Дайджест новостей по ИБ за 2-9 декабря 2016 г.

Блоги:

Советы от Алексея Лукацкого по защите от DDOS до, во время и после атаки.

Обзор новой Доктрины информационной безопасности России от Алексея Прозорова.

Обзор "AntiFraud Russia - 2016" от Валерия Естехина.

Статьи:

Карты Visa уязвимы перед обычным брутфорсом.

Злоумышленники используют антивирусные списки исключений для распространения вредоносного ПО.

Агрегатор утечек Have I Been Pwned обезличил и раскрыл свою огромную базу.

AV-Test: лучшие антивирусы для Android (промежуточный отчет).

AV-Test: Как антивирусы и утилиты очистки справляются с лечением активного заражения (промежуточный отчет).

MRG Effitas: Тестирование защиты интернет-банкинга (3 квартал 2016).

vSphereTools: как мы создавали открытый инструмент для автоматизации работы с vSphere.

Арбитражная практика: договором не предусмотрена обязанность банка исполнять платежи только после их подтверждения.

Top 10 уязвимостей, используемых с Exploit Kits в 2016 г. (англ.).

Установка и настройка Seccubus (планировщик задач для известных сканеров уязвимостей) на CentOS (англ.).

Управление уязвимостями в корпоративной среде (англ.).

 

Защита Windows-домена с помощью групповых политик от атак Mimikatz  (англ.) 

Законодательство:

Стандарт Банка России: «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Сбор и анализ технических данных при реагировании на инциденты информационной безопасности при осуществлении переводов денежных средств» (СТО БР ИББС-1.3-2016). (см. обзор от Сергея Борисова).

Указ Президента Российской Федерации от 05.12.2016 № 646 "Об утверждении Доктрины информационной безопасности Российской Федерации". (см. краткий обзор).

Обзор финансовой стабильности за II–III кварталы 2016. Киберриск: угрозы для финансовой стабильности и меры по управлению им (см. 39 стр.). Источник: ЦБ РФ.

Документы:

OUCH! Безопасная утилизация мобильного устройства – декабрьский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS

Журналы:

(IN)SECURE Magazine Issue 52 (декабрь 2016). Тема номера: «Безопасность АСУ ТП» (англ.)

Программное обеспечение/сервисы:

BackBox Linux 4.7 - Linux-дистрибутив для тестирования на проникновение, основанный на Ubuntu

Ресурсы:

Видео с "SecureWV/Hack3rcon 2016".

Видео с "BSides Philadelphia 2016".

Дайджест новостей по ИБ за 22 апреля - 13 мая 2016г

Блоги:

Алексей Лукацкий подготовил обзор средств моделирования угроз; рассказал о рисках, возникающих при получении право на распространение чужого продукта под своим именем.

Андрей Прозоров собрал список стандартов и "лучших практик" по аутсорсингу; расписал назначение каждой стадии цикла «Планирование - Действие - Проверка - Корректировка» (PDCA).

Сергей Солдатов размышляет о полезности honeypot.

Сергей Борисов подготовил обзор требований в области технического регулирования к продукции, используемой в целях зашиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа (требований к межсетевым экранам).

Михаил  Емельянников пояснил про прослушку телефонов в офисе и конституционные права.

Статьи:

 Преступления в банковской сфере 22 апреля - 16 мая 2016.

Обзор кибератак за 1 - 15 апреля 2016 г. от hackmageddon (англ.).

Готовимся к проверке РКН по персональным данным. Часть 2. Виды проверок.

19 проектов с открытым исходным кодом от GitHub для профессионалов в компьютерной безопасности. Часть 2.

Как взломать Telegram и WhatsApp посредством атаки через сеть SS7.

Признаки, указывающие на ботов и троллей в интернете.

Перевод OWASP Testing Guide. Часть 2.7.

Защита сайта от DDoS-атак средствами iptables и nginx.

