Архив метки: средства защиты информации

Паразиты&ИБ

Сегодня у нас не про ИБ, но разве что чуть-чуть. Сегодня у нас про фильмы, и как информационная безопасность на них похожа. Конечно, можно было бы взять что-нибудь эпичное (вроде, Джокера), и рассказать, как наша ИБ сходила медленно с ума, работая за три копейки, пинаяемая модными подростками, но произошел общий бунт и мы возглавляем его, носимые на руках (нет). А, вот, на что наша отрасль похожа, так это на оскороносный фильм «Паразиты». Об этом и поговорим.

Надо сказать, что я посмотрел всех претендентов на Оскар до премии в кино (за исключением Паразитов). Все фильмы мне фильмы мне понравились, некоторые прямо очень-очень. В этом году вообще очень сильный состав, но выиграл, кто выиграл. И я, разумеется, решил к этому шедевру прикоснуться.

Скажу сразу, фильм хороший, для корейских, наверняка, так и отличный. Общая визуальная составляющая на высшем уровне (вроде, за нее в первую очередь и дали). История в духе Тарантино, могла бы даже понравиться и осесть в коллекции, финал с потугами на вечные социальные проблемы о материальном неравенстве и классовой ненависти. Но…

Надо сказать, что фильм я смотрел вдумчиво в три приема. Первый раз я остановился на моменте, как мама устроилась на работу. В этой части я прямо орал. Фильм виделся этакой вариацией на «Поймай меня, если сможешь». В серьез виделась логика в поступках главных героев, которые старались улучшить свою жизнь всеми доступными способами. И пусть герои действуют, переступая через головы других, но зато каков реализм. Ведь именно история, в которую веришь, является лучшей. Тут фильм мог превратиться либо в комедийный, либо с оттенками драмы. Про милых, или не очень мошенников. И сюжет можно было бы поворачивать и так и эдак, например, героев могло в конце ждать неминуемое фиаско. Но это не про фильм Паразиты.

Второй раз я прервался, когда хозяева вернулись с кемпинга. Эта часть фильма просто трешак. Где-то даже задорный. Разумеется, эту часть запускает приход старой экономки и огромный рояль в кустах. Спойлерить не буду, сами посмотрите. Да, этот ход поддает драйву всему действу, иначе был все грозило скатиться в черт пойми что. Посудите сами, умные и талантливые мошенники решили устроить пьянку в доме людей, которые вытащили их из бедности. Хм… что могло бы пойти не так? Если после первой части, я думал что нас ждет какой-нибудь крутой обман или афера, например, женить сына на дочери хозяев, перед этим устранив любым способом (добрым – и вот, вам комедия, через убийство – реалистичная драмма) остальных. То в конце второй части ожидал что-то в духе Бешенных псов, где все друг друга мочат и (не)получают по заслугам. Здесь уже в голос не орал, но было интересно.

Финальная часть – полный провал. Более банальной и ординарной развязки придумать было сложно. Гениальные оборванцы начинают вести себя, как непроходимые тупицы и получают два раза камне по голове. Хозяина дома убивают, потому что наши мошенники не могут постирать одежду с кондиционером или залить себя духами, хотя деньги у них на это были. Хозяева дома вообще предстают самыми положительными героями, они работают, давая возможность заработать другим, а их работники их обманывают и в темную эксплуатируют. За это хозяева расплачиваются психозами детей и в итоге смертью. Вот, уж действительно – не делай добра, не получишь зла.

В фильм пытались притянуть социальный подтекст, но вся классовая ненависть между героями и хозяевами надумана. Хозяева не давали поводов для ненависти, обращались с героями нормально, не грубили и не хамили. И, вдруг, за десять минут до конца фильма, наши бедные герои их возненавидели. С таким же успехом они могли сменить пол, или уйти в секту. Предпосылки теже самые были.

Итоговый монолог сына – крайне спорен для оскораносного кино. «Достать денег любыми способами, но не через труд и учебу». Т.е. скорее всего, нелегально, путем обмана и криминала. Грустно.

Главный итог по фильму Паразиты, что он заявляет много чего (и комедию, и драму, и триллер), но ничего не доводит до конца. Например, линия друга-студента так и почила в бозе. Да, героев настигает возмездие, но не благодаря их действиям, а тупости (кто просил сына спускаться в подвал?) и роялям в кустах (не открой они старой экономке, можно было бы обойтись без массовых убийств). И сын не извлек выводов из данной истории, воруй-убивай, честный труд побоку. Фильм красивый, и один раз его точно стоит посмотреть, но заслуживает ли он Оскара – большой вопрос.

И, вот, досмотрев фильм – я подумал, что у нас все как в Паразитах. Дикая смесь услуг и продуктов, без четкой идентификации. Да, мы межсетевой экран, но с функциями DLP. А наша DLP это DLP, но с функциями SIEM. И так далее. Само по себе это ни хорошо, и ни плохо. Но эта каша переносится на всю отрасль.

Так у нас есть крупные и не очень вендора, которые ходят и продают сами. Зачем вендору штатные аккаунты в большом количестве я затрудняюсь сказать. Разумеется, возникают всякие паскудные истории, когда вендор уводит у интегратора заказчика, что не добавляет здоровья рынку и репутации производителю. Интеграторы у нас не лучше, спроси любого, что ты умеешь делать и получишь ответ «Все!». В таких, случаях хочется спросить, а что из этого ты умеешь делать хорошо? Кстати, знаете как определить хорошего исполнителя от всеумеющего? У всеумеющего на сайте соседствуют услуги по ISO 27000 и защите АСУ ТП.

