Image

Что-то вроде итогов 2024-го года https://zlonov.ru/top-2024/

Свежий прогноз от ЦСР: Рынок кибербезопасности в Российской Федерации 2024-2028.

 > Исследование проводилось с апреля по сентябрь 2024 года на основе анализа открытых источников о выручке основных вендоров продуктов информационной безопасности за 2023 год, непосредственного опроса вендоров и дистрибьюторов — представителей основных игроков российского рынка. При интерпретации результатов в спорных случаях мы исходили из принципа добросовестности игроков рынка и доверяли предоставленным сведениям.

Ссылка: https://www.csr.ru/ru/research/prognoz-razvitiya-rynka-kiberbezopasnosti-v-rossiyskoy-federatsii-na-2024-2028-gody/

Золотые слова, Георгий Георгиевич [Бовт]!

https://www.bfm.ru/news/558666

Выборка сертифицированных систем управления базами данных из реестра ФСТЭК России: https://zlonov.ru/fstec-dbms-2024/

Хорошая подборка судебной практики по вопросам применения простой электронной подписи (ПЭП): https://www.garant.ru/ia/opinion/author/deryujinskiy/1749540/

Спойлер: ПЭП часто не признают в суде.

Фонд «Центр стратегических разработок» опубликовал отчёт “Оценка рынка безопасной разработки программного обеспечения в Российской Федерации”.

На самом деле оценён рынок только средств (инструментов) безопасной разработки без учёта сопутствующих услуг. Сама методология тоже не бесспорна, но в целом для примерной оценки - вполне можно опираться.

Ссылка: https://www.csr.ru/ru/research/otsenka-rynka-bezopasnoy-razrabotki-programmnogo-obespecheniya-v-rossiyskoy-federatsii/

Новость CNews: https://safe.cnews.ru/news/line/2024-08-30_issledovanie_tssr_obem_rossijskogo

Если кому-то вдруг не хватало отечественных NGFW, то вот, пожалуйста, ещё один игрок:

МТС RED, дочерняя компания ПАО «МТС»), выходит на рынок высокопроизводительных многофункциональных межсетевых экранов, представив на закрытом клиентском мероприятии прототип МТС RED NGFW. Уже сейчас решение показывает высокую скорость фильтрации трафика – до 50 Гбит/с в режиме NGFW, удовлетворяя потребности в сетевой защите крупных компаний. В перспективе года этот показатель планируется увеличить до 100 Гбит/с.

https://mts.red/articles/mts-red-vpervye-prodemonstriroval-prototip-mts-red-ngfw

(картинка - творчество YaART)

Продолжается планомерная борьба с «левыми» и/или «обезличенными» SIM-картами:

• Внести оплату наличными можно будет […] только при предъявлении документа, удостоверяющего личность, или с использованием ЕСИА […];

• физлицу может быть выделено операторами сотовой связи и предоставлено в пользование абонентами - юридическими лицами либо ИП в совокупности не более 20 абонентских номеров;

• иностранному гражданину […] может быть выделено в совокупности не более 10 абонентских номеров (в это число входят и личные, и корпоративные номера);

• в договор об оказании услуг подвижной радиотелефонной связи с иностранным гражданином […] будут включать сведения о пользовательском оборудовании (об оконечном оборудовании) […].

Из удобств:

• у физлиц [С 1 апреля 2025 г.] появится возможность подавать через Единый портал госуслуг запрос о заключенных с ними договорах об оказании услуг подвижной радиотелефонной связи и выделенных по ним абонентских номерах в Роскомнадзор.

Подробнее: https://www.garant.ru/news/1748849/

Общественный(?) проект Surveillance Watch предлагает ознакомиться с интерактивной картой “сети компаний, осуществляющих слежку, их дочерних компаний, партнеров и финансовых спонсоров”. Про Россию информация тоже представлена.

https://www.surveillancewatch.io/

Шедеврально =)

Опыт — это то, что получаешь, когда не получил того, что хотел (с) Ну, или то, чем поделятся мои коллеги на очередном вебинаре цикла про безопасность КИИ.

Тема по безопасной разработке сейчас особенно актуальна, а когда без необходимости самостоятельно вникать во все нюансы и штудировать свежую нормативку тебе всё раскладывают по полочкам, да ещё и с примерами (конечно, немало реализованных УЦСБ по этой теме проектов мне знакомы “изнутри”, но, понятно, далеко не все) - устоять просто не возможно! Пожалуй, я и не устою =) И вы не устаивайте, если заявленные тезисы интересны:

9 июля (вторник) в 12:00 (мск) состоится вебинар УЦСБ «Безопасная разработка ПО для значимых объектов КИИ».

Мы расскажем:

• Какие существуют требования регуляторов к прикладному ПО, которое обеспечивает выполнение функций значимых объектов КИИ
• Кто должен реализовать требования Приказа ФСТЭК России от 25 декабря 2017 г. N 239 и как им соответствовать
• Как выстроить процессы безопасной разработки в организации и какие инструменты для этого необходимы
• А также поделимся практическими кейсами

Вебинар ориентирован на:

• Топ-менеджмент организаций, подпадающих под сферу действия 187-ФЗ
• Руководителей и сотрудников отделов кибербезопасности субъектов КИИ
• Всех, кто интересуется защитой данных и кибербезопасностью

Для участия в вебинаре необходимо зарегистрироваться на его странице: https://www.kiiussc.ru

Участники мероприятия получат запись встречи и презентацию, а также приятный подарок (мерч УЦСБ) за самый интересный вопрос.

Отличное дополнение к мерам ОДТ.1 #пятничное

Смотрю, тема импортозамещения - прямо кладезь вдохновения для маркетологов :) #IT_IS_conf_2024

Натуральное мороженое от АйТи Бастион - без винды и ГМО =)

#пятничное

Учебный центр Эшелон, преподаватели которого сами имеют сертификаты CISSP (Certified Information Systems Security Professional) и ранее проводили курсы по подготовке к сдаче соответствующего зарубежного экзамена, теперь будет готовить к сертификации ЦЫССП (зачёркнуто) к ССК (Сертифицированный специалист по кибербезопасности).

Как заявлено в описании: «Данный сертификационный экзамен является отечественным аналогом американского CISSP».

Что особо интересно в наше меркантильное время: «Онлайн-подготовка к сдаче экзамена и онлайн-экзамен будут бесплатными для соискателей».

И вот это тоже примечательный ход: «Отдельное преимущество для всех граждан России, обладающих действующим сертификатом CISSP: они смогут получить сертификат ССК без сдачи экзамена».

Пора уже Заказчикам в требованиях к исполнителю в ТЗ начинать писать: «Наличие в штате сертифицированных специалистов CISSP и/или ССК», как считаете?

• Пресс-релиз: https://npo-echelon.ru/news/12030/
• Регистрация на бесплатный курс подготовки кандидатов: https://etecs.ru/ssc/
• Примеры вопросов: https://uc-echelon.ru/wp-content/uploads/2024/05/ssk_290524_primernye_voprosy.pdf

#пятничное

Выборка сертифицированных средств виртуализации из реестра ФСТЭК России: https://zlonov.ru/fstec-virtualization-2024/

Мдаа… Думаю, у нас с “Алисой” шансов нет - даже подавать заявку не буду =)

Если у вас с фантазией получше - можете попробовать выиграть 250 тыс.руб: https://namesoc.ru

#пятничное про пароли

(с)просторовинтернета

Шикарный пример того, как из одного инфоповода сделать пять новостей =)

Подкину идею - у нас области и края ещё на районы и округа делятся…

Какие должны быть пароли в 2024 году?

