Дайджест новостей по ИБ за 15 – 22 января 2016г.

Блоги:

Сергей Борисов рассказал о проблемах, которые могут возникнуть при заполнении электронной формы уведомления РКН об обработке ПДн.

Андрей Прозоров поделился новостями импортозамещения программного обеспечения.

Ксения Шудрова запустила новый проект «Лица ИБ», в котором известные специалисты рассказывают о себе в формате ответов на вопросы. Первый - Сергей Борисов.

Статьи:

Преступления в банковской сфере 1 - 11 января, 12 - 21 января 2016.

Атака на пользователей Linux: «копипаст» вредоносного кода.

Hot Potato – повышение привилегий в системе Windows.

Немного о высокоточных атаках и APT.

Рекомендации по защите аккаунта в Instagram.

Может ли работодатель читать личную переписку?

Создание белого списка программ с помощью брандмауэра Windows и PowerShell.

Во FreeBSD обнаружены критические уязвимости.

Банк «Город» за день до отзыва лицензии уничтожил базы данных.

Удаляем ключ активации Windows из реестра.

Как узнать ключ активации установленного MS Office.

SSH: лучшие практики (англ.).

Журналы:

Security Kaizen Magazine. Issue 22 (англ.).

Документы:
Шаблоны документов для увольнения за разглашение коммерческой тайны от «InfoWatch».

Программное обеспечение/сервисы:

FIR (Fast Incident Response) - платформа для управления (позволяет создавать, отслеживать и создавать отчеты) инцидентами ИБ.

TorFlow - визуальная карта активности проекта «Torproject» (см. краткий обзор).

Kali Linux «Rolling Edition Released» (2016.1) - дистрибутив для тестирования на проникновение.

Аналитика:

Годовой отчет Cisco по информационной безопасности за 2016 год.

CloudFlare представила отчет о правительственных запросах за 2015 год.

Ресурсы:

Материалы курса «Malware Analysis (CSCI 4976)» от RPISEC (англ.) 

Видео с «Shmoocon Firetalks 2016».

Видео с «BSides Columbus 2016».

Noise Security Bit #17 - подкаст о юбилейной ZeroNights v0x5.

Аудиозапись мастер-класса RISSPA по теме: «Методологии внедрения SIEM: Теория vs. Практика»: часть 1, часть 2  (см. видеозапись).

Курс "Bootcamp" от PentesterLab

Всем привет!

Решил немного изменить формат своего блога. Теперь периодически буду предлагать вам совместно повышать практические навыки по информационной безопасности. С сегодняшнего дня для всех желающих научиться тестированию на проникновение либо повысить свои навыки в этом направлении предлагаю совместно пройти курс "Bootcamp" от PentesterLab. Курс на английском (переводчик Google вам в помощь), зато бесплатный. Задача следующая: освоить курс за 15 недель. Для этого я создал ветку на сайте forum.pentestnoob.ru (требуется регистрация), где мы будем помогать друг другу с решением и обмениваться идеями. Если найдутся желающие, будем записывать и выкладывать видео с подробным прохождением.

Итак, расписание обучения:
1 неделя - 25-31 января
2 неделя - 1-7 февраля
3 неделя - 8-14 февраля
4 неделя - 15-21 февраля
5 неделя - 22-28 февраля
6 неделя - 29 февраля - 6 марта
7 неделя - 7-13 марта
8 неделя - 14-20 марта
9 неделя - 21-27 марта
10 неделя - 28 марта - 3 апреля
11 неделя - 4-10 апреля
12 неделя - 11-17 апреля
13 неделя - 18-24 апреля
14 неделя - 25 апреля - 1 мая
15 неделя - 2-8 мая

15 недель - это много или мало? Это оптимальный срок для людей, которые работают  или учатся и желают свое свободное время посвятить саморазвитию. Вопросы по курсу можно задавать в группе ВК либо написать мне на ser-storchak(собака)mail(точка)ru.

Дайджест новостей по ИБ за 1 – 15 января 2016г.

Блоги:

Алексей Лукацкий сделал подборку общедоступных курсов по информационной безопасности часть 1, часть 2.

Подборка предсказаний по информационной безопасности на 2016 год от Андрея Прозорова.

Валерий Естехин предложил производителям DLP-решений организовать обмен знаниями и опытом между своими пользователями.

