Спецтехнологии при создании курсов по повышению осведомленности

Приятно осознавать, что действия службы ИБ могут получать не только внутреннюю (в виде снижения числа инцидентов и иных метрик ИБ), но и внешнюю оценку. Например, на днях видео-курс "Inadvertent Disclosure", который создали наши подразделения Cisco Security Programs Organization и Cisco Global Government Solutions Group, получил награду Crystal Award от Digital Video Awards.

Этот факт лишний раз доказывает, что при внедрении ИБ в компании (особенно в такой области как повышение осведомленности), необходимо не просто доносить техническую или юридическую информацию с помощью браузера или PowerPoint, а использовать всю мощь современных обучающих и видеотехнологий. Учитывая, что рядовые сотрудники не занимаются ИБ, им не знакомы технологические термины и жаргонизмы, и они далеки от теории ИБ, то мы должны работать на их подсознание. И тут без видео/аудио-технологий никак не обойтись.

ЗЫ. Цена создания таких курсов достаточно высока, но и эффект совершенно иной.

ЗЗЫ. Недавно видел пример дистанционного курса по повышению осведомленности по ИБ, подготовленного одним российским УЦ. Это нечто! В браузере (только IE) запускается Windows Media Player (только 11-ой версии), через который демонстрируется видеозапись (с обычной камеры) курса по ИБ. На переднем плане человек (обычный преподаватель, мужчина) замогильным голосом вещает о том, что такое ИБ и как важна она для предприятия. Съемка ведется в обычном классе с плохим освещением и слабой акустикой. Человек говорит монотонно и уже минут через 5 после начала начинаешь не только скучать, но и зевать ;-) Ни о каких спецэффектах и говорить не приходится. Длительность курса несколько часов (если не дней) - представить, что кто-то из обычных сотрудников будет его слушать я не могу. А цена курса о-о-о-очень неслабая.

Подробнее…

Новые поглощения на ниве ИБ

Стоило уйти в отпуск, как произошло сразу два поглощения в области информационной безопасности:
1. Motorola поглотила AirDefense. Последняя была известна в сегменте защиты беспроводных сетей. Учитывая, что в беспроводных технологиях, один из ключевых вопросов, мешающих их развитию, это безопасность, действия Motorola являются вполне обоснованными. Вопрос только в том, что сама Motorola ранее не была замечена в сколь-нибудь активной работе в данном направлении (по крайней мере публичной).
2. McAfee покупает Reconnex. 46-тимиллионная сделка позволила McAfee выйти на рынок DLP, вслед за EMC, Symantec, Trend Micro и рядом других производителей ИБ.

Подробнее…

Очередная оценка рынка ИБ в России

Компания LETA IT-company выпустила второй отчет "Навстречу переменам: рынок информационной безопасности 2007-2008", посвященный рынку ИБ в России. У меня и к первому отчету были серьезные претензии, но видимо авторы второй версии не приняли во внимание всю ту критику, которая на них свалилась. При этом авторы смело заявляют "Первый отчет был выпущен в начале 2007 года и многие его оценки стали признанными фактами на рынке информационных технологий".

Что же меня смутило в этом отчете? Во-первых, названный объем рынка в 912 миллионов долларов. Наверное, приятно причислять себя к почти миллиардному рынку, но эта цифра не просто взята с потолка, - она притянута за уши. Причем авторы противоречат сами себе. В прощлом отчете объем "белого" рынка ИБ составлял 250 миллионов; в этом - 431. При этом цифра рост объявляется в 45-50%! Как у математика (в прошлом) у меня при этих объемах такого роста никак не получается. Другая цифра - 6% всего рынка - это аппаратное обеспечение. Только мы, как один из крупнейших производителей именно аппаратной безопасности, зарабатываем в России вдвое больше. А ведь помимо нас встречаются и другие игроки (нечастно, но встречаются ;-)

Вообще приведенные цифры, кроме как гаданием на кофейной гуще не назовешь. "Белый" рынок, "черный" рынок, "серый" рынок? Как его оценивали? Откуда такие цифры? Что в них входит? Если только то, что четко называется средством защиты, то 912 миллионов - это оценка раза в 2,5-3 превышает реальность. Если речь идет даже о встроенных в инфраструктурные решения механизмах безопасности (ОС, СУБД, маршрутизаторы, коммутаторы), то емкость рынка превышает оценки LETA в разы. Правда про последний вариант LETA даже не упоминает.