Часто встречаются в интернете таблицы времени подбора паролей от компании Hive Systems, которые публикуются без дополнительных данных о методе их формирования. Соответственно сразу в комментариях к таким публикациям появляются много “критиков”, которые спешат поделиться своим мнением о бесполезности этих таблиц. Так возникла идея перевести и опубликовать основные тезисы авторов исследования, на основании которого возникли таблицы.

https://habr.com/ru/articles/812237/

Так и живём… #пятничное

На прошлой неделе НКЦКИ сообщил о запуске сервиса «Утекли ли Ваши данные? Проверьте» (УЛВДП). Естественно захотелось его сравнить с другим весьма популярным «Have i been pwned?» (HIBP).

Результаты навскидку такие:

• HIBP ищет только по электронной почте, УЛВДП - ещё и по логину и по номеру телефона;
• HIBP приводит краткую справку о самой утечке с ссылкой на более детальное описание, УЛВДП отображает только наименование источника утечки и дату;
• HIBP обычно находит больше утечек (сравнивал по нескольким адресам), но УЛВДП порой указывает на отсутствующие у HIBP - например, утечку Tele2.ru;
• HIBP позволяет подключить отдельный дашборд для поиска всех утечек для конкретного почтового домена;
• HIBP позволяет работать через API;
• на сайте HIBP есть общая статистическая информация и отдельная информация о всех подключенных базах, в сервисе УЛВДП такой информации нет.

В целом, для первой итерации - УЛВДП получился вполне рабочим, хотя о полной альтернативе HIBP говорить пока рано. Ну, а для бОльшего эффекта рекомендовал бы пользоваться ими обоими одновременно.

• Сервис НКЦКИ: https://chk.safe-surf.ru
• Сервис Have i been pwned?: https://haveibeenpwned.com
• Пресс-релиз: https://safe-surf.ru/specialists/news/706601/
• Новость на AntiMalware: https://www.anti-malware.ru/news/2024-04-15-114534/43162 - новость с ошибкой: никакие пароли УЛВДП вводить не предлагает =)

UPDATE 18.04 Обнаружился ещё один адрес: https://safe-surf.ru/leak-check/ - тут есть поиск по паролю, но сервис проверки работает гораздо менее стабильно: результат поиска пароля “qwerty” я так и не смог получить.

Кобольдские письма

Оказывается, электронное письмо, полученное от доверенного лица, и даже подписанное его электронной подписью, - может оказать фишинговым.

Суть проблемы в том, что большинство почтовых клиентов позволяет использовать CSS (Cascading Style Sheets - каскадные таблицы стилей) для оформления электронных писем в формате HTML и грамотное использование особенностей DOM (Document Object Model - объектная модель документа) позволяет сформировать такое письмо, которое изначально выглядит вполне невинно, так как его часть просто скрыта (например, путём применения стиля «display: none;»), но при пересылке - изменяется и превращается в нечто совершенно иное.

Поэтому, как вариант, ваш шеф может переслать вам письмо с вопросами от потенциального клиента, а вы в свою очередь - получить от него уже указание необходимости перевода крупной суммы денег по неким банковским реквизитам.

«Кобольдскими» такие письма автор оригинальной статьи назвал как раз потому, что кобольды (нечистые духи в германской мифологии, сродни гномам или домовым) обычно невидимы и склонны к пакостям.

Уязвимость актуальна (в упомянутой статье приведены наглядные примеры) как минимум для:

• Thunderbird;
• веб-версии Outlook;
• Gmail.

В качестве меры защиты можно отключить HTML в почтовом клиенте и «включить» критическое мышление.

Автор, конечно, приводит пример с развитием событий в виде звонка шефу с просьбой подтвердить легитимность письма, и по его версии - необходимое подтверждение вы вполне можете получить, но, на мой взгляд, это уже притянуто за уши. Вряд ли кто-то спросит: «Вы пересылали мне сегодня письмо?», - но не упомянет его содержимое.

• Оригинальная статья (англ.): https://lutrasecurity.com/en/articles/kobold-letters/

• Пост Брюса Шнайера: https://www.schneier.com/blog/archives/2024/04/security-vulnerability-of-html-emails.html

• Про модель DOM: https://ru.wikipedia.org/wiki/Document_Object_Model

• Про CSS: https://ru.wikipedia.org/wiki/CSS

• Про кобольдов: https://ru.wikipedia.org/wiki/Кобольды

Добавил к списку докладов ИБ АСУ ТП КВО 2024 ссылки на краткие пересказы видео выступлений, сгенерированные нейросетью YandexGPT: https://zlonov.ru/events/2024-03-13-14-ибкво/

Вот как это выглядит на примере доклада Павла Сергеевича Зенкина из ФСТЭК России: https://300.ya.ru/v_UsvAYNSG

#пятничное Оригинал: https://pikabu.ru/story/urok_yurisprudentsii_11233505

Лучшие доклады ИБ АСУ ТП КВО 2024: https://zlonov.ru/best-reports-ibkvo-2024/

Выборка сертифицированных операционных систем из реестра ФСТЭК России: https://zlonov.ru/fstec-os-2024/

Знаете, почему при поиске на странице с пресс-релизом про кражи eSim сочетания “F.A.C.C.T.” находится 11 совпадений, а при поиске “F.A.” - уже 18?

Вот на этой странице: https://www.facct.ru/media-center/press-releases/esim-bank-attacks/

Потому что 7 раз «F.A.С.С.T.» Написано с русскими «С» =)

Вот и думай - то ли это способ в очередной раз подчеркнуть российское происхождение компании, то ли наглядный урок по техникам тайпсквоттинга =)

А новость - да, интересная. И советы адекватные, разве что использование несуществующего термина «двухфакторная идентификация» меня традиционно забавляет =)

Центр национальной компьютерной безопасности Великобритании (NCSC) представил набор бесплатных простых онлайн-утилит для проверки IP-адреса, почтового домена и браузера. На российские домены и IP вроде не ругается - проверяет и даёт дельные советы.

Цитата: «Все проверки проводятся удаленно, без необходимости установки программного обеспечения и используют ту же общедоступную информацию, которую киберпреступники используют для поиска легких целей».

Утилиты: https://checkcybersecurity.service.ncsc.gov.uk

Пост в блоге: https://www.ncsc.gov.uk/blog-post/cyes-protect-customers

Опубликованы данные неаудированной отчётности Positive Technologies по итогам 2023 года. Интересно посмотреть на распределение ~25 млрд руб валовой прибыли отгрузок по продуктовой линейке. 6 продуктов дают вклад 75%. Остальные (PT Sandbox, PT ISIM, PT MultiScanner и проч.), судя по отсутствию на слайде, порог в 500 млн перешагнуть не смогли.

Пресс-релиз: https://www.ptsecurity.com/ru-ru/about/news/positive-technologies-ozhidaet-uvelicheniya-chistoj-pribyli-nic-po-itogam-2023-goda/ Презентация: https://group.ptsecurity.com/storage/files/reports/POSI_2023_results_presentation.pdf Все продукты Positive Technologies: https://www.ptsecurity.com/ru-ru/products/

Хочется напомнить, что с 01 марта вступает в силу Приказ №168 Роскомнадзора, который в том числе определяет Критерии «оценки информации о способах, методах обеспечения доступа к информационным ресурсам и (или) информационно-телекоммуникационным сетям, доступ к которым ограничен на территории Российской Федерации» - т.е. информации об обходе блокировок.

