На связи Катя, консультант по информационной безопасности направления «Solar Интеграция». В сегодняшнем посте я поделюсь краткой подборкой новостей из мира комплаенса ИБ за прошедший сентябрь. Вы узнаете о дальнейшем развитии подзаконных актов 266-ФЗ, изменениях в области стандартизации, отраслевых новшествах и не только. Все новости по традиции разбиты на тематические блоки.
Allsafe — это приложение, намеренно спроектированное небезопасным. Для чего это нужно? Оно предназначено для обучения и поиска различных уязвимостей. В отличие от других подобных приложений для Android, оно использует современные библиотеки и технологии. Меньше похоже на CTF и больше похоже на реальное приложение. В этом посте мы разберем его уязвимости с точки зрения двух подходов: статического и динамического тестирования безопасности.
Привет! Меня зовут Анвар, я аналитик данных RnD-лаборатории. Перед нашей исследовательской группой стоял вопрос проработки внедрения ИИ в сервис фильтрации веб-контента SWG-решения Solar webProxy. В этом посте я расскажу, зачем вообще нужен анализ веб-контента, почему из многообразия NLP-моделей для автоматизации решения этой задачи мы выбрали модель-трансформер. Кратко объясню, как с помощью математики взвесить смысловые отношения между словами. И, конечно, опишу, как мы приземлили веб-фильтрацию в продукт.
Можно ли стать программистом без профильного образования? Нет, это не реклама очередных онлайн-курсов. Кандидат физико-математических наук Андрей Грицевич много лет назад, когда деревья были больше, трава зеленее и еще даже не вышел первый Angular, ответил для себя на этот вопрос однозначно: а почему бы и нет! И самоучкой пошел в UI. Сегодня он руководит отделом разработки Центра продуктов Dozor в нашей компании. Андрей уверен, что только счастливые люди выполняют свою работу хорошо, а значит, надо помочь им стать такими. Как этого добиться? Не бояться внедрять современные инструменты. Какие-то проблемы ушли в прошлое благодаря внедрению SCRUM, где-то сработали новые HR-практики, а для решения других задач вообще понадобилось убедить всех, что технологии самоуправления – это совсем не страшно. И все это в довольно консервативной команде, которая создает серьезные корпоративные ИБ-продукты.
В новом дайджесте вы узнаете об основных новшествах из мира комплаенса ИБ за прошедший август. Какие подзаконные акты появились в развитие 266-ФЗ, который внес масштабные поправки в Федеральный закон «О персональных данных»? Как изменились требования регуляторов к защите критической информационной инфраструктуры и каким образом в стране предлагается перейти на преимущественное применение доверенных программно-аппаратных комплексов на значимых объектах КИИ? Каким требованиям должны соответствовать госорганы для аккредитации на работу с государственными информационными системами, используемыми для идентификации и аутентификации? Об этом и многом другом расскажу в сегодняшнем выпуске.
Все заказчики разные. Одни хорошо разбираются в технологиях и точно знают, что им нужно. Другие – просто хотят работать без сбоев и инцидентов, хоть и не понимают, как это реализовать. А кто-то не разбирается в ИБ, но уверен, что точно знает, как выстроить процесс. Если дело доходит до таких сложных задач, как создание или перестройка Security Operations Center (SOC), разница в подходах к ИБ становится очевидной. В этой серии постов мы решили поделиться подборкой самых популярных запросов, с которыми к нам, как к сервис-провайдеру, приходят компании. В этом посте мы расскажем о компаниях, которые видят основные риски не в киберугрозах, а в проверках и штрафах со стороны регулятора, сорванных сроках, поэтому хотят просто прикрыться фиговым листочком бумажкой.
Мы как-то писали про SSRF-атаку, которая входит в список наиболее распространенных уязвимостей OWASP Top 10. Однако мир уязвимостей намного разнообразнее и, конечно же, не ограничивается этим списком. Сегодня мы хотим рассказать про уязвимости, связанные с бизнес-логикой. Что в них необычного? Это как доказать, что 2+2=5. Последовательность действий кажется правильной, все операции разрешенными, а результат совсем не тот, который закладывался при разработке. Но мы же знаем, что в доказательстве есть ошибки! Рассмотрим, как подобные задачки решаются при анализе защищенности и какие неожиданные результаты можно получить, используя обычную функциональность приложений.
Для многих российских компаний уход иностранных вендоров ПО и железа стал, мягко говоря, ударом под дых. Сервис-провайдерам пришлось вдвойне тяжело: им надо было обеспечить кислородной маской необходимым софтом не только себя, но и своих заказчиков. Немалая часть наших сервисов ИБ базировалась на западных решениях. Что-то стало работать с урезанным набором функций, а что-то из-за отзыва лицензий просто превратилось в кирпич. На долгие поиски альтернативы времени не было, часть компаний уже находилась под атаками. С чем мы столкнулись, когда зарубежные вендоры стали отзывать лицензии и сворачивать техподдержку, как искали им замену и что делали, когда остались без оркестратора – расскажем в этом посте.
Мы продолжаем серию постов "Чего хотят клиенты". В них мы собрали самые популярные запросы, с которыми к нам, как к сервис-провайдеру ИБ, приходят различные компании, желающие подключить свою инфраструктуру к Security Operation Center (SOC). С какой бы стороны баррикад вы ни стояли (строитель SOC или заказчик), надеемся, наш опыт будет вам полезен. В этом посте речь пойдет про тех, кто не понаслышке знает, что такое SIEM, возможно работали в SOC и основная их цель – защита от киберугроз. Но они не так погружены в вопрос, что в итоге приводит к своеобразной постановке задач.