Автоматизация поиска администратора сети.

Выгрузка памяти приложения в iOS8.

Верховный суд России разрешил всем фотографировать, сканировать и копировать документы в госархивах.

Невизуальные методы защиты сайта от спама. Статистика.

Ищем уязвимости с помощью google.

Введение в Malvertising (сокр. от "malicious advertising" - распространение вредоносных приложений через рекламу).

Обход Windows AppLocker с помощью консольной утилиты regsvr32.

Исследуем «Ревизор» Роскомнадзора.

Угрозы для банкоматов.

Список книг по наступательной информационной безопасности (Offensive Security).

8 российских стартапов из области интернет-безопасности.

Директора по ИБ скоро вымрут, как динозавры.

Австралия: Как хранить данные банковских карт?

Хакеры Anonymous начали 30-дневной кампании, направленной против сайтов центробанков по всему миру.

PCI DSS 3.2: новые требования к безопасности платежей.

VirusTotal сообщил о новых условиях использования своего сервиса.

Обнаружение DGA-доменов: подход Positive Technology и Digital Security.

Антиспам в Mail.Ru: как машине распознать взломщика по его поведению.

Facebook открыла исходные коды платформы "Capture the Flag".

Сравнение систем мониторинга социальных медиа.

TOP-10 методов веб-хакинга в 2015 году (англ.).

Советы от Сесилии МакГуайер (Cecilia McGuire) по подготовке к экзамену CISSP (англ.).

Сертификаты и приложения с цифровой подписью: аудит событий AppLocker (англ.).

Как использовать NIST серии SP800 для реализации ISO 27001 (англ.).

Рекомендации по защите от фишинга (англ.).

Продвинутый Ping: httping, dnsping, smtpping (англ.).

Использование GPO для ассоциации файлов с "вредоносным" расширением к блокноту (англ.).

Журналы:

Information Security №2/2016. Темы номера: "Безопасность виртуальной среды" и "Интернет вещей".

PenTest OPEN: Most Wanted Penetration Testing Skills.

Документы:
Phrack №69 (см. краткий обзор).

OUCH! Интернет вещей (IoT) – майский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Законодательство:

Рекомендации в области стандартизации Банка России «Обеспечение информационной безопасности организаций банковской системы Российской Федерации. Предотвращение утечек информации» (РС БР ИББС-2.9-2016). В настоящем документе содержатся рекомендации, выполнение которых обеспечивает снижение рисков утечки информации путем мониторинга и контроля информационных потоков. Источник: ЦБ РФ.

Обзор изменений в законодательстве за апрель 2016.

Информационное сообщение ФСТЭК РФ от 28 апреля 2016 г. N 240/24/1986 "Об утверждении требований к межсетевым экранам".

Программное обеспечение/сервисы:

routersploit - фреймворк для экспуатации уязвимостей роутеров (см. краткий обзор)

Nessus 6.6 - сканер уязвимостей.

Аналитика:

Глобальное исследование утечек конфиденциальной информации в 2015 году. Источник: InfoWatch (см. краткий обзор).

DDOS-атаки в первом квартале 2016 года. (см. краткий обзор). Источник: Лаборатория Касперского.

Ресурсы:

Видео с "BSides Nashville 2016".

Видео с "AIDE 2016".

Видео с "DakotaCon 2016".

Интерактивная база данных «Панамского архива» - (см. краткий обзор).

Metasploit Minute - рубрика на канале Hak5, посвященная Metasploit.

Дайджест новостей по ИБ за 26 февраля – 4 марта 2016г.

Блоги:

Сергей Борисов проанализировал проблему защиты публичных информационных систем.

Николай Казанцев поделился примером тренинга персонала по выявлению фишинговых атак.

Михаил Емельянников прокомментировал изменения, затрагиваемые в Постановление Правительства РФ от 20.02.2016 № 123.