У себя в блоге нашёл аж три таких публикации. Пришлось последовать примеру SecurityLab, 4PDA и других.

Приказ Роскомнадзора: http://publication.pravo.gov.ru/document/0001202312010036

Новость про «Сайты начали удалять статьи-инструкции о скачивании VPN»: https://www.bfm.ru/news/544473

18 минут 49 секунд плотного интенсива про SSL decrypt в NGFW от Дениса Батранкова: https://youtu.be/HoQjY6vidmU

Без знания основ криптографии можно и не смотреть, но всё равно лучше прокомментировать, чтобы Денис провел обещанный за 50 комментариев вебинар =)

Мда… Некоторые инициативы должны навсегда оставаться только инициативами. Тут явно такой случай:

Банкам предложили определять нерезидентов по геолокации

Если выяснится, что российский гражданин заходит в приложение банка в основном из-за рубежа, организация должна будет запросить у него дополнительную информацию о месте проживания. А если этих данных банк не получит, то сможет в одностороннем порядке расторгнуть договор и перестать проводить операции по счету клиента. Соответствующее предложение Минфина содержится в проекте постановления правительства, пишут «Известия».

BFM: https://www.bfm.ru/news/543337 Известия: https://iz.ru/1643011/natalia-ilina-mariia-stroiteleva-mariia-kolobova/mesto-i-polozhenie-bankam-predlozhili-vyiavliat-klientov-nerezidentov-po-geolokatcii

Плюс картинка-иллюстрация: #пятничное “О наболевшем”

Сайт с интересной функциональностью: “...собраны различные рекламные сервисы и сервисы для сбора аналитики, чтобы вы могли проверить на них эффективность вашего блокировщика.”

https://checkadblock.ru

Мой блокировщик смог заблокировать всё. Да простят меня владельцы сайтов с рекламой =)

Вставай, Наташ, мы всё уронили… (с)

https://portal.noc.gov.ru/ru/monitoring/

Update: Хабр - https://habr.com/ru/news/790188/ РИА Новости - https://ria.ru/20240130/sboi-1924449185.html РБК - https://www.rbc.ru/technology_and_media/30/01/2024/65b929219a79473658e31979

А ещё так можно вводить пароли в публичных местах, где кто-то может подсмотреть перемещения пальцев =) #пятничное

Крайне любопытный нестандартный вектор атаки: отслеживание положения пальцев руки пользователя через датчик освещённости ноутбука/планшета/смартфона.

Ладонь частично отражает свет от экрана на датчик, что при должном умении (не обошлось без привлечения ИИ) позволяет определить положение руки пользователя.

Пока атака в реальных условиях нереализуема (для достоверности результата рука должна быть неподвижна пару десятков минут), но это повод уже сейчас озаботиться дополнительными механизмами защиты от неё в будущем: ограничить доступ приложений к датчикам освещённости, понизить частоту их срабатывания и/или разместить датчики сбоку, а не на фронтальной поверхности.

Статья в Science (eng): https://www.science.org/doi/10.1126/sciadv.adj3608 Статья на MIT CSAIL (eng): https://www.csail.mit.edu/news/study-smart-devices-ambient-light-sensors-pose-imaging-privacy-risk Статья на Хабре: https://habr.com/ru/companies/kaspersky/articles/788080/ Статья на Anti-Malware: https://www.anti-malware.ru/news/2024-01-22-114534/42654

#пятничное

Не ожидал, что у нас ТАКОЕ количество каналов по ИБ: при первоначальном списке в 92 канала новых мне прислали уже почти 50 штук. Видимо, в следующем рейтинге надо будет какие-то критерии включения вводить (число подписчиков, возраст канала, активность или что-то ещё - надо подумать).

К слову, у сервиса TGStat вышло любопытное исследование аудитории Telegram за 2023 год: https://tgstat.ru/research-2023

Чаты и каналы Telegram по информационной безопасности 2024: https://zlonov.ru/telegram-security-list-2024/

Традиционный ТОП ZLONOV за год: https://zlonov.ru/top10-2023/

По предложению посетителя моего сайта ZLONOV.ru добавил в подборку законодательства список недавно обновлённых документов тут https://zlonov.ru/kii/ и тут https://zlonov.ru/laws/#новые-документы-за-последние-120-дней-от-даты-редактирования

Список генерируется автоматически при каждом редактировании.

Восемь самых наглядных примеров картинок-фейков. Что там у нас с ЕБС? =) https://www.kommersant.ru/doc/6396790

Забавно, что мы предпочитаем насмехаться над отечественными разработками, а не гордиться пусть малыми, но достижениями…

__На следующей неделе в Москве состоится презентация Р-ФОН — отечественного смартфона на базе ОС «РОСА Мобайл» со встроенным мессенджером от «РОСА», по функциональности схожим с Telegram. Продукт «РОСА Мессенджер» защищен шифрованием и программой идентификации и пригоден для личного пользования, бизнеса и госсектора. В настоящее время он совместим лишь с «РОСА Мобайл» и РОСА «Хром» (обе на основе Linux), однако не исключено, что в дальнейшем список поддерживаемых ОС расширится. __ Источник: https://www.anti-malware.ru/news/2023-12-13-114534/42464

Мда… И это ведь “лучшая ЭТП в области качества” в одной из республик, да ещё и в ТОП-10 лучших ЭТП России входит.

#пятничное

Трагический случай… А ведь это даже ещё и не ИИ в самом потенциально опасном его проявлении…

“В Южной Корее робот насмерть прижал мужчину. Инцидент произошел на агропредприятии в провинции Кёнсан-Намдо. Как сообщает BBC (ресурс заблокирован в РФ), из-под контроля вышла промышленная рука, предназначенная для работы с коробками овощей. Во время тестирования робот перепутал человека с неодушевленным предметом и нанес ему травмы, несовместимые с жизнью.”

Источник: https://www.bfm.ru/news/537614 Обзор на книгу про опасность ИИ: https://zlonov.ru/superintelligence-dangers-strategies/

Исследовательская компания Ipsos и страховой гигант AXA опросили почти 3,5 тыс. экспертов из 50 стран мира и по итогу опубликовали свой очередной ежегодный отчёт, посвященный глобальным рискам будущего (Future Risks Report).

Киберугрозы вернулись на второе место (правда, опрос проводился до недавнего обострения на ближнем Востоке), а в целом - киберугрозы с 2018 года ни разу ниже третьего места не опускались.

Риски, связанные с искусственным интеллектом и большими данными, попали в ТОП-10 всего в третий раз, но впервые - на четвёртое место.

Новость в Коммерсантъ: https://www.kommersant.ru/doc/6312385 Пресс-релиз [eng]: https://www.ipsos.com/en/axa-future-risks-report-2023-world-polycrisis Сам отчёт [eng]: https://zlonov.ru/assets/reports/AXA_Future_Risks_Report_2023_English.pdf

Читаю труд коллег из ИПУ РАН, встретил вот такое сопоставление информационной и кибербезопасности: “Информационная безопасность может рассматриваться в широком контексте. Информационная безопасность, помимо технических и организационных аспектов, человеческих факторов и социальных вопросов затрагивает сферы национальной и международной безопасности. В настоящей работе основное внимание будет уделено методическим и техническим аспектам защиты информации и системы ее обработки, поэтому в большинстве случаев вместо информационной безопасности будет использоваться более подходящий термин кибербезопасность (КБ), который делает акцент на технические и методические вопросы информационной безопасности.” Ну, тоже подход =)

Шёл 2023 год, Cisco продолжала использовать “захардкоженные” пароли…

2023: https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-cer-priv-esc-B9t3hqk9

2021: https://securityaffairs.com/124198/security/cisco-hard-coded-credentials.html

2018: https://www.bleepingcomputer.com/news/security/hardcoded-password-found-in-cisco-software/

Ооо! Долгожданный =)

Сертификат №4719 от 28.09.2023 на программный комплекс «CyberLympha DATAPK» (ПК CL DATAPK) подтверждает соответствие требованиям документов: Требования доверия(6), Требования к СОВ, Профили защиты СОВ (cети шестого класса защиты. ИТ.СОВ.С6.ПЗ), ЗБ.

