В данной статье рассматривается круг вопросов, связанных с тем, на какие моменты стоит обратить внимание при выборе компании для аудита IT-инфраструктуры на предмет информационной безопасности, какие в этом существуют «подводные камни», как убедиться в компетентности аудитора, и каковы наиболее распространенные заблуждениях в этой сфере.
В работе проведено сравнение рисков пожарной безопасности объектов МЧС и МВД. Показано, что риск пожарной безопасности меньше на объектах МВД. Однако следует заметить, что в работе использовались статистические данные за 10 лет обо всех разнородных объектах МЧС на всей территории РФ, где преобладают пожары на объектах жилого сектора.
Из представленного ранее материала становится понятным, что эксплуатация СКЗИ с точки зрения государственного регулятора не может происходить неким хаотичным образом. Многие требования достаточно четко определены и обязательны к исполнению. В части 4 настоящей статьи уже было упомянуто, что обладатель информации принимает решение о необходимости использования криптографической защиты или отсутствии таковой.
Универсального рецепта или «серебряной» пули нет. Приемы, которыми пользуются злоумышленники, разнообразны: от социальной инженерии, применяемой к владельцам и администраторам сайтов, и спам-рассылок до создания подставных агентств, предоставляющих услуги SEO, и прямого взлома. Сгруппируем методики, для удобства изложения, по субъекту, который может их применять.
В статье будут проанализированы и описаны предпосылки возникновения новых угроз для пользователей сети Интернет, особенно в сегменте с преимущественным использованием русского языка.
В двух предыдущих статьях мы рассмотрели базовый вариант алгоритма хэширования MD6, а также опциональный параметр L, определяющий структуру алгоритма – от древовидной (параллельной) до линейной (последовательной). Рассмотрим остальные явные и неявные опциональные параметры алгоритма MD6 согласно его спецификации [1].
Небезызвестная компания Microsoft выпускает и предоставляет для скачивания с собственного сайта большое количество программ и утилит, ориентированных на повышение удобства работы и уровня безопасности информационных систем. Как показывает практика, далеко не все специалисты по информационной безопасности знают о существовании подобных программ и ещё меньше ими пользуется, лишая себя достаточно качественных инструментов.
Базовый вариант алгоритма хэширования MD6 был рассмотрен в предыдущей статье. Под базовым вариантом понимается вариант, в котором все опциональные параметры алгоритма MD6 имеют значения по умолчанию, а различные значения может иметь только обязательный параметр d, определяющий размер выходного значения алгоритма.
Каждый специалист по защите информации рано или поздно задумывается о границах своих возможностей. В данной статье мне хотелось бы по-рассуждать о том, что является неосуществимым на данный момент, спустя пару лет мы с вами будем наблюдать совсем другую картину и причин тому масса: глобализация, изменение потребностей бизнеса, увеличение мощности информационных систем и многое другое.
Данная статья продолжает цикл статей, посвященных алгоритмам хэширования семейства MD. Следующий после алгоритма MD5 и наиболее современный из алгоритмов хэширования данного семейства – это алгоритм MD6.
Время от времени устои информационного общества проходят вынужденную проверку на прочность. Виною тому различные потрясения, косвенно или непосредственно связанные с утечками информации конфиденциального характера...
В развитии систем защиты информации происходит, по мнению некоторых специалистов, смена парадигмы. Ресурсы разработчиков и внимание владельцев информации всё больше концентрируются на вопросах проактивной защиты от внутренних угроз и инсайда, выявления и прогнозирования рисков, связанных с персоналом.
Нет смысла выяснять, какое из средств защиты «лучше», пока не произведено правильное позиционирование сравниваемых средств защиты по отношению друг к другу. Так, бессмысленно выяснять, что лучше для обеспечения защищенной работы с флешками – использование защищенных служебных носителей или USB-фильтров.
«Вы – шпион?» - «Нет!!» - «Проверим!»
«А может вы – террорист?» - «Конечно же нет!!!» - «Проверим!»