Алексей Комаров подготовил обзор научно-практической конференции-совещания «Методы и средства обеспечения информационной безопасности (кибербезопасности) АСУ ТП», проводимой ИПУ РАН.

Алексей Лукацкий поделился новостями с VIII Уральского форума "Информационная безопасность финансовой сферы": ГОСТы станут обязательными к применению  (в том числе и СТО БР ИББС); ожидаются изменения 382-П в долгосрочной и краткосрочной перспективе.

Статьи:

Преступления в банковской сфере 25 февраля - 3 марта 2016.

Телефонные и интернет-мошенничества по данным пресс-службы МВД по Республике Коми за январь 2016г.

В SSLv2 обнаружена уязвимость "Decrypting RSA with Obsolete and Weakened eNcryption" (DROWN), позволяющая дешифровать TLS-трафик.

Теория и практика парсинга исходников с помощью ANTLR и Roslyn.

Схема удаленной MITM-атаки на систему WSUS.

Журналы:

Вопросы кибербезопасности №1 (14)

Документы:
Breach Level Index 2015 - отчет об утечках данных за год. Источник: Gemalto (см. краткий обзор).

OUCH! Что такое вредоносные программы?  – мартовский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Аналитика:

Аналитики компании Rapid7 опубликовали результаты исследования, в ходе которого выяснилось, что хакеры брутфорсят PoS-системы, рассчитывая на слабость паролей.

Мероприятия:

Ежегодный конкурс от BISA на выявление лучшего специалиста в области ИБ.

Ресурсы:

Видео с "BSidesCapeTown 2015".

Видео с "BSides San Francisco 2016".

Видео с "BSides Indy 2016".

Дайджест новостей по ИБ за 17 – 24 апреля 2015г.

Блоги:

Анализ РС БР ИББС 2.7 «Ресурсное обеспечение ИБ» от Андрея Прозорова: часть 1, часть 2.

Статьи:

Преступления в банковской сфере 11 - 23 апреля 2015.

Обзор кибератак за 1 – 15 апреля 2015 (англ.).

Декомпиляция и отладка Android-приложений.

Обзор Exploit Exercises – сайта, содержащего виртуальные машины для изучения различных аспектов информационной безопасности.

Исследование уязвимости MS15-034 (анл.).

Миф о необходимости сертифицированного ПО.

Как прячут эксплойт-паки во Flash-объекте.

История о новой технологии для распространения спама с использованием интерактивных робо-звонков из облачных сервисов.

Увольнение сотрудника за разглашение конфиденциальной информации. Обзор судебной практики.

Взламываем D-Link DIR-890L.

Создание программы по борьбе с внутренними угрозами в организации: обучение и повышение осведомленности (часть 8, англ.).

Сравнение подходов: статический анализ безопасности приложений (SAST) против динамического анализа безопасности приложений (DAST).

Программное обеспечение/сервисы:

Lynis 2.1.0 - утилита для аудита безопасности Unix- и Linux-систем.

Manul – веб-антивирус (см. описание).

sptoolkit (rebirth) – проект, призванный повысить уровень осведомленности пользователей по защите от фишинговых атак.

Мероприятия:

01.05.2015г. будет запущена пентест-лаборатория «Ахиллесова пята» от компании PENTESTIT.

До 27.05.2015 проводится открытый конкурс среди стартап-проектов в области кибербезопасности.

Ресурсы:

Видео с конференции Central Ohio Infosec Summit 2015.

Видео и презентации с симпозиума CERIAS 2015.

Презентации с круглого стола «Риски, исходящие от работников в кризис», организованного профессиональным сообществом BISA  совместно с кадровым агентствам Kelly Services.

 Рубрика «Вопрос эксперту» - сервис на портале BISA, с помощью которой можно задавать любые вопросы экспертам по ИТ и ИБ.

CXSECURITY – база данных уязвимостей CVE и CWE.

Материалы с Security Meetup, прошедшего 9 апреля в офисе Mail.Ru Group.