С 1 октября двухфакторная аутентификация на «Госуслугах» стала обязательной для новых пользователей и при запросе на восстановление учётной записи: https://t.me/mintsifry/1993

“Дополнительное подтверждение для входа подключил уже каждый третий пользователь портала — всего более 35 млн человек” - не так плохо на самом деле, но 70 млн всё ещё “однофакторные”… Какой простор для мошенников!

Википедия не совсем согласна с текстом на картинке, утверждая, что на самом деле данной композицией Адриано Челентано «хотел сказать об отсутствии коммуникабельности многих людей, неспособных понять друг друга». Тем не менее - слова вымышленные, песня популярная.

А вы, как ИБшник, часто используете в общении с бизнесом вымышленные слова? Призенколиненсинайнчузол, NGФV, DLЬ, XDЯ? А, может, начать говорить на одном языке? 😉

Источник: https://pikabu.ru/story/yeksperiment_vyishel_izpod_kontrolya_10683807 Статья: https://ru.wikipedia.org/wiki/Prisencolinensinainciusol Трек: https://music.yandex.ru/album/6082669/track/45307203

#пятничное в четверг

Обновление подборки законодательства о КИИ на сентябрь 2023

https://zlonov.ru/kii-legislation-update-2023-09/

Ведомости со ссылкой на “федерального чиновника” и “топ-менеджера одной из нефтегазовых компаний” сообщают, что в правительство Минпромторгом был внесён документ о переносе срока обязательного импортозамещения для ПАКов в КИИ с 01 января 2025 года на дату “__окончания срока эксплуатации уже действующих решени__й” (чтобы это ни значило).

https://www.vedomosti.ru/technology/articles/2023/09/22/996510-dlya-kriticheskoi-infrastrukturi-smyagchayut-trebovaniya

Всё вернулось на круги своя…

Простейшая схема работы VPN #пятничное в среду

Какая нестандартная угроза реализовалась =)

Восстание 3D-принтеров: часть напечатала что-то странное, а часть — сломалась

В ночь на 15 августа популярные 3D-принтеры Bambu X1C или P1P внезапно начали сходить с ума. Часть из них без каких-либо команд со стороны пользователей начала печатать либо прошлые заготовки, либо вообще что-то странное.

На английском: https://www.theverge.com/2023/8/16/23064592/bambu-print-asleep-cloud-outage

На русском: https://wylsa.com/vosstanie-3d-printerov-ne-okazalos-uspeshnym-chast-napechatala-chto-to-strannoe-a-chast-slomalas/

Пост одного из пользователей: https://www.reddit.com/r/BambuLab/comments/15rznpy/printer_started_printing_by_itself_damaged_itself/

ea0fd0950eb251885622fa27d1fa2add.png

Отечественные платформы виртуализации и их безопасность

__Виртуализация стала главным трендом информационных технологий. Сейчас уже сложно найти сервер, который используется в промышленной эксплуатации без виртуализации, и даже малые предприятия осознали выгоду подобных решений для бизнеса. В этой статье мы рассмотрим, какие решения виртуализации сегодня существуют на отечественном рынке, расскажем, на что стоит обращать внимание при выборе оптимальной платформы и какие требования предъявляются к безопасности таких систем. __

https://habr.com/ru/companies/lanit/articles/752494/

#пятничное в четверг

#itisconf

На моём сайте ZLONOV.ru есть полузабытый (даже мной) раздел “Каталог средств защиты информации”, в котором в своё время систематизировал (больше - для себя) имеющиеся на рынке СрЗИ. Тем не менее, раздел, судя по всему, посещается и посещается, в том числе, маркетолагами компании Индид, которые(-ая) и прислали(-а) мне описания продуктов для включения в Каталог. С большим удовольствием разместил всё присланное: https://zlonov.ru/catalog/vendors/#%D0%B8%D0%BD%D0%B4%D0%B8%D0%B4-%D0%BE%D0%BE%D0%BE.

Онлайн игра-пародия на парольные проверки: https://neal.fun/password-game/

У меня пока дальше 16-го правила пройти не получилось =)

TelecomDaily провёл исследование (опрос пользователей и экспертов) по определению того, кто из мобильных операторов эффективнее всего защищает от мошенников и спама.

Краткие тезисы:

• снижение его [спама] частоты
• порядка 46% жертв телефонного мошенничества не верят в эффективность правоохранительных органов и не обращаются к ним после хищения средств
• 54% пострадавших пытаются вернуть деньги, но удалось это лишь каждому пятому (10,6%)
• 94% абонентов убеждены, что защиту должен брать на себя именно оператор связи
• В экспертном голосовании победил «Тинькофф Мобайл», который на пяти сервисах из шести возможных набрал 326 баллов. МТС с таким же количеством сервисов получил 319,6 баллов, «МегаФон» — 319,4.

Пресс-релиз TelecomDaily: https://telecomdaily.ru/news/2023/06/30/iaa-telecomdaily-kto-iz-operatorov-effektivnee-zashchishchaet-ot-moshennikov-i-spama-v-2023

Пресс-релиз Тинькофф Мобайл: https://www.tinkoff.ru/about/news/30062023-tinkoff-mobile-is-again-recognized-safest-mobile-operator-in-russia/

Любопытный способ хранить мнемонические (seed) фразы для восстановления доступа к криптокошелькам.

Позволяет хранить до 24 слов длиной не более 4 букв, чего достаточно, если использовать специальный словарь BIP39, в котором первые 4 буквы позволяют однозначно определить слово целиком.

Цена в России около 5 000 руб. Не такая большая сумма за помощь злодею в однозначном определении того, что у него в руках именно мнемоническая фраза =)

Официальный сайт: https://safepal.com/en/store/cypher

Видеоролик с демонстрацией: https://www.youtube.com/watch?v=0tBYyYHR2bo

«Руководство» с кривым переводом: https://safepalsupport.zendesk.com/hc/en-us/articles/8623510621979-Руководство-пользователя-SafePal-Cypher

Словарь BIP39 для английского языка: https://github.com/bitcoin/bips/blob/master/bip-0039/english.txt

Минцифры России предлагает всем желающим записаться на бесплатный курс «Профессия — белый хакер»

Новость: https://digital.gov.ru/ru/events/45197/ Запись на курс: https://cyber-ed.ru/professiya-hacker/#form_block_id

Обзор проекта приказа Минэнерго об утверждении требований по обеспечению безопасности для дистанционного управления в электроэнергетике: https://zlonov.ru/remote-control-minenergo-draft-requirements-for-zokii/

Обзор основных запретов на использование иностранного программного обеспечения и оборудования на объектах критической информационной инфраструктуры: https://zlonov.ru/no-foreign-for-kii/

Подборка подкастов по информационной безопасности на русском языке.

https://zlonov.ru/information-security-podcasts/

Мда… Далеко ещё виртуальным юристам на базе искусственного интеллекта до опытных участников чата КИИ 187-ФЗ =)

Ссылка на виртюриста: https://alliesverse.io/#functions

Ссылка на новость: https://www.vedomosti.ru/technology/news/2023/05/24/976570-v-rossii-na-baze-iskusstvennogo-intellekta-sozdan-virtualnii-yurist

Ссылка на ответ на вопрос: https://t.me/KII187FZ/91869

Ох, не перевелись ещё пентестеры на Руси… =)

Узнать имя проезжающей мимо блондинки в Порше? Легко!