Во-вторых, непонятна методика подготовки отчета и источники информации. В преамбуле сказано, что цифры взяты путем опроса участников рынка. Cisco как бы и не последняя на российском рынке (если не сказать первая по данным Cnews) ИБ, но нас не спрашивали. Это конечно не показатель, но сомнение в остальных оценках закрадывается. И вообще, почему в отчете не указаны компании, которых опрашивали? Чего скрывать их имена? Может потому, что никакого опроса и не было?

Главным разочарованием авторы отчеты называют "отсутствие роста широкого применения международного стандарта ISO 27001". А кто его вообще предсказывал, этот рост? "Эксперты" LETA? Ни один здравомыслящий специалист такого предсказать не мог. Да, интерес к стандарту есть. да, есть первые попытки сертификации. Но ни о каком широком применении необязательного стандарта речи и быть не может. Если уж авторы ссылаются на то, что пользовались данными Gartner, то могли бы посмотреть на оценки этой международной компании. А она еще пару лет назад предсказывала, что стандарты ISO 2700x выйдут на "плато продуктивности" не раньше чем через 5-10 лет.

Главной удачей рынка называется активный рост сегмента DLP. Это просто смешно. Активность Infowatch и Perimetrix на данном поприще еще не говорит о том, что рынок развит. Все DLP-вендоры вместе взятые заработали в России от силы миллионов 6-10 (LETA, правда, называет цифру в 24 миллиона). При правдивости данных LETA - это меньше процента. Интересное толкование удачи. И вообще DLP не дает покоя специалистам LETA. Почему-то они считают, что быстрый рост данного сегмента российского рынка связан с выходом документов ФСТЭК по персональным данным и выходом российских компаний на IPO и обязательным соответствии SOX. Однако 4-ка нормативных актов ФСТЭК по защите ПДн вообще ни слова не говорит про DLP-решения (даже косвенно), а IPO необязательно должно осуществляться в Америке, где и действует SOX/

Одной из главных тенденций развития угроз эксперты LETA называют угрозы для мобильных устройств. И я опять задумываюсь о том, что не стоит слепо копировать западные отчеты и надо иногда думать. Я активно езжу и в России и зарубежом и еще ни разу не столкнулся с мобильной угрозой. НИ РАЗУ!!! Мобильный Касперский у меня раз пять на смартфоне "вылез" и то по поводу неизвестного отправителя SMS. Угроза мобильных угроз очень сильно раздута. Да, про нее нельзя забывать и через несколько лет она станет актуальной (может и в России). Но нельзя же ее называть одной из главных. Вывод о росте интереса к мобильным устройствам со сканерами отпечатков пальцев я комментировать не буду.

Интересный вывод сделан о том, что одной из важных тенденций 2007 года стал "экономический" подход при выборе и внедрении решений ИБ. Мол, многие компании научились считать стоимость своей информации и активно используют методы финансовой отдачи в проекты по ИБ. Где, кто?.. Ау?!..

Некоторые моменты отчеты вызывают недоумение и вопросы. Например, авторы почему-то ставят знак равенства между ISO 20000 и ITILv3. А ведь последний был выпущен двумя годами позже ISOшного стандарта. В отчете, датированном 2008-м годом (не ранее марта), упоминается компания Vontu, которую Symantec купил еще в прошлом октябре.

Интересно посмотреть на отчет и с точки зрения стилистики и русского языка (про орфографические ошибки, согласование падежов я вообще не говорю). Например, в начале отчета приведены главные драйверы роста рынка ИБ в России. Но по ряду из них написано, что они не являются общеприменими и скорее отражают частный случай. Какже он тогда стал драйвером роста? С удивлением узнал, что термин СУИБ вообще мужского рода; хотя всегда считал, что СУИБ, это система, т.е. она.

Из всех выводов LETA я могу согласиться только с одним - "В 2007-2008 гг. произошло усиление внимания государства к вопросам защиты конфиденциальной информации, за это время было выпущено ряд нормативных актов". Правда, чтобы сделать такой вывод, не надо обладать аналитическим умом.

Пугает меня заключение, данное в конце отчета: "Компания LETA продолжит исследование российского рынка информационной безопасности. В дальнейшем будут выпушены исследования как по отдельным сегментам, так и по рынку в целом (2009 год). LETA IT-company надеется, что эти исследования, которые компания готовит для себя, будут востребованы всеми участниками ИТ и ИБ рынка."

Подробнее…

Создан экспертный совет по DLP

Сегодня прошло первое очное заседание экспертного совета по вопросам защиты от внутренних угроз ИБ. У совета есть свой сайт - http://www.dlp-expert.ru/. На сайте уже сейчас есть много полезной информации и планируется его наполнять еще больше.

