Всем привет!

Вы работаете с системами мониторинга транспорта, отрабатываете и согласуете заявки или являетесь частью команды разработки таких продуктов? Тогда этот материал будет вам интересен.

В статье на примере продукта Monitor3S мы расскажем, как оптимальным образом организовать работу с заявками на транспорт, если компании трудно подобрать коробочное решение мониторинга с использованием GPS и ГЛОНАСС. Кому интересно – добро пожаловать под кат.

Всем привет!

Сегодня мы хотим поговорить о нашем опыте работы с пакетным менеджером Conan.io. Если вы так же, как и наша команда разработки Efros Config Inspector столкнулись с вопросами сборки под различные операционные системы, включая отечественные, и используете сторонние библиотеки, возможно, этот материал будет вам интересен.

Conan.io или…?

Efros Config Inspector был разработан как Windows приложение, но впоследствии было принято решение обеспечить совместимость и с отечественными ОС, такими как Astra Linux и РЕДОС. В процессе реализации этой задачи мы столкнулись с рядом трудностей, решить которые могли, во-первых, смена системы сборки программного обеспечения, во-вторых, подключение пакетного менеджера.

Разработка продукта велась на основе технологий Microsoft (Visual Studio и Team Foundation Server), но, как известно, это не самое удобное решение для сборки проекта под *.nix-системы, поэтому появились инструменты CMake. Тема выбора CMake достойна отдельной статьи. Если она вам интересна, напишите в комментариях, и мы обязательно вернемся к обсуждению данного вопроса в следующих публикациях.

Если вы когда-нибудь сталкивались с распределёнными СУБД или системами обработки данных, то слышали о двух теоремах: CAP и PACELC, определяющих грани возможных конфигураций этих систем. Споры об их универсальности не утихают до сих пор, однако альтернативы, способные полностью заместить данные научные изыскания, ещё не сформулированы и вряд ли в ближайшее время появятся. Поэтому всем, кто работает с распределёнными системами, необходимо учитывать эти теории. Мы, команда разработки СУБД Jatoba, также столкнулись с противоречивостью теорем, детально разобрались и готовы помочь всем, кто только начинает работу с ними.

Введение

В 2000 году Эрик Брюер выдвинул гипотезу, суть которой можно описать так: в распределённой системе невозможно обеспечить одновременное выполнение всех трёх условий: корректности, доступности и устойчивости к разделению узлов CAP (Consistency-Availability-Partition tolerance). За 20 лет применения теорема действительно доказала свою состоятельность, однако показалась недостаточной. Так в 2010 году появилась PACELC как расширение CAP, которое гласит, что в случае разделения сети в распределённой компьютерной системе необходимо выбирать между доступностью и согласованностью, но даже если система работает нормально в отсутствии разделения, нужно выбирать между задержками и согласованностью.
Как это работает, рассмотрим далее.

Мы продолжаем обзор докладов конференции GIS DAYS. Сегодня представляем вам ревью профессиональной секции PRO3, посвященной электронной подписи и цифровым сервисам доверия.

Использование электронной подписи (ЭП) сегодня вызвано целым рядом факторов, вот лишь некоторые из них: необходимость ускорения процессов подписания документации, удаленный формат работы, обеспечение юридической значимости электронных документов, а также необходимость контроля целостности информационных потоков и авторства документов организаций.

Чтобы реализовывать эту технологию на практике компаниям необходимы корректно используемые средства электронной подписи, взаимодействие с удостоверяющими центрами и провайдерами услуг доверия, нормативное и организационное обеспечение. Как это сделать, расскажем в нашем материале.

Мы продолжаем обзор докладов конференции GIS DAYS. Профессиональная секция PRO2 была посвящена мониторингу критической информационной инфраструктуры (КИИ), а также способам обнаружения аномалий в сетях автоматизированных систем управления технологическими процессами (АСУ ТП). Коллеги представили 11 докладов, их ревью в нашем материале.

Ведущий инженер группы интегрированных систем операционного контроля компании «Газинформсервис» Евгений Гришин рассказал о подходах к применению SOC для АСУ ТП в топливно-энергетическом комплексе.

Главным событием осени 2020 года в нашей компании стала конференция GIS DAYS. Мы уже рассказывали вам о содержании ее пленарной сессии – здесь, а теперь готовы познакомить с обзором профессиональной секции PRO1. Наш материал кратко раскроет темы докладов специалистов, выступивших в рамках секции PRO1 и расскажет о тенденциях в аудите информационной безопасности, тестировании на проникновение и организации защищенных удаленных доступов в компании.

