Не прошло и недели, как Symantec объявила о приобретении израильской компании Skycure, занимающейся борьбой с угрозами для мобильных устройств. Размер сделки не сообщается.
Показаны сообщения с ярлыком BYOD. Показать все сообщения
Показаны сообщения с ярлыком BYOD. Показать все сообщения
14.7.17
20.3.17
Модель угроз мобильного устройства
Заказывали у меня тут курс по безопасности мобильной и беспроводной инфраструктуры, для которого, очевидно, надо было составить модель угроз мобильным устройствам, от которой затем отталкиваться в самом материале, описывая для каждой угрозы соответствующие меры нейтрализации. Решил поделиться полученной моделью угроз.
Пока не систематизировал полученный перечень угроз, как и не расставлял их приоритеты и актуальность. Понятно, что у каждого специалиста будет свое видение этого вопроса.
Постарался учесть все, что пришло в голову, касающееся и программных и аппаратных угроз, а также такие вещи, как кража легитимного ПО и контента (нечастая проблема, наверное), ПЭМИН (очень специфическая угроза) и т.п.
Вспоминая про регулярную подмену данных геолокации около Кремля, не мог не включить и эту угрозу. В отдельных случаях это может привести к направлению жертвы по ложному пути/адресу.
На днях прошла новость о том, что можно узнать пароль (PIN) от смартфона по тепловому следу на клавиатуре/экране мобильного устройства. Угрозу инфракрасному каналу тоже включил, хотя давно не видел устройств с таким интерфейсом.
Ну и следуя модным тенденциям, не забыл включить угрозы со стороны инфраструктуры производителей (несанкционированное обновление, несанкционированное/случайное копирование данных с устройства в облако производителя и т.п.). Спецслужбы (несмотря на скандал с ЦРУ / Vault 7) не включал, так как они являются источником угроз, а сами угрозы реализуют те, что в модели перечислены.
Жизнь постоянно преподносит сюрпризы, показывая возможность реализовать угрозы, которые раньше считались или теоретическими или вообще невозможными. Поэтому, не претендуя на полный список всех угроз, я посчитал нужным включить два слайда с архитектурой мобильного устройства и экосистемой их взаимодействия с внешним миром. Эти слайды позволяют увидеть угрозы, которые я по каким-то причинам не включил.
Слайд с экосистемой очень общий и в каждом конкретном случае может быть расширен. Например, уточнен список облачных сервисов приложений, которые могут добавить ряд новых угроз, отсутствующих изначально в списке.
ЗЫ. Если что-то не включил, то буду рад дополнить и обновить слайды.
Пока не систематизировал полученный перечень угроз, как и не расставлял их приоритеты и актуальность. Понятно, что у каждого специалиста будет свое видение этого вопроса.
Постарался учесть все, что пришло в голову, касающееся и программных и аппаратных угроз, а также такие вещи, как кража легитимного ПО и контента (нечастая проблема, наверное), ПЭМИН (очень специфическая угроза) и т.п.
Вспоминая про регулярную подмену данных геолокации около Кремля, не мог не включить и эту угрозу. В отдельных случаях это может привести к направлению жертвы по ложному пути/адресу.
На днях прошла новость о том, что можно узнать пароль (PIN) от смартфона по тепловому следу на клавиатуре/экране мобильного устройства. Угрозу инфракрасному каналу тоже включил, хотя давно не видел устройств с таким интерфейсом.
Ну и следуя модным тенденциям, не забыл включить угрозы со стороны инфраструктуры производителей (несанкционированное обновление, несанкционированное/случайное копирование данных с устройства в облако производителя и т.п.). Спецслужбы (несмотря на скандал с ЦРУ / Vault 7) не включал, так как они являются источником угроз, а сами угрозы реализуют те, что в модели перечислены.
Жизнь постоянно преподносит сюрпризы, показывая возможность реализовать угрозы, которые раньше считались или теоретическими или вообще невозможными. Поэтому, не претендуя на полный список всех угроз, я посчитал нужным включить два слайда с архитектурой мобильного устройства и экосистемой их взаимодействия с внешним миром. Эти слайды позволяют увидеть угрозы, которые я по каким-то причинам не включил.
Слайд с экосистемой очень общий и в каждом конкретном случае может быть расширен. Например, уточнен список облачных сервисов приложений, которые могут добавить ряд новых угроз, отсутствующих изначально в списке.
ЗЫ. Если что-то не включил, то буду рад дополнить и обновить слайды.
3.3.17
Зарядка смартфона как угроза утечки информации
На RSAC достаточно популярной было наличие зарядных станций на стендах участников выставка. Оно и понятно, аккумулятор при активном использовании уходит в ноль за полдня и остро встает задача зарядки своего мобильного устройства.
На стендах же вы часто тратите по 10-15 минут, общаясь с представителями компаний и за это время вы вполне можете поднять зарядку своего смартфона на 10%. Тут 10%, там 10%... Глядишь, аккумулятор вновь полный.
Только мы не так уж и часто задумываемся о том, что подключая свои носители конфиденциальной информации к таким зарядным станциям, мы не только получаем от них электрический ток, но и можем отдавать информацию, которая хранится на устройстве. Ведь обычно для зарядки используется тот же самый кабель, что и для синхронизации, а он подразумевает двустороннуее взаимодействие со всеми вытекающими отсюда угрозами. Правда, для этого, вы должны "доверять" компьютеру, который захочет получить доступ к информации на вашем компьютере, что требует определенных действий от пользователя (по крайней мере на iOS это так). Но где гарантия, что этот механизм "доверия" нельзя обойти? А может быть на мобильном устройстве его и вовсе нет?