И так в нашей поибешечке во многом, а хочется чего-нибудь настоящего. Ну, хотя бы в стиле Джокера, не говоря об «Однажды в Голливуде».

Всего вам доброго.

Информационная безопасность в ж… Часть 2

Разделы 0 и 1.

2. Фундаментальные основы

В основе информационной безопасности лежат две вещи: безопасность и информация. Как ни странно. И если с безопасностью все более-менее понятно, это роднит нас безопасносниками в широком смысле слова (даже экологической безопасностью и охраной труда), то вторая составляющая уводит нас в какие-то неведомые дали, где темный лес и партизаны.

Разумеется, как и любая отрасль, возникшая на стыке двух отраслей (безопасность и работа с информацией), вбирает все самое лучшее и худшее от своих родителей, и, в результате, синергии, порождает новые плюшки и проблемы.

И первую мину нам подкладывает – информация. Каждый безопасник с младых лет знает, что информация правит миром. Знаешь, что не знают другие – красавчик. Враги узнали, что у нас решетки в канализации сгнили – ты в шоколаде, но не в вкусном.  Пока все четко, и соотносится с окружающей действительностью.

В какой-то момент стали развиваться способы обработки информации. Стала развиваться безопасность (см. легендарную эпоху). Особо секретные послания стали шифровать, а прото-хакеры стали эти шифры ломать (проблема конфиденциальности). Ввиду слабости бумаги, как носителя, к огню и другим деструктивным воздействиям решались проблемы целостности и доступности.

Когда от бумаги шагнули к компьютерам, в принципе все осталось, как и есть, изменившись внешне. Все те же самые угрозы, но реализуемые с помощью компьютера. Где-то тут организуется отрасль информационной безопасности. Вдруг. Взяла и появилась.

Возникает вопрос – а когда информация была на бумаге, что не надо было ее защищать? Нет, защищать надо было. Может что-нибудь принципиально поменялось в обработке и передаче информации? Нет, не поменялось. Не суть важно хранится ли секретное письмо на флешке, или распечатанное в сейфе. Атаки на каналы передачи даже не изменились. Курьера все также можно перехватить, обмануть, напоить, подменить и прочее.

Т.е. по сути безопасники всю жизнь занимались защитой этой самой информации, но как-то не додумались называться информационными безопасниками. Напрашивается простое следствие, информационные безопасники в текущем своем виде, защищают не информацию, а средства обработки и передачи оной.

Именно поэтому, какую информацию защищать нам говорят сторонние люди. Владельцы информации. Почитайте любой стандарт.

Именно поэтому информационные безопасники, почти, не касаются защиты информации, обрабатываемой не на компьютере.

Информационные безопасник должен защитить компьютер, сеть передачи, но не определяет какую информацию он должен защищать. Безопасник же должен быть, как юрист, знать, что, как и почему. ИБ не знает почему.

Есть такой очень показательный пример иллюстрирующий проблему. Крупный рейтел, проходит пилотирование DLP очень известного вендора. Выявляют портал, смотрящий в интернет. А там… мамочки родные, вся информация о планируемой через месяц акции, цены, позиции и все-все-все. Разумеется, в открытом доступе и без паролей.

Любому информационному безопаснику понятно, что это зашквар высшей пробы. Информация о ценах и планируемой акции (до кучи были добавлены в список КТ), в открытую сеть, да без паролей, да неограниченному кругу лиц. Любой более-менее опытный безопасник на данном прецеденте развернет обоснование системы защиты, и будет еще лет 5 вспоминать.

Все это красиво пишется в отчет и отсылается руководству. Руководство кладет болт. Проекта не получилось, систему не купили, даже не наказали никого.

Оказалось, все довольно просто, получив этот отчет он попал к безопасникам, которые именно что определяют риски для бизнеса. И оказалось, сюрприз-сюрприз, просто ритейл не конкурирует между собой по цене. А список КТ откуда-то скопипастили, так туда цены и попали. Список то ибешники делали.

Понятно, что из одного примера не надо делать далеко идущих выводов. Но посмотрите, с другой стороны. Вся информация, которую мы защищаем – это либо защищаемая законом, либо что-то абстрактное в виде ноу-хау и конфиденциальной информации.

Да, и есть проблемы с самой информацией. Почему на ИБ не выделяют денег (во всяком случае, как на другую безопасность или ИТ)? Потому что в 90% случаев ущерб минимальный. В подавляющем большинстве случаев критичная и важная информация обрабатывается дедовскими способами. Ключевое ноу-хау оно не в документе, оно в голове ключевого человека или группы.

Из общеупотребимых видов информации реальный ущерб есть только в персональных данных. В коммерческой тайне разве что у банков и трейдеров, да и то срок критичности иногда измеряется часами или минутами.

Вот, что коммерчески критичного можно узнать об обычном ООО, чтобы потом использовать? Да. Да, дорогой друг. Мало узнать информацию, надо ее еще использовать. Помню, когда утекли в сеть исходники Windows 2000, какой хай стоял. У меня даже где-то лежат до сих пор. И что?

С персональными данными понятно, их разглашение нанесет ущерб широкому кругу лиц. А остальное?