Видеоролик с демонстрацией использования дрона для доставки портативного автономного специально собранного устройства максимально близко к компьютеру жертвы с целью эксплуатации одной из самых опасных и зрелищных современных физических атак - MouseJack (https://www.mousejack.com/faq). Суть атаки - в имитации нажатий клавиш беспроводной клавиатуры для скачивания и установки программы удалённого управления за долю секунды и практически незаметно для пользователя.

https://www.youtube.com/watch?v=kZTZfQfnOTQ

Гжелезный человек #гжель #пятничное

Яндекс запустил генеративную нейросеть «Шедеврум», которая может создавать изображения по описанию (на русском или английском языках). Работает на iOS и Android, но пока можно только смотреть и отмечать понравившиеся чужие “шедевры” - одобрения запроса на генерацию своих собственных придётся подождать.

https://shedevrum.ai/post/5f88478937281e6

ТАСС: Cisco из-за прекращения продаж уничтожила запчасти для оборудования в РФ на 1,9 млрд руб.

https://tass.ru/ekonomika/17451425

На «Госуслугах» отключили функцию удаления учетной записи - теперь удалить аккаунт можно только через личное обращение в центр обслуживания

https://tass.ru/obschestvo/17420671

Компьютер бухгалтера на аутсорсе, регулярно сдающего отчётность 30+ юрлиц #пятничное

Вы знаете же, что на сайте ФСТЭК России есть раздел с реестрами с удобным быстрым поиском? https://reestr.fstec.ru

Например, можно оперативно подобрать сертифицированное средство защиты, соответствующее конкретным требованиям: https://reestr.fstec.ru/reg3

Практическая демонстрация (https://sites.google.com/view/nuitattack/home) атак на голосовые помощники, в ходе которых с помощью команд, неслышимых человеческому уху, открываются двери и производятся другие манипуляции, наглядно показывает: не стоит давать им (помощникам) возможности большие, чем включение/выключение света и запуск любимого плейлиста. А ещё лучше - и вовсе отказаться от их использования.

Чуть подробнее на русском: https://www.anti-malware.ru/news/2023-03-27-111332/40801

Обновление подборки законодательства о КИИ на март 2023: https://zlonov.ru/kii-legislation-update-2023-03/

ФСТЭК России (Е.Б. Торбенко) #ИБАСУТПКВО2023

Ролик с демонстрацией перехвата сетевого трафика с витой пары с помощью клемм (“крокодилов”) и мобильного телефона.

https://www.youtube.com/watch?v=AIyi98RBpzI

Плюс ещё один подход в копилку к параллельному импорту и принудительному лицензированию: “АтомРеверс”.

….объединяет инженерные решения для воспроизведения и оптимизации оборудования и его компонентов. Продукт предназначен для широкого круга российских промышленных предприятий из различных отраслей, эксплуатирующих сложную импортную технику и столкнувшихся с трудностями в ее обновлении, ремонте и обслуживании.

Источник: https://www.rosatom.ru/journalist/news/toplivnaya-kompaniya-rosatoma-tvel-predstavila-tsifrovoy-produkt-dlya-importozameshcheniya-zarubezhn/

Страница АтомРеверса, правда, сейчас лежит: https://atomreverse.tvel.ru/ Или, быть может, специально отключена из конспиративных соображений ;-)

А вот если по данной методике посчитать “стоимость” какого-нибудь мероприятия по ИБ с участием CISO…

Приложения Тинькофф банка и ряда других банков пропали из App Store: https://www.bfm.ru/news/520258

При этом у Тинькофф пропало не только банковское приложение, но и другие. В том числе - Тинькофф Мобайл, функции которого по управлению сотовыми тарифами не продублированы в личном кабинете на сайте.

Сам банк предлагает действующим клиентам не удалять приложение, а новым обещает помощь со стороны своего представителя: https://www.tinkoff.ru/apps/

Видимо, придётся всё-таки им теперь спешно личный кабинет дорабатывать. Раньше ведь об “отказоустойчивости” этого сервиса подумать было нельзя.

#пятничное

Чаты и каналы Telegram по информационной безопасности 2023: https://zlonov.ru/telegram-security-list-2023/

Среди 112 протестированных по заданию ФСТЭК России обновлений ПО - негативно влияющих/воздействующих на инфраструктуру пока не выявлено.

https://bdu.fstec.ru/software-section/updates

https://zlonov.ru/top1/

Коктейльная карта на стенде USSC SOC на SOC Форуме =)

l04nemjrwnkyvus9ckzsxvegpzjzlkx0.pdf

14 октября был опубликован проект постановления правительства РФ «О внесении изменений в Правила категорирования объектов критической информационной инфраструктуры Российской Федерации, утвержденные постановлением Правительства Российской Федерации от 8 февраля 2018 г. № 127».

Проектом предлагается введение обязательства отраслевых ведомств осуществлять мониторинг актуальности и достоверности сведений о результатах категорирования объектов критической информационной инфраструктуры (КИИ), предоставляемых подведомственными субъектами КИИ.

Проект также предлагает внесение изменений в Перечень показателей критериев значимости объектов КИИ.

Предлагается внести изменения в следующие критерии: 1 Показатели социальной значимости. Нижний порог критериев с 2-3 человек увеличился до 10. 2 Показатели экономической значимости. Снизился порог оценки ущерба бюджету РФ или субъекта РФ и ущерба от прекращения/нарушения банковских операций кредитными организациями. 3 Показатели экологической значимости. Нижний порог критериев с 2-3 человек увеличился до 10.

Согласно пояснительной записке к проекту, уточнение критериев показателей социальной значимости позволит исключить из значимых объектов КИИ объекты, обеспечивающие функционирование мелких сельских поселений.

Предлагается добавить следующие показатели: 1 Показатель социальной значимости: время отсутствия доступа к государственной услуге (невозможности ее оказания), оцениваемое с момента приема запроса о предоставлении услуги. 2 Показатели экономической значимости: • прекращение/нарушение проведения операций по исполнению обязательств центральным контрагентом; • прекращение/нарушение проведения учетных и расчетных операций, осуществляемых центральным депозитарием и регистратором финансовых транзакций; • прекращение/нарушение проведения операций по выплатам, передаче и размещению денежных средств, осуществляемых негосударственным пенсионным фондом; • прекращение/нарушение проведения операций по выплатам, перестрахованию, инвестициям, осуществляемых страховыми организациями; • прекращение/нарушение выполнения функций по переводу денежных средств, осуществляемых операторами услуг информационного обмена.

Полная сводная таблица с отображением предлагаемых изменений в исходный перечень приведена в приложении к обзору: https://www.ussc.ru/upload/iblock/5f3/l04nemjrwnkyvus9ckzsxvegpzjzlkx0.pdf.

Общественное обсуждение проекта завершилось 28 октября.

