пятница, 29 августа 2014 г.

Дайджест новостей по ИБ за 22 – 29 августа 2014 года



Блоги:
Андрей Прозоров опубликовал четвертую часть рекомендаций по подготовке к экзамену CISM, которая посвящена процессу оформления и подтверждения форм.

Статьи:

Список распространенных утилит для проведения цифровой криминалистики (англ.).


Документы:
Identifying back doors, attack points, and surveillance mechanisms in iOS devices – в статье рассматриваются векторы атак на iOS-устройства, которые применяются в настоящее время и могут быть использованы в будущем. Автор: Джонатан Здзиарски (Jonathan Zdziarski).

2014 Internet Security Threat Report - обзор и анализ угроз за предыдущий год, основанный на данных Symantec Global Intelligence Network. Источник: Symantec.

Программное обеспечение/сервисы:
OCLHashcat v1.30 – утилита для восстановления пароля по хешу (см. список изменений).

OWASP Rainbow Maker v1.2 – скрипт, написанный на python, для создания радужных таблиц и восстановления хешей.

Вебинары:
03 сентября 2014 в 11:00, тема: «Как мы взломаем вашу ERP-систему через токовую петлю» от Digital Security.


Аналитика:
Спам в июле. Источник: Лаборатория Касперского.

The 2014 Trustwave Global Security Report 2014 - отчет по безопасности за предыдущий год (англ.). Источник:  Trustwave.

Мероприятия:
3-4 сентября 2014г., г.Москва, конференция «Enterprise Mobile Security Forum 2014».

4 сентября 2014г., г.Екатеринбург, конференция «Код информационной безопасности».

Ресурсы:
Видеозаписи с PasswordsCon Las Vegas 2014.


Noise Security Bit #8 – подкаст о реверсинге firmware.

пятница, 22 августа 2014 г.

Дайджест новостей по ИБ за 15 – 22 августа 2014 года



Блоги:
Артем Агеев подготовил забавную подборку, основанную на результатах проверок Роскомнадзора.

Сергей Борисов сделал подборку художественной литературы с около ИБ-шными темами.

Благодаря извлеченным метаданным из фотоснимков Евгений Ющук продемонстрировал подтасовку фактов в СМИ.

Андрей Прозоров опубликовал третью часть рекомендаций по подготовке к экзамену CISM, которая посвящена заполнению необходимых документов.

Максим Репин описал подход по классификации информационных активов.

Статьи:


Центробанк советует кредитным организациям переходить на отечественные системы безопасности.

Обращение в полицию как способ борьбы с шифровальщиками.

Подборка книг по кибербезопасности от «Лаборатории Касперского».

Black Hat Arsenal USA 2014. Подведение итогов первого дня конференции (англ.) + впечатления Сергея Белова и Лаборатории Касперского.



 
Документы:
Статистика уязвимостей корпоративных информационных систем - исследование компании Positive Technologies на основе тестов на проникновение, проведенных в 2013 году (см. краткий отчет).

Законодательство:
Приказ Федерального агентства по поставкам вооружения, военной, специальной техники и материальных средств (Рособоронпоставка) от 27 июня 2014 г. N 106 «Об упорядочении обращения со служебной информацией ограниченного распространения в Федеральном агентстве по поставкам вооружения, военной, специальной техники и материальных средств». Документ можно использовать в качестве шаблона для разработки Политики по работе с конфиденциальной информацией.

Постановление Правительства РФ от 12 августа 2014 г. № 801 "О внесении изменений в некоторые акты Правительства Российской Федерации". Конкретизированы способы идентификации пользователей для получения доступа к WiFi в публичных местах (см. комментарии Михаила Емельянникова и Александра Волкова).

Вебинары:
27 августа 2014 года в 11.00 состоится мастер-класс Ивана Новикова «Тестирование на проникновение: задача, решение и ограничения».

Ресурсы:
Диалоги #поИБэ – подкаст об обеспечении технологической безопасности информационных систем

пятница, 15 августа 2014 г.