Вот, и получается, что, не смотря, на громкое звание информационных безопасников – мы сами себя загнали в настройщики компьютеров со специфическим уклоном. Именно поэтому периодически возникают разговоры ИБ – должна подчиняться ИТ или блоку безопасности? Почему-то у пожарной безопасности не ведется речи, что они должны подчиняться районной пожарной части.

Versus, который не случился

Идея этого материала была задумана еще в декабре 2015 года. Я как тогда еще блогер, решил заделать сравнение критериев нужности DLP. Идея была следующая, сравнить критерии нужности от фокус-группы и самих вендоров. Ну, а дальше как пойдет.

У меня есть ряд знакомых (владельцы и директора) в сегменте SMB, которые готовы ответить на мои глупые вопросы. И я написал в SearchInform, Infowatch и Solar – для получения их точек зрения. Конечно, я бы мог просто воспользоваться инсайдом, т.к. у меня было все по этим продуктам от прайсов до гайдов «как засрать конкурента на пресейле», но рядовой потребитель всего этого не видит, и поэтому было бы не совсем честно.

А тут еще, и вовремя ежегодной традиции меня спросили за DLP:

Михаил:

Добрый день, Дмитрий. Подскажите пожалуйста: мы сейчас выбираем между DLP Серчинформ и Инфовотч. Не понятно, что лучше. Сделайте пожалуйста сравнение/обзор с блоге.

Мы банк, пользователей 1200. Хотим реально работающую систему!

Дальнейшая судьба этого материала… тлен и безысходность.  И дело не в том, что из 3 вендоров, материалы прислал лишь Солар. Инфовотч обещал, но так руки не дошли, а Сечинформ сразу нахуй послал. Кстати, спасибо всем, кто уделил мне время. За полтора года, я и не сподобился довести начатое. Весь год провел в состоянии – я бегу, а волосики назад.

Поэтому расписываюсь в собственном бессилии довести аналитику до конца. Ну, скучно же писать про умирающий рынок. Поэтому решил поделиться с вами данными по фокус-группе.

Кстати, если, вдруг вам интересно мое мнение – то надо брать Infowatch. Очень уж все в выборе свелось к вкусовщине, а раз так – то Infowatch.

 

Что думает бизнес?

И так, знакомимся с фокус-группой. Я не стал уж брать что-то энтерпрайзное, там ответы понятны. Нужно, но либо уже есть, либо денег нет.

Олег. Владелец и директор сети ресторанов.

Катя. Топ-менеджер крупного дистрибьютора по физбезопасности.

Даша. Финдиректор небольшого технического вендора.

Петр. Владелец консалтинговой фирмы (с уклоном в юридические аспекты).

Роман Т. Учредитель ИТ-вендора.

Антон. Инвестор, владелец компаний в разных сферах.

Лена К. Учредитель небольшого интегратора.

Лена Л. Руководитель отдела закупок крупной строительной фирмы.

Роман З. Начальник отдела закупок в дочке Транснефти.

Максим. Владелец группы компаний в ИТ и ИБ сфере.

5 из 10 респондентов относятся к миру ИБ и ИТ.

 

Из 10 человек:

10 из 10 –знают о риске утечки конфиденциальной информации.

4 из 10 – считают, что надо контролировать сотрудников в части информации, которой они обмениваются (Олег, Катя,  Роман З., Максим).

9 из 10 – готовы поставить какую-нибудь программу для контроля рисков утечки конфиденциальной информации.

3 из 10 — считают, что ущерб от утечки конфиденциальной информации будет серьезным или фатальным для бизнеса (Катя, Даша, Роман З.).

1 из 10 – не хранит конфиденциальную информацию на компьютере.

3 из 10 – слышали о системах класса DLP.

1 из 10 – применял программы для контроля над сотрудниками (Катя).

7 из 10 – хотели бы знать, что о них говорят подчиненные.

1 из 10 – знает о возможной ответственности за вмешательство в личную жизнь и тайну переписки (Петр).

10 из 10 – главным фактором выбора DLP считают цену, вторым – полный сбор со всех каналов утечки.

7 из 10 – достаточно реактивного реагирования на инциденты.

6 из 10 – искали бы инциденты по ключевым словам (4 из 6 – хотели бы, что бы еще слова искались в разных формах и падежах).

10 из 10 – при выборе решения смотрят на референсы инсталляций и благодарственные письма.

1 из 10 – проверяет достоверность информации о референсах.

 

Вот, эти люди должны были с помощью двойного слепого метода оценить критерии наших DLP вендоров. Но сделают это в какой-нибудь параллельной вселенной.

Пока.

Сертифицированная Windows для ЗПД

Как мне тут правильно подсказывают – слишком много Лукацкого в ленте. Но что делать? Если Алексей у нас главный ньюсмейкер. Но желание публики – закон. Поэтому слушайте историю про персональные данные.

Позвонил мне хороший друг, начальник поибэ в немаленьком банке. И говорит – «Димон, я тут СЗПДн инвентаризирую. ИТ-шники хотят нам передать на баланс, помоги разобраться, что нужно, а что нет.»

Через матюги с шутками, выяснилось, что 3 года назад компания SoftLine сделала им систему защиты персональных данных. Сроки поддержки все вышли, а с купленными СЗИ надо что-то решать. И самый большой вопрос встал по сертифицированной винде. И проблема не в том, что решение просто купили и не внедряли. Вопрос – как все так сделать, что бы хоть как-то было похоже на правду.

Хоть я сам не брал сертифицированной винды в руки уже пару лет, пришлось стряхнуть пыль с закоулков памяти.