Открытая безопасность #25 – подкаст об ИБ-стартапах и Security Startup Challenge 2015.

Дайджест новостей по ИБ за 10 – 17 апреля 2015 гг.

Блоги:

Сергей Борисов провел сравнение документов по обезличиванию ПДн: NIST Draft NISTIR 8053 «De-Identification of Personally Identifiable Information» и Методических рекомендаций по применению Приказа Роскомнадзора от 5 сентября 2013 г. N 996 «Об утверждении требований и методов по обезличиванию персональных данных».

Наталья Храмцовская привела пример незнания ведомствами в сфере образования законодательных норм, связанных с обработкой персональных данных.

Алексей Лукацкий выяснял, с какой периодичностью необходимо проводить аудит индустриальных сетей на предмет безопасности.

Джабраил Матиев сделал подборку литературы на тему безопасности в банках.

Игорь Агурьянов затронул тему иллюзии безопасности.

Статьи:

Взлом паролей с использованием статистического анализа.

Использование API социальных сетей для сбора информации о пользователях.

Обзор сервиса капчи «Некапча Mail.Ru».

Подборка сайтов с уязвимыми сервисами для повышения хакерских навяков (англ.).

Обзор менеджеров паролей.

Десять рекомендаций от Check Point Software, которые помогут сделать систему информационной безопасности эффективной.

Создание программы по борьбе с внутренними угрозами в организации: предотвращение, обнаружение и реагирование (часть 7, англ.).

Трассировка сайта как средство сбора улик по резонансному убийству.

Введение в межсайтовое выполнение сценариев (XSS): история, факты, способы защиты (англ.).

История об отборе кандидатов на вакансию пентестера (англ.).

Французский телеканал был взломан после интервью сотрудника на фоне стикеров с паролями.

Снова вспомнили про уязвимость «Redirect To SMB», способную передавать учётные данные пользователя злоумышленнику.

В сетевом стеке HTTP.sys для серверных Windows обнаружена критичная уязвимость, из-за которой HTTP.sys неправильно обрабатывает специальным образом составленные HTTP-запросы, вызывая DoS или удалённое исполнение кода.

Microsoft опубликовала отчет о правительственных запросах данных пользователей за второе полугодие 2014 г.

Документы:
Payment Card Industry Data Security Standard. Requirements and Security Assessment Procedures (PCI DSS) v3.1 – в документе приведены 12 требований стандарта и описаны соответствующие процедуры проведения оценки соответствия данному
стандарту (англ.). Автор: PCI Security Standards Council.

Информация о несанкционированных операциях, совершенных с использованием устройств мобильной связи – рекомендации Банка России для минимизации рисков хищения денежных средств при осуществлении переводов денежных средств с использованием устройств мобильной связи. Источник: ЦБ РФ.

Информация о вводе в действие рекомендаций в области стандартизации Банка России. С 1 мая 2015 вводятся в действие рекомендации РС БР ИББС-2.8-2015 и РС БР ИББС-2.7-2015. Источник: ЦБ РФ.

2015 Dell Security Annual Threat Report – отчет о распространенных атаках, которые наблюдались Dell SonicWALL Threat Research Team в 2014 году. Источник: Dell.

Программное обеспечение/сервисы:

OWASP ZAP 2.4.0 - утилита для проведения тестирования на проникновение веб-приложений.

Samurai Web Testing Framework 3.1 – Linux-дистрибутив для тестирования на проникновение.

XSSYA 2.0 – XSS-сканер

Аналитика:

Уязвимости корпоративных информационных систем в 2014 году. Источник: Positive Technologies.

Статистика кибератак за март 2015 г.(англ.).

Мероприятия:

18-20 апреля в МИФИ состоится третья всероссийская студенческая олимпиада по информационной безопасности.

Ресурсы:

Видео с BSides Nashville 2015.