Сессия длилась без малого 3 часа, но специально для читателей Хабра мы уместили все самое интересное в 15 минут.

Начнем с занимательной статистики от Positive Technologies.

22 октября прошла конференция «Global Information Security Days 2020», организатором которой ежегодно выступает компания «Газинформсервис». Ключевая тема этого года — «Кибербезопасность новой реальности».

Онлайн-трансляция продлилась более 11 часов — за это время успели выступить 42 спикера. Часть из них участвовала в обсуждениях из студии на «Ленфильме», а другие присоединились к дискуссиям дистанционно по видеоконференцсвязи.

Конференция была разделена на пленарную и три тематические сессии. В этой статье мы подробнее расскажем про пленарную часть. Ее модераторами стали главный редактор изданий группы компаний Comnews Леонид Коник и телеведущая Ника Стрижак.

Меня зовут Денис Рожков, я руководитель разработки ПО в компании «Газинформсервис», в команде продукта Jatoba. Законодательство и корпоративные нормы накладывают определенные требования к безопасности хранения данных. Никто не хочет, чтобы третьи лица получили доступ к конфиденциальной информации, поэтому для любого проекта важны следующие вопросы: идентификация и аутентификация, управление доступами к данным, обеспечение целостности информации в системе, регистрация событий безопасности. Поэтому я хочу рассказать о некоторых интересных моментах, касающихся безопасности СУБД.

Целью цикла статьей является обзор нормативно-технических и нормативно-правовых условий для организации процессов обеспечения доверия в цифровой среде.

Вопросы обеспечения и развития цифрового пространства доверия актуальны во всём мире. Они стоят на повестке дня и решаются в той или иной степени с 1980-х годов, а в Российской Федерации, по крайней мере с начала 2000-х годов, когда был принят Федеральный закон № 1-ФЗ «Об электронной цифровой подписи». Наиболее обсуждаемым вопросом на уровне регуляторов (Минкомсвязи России, ФСБ России, ФНС России), пользователей и операторов, при реализации процессов обеспечения доверия в цифровой среде, является нормативная база обеспечения применения аналогов собственноручной подписи — электронной подписи (ЭП), электронной цифровой подписи (ЭЦП), как средства обеспечения юридической силы трансграничного электронного документооборота. В 2018-2020 годах это обсуждение привело к значительной модернизации федерального законодательства в области доверия в цифровой среде, а именно к появлению Федерального закона №476-ФЗ от 27.12.2019, внесшего значительные поправки в Федеральный закон № 63-ФЗ от 06.04.2011 «Об электронной подписи». Здесь и далее, главным образом будут рассмотрены поправки, касающиеся сервисов доверия, объединённых в 476-ФЗ понятием «доверенная третья сторона» (ДТС).

С момента выпуска первой спецификации EFI в двухтысячном году прошло около девятнадцати лет. Десять лет понадобилось интерфейсу, чтобы выйти на пользовательский рынок и закрепиться на нем. На текущий момент редко где можно увидеть современный компьютер без UEFI в прошивке материнской платы. Стандарт интерфейса нарастил «мясо» и несколько тысяч страниц в официальной документации. Для обычного пользователя ничего не поменялось, кроме эпизодических столкновений с включённым Secure Boot. Но если плоскость работы смещается в разработку, всё становится интереснее.

Работы по расширению трансграничного пространства доверия на базе использования Сервиса валидации электронной подписи (СВЭП) и услуг Доверенной третьей стороны (ДТС) активно продолжаются. На этот раз мы поговорим о пилотном проекте в рамках которого создан сервис по проверке иностранной электронной подписи в России и Казахстане.

Участниками проекта являются: со стороны России – СВЭП ООО «УЦ ГИС», со стороны республики Казахстан (РК) – ДТС РК в лице доверенного оператора ДТС РК АО «Национальные информационные технологии» и представитель российского бизнеса – биржа вагонов «Рэйл Коммерс».