Я специально для таких задач ношу с собой внешнюю батарею, которой хватает на несколько циклов зарядки. Но понятно, что это бывает не всегда. Кому-то лень таскать с собой дополнительный аккумулятор, кто-то забыл его подзарядить, а кто-то понадеялся на то, что батареи хватит на весь день. Но не срослось и вот перед нами задача зарядки нашего устройства через недоверенную зарядную станцию. Что делать?
В этом году на RSAC была модной вот такая сувенирка (нарядку со шторками для камеры ноутбука). Специальные зарядные кабели, у которых физически отсутствует возможность синхронизации. Дешево, практично и безопасно.
В одном случае я получил вот такое вот изделие, суть которого та же, что и у односторонних кабелей, но вот удобство на порядок ниже. Ведь помимо этого устройства, предотвращающего синхронизацию, мне все равно понадобится кабель для зарядки.
Но помните, что для удовлетворения потребностей посетителей конференций и выставок, а также для их удобства, часто стали предлагать вот такие зарядные станции с интегрированными кабелями разных типов (micro-USB, mini-USB и др.).
На стендах же вы часто тратите по 10-15 минут, общаясь с представителями компаний и за это время вы вполне можете поднять зарядку своего смартфона на 10%. Тут 10%, там 10%... Глядишь, аккумулятор вновь полный.
Только мы не так уж и часто задумываемся о том, что подключая свои носители конфиденциальной информации к таким зарядным станциям, мы не только получаем от них электрический ток, но и можем отдавать информацию, которая хранится на устройстве. Ведь обычно для зарядки используется тот же самый кабель, что и для синхронизации, а он подразумевает двустороннуее взаимодействие со всеми вытекающими отсюда угрозами. Правда, для этого, вы должны "доверять" компьютеру, который захочет получить доступ к информации на вашем компьютере, что требует определенных действий от пользователя (по крайней мере на iOS это так). Но где гарантия, что этот механизм "доверия" нельзя обойти? А может быть на мобильном устройстве его и вовсе нет?
Я специально для таких задач ношу с собой внешнюю батарею, которой хватает на несколько циклов зарядки. Но понятно, что это бывает не всегда. Кому-то лень таскать с собой дополнительный аккумулятор, кто-то забыл его подзарядить, а кто-то понадеялся на то, что батареи хватит на весь день. Но не срослось и вот перед нами задача зарядки нашего устройства через недоверенную зарядную станцию. Что делать?
 |
| Вот к китайцам у меня недоверие и у них бы я никогда не заряжал свой смартфон |
В одном случае я получил вот такое вот изделие, суть которого та же, что и у односторонних кабелей, но вот удобство на порядок ниже. Ведь помимо этого устройства, предотвращающего синхронизацию, мне все равно понадобится кабель для зарядки.
Но помните, что для удовлетворения потребностей посетителей конференций и выставок, а также для их удобства, часто стали предлагать вот такие зарядные станции с интегрированными кабелями разных типов (micro-USB, mini-USB и др.).
В таком случае представленные выше варианты защиты не подойдут. Исключая ситуацию с зарядкой USB-USB; тогда устройство на предпоследней фотографии подойдет как нельзя лучше. Если бы такие были для всех типов интерфейсов, то проблема была бы решена.
В любом случае стоит помнить об этом риске и быть заранее готовым к управлению им. Не исключаю, что скоро появятся желающие протестировать безопасников на уровень их параной путем установки зарядной станции на какой-нибудь конференции или выставке по ИБ :-) Ведь фальшивые точки доступа регулярно ставят на мероприятиях по ИБ, а потом делятся временами забавными результатами. Так, кстати, было и в этот раз - почти пятая часть всех участников RSAC подцепилась на фальшивую точку доступа.
9.9.15
BlackBerry покупает Good Technology
4 сентября испытывающая непростые времена BlackBerry объявила о намерении приобрести одного из оставшихся независимых игроков MDM-рынка - компанию Good Technology. Размер сделки - 425 миллионов долларов. Интересная попытка предложить мультиплатформенное программное решение по защите мобильных устройств, выйдя за пределы только своей аппаратной платформы. Посмотрим, чем закончится для BlackBerry эта история.
6.8.15
Пошаговое руководство по защищенному доступу с мобильных устройств (видеопрезентация)
Я уже не раз обращался к теме защищенного мобильного доступа и вот очередная попытка. На этот раз я решил озвучить презентацию, которую я уже читал в рамках конференции "Код информационной безопасности" в прошлом году. Но тогда мне на все выделялось 20-25 минут и очевидно, что мне приходилось пробегать по каким-то вопросам и темам.
Сейчас я решил потратить больше времени на эту тему - получился целый час. Тоже мало, но лучше, чем полчаса :-) Собственно, это не совсем пошаговое руководство. Это скорее список тем и вопросов, которые надо осветить в собственной стратегии/политике защищенного доступа с мобильных устройств. Я целенаправленно не стал освещать рынок продуктов для реализации всех описанных тем - слишком уж большое число комбинаций получится, в зависимости от того, на каких аспектах останавливать свое внимание, а какими пренебрегать.
Для тех, кто предпочитает не слушать, а только смотреть, даю ссылку на саму презентацию. На мой взгляд такая комбинация - посмотреть и послушать - лучший вариант для экспресс-погружения в тему. Уж точно не чтение бумажных манускриптов или книг. К ним стоит обращаться, когда надо разобраться в каком-то вопросов более детально.
Сейчас я решил потратить больше времени на эту тему - получился целый час. Тоже мало, но лучше, чем полчаса :-) Собственно, это не совсем пошаговое руководство. Это скорее список тем и вопросов, которые надо осветить в собственной стратегии/политике защищенного доступа с мобильных устройств. Я целенаправленно не стал освещать рынок продуктов для реализации всех описанных тем - слишком уж большое число комбинаций получится, в зависимости от того, на каких аспектах останавливать свое внимание, а какими пренебрегать.
Для тех, кто предпочитает не слушать, а только смотреть, даю ссылку на саму презентацию. На мой взгляд такая комбинация - посмотреть и послушать - лучший вариант для экспресс-погружения в тему. Уж точно не чтение бумажных манускриптов или книг. К ним стоит обращаться, когда надо разобраться в каком-то вопросов более детально.
2.7.15
ИТ-Диалог: как сделать систему электронного документооборота защищенной и удобной для чиновника
Еще один доклад на ИТ-Диалоге был от Кирилла Бермана, заместителя министра ИТ и связи Хабаровского края. Еще один примечательный доклад, в котором Кирилл делился опытом, как при следующих исходных данных:
При этом, независимо от того, какая СКЗИ установлена у подключающихся абонентов СЭД, осуществляется выбор нужного VPN-шлюза. Тем самым, абонентам не требуется перестраивать свою систему подключения и приобретать VPN, которая стоит на периметре ЦОДа СЭД Хабаровского края - именно администрация берет на себя функцию приобретения шлюза, к которому и подключаются абоненты. Налицо и экономия бюджетных средств и удобство при подключении.
Так как многие чиновники получают доступ к СЭД с мобильных устройств, то достаточно остро стоит задача их защиты. Решается она двумя путями - установкой MDM и заворачиванием всего трафика на ведомственный периметр, где и осуществляется проверка с помощью эшелонированной системы защиты - контентная фильтрация, антивирус, IPS и т.п.
Помимо рассказа о построение удобной и защищенной СЭД, Кирилл Берман рассказал и о нескольких других интересных процессах обеспечения ИБ в Хабаровском крае, который, к слову сказать, является 4-м по величине в России. Во-первых, это очень интересный процесс моделирования угроз, который базируется на лучших практиках, в том числе на немецком каталоге угроз BSI (это именно немецкий институт, а не одноименной английский).
Во-вторых, очень интересен опыт проведения киберучений, позволяющих проверить способность ИТ/ИБ-специалистов противостоять угрозам, направленным на нарушение различных аспектов работы информационной системы - конфиденциальности, целостности и доступности. Не могу вспомнить, чтобы кто-нибудь еще из регионов проводил такие учения. Очень интересный опыт, который позволяет уйти от чисто бумажной безопасности в сторону реальной.
Кстати, даже с бумажной безопасностью в Хабаровском крае обстоит дело более чем интересно. Они одними из первых стали реализовывать 17-й приказ ФСТЭК, уйдя от обязательного набора защитных мер и выстраивая защитную систему из мер, нейтрализующих именно актуальные угрозы и учитывающих структурно-функциональные характеристики своих информационных систем. По словам Кирилла Бермана не все подрядчики оказались готовы к такому подходу, по старинке исходя из закрытого и неуменьшаемого перечня защитных мер в СТР-К. Но наличие тесного взаимодействия с местными управлениями ФСТЭК и ФСБ позволили доказать возможность такого подхода (в т.ч. и применение компенсирующих мер), что, во многом, и обусловило баланс между удобством и защищенностью пользования СЭД.
Последним запомнившимся мне моментом в выступлении оказался слайд с количеством обученных по вопросам ИБ сотрудников в государственных структурах Хабаровского края. 20-тикратный рост за 3 года! Есть чему поучиться во всех смыслах.
- свыше 10 тысяч пользователей
- наличие VIP-пользователей (губернатор и т.п.)
- свыше 300 различных организаций и ведомств, находящихся вне прямого подчинения
- неоднородные и исторически сложившиеся системы защиты, особенно криптографической
- требования регуляторов
- мобильные устройства,
обеспечить эффективную и при этом удобную для пользователей систему защиты при доступе к системе электронного документооборота (СЭД) Хабаровского края. Из наиболее интересных моментов, которые мне запомнились в выступлении, могу отметить дифференцированный доступ как к открытой, так и к закрытой части СЭД, с использованием Web-интерфейса или отдельного приложения.
При этом, независимо от того, какая СКЗИ установлена у подключающихся абонентов СЭД, осуществляется выбор нужного VPN-шлюза. Тем самым, абонентам не требуется перестраивать свою систему подключения и приобретать VPN, которая стоит на периметре ЦОДа СЭД Хабаровского края - именно администрация берет на себя функцию приобретения шлюза, к которому и подключаются абоненты. Налицо и экономия бюджетных средств и удобство при подключении.
Так как многие чиновники получают доступ к СЭД с мобильных устройств, то достаточно остро стоит задача их защиты. Решается она двумя путями - установкой MDM и заворачиванием всего трафика на ведомственный периметр, где и осуществляется проверка с помощью эшелонированной системы защиты - контентная фильтрация, антивирус, IPS и т.п.
Помимо рассказа о построение удобной и защищенной СЭД, Кирилл Берман рассказал и о нескольких других интересных процессах обеспечения ИБ в Хабаровском крае, который, к слову сказать, является 4-м по величине в России. Во-первых, это очень интересный процесс моделирования угроз, который базируется на лучших практиках, в том числе на немецком каталоге угроз BSI (это именно немецкий институт, а не одноименной английский).
