Дайджест новостей по ИБ за 29 июля - 19 августа 2016 г.

Блоги:

Алексей Лукацкий привел реальные примеры, когда безопасность только мешает бизнесу, нанося ему финансовый ущерб.

Сергей Борисов подготовил таблицу для оценки соответствия ГОСТ Р 56939-2016; подготовил обзор мероприятий "Код ИБ-онлайн" и "Кибербаталий".

Андрей Березов утверждает, что в медицинских учреждениях требуется брать согласия с пациентов на обработку их персональных данных.

Артем Агеев огласил позицию ЦБ по поводу банковской тайны в облаках.

Статьи:

Похитивших со счетов клиентов российских банков более 1,7 млрд рублей хакеров запустили сисадмины.

NIST: SMS нельзя использовать в качестве средства аутентификации.

Деанонимизируем пользователей Windows и получаем учетные данные Microsoft и VPN-аккаунтов.

Перевод OWASP Testing Guide. Часть 2.9.

ProjectSauron: кибергруппировка вскрывает зашифрованные каналы связи госорганизаций.

Бывший сотрудник АНБ рассказал о своем опыте работы в Центре Удаленных Операций.

AV-Test определила лучшие антивирусы для Windows 8.1.

Анализ трафика Android-приложений: обход certificate pinning без реверс-инжиниринга.

Кража денег из интернет-банка — виноват клиент или банк?

Анализируем и устраняем последствия вредоносной подмены метатегов на сайте.

Расшифровка базы данных KeePass: пошаговое руководство.

Безопасное использование языка Go в веб-программировании.

Модуль Cisco ASA Firepower. Введение. Установка.

Мониторинг доступности сайта с помощью Google Docs (англ.).

Риск использования Google Sign-In на iOS-устройствах (англ.).

Сериализация: уязвимости и методы защиты (англ.).

Мониторинг вредоносной активности в WMI (англ.).

Анонсирована продажа доменов верхнего уровня .security и .protection (англ.).

Ручное тестирование SSL/TLS-уязвимостей (англ.).

Документы:

OUCH! Программы-вымогатели – августовский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Уязвимости приложений финансовой отрасли - отчет  содержит  статистику,  собранную  в  ходе  работ  по  анализу  защищенности систем  дистанционного  банковского  обслуживания,  проведенных  специалистами  компании Positive Technologies в 2015 году (см. краткий обзор).

Законодательство:

Приказ ФСБ России от 19.07.2016 N 432 "Об утверждении Порядка представления организаторами распространения информации в информационно-телекоммуникационной сети "Интернет" в Федеральную службу безопасности Российской Федерации информации, необходимой для декодирования принимаемых, передаваемых, доставляемых и (или) обрабатываемых электронных сообщений пользователей информационно-телекоммуникационной сети "Интернет".

Постановление Правительства РФ от 13 августа 2016 г. N 789 "О внесении изменений в некоторые акты Правительства Российской Федерации". Установлен порядок использования простой электронной подписи (ЭП) при обращении за получением государственных и муниципальных услуг в электронной форме с помощью абонентского устройства подвижной радиотелефонной связи (мобильные телефоны, смартфоны, планшеты).

Аналитика:

SE Labs: Consumer Report - результаты тестирования антивирусов на возможность защиты от троянов-шифровальщиков (см. краткий отчет).

«Доктор Веб»: обзор вирусной активности для мобильных устройств в июле 2016 года.

Развитие информационных угроз во втором квартале 2016 года. Статистика. Источник: Лаборатория Касперского.

DDoS-атаки во втором квартале 2016 года. Источник: Лаборатория Касперского.

Спам и фишинг во втором квартале 2016. Источник: Лаборатория Касперского.

Статистика кибератак за июль 2016 г. Источник: Hackmageddon.

Ресурсы:

Презентации с "DEF CON 24".

Видео с "Northsec 2016 Conference".

Видео с "Black Hat USA 2016".

Hacksplaining.com - бесплатный интерактивный курс по изучению уязвимостей и методам защиты. (см. краткий обзор).

Maltese (Malware Traffic Emulating Software) - утилита для генерации вредоносного DNS-трафика с целью проверки эффективности работы средств защиты (см. обзор).