Дайджест новостей по ИБ за 31 июля – 7 августа 2015 г.

Блоги:

Алексей Лукацкий опубликовал список вопросов, посвященных этике компаний, занимающихся пентестами и исследованиями в области информационной безопасности.

Статьи:

Преступления в банковской сфере 23 июля - 3 августа 2015.

Обзор кибератак за 16 – 31 июля (англ.).

Телефонные и интернет-мошенничества по данным пресс-службы МВД по Республике Коми за июль 2015г.

Что такое эксплойты и почему их все так боятся?

Подборка документов посвященных безопасности облаков.

Взлом BitDefender и серьезные уязвимости в Symantec Endpoint Protection.

Риски, которым подвержены пользователи при отключенном  Windows User Account Control (англ.).

Обзор NIST SP 800-83 «Guide to Malware Incident Prevention and Handling».

Возможно ли выпустить патч за два дня?

Документы:
OUCH! Резервное копирование и восстановление данных – августовский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Программное обеспечение/сервисы:

Виджет утечек информации от InfoWatch – виджет для отображения на веб-странице новостей о громких утечках информации.

OWASP Broken Web Applications Project v1.2 – сборник уязвимых веб-приложений, представленных в VMware-формате.

The Social-Engineer Toolkit (SET) v6.5 - инструмент с открытым исходным кодом для тестирования на проникновение с помощью социальной инженерии.

Arachni Framework v1.2 – сканер безопасности веб-приложений.

AI-BOLIT - сканер вредоносного кода.

BlackArch Linux v2015.07.31 – дистрибутив на основе Arch Linux, содержащий утилиты для проведения тестирования на проникновение.

Аналитика:

«Доктор Веб»: обзор вирусной активности для мобильных Android-устройств в июле 2015 года.

Ресурсы:

Видео с семинара «Криптография в России: проблемы применения», состоявшегося в 24 июля в московском офисе Яндекса (впечатления Артёма Агеева).

Видео с BSides Cincinnati 2015.

Видео с BSides Las Vegas 2015.

Викторина по ИБ от Infosecinstitute (англ.).

Слайдкаст «Пошаговое руководство по защищенному доступу с мобильных устройств» от Алексея Лукацкого.

Security Week 32 - подборка из трех важных новостей за неделю от «Лаборатории Касперского».

Юмор. Фишинг

Дайджест новостей по ИБ за 10 – 31 июля 2015г.

Блоги:

Алексей Лукацкий затронул тему модели угроз для беспилотника; подготовил краткий обзор докладов с прошедшей Глобальной конференции по кибербезопасности, организованной МАГАТЭ.

Антон Шипулин опубликовал обзор российских демонстрационных стендов и исследовательских лабораторий по безопасности АСУ ТП.

Рекомендуемый список книг для построения прочного фундамента в сфере ИБ от Александра Свердлова.

Сергей Борисов подготовил краткий обзор «Bug Bounty»-площадок.

Владимир Стыран рассказал, как пентест помогает при оценке защищенности.

Статьи:

Обзор кибератак за 1 – 15 июля (англ.).

С 14 июля 2015 года Microsoft прекратила поддержку Microsoft Security Essentials на Windows XP.

Альтернативная замена защищенному шлюзу Microsoft Forefront TMG.

Инструкция по развертыванию HIDS OSSEC.

Обзор способов и протоколов аутентификации в веб-приложениях.

Перевод OWASP Testing Guide (часть 1.1, часть 1.2).

Сбор благотворительных средств как вид мошенничества.

Фишинг через поддельную беспроводную точку доступа (англ.).

Британский институт стандартов опубликовал стандарт BS 16000 «Менеджмент безопасности – Стратегическое и оперативное руководство».

Современный фишинг и методы противодействия.

Чек-лист проверки анонимности сёрфинга.

Взломали FL.ru.

Обзор докладов по информационной безопасности с конференции SECR-2014.

Сравнение облачных провайдеров защиты от DDoS-атак.

Сравнение антивирусов LMD, Manul, ClamAV и Вирусдай.

Список программных средств защиты, поддерживаемых Windows 10 (англ.).

«Center for Internet Security» опубликовал новые руководства по установке безопасных настроек (англ.). 

Тестирование парольных политик крупнейших веб-сервисов.

Как правильно составить резюме специалиста по ИБ.

Законодательство:

Указ Президента РФ от 13.07.2015 N 357 «О внесении изменений в перечень сведений конфиденциального характера, утвержденный Указом Президента Российской Федерации от 6 марта 1997 г. N 188» (см. комментарии Андрея Прозорова).