При всей кажущейся анекдотичности данная ситуация в свете последних публикаций СМИ отнюдь таковой не является. Разоблачения Сноудена, относящиеся вначале только к спецслужбам США, коснулись и Великобритании, и Франции и Германии. Но гарантий, что этот список не пополнится, нет никакой. Я отношу себя к законопослушным гражданам. Волею судеб я получаю электронные письма из разных стран, и мне неприятно, что чьи-то любопытные глаза следят за моей перепиской…
Итак, от слов к делу. Мы решили проверить наши теоретические рассуждения на практике. Естественно, первыми «подопытными» стали сотрудники собственного отдела. Время тестирования составило примерно 30-40 минут. Результаты тестирования показаны на рисунке (стоит отметить, что на рисунке видна лишь «верхушка айсберга». На других вкладках представлен большой объём информации, однако разбирать его в данной публикации мы считаем излишним).
1
Говорят «инсайдерами не рождаются – инсайдерами становятся». Пусть говорят. Мы же (мы = я и мой коллега Виктор, который активно помогал материалами для этой статьи) попробуем в какой-то степени опровергнуть это высказывание и взглянуть на проблему с другой стороны. Всем известно, что лучшим сражением считается то, которого не было. Применительно к задаче обеспечения ИБ можно было бы сказать, что лучшая утечка – та, которая не состоялась.
В последнее время все больше и больше организаций начинают задумываться о переходе на двухфакторную аутентификацию. Причин тому много, но основной можно отметить – многократный рост критичной информации в корпоративных информационных системах и, как следствие, неспособность классической модели аутентификации на базе логинов и паролей удовлетворить современные требования информационной безопасности.
Продолжим рассмотрение атак на приложения и протоколы, в которых используется алгоритм хэширования MD5.
В ноябре 2005 г. вышла работа [1] двух известных экспертов по криптографии: Брюса Шнайера (Bruce Schneier) и Пола Хоффмана (Paul Hoffman), посвященная текущим атакам на алгоритмы хэширования MD5 и SHA-1 (в меньшей степени, чем MD5, поскольку атаки по поиску коллизий для SHA-1 на тот момент требовали несравнимо большей трудоемкости, чем атаки на MD5), широко используемые в различных сетевых протоколах.
Менее, чем через две недели после выхода обсуждавшегося в предыдущей части статьи отчета ECRYPT, посвященного коллизиям для известных хэш-функций [1], вышла получившая широкую известность работа Арьена Ленстры (Arjen Lenstra), Ксиаоюн Ванг и Бена де Вегера (Benne de Weger) [2] (см. также [3], где представлена дополнительная информация, а наиболее полную информацию о данной атаке можно найти в работе [4], которая вышла несколько позднее). Данный коллектив криптоаналитиков представил метод конструирования пары значащих сертификатов формата X.509 [5] с эквивалентными хэш-значениями, вычисляемыми по алгоритму MD5.
Продолжим обзор атак на алгоритм хэширования MD5. Данная статья посвящена атакам на различные приложения и протоколы, в которых используется или использовался данный алгоритм, а также атакам на различные надстройки над алгоритмом MD5. Рассмотрим именно те атаки, которые эксплуатируют особенности или слабости алгоритма MD5, а не какие-либо другие возможные уязвимости конкретного протокола или приложения.
В первой части нами были рассмотрены ситуации «полюбовного» расставания сотрудников со своей рабочей Alma Mater. Однако картина мира была бы не полной, если бы не был рассмотрен более распространённый сценарий: увольнение сотрудника по инициативе компании. Этим и займёмся.
Всё течёт, всё меняется. К чему только не применяли фразу основателя диалектики Гераклита Эфесского, и везде она была к месту. Что ж, настал и наш черёд. К ротации кадров, на мой взгляд, это высказывание подходит как нельзя лучше. Ведь недаром даже сам процесс «смены поколений» сотрудников в народе именуется «текучка».
Продолжим обзор атак на алгоритм хэширования MD5. Рассмотрим атаки по поиску прообразов.
Первые из работ, посвященных поиску прообразов для алгоритма MD5, – это работы коллектива специалистов из исследовательского подразделения компании Microsoft – Microsoft Research [1-2], опубликованные в 2007 г. В данных работах был предложен алгоритм инвертирования функции сжатия алгоритма MD5.
В предыдущей части статьи были рассмотрены криптоаналитические исследования алгоритма MD5, результаты которых были опубликованы в 2005 и в начале 2006 гг. Лучшего результата на то время добился Властимил Клима, метод которого позволял найти двухблочную коллизию в среднем за 17 секунд работы персонального компьютера средней производительности [1].
Предыдущая часть статьи была завершена рассмотрением деталей атаки по поиску двухблочных коллизий для алгоритма MD5, опубликованной в работе.