Дайджест новостей по ИБ за 8 – 15 августа 2014 года



Блоги:
Алексей Лукацкий утверждает, что одним из факторов, негативно влияющих на развитие информационной безопасности, является страх.

Статьи:
С помощью Википедии западные спецслужбы пытаются переписать историю России.

На конференции BlackHat продемонстрировали новый вектор атаки через USB-устройства.

Анализ кампании по кибершпионажу «Epic Turla» от экспертов «Лаборатории Касперского».

Обзор DLP-систем на мировом и российском рынке.

Построение СУИБ для начинающих.

Документы:
CIS VMware ESXi 5.5 Benchmark v1.0.0 – руководство по установке безопасных настроек для VMware ESXi 5.5 (англ.). Источник: CIS.

CIS Red Hat Enterprise Linux 7 Benchmark v1.0.0 - руководство по установке безопасных настроек для Red Hat Enterprise Linux 7 (англ.). Источник: CIS.

Information Supplement: Third-Party Security Assurance - руководство по выполнению требований п.12.8 PCI DSS «Выбор и управление взаимодействием с контрагентами» (англ.). Источник: PCI DSS.

СТО БР ИББС 2014: Актуальные изменения – комментарии, посвященные изменениям в стандартах Банка России. Источник: Инфосистемы Джет.

Законодательство:
Приказ Федеральной службы по регулированию алкогольного рынка (Росалкогольрегулирование) от 20 января 2014 г. N 5 «Об утверждении правил обработки персональных данных в Федеральной службе по регулированию алкогольного рынка». Документ можно использовать в качестве шаблона для разработки Политики по ПДн.

Программное обеспечение/сервисы:
SAMHAIN v3.1.2 - хостовая система обнаружения вторжений, которая обеспечивает проверку целостности файлов и мониторинг/анализ файлов журнала.

Suricata v2.0.3 - система обнаружения и предотвращения вторжения следующего поколения с открытым исходным кодом.

Metasploit v4.10 - фреймворк с открытым исходным кодом для проведения тестирования на проникновение.

Вебинары:
20 августа 2014 в 11.00 (МСК), тема: «Куда делся PDCA?»  и другие нововведения в стандарте ISO 27001:2013», Учебный центр «Эшелон». 

19 августа 2014 года в 10.00 состоится мастер-класс Алексея Бабенко «Цикл безопасной разработки».

Аналитика:

Спам и фишинг во втором квартале 2014. Источник: Лаборатория Касперского.

Мероприятия:
15 – 19 августа 2014г., хак-квест Symantec Cyber Readiness Challenge (CRC).

Ресурсы:
Архив всех номеров журнала «Хакер» в PDF для бесплатной загрузки.

Диалоги #поИБэ – подкаст «По следам IT CAMPUS».

Открытая безопасность – подкаст «Уголовные преследования по компьютерным преступлениям в России. Теория и практика УК РФ».

Материалы с вебинара «DLP Hero: 4 «горячих» юридических вопроса про DLP» от Андрея Прозорова.


Презентации и видео с BlackHat 2014.

пятница, 8 августа 2014 г.

Дайджест новостей по ИБ за 1 – 8 августа 2014 года



Блоги:

Сергей Борисов рассказал о пользе и недостатках CTF-соревнований.

Статьи:

Советы по разблокировке сайта в случае, если хостинг его заблокировал.

Журналы:
Security Kaizen Magazine Issue 15 – журнал по информационной безопасности (англ.).

Документы:
OUCH! Шифрование – августовский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Законодательство:
Приказ Федеральной миграционной службы (ФМС России) от 26 марта 2014 г. N 211 «Об утверждении Административного регламента предоставления Федеральной миграционной службой государственной услуги по оформлению и выдаче паспортов гражданина Российской Федерации, удостоверяющих личность гражданина Российской Федерации за пределами территории Российской Федерации, содержащих электронный носитель информации». Регламентирован порядок выдачи Федеральной миграционной службой России загранпаспортов с электронными носителями информации.