Источник: https://www.ussc.ru/news/novosti/obzor-izmeneniy-v-zakonodatelstve-za-oktyabr-2022/

Прогноз (и анализ) развития рынка кибербезопасности в Российской Федерации на 2022–2026 годы от Фонда «Центр стратегических разработок» (ЦСР).

Завершил редизайн раздела сайта с подборкой НПА и дополнительных материалов по теме безопасности КИИ. Предложения/замечания/дополнения приветствуются: https://zlonov.ru/kii/

#пятничное во вторник

Глоток свежести в наше непростое время =) Прямая трансляция здесь: https://itisconf.ru/livebroadcast

Google представил нейросеть Imagen, распознающую любые текстовые запросы и генерирующую из них фотореалистичные изображения.

Публичного доступа нет: “его могут использовать неправильно в социальных сферах”.

Действительно, “человек, похожий на генерального прок__у__рора” или “мистер Пупкин, берущий кредит с помощью ЕБС” вполне могут привести к негативным последствиям =)

https://imagen.research.google

Отечественный ресурс с описанием угроз безопасности информации и уязвимостей АСУ ТП будет запущен для публичного доступа в следующем году.

Яркий пример абсолютно некорректного подхода маркетинговой службы одной небезызвестной ИБ компании к организации рассылок по электронной почте: можно сколько угодно отписываться от их писем, но твой адрес всё равно добавят в очередной новый список рассылки, который, судя по названиям, каждый раз создаётся заново.

Как считаете, ч.1 ст. 18 Закона № 38-ФЗ «О рекламе» в данном случае нарушается?

Прекращено действие сертификатов соответствия:

• SAP S/4HANA (было приостановлено с 18 марта);
• ESET NOD32 (было приостановлено с 14 февраля).

https://zlonov.ru/catalog/suspended-and-terminated-certificates/

Обновлять или не обновлять, вот в чем вопрос...** **

НКЦКИ предлагает простой пошаговый алгоритм принятия решения по обновлению критичного ПО. Комментарии к алгоритму и границы его применимости изложены в соответствующем бюллетене: https://safe-surf.ru/specialists/news/678042/

#пятничное

Другие демотиваторы здесь: https://zlonov.com/demotivators/

Снова изменения в реестре сертифицированных средств защиты информации ФСТЭК России:

• приостановлено действие суммарно у 31 сертификата;

• прекращено действие у 40 сертификатов.

http://bit.ly/reestr-fstec

…и никакой VPN не поможет войти в аккаунт недавно заблокированной фотосоцсети, если её владелец просто не отправляет СМС с кодами на российские номера. Тот самый случай, когда 2FA повышает безопасность настолько, что доступ пропадает даже у легального пользователя =)

На иллюстрации - краткая версия результатов проверок ФСТЭК России своих лицензиатов в 2021 году. Полная версия тут: https://fstec.ru/normotvorcheskaya/litsenzirovanie/76-inye/2351-doklad-za-2021-god-2

Российская соцсеть «ВКонтакте» предложила пользователям перенести все фото и видео из Instagram в свою соцсеть. Это можно сделать с помощью специального приложения — https://vk.com/instagram_manager

Полную копию всего, хранящегося в iCloud, можно запросить по ссылке: https://privacy.apple.com/

Подробнее: https://wylsa.com/kak-prosto-skachat-vse-foto-i-video-iz-icloud-photo/

18.png

ФСТЭК России приостановила действие 18 сертификатов: https://fstec.ru/tekhnicheskaya-zashchita-informatsii/dokumenty-po-sertifikatsii/153-sistema-sertifikatsii/591-gosudarstvennyj-reestr-sertifitsirovannykh-sredstv-zashchity-informatsii-n-ross-ru-0001-01bi00

Самое время ещё раз всё взвесить и, возможно, переголосовать… https://t.me/zlonov_security/1367

i3em1z88pzk81.png

Время, которое потребуется хакеру, чтобы взломать ваш пароль в 2022 году

Сервис Яндекс Еда допустил утечку.

Агентство по кибербезопасности и защите инфраструктуры (CISA) опубликовало список бесплатных услуг и инструментов по кибербезопасности: https://www.cisa.gov/free-cybersecurity-services-and-tools

ScanOVAL включить забыли =) https://bdu.fstec.ru/site/scanoval

Полезная и довольно-таки глубокая интеграция:

Со стороны CL DATAPK реализована интеграция в части приема и нормализации событий от СКДПУ, что позволяет на текущий момент: выявлять подключения к устройствам, выполняемые в обход СКДПУ, фиксировать в CL DATAPK обнаруженные СКДПУ (попытки выполнения запрещенных команд, запуски запрещенных приложений, попытки установки запрещенных удаленных подключений в рамках разрешенных удаленных подключений через СКДПУ). Помимо этого, в рамках расширения интеграции планируется проработать вопрос по контролю конфигурации СКДПУ с помощью CL DATAPK

https://safe.cnews.ru/news/line/2022-02-07_ajti_bastion_i_sajberlimfa

#пятничное

Владельцы иностранных информационных ресурсов с суточной аудиторией более полумиллиона российских пользователей обязаны создать в РФ филиал, представительство или уполномоченное юрлицо, зарегистрировать личный кабинет на сайте Роскомнадзора, а также разместить на своем ресурсе электронную форму для обратной связи с российскими гражданами или организациями. __ В первую очередь закон коснется Facebook, Instagram, Twitter, TikTok, Google, YouTube, WhatsApp, Viber, Telegram, World of Tanks.__

Новость: http://duma.gov.ru/news/53199/ Сам закон: http://publication.pravo.gov.ru/Document/View/0001202107010014

**Законодательные нововведения под бой курантов **

• Перенесён срок начала ввода в эксплуатацию государственной автоматизированной системы правовой статистики
• Изменён порядок применения электронных документов в судопроизводстве
• Генпрокурор получил возможность ограничивать доступ во внесудебном порядке, а ЕБС становится ГИС
• Подписан закон об осуществлении идентификации лиц, посещающих официальные спортивные мероприятия
• Введены дополнительные обязательства для операторов связи
• В закон об образовании внесены изменения в части, касающейся электронного обучения
• Установлена административная ответственность оператора связи за неисполнение обязанностей, предусмотренных законодательством в области связи

https://zlonov.com/legislation-under-chimes-2022

Выступил соавтором статьи: https://www.anti-malware.ru/analytics/Technology_Analysis/SOC-for-Industrial-Control-System

Обновлённая подборка чатов и каналов по информационной безопасности в Telegram в 2022 году: https://zlonov.com/telegram-security-list-2022

Приближается пора всем нам проводить уходящий год, а мне - по традиции озвучить хит-парад публикаций на своём сайте: https://zlonov.com/2021-tops

Log4j for ICS

#пятничное

#пятничное в среду

Оказывается, существуют USB-ключи и смарт-карты ФОРОС http://smart-park.ru/index.php/products/forosnew.html Интересно, какая сейчас ёмкость у рынка аппаратных средств аутентификации, раз всё новые и новые игроки находят себе на нём место?…

«Именной» спам в Telegram https://zlonov.com/name-as-a-spam

#пятничное (другие демотиваторы здесь https://zlonov.com/demotivators/)

2fa.directory -  ресурс с информацией о вариантах поддержки двухфакторной аутентификации (2FA) популярными сайтами. Всё разбито по категориям, есть поиск и ссылки на документацию. Вот, например, информация о социальных сетях/сервисах: https://2fa.directory/#social

Из-за сбоя WhatsApp тысячи учителей остались сегодня утром без поздравлений =( Ну, кроме учителей информатики, которые давно перешли на Telegram =)

Второй эпизод сериала «SecOps от УЦСБ»: Зачем нужен SOC для АСУ ТП?