Презентация Алексея Лукацкого «Как обосновать затраты на ИБ?».

Открытая безопасность #39 – подкаст об информационной безопасности автомобилей.

Дайджест новостей по ИБ за 03 – 10 апреля 2015 гг.

Блоги:

Алексей Лукацкий рассказал о важных событиях в области информационной безопасности, которые могут иметь далеко идущие последствия: проект конвенции по информационной безопасности для стран-участниц БРИКС, новая редакция Доктрины информационной безопасности.

Андрей Прозоров создал майндкарту с ссылками на «лучшие практики» по управлению инцидентами.

Джабраил Матиев опубликовал список рекомендаций по безопасности IoT.

Аман Хардикар (Aman Hardikar) опубликовал новую диаграмму связей «Code Review» (англ.).

Статьи:

Преступления в банковской сфере 4 - 10 апреля 2015. 

Обзор кибератак за 16 – 31 марта 2015 (англ.).

Примеры физического взлома банкоматов.

Обеспечение информационной безопасности АСУ ТП.

Тестирование на проникновение в соответствии с требованиями СТО БР ИББС-1.0-2014 своими силами.

Исследование андроид-вируса (обязательно читайте комментарии).

Исследование банковского троянца Emotet.

Пошаговое руководство по установке и настройки OSSIM (Open Source Security Information Management) — системы управления, контроля и обеспечения информационной безопасности.

Интервью со skype-мошенником.

Отличие антивируса от системы антивирусной защиты.

Судебная практика: свидетельство о браке не подтверждает того, что жена является законным представителем своего умершего супруга.

Создание программы по борьбе с внутренними угрозами в организации: программа контроля соответствия и эффективности, интеграция с управлением рисками (часть 5 и 6, англ.).

Примеры мероприятий по повышению осведомленности пользователей по информационной безопасности (англ.).

Обнаружена новая разновидность атаки «drive-by download», которую прозвали «drive-by login».

Специалисты по безопасности из IBM Security Intelligence обнаружили и подробно описали новую хакерскую атаку, которую назвали «Dyre Wolf», комбинирующую зловредный код и социальную инженерию.

Документы:
Памятка по разработке инструкции по использованию и архивации электронной почты и мгновенных сообщений (см. краткий обзор от Натальи Храмцовской). Автор:  SIAF.

Рекомендации по защите персональных данных на рабочем месте (см. обзор от Натальи Храмцовской). Источник: Council of Europe.

Программное обеспечение/сервисы:

EvilAP_Defender – утилита для обнаружения поддельных wi-fi точек доступа (см. обзор).

Аналитика:

Тест антивирусов на лечение активного заражения (апрель 2015). Источник: Anti-Malware.

Google_Android_Security_2014_Report – отчет о работе по защите Android-устройств компанией Google за 2014 год (англ.). Источник: Google.

Ресурсы:

https://www.hybrid-analysis.com/ - онлайн-сервис от компании Payload Security для анализа вредоносных приложений.

Примеры практики судебных решений по статье 13.11 КоАП РФ «Нарушение установленного законом порядка сбора, хранения, использования или распространения информации о гражданах (персональных данных)».

Презентации с конференции SyScan2015.

Презентации с конференции CanSecWest Vancouver 2015.

Доклады с  конференции «Технологии защиты информации и информационная безопасность организаций» (IT-Security Conference).

OWASP WASC Distributed Web Honeypots Project – проект позиционируется как ловушка для хакеров, представленный в виде образа с предустановленными на него веб-приложениями.

Noise Security Bit #14 - подкаст о PacSec, 31c3, S4 и атаках на SCADA.

JSON.TV «Персоналии ИКТ-бизнеса. Михаил Емельянников - На линии киберобороны» - интервью с Михаилом Емельянниковым, в котором рассматриваются: тенденции и особенности развития российского рынка информационной безопасности; проблемы с применением закона «О персональных данных» и др.