Преамбула заключается в том, что сертификацией винды у нас занимается одна компания «СИС» или «Сертифицированные информационные системы». Процедура следующая – вы отсылаете заявку в СИС или дистика (который все равно делает все через СИС), прикладываете денюжки, дистрибутив и подтверждение легальности приобретения продуктов Microsoft (думаю, мало что в процедуре изменилось).

Самая засада с дистрибутивом, он должен быть на диске. Нет диска, вам сертифицированной винды не видать. Все это уезжает на 2 недели в СИС (или 6-8 недель, если через дистика), и приезжает обратно к вам с комплектом бумаг и еще каких-то дистрибутивов.

Если заглянуть в прайс-лист (о, чтение прайс-листов – отдельное искуство), то глаза разбегаются и нихера не понятно, что же надо взять, что бы нормально сертифицированную винду приобрести.

Запоминайте.

Гайд по ориентированию в прайсе сертифицированной винды

Предположим, вам надо установить сертифицированную винду на вменяемое количество машин, хотя бы 10-15. Если у вас меньше, можете смело лишние пункты почикать.

  1. Находите нужную версию винды (обычно на 1 поколение назад от текущей версии, например, 10 сертифицировать нельзя) в прайсе, и выбираете Базовый пакет для сертификации. Можно взять и Полный пакет, но я за 5 лет отличий шибко не уловил, да и попал один раз. Была у меня спецификация (в январе сделанная, ага), а как до закупке в ноябре дошло, так мне не смогли полную версию отгрузить. Сертификат тютю, просрочился. А у меня госконтракт.

Берем по количеству машин.

  1. Вам необходима лицензия на контроль сертифицированной версии ОС. Это такая приблуда, которая проверяет установленную версию винды на отклонения в настройках. Так же берете по количеству машин.
  2. Лицензия модуля анализа уязвимостей. Хз, как щас. Раньше ее не было, или была, но не нужна была. Для меня это позиция для выкачивания денег.
  3. Обязательно не забудьте про сертифицированный ключ для получения обновлений. Хватит 1 шт.
  4. Дальше пойдут у вас непредвиденные расходы. Вы для чего винду берете? Для аутентификации в основном, чтобы не городить секретнеты с далласлоками. А что у нас является главной дырой на локальной машине? Локальный админ. Вроде без него никуда, если что. А кто выше локального админа? Доменный админ. Очевидно, что чтобы не бегать и не менять раз в месяц пароли локальных админов, сертифицированная винда должна быть в домене. Так же очевидно, что она должна быть в своем домене, обычный не подойдет. Смело записывайте в спеку 3 штуки серверной Windows. 2 под контролеры домена, 1 под WSUS (или как он там щас называется?).

Кстати, именно в WSUS воткнете свой ключ для обновлений.

  1. Но и это еще не все. Т.к. вы поставили серверную составляющую, будьте добры купить лицензии на клиентский доступ. От такой наглости бюджетодержатели вконец охуевают, и можно купить и без них. Да, и сами сотрудники СИС и дистиков не всегда в курсе темы, но судя по всему лицензии на доступ покупать надо. У меня и письмо где-то было от Microsoft. Главный камень преткновения – сколько комплектов лицензий брать 1 (на всех) или 3 (по количеству серваков). Тут уже насколько бюджета хватит.
  2. А, если совсем денег девать некуда – то можете поставить себе еще NetCheck. Это то же самое, что Check (см. пункт 2), но по сети.

 

А, как получите все добро, можете начинать устанавливать по официальным правилам :) Но это уже другая история.

Понравилось про прайсы? Пишите в комментариях.

Игроки рынка ИБ и таксисты

Надо сказать, я очень люблю наблюдать в динамике различные отрасли. Так, что бы лет 15-20 смотришь, а потом вспоминаешь – эка раньше было. В основном это что-нибудь совсем бытовое, например, таксисты. Думаю, каждый с ними сталкивался.

О, эти разбойники пассажирских перевозок. Раньше можно было просто поднять руку, и мог проехать хоть на мерседесе, хоть на скорой без пробок. Таксисты всегда были обманщиками, во всяком случае, те, кто занимался перевозками на периодической основе. На моей улице 3 остановки, на двух из них стоят частники и чего-то ждут. Лет пятнадцать назад, у них было море работы, до метро можно было доехать и за 50 рублей и за 300. Сейчас их бизнес подзахерел, но они все равно стоят, мб еще кого-то возят.

Но таксисты совсем не заменимы, когда ты в чужом городе. Во-первых, ты в командировке и богатый парень, можешь форсануть. Во-вторых, ты просто не знаешь маршрутов быстрой передислокации. В-третьих, хотелось бы еще и что-нибудь о городе узнать, и таксист не самый плохой вариант. Плюс к этому, там такси сильно дешевле.

Собственно, я этого бы не писал – если бы не столкнулся с совершенно новым для меня явлением в такси. Случилось это в Петрозаводске, где я решил встретить Новый год. Заказали трансфер, нас встретили и довезли. Смотрю, парень вроде нормальный – говорю, дай телефон, мы будем много ездить, нам хорошо и тебе легче.

Надо сказать, что это стандартная практика – выбираешь 1 водилу, и мотаешься с ним. Помню я как-то из Мурманска в Полярные Зори 400 км ехал на такси, ехали часов 5 или 6, зимой в ночь. Так, этот же парень нас и забрал оттуда через два дня. Покатались хорошо.