Подробнее…

О мышлении безопасников и их кругозоре

Комментарии к моей статье по легитимности контроля электронной почты выявили интересную (но неприятную) закономерность. Безопасники в массей своей не считают целесообразным соблюдать действующее законодательство, мотивируя это, как правило, двумя основными тезисами:
- я занимаюсь ИБ и все, что я делаю на благо работодателя, законно по определению, а на права рядовых сотрудников мне "с высокой колокольни"
- для скользких тем отсутствует правоприменительная практика и жесткость законов компенсируется необязательностью их исполнения.

Я с этим столкнулся еще несколько лет назад, когда преподаватели ряда ВУЗов, учащие студентов вопросам ИБ и защите интеллектуальной собственности, занимались кражей этой самой собственности и плагиатом! И ведь они не считали себя виноватыми!

Другой интересный вывод касается кругозора большинства безопасников (я сам, когда писал статью, понял, что в этой части мало подкован) в юридической плоскости. Очень многие знают профильные законы - трехглавый, "О персональных данных", "О коммерческой тайне" и т.п., но за рамки этих нормативных актов они не выходят и не думают выходить. А ведь эти законы не висят в воздухе - они опираются на Конституцию РФ, Кодексы, другие законы, в т.ч. и на европейское законодательство. И занимаясь ИБ, мы не должны забывать, что все наши действия не могут нарушать действующее законодательство.

И ситуация не движется с места... Такое я замечал много лет назад, такой подход остался и сейчас. А ведь еще Эйнштейн как-то сказал: "Невозможно решить проблему на том же уровне, на котором она возникла. Нужно стать выше этой проблемы, поднявшись на следующий уровень". Это касается и безопасности, которую надо решать, привлекая знания и умения из разных областей...

Подробнее…

Как русский царь завоевал весь мир!

Совершенно случайно наткнулся на фан-клуб Евгения Касперского. Почитал восторженные отзывы о ЕК, полюбовался фотографиями его встреч с детьми, посмотрел ролик с YouTube "Как русский царь завоевал весь мир"... Конечно ему не откажешь в том, что он сделал себя сам, а маркетинговая машина ЛК - одна из самых агрессивных в России, но... что-то это очень сильно напоминает времена культа личности... ну вы знаете кого...

Подробнее…

О легитимности перлюстрации e-mail в целях ИБ

Существует распространеннок заблуждение о том, что в целях информационной безопасности одноименная служба имеет право перлюстрировать электронную почту сотрудников в целях поисках в них утечек конфиденциальной информации. Этому мифу подвержены, что характерно, и известные специалисты. Их точка зрения мне понятна и отчасти я ее разделяю. Действительно в целях ИБ мы должны контролировать разные каналы, по которым может утекать информация из компании.

Но помимо здравого смысла мы не должны забывать, что все наши действия должны соотноситься с буквой закона и не нарушать его. А вот это-то и происходит сплошь и рядом. К сожалению, специалисты по ИБ часто не знакомы с законодательством не только в области ИБ, но и в смежных областях, без которых их деятельность будет неполноценной. Одной из них является тайна переписки, дарованная нам 23-й статьей Конституции. Как не пыталались ее дезавуировать. И то, что на работе не может быть личной переписки, и что сотрудники не имеют права писать на работе личные письма, и что все написанное работником принадлежит работодателю, и что перлюстрация разрешена законом "О коммерческой тайне"... Но все это не совсем так.

Бурные баталии на bankir.ru, RU.SECURITY (Fido), securitylab.ru привели меня к мысли, что надо попытаться объединить все точки зрения в едином материале, что я и сделал, специально для портала bankir.ru.

Первая часть статьи опубликована тут, вторая тут, а ее обсуждении идет как на форуме, так и под самими статьями.

Подробнее…

Новое Постановление Правительства по персданным

Владимир Путин подписал новое Постановление Правительства, касающееся персональных данных. На сей раз оно касается биометрических персданных. Датировано оно 06.07.2008 и имеет номер N 512 - "Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных".

В России такими носителями у нас пока являются паспорта, но тенденция налицо - правительство (или околоправительственные структуры) озаботилось вопросами безопасности всерьез. Сначала невыполнимые требования по персданным, теперь их развитие, спроецированное на биометрию, скоро сделают достоянием гласности требования по защите критических инфраструктур... Защищать информацию становится все сложнее, а рынок окологосударевых разработчиков, которые совсем недавно считались почившими в бозе, опять возрождается ;-(

ЗЫ. Я, например, счастливый обладатель паспорта с биометрией. По идее это дает мне преимущество при поездках за границу - в "Домодедово" и "Шереметьево-2" есть отдельный пограничный пункт для владельцев такого чуда. Правда, сколько я не летаю, это окно все время закрыто ;-(

Подробнее…

Критические системы информационной инфраструктуры

18 мая 2007 года (в ПРОШЛОМ году) заместитель директора ФСТЭК России утвердил следующие документы по безопасности критических систем информационной инфраструктуры (возможно проекты):
- "Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры"
- "Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры"
- "Общие требования по обеспечению безопасности информации в ключевых системах информационной инфраструктуры"?