Практически сразу же после появления в открытом доступе работы Властимил Клима опубликовал работу, в которой содержалось подробное описание атаки, результаты которой были опубликованы Климой немногим ранее. В данном методе также использовался дифференциальный криптоанализ с комбинацией разности, определяемой операцией XOR, и разности, определяемой операцией вычитания по модулю 2
32.
Ни один адекватный человек не любит чрезмерного контроля над собой. Контроль поражает волю, снижает эффективность, убивает творческую деятельность и просто «давит». Поэтому при введении контроля персонала с помощью DLP-систем логично скрывать даже сам факт наличия оных. В первой части мы коснулись юридических аспектов, концепции BYOD и социальных сетей. Двигаемся дальше.
После описанной в первой части статьи работы [1] долгое время не появлялось каких-либо новых результатов в поиске коллизий для алгоритма MD5 – до 2004 г., когда была опубликована упомянутая ранее работа Ксиаоюн Ванг и ее коллег [2].
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
В статье предпринята попытка систематизировать ряд категорий, терминов и определений в области информационной безопасности и защиты информации, приведена классификация угроз безопасности информации и задач по защите информации.
Мы продолжаем тему облаков, но в этой части больше уделим внимания сервисным облакам, которые могут разрабатываться независимо от поставщиков конвергентной инфраструктуры.
За время активного использования алгоритма MD5 было предпринято множество попыток атаковать данный алгоритм. История криптоанализа MD5 весьма многогранна. Она тесно переплетается с криптоанализом ряда других алгоритмов хэширования (в том числе, рассмотренного ранее MD4); можно утверждать, что многие достижения в криптоанализе алгоритмов хэширования и успешные атаки на их применения были сделаны благодаря алгоритму MD5 и его популярности, весьма привлекавшей криптоаналитиков со всего мира.
В предыдущей части мы рассмотрели в качестве составляющей конвергентной инфраструктуры технологию вычислительной ткани (fabric computing), которая предназначена для получения высокопроизводительных систем на базе слабо-связных систем хранения. В этой части рассмотрим, по мнению многих, «провокационные» облачные системы. Если вычислительные ткани предназначены для виртуализации аппаратных ресурсов, то облака в качестве составляющей конвергентной инфраструктуры - для виртуализации логических ресурсов.
Никто не любит крайностей. В механике в самом простейшем случае это описывается «золотым правилом», в квантовой физике – знаменитым принципом неопределённости Гейзенберга. Сама природа вещей как бы подсказывает нам, что как ни крути, а рано или поздно наступит момент, когда мы будем должны пойти на какие-либо допущения и компромиссы. Всё это справедливо и при переносе на проблемы контроля персонала. Перегнуть палку легко, но так ли это необходимо? Давайте попробуем разобраться над тем, как рационально контролировать персонал с помощью DLP-систем.
3
Активное предложение софтверными компаниями облачных систем формирует диаметрально противоположные мнения по отношению к эффективности и, самое главное, безопасности «облаков». При этом практически все продавцы забывают упомянуть, что облачные системы – это более узкий класс, входящий в конвергентную инфраструктуру, и часто оперируют модными терминами, не задумываясь над их смыслом.
К сожалению, несмотря на всемирную популярность социальных сетей, их по-прежнему трудно назвать безопасным местом для неподготовленного пользователя, чем, надо сказать, активно пользуются разнообразные злоумышленники. Как же самому не стать их жертвой? Существует несколько несложных правил, которые помогу вам избежать подобных неприятностей.
Рассмотрим более подробно угрозы конфиденциальности информации, и начнем ? с разглашения сведений.
Под разглашением сведений ограниченного доступа обычно понимается противоправное предание огласке таких сведений, при котором они стали достоянием посторонних лиц. Причем, как правило, посторонним признается любое лицо, которое по характеру выполняемой работы или служебных обязанностей не имеет доступа к данным сведениям.
За последние пару лет операторы «большой тройки» уже дважды крупно оскандалились на SMS-сообщениях. В первый раз «помог» Яндекс и в принципе утечку можно относить к разряду утечек «по неосторожности». Но на этот раз… Федеральная служба безопасности сообщила о том, что была обнаружена группа злоумышленников, получивших от сотрудников МТС и «Вымпелкома» архивы SMS-переписки трёх высокопоставленных московских чиновников, после чего «Вымпелком» подтвердил факт утечки информации, а МТС, напротив, опроверг.
