пятница, 30 ноября 2018 г.

Книга: Безопасность Oracle глазами аудитора. Нападение и защита. (Александр Поляков)



Безопасность Oracle глазами аудитора. Нападение и защита.
Автор - Александр Поляков
В настоящее время анализ защищенности корпоративных сетей все чаще показывает, что уровень обеспечения информационной безопасности заметно возрос: администраторы своевременно устанавливают системные обновления на рабочие станции и серверы, стандартные пароли на доступ к активному сетевому оборудованию встречаются все реже, сети сегментируют и разграничивают доступ, парольная политика во многих системах соблюдается. Однако существует еще ряд проблем, которым до сих пор не уделяется должного внимания. Одна из них – это защищенность корпоративных систем управления базами данных (СУБД). Как известно, в корпоративных системах любая важная информация обычно хранится в базах данных, и конечной целью злоумышленника, как правило, является именно информация, находящаяся в них, которая зачастую важнее, чем права администратора на атакуемом сервере. В книге Александра Полякова "Безопасность Oracle глазами аудитора: Нападение и защита" подробно рассматривается вопрос безопасности СУБД Oracle, как наиболее распространенной среди существующих СУБД.
Большинство книг, в которых уделяется внимание безопасности Oracle, рассматривают в основном механизмы установки и настройки существующих средств безопасности. Такие книги по большому счету являются переводами разделов технической документации, отвечающих за безопасность. В них рассматриваются основные вопросы, связанные с аутентификацией, шифрованием, разграничением доступа, но крайне мало внимания уделяется тому, зачем нужны эти механизмы и как на практике осуществляется реальное проникновение в базу данных, от которого необходимо уметь защищаться. Как известно, чтобы понять, как защититься от злоумышленника, нужно хорошо знать и понимать методы его работы. Данная книга сильно отличается своим подходом к рассмотрению проблемы. Основной акцент в ней сделан на детальное объяснение практической стороны методов проникновения в СУБД; рассматриваются реальные примеры атак, реализованные автором на практике и подкрепленные детальным описанием проблемы. При этом речь идет не о простом перечне уязвимостей, а о системном подходе к вопросу проникновения в СУБД. Как итог, читатель сможет взглянуть на вопрос безопасности СУБД с точки зрения злоумышленника, что в итоге поможет ему настроить адекватную защиту.
Издательство – ДМК-Пресс
Год издания – 2010
Формат книги - PDF
Размер - 10 Мб

понедельник, 26 ноября 2018 г.

Категорирование объектов критической инфраструктуры в сфере здравоохранения

Сергей Борисов в своём блоге опубликовал серию статей, которая поможет безопасникам организации сферы здравоохранения провести мероприятия по категорированию критических объектов инфраструктуры. Статьи полезны и представителям других отраслей.

КИИ. Категорирование объектов. Часть 1

КИИ. Категорирование объектов. Часть 2

КИИ. Категорирование объектов. Часть 3.

четверг, 22 ноября 2018 г.

Всё, что вы хотели знать о ГОССОПКА

Размышления на тему значимых объектов КИИ в банках

Статья из блога "Malotavr":