Статьи:

Обзор кибератак за 16 – 31 декабря 2015 (англ.). Источник: Hackmageddon.

Окончание поддержки Internet Explorer 8, 9, 10.

Пойманы преступники, опустошавшие банкоматы с помощью вируса Tyupkin.

Квадрокоптеры заглядывают в окна.

Исследователи опубликовали логины и пароли, установленные по умолчанию, для ICS/SCADA-систем (англ.)

Три вещи, которые нужно делать раз в год, даже если вам наплевать на информационную безопасность.

Журналы:

Inception #3 (2015) – ежегодный выпуск журнала по информационной безопасности.

Документы:
OUCH! Безопасность планшета – январский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Законодательство:

Указ Президента Российской Федерации от 31 декабря 2015 года N 683 «О Стратегии национальной безопасности Российской Федерации».

План проведения плановых проверок юридических лиц и индивидуальных предпринимателей Управления Федеральной службы по надзору в сфере связи, технологий и массовых коммуникаций по Ростовской области на 2016 год + сводный план на сайте прокуратуры Ростовской области.

Федеральный закон Российской Федерации от 30 декабря 2015 г. N 468-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации".  ФСБ разрешено обрабатывать биометрические персональные данные в отношении лиц, пересекающих Государственную границу Российской Федерации. Также сотрудникам ФСБ и СВР РФ разрешели размещать свои персональные данные в социальных сетях, блогах (микроблогах) и иных сетевых сообществах в порядке и на условиях, которые определяются их руководством. 

Федеральный закон от 30 декабря 2015 г. N 445-ФЗ "О внесении изменений в Федеральный закон "Об электронной подписи" (см. обзор документа).

Программное обеспечение/сервисы:

Viper – фреймворк для исследования бинарных вредоносных приложений.

Kali NetHunter 3.0 – Kali Linux-дистрибутив для Android- устройств.

Hackazon – тестовый уязвимый сайт  от Rapid7 для повышения навыков по тестированию на проникновение и анализу защищенности.

Kaspersky FREE! - бесплатный антивирус от «Лаборатории Касперского» (см. обзор от Евгения Касперского).

Аналитика:

Обзор вирусной активности для мобильных устройств за 2015 год. Источник: Dr.Web.

Статистика кибератак за 2015г. (англ.). Источник: Hackmageddon.com.

Мероприятия:

20.01.2016, 03.02.2016, 23.03.2016 Управление Роскомнадзора по Ростовской области проведет бесплатные семинары по теме: «Практика применения Федерального закона от 27 июля 2006 г. № 152 ФЗ «О персональных данных».

Ресурсы:

Видео с «The 32nd Chaos Communication Congress (32C3)».

Сборник видеозаписей с зарубежных конференций по информационной безопасности.

Pivot - бесплатный обучающий проект, призванный повысить практические навыки по кибербезопасности (краткий обзор от Алексея Лукацкого).

Дайджест новостей по ИБ за 18 – 25 декабря 2015г.

Блоги:

Андрей Прозоров поделился материалом по теме управление доступом и IdM; изучал вопрос культуры и этики специалистов по информационной безопасности.

Алексей Комаров опубликовал материалы с первого сезона серии вебинаров ИБ АСУ ТП NON-STOP; составил рейтинг блогов по информационной безопасности.

Алексей Лукацкий проанализировал, какие  ИБ-предсказания сбылось в 2015 году; затронул тему сертификации средств защиты, уязвимостях и отзыве сертификатов. 

Статьи:

В протоколе HTTP появится ошибка 451 для заблокированных сайтов.

Заведомо уязвимые системы шифрования.

Бекдор в ScreenOS компании Juniper Network.

Google тестирует новый метод аутентификации, не требующий ввода пароля.

Поиск уязвимостей в WordPress с помощью WPScan (англ.).

Обзор рынка управления корпоративной мобильностью (EMM) в России и в мире.

Обзор кибератак за 1 – 15 сентября 2015 (англ.). Источник: Hackmageddon.

Законодательство:

Приказ Минкомсвязи России от 28.08.2015 N 315 «О внесении изменений в Административный регламент Федеральной службы по надзору в сфере связи, информационных технологий и массовых коммуникаций по предоставлению государственной услуги «Ведение реестра операторов, осуществляющих обработку персональных данных», утвержденный приказом Министерства связи и массовых коммуникаций Российской Федерации от 21.12.2011 N 346» (комментарии Алексея Лукацкого).