Во-вторых, очень интересен опыт проведения киберучений, позволяющих проверить способность ИТ/ИБ-специалистов противостоять угрозам, направленным на нарушение различных аспектов работы информационной системы - конфиденциальности, целостности и доступности. Не могу вспомнить, чтобы кто-нибудь еще из регионов проводил такие учения. Очень интересный опыт, который позволяет уйти от чисто бумажной безопасности в сторону реальной.
Кстати, даже с бумажной безопасностью в Хабаровском крае обстоит дело более чем интересно. Они одними из первых стали реализовывать 17-й приказ ФСТЭК, уйдя от обязательного набора защитных мер и выстраивая защитную систему из мер, нейтрализующих именно актуальные угрозы и учитывающих структурно-функциональные характеристики своих информационных систем. По словам Кирилла Бермана не все подрядчики оказались готовы к такому подходу, по старинке исходя из закрытого и неуменьшаемого перечня защитных мер в СТР-К. Но наличие тесного взаимодействия с местными управлениями ФСТЭК и ФСБ позволили доказать возможность такого подхода (в т.ч. и применение компенсирующих мер), что, во многом, и обусловило баланс между удобством и защищенностью пользования СЭД.
Последним запомнившимся мне моментом в выступлении оказался слайд с количеством обученных по вопросам ИБ сотрудников в государственных структурах Хабаровского края. 20-тикратный рост за 3 года! Есть чему поучиться во всех смыслах.
6.4.15
Check Point покупает Lacoon Mobile Security
2-го апреля, компания Check Point объявила о приобретении израильской же Lacoon Mobile Security, которая занимается, как видно из названия, мобильной безопасностью. Детали сделки не раскрываются.
13.1.15
Pulse Secure покупает Mobile Spaces
В июле 2014 года Juniper продал свои активы по мобильной безопасности фонду Siris Capital, который достаточно быстро создал на их основе компанию Pulse Secure (у пресс-релиза, правда, нет даты, что немного удивительно). И уже в октябре Pulse Secure сделала свое первое приобретение, которое тогда выпало из моего поля зрения. Pulse купил Mobile Spaces, которая делала виртуальные защищенные контейнеры для мобильных платформ, в которых и запускались приложения.
4.9.14
30.7.14
BlackBerry покупает Secusmart
29 июля компания BlackBerry объявила о намерении приобрести немецкую компанию Secusmart, известную на германском рынке своими решениями по защите мобильных устройств. Детали сделки не разглашаются.
29.5.14
Google покупает Divide
19 мая небольшая американская компания Divide объявила, что ее купила Google. Да-да, именно так. Не Google объявил о приобретении Divide, а наоборот. Google хранит молчание до окончания сделки. Divide - это решение класса MDM, почти неизвестное в России, работающее по принципу создания на одном мобильном устройстве нескольких разделов - для личного и служебного использования. Детали сделки не разглашаются.
13.5.14
О пользе чтения оригинальных документов, а не перепечаток СМИ
Многие СМИ несколько дней назад разразились очередной сенсацией о том, что Apple признала, что может передавать спецслужбам США различные данные с iPhone своих покупателей, включая e-mail, фотографии и т.п. информацию. Многие эксперты, даже не удосужившись изучить оригинальное заявление Apple сразу же стали заявлять "ну мы же говорили, что с iPhone можно незаметно слить всю информацию в АНБ".
Скромно хочу напомнить, что прежде чем делать скоропалительные выводы и заявления иногда стоит читать оригиналы, а не перепечатки с перепечаток. Итак, что же мы видим в оригинальном заявлении Apple? Да ничего нового. Apple признает, что по запросу спецслужб может передавать информацию о пользователи, логи почты, сообщения e-mail, документы, фотографии, закладки браузера, события календаря, хранящиеся... в облаке iCloud, а не на мобильном устройстве iPhone/iPad.
А что в этом нового? Любой американский оператор связи или хостинг-провайдер обязан по мотивированному запросу спецслужб предоставить такие сведения. Так и российские провайдеры тоже обязаны и тоже предоставляют. Apple всего лишь продемонстрировал свою открытость и четко зафиксировал свою позицию по этому вопросу, указав, что и кому они передают и с кем связаться, если вас интересуют детали. На месте журналистов я бы скорее писал о том, почему российские Интернет-компании и облачные провайдеры не имеют аналогичного документа на своих сайтах. Но это же никому не интересно - искать врага за океаном в нынешней ситуации гораздо привлекательнее.
Резюмирую: Ни о каком скрытом доступе и скачивании гигабайтов информации с мобильного устройства речи не идет.
Скромно хочу напомнить, что прежде чем делать скоропалительные выводы и заявления иногда стоит читать оригиналы, а не перепечатки с перепечаток. Итак, что же мы видим в оригинальном заявлении Apple? Да ничего нового. Apple признает, что по запросу спецслужб может передавать информацию о пользователи, логи почты, сообщения e-mail, документы, фотографии, закладки браузера, события календаря, хранящиеся... в облаке iCloud, а не на мобильном устройстве iPhone/iPad.
А что в этом нового? Любой американский оператор связи или хостинг-провайдер обязан по мотивированному запросу спецслужб предоставить такие сведения. Так и российские провайдеры тоже обязаны и тоже предоставляют. Apple всего лишь продемонстрировал свою открытость и четко зафиксировал свою позицию по этому вопросу, указав, что и кому они передают и с кем связаться, если вас интересуют детали. На месте журналистов я бы скорее писал о том, почему российские Интернет-компании и облачные провайдеры не имеют аналогичного документа на своих сайтах. Но это же никому не интересно - искать врага за океаном в нынешней ситуации гораздо привлекательнее.