В соответствии с требованиями ФСБ России использование схемы подписи ГОСТ Р 34.10-2001 для формирования электронной подписи после 31 декабря 2018 года не допускается. Однако, соответствующий патч для Check Point с криптографией КриптоПро, поддерживающей новые алгоритмы, выпущен в 2018 году не был. Чтобы соответствовать требованиям регулятора и внезапно не остаться без защищенных каналов связи, многие компании, использующие оборудование Check Point с поддержкой ГОСТового шифрования, не дожидаясь нового патча выпустили сертификаты для шлюзов по алгоритмам ГОСТ Р 34.10/11-2001.

В данной публикации рассматривается ситуация, когда межсетевые экраны (МЭ) Check Point уже обновлены до версии R77.30, и на них установлен дистрибутив КриптоПро CSP 3.9 для Check Point SPLAT/GAiA. В данном случае можно сохранить сертификат узла выпущенного при использовании алгоритмов ГОСТ Р 34.10/11-2012, что при кластерном исполнении инсталляции МЭ Check Point (Distributed/Standalone Full HA deployments) позволяет без перерывов связи обновить криптографию на оборудовании. На практике достаточно часто встречается ситуация, когда множество географически удаленных площадок строят VPN-туннели с центральным кластером. Соответственно, чтобы не обновлять большое количество площадок единовременно, новый патч позволяет использовать на оборудовании как алгоритмы ГОСТ Р 34.10/11-2001, так и новые алгоритмы ГОСТ Р 34.10/11-2012.

Приветствую, Хабровчане! Хотел бы поделиться с вами историей создания инновационного продукта. Речь пойдет о продукте класса расширенной аналитики событий информационной безопасности c функциями поведенческого анализа. Мы создали уже более полутора десятков продуктов по информационной безопасности. Почему мы решили создать еще один продукт? Давайте обо всем по порядку.

Ни для кого не секрет, что современная защита предприятий строится на основе комплексных систем безопасности, которые интегрируют средства защиты различного назначения. Это и антивирусные программы, межсетевые экраны, системы обнаружения вторжений, защиты от утечек и т.п. Однако, несмотря на несколько уровней в такой системе, выстроенной по периметру корпоративной инфраструктуры, сегодня она не гарантирует защиту от целевых компьютерных атак и злонамеренных действий персонала.

Многие заказчики задаются вопросом, а зачем проводить техническое обслуживание Комплекса инженерно-технических средств охраны (КИТСО)? Ну максимум камеры протереть. Все же само работает! Все корпусы уличного оборудования герметичные, а с оборудованием, находящимся в помещении ничего случиться не может.

При этом заказчики забывают, что КИТСО это КОМПЛЕКС средств и, если перестает работать хотя бы один его элемент, перестает работать весь комплекс.

Классический КИТСО на сегодняшний момент состоит из следующих компонентов: охранной сигнализации (ОС), охранного видеонаблюдения (ОВ) и системы контроля управления доступом (СКУД). Допустим погасло видеонаблюдение. Какой тогда толк от охранной сигнализации и СКУДа если злоумышленник может делать что угодно в это время на объекте не боясь последствий. В тоже время Видео без работающей ОС так же не эффективно т.к. охрана просто не узнает, что есть инцидент. Охватить мониторами все видеокамеры более-менее крупного объекта невозможно.

Ну и какой толк от СКУДа, если в случаем физического взлома замка или окна не сработает охранная сигнализация?

Программный комплекс Efros Config Inspector, предназначенный для контроля безопасности конфигураций активного сетевого оборудования, сред виртуализации, операционных систем – а с недавнего времени и средств роботизации бизнес-процессов (подробнее – здесь), с успехом используется самыми разными пользователями уже более восьми лет. Учитывая тренды развития информационных технологий и средств киберзащиты, разработчики уделяют особое внимание кроссплатформенности решения.

Для реализации функций управления конфигурациями, которые пользователи смогут оценить в нашем ближайшем зимнем релизе, был выбран кроссплатформенный пакет OpenSSH. Он поддерживается большинством дистрибутивов Linux, а с недавнего времени – и операционными системами семейства Windows.

В ходе анализа возможностей пакета была выявлена ошибка: клиент, в качестве которого выступал маршрутизатор Cisco, обрывал соединение с сервером. В коде сервера из пакета OpenSSH существует так называемая поддержка совместимости с различными устройствами, в частности — с устройствами Cisco. Она позволяет уточнять протокол взаимодействия между клиентом и сервером в зависимости от используемых типов устройств. После детального исследования стало ясно, что в процессе портирования пакета OpenSSH на Windows эта поддержка совместимости была отключена из-за особенностей портирования.

