«Взломайте нас, чтобы было красиво»

[akirsanov]

Отличное структурирование, хоть на стену вешай

[Ralari]

Внутренней безопасности и оргмерам надо уделять не меньше внимания.
Часто вместо пентеста проще дать денег уборщице, чтоб что-то на флешку скинула.
Или чуток побольше админу, добыть клиентскую базу целиком.
Ибо несертифицированные СЗИ бывают дырявы, как дуршлаг.
Недавно лично столкнулся: habrahabr.ru/post/343722

[vas-v]

Что если не секрет подразумевается под внутренней безопасностью?) И причём тут СЗИ?

[Ralari]

Защита от внутренних нарушителей, находящихся внутри периметра. Нелояльных сотрудников, в том числе админов, гостей.
Собсно СЗИ для этого и применяют в комплексе с орг. мерами.
В АСВН, не соединенных с открытыми сетями, пентест не очень актуален, а вот загремевший с 4 курса студент уже может попытаться дел натворить.

[vas-v]

В рамках некоторых работ таких сотрудников тоже проверяют. Другими словами проверяются не только технологии но и люди.

[Ralari]

Как отличить таких от не таких?
Методика есть?

Вопрос был про проверки внутренней защиты, а не про сотрудников

[KirillNazarov]

Справедливости ради, наличие сертификата у СЗИ тоже не гарантирует его непоколебимость, ибо у вышеупомянутого DeviceLock тоже есть сертифицированные версии, состав которых от не сертифицированных ничем не отличается, ага.

[Ralari]

Нет у него ничего сертифицированного.
В комментах к статье осуждалось.
И в мою контору они пытались сунуться в МО пролезть, были посланы.
В этой жиже бултыхаюсь 20 лет, так что мало-мало понимать.

[ashotog]

хорошо, что сразу видно иксперда. www.devicelock.com/ru/certified.html

[Ralari]

О том и речь, что нет ничего.
Вы текст по ссылке прочитали?

[Ralari]

Чота вспомнилось, что исправленную версию Вашей поделки не тестировал.
Поставил на закачку.

[Ralari]

Проверил.
Это клиника.
За год две дырки не смогли закрыть.
Не стыдно?

[evocatus]

Здесь не будут называться имена, ни на кого не будут показывать пальцем.

А почему нет? Я действительно не понимаю.

[vas-v]

Цель статьи обсудить проблему, а не тыкать в коллег по сфере.

[Ralari]

Напоминает ремонтников, скрывающих схемки плат от телевизоров, чтоб конкурентов не плодить. :)

[roller]

Чтобы не отпентестили в подворотне

[Chulup]

Будет ли признан успешным тест на проникновение на склад, к примеру, если при входе показать охраннику договор на проведение тестирования с подписью директора? При условии, конечно, что он после этого пропустит незнакомца внутрь.

[vas-v]

Скорее всего да, но тут существует много различных факторов, которые обговариваются до начала работ. Если мы говорим про проникновение на периметр склада, то договор для охранника можно подделать. Верить на одну подпись директора не совсем есть гуд.

[Ralari]

Типичная ситуация: обязан ли рядовой в карауле пропускать полковника?
А генерала?

[Ralari]

Только на отдел АСУ устав караульной службы не распространяется.

[semen-pro]

Напрашивается вопрос: что делать в случае смерти начальника караула, помощника начальника караула и своего разводящего?

[Wyrd]

В уставе имеются в виду не конкретные люди а «должности».

[semen-pro]

вспоминается

анекдот

Часовой на посту. Подходит майор.
— Фамилия?
— Рядовой Петров!
— Сколько человек в роте?
— Семьдесят!
— А в батальоне?
— Двести пятьдесят!
— А ты чего военную тайну рассказываешь? Вдруг я шпион?
Выстрел. Солдат:
— Ты посмотри, какая сволочь!

Собственно, вопрос был про разрешение таких коллизий, т.к. часовой может не знать об изменениях, вызванных вышеназванными потерями.

[dot22]

Ну, если бы точным, то не «должности», а «обязанности». Начальник караула, его помощник и разводящий — это не должности. Это обязанности, которые могут возлагаться на определенных должностных лиц.

[dot22]

В случае гибели начальника караула, его помощника и разводящего или физической невозможности для них выполнять свои обязанности снятие или смена часового производится дежурным по воинской части в присутствии своего командира роты или батальона.

УГКС

[Spewow]

На мой взгляд сканирование на уязвимости можно рассматривать как часть аудита безопасности. Например, у нас есть описанный процесс обновлений или парольных политик. При аудите соблюдения процессов применяется и автоматизированное сканирование.

Пентест, это имитация со стороны потенциального нарушителя. Причём в чистом виде, задача начинается с чёрного ящика. Вот название компании, проводите разведку и ломайте.
Задача пентеста в том числе проверить реакцию и эффективность службы ИБ. Поэтому пентесты лучше заказывать вышестоящему ТОП-куратору ИБ, в тайне от основных ИТ и ИБ служб.

[Ralari]

На «Меньшевике» примерно это сейчас и происходит.