Также Секретарем Совета Безопасности 08.11.2005 утвержден докумет "Система признаков критически важных объектов и критериев отнесения функционирующих в их составе информационно-телекоммуникационных систем к числу защищаемых от деструктивных информационных воздействий".

Согласно этим документам Ключевые системы входят в состав следующих сегментов информационной инфраструктуры:
- системы органов государственной власти
- системы органов управления правоохранительных структур
- системы финансово-кредитной и банковской деятельности
- системы предупреждения и ликвидации чрезвычайных ситуаций
- географические и навигационные системы
- сети связи общего пользования на участках, без резервных видов связи
- системы специального назначения
- спутниковые системы для обеспечения органов управления и в спец. целях
- системы управления добычей и транспортировкой нефти, нефтепродуктов и газа
- программно-технические комплексы центров управления ВСС
- системы управления водоснабжением и энергоснабжением
- системы управления транспортом (наземным, воздушным, морским)
- системы управления потенциально опасными объектами.

По имеющейся информации в государственный реестр КСИИ, который ведет ФСТЭК, уже включено около 1200 систем. Официальный статус реестру планируется придать постановлением Правительства РФ в середине – конце 2008 г.

Подробнее…

Парадокс законодательства о персданных

Интересный парадокс связан с 4-ой документов. В требованиях к защите персональных данных нет ни слова про решения по отражению утечек этих самых персональных данных (DLP). Максимум, что они упоминают - регистрацию фактов доступа к защищаемым данным... но не блокирование их утечки ;-( Поэтому заявления о том, что закон позволит предотвратить утечки баз данных из наших госструктур, операторов связи или финансовых учреждений, не более чем не соответствующий действительности PR.

Подробнее…

Мобильный телефон как средство обработки персональных данных

Начнем с исходных данных. Возьмем мой смартфон Nokia E61i. В нем есть (помимо всего прочего) телефонная книжка с персональными данными моих коллег по работе, а также руководителей служб ИБ разных компаний, с которыми я общаюсь и которые работают в разных регионах нашей необъятной Родины. Число таких контактов невелико - всего 2-3 сотни. Теперь посмотрим, что это значит для меня с точки зрения закона "О персональных данных".

1. Мой телефон является ИСПДн, которую можно отнести к разряду однопользовательских.

2. Личными и семейными нуждами пользование телефона не ограничивается.

3. Класс данной ИСПДн вычисляется как функция от объема ПДн и категории ПДн. Значение объема для меня будет не 3, как можно было бы предположить (менее 1000 субъектов ПДн), а 1, т.к. эти субъекты разбросаны по разным субъектам РФ. Категория будет вторая. Таким образом, итоговый класс моей ИСПДн будет К1.

4. Что я должен сделать для защиты своей ИСПДн? Немало. Я должен:
- защищать как сами ПДн в телефонной книжке, так и все телефонные переговоры с субъектами ПДн. Причем последнее должно выполняться сертифицированными средствами криптографической защиты информации
- средства защиты моего телефона должны иметь сертификат ФСТЭК
- ПО моего телефона (как минимум телефонная книжка) должно быть сертифицировано на отсутствие недекларированных возможностей
- провести аттестацию своего телефона
- иметь лицензию ФСБ на шифрование (ведь я обязан шифровать ПДн)
- иметь на телефоне IDS, обнаруживающие аномалии
- иметь МСЭ 3-го класса
- реализовать замкнутую программную среду
- автоматически идентифицировать и аутентифицировать аппаратные составляющие моего телефона
- реализовать ролевое управление системой защиты своего телефона
- контролировать информационные потоки к системе защиты своего телефона
- очищать оперативную память после завершения работы с ПДн
- маркировать и регистрировать все печатаемые с телефона данные (а посылать на печать он умеет)
- автоматически контролировать корректность работы аппаратных частей телефона
- реализовать автоматичесую проверку на наличие ПМВ при импорте в ИСПДн всех программных средств, которые могут содержать ВП, путем проверочной их активизации в специальной изолированной виртуальной среде, моделирующей среду ИСПДн, с анализом их кода методами трассировки и отладки непосредственно во время активного состояния программных средств
- установить на телефон Honeypot
- идентифицировать и аутентифицировать вход в систему защиты, а также любую операцию управления
- регистрировать запуск/останов работы всех подсистем системы защиты
- регистрация каждой операции управления системой защиты
- установить на телефон поведенческую HIPS
- автоматически блокировать обнаруженные атаки
- контролировать целостность системы защиты, ее обновлений и компонентов
- обеспечить физическую охрану телефона
- регулярно сканировать телефон на предмет наличия в нем уязвимостей
- иметь второй телефон с копией системы защиты для ее периодического обновления и контроля работоспособности
- и еще по мелочи...

