к тому, что подпись заместителя директора ФСТЭК не подпадает под это определение. И к тому же у нас остается три остальных тезиса.
ОтветитьУдалитьhttp://e1am0.livejournal.com/83675.html я вчера разразился пьяной руганью по поводу очередной китайской поделки. проблема в головах, одни делают гтыecure by design, другие делают unsecure by damaged brains. В итоге страдают все
ОтветитьУдалитьPS. Кстати в securityblog тоже обсудили линукс вис виндовс )), в результате чего я отметил недопонимание твоих аргументов аудиторией, тщательней бы слова подбирал, а то эта ругань так и будет продолжаться
e1am0: А там мои аргументы и не будут поняты ;-) После мифа про спам меня там (и не только там) стали врагом всей отрасли безопасности считать ;-) Мол я подрываю продажи антиспам решений ;-) Так что я и не рассчитывал на понимание у "специалистов" ;-) Ты бы видел еще ряд внутренних рассылок по поводу мифов. Их почитать, так я подрываю бизнес Cisco и как меня работодатель еще держит непонятно ;-)
ОтветитьУдалитьДумаю, что после РусКриптовской конференции меня вообще запишут во враги №1 ;-)
ну я тоже удивился. расстреливать таких надо, бабло пацанам грести лопатой мешаешь )))
ОтветитьУдалитья вот для себя пока не решил, как же быть с этим противоречием. ну разве что только само предприятие не ограничивает себя в получении прибыли
за 21 искреннее спасибо...
ОтветитьУдалить