пятница, 26 декабря 2014 г.

Дайджест новостей по ИБ за 5 – 28 декабря 2014 года


Блоги:
Алексей Лукацкий послал вопросы в госорганы по поводу запрета хранения персональных данных россиян заграницей и получил на них ответы (раз, два) и предложил обезличивать ПДн в качестве одного из способов выполнения требований ФЗ-242.


Статьи:
Тренды и прогнозы 2015 в сфере ИТ и ИБ от ведущих компаний.

Угрозы уходящего года и прогнозы на 2015 год от Malwarebytes (англ.).


Преступления в банковской сфере 02 - 11 декабря, 12 - 22 декабря 2014.

Обзор конференции ZeroNights 2014 от Digital Security.

Впечатления о Security Meetup в офисе Mail.Ru Group.





Обзор одного из векторов атак на публичные терминалы для оплаты аренды велосипедов.

Выдуманная история о взломе рядового пользователя.

Введение в File Inclusion Attacks (англ.)

Анализ новой модификации ZeuS – Chthonic.

Рекомендации по обеспечению безопасность мобильных устройств.

Журналы:
!Безопасность Деловой Информации выпуск #8 - тема номера: итоги и тренды года

Документы:
Penetration Testing Tools that (do not) Support IPv6 - исследование утилит для тестирования на проникновение на наличие поддержки протокола IPv6 (англ.). Автор: Dr. Antonios Atlasis.

План проверок РКН на 2015-й год. Источник: Роскомнадзор.

Независимое детальное руководство для покупателей МЭ нового поколения - подробное руководство для оценки межсетевых экранов для корпоративных сетей. Источник: Palo Alto Networks.

Законодательство:
Приказ Федеральной службы по оборонному заказу (Рособоронзаказ) от 6 октября 2014 г. N 163 г. Москва «Об упорядочении обращения со служебной информацией ограниченного распространения в Рособоронзаказе и его территориальных органах». Можно использовать в качестве шаблона для Положения по работе с конфиденциальной информацией.

«О внесении изменений в приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций от 15 марта 2013 г. N 274 «Об утверждении перечня иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных и обеспечивающих адекватную защиту прав субъектов персональных данных». Сокращен перечень иностранных государств, не являющихся сторонами Конвенции Совета Европы о защите физических лиц при автоматизированной обработке персональных данных.

Программное обеспечение/сервисы:
RPEF - утилита для внедрения бэкдоров в прошивки маршрутизаторов (см.описание).

THC-Hydra v8.1 -  взломщик паролей различных сервисов.

LOIC – утилита для нагрузочного тестирования сетевых приложений.

Snort v3.0 — сетевая система предотвращения вторжений (IPS) и обнаружения вторжений (IDS) с открытым исходным кодом.

Metasploit v4.11 - инструмент для создания, тестирования и использования эксплойтов.

Wpscan v2.6 - сканер уязвимости для WordPress.

Аналитика:

Kaspersky Security Bulletin 2014. Основная статистика за 2014 год.

Ресурсы:
Видео с ZeroNights 2014.

Видео с OWASP Russia Meetup.


Материал с Botconf 2014.

Запись вебинара «Безопасность сайта: мониторинг. Опыт профессионалов» от Максима Лагутина (SiteSecure).

Запись доклада «Опенсорс-инструменты на страже безопасности бэкенда» от Петра Волкова.

Презентации с пятой Международной конференции «Борьба с мошенничеством в сфере высоких технологий. AntiFraud Russia – 2014».

Открытая безопасность №33 – подкаст об  AntiFraudRussia2014.

Metasploit Resource Portal – портал, содержащий информацию по работе с Metasploit.

World's Biggest Data Breaches – визуальная карта утечек конфиденциальной информации.

пятница, 5 декабря 2014 г.

Дайджест новостей по ИБ за 28 ноября – 5 декабря 2014 года



Блоги:
Сергей Борисов посоветовал, как правильно выбрать СЗИ.

Михаил Емельянников затронул проблемы, связанные с проведением проверки действительности паспортов.

Ответ 8 центра ФСБ России Артёму Агееву по поводу соблюдения требований старых документов ФСБ (ФАПСИ), регламентирующих использование средств шифрования, для защиты персональных данных в ИСПДн.

Статьи:





Краткое введение в доверительные отношения, или почему нельзя запускать вслепую без проверки скрипты из интернета


Использование Shodan из командной строки (англ.).

Мобильные телефоны и тотальная слежка АНБ: как это работает.

Google представила новую систему reCAPTCHA.

Журналы:
PenTest Magazine - Metasploit Framework Workshop (англ.).

Security Kaizen Magazine Issue 17 – журнал по информационной безопасности (англ.).

Документы:
CryptoPHP. Analysis of a hidden threat inside popular content management systemsанализ бекдора для Joomla, WordPress и Drupal (англ.). Источник: Fox-IT.

OUCH! Что такое антивирус? – декабрьский выпуск журнала по вопросам компьютерной безопасности. Источник: SANS.

Законодательство:
Приказ Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) от 17 июля 2014 г. N 103 г. Москва «Об утверждении Порядка предоставления операторам связи технических средств контроля за соблюдением оператором связи требований, установленных статьями 15.1-15.4 Федерального закона от 27 июля 2006 года N 149-ФЗ «Об информации, информационных технологиях и о защите информации».

Программное обеспечение/сервисы:
Samurai Web Testing Framework 3.0 – Linux-дистрибутив для тестирования на проникновение.

Ресурсы:
Материалы с Hacktivity 2014.

Презентации с SANS Pen Test Hackfest 2014.

Видеозапись с Security Meetup, который прошел 4 декабря 2014 года в офисе Mail.Ru Group.

Noise Security Bit #11 – подкаст о различных конференциях для ресечеров (H2HC, Ekoparty и Sacicon), которые проходят в латинской Америке.