5. Что у меня все-таки реализовано:
- блокирование терминала после заданного интервала неактивности
- антивирусный контроль
- идентификация при входе в телефон по паролю условно-постоянного действия не короче 6 символов.

И как позвольте все это выполнить? А ведь у меня смартфон еще из продвинутых и я, по идее, могу на него поставить какие-нибудь защитные системы (если бы они существовали в природе). А что делать пользователям обычных телефонов?

Подробнее…

4 документа ФСТЭК: краткий анализ. "Базовая модель угроз"

Итак коснемся третьего из рассматриваемых документов ФСТЭК - "Базовой модели угроз безопасности персональных данных". Этот стастраничный документ поражает... своим отставанием от современной ситуации лет на 10-15.

Когда я только начинал читать этот манускрипт, у меня сложилось впечатление, что все это я уже где-то читал. И действительно дойдя до конца, я понял, что процентов на 80 "Базовая модель" является творческой переработкой статей и материалов из сети Интернет, посвященных безопасности, сетевым атакам, вирусам и т.п. Правда все эти материалы были опубликованы в начале-середине 90-х годов. Чего только стоит упоминание таких современных атак, как Land, Smurf, Ping of Death и т.п.

Раздел про вирусы поражает своим интеллектом - упоминание перехвата прерывания INT 13H, как основного канала попадания вирусов в систему, рассказ о звуковых и видеоэффектах и изменении палитры экрана, замена символов при вводе, форматирование дискет (я давно не видел компьютеров с Floppy-накопителями), заражение OBJ-файлов. Как вам такая фраза из документа, датированного 2008 годом: "Наиболее распространены компаньон-вирусы, использующие особенность DOS первым выполнять файлы с расширением .СОМ"? Какой COM, какой DOS? О чем говорят эти люди, отвечающие в стране за информационную безопасность?

Большой раздел посвящен сетевым атакам. Все бы ничего, если бы он не устарел еще до своего опубликования. Упоминание Back Orifice, NetBus, Nuke говорит само за себя. Рассказ о том, как перехватываются данные за счет подмены адресов и уязвимостей в ARP-протоколе было бы интересным, если бы не напоминало книгу "Атака из Интернет", выпущенную в середине 90-х и выложенную в Интернет в то же время.

O современных сетевых червях, DDoS-атаках, утечках данных через IM или e-mail, обходе средств защиты, атаках на прикладном уровне в данной модели угроз ни слова. Зато полно упоминаний таких "известных" в мире ИБ компаний, как Axent, CyberSafe, L-3, BindView и т.п. Помню, когда я упоминал эти компании в своих статьих и книжке конца 90-х, я еще тогда написал, что эти компании уже не существуют т.к. были поглощены более крупными игроками рынка ИБ. Авторы документа находятся в счастливом неведении о данном факте.

Поражают знания авторов документа в области вредономных программ. Среди их носителей среди видеоадаптеров и звуковых плат, которые почему-то названы встроенным носителем информации, также указан блок питания! Почему блок питания стал не только носителем информации, но и носителем вредоносного ПО я так и не смог понять. Видимо это результат закрытых исследований, проводимых уважаемым регулятором.

Что еще сказать про этот документ? В общем-то и нечего ;-( Упомянутые факты говорят сами за себя.

Подробнее…

4 документа ФСТЭК: краткий анализ. "Основные мероприятия по защите персональных данных"

Как вы знаете ФСТЭК разработал 4 документа по защите персональных данных, самым интересным из которых является документ «Основные мероприятия по защите персональных данных, обрабатываемых в информационных системах персональных данных». Именно в данном документе описываются конкретные технические меры защиты применительно к информационным системам, классифицированным в соответствие с ранее принятым «Приказом трех».

Проанализировав данный документ, был разработан Video-on-Demand, подробно рассматривающий мероприятия, которые должны будут выполнены.

VoD расположен на сайте Cisco.