Как получить сертификат OSCP (Offensive Security Certified Professional)

Пожалуй, «оскорбительная» безопасность — это лучший перевод того направления деятельности, о котором мы сегодня поговорим. Конечно, Offensive – это еще и наступательная, и даже агрессивная, но сейчас речь не об этом.

Итак, вы пока еще не потеряли веру в карьеру в сфере информационной безопасности, однако окончательно убедились, что большинство сертификатов от вендоров – бессмысленная бумага, не стоящая вашего времени. Один мой коллега уже предлагает вручать всем заплатившим за экзамен сертификат Vendor Certified Dumping Specialist и на этом весь этот цирк заканчивать. Но будем реалистами, обучение и сертификация – это серьезный бизнес, и никуда он не денется в ближайшее время.

Тем хуже, если знания и навыки, которые вы решили подтвердить, не привязаны какому-то конкретному вендору. Про CISSP я уже рассказывал, а как насчет практических навыков в сфере информационной безопасности?

С одной стороны, есть крайне популярный экзамен Certificated Ethincal Hacker. Я абсолютно не сомневаюсь, что популярен он исключительно потому, что только пройдя этот экзамен вы сможете официально называться хакером. Проблема тут в другом: вам придется также согласиться, что вы стали хакером просто верно ответив на 125 вопросов. Несмотря на абсурдность ситуации, этот экзамен крайне популярен на Западе и для отдельных позиций является просто необходимым, особенно в государственном и военном секторе.

Много лет назад, когда мне впервые пришлось обучать молодых специалистов работе с Active Directory, я с тоской подсчитывал, какие вычислительные мощности мне потребуются от обучающего центра. Это было то далекое время, когда виртуализация еще только начала покорять IT. Я в столбик складывал требования к рабочим местам, контроллерам домена, прикладным серверам, и цифры меня совсем не радовали. Не радовали они и администратора обучающего центра.

С тех пор было прочитано большое количество курсов, но проблема ресурсов никуда не исчезала, пока на горизонте на замаячило огромное синее млекопитающее, груженое контейнерами.
Конечно, я думаю все гуглили “Container vs VM” и получали примерно такую картинку.

Бог троицу любит
(пословица)

Если двое разговаривают на разных языках, без переводчика не обойтись

Когда два государственных руководителя при международных переговорах говорят на разных языках, то по дипломатическому протоколу не обойтись без двух переводчиков.
Аналогично, когда две организации из разных стран в документообороте используют электронную подпись, то не обойтись без так называемой доверенной третьей стороны (ДТС). Особенно если в их родных юрисдикциях на законодательном уровне принята своя самостийная криптография.

С тенденцией к цифровизации предприятий по всему миру получают популярность системы управления ресурсами предприятия — ERP-системы. Крупнейшим игроком в данном сегменте на мировом и российском рынке уже долгое время остается немецкая компания SAP.



Стоит отметить, что Gartner определяет данный тип систем, как «критически важные для бизнеса», что неудивительно ввиду обширных функциональных возможностей, которые они предоставляют: финансы, производство, управление цепочками поставок, CRM, жизненными циклами продуктов, BI, и пр. Так, например, доля отраслей применения данных решений по наибольшему числу проектов внедрения, которые приводит портал «TAdviser» выглядит следующим образом:

В марте 2019 года компания «Газинформсервис» представила обновленную версию программного комплекса SafeERP 4.6. Подробное описание продукта SafeERP приведено на сайте компании.

В новую версию программного комплекса SafeERP 4.6 включена процедура построения иерархии полномочий по выбранным для анализа объектам полномочий.

Напомним структуру и общие понятия концепции полномочий SAP: «Объект полномочий» -> «Полномочие» -> «Профиль» -> «Роль» -> «Учетная запись пользователя». Концепция полномочий — классическая, но фактическая реализации более сложная:

• несколько ролей может быть присвоено пользователю;
• составная роль (Composite Role) может включать нескольких ролей;
• составной профиль полномочий может состоять из нескольких профилей (Composite Profile);
• в составной профиль может быть включён другой составной профиль;
• пользователь может наследовать полномочия ссылочного пользователя (Reference User).

Иерархия возможной структуры полномочий представлена на рисунке 1.


Рисунок 1 – Общая структура концепции полномочий SAP