Постановление Правительства РФ от 6 июля 2015 г. № 675 «О порядке осуществления контроля за соблюдением требований, предусмотренных частью 2.1 статьи 13 и частью 6 статьи 14 Федерального закона «Об информации, информационных технологиях и о защите информации». Утверждены правила  контроля за размещением технических средств информационных систем, используемых госорганами, на территории Российской Федерации.

Программное обеспечение/сервисы:

BackBox Linux v4.3 – Linux-дистрибутив для тестирования на проникновение, основанный на Ubuntu.

Johnny - John the Ripper с графическим интерфейсом.

Sysmon v3.10 - утилита из пакета Sysinternals для мониторинга процессов в Windows.

Мероприятия:

19.08.2015 и  23.09.2015 Управление Роскомнадзора по Ростовской области проводит бесплатные семинары по теме: «Практика применения Федерального закона от 27 июля 2006 г. № 152 ФЗ "О персональных данных».

Ресурсы:

Слайдкасты «Чем регулируется защита информационных систем госорганов?» и «Как обеспечить конфиденциальность ПДн? А без сертифицированных СКЗИ можно?» от Алексея Лукацкого.

Видео с BSides Detroit 2015.

Видео с Converge 2015.

Вебинар «Целевые атаки: фишинг и социальная инженерия» от PCI SSC (англ).

Открытая безопасность #43 – подкаст о CTF- cоревнованиях.

Юмор. Взлом Hacking Team

Юмор. Защита от киберугроз

 

Спрей для защиты от целевых атак и других киберугроз

Способ применения: распылить на цифровое устройство, IoT, транспорт, сетевой кабель, чувствительные данные. Купить на Amazon.

 

Дайджест новостей по ИБ за 26.06.2015 – 10.07.2015г.

Блоги:

Артем Агеев озвучил текущую позицию Роскомнадзора по 242-ФЗ.

Александр Бондаренко в качестве решения по поиску и замене слабых паролей предложил использовать возможности nmap. 

Андрей Прозоров сделал подборку ссылок на материалы по теме SOC (Security Operations Centers).

Алексей Лукацкий кратко изложил выступления некоторых докладчиков,  которые состоялись в рамках форума «ИТ-Диалог»: представители ФСТЭК и ФСБ, Андрей Лихолетов, Кирилл Берман, Дмитрий Едомский; прокомментировал «Комментарий Роскомнадзора к Закону «О персональных данных».

Алексей Комаров подготовил подборку нормативно-правовых документов по безопасности АСУ ТП, АСУ ПиТП, КСИИ, КВО, КИИ.

Сергей Солдатов поделился рекомендациями по написанию документации на различные проектируемые/внедряемые/поддерживаемые системы.

Статьи:

Преступления в банковской сфере 25 июня - 6 июля 2015г.

Телефонные и интернет-мошенничества по данным пресс-службы МВД по Республике Коми за июнь 2015г.

Обзор кибератак за 1 – 15 июня (англ.).

Сервисы для проверки навыков тестирования на проникновение.

Список процедур для проверки безопасности SSL/TLS вручную (англ.).

Обзор системы обнаружения вторжений «Bro».

Путеводитель  по OWASP-проектам для разработчиков ПО (англ.).

Обеспечение безопасности сетевого периметра с использованием Snort, OSSEC и Prelude SIEM.

Результаты тестирования средств защиты от интернет-угроз от AV-TEST (англ.).

Потенциальные векторы атак на Head Unit авто и его окружение.

ZeroNights. Как все начиналось.

Опыт проведения CTF-соревнования StepCTF 2015.

Анализ SSL/TLS трафика в Wireshark.

Создание программы по борьбе с внутренними угрозами в организации: план реализации (часть 17, англ.).

Осваиваем сетевую IDS/IPS Suricata.

ЦБ РФ создал центр мониторинга и реагирования на компьютерные атаки в финансовой сфере.

Удаленная инъекция Wi-Fi кадров.

Анализ файловых атрибутов mtime и ctime для поиска измененных вирусами файлов.

Экспресс-анализ подозрительной активности в журнале веб-сервера.

Утечка конфиденциальной информации у компании «Hacking Team».

Собираем базу людей из открытых данных WhatsApp и VK.

Сходства и различия между SOC (Security Operations Center) и CERT (Computer Emergency Response Team).

Тестирование и обзор антивирусных средств защиты (англ.).

Что подразумевается под определением «Zero-Day Exploit» (англ.).