Приказ Министерства внутренних дел Российской Федерации от 28 апреля 2014 г. N 381 «О некоторых вопросах централизованного учета персональных данных сотрудников органов внутренних дел Российской Федерации, граждан Российской Федерации, поступающих на службу в органы внутренних дел Российской Федерации».

Приказ Федеральной службы по техническому и экспортному контролю (ФСТЭК России) от 14 марта 2014 г. N 31 г. «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды».

Постановление Правительства РФ от 31.07.2014 N 758 «О внесении изменений в некоторые акты Правительства Российской Федерации в связи с принятием Федерального закона «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации» и отдельные законодательные акты Российской Федерации по вопросам упорядочения обмена информацией с использованием информационно-телекоммуникационных сетей». Оказание услуг по передаче данных и предоставлению доступа в Интернет с использованием пунктов коллективного доступа будет осуществляться оператором только после проведения идентификации пользователей.

Программное обеспечение/сервисы:
Enhanced Mitigation Experience Toolkit 5.0 (EMET) - программа для предотвращения эксплуатирования уязвимостей в программном обеспечении (см. описание).

DecryptCryptoLocker - сервис для бесплатной расшифровки файлов, которые были зашифрованы CryptoLocker (см. описание).

Вебинары:

Аналитика:


Развитие информационных угроз во втором квартале 2014 года. Источник: Лаборатория Касперского.
 
Мероприятия:
16 августа 2014 г., Hitcon CTF 2014

пятница, 1 августа 2014 г.

Новости ИБ за 25 июля – 1 августа 2014 года


Статьи:

Обзор кибератак за 1-15 июля 2014г. (англ.).






Обзор онлайн-инструментов для проверки подлинности фотоконтента.

Пароль как инструмент для достижения поставленной цели.



Компания Bugcrowd опубликовала в открытом доступе заготовку стандартных правил для компаний, которые хотят установить нормативы по разглашению найденных уязвимостей.

Законодательство:
Федеральный закон Российской Федерации от 21 июля 2014 г. N 274-ФЗ «О внесении изменений в статью 2801 Уголовного кодекса Российской Федерации». Усилили уголовную ответственность за публичные призывы совершать действия, направленные на нарушение территориальной целостности России.

Федеральный закон Российской Федерации от 21 июля 2014 г. N 242-ФЗ «О внесении изменений в отдельные законодательные акты Российской Федерации в части уточнения порядка обработки персональных данных в информационно-телекоммуникационных сетях». Организации, обрабатывающие персональные данные российских граждан, полученные через Интернет, должны будут с 1 сентября 2016 года хранить их только в базах данных, расположенных в России.

Информационное сообщение ФСТЭК России от 25.07.2014 N 240/22/2748 «По вопросам обеспечения безопасности информации в ключевых системах информационной инфраструктуры в связи с изданием приказа ФСТЭК России от 14 марта 2014 г. N 31 «Об утверждении требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды».

Рекомендации в области стандартизации Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Обеспечение информационной безопасности на стадиях жизненного цикла автоматизированных банковских систем» (РС БР ИББС-2.6-2014)

Программное обеспечение:
ShazzleMail - сервис анонимной электронной почты (см. обзор).

Intercepter-NG v0.9.9утилита для восстановления данных из трафика и проведения автомтизированных атак (см. список изменений).

Kautilya v0.5 - набор инструментов с полезными нагрузками для HID-устройств для проведения тестирования на проникновение.

Wireshark 1.12 - анализатор сетевых протоколов.

Вебинары:

Аналитика:
Спам в июне. Источник: Лаборатория Касперского.

Мероприятия:
2 августа 2014г.  в Москве пройдет Crypto Install Fest 2014.

Ресурсы:
Записи выступлений с  OWASP AppSec Europe 2014.


Материалы с презентации Алексея Комарова «Проблемы безопасности облаков и BYOD, методы их решения».

Видео с конференции Recon 2014.