И тут значит, разложили вещи, хотим покататься. Звоню. Говорит, я на вызове в другой части города. Ну, ладно. Через некоторое время еще раз попробовал. Опять тоже самое. Оказалось, в Петрозаводске все таксисты сидят на зарплате. Диспетчер принимает звонки и распределяет их водителю, а у него в свою очередь план, который он должен в смену выполнить. Я-то с таким не сталкивался, для меня таксист – свободный волк на охоте. Например, в Камышине – диспетчера сидят на небольшой зарплате на телефоне и просто сообщают «своим», где клиент – а водилы уже сами разбираются.

А тут значит – план. Но все цивильно, да ж карточкой платить можно.

И этой бы истории не было, если она не была обрамлена еще двумя фактами. Когда мы собирались уезжать из дома до вокзала, захотел вызвать такси к определенному времени. Яндекс-такси в этом не помог, т.к. у него можно максимум за 15 минут время поставить. Поставил Убер и заказал машину к назначенному времени. И, началось. Во-первых, он опоздал на 20 минут. Ехал откуда-то с Лосиноостровской. Во-вторых, врал, что едет к нам, хотя вез другого клиента. В-третьих, включил счетчик на подъезде к нам, и стартанули мы со 20 рублей. Я был уже мыслями в отпуске, не стал мандиться и просто поставил ему 3 звезды.

Второй случай произошел уже по приезде. Посмотрел, сколько стоит в Яндексе – выходило 500-600 рублей. Неспешно выхожу, вытаскивая чемоданы. Стоят два бомбилы, предлагая подвезти. Спрашиваю – сколько? О, это любимый вопрос бомбил в аэропортах и вокзалах. Есть целый спектр кидалова о невнятно сказанных суммах. Получил классический вопрос – сколько дашь? Говорю, 500 рублей. И получил волну ненависти, с общим посылом, что только заехать на площадь перед вокзалом стоит 300 рублей. И за каким хером ты тогда спрашивал, сколько я дам? Что бы поторговаться? Или что? Так и остались они стоять на пустой платформе, а я доехал за 550 рублей.

Таким образом можно выделить следующие виды таксистов:

  • Обычные таксисты. Чаще всего работают с диспетчером, но сами себе волки. Если ничего не остается, работают с Яндексом или Убером, которые их тираняткак хотят, но деваться некуда.
  • Зарплатники. Водители, на зарплате. Не прочь подзаработать, но диспетчер главнее.
  • Бомбилы. Грабящие людей на вокзалах и в аэропортах. Готовы целый день простоять, но меньше чем за 3 000 не поедут. Поджидающие людей неопытных, туристов и с временной потерей концентрации.

Вы спросите, а при чем тут информационная безопасность? Так, ведь наш рынок – просто калька с таксистов.

У нас есть свои бомбилы. В основном это крупные интеграторы, которые «не хотят связываться с маленькими проектами». У них же большой штат дармоедов, и им непременно нужны проекты на десятки миллионов рублей. Вот, и сидят они в ожидании, когда что-нибудь такое свалиться. Сюда же относятся всякие крупные вендора с непомерным ценником за сомнительные функции, например, SAP. Но этот путь хиреет, т.к. ничего нового не появляется. Да, некоторым вендорам везет отхватить денег, но если копнуть ближе – 80% суммы там закупка иностранного железа с софтом.

Есть у нас и свои зарплатники. Среди интеграторов – это карманные интеграторы каких-то структур, отечественных или западных. Они могут быть сколько угодно разными в размерах от огромных до микроскопических. У них в принципе все хорошо, заказы идут, они работают. Правда, неожиданно могут какую-нибудь реструктуризацию устроить, или продать нафиг. Среди вендоров это выражается в явной нацеленности на конкретного заказчика. Допустим, вы продали Газпрому свои шлюзы с VPN – и будете продавать их вечность. И уже пофиг на качество и все такое. Грузите апельсины бочками (с).

Ну, а с обычными – все понятно. Это среднестатистические вендора и интеграторы. Как все. Где-то конкурс отожмут, где-то бочком пройдут. Работа кипит. Красота.

 

На этом все. До новых встреч.

Что мне нравится в информационной безопасности?

Меня часто упрекают, что мне ничего не нравиться, и я всех критикую. Разумеется, это не так. Каноны жанра диктуют свои законы. Никому не интересно читать про хорошее, всем интересно читать про плохое. Что доказывает существование таких телеканалов, как НТВ и РЕН-ТВ. Да, вся наша поибэ держится на негативе: тут взломали, тут украли, тут риски новые, буууу!!

Как вы знаете, я пишу о недоработках, что бы их можно было исправить. Что бы помочь нам всем стать лучше. Но хватит обо мне, давайте о хорошем.

В нашей поибэ есть много прекрасного, чем я истинно восхищаюсь. И раз вы хотите хорошего, вот, вам хорошее.

Хорошее в информационной безопасности

В категории лучший firewall – CheckPoint. Просто нравится, за 8 лет только лучше становятся.

Лучший отечественный firewall – С-Терра. Самый приятный и честный вендор, с самой большой пропускной способностью. Всегда продавал с удовольствием.

Лучший антивирус – Касперский. Если антивирус все же покупать, то покупать Касперский. Да, поджирает память, да, делает что-то странное сам. Но лучше не найти.

Лучший WAF/DBS – Imperva. Стоит просто везде, самые первые на рынке (вроде). Очень люблю. К сожалению, ни одной не продал. Была возможность, но Информзащита загопстопила.