Уже не первый раз слышу от банковских безопасников: "Мы - не системно значимый банк, у нас не может быть значимых объектов КИИ."
Причиной стала формулировка одного из экономических показателей в ПП127:
Прекращение или нарушение проведения клиентами операций по банковским счетам и (или) без открытия банковского счета или операций, осуществляемых субъектом критической информационной инфраструктуры, являющимся в соответствии с законодательством Российской Федерации системно значимой кредитной организацией, ...
Коллеги видят упоминание системно значимых банков и решают, что оно относится ко всему показателю. Но это не так.
Показатели определены только в этом документе, других норм на эту тему нет. Обычаи делового оборота тоже ничего не говорят о значимости тех или иных банковских операций для государства. В этой ситуации трактовка норм права определяется только правилами русского языка.
В данной формулировке речь идет о проведении банковских операций. Но не всех операций, а только двух определенных групп. Первая группа определяется дополнением "клиентами" и уточняется обстоятельством "по банковским счетам". Вторая группа операций определяется причастным оборотом "осуществляемых субъектами, являющимися системно значимыми...". Т.е в структуре предложения эти операции определены так:
проведение операций клиентами или операций, осуществляемых системно значимыми банками
В соответствии с правилами русского языка, причастный оборот, выделенный запятыми, определяет существительное, которое ему предшествует.
То есть на самом деле АБС может быть значимым объектом КИИ в двух случаях:
  1. Банк системно значимый, и инцидент с АБС приведет к прекращению или нарушению любого вида операций
  2. Банк не является системно значимым, и инцидент с АБС приведет к прекращению или нарушению операций, которые клиенты выполняют со своими счиетами.
Упоминание системной значимости могло бы относиться к обеим группам операций, если бы было добавлено слово "других":
проведение операций клиентами или других операций, осуществляемых системно значимыми банками
Это было бы стилистической ошибкой, но тогда из контекста было бы понятно, что речь идет только о системно значимых банках. В действующей же формулировке показатель "прекращение или нарушение проведения лпераций клиентами" относитсямко всем банкам без исключения.

Блогеры обсудили с представителями ФСТЭК вопросы по категорированию объектов КИИ

9 ноября 2018 года состоялась встреча представителей ФСТЭК России во главе с В.С Лютиковым и блогеров по ИБ (А.Лукацкий, П.Луцик, А.Комаров, В.Комаров, А.Кузнецов, С.Борисов) по теме законодательства о безопасности КИИ. Каждый участник встречи со стороны блогеров сделает соответствующую заметку по результатам встречи.

Далее информация от П.Луцика (https://plutsik.blogspot.com):


"Что касается самой встречи, то из 153 собранных с сообщества вопросов обсудить успели лишь некоторые, относящиеся к общим нормам законодательства. Частные вопросы (из серии, а Водоканал – это субъект?) не обсуждались. Весь перечень вопросов пока публиковаться не будет, т.к. был собран из разных источников.
На мой личный взгляд встреча оказалась весьма продуктивной и полезной для обеих сторон. Регулятором было предложено проводить подобные встречи на регулярной основе, что не может не радовать, особенно учитывая тот факт, что позиция регулятора по некоторым вопросам оказалась весьма неожиданной, а значит, профессиональное сообщество в своем большинстве о ней не знало, но благодаря таким встречам сможет узнать.
Далее приведу позицию ФСТЭК по обсуждаемым вопросам.

среда, 7 ноября 2018 г.

Перечень обязательных мероприятий при категорировании объектов критической информационной инфраструктуры

Для тех, кто всё-таки должен провести работы по категорированию значимых объектов критической информационной инфраструктуры Сергей Борисов подготовил небольшую, но очень полезную шпаргалку с перечнем мероприятий, которые необходимо провести в организации со ссылкой на пункты нормативных документов по КИИ.

При планировании мероприятий по обеспечению безопасности значимых объектов критической информационной инфраструктуры важно понимать какие процессы обеспечения безопасности необходимо создать/изменить, а также в каких документах они должны быть определены и описаны.
Я провел полный анализ действующих НПА в области КИИ на предмет требований в которых какие-либо документы упоминаются в явном виде, либо имеются требования к мерам необходимость документирования которых очевидна и неоспорима.   
Для владельцев незначимых объектов КИИ получился примерно следующий перечень



Для владельцев значимых объектов КИИ перечень существенно больше

Была ли утечка у Сбербанка и что может утечь почти у каждого...

Много шума наделали журналисты с так называемой "утечкой персональных данных" из Сбербанка. Каждый, кто видел данные, которые "утекли" у Сбербанка, понимает, что это информация, которая доступна практически каждому работнику организации, в которой развернута служба Active Directory или имеется внутренний почтовый сервер.
Более популярно про всё это нам рассказал в своём блоге Артем Агеев в статье "Слив сотрудников Сбербанка":

------------------------------------------------------------------------------------

420 тысяч записей вида "SAMAccountName","DisplayName","CanonicalName" утекли у Сбербанка через powershell запрос Get-ADUser. Утекли первоначально отсюда, а сейчас базу можно взять тут.

Я вам скажу Сбербанк ещё легко отделался.