Дата: 05 октября 2021 Время: 11:00 (Мск)

Ключевые вопросы вебинара:

• Зачем нужен мониторинг АСУ ТП?
• Какие сложности возникают со стандартными SecOps в АСУ ТП?
• Какие действия владельцу АСУ ТП выполнять самостоятельно? 
• Какие ограничения в мониторинге АСУ ТП существуют? - SOC для АСУ ТП: создать свой или подключить аутсорсинговый?

Регистрация: https://www.ussc.ru/events/blizhayshie-meropriyatiya/secops-ussc-s2/?form

Законы, вступающие в силу в октябре. Про ИТ: общедоступные каналы в Интернете, предоставление информации сотовыми операторами. Остальное тут: http://duma.gov.ru/news/52334/#slider-64051-63986

Два года посту, но всё ещё работает реферальная ссылка из него. Условия, кстати, стали ещё интереснее - теперь дают $100 на 60 дней.

https://zlonov.com/clientless-vpn

Примеры самых неудачных паролей компаний из списка Fortune 500 различных отраслей. Вот, например, для ИТ:

1. password
2. research
3. 123456
4. aaron431
5. [Company name76]
6. linkedin
7. [Company name123]
8. career121
9. pass1
10. password1

https://nordpass.com/fortune-500-password-study/

Кому не хватало подкастов по ИБ на русском? =) Вот отличный старт от Медиа Группы «Авангард». Ведущего, кстати, можно было не писать - кто же не знает его голос и манеру говорить? 😉 https://soundcloud.com/caatp2zvua7o/sets/soc-podcast

Вебинар компании УЦСБ «Подключение к ГосСОПКА: решать задачу самостоятельно или выбрать услуги коммерческого центра?»

14 сентября в 11:00 (МСК), регистрация по ссылке: https://www.ussc.ru/events/blizhayshie-meropriyatiya/secops-ussc-s1/?form

Запускаем с коллегами свeжую серию вебинаров «SecOps от УЦСБ». Стартуем 14.09. Регистрация по ссылке: https://www.ussc.ru/events/blizhayshie-meropriyatiya/secops-ussc-s1/?form

Она читала ТЗ как роман, а он оказался повестью… https://zakupki.gov.ru/223/purchase/public/purchase/info/common-info.html?regNumber=32110554881

Apple начала продавать клавиатуры Magic Keyboard с Touch ID https://wylsa.com/apple-nachala-prodavat-bolshuyu-magic-keyboard-s-touch-id/

#пятничное в субботу

Красота какая! 3D-экскурсия на энергоблок РБМК-1000 Ленинградской АЭС https://www.rosenergoatom.ru/stations_projects/sayt-leningradskoy-aes/3d-excursion/rbmk_new/

#пятничное

#пятничное (другие демотиваторы здесь https://zlonov.com/demotivators/)

Представляю второй раздел мер II. Управление доступом (УПД) из приказа ФСТЭК России №239 с описанием вариантов их реализации на практике, в том числе с применением конкретных технических средств защиты. https://zlonov.com/measures-section-reincarnation

#пятничное

Записи докладов конференции “IT IS conf 2021” https://www.youtube.com/playlist?list=PLvxhSg-LXXAeMRWAp9pmnPiHPqMddiRjP

Будьте внимательны! На сайте ФСТЭК России приведена неактуальная редакция приказа №239. Пункты 29.2 - 29.4 вступают в силу только с 01 января 2023 года https://fstec.ru/normotvorcheskaya/akty/53-prikazy/1592-prikaz-fstek-rossii-ot-25-dekabrya-2017-g-n-239

#пятничное

#пятничное

Сервис по созданию почтового дайджеста на основе различных источников: https://mailbrew.com

Можно настроить как угодно, завернуть на выдаваемый электронный адрес все остальные новостные почтовые рассылки и получать одно единственное красивое письмо раз в день/неделю/месяц.

Магистерская программа “Информационная безопасностть АСУ ТП” с очной/заочной формой обучения в течение 2-2,5 лет. Стоимость - от 119 500 руб. https://www.tyuiu-magistracy.com/копия-ресурсы-арктики-и-субарктики-3

Федеральный закон от 26.05.2021 № 141-ФЗ “О внесении изменений в Кодекс Российской Федерации об административных правонарушениях” http://publication.pravo.gov.ru/Document/View/0001202105260038?index=0&rangeSize=1

Давно что-то не делал обзоры книг. Исправляюсь и заодно предлагаю несложную задачу по мотивам книги. https://zlonov.com/логические-загадки-для-алёнки

#пятничное

Модель зрелости способов аутентификации пользователей (https://danielmiessler.com/blog/casmm-consumer-authentication-security-maturity-model/)

Вот так легко и непринуждённо Заказчик обосновал неприменимость всех российских антивирусных решений. А вы говорите #импортозамещение …

Только представьте, как это будет удобно! Все документы в одном месте и в актуальном состоянии! Просто рай… для злоумышленников. https://digital.gov.ru/ru/events/40822/

Всё реклама, что не некролог? https://www.vedomosti.ru/politics/news/2021/04/15/866167-baiden-podpisal-ukaz-o-novih-sanktsiyah-protiv-rossii

#пятничное

Статья про взлом PDF-файлов с цифровой подписью:

Shadow Attacks: Hiding and Replacing Content in Signed PDFs

“__В этой статье представлен новый класс атак, называемые теневыми атаками.

Теневые атаки обходят все существующие меры противодействия и нарушают защиту целостности PDF-файлов с цифровой подписью.

Результаты исследования показывают, что 16 (включая Adobe Acrobat и Foxit Reader) из 29 протестированных программ просмотра PDF уязвимы для теневых атак.__”

https://vk.com/wall-88373861_1316

Хозяйке на заметку: список выданных вам сертификатов электронных подписей можно посмотреть на сайте Госуслуги в личном кабинете: https://lk.gosuslugi.ru/settings/signature

Там же, к слову, их можно и заблокировать, но правильнее - отозвать сертификат в удостоверяющем центре.

Финал эпохи Дайджестов КИИ https://zlonov.com/kii-digest-era-end

Помните конкурс ФСТЭК России на разработку отечественного ресурса с уязвимостями АСУ ТП и промышленного интернета вещей на 300 млн руб?

Можно поздравлять ГНИИ ПТЗИ с победой: https://www.sberbank-ast.ru/ViewDocument.aspx?id=812167383

Методический документ, определяющий методику оценки угроз безопасности информации, был подписан ФСТЭК России 5 февраля 2021г. Это событие открыло новые двери для специалистов в области ИБ, которые занимаются анализом потенциальных угроз для важных объектов информационной инфраструктуры.

https://www.comnews.ru/digital-economy/content/213251/2021-02-20/2021-w07/podarok-fstek-utverzhdena-novaya-metodika-ocenki-ugroz

Интересное исследование от Тинькофф: “Как обманывали клиентов банков в 2020 году” https://www.tinkoff.ru/about/news/19022021-tinkoff-fraud-research-2020/

Уверенности некоторых производителей средств защиты информации можно только позавидовать: сто лет техподдержки - это сильно! #пятничное

Надо же - столько лет уже этой идее и вот очередная реинкарнация, да ещё и сразу с сертификатом ФСТЭК России:

__Сертифицированное средство обеспечения безопасной дистанционной работы Aladdin Liveoffice представляет собой специализированное защищенное USB-устройство, обеспечивающее загрузку компьютера с внешнего USB-носителя, на котором находится сертифицированная операционная система Astra Linux Special Edition версии 1.6 SE «Смоленск» с набором предустановленного программного обеспечения для подключения к интернету (через Ethernet или Wi-Fi), автоматическую настройку и подключение к шлюзу организации с использованием сертифицированного на соответствие требованиям ФСБ России к средствам криптографической защиты информации (СКЗИ) класса КС1 VPN-клиента Vipnet Client 4U for Linux производства компании «Инфотекс». __

https://safe.cnews.ru/news/line/2021-02-17_sredstvo_obespecheniya_bezopasnoj

Итоги опроса про основной фактор для цифровой трансформации компаний.