Резюмирую: Ни о каком скрытом доступе и скачивании гигабайтов информации с мобильного устройства речи не идет.
9.4.14
Чиновникам запретят использование несертифицированных мобильников! Есть ли альтернатива?
Вчера, депутат Гутенев внес в Гоcдуму законопроект №492034-6 "О внесении изменений в некоторые законодательные акты Российской Федерации", суть которого проста до безобразия - запретить чиновникам и госслужащим пользоваться несертифицированными мобильными устройствами. В качестве решаемой законопроектом проблемы депутат Гутенев называет защиту служебной тайны и персональных данных федеральных госслужащих от действий иностранной технической разведки посредством использования недекларированных возможностей технических средств мобильной связи. Ну а в модель угроз депутат включает:
- нарушение конфиденциальности передаваемых переговоров и SMS, электронной почты и данных, передаваемых при посещении сайтов в Интернет
- несанкционированный доступ к контактам
- несанкционированное дистанционное управление мобильным устройством
- контроль местоположения абонента
- активация вредоносных программ, мещающих связи абонента
- нарушение безопасности мобильных транзакций.
В модели угроз ничего нового - часть угроз даже забыта (я про модель угроз мобильного устройства на конференции Яндекса рассказывал). Интересно другое. Бороться с этой проблемой депутат предлагает путем запрета всем федеральным госслужащим пользоваться мобильными устройствами с ПО, непрошедшим сертификацию по требованиям безопасности. Аналогичный запрет должен коснуться работников госкорпораций и госкомпаний.
У данного законопроекта есть ряд очевидных проблем. Во-первых, согласно указу Президента Российской Федерации от 31 декабря 2005 г. № 1574 "О Реестре должностей федеральной государственной гражданской службы" к федеральным госслужащим не относятся ни Президент, ни премьер-министр, ни его заместители, ни федеральные министры, ни губернаторы, ни судьи, ни служащие государственных предприятий, учреждений и технических исполнителей в государственных органах, ни иные должности категории "А". Т.е. законопроект не распространяется на очень большое количество потенциальных секретоносителей.
Во-вторых, законопроект, умышленно или случайно, говорит не о том, что на мобильном устройстве должно быть сертифицированное по требованиям безопасности ПО, а обо всем устройстве с ПО, прошедшими сертификацию. А такая сертификация, да еще и на отсутствие НДВ, представляет собой большую проблему. Я вообще не очень уверен, что найдутся производители мобильных устройств, которые готовы будут отдать системотехнику для сертификации на отсутствие НДВ. С софтом как раз проще - Инфотекс, С-Терра, КриптоПро, Диджитал Дизайн с удовольствием освоят для себя новый сегмент рынка.
В-третьих, судя по тому, что речь идет борьбе с иностранными техническими разведками сертификацией должна заниматься ФСТЭК. В то время как сертификацией средств защиты для информационных систем I-го класса согласно 104-му приказу Минкомсвязи (а именно к ним относятся информационные системы общего пользования: Правительства Российской Федерации, федеральных министерств, федеральных служб и федеральных агентств, руководство деятельностью которых осуществляет Президент Российской Федерации, федеральных служб и федеральных агентств, подведомственных этим федеральным министерствам), должна заниматься ФСБ.
В-четвертых, в пояснительной записке к законопроекту говорится, что дополнительных расходов из бюджета на реализацию закона не понадобится. Как бы не так. Устройств, которые бы позволили выполнить требования законопроекта не очень много. Если не рассматривать наложенное на любой Android сертифицированное защитное ПО и, похоже, снятый с производства Voice Coder Mobile от Сигнал-Кома, а также отбросить зарубежные устройства Sectra, Sagem, Rohde&Schwarz, CryptoPhone, Secusmart, Blackphone, то получится что в РФ есть только одно устройство, которое бы удовлетворяло требованиям законодательной инициативы депутата Гутенева. Речь идет о продукции НТЦ "Атлас", а точнее о мобильных устройствах SMP-АТЛАС 2003-го года и его усовершенствованная версия SMP-АТЛАС/2 2010-го года. Цена на первую версию этих устройств достигала 100 тысяч рублей. Вторая версия может обойтись значительно дешевле - при партии в 1000 штук цена на устройство может составить около 49 тысяч рублей. Умножив эту цифру на общее число госслужащих, сложно говорить об отсутствии расходов из федерального бюджета.
Можно, конечно, упомянуть и еще одного производителя защищенных GSM-устройств - компанию Анкорт и ее криптосмартфон StealthPhone. На мой взгляд именно это решение лучше всего подходит под задачу, опсианную депутатом Гутеневым. В StealthPhone не только обеспечивается конфиденциальность мобильных разговоров и SMS посредством специального чипа, а не наложенным ПО, но и присутствует специальные фильтры и металлический экран, которые предотвращают опасные излучения. Также в криптосмартфоне "Анкорт" отсутствуют такие высоко излучающие элементы, как видеокамера, Bluetooth, инфракрасный порт, съемная дополнительная память, Wi-Fi. Т.е. и вероятность утечки по техническим каналам у этого устройства гораздо ниже стандартного смартфона, обвешанного навесным ПО. Но у продукции Анкорт есть один недостаток - я не нашел сведений о наличии сертификата на изделие, выданного любым из отечественных регуляторов.