Лучший DLP – Infowatch. Давно их не видел, да и рынок DLP схлопывается до тошнотворной однообразности, но из всех Infowatch лучший по большинству параметров.

Лучший SIEM/SOC – IBM QRadar. И Гартнер со мной согласен.

Лучший сканер уязвимостей – XSpider.

Отечественный продукт, за которым интересно наблюдать – RuSIEM. Просто интересно, что как же у них получиться.

Лучший маркетинг – Solar Security. Чего у парней не отнять, так это их вездесущности. Куда не глянь, увидишь оранжевенькое. Конечно, не без косяков, но это самый всепоглощающий маркетинг на рынке.

Стартапер – Максим Лагутин. Можно только позавидовать чистоте упорства Максима в освоении денег инвесторов.

Топтание на месте – R-Vision. Давно наблюдаю за этой компанией. Парни оседлали волну самопроверки по СТО БР, и уже пару лет пробуют сделать свой SOC. R-Vision выступает просто на всех мероприятиях, в это году, видимо только на Инфосеке не были. Лучший образец бесцельного использования энергии.

Интегратор – Инфосистемы Джет. Наверно потому, что за 4 попытки у нас так и не срослось совместной работы.

Пресейл – Камиль из Техносерва. Реальное уважение к трудоспособности и навыкам.

Лучшая ИБ – Сбербанк. Я видел это.

Лучшая нормативка – ЗПД. Повторить можно, превзойти – вряд ли.

Алексей Лукацкий, как лучшее лицо отрасли. Ну да, вы можете сказать – какое лицо, такая и отрасль. Но посмотрите, как человек упорно трудится. Разумеется, не стоит читать все, что пишет Алексей, а то, что прочли провести через десяток фильтров. Но нельзя не восхититься последовательности и комплексности проводимой им работы. И не важно, что эта работа имеет деструктивную направленность – главное реализация и подход. А они – великолепны.

 

Наверняка, я что-то забыл, а где-то нет ничего хорошего. Но как видите, у нас есть повод для оптимизма. До новых встреч.

НСПК на крючке у АНБ?

Сижу я с утра, правлю резюме, и изучаю сайт потенциального работодателя Solar Security.

nsa-nspkЗацепился взгляд за последнюю новость (сохраненная копия):

Компания Solar Security, разработчик продуктов и сервисов для целевого мониторинга и оперативного управления информационной безопасностью, сообщает об успешном завершении основного этапа проекта, реализованного в АО «Национальная система платежных карт» (НСПК).

В ходе проекта сотрудники Solar Security и НСПК совместно подключили инфраструктуру компании к сервисам Solar JSOC, который обеспечил выявление и анализ событий ИБ, а также позволил предотвращать кибератаки в режиме реального времени 24/7. Параллельно в НСПК была развернута вся необходимая инфраструктура для построения внутреннего SOC, на которую постепенно были перенесены правила корреляции и выявления инцидентов, профили источников данных и другие наработки Solar JSOC.

Успешное функционирование национальной платежной системы является одной из задач национального значения. Поэтому с момента создания НСПК специалисты компании отводили ключевую роль формированию надежной системы кибербезопасности. Важной частью такой системы является мониторинг инцидентов ИБ.

Согласно мировой практике, создание системы мониторинга и реагирования на угрозы кибербезопасности может занять несколько лет, поэтому на период ее построения в НСПК было принято решение об использовании услуг ИБ-аутсорсинга. В качестве сервис-провайдера была выбрана российская компания Solar Security.

Я, честно сказать, порадовался, какой крупный проект. А потом, что-то мне показалось очень неправильным. Всем известно (да, и вендор этого не скрывает), что Solar строит свой SOC Solar inView и его аутсорсинговую версию JSOC на продуктах компании HP – ArcSight. Это, кстати единственный продукт из 4, который Solar не стал заявлять в реестр отечественного ПО (хотя мб и подали):

Все отечественные продукты Solar Security

Все отечественные продукты Solar Security

Т.е. это единственный не отечественный продукт в линейке компании. Я уже писал, что продажа услуг – легальный способ обхода ограничений на покупку иностранного ПО. Судя по новости, НСПК решил строить свою самую главную систему информационной безопасности на западном вендоре… И теперь, каждый сенсор ArcSight будет стоять на каждом ключевом узле НСПК, что бы передавать информацию в JSOC. Это просто особенности работы этой системы.

solar-jsoc-sec

Конечно, у нас на рынке есть более сведущие люди по закладкам АНБ в западных решениях, и об этом надо спрашивать Илью Медведовского. Но мне представляется, крайне плачевная ситуация. Ведь, что такое система SOC? К какой информации она может получить доступ?

Вероятная схема утечки данных из НСПК

Вероятная схема утечки данных из НСПК

Как минимум:

  • Настройки средств защиты;
  • Настройки сетевого оборудования;
  • Настройки серверов и рабочих станций;
  • Инциденты безопасности и многое другое.

Если предположить, что HP сотрудничает с Агентством национальной безопасности США, как и Cisco, то вся наша платежная система уже под колпаком.

Считайте меня параноиком, но я хотел бы задать вопрос – кто кого ввел в заблуждение, принимая решение ставить западное решение ArcSight под торговой маркой Solar Security?

В то время, когда основным драйвером для НСПК стало возвращение Крыма и попадание нашей страны под несправедливые санкции. Мы открываем всю нашу платежную информацию вероятному противнику… Фактически каждый житель России, теперь под колпаком у США. Так мало того, инфраструктура НСПК подвергается серьезному риску, если уже не взломана…. Все это крайне печально.