1
Часто юный выпускник считает, что справится со всем в одиночку, но это далеко от реальности, хотя бы потому, что у специалиста нет достаточной квалификации в таких предметных областях, как бухгалтерия, экономика, производство. Последнее наиболее важно, изучить специфику производства необходимо обязательно, защита информации сама по себе никому не нужна, как и бухгалтерия – все это лишь инструменты развития бизнеса.
Данная статья завершает исторический обзор, посвященный алгоритму хэширования MD4. Она описывает результаты криптоанализа алгоритмов аутентификации сообщений на основе MD4: HMAC-MD4 и NMAC-MD4. Конструкции HMAC и NMAC были подробно описаны в предыдущей статье.
На сегодняшний день круг задач специалиста по защите информации достаточно широк: от настройки антивируса до проведения служебных проверок. При этом в каждой организации набор обязанностей такого сотрудника уникальный. Если ранее на предприятии ставки специалиста по ЗИ не было, то при появлении необходимости в собственном защитнике информации, возникает множество споров.
Бесплатные почтовые сервисы – не лучшее решение для организации корпоративной почты. Причин множество: нет возможности организовать почтовую структуру компании, нет гарантий сохранности корреспонденции, в адресе электронной почты отсутствует название компании, увеличивается Интернет-трафик за счет показа рекламы. Однако наиболее серьезную проблему составляет угроза безопасности данных.
В предыдущей части статьи был дан обзор принципов защиты информации, передаваемой через общедоступные сети передачи данных. В рамках данной части статьи рассмотрим пример построения защищенного канала на базе продукта Microsoft Forefront TMG
1. Более подробно о нём можно прочитать в материалах компании Microsoft
2.
При построении виртуальных частных сетей широкое распространение получило использование криптографических технологий.
К сожалению, многие термины, как было указано в первой части настоящей статьи, не всегда трактуются и понимаются одинаково всеми участниками информационного взаимодействия.
Система АНТИЛОГИК (ANTILOGIC) - новый продукт на рынке технических средств обеспечения конфиденциальности совещаний и деловых переговоров .
Представляет собой конференц-систему с встроенной функцией обеспечения конфиденциальности совещаний до 64-х участников.
Применяется абсолютно безопасный для здоровья метод акустического противодействия. Особенность системы - очень высокая комфортность хода переговоров (минимальная слышимость акустической помехи) и высокое качество речи при общении всех участников.
13
Подготовка специалиста по компьютерной безопасности включает в себя теоретическую подготовку и практические занятия. Учебные программы университетов или специализированные курсы, чаще всего, не дают необходимых навыков — быстро принимать решения на основе полученных знаний в условиях стрессовой, быстро изменяющейся ситуации, координировать действия в команды, комплексно подходить к анализу обстановки.
11
Проект SHA-3 – это открытый конкурс по выбору нового стандарта хэширования США SHA-3, который проводится в настоящее время Институтом Стандартов и Технологий США (NIST – National Institute of Standards and Technologies). Аналогично проведенному ранее конкурсу по выбору стандарта симметричного шифрования AES, данный проект подразумевает выбор наилучшего по критериям криптостойкости и быстродействия (и не только) из присланных на конкурс алгоритмов хэширования.
Фантазии голливудских сценаристов о террористическом перехвате компьютерного управления разрушительным оружием, как например, спутника с мощной лазерной пушкой в фильме «Захват 2» (Under Siege 2: Dark Territory), в некотором роде начинаютвоплощаться в реальность.
Известно, что компьютерные системы способны хранить и быстро обрабатывать большие объемы информации. В их основе лежит объединение средств вычислительной техники сетями передачи данных. Вообще, если рассматривать эволюцию компьютерных систем, то особенностью линий связи вычислительных систем 50-х годов (так называемых "систем пакетной обработки данных") была их малая протяженность, так как компьютер и устройства ввода-вывода располагались достаточно близко друг к другу.
1
Сущность мошенничества раскрывается в сравнении с другими преступлениями против собственности.
статья 158 УК РФ – кража - тайное хищение чужого имущества;
статья 160 УК РФ – присвоение (растрата) - хищение чужого имущества, вверенного виновному;
статья 161 УК РФ – грабеж – открытое хищение чужого имущества;