Но есть и еще одна проблема с реализацией рассматриваемого законопроекта. И решение Анкорт, и решение Атлас, и решения с наложенным ПО обеспечивают только конфиденциальность мобильных переговоров и, может быть, SMS. А что делать с остальными угрозами, упомянутыми Гутеневым? Как бороться с вредоносными программами? Как предотвращать несанкционированный удаленный доступ? Как защититься от определения местоположения абонента (это вообще от телефона мало зависит и может быть реализовано оператором мобильной связи)? Есть ли готовые и сертифицированные и неконфликтующие между собой решения на эти угрозы? Вопрос пока остается без ответа. Как собственно и ответ на вопрос о перспективах законопроекта. На волне патриотизма сейчас вносится множество законопроектов, которые должны гарантировать России цифровой суверенитет, но вот пока ни один из них не дошел даже до этапа первого чтения, не говоря уже про подписание у Президента. Но если законопроект Гутенева и ждет более завидная судьба, чем у его собратьев, то реализовать его на практике будет сложно. Да и чиновников заставить отказаться от своих Vertu или "дешевых" iPhone будет сложновато...
Во-вторых, законопроект, умышленно или случайно, говорит не о том, что на мобильном устройстве должно быть сертифицированное по требованиям безопасности ПО, а обо всем устройстве с ПО, прошедшими сертификацию. А такая сертификация, да еще и на отсутствие НДВ, представляет собой большую проблему. Я вообще не очень уверен, что найдутся производители мобильных устройств, которые готовы будут отдать системотехнику для сертификации на отсутствие НДВ. С софтом как раз проще - Инфотекс, С-Терра, КриптоПро, Диджитал Дизайн с удовольствием освоят для себя новый сегмент рынка.
В-третьих, судя по тому, что речь идет борьбе с иностранными техническими разведками сертификацией должна заниматься ФСТЭК. В то время как сертификацией средств защиты для информационных систем I-го класса согласно 104-му приказу Минкомсвязи (а именно к ним относятся информационные системы общего пользования: Правительства Российской Федерации, федеральных министерств, федеральных служб и федеральных агентств, руководство деятельностью которых осуществляет Президент Российской Федерации, федеральных служб и федеральных агентств, подведомственных этим федеральным министерствам), должна заниматься ФСБ.
В-четвертых, в пояснительной записке к законопроекту говорится, что дополнительных расходов из бюджета на реализацию закона не понадобится. Как бы не так. Устройств, которые бы позволили выполнить требования законопроекта не очень много. Если не рассматривать наложенное на любой Android сертифицированное защитное ПО и, похоже, снятый с производства Voice Coder Mobile от Сигнал-Кома, а также отбросить зарубежные устройства Sectra, Sagem, Rohde&Schwarz, CryptoPhone, Secusmart, Blackphone, то получится что в РФ есть только одно устройство, которое бы удовлетворяло требованиям законодательной инициативы депутата Гутенева. Речь идет о продукции НТЦ "Атлас", а точнее о мобильных устройствах SMP-АТЛАС 2003-го года и его усовершенствованная версия SMP-АТЛАС/2 2010-го года. Цена на первую версию этих устройств достигала 100 тысяч рублей. Вторая версия может обойтись значительно дешевле - при партии в 1000 штук цена на устройство может составить около 49 тысяч рублей. Умножив эту цифру на общее число госслужащих, сложно говорить об отсутствии расходов из федерального бюджета.
Можно, конечно, упомянуть и еще одного производителя защищенных GSM-устройств - компанию Анкорт и ее криптосмартфон StealthPhone. На мой взгляд именно это решение лучше всего подходит под задачу, опсианную депутатом Гутеневым. В StealthPhone не только обеспечивается конфиденциальность мобильных разговоров и SMS посредством специального чипа, а не наложенным ПО, но и присутствует специальные фильтры и металлический экран, которые предотвращают опасные излучения. Также в криптосмартфоне "Анкорт" отсутствуют такие высоко излучающие элементы, как видеокамера, Bluetooth, инфракрасный порт, съемная дополнительная память, Wi-Fi. Т.е. и вероятность утечки по техническим каналам у этого устройства гораздо ниже стандартного смартфона, обвешанного навесным ПО. Но у продукции Анкорт есть один недостаток - я не нашел сведений о наличии сертификата на изделие, выданного любым из отечественных регуляторов.
Но есть и еще одна проблема с реализацией рассматриваемого законопроекта. И решение Анкорт, и решение Атлас, и решения с наложенным ПО обеспечивают только конфиденциальность мобильных переговоров и, может быть, SMS. А что делать с остальными угрозами, упомянутыми Гутеневым? Как бороться с вредоносными программами? Как предотвращать несанкционированный удаленный доступ? Как защититься от определения местоположения абонента (это вообще от телефона мало зависит и может быть реализовано оператором мобильной связи)? Есть ли готовые и сертифицированные и неконфликтующие между собой решения на эти угрозы? Вопрос пока остается без ответа. Как собственно и ответ на вопрос о перспективах законопроекта. На волне патриотизма сейчас вносится множество законопроектов, которые должны гарантировать России цифровой суверенитет, но вот пока ни один из них не дошел даже до этапа первого чтения, не говоря уже про подписание у Президента. Но если законопроект Гутенева и ждет более завидная судьба, чем у его собратьев, то реализовать его на практике будет сложно. Да и чиновников заставить отказаться от своих Vertu или "дешевых" iPhone будет сложновато...
23.1.14
VMware покупает Airwatch
Продолжается процесс консолидации рынка MDM. Не успела IBM приобрести Fiberlink, а Citrix интегрировать Zenprise, как VMware объявила о поглощении другого игрока рынка MDM - частной компании Airwatch. Сумма сделки составляет около 1,5 миллиардов долларов (такое впечатление, что сделки меньше миллиарда уже никого не интересуют).