Создание программы по борьбе с внутренними угрозами в организации: заключение и ресурсы (часть 18, англ.).    

Журналы:

(IN)SECURE Magazine Issue 46 (июль 2015) - тема номера: «Искусство войны» (англ.).

Документы:
OUCH! Социальные сети – июльский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

The Ultimate XSS Protection Cheat Sheet for Developers – руководство для веб-разработчиков по защите от XSS (англ.). Автор: Аджин Абрахам (Ajin Abraham).

Secure Coding for Android Applications – рекомендации по написанию надежных и защищенных приложений под Android-устройства (англ.). Источник: Mcafee.

Critical Security Controls (CSC) - рекомендации по защите от распространенных атак. Источник: Center for Internet Security.

ICS-CERT Monitor (May-June 2015) - отчет об инцидентах в промышленных системах управления за май-июнь. Источник: ICS-CERT  (см. краткий обзор от Алексея Комарова).

JSOC Security flash report Q1 2015 - отчет об актуальных угрозах ИБ в России за первый квартал 2015г. Источник: Solar Security.

Законодательство:

Федеральный закон от 29 июня 2015 г. N188-ФЗ «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации» и статью 14 Федерального закона «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд». Решено создать единый реестр российских программ для ЭВМ и БД.

Федеральный закон Российской Федерации от 29 июня 2015 г. N 193-ФЗ «О внесении изменений в статью 183 Уголовного кодекса Российской Федерации». Ужесточена уголовная ответственность за незаконные получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну.

Программное обеспечение/сервисы:

EICARgen - утилита для тестирования антивирусов, которая создает «EICAR-файлы» различных форматов.

20 Critical Controls Helper Kit  v2.3 - инструмент (xls-файл) для экспериментального подтверждения концепции (PoC) путем проведения оценки безопасности в сфере здравоохранения.

SQLMAP-Web-GUI - графический веб-интерфейс для SQLMAP.

Cowrie - SSH Honeypot.

Аналитика:

Что может быть эффективнее атаки по словарю?

Обзор вирусной активности для мобильных Android-устройств в июне 2015 года от «Доктора Веб».

Мероприятия:

В УрГЭУ идет набор в магистратуру по направлению «конкурентная разведка».

InfoWatch открывает направления, целью которого является помощь вузам в подготовке специалистов по информационной безопасности.

30 июля 2015 года «Лаборатория Касперского» приглашает принять участие в интерактивной игре для системных администраторов «IT-КАРМА».

Принять участие в «Skolkovo Cybersecurity Challenge 2015».

Принять участие в публичном обсуждении документа «Комментарий Конференции Седона  по принципам обеспечения неприкосновенности частной жизни и информационной безопасности и рекомендации для юристов, юридических фирм и других поставщиков юридических услуг» (The Sedona Conference Commentary on Privacy and Information Security: Principles and Guidelines for Lawyers, Law Firms, and Other Legal Service Providers).

18-го июля в Одессе пройдет первая конференция по ИБ «dec0de».

Ресурсы:

SecLists - коллекция списков,  включающие имена, пароли, адреса, чувствительные данные для оценки безопасности.

Памятка «Безопасное селфи» от МВД России.

Постеры «Spring 2015 Pen Testing», «Industrial Control Systems Resource» и «20 Critical Security Controls» от SANS.

http://map.norsecorp.com/ - карта атак в режиме реального времени от Norse.

Видео с OISF 2015.

Видео с BSides Cleveland 2015.

Юмор. DoS-атака

1. Одна человеческая клетка содержит 75Мб генетической информации.
2. Один сперматозоид содержит 37.5Мб.
3. В одном миллилитре содержится около 100 млн сперматозоидов.
4. В среднем, эякуляция длится 5 секунд и составляет 2.25 мл спермы.
5. Таким образом, пропускная способность мужского члена будет равна (37.5Мб x 100M x 2.25)/5 = (37 500 000 байт/сперматозоид x 100 000 000 сперматозоид/мл x 2.25 мл) / 5 секунд = 1 687 500 000 000 000 байт/секунду = 1,6875 Терабайт/с.

Получается, что женская яйцеклетка выдерживает эту DoS-атаку на полтора терабайта в секунду, пропуская только один выбранный пакет данных и является самым офигенным в мире хардварным фаерволом… Но тот один пакет, который она пропускает, кладет систему на 9 месяцев (ну или, передавая код, компилирует программу, которая выходит в релиз через 9 месяцев)…

(с) народная мудрость