У меня, к сожалению, нет никаких твердых данных, и все выше изложенное всего лишь мнение человека со стороны, обывателя. Но в этой истории больше вопросов, чем ответов. Надеюсь официальные представители НСПК прокомментируют ситуацию.

Всего вам доброго.

Как убивают четкие инструкции

Так получилось, что в четверг я оказался в Крыму. Там уже успели побывать большинство моих знакомых, а я – первый раз, после присоединения. Это была самая неподготовленная из моих командировок, билет туда был куплен за 8 часов до вылета, а обратный за 20, в самом аэропорту.

Крым, он вообще такой, попасть легко, выбраться сложно. Разница между входом и выходом составила 675%, видимо, окончание сезона – все спешат домой. Дело у меня было в Симферополе, что очень удобно для суточных командировок, т.к. ехать никуда не надо.

Памятник вежливым людям

Памятник вежливым людям

Сам город оставил двойственное впечатление, с одной стороны красиво, с другой – все какое-то незаконченное. Местный Арбат (ул. Карла Маркса) – от силы 200 метров. А главная особенность, что такси в городе не поймаешь можно только заказать по телефону. Не, таксисты стояли в двух местах в центре, но цены ломили, как из Домодедова в Шереметьево в час пик.

Поделал я всякие дела, и забурились мы в кафе Ин Тайм (ул. Карла Маркса, 14), где я попробовал самый офигенный салат Цезарь за последние три года. Цены, чуть ниже московских. Крайне рекомендую. Кстати, хваленные +22 градуса, чувствовались, как +17. Местной особенностью является – предложение пледов, на любой летней веранде, любого кафе.

И, вот, сидим мы – разговариваем с коллегой. И зашла у нас речь о регулировании безопасности. До воссоединения, он работал в государственном банке. Как и у нас, у них банки впереди планеты всей по информационной безопасности, во всяком случае, в области нормативки. У них единый регулятор — Центробанк, и все, кто хочет что-то добавить – идут туда.

Репетиция, видимо, перед выборами

Репетиция, видимо, перед выборами

ЦБ выпускает четкие инструкции, с конкретными мерами. Например, есть инструкция на ИБП, сети питания, заземление (привет, ПЭМИН), криптографию и т.п. Инструкции, крайне подробные. Например, ИБП должен быть в железном ящике, регламентирована толщина листа и как он должен быть сварен (либо сплошной шов, либо прихватами с промежутком не более 25 мм). Или по криптографии, четко обозначены 9 форм журналов и что там должно быть. Что разительно отличается от нас (вопрос знатокам – что такое лицевой счет сертификата?).

Все это проверяется раз в 5 лет специальным контролерами, которые проверяют по тем же прописанным инструкциям.

А все, что не описано – считай и не надо делать. Или надо, но на свое усмотрение. Процедура проверки СЗИ – занимала 3 месяца. Юзали все, в том числе и нашу криптографию.

И, во всем этом благословенном раю определенности, была одна большая бочка дегтя. При таком подходе к регулированию, рынка информационной безопасности в Украине – так и не сформировалось. Не, есть компании, которые вам построят ЦОД в соответствии с инструкциями, но не более. ИБ окончательно стало придатком ИТ, мало имеющая от собственно безопасности.

Нет, ни консалтинга. Ни интеграторов, да, и вендора не особо нужны (за три месяца получил разрешение на импортный МСЭ — и порядок). Такие дела, у наших соседей.

Распрощавшись, я еще немного погулял по городу, и поехал в гостиницу. Т.к. надо было опять вставать в три утра, что бы успеть в аэропорт. Где на прощание, нас ждал приятный сюрприз. За шоколадку, нас посадили в бизнес-класс (в котором правда нас не кормили), поэтому дорога домой была приятна и комфортна.

Завтрак бизнес-классе

Завтрак бизнес-классе

Москва меня встретила дождиком и +6.

Восход

Восход

Быть и казаться

Лето, что-то совсем некогда писать. Да, и к кибербэтлу надо готовиться… Кстати, на пропустите, в эту среду буду резать правду матку про ИБ-вендоров.

tobe

Как-то много чего хочется рассказать, но всегда в рамках. Одно просят не рассказывать хорошие люди, другое такая чернуха, что так плохо, что даже хорошо. Не про сатанистов же вам рассказывать.

Увидел я тут как-то в фбешечке, массовую миграцию специалистов от одного вендора к другому (прямому конкуренту). Это были не технические специалисты, у которых особая ситуация. А те люди, которые общаются с клиентами и рынком. Ну, мигрируют и мигрируют, делов-то.

А потом подумал, что же они будут людям в глаза говорить? Мол, раньше я вам в глаза врал. Но теперь зуб даю, продукт хороший! Ух, я бы на это посмотрел. На этом фоне, решил спросить у людей продаж, пресейла и общения с заказчиками, что они на этот счет думаю.

И открылась мне правда. Оказывается,  рынок у нас настолько честный, что каждый, приходя к заказчику, говорит исключительно о своих плюсах. Ситуаций, когда просят сравнения с конкурентами не бывает, и вообще переходить к прямым конкурентам не западло.

Разумеется, есть ряд ситуаций, когда переходить не западло. Например, вы работали в лидере рынка, и пошли делать собственный продукт с блэк-джеком и шлюхами. Или наоборот, вы перешли к лидеру рынка, за заслуги и личные качества (ну или вашу компанию купили). Тут вопросов нет.