Длительность VoD: 1 час 28 минут

ЗЫ. Данный VoD не является официальной позицией компании Cisco, а описывает личную точку зрения автора VoD, т.е. меня.

Подробнее…

Сертификация продукта по требованиям PCI DSS. Бред или очередной маркетинговый ход?!

Начну с предистории: Когда-то лаборатория NSS блистала на рынке сетевой безопасности, предложив независимую оценку и сертификацию средств предотвращения атак. Однако рынок этот достаточно узкий, да и интерес к сетевой безопасности постепенно угасает, сдавая позиции прикладной безопасности, теме compliance, стандартой и т.д. Но зарабатывать как-то надо и поэтому NSS стала расширять спектр своей деятельности - она ввела сертификацию Web Application Firewall, UTM, средств защиты контента.

И вот недавно NSS объявила о том, что она будет проверять соответствие (сертифицировать) различных технологических продуктов требованиям стандарта PCI DSS. Учитывая интерес к данному стандарту и его обязательность для многих, ход правильный, но... Если посмотреть на текущую версию PCI DSS 1.1, то мы увидим, что несмотря на его технологичность, он не является продуктовым. Мы не можем сказать, что один продукт соответствует требованиям стандарта PCI DSS. С точки зрения безопасности и здравого смысла это нонсенс. Максимум на что мы можем рассчитывать, это "наш продукт помогает выполнить требования x стандарта PCI DSS".

Однако маркетинг, есть маркетинг... Поэтому к тесту Антона Чувакина "Вы идиот безопасности, если..." можно добавить 9-ый вопрос: "вы считаете, что продукт может выполнить требования PCI DSS".

Подробнее…

Fortinet покупает активы IPLocks

Китайская компания Fortinet покупает американские и английские активы частной компании IPLocks, которая работает в области оценки, мониторинга и аудита баз данных с точки зрения безопасности. Финансовые детали сделки не разглашаются.

По оценке Canalys 99% всех продаж Fortinet. Поэтому выход на рынок прикладной безопасности, сделанный вслед за Cisco и другими компаниями является вполне логичным и закономерным. Сложно сказать, насколько данный шаг позволит компании занять свое место под солнцем, но китайские методы ведения бизнеса говорят о том, что они могут потеснить небольшие компании в этом сегменте.

Подробнее…

Вы идиот безопасности...

У Антона Чувакина в блоге появился классный мини-тест на тему "Идиот ли вы в области безопасности". Если хотя бы на один вопрос вы отвечаете положительно, то увы...

Читать здесь...

ЗЫ. А тут очередной укол в сторону CISSP ;-)

Подробнее…

Стандартизация в ИБ - лед сдвинулся

Не раз я писал про то, что уровень стандартизации в области ИБ не так высок, как в других отраслях. В частности у нас отсутствуют стандарты на обмен сигналами тревоги между решениями разных фирм. Когда-то был стандарт RDEP, разработанный Cisco. Потом RDEP был поддержан NFR, ISS, Sourcefire и на его основе родился SDEE. Но и его постигла судьба RDEP - кроме Cisco его никто не использовал. Отчасти потому, что стандарт, разработанный конкретной компанией, мало кто поддерживает из конкурентов (даже если стандарт хорош).

Но сейчас ситуация меняется и в отрасли стали появляться стандарты. Первой ласточкой стал CVE - Common Vulnerabilities and Exposures - стандарт, определяющий единое именование уязвимостей. Потом появился OVAL - Open Vulnerability and Assessment Language - стандартизованный язык описания уязвимостей в сканерах и системах анализа защищенности. Оба эти стандарта были разработаны под эгидой MITRE.

С тех пор число стандартов, над которыми MITRE взяла шефство, только возросло. Среди них:
- CCE - Common Configuration Enumeration - стандарт описания конфигураций, которые затем могут проверяться в сканерах и системах анализа защищенности
- CEE - Common Event Expression - стандарт описания, хранения и обмена сигналами тревоги между разнородными средствами защиты
- CME - Common Malware Enumeration - стандарт, похожий на CVE, но ориентированный на вредоносное ПО
- CWE - Common Weakness Enumeration - стандартизованный набор слабых мест в ПО. Этот стандарт не зацикливается только на уязвимостях как CVE и является более высокоуровневым, описывая типы проблем, а не их конкретные имена и проявления
- CPE - Common Platform Enumeration - стандарт описания и именования элементов ИТ-инфраструктуры
- CAPEC - Common Attack Pattern Enumeration and Classification - создание публичного каталога и схемы классификации шаблонов атак
- CRF - Common Result Format - стандартизация описания результатов тестирования или оценки защищенности.