Программное обеспечение/сервисы:

PowerSploit v3.0.0 - A PowerShell Post-Exploitation Framework.

Аналитика:

Безопасность веб-ресурсов банков России - исследование оценки уровня безопасности публично доступных банковских ресурсов 100 топовых банков России: официальных сайтов, ДБО для физических и юридических лиц. Источник: Digital Security.

Отчет по уязвимостям, выявленным в течение 2015 года в ходе проведенных тестов на проникновение в организациях финансового сектора*, ритейла, госучдержениях и телекоме. Источник: «Информзащита».

Краткий обзор отчета о состоянии безопасности в сфере здравоохранения от «Verizon».

Дайджест новостей по ИБ за 11 – 18 декабря 2015г.

Блоги:

Александр Бодрик осветил тему рисков, связанных с третьими сторонами.

Сергей Борисов опубликовал список мероприятий и их периодичность для поддержания документов по ПДн (ИСПДн, СЗПДн) в актуальном состоянии.

Алексей Волков раскрыл секрет магических квадрантов Гартнера.

Валерий Естихин сделал подборку стихов на тему парольной политики.

Алексей Лукацкий составил перечень крупных мероприятий по информационной безопасности на 2016 год; предложил основные направления, куда может пойти специалист по информационной безопасности в случае увольнения.

Презентация Андрея Прозорова на тему «Увольнение за разглашение охраняемой законом тайны. Практические аспекты».

Статьи:

Преступления в банковской сфере 1 - 14 декабря 2015.

Инструкция по использованию Mimikatz (англ.).

Что такое Cross Site Scripting (XSS) и как её устранить (англ.).

Прогноз на 2016 г. от спикеров «Кода ИБ».

Утечка гостайны или как попасть на дачу президента в пять часов утра.

Исследователь с помощью поисковика «Shodan» получил данные 13 млн пользователей MacKeeper и 35 000 баз MongoDB.

В CMS Joomla обнаружена критическая 0-day уязвимость.

Список open-source реализаций отечественных криптоГОСТов.

Подборка ресурсов для разработки безопасных приложений (англ.).

Подборка ловушек (honeypot).

Законодательство:

Обзор изменений в законодательстве за ноябрь 2015.

Журналы:
!Безопасность Деловой Информации выпуск #12. Защита коммерческой тайны

Программное обеспечение/сервисы:

Android Vulnerability Test Suite - сканер уязвимостей для Android-устройств

Аналитика:

Статистика кибератак за ноябрь 2015г. (англ.). Источник: Hackmageddon.com.

Мероприятия:

25.12.2015, 11:00(МСК), «Рождественский, многоликий вебинар BISA».

Ресурсы:

Презентации с конференции «ZeroNights 2015».

Видео с «GrrCON 2015».

Видео с «HouSecCon v6 2015».

Видео с «SecureWV2015».

Открытая группа «ICS Cyber Security (Russia)» в Telegram для интерактивного общения по теме.

haveibeenpwned.com/notifyme - сервис, уведомляющий пользователей в случае взлома его электронной почты.

Дайджест новостей по ИБ за 01 – 11 декабря 2015г.

Блоги:

10 новостей по ИБ за последнее время от Алексея Лукацкого.

Статьи:

Перевод OWASP Testing Guide: 2.1, 2.2.

Cisco vs Digital Security.

Let's Encrypt начала предоставлять бесплатные TLS-сертификаты. 

Уязвимости в Samsung SmartTV.

Критические уязвимости в популярных 3G- и 4G-модемах.

Журналы:

PenTest Magazine: Penetration testing and vulnerability analysis. Trends in 2016.

eForensics OPEN: The Unhackable Cloud.

Hakin9 Open. Botneting With Browser Extensions.

(IN)SECURE Magazine Issue 48 (декабрь 2015). How things change.

Документы:
OUCH! Безопасность онлайн покупок – ноябрьский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Программное обеспечение/сервисы:

Ransomware decryptor – декриптор от Касперского.

Wireshark 2.0.0 -  анализатор сетевых протоколов.

