Новая доктрина информационной безопасности

Текст: Официальный интернет-портал правовой информации
Когда увидел новость, подумал: сейчас прочитаю текст, нарежу цитат и выложу в блог. Но ничего примечательного в документе не обнаружилось. Разве что:

Видимо в случае LinkedIn необходимость обеспечения национальной безопасности перевесила.

KIPS Winter Series 2016

Сбылась мечта специалиста по ИБ, я поучаствовал в KIPS 2016. Официальное подтверждение:

Немного скриншотов из самой игры:

Довольно подробно по игре можно прочитать у Алексея Лукацкого.
Не смог не обратить внимание на следующие моменты (понятно, что это всего лишь игра, но все же):

• При максимально возможной прибыли за игру 1.000.000$, бюджет ИБ составляет 250.000$, эх что бы я так жил...
•  - а как же основопологающий принцип ИБ? Не верю, что потратить 50.000$ на ИБ и не потерять не реализации угроз 10.000$ лучше, чем не потратить 50.000$ и потерять на угрозах 10.000$.

ФСБ, банки и все-все-все *минутка юмора*

- Шеф, Федеральная служба безопасности РФ опубликовала заявление, что владеет информацией о подготовке иностранными спецслужбами в период с 5 декабря 2016 года масштабных кибератак с целью дестабилизации финансовой системы Российской Федерации, в том числе деятельности ряда крупнейших российских банков.

- Что ожидается?

- Мошеннические sms клиентам, DDoS и фальшивые публикации в СМИ

- Чем нам грозит DDoS?

- Наши информационные системы будут не доступны в течении какого то времени.

- А банкоматы?

- Они в том числе.

- Мы не можем этого допустить, мы должны сделать шаг быстрее злоумышленников!

(Разговор является вымышленным и не имеет связи с реальным миром).

P.s.

Нотариально заверенный скриншот

С днем защиты информации!

В 1988 году американская Ассоциация компьютерного оборудования объявила 30 ноября Международным днем защиты информации (Computer Security Day). Целью Дня является напоминание пользователям о необходимости защиты их компьютеров и всей хранимой в них информации.

Как еще писал Пушкин: "Береги сервер с нову, а честь с молоду". С праздником, коллеги!

П.с. Лаборатория Касперского приготовила нам изумительный подарок: бесплатное участие в KIPS Winter Series (https://wseu.kips.site/), успевайте зарегистрироваться!

Обучение сотрудников

Необходимость повышения грамотности сотрудников в вопросах ИБ зафиксирована в большинстве стандартов.
Например для банков: 382-п

2.12.1. Оператор по переводу денежных средств, банковский платежный агент (субагент), являющийся юридическим лицом, оператор услуг платежной инфраструктуры обеспечивают повышение осведомленности работников в области обеспечения защиты информации:по порядку применения организационных мер защиты информации;по порядку использования технических средств защиты информации.

Для любителей ISO: ISO/IEC 27002

7.2.2 Осведомленность, образование и обучение в сфере информационной безопасности
Все сотрудники организации и, там, где это существенно, работающие по контракту должны быть соответствующим образом информированы и обучены, а также регулярно извещаться об изменениях в политиках и процедурах организации, в той мере, насколько это важно для исполнения их служебных обязанностей. (Так же в этом пункте 7.2.2. есть практические рекомендации по применению. Найти текст стандарта можно здесь)

Что можно сделать в своей организации уже завтра:

• Приказом принять инструкцию по ИБ для пользователей. В ней описать основные требования. Всех сотрудников ознакомить с ней под подпись. Теперь, в случае ее нарушения, у нас будет механизм воздействия на сотрудника.
• Издать памятку по ИБ. Это неофициальный документ, в нем в доступной форме описаны все основные требования. Должна быть красочная, в корпоративном стиле. Каждому новому сотруднику выдавать такую в руки, чтобы пылилась под клавиатурой и всем своим видом напоминала, что ИБ это важно.
• Информационные рассылки по почте. Лучше проводить нечасто, раз в 2-3 недели, чтобы глаз не замыливался ими. В них обращаем внимание на актуальные вопросы.
• Личный инструктаж каждого нового сотрудника, при желании с проведением небольшого теста в конце, что бы "страшный безопасник" еще больше запомнился (плюсом бланки тестов с подписью очень весело показывать проверяющим из ЦБ).

По каждому из пунктов, при вашем желании, могу дать рекомендации и привести рабочие примеры.

Семинар Cisco по информационной безопасности 12.10.16г

Пропустить выступление одного из ведущих ИБ-блогеров (Бизнес без опасности) в своем родном городе я не мог.
Ну что могу сказать: как всегда, все на высшем уровне. Рекламы в меру, закуски на кофе-брейке вкусные. Что еще надо для удачного ИБ мероприятия? Ах да, доклады на актуальные темы и великолепный спикер. Можете поверить, все это было. Пересказывать доклады или озвучивать презентации дело неблагодарное, поэтому просто ссылка на материалы.
П.с. не смог удержаться:

Пентест изнутри #3. Проверка выполнения парольной политики

Ранее мы уже установили Kali Linux. Пришло время его использовать по назначению.
В любой организации установлены требования к парольной политике (если нет, то желательно их установить и сделать соответствующие настройки в политике Active Directory.)

Проверить, выполняются ли эти рекомендации на практике нам поможет  инструмент Hydra.

Это ПО для брутфорса учетных записей (в том числе smb). Гидра поможет нам обнаружить учетки типа conferencePC/conferencePC и используемые слабые пароли.

План работ:

1. Выгружаем из AD список учетных записей.

2. При желании грузим из интернета файлы "1000 самых используемых паролей" и т.д.

3. Натравливаем гидру на собственный PC на 445 порт, smb (при необходимости в интернете много подробных мануалов). Отмечаем галки на проверку пустого пароля и пароля равного логину.

!!! Перед сканированием удостоверяемся, что AD не начнет массового блокирования учетных записей после 3 неуспешных попыток подбора пароля.

4. Ждем результатов.

Бонус: немного рекомендаций, которыми можно поделиться с сотрудниками организации:

Ø Никогда не передавайте и не разглашайте Ваши индивидуальные идентификаторы и пароли.

Ø Не используйте чужие идентификаторы и пароли.

Ø Не храните свой пароль на бумаге или в месте, доступном другим лицам.

Ø Используйте сложные пароли.

Требования к паролю: Ø  Не менее 10 символов; Ø  Пароль должен содержать хотя бы по одному символу из каждой группы: o    Латинская буква в верхнем регистре; o    Латинская буква в нижнем регистре; o    Цифра; o    Специальный символ (@,#,$ и т.п.).