Но переход от лидера рынка в годовалый старт-ап, в котором все места уже поделены, и который себя позиционируется перпендикулярно всему, что вы делали… Хотя наверно за деньги и не такое может быть.

На волне всего этого. Подумалось мне о вечной дихотомии добра и зла быть и казаться. Надо сказать, что вполне вероятно, что мы все живем в матрице, и все вокруг нам лишь кажется.  Индивиду много, что о себе кажется – умный, красивый, богатый, гений и т.п. Чем больше подтверждений этого индивид получает, тем больше ему кажется. Я думаю, все видели мам и бабушек, которые говорили своим чадам – ты такой умный, красивый и далее по списку. Большинство привыкают, становятся отличниками в школе, заканчивают университеты с золотой медалью, и… пшик. Выбиваются в люди единицы. Остальные становятся инфантильными непризнанными «гениями».

Аналогично и у нас в поибэ. Многим кажется, что они эксперты. А на самом деле диванные безопасники с большим количеством времени. Многие думаю, что они ИБ-вендора. А нас cамом деле 20 лет клепают средства защиты,  внедрив у себя SDL (цикл безопасной разработки) лишь в 2016 году, да и то по указке регулятора.

Или другой пример, компания Solar выложила в открытый доступ свой сейл-гад. Понятно, что это я виноват, что он недработан. Т.е. кому-то казалось, что он сделал хорошо, а потом обиделся, когда это оказалось не так.

solar-fail

Какой интересный продукт. С одной стороны умеет то, что в него не заложено. А, с другой, имеет коннекторы ко всем системам на земле, даже тем, что еще не написаны.

И самое замечательное в этом, что выхода из этого замкнутого круга нет. Подтверждение бытия, может быть лишь постфактум. То самое давление результата над процессом.  Как понятно, результат имеет четкие координаты на временной шкале. И чем далее вы от них удаляетесь, тем больше вам кажется.

Всего вам доброго.

Темы битвы: цена ИБ

Плавно добираюсь до экватора, после угроз и компетенций, мы скакнули к деньгам.

Как выглядит миф о затратах на безопасность? ИБ это дорого или доступно?

Сейчас ИБ – это недорого и недоступно. За 10 лет в безопасности, работая и в заказчиках, и в интеграторах, и в вендорах, мне довелось увидеть всякое. Я работал в заказчиках, в которых из всей безопасности был антивирус, межсетевой экран, снифер и, ближе к концу, сканер уязвимостей. И нормально, я делал honey-pot, реинженерил SAP и занимался другими интересными вещами, вроде соблюдения порядка на корпоративах.

security_comp

Чуть позже был у меня проект, в одном крупном ведомстве. Я проводил аудит рисков, с целью определения необходимости наличия DLP решения. Там было все плохо, и одной из угроз было – копирование информации на флешку. Любой безопасник вам скажет, что это страшная угроза. Так сказал и я.

В мерах противодействия я написал:

  1. Рекомендуется отключить USB
  2. Установить DLP

Старшие товарищи посоветовали мне убрать первый пункт. Потому что в ведомстве бы так и поступили. Им было проще и понятнее отрезать провода на всех компах, чем возиться со всей этой безопасностью.

Лишь с помощью нечеловеческой воли и маркетинговых страхов, про злых хакеров, все сложилось удачно.

Когда я был студентом, я считал байкой историю о самом безопасном компьютере, который выключенный зарыт на три метра. Но если действовать в парадигме «все увеличивающихся угроз», именно к этому мы и загоним бюджетодержателей.

Кстати, у нас есть цела отрасль, работающая именно с «закопанными» компьютерами – работа с грифованной информацией. Там в порядке вещей, прийти с утра, достать жесткий диск из сейфа сейчас, и выходя на перекур, сдавать его обратно в сейф под роспись. Всех средств защиты – защита от НСД.

Все космические бюджеты (хотя какие они космические? посмотрите на ИТ), происходят от попыток скрестить ужа с ежом. Мы объявляем достойную защиты информацию, и гоняем ее в сетях общего пользования и ЛВС для офис-менеджеров. Конечно, в этом случае нам потребуется защититься от всего на свете (см. вопрос 1), спеки растут, денег не дают.

В 2014 году, в одном ретейле случился инцидент. В открытый доступ были выложены данные о планируемой акции скидок. Это, вот, серьезный инцидент. Можно сразу идти выбивать много денег. Проблема ровно одна – ретйел (продуктовый) между собой не конкурирует в отпускных ценах. Это легко проверить и без инсайда, сравните цены в 2-3 магазинах крупных сетей вашего района. Где-то будет пониже на что-то, и там же будет повыше на что-то другое. Люди ходят в свой магазин вне зависимости от того есть там акции или нет. Кстати, особенно часто ходят в дорогие магазины, особенно люди с небольшими доходами.

И малая доступность ИБ, связана все с теми же страхами. Если руководство запугано, оно пытается найти деньги и высококлассных специалистов. Как только заканчиваются деньги, сразу прекращается ИБ. Я не открою большой тайны, что никому не выгодны дешевые средства защиты. Вендорам и интеграторам, т.к. маржи мало. Безопасникам, т.к. надо обосновывать свою полезность. Руководителям, т.к. «дешевое не может быть качественным». А на дорогое денег нет.

Так и живем.