Еще три стандарта появились не в MITRE, но тоже в Америке и тоже в известной своей деятельностью в области ИБ организации - Национальном институте стандартов США (NIST):
- SCAP - Security Content Automation Protocol - это даже не стандарт, а метод используюзий различные стандарты для автоматизации процесса управления уязвимостями
- CVSS - Common Vulnerability Scoring System - стандарт рейтингования уязвимостей
- XCCDF - eXtensible Configuration Checklist Description Format - стандартизованный язык описания чеклистов, тестирований и т.п.

Не все стандарты еще получили широкое распространение, не все вышли из разряда "беты"... Но и этого уже немало. Мы в начале большого пути и главное, чтобы эти стандарты не постигла судьба SDEE.

Подробнее…

4 документа ФСТЭК: краткий анализ. "Методика определения актуальных угроз"

Итак, не без помощи добрых людей, удалось раздобыть 4 документа ФСТЭК, которые расширяют уже неоднократно упоминаемый мной "приказ трех". Прочтя их, решил поделиться кратким анализом. Итак, документ первый - "Методика определения актуальных угроз".

Начну с того, что методика ориентирована в т.ч. и на физлиц, исключая случаи создания информационных систем персональных данных (ИСПДн) для личных и семейных нужд.

Угрозой безопасности ПДн называется не только их утечка, но и иные несанкционированные или непреднамеренные воздействия на информацию. С одной стороны у нас достаточно широкий спектр угроз подпадает под понятие, данное ФСТЭК. С другой - мы сталкиваемся с проблемой терминологии. К чему, например, относится доступность? К информации или к информационной системе? Ведь блокируя работу той или иной ИС, с информацией мы ничего не делаем и вообще на нее никак не воздействуем, концентриясь на системе ее обработки, передачи и хранения. Т.е. доступность скорее относится к понятию "информационная система". А раз так, то угрозы доступности не относятся в сферу компетенции рассматриваемой методики ФСТЭК.

Интересно, что среди каналов реализации угроз ФСТЭК явно упоминает про электромагнитные излучения и наводки, а также акустику, что делает задачу защиты ПДн явно нетривиальной (но об этом позже).

Среди нарушителей не забыты операторы связи, которые могут получить доступ к ПДн в процессе их передачи по сетям общего пользования. Вот еще одна терминологическая неувязка. У Минсвязи нет термина "сеть общего пользования", зато есть "сеть связи общего пользования" (ССОП). Видимо сотрудничество Минсвязи и ФСТЭК ограничилось только первыми документами - все остальное делалось самостоятельно с вытекающими отсюда последствиями.

Выявление угроз осуществляется путем опросов! При опросах можно использовать сканеры уязвимостей. Про режимы обучения в ряде автоматизированных защитных средств во ФСТЭК, видимо, не слышали.

Очень меня смутила фраза "Наличие источника угрозы и уязвимого звена, которое может быть использовано для реализации угрозы, свидетельствует о наличии данной угрозы". Т.е. наличие сотрудников, которые называются в методике "внутренними нарушителями", автоматически влечет за собой наличие целого класса внутренних угроз (хотя они могут на практике вообще никогда не реализоваться). Теоретическое наличие уязвимого ПО или информации приводит к тому, что мы должны учитывать и эти угрозы. Иными словами, упомянутая фраза приводит к тому, что мы должны учесть ВСЕ возможные в природе угрозы. Зачем это делать для каждой ИСПДн непонятно - проще было сделать единый список всех угроз, от которого отталкиваться в последующей работе.

После составления перечня всех угроз мы приступаем к составлению списка актуальных угроз. Актуальной считается угроза, которую можно реализовать и которая опасна для ПДн. Для оценки возможности реализации угрозы применяются два показателя: уровень исходной защищенности ИСПДн и частота (вероятность) реализации рассматриваемой угрозы.

Под уровнем исходной защищенности ИСПДн понимается обобщенный показатель, зависящий от технических и эксплуатационных характеристик ИСПДн, перечисленных в методике. Например, территориальная распределенность ИСПДн, наличие подключения к Интернет, наличие встроенных механизмов регистрации событий, уровень обезличивания ПДн, объем ПДн, передаваемых наружу без обработки и т.д. У каждого из таких параметров есть три степени защищенности - высокий, средний и низкий, оценка которых осуществляется экспертом. Суммирование таких показателей и дает нам совокупный уровень исходной защищенности. Например, ИСПДн имеет высокий уровень исходной защищенности, если не менее 70% характеристик ИСПДн соответствуют уровню "высокий" и т.д.

С вероятностью все более или менее понятно. Оценка экспертная. Градация по четырехбалльной шкале - маловероятно, низкая вероятность, средняя вероятность и высокая.