BloodHound – это популярный инструмент для сбора и анализа данных при проведении пентеста внутренней инфраструктуры на базе Active Directory. Этот инструмент позволяет визуализировать некорректные настройки объектов AD и строить цепочки атак. Основная его особенность — использование теории графов при анализе данных.
Дальше будет много технической информации, поэтому предполагается, что читатель понимает, что такое ACL, DACL, ACE и т.д., а также имеет базовое понимание языка запросов Cypher.
В новом дайджесте вас ждёт краткая выжимка основных изменений законодательства в области кибербезопасности за минувший июль. Главная тема выпуска — новации в части защиты персональных данных, появившиеся с принятием Федерального закона № 266. Также расскажу о развитии нормативно-правовой базы в рамках Указа Президента РФ № 250, новых законопроектах, направленных на защиту критической информационной инфраструктуры, инициативе ФСТЭК России сократить сроки проведения отдельных процедур по сертификации средств защиты и других новостях из мира ИБ-комплаенса.
Мы начинаем серию постов "Чего хотят клиенты". В них мы собрали самые популярные запросы, с которыми к нам, как к сервис-провайдеру ИБ, приходят различные компании, желающие подключить свою инфраструктуру к Security Operations Center (SOC). С какой бы стороны баррикад вы ни стояли (строитель SOC или заказчик), надеемся, наш опыт будет вам полезен. В этом посте мы расскажем о запросах заказчиков, которые действительно хорошо разбираются в IT и точно понимают, чего они хотят от SOC.
В последние два года почти весь мир оказался на удаленке. И все-таки офисы не ушли в прошлое. Когда заболеваемость коронавирусом окончательно стала спадать, изголодавшиеся по живому общению сотрудники потянулись обратно. Но после многих месяцев работы в уютной домашней атмосфере требования к офисным пространствам изменились. Теперь современное рабочее место – это не про стол, кресло и ноутбук в шумном и безликом опенспейсе. Новый офис – это место, куда хочется приходить каждый день, чтобы продуктивно работать, активно взаимодействовать с коллегами и чувствовать себя пусть и не как дома, но уж точно комфортно. Поэтому офисы многих компаний сегодня становятся более демократичными: оригинальный дизайн, нестандартные планировки, больше света, больше воздуха, больше пространства. Именно таким стал после грандиозного ремонта наш московский офис на Вятской улице. Когда-то ничем не примечательный (кроме сотрудников?) типичный офис превратился в высокотехнологичный центр разработки и интеграции. Обстановка теперь намного больше соответствует тому, что здесь делают. Ведь в офисе на Вятке, как мы его называем, работают те, кто создает и внедряет передовые продукты и сервисы кибербезопасности.
На связи Катя, консультант по информационной безопасности «Solar Интеграция». В новом посте рассказываю об основных изменениях из мира ИБ-комплаенса за июнь. Вы узнаете о новых штрафах, которые предлагается ввести за нарушения в области биометрических персональных данных, об информационных сообщениях ФСТЭК России, о нормативных правовых актах, принятых в развитие майского Указа Президента России, а также об отраслевых новшествах. Все новости по традиции разбиты на тематические блоки.
Привет, Хабр! Сегодня речь пойдет о предсказывании будущего, поведении людей, математике и котиках.
В повседневной жизни, общаясь с людьми, мы всегда смотрим на поведение собеседника. Поведение человека может много о нем сказать: о его воспитании, привычках, увлечениях, принципах и о личности в целом. Для нас, как для социальных существ, это очень важная информация, так как мы делаем выводы о человеке: можно ли ему доверять, на что обратить внимание, стоит ли с ним вообще иметь дело. Для нас, как для работников сферы информационной безопасности, это очень важная информация, так как мы можем делать выводы: можно ли ему доверять, на что обратить внимание, стоит ли с ним вообще иметь дело.
Управляемые сервисы кибербезопасности – штука по определению автоматизированная и стандартизированная. Однако всегда найдется заказчик, которому сервис нужен «точно такой же, только меньше, но другой». И тогда появляются нетиповые решения и новые стандарты. В этом посте мы расскажем, как решали такие задачи при подключении сервиса защиты от сетевых угроз Unified Threat Management (UTM).
На связи Катя, консультант «Solar Интеграция» по информационной безопасности. В свежем дайджесте я собрала ключевые новости из мира комплаенса ИБ за минувший май. Вы узнаете об основных моментах главного нормативного правового акта, появившегося в отрасли в прошедшем месяце: Указе Президента России о дополнительных мерах по обеспечению информационной безопасности в стране. Также я расскажу о новшествах в области защиты персональных и биометрических персональных данных, поделюсь отраслевыми изменениями и другими новостями законодательства в области кибербезопасности. Для вашего удобства все новости по традиции разбиты на тематические блоки.
Соблюдение нормативных требований в области криптографии – вечная тема. Давно не менявшаяся нормативная база и возможность различной интерпретации формулировок порождают только споры и сомнения. С появлением сервисной модели в ИБ вопросов стало еще больше. Можно ли в принципе передать часть обязанностей по обслуживанию средств криптографической защиты информации (СКЗИ) сервис-провайдеру? Как это правильно оформить и чем потом подтвердить комплаенс? Попробуем разобраться в этом посте.
Все, что описано ниже, затрагивает только защиту конфиденциальной информации. Защита государственной тайны отдельная тема и в статье не рассматривается.
В конце мая стало известно о том, что хакеры пытались организовать вредоносную рассылку якобы от Минцифры. Архив из этой рассылки получили для анализа специалисты Solar JSOC CERT. В нем мы обнаружили jli.dll. Эту DLL часто используют злоумышленники для размещения вредоносного кода, так как с помощью техники DLL Side Loading её подгружает довольно большое число легитимных файлов. Но в данном кейсе DLL использовалась по-другому – в рамках одного стандартного приложения Java. А как именно – расскажем в этом посте.