воскресенье, 28 октября 2018 г.

Что грядёт на смену 552-П

Валерий Естехин как всегда оперативно прочитал проект нового нормативного акта Банка России о защите информации в платежной системе Банка России и написал в своём блоге мнение о новом проекте
Перепечатаем весь текст статьи без купюр:
"Ознакомившись с проектом нового Положения “О требованиях к защите информации в платежной системе Банка России", которое в скором времени придет на смену Положению от 24 августа 2016 г. № 552-П с тем же названием, сначала испытываешь шок от радикальности “обновления” документа.
Роднит эти два нормативных документа с одним и тем же названием только тот факт, что документы подготовлены Банком России. В остальном от 552-П почти ничего не осталось.
Что же поменялось в нормативном регулировании банковской сферы с даты регистрации Положения № 552-П в Минюсте – 06.12.2016, что так или иначе имело отношение к защите информации в платежной системе Банка России? Давайте разбираться.

вторник, 23 октября 2018 г.

Что интересного по ИБ в проекте Положения Банка России “О требованиях к системе управления операционным риском…

Что интересного по ИБ в проекте Положения Банка России “О требованиях к системе управления операционным риском…
Создается впечатление, что проект Положения ради рисков ИБ и ИТ и написан. Во всяком случае по тексту проекта документа в нескольких местах специально указывается: “операционный риск, включая риск ИБ и риск ИС”.

Документ солидный - из категории 90+ и это не возраст, а количество страниц в Положении. Далее по тексту мои комментарии будут выделяться так: (Прим. …).
В проекте Положения Банк России устанавливает требования к системе управления операционным риском в кредитной организации и банковской группе(Прим. далее для краткости - просто “КО”), включая требования к системам управления риском информационной безопасности и риском информационных систем, а также ведению аналитической базы данных о событиях операционного риска и потерях, понесенных вследствие реализации этого риска.
Бегло пробежимся по тексту проекта Положения Банка России, специально выделяя требования Положения по ИБ- и ИТ-рискам.
За что сразу цеплятся глаз “бумажного безопасника”? Например, за то, что с 4-ой главы Положения начинает мелькать термин “цифровая инфраструктура”, хотя и в законе №187-ФЗ “О безопасности критической информационной инфраструктуры”, и в ГОСТ Р 57580.1-2017 используется устоявшийся термин “информационная инфраструктура”. Кто-то из рисковиков-разработчиков проекта поддался магии “цифровой экономики”. Но вот в Приложении 2 к Положению всё же встречаем традиционный термин “информационная инфраструктура”, хотя в п.1.3 Приложения 2 опять упоминается “цифровая инфраструктура”.

среда, 10 октября 2018 г.

ЦБ планирует отслеживать сомнительные транзакции в режиме онлайн

Центробанк готов взяться на усовершенствование своей системы мониторинга транзакций. 

Конечной целью этих действий является возможность в режиме реального времени выявлять сомнительные операции, что, естественно, положительно скажется на оперативности реагирования на киберинциденты. 

Соответствующей информацией поделился зампред Центрального банка Василий Поздышев. Выступая перед журналистами, он отметин следующее: 

«Мы предлагаем с помощью цифровых технологических решений доработать эту систему, чтобы и банки, и Центральный банк могли в онлайн-режиме проводить мониторинг текущих операций, в том числе с использованием системы быстрых платежей и системы перевода Банка России». 

Поздышев отметил, что на данный момент весь мониторинг транзакций основывается на ручном режиме выявления подозрительной активности. 

«Мы передаем банкам списки клиентов, которые замешаны в теневых операциях. Банки, опираясь на эти списки, ежеквартально их обрабатывают и, как думаем, должны не проводить операции с этими клиентами или, по крайней мере, прежде чем проводить, проверять операции с этими клиентами. Это такой ручной режим», — передал ТАСС слова зампреда ЦБ. 

Помимо этого, в Банке России задумались над усовершенствованием системы получения отчетности банков. Здесь регулятор интересует возможность получения необходимой информации непосредственно из банка.

Источник: https://www.anti-malware.ru/news/2018-10-10-1447/27708