Из еще не купленных лидеров MDM-рынка у нас остается только MobileIron. Могу предположить, что и его купят. Причем ждать осталось недолго :-)
Из еще не купленных лидеров MDM-рынка у нас остается только MobileIron. Могу предположить, что и его купят. Причем ждать осталось недолго :-)
14.11.13
Парочка поглощений на рынке ИБ
11 ноября Trustwave анонсировала приобретение Application Security Inc., известную, в т.ч. и в России, своими решениями по анализу защищенности СУБД. Детали сделки не разглашаются. В свою очередь IBM продолжает расширять свое присутствие на рынке мобильных технологий и сегодня объявила о намерении приобрести Fiberlink Communictions. Детали сделки тоже неизвестны, как и сама компания на российском рынке. Не входила она в список тех MDM-вендоров, которые активно у нас продвигались. У Fiberlink есть облачное MDM-решение MaaS360, которое и было причиной покупки.
28.5.13
К черту контент, важен контекст!
После того, как в 21-м приказе ФСТЭК появилась мера по контролю утечек персональных данных (аналогичная мера по конфиденциальной информации будет и в 17-м приказе), а Банк России в Магнитогорске заявил о проработке вопроса о создании отдельного документа по DLP с банковской спецификой тема контроля утечек вновь стала более чем актуальной. Кто-то стал разрабатывать новые решения по части DLP, кто-то стал в очередной раз пиарить свой продукт. Вообще я уже не раз проходился по этой тематике, но хочу в очередной раз потроллить тему ;-) Да и на PHD III рассказывали как обойти современные DLP. Как будто это настолько распространенный продукт, что он стал стандартом де-факто в корпоративной среде.
Давайте сразу исключим из области рассмотрения задачу контроля голосового и видео трафика. Допустим, что у нас никакая конфиденциальная информация по этим каналам не передается. И ActiveSync нам контролировать не надо. И в базах данных у нас нет критичных данных. Будем тупо контролировать утечки в почте, в файлах, при печати. Т.е. то, что умеют делать большинство продуктов. Представим, что в контролируемом трафике мы встречаем нечто похожее на:
Так и в более сложных случаях. Допустим мы встречаем в тексте набор "ключевых" фраз - "месторождение", "объем запасов", "миллион кубометров". По всем параметрам это утечка информации. А оказывается, что кто-то просто переслал рекламную листовку с соответствующими текстовыми вкраплениями. А все потому, что мы контролировали контент, забывая про контекст.Давайте сразу исключим из области рассмотрения задачу контроля голосового и видео трафика. Допустим, что у нас никакая конфиденциальная информация по этим каналам не передается. И ActiveSync нам контролировать не надо. И в базах данных у нас нет критичных данных. Будем тупо контролировать утечки в почте, в файлах, при печати. Т.е. то, что умеют делать большинство продуктов. Представим, что в контролируемом трафике мы встречаем нечто похожее на:
Что это? Буква "В" русского алфавита? Буква "B" английского алфавита? Несчастливое число "13"? А вот фиг его знает. Мы не знаем. Да и DLP тоже не знает. Если не рассматривать анализ графических файлов и опять ограничить область распространения голым текстом, то максимум, что DLP может определить, что это символ какого-то алфавита или число..
Не могу сказать, что мысль нова. Но в последнее время становится все более понятно, что по другому (по старинке) выстраивать систему защиты уже неправильно. Она перестает выполнять стоящие перед ней задачи, а точнее выполняет их процентов на 20-30. Вот, например, что может сделать обычная система анализа сетевого трафика:
Ничего сверхестественного. Ну видим, что с определенных адресов уходит большой объем данных, на порядок превышающий установленные лимиты. Но в среде с динамической адресацией, это ничего и никому ни о чем не говорит. А если добавить контекст?
Картина уже иная. Мы смогли привязать информацию к пользователю и даже его устройству. С учетом же контекста мы можем не только что-то мониторить и отслеживать, но и писать политики, которые будут реализовываться. Например, вот так может выглядеть политика доступа к внутренним ресурсам организации:
Тут вам и беспроводной и проводной доступ, доступ с личных (BYOD) и корпоративных устройств, доступ со станционарных и мобильных устройств, доступ с устройств, за которыми пользователь аутентифицируется и за которыми он не работает (IP-телефон или игровая приставка), пользователи, которые прошли оценку соответствия и которых дополнительно аутентифицируют по сертификатам... Очень гибкая схема, отличающаяся от стандартной "пользователю ivanov111 можно получить доступ к IP-адресу 10.10.10.10".
Думаю, что за такими системами будущее.
28.1.13
Российские инвесторы вкладывают в западную мобильную безопасность
Известная инвестиционная компания Runa Capital, основателями которой являются россияне, инвестировала около 5 миллионов долларов в израильскую компанию Cellrox, которая разрабатывает решение по созданию на мобильном устройстве нескольких независимых профилей (для работы, для дома и т.п.), позволяющих не смешиваться данным, приложениям и т.п. Этакая виртуализация в рамках мобильного устройства.
Для Runa это первая инвестиция в компанию, занимающуюся безопасностью. В числе других инвестиций Runa - Яндекс, Parallels, Softline, Acronis.
Среди других участников сделки - Previz VenturePartners, Columbia Technology Ventures, а также Александр Туркот, бывший директор IT-кластера центра "Сколково".
Для Runa это первая инвестиция в компанию, занимающуюся безопасностью. В числе других инвестиций Runa - Яндекс, Parallels, Softline, Acronis.
Среди других участников сделки - Previz VenturePartners, Columbia Technology Ventures, а также Александр Туркот, бывший директор IT-кластера центра "Сколково".
6.12.12
Citrix покупает Zenprise
5-го декабяря Citrix подписал соглашение о покупке Zenprise, компании являющейся одним из лидеров MDM-сегмента. Детали сделки не разглашаются. Цель сделки понятна - рынок средств управления мобильными устройствами растет, интерес к MDM со стороны заказчиков также возрастает - Citrix решила застолбить место в первом ряду.
2.10.12
Моя презентация по BYOD с конференции Яндекса
Вчера выступал на конференции Yandex another Conference (YaC 2012), в секции по безопасности. Организаторы просили что-то не очень техническое, а скорее менеджерское. Вот и сваял презентацию про внедрение BYOD в корпоративной или ведомственной среде с точки зрения безопасности. На месте поначалу возник некий диссонанс, т.к. посетители явно отличались от заявленной целевой аудитории; превалировали молодые студенты и студентки, а также программисты и Интернет-стартапы. Думал тема будет им непонятна. Ан нет. В зале народ был (хотя я начинал аж в 18.30), вопросы задавали, после доклада подходили... Организаторы (Антон, спасибо) сказали, что народ слушал внимательно, на телефоны и планшетники не отвлекался, в "Птички" не играл, по телефону не болтал. Значит не зря...
25.9.12
Презентация с DLP Russia 2012
На прошедшей в пятницу DLP Russia 2012 делал доклад "Новые технологии и новые тенденции ИБ". Так получилось, что доклад был на тему, которую я не особо хотел читать (очень уж абстрактная она). Да и времени было всего 20 минут. Поэтому я решил сконцентрироваться только на тех вопросах, которые возникают у большинства российских компаний именно сейчас или могут возникнуть в самом ближайшем будущем.
Само мероприятие прошло удачно. Не могу поделиться чем-то конкретным. В последнее время на конференциях я скорее общаюсь с коллегами, чем слушаю доклады. Поэтому выделить что-то мне сложно. Но могу отметить стенд, на котором было представлено два очень интересных решения.
Первое - STC Voice Monitor от "Центра речевых технологий" (на базе известной специалистам "Незабудки"). Это система контроля утечек в голосовом трафике. Причем не тупая запись Skype с последующим привлечением оператора, который слушает весь трафик в поиске ключевых слов. Речь идет о полной автоматизации этого процесса. STM Voice Monitor получает трафик с IP-телефонии, Skype, аналоговой телефонии и даже видеоконференцсвязи (только голосовой поток), автоматически распознает голос в текст и дальше либо сам использует базовый поиск по ключевым словам, либо передает распознанный текст в Infowatch. На мой взгляд, очень интересное и давно ожидаемое решение для тех компаний, которые хотят контролировать не только e-mail или ICQ, но и голосовой трафик.
О втором решении я уже упоминал в Twitter, когда был на ИнфоБЕРЕГе в Сочи. Это Safe-Phone от НИИ СОКБ. Причем это не просто MDM, а продукт, который очень тесно интегрирован с СКУД, системами аналитики, геолокации и может быть использован не только и не столько службами ИБ, сколько службами экономической и просто физической безопасности. Для окологосударственных предприятий и ВПК решение может быть очень и очень востребованным.
ЗЫ. Кстати, наступает время, когда писать обзоры о мероприятиях по ИБ становится уже не так интересно. Их качество за последние год-полтора очень сильно поднялось. И выделять кого-то становится сложно - каждое выделяет что-то свое. Хотя PHD для меня пока на первом месте ;-)
Само мероприятие прошло удачно. Не могу поделиться чем-то конкретным. В последнее время на конференциях я скорее общаюсь с коллегами, чем слушаю доклады. Поэтому выделить что-то мне сложно. Но могу отметить стенд, на котором было представлено два очень интересных решения.
Первое - STC Voice Monitor от "Центра речевых технологий" (на базе известной специалистам "Незабудки"). Это система контроля утечек в голосовом трафике. Причем не тупая запись Skype с последующим привлечением оператора, который слушает весь трафик в поиске ключевых слов. Речь идет о полной автоматизации этого процесса. STM Voice Monitor получает трафик с IP-телефонии, Skype, аналоговой телефонии и даже видеоконференцсвязи (только голосовой поток), автоматически распознает голос в текст и дальше либо сам использует базовый поиск по ключевым словам, либо передает распознанный текст в Infowatch. На мой взгляд, очень интересное и давно ожидаемое решение для тех компаний, которые хотят контролировать не только e-mail или ICQ, но и голосовой трафик.
О втором решении я уже упоминал в Twitter, когда был на ИнфоБЕРЕГе в Сочи. Это Safe-Phone от НИИ СОКБ. Причем это не просто MDM, а продукт, который очень тесно интегрирован с СКУД, системами аналитики, геолокации и может быть использован не только и не столько службами ИБ, сколько службами экономической и просто физической безопасности. Для окологосударственных предприятий и ВПК решение может быть очень и очень востребованным.
ЗЫ. Кстати, наступает время, когда писать обзоры о мероприятиях по ИБ становится уже не так интересно. Их качество за последние год-полтора очень сильно поднялось. И выделять кого-то становится сложно - каждое выделяет что-то свое. Хотя PHD для меня пока на первом месте ;-)
Подписаться на:
Сообщения (Atom)