После определения для каждой угрозы вероятности ее реализации и исходного уровня защищенности мы вычисляем коэффициент реализуемости угрозы по приведенной в Методике формуле.

Затем мы переходим к опасности. Здесь тоже все "просто". Тоже экспертная оценка специалистов по защите информации данной ИСПДн. Правда, что делать, если для данной ИСПДн нет специалистов, которые могли бы оценить опасность угрозы и вероятность ее реализации, Методика не отвечает.

После определения опасности и реализуемости угроз мы обращаемся к матрице соотнесения угроз к классу актуальных. Согласно Методике почти все угрозы являются актуальными, исключая:
- с низкой опасностью и низкой и средней возможностью реализации
- со средней опасностью и низкой возможностью реализации.

Судя по описанию ФСТЭК попробовал применить оценку рисков, однако вышло это, на мой взгляд, не очень удачно. Очень сильная зависимость от экспертов, которых может и не быть для всех существующих ИСПДн. Да и появление такого параметра как "исходная защищенность" тоже является не совсем понятным и усложняющим составление итогового перечня приоритетных рисков.

Используя данные о классе ИСПДн (из "приказа трех") и составленного на основе рассмотренной Методики перечня актуальных угроз, на основе «Рекомендаций по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных» и «Основных мероприятий по организации и техническому обеспечению безопасности персональных данных, обрабатываемых в информационных системах персональных данных» "формулируются конкретные организационно-технические требования по защите ИСПДн от утечки информации по техническим каналам, от несанкционированного доступа и осуществляется выбор программных и технических средств защиты информации, которые могут быть использованы при создании и дальнейшей эксплуатации ИСПДн".

Подробнее…

Классификация информации

По заказу портала bankir.ru сотворил я нечто под названием "Классификация информации: что, зачем, кто, как и с помощью чего?", которая из обычной статьи на 3-4 страницы вылилась в некий "труд" на 18 листов. Мне даже самому понравилось ;-)

Постарался учесть различные аспекты данной непростой задачи:
- маркировка
- жизненный цикл документа в компании
- кто должен присваивать класс информации
- классификация по разным признакам; не только конфиденциальности
- пересмотр класса информации
- проблемы классификации
- как быть, если на одной странице документа информация разных классов
- ну и т.д.

Первая часть статьи размещена на сайте bankir.ru, а дискуссия будет разворачиваться (я надеюсь) там же, но на форуме.

Подробнее…

20 полезных сайтов по безопасности

Журнал NetworkWorld выбрал 20 лучших сайтов по информационной безопасности. В их числе:

• Персональный сайт Брюса Шнайера - новости, аналитика, статьи, размышления одного из ведущих мировых экспертов по ИБ
• Cisco Security Center - единая точка контакта по всем вопросам безопасности Cisco - бюллетени, сигнатуры, новости, эпидемии, аналитика и т.п.
• Privacy Rights Clearinghouse - сайт, описывающий все утечки информации в США
• OWASP - про безопасность Web-приложений
• Microsoft - как мониторить действия пользователей в Интернет
• Secunia - обширный список уязвимостей в разном ПО
• Commtouch - сайт, посвященный эпидемиям вредоносного ПО
• SecureMac - сайт, рассказывающий, как защищать Apple Mac
• IT Security - сайт-советчик, посвященный тому, как выбирать и внедрять системы защиты. На этом же сайте опубликован список из 103 свободно распространяемых средств защиты для Linux, Windows и Mac
  
• LiquidMatrix Security Digest - сайт Дейва Льюиса, аккумулирующий новости по ИБ
• IronPort Senderbase - статистика в реальном времени о спаме и почтовых эпидемиях
• CyberCrime.org - отчеты о штатовских преступлениях в сфере ИТ
• IT Compliance Institute - новости, исследования и аналитика по IT Compliance
• Microsoft Technet Security Center - бюллетени, статьи и практические рекомендации
по защите платформы Windows

• Computer Security Resource Center - сайт американского института стандартов NIST, посвященный вопросам ИБ (кладезь информации)
  
• SANS - еще одна кладезь информации от института SANS
• CERT - про реагирование на инциденты + информация по уязвимостям
• SecurityFocus - новости, статьи, аналитика по ИБ
• Бунт роботов - нам неактуально, но читать прикольно
  

Приятно осознавать, что работаешь в компании, которой принадлежат два сайта, входящих в этот список (Cisco Security Center и Senderbase.org).

ЗЫ. Список американизированный, что закономерно, учитывая происхождение Network World.

Подробнее…