Nmap 7 - сканер безопасности

yota.hlsec.ru  - сервис по проверке наличия известных уязвимостей в LTE-модемах компании Yota.

Мероприятия:

Positive Hack Days VI приглашает докладчиков.

Ресурсы:

Презентации с Security Meetup, состоявшегося 22 октября в офисе Mail.ru.

Презентации с «Profit Security Day».

Презентации с «SOC Summit 2015».

Презентации с «SOC-Forum 2015: Практика противодействия кибератакам и построения центров мониторинга ИБ».

Видео с «BIS Summit 2015».

Подкасты «Доктор Веб».

Дайджест новостей от BISA.

Test lab v.8 – лаборатория тестирования на проникновение от компании «Pentestit».

Дайджест новостей по ИБ за 09 – 27 ноября 2015г.

[upd 27.11.2015]

Блоги:

Артем Агеев пытался выяснить, является ли электронный почтовый ящик персональными данными.

Алексей Лукацкий поделился впечатлениями от курса по промышленной безопасности SANS ICS515; посоветовал организаторам мероприятий по ИБ, что нужно включить в памятку спикеру и участнику; рассмотрел симулятор АСУ ТП в качестве средства для обучения ИБ.

Сергей Борисов проанализировал краткий отчет Group-IB «Тенденции развититя преступлений в области высоких технологий 2015».

Сергей Солдатов предложил создать киберполицию; предложил госкомпаниям использовать госаутсорсинг с целью эффективности и результативности работы.

Александр Бондаренко поделился способами организации программы по повышению осведомленности по ИБ.

Андрей Прозоров подготовил перечень вопросов, которые помогают завести беседу с коллегами на профессиональных конференциях и понять их основные задачи, потребности и общий уровень ИБ-компании.

Статьи:

Обзор кибератак за 16 – 30 сентября 2015 (англ.). Источник: Hackmageddon.

Независимый специалист Пирр Ким (Pierre Kim) обнаружил в роутерах Huawei уязвимости.

Установка неподписанных программ на устройства с iOS 9 без Jailbreak.

Краткий отчет о ICCC 2015.

Обзор лучших стартапов, представленных в экспозиции UK Cyber Innovation Zone в рамках Infosecurity Europe 2015.

Менеджер паролей 1Password хранит данные в открытом виде.

Фишинг в корпоративной среде + примеры фишинговых сообщений электронной почты.

Разработка защищенных банковских приложений:главные проблемы и как их избежать.

Успешное внедрение SIEM: часть 1, часть 2.

Уведомление о конфиденциальности в электронной почте: не очень хорошая идея.

Инструменты для обучения сотрудников защите от фишинга (англ.).

Контрольный список для найма тестировщика на проникновение веб-приложений или консультанта по безопасности (англ.).

Рекомендации по проверке защищенности серверных операционных систем Linux (по материалам ISACA Journal).

Перевод OWASP Testing Guide. 1.10, 1.11.

Cisco Security Ninja - повышение осведомленности в области информационной безопасности в Cisco.

Критическая уязвимость в компьютерах Dell позволяет хакерам получать доступ практически к любым данным: Как защититься.

Улучшение сетевой безопасности с помощью Content Security Policy.

Cканеры защищенности веб-приложений (WASS) – обзор рынка в России и в мире.

Дети в интернете: угрозы и решения.

Риски и проблемы хеширования паролей.
Кое-что о закладках, или как АНБ следит за пользователями.

Журналы:

Hakin9 Open. Botneting With Browser Extensions. Выпуск 03/2015 (78).

Программное обеспечение/сервисы:

Quick Android Review Kit - инструмент для поиска уязвимостей в Android-приложениях. (см. обзор).

Обзор утилит, представленных на Black Hat Arsenal Europe 2015.

AI-BOLIT (20151008) - сканер вредоносного кода.

BackBox Linux 4.4 - Linux-дистрибутив для тестирования на проникновение, основанный на Ubuntu.

Intercepter-NG [Android Edition] 1.7 - утилита для перехвата трафика и проведения автоматизированных атак (см. обзор).

Аналитика:

Статистика кибератак за сентябрь 2015г. (англ.). Источник: Hackmageddon.com.

Ресурсы:

Артем Гавриченков. DDoS-атаки.

TechDays. DoS и DDoS атаки (1, 2, 3).