Подборка образовательных сайтов https://fuckinghomepage.com/websites

Обзор концепции цифрового рубля, предложенной Банком России http://www.garant.ru/article/1441377/

В реестр отечественного ПО хотят допустить условно переработанные зарубежные программы https://www.vedomosti.ru/technology/articles/2021/02/10/857491-rossiiskii-soft

Технологическая зависимость, или Кому мешает отечественный софт

Политолог, публицист Александр Механик рассказывает о том, как лоббисты иностранных решений в сфере критической информационной инфраструктуры пытаются сдвинуть сроки внедрения отечественных решений, но отраслевые ассоциации российского бизнеса против.

http://www.prisp.ru/analitics/7086-mehanik-komu-meshaet-otechestvennyj-soft-0802

__ФСТЭК России ищет разработчика ресурса с уязвимостями уровня автоматизированных систем управления технологическим процессами и промышленного интернета вещей критически важных, потенциально опасных и опасных производственных объектов. Ресурс планируется создавать для информирования об уязвимостях владельцев данных объектов. Тендер на его разработку стоимостью 300 млн рублей ведомство объявило 5 февраля 2021 года. __

https://ict-online.ru/news/n191916/

Обеспечение технологической независимости КИИ. Результат попытки № 2.2

Вы не поверите, но Минцифры  в очередной раз выложила проект Постановления Правительства РФ “О мерах по обеспечению информационной безопасности в экономической сфере при использовании программного обеспечения и оборудования на объектах критической информационной инфраструктуры”. Не просто обновленную версию проекта по поступившим замечаниям, а полностью по новой процедуре на регулейшн. Правда, содержимое не сильно изменилось.

Даты проведения общественного обсуждения: 13.01.2021- 27.01.2021

https://valerykomarov.blogspot.com/2021/02/22.html

Немного статистики по проверкам лицензиатов ФСТЭК России за последние 5 лет. Нарушений мало, наказаний практически нет.

https://fstec.ru/normotvorcheskaya/litsenzirovanie/76-inye/2155-programma-profilaktiki-narushenij-obyazatelnykh-trebovanij-na-2021-god

С 4 по 5 февраля 2021 года в Москве пройдет 23-й Национальный форум информационной безопасности «Инфофорум-2021».

Пленарное заседание форума будет посвящено теме «Устойчивое развитие России в цифровую эпоху: преодоление рисков информационной безопасности». В рамках пленарного заседания будут обсуждаться в том числе вопросы безопасности критической информационной инфраструктуры, текущее состояние и проблемы.

Самый ожидаемый (мной) доклад 9 февраля на ТБ Форум =) https://www.tbforum.ru/2021/program/asu-tp

Часы для планирования работ по ИБ #пятничное

Владимир Журавлев, преподаватель Учебного центра «Информзащита» о Критической информационной инфраструктуре. https://www.youtube.com/watch?v=xZxJZCRcTlQ

ВЫПИСКА из Программы национальной стандартизации на 2021 год в части разработки национальных стандартов в рамках деятельности технического комитета по стандартизации “Защита информации” (ТК 362)

https://fstec.ru/tk-362/standarty-tk362/303-proekty/2151-vypiska-iz-programmy-natsionalnoj-standartizatsii-na-2021-god

Комитет по государственному строительству и законодательству Государственной Думы РФ рекомендовал принять законопроект “О внесении изменений в КоАП в части установления административной ответственности за нарушение законодательства в области обеспечения безопасности КИИ” в первом чтении, есть несущественные замечания. Комитет Госдумы по ИТ и связи оказал полную поддержку** **законопроекту.

Наглядная сравнительная иллюстрация времени, требуемого для прочтения Пользовательских соглашений https://i.redd.it/j6cd57dbrga61.png

Ассоциация разработчиков и производителей электроники подготовила для Минцифры отчет о положении дел в российской электронной отрасли с точки зрения возможности импортозамещения «железа» используемого в критической информационной инфраструктуры. Ситуация в отрасли, наглядно отображенная в таблице с цветными маркерами, неоднородная; для полного изгнания зарубежных решений необходимо потратить годы и получить инвестиции в сотни миллиардов рублей.

https://www.cnews.ru/news/top/2021-01-20_proizvoditeli_rossijskoj

Кто хотел решение суда об отнесении организации к субъектам КИИ на основании экспертного заключения? Вот пример подобного. В качестве эксперта -  доцент с кафедры информационной безопасности Волгоградского государственного университета. Подача документов в ФСТЭК или решений комиссий организации суду не интересны.

https://valerykomarov.blogspot.com/2021/01/blog-post_21.html

⚡️НКЦКИ предупреждает об угрозе проведения целенаправленных компьютерных атак⚡️

В условиях постоянных обвинений в причастности к организации компьютерных атак, высказываемых в адрес Российской Федерации представителями США и их союзниками, а также звучащих с их стороны угроз проведения «ответных» атак на объекты критической информационной инфраструктуры Российской Федерации, Национальный координационный центр по компьютерным инцидентам (НКЦКИ) рекомендует принять следующие меры по повышению защищённости информационных ресурсов.

1. Приведите в актуальное состояние имеющиеся в организации планы, инструкции и руководства по реагированию на компьютерные инциденты.
2. Проинформируйте сотрудников о возможных фишинговых атаках с использованием методов социальной инженерии.
3. Проведите аудит сетевых средств защиты информации и антивирусных средств, убедитесь в их корректной настройке и функционировании на всех значимых узлах сети.
4. Избегайте использования сторонних DNS-серверов.
5. Используйте многофакторную аутентификацию для удаленного доступа в сеть организации.
6. Определите перечень доверенного программного обеспечения для доступа в сеть организации и ограничьте использование не входящих в него средств.
7. Удостоверьтесь в корректном журналировании сетевых и системных событий на важных элементах информационной инфраструктуры, организуйте их сбор и централизованное хранение.
8. Удостоверьтесь в наличии и корректной периодичности создания резервных копий данных для важных элементов информационной инфраструктуры.
9. Удостоверьтесь в корректности имеющихся политик разграничения прав доступа для устройств в сети.
10. Ограничьте доступ к сервисам во внутренней сети средствами межсетевого экранирования, при необходимости предоставления общего доступа к ним организуйте его через демилитаризованную зону.
11. Для работы с внешними ресурсами, в том числе в сети Интернет, используйте терминальный доступ через внутренний сервис организации.
12. Обновите пароли всех пользователей в соответствии с парольной политикой.
13. Обеспечьте анализ входящей и исходящей электронной почты средствами антивирусной защиты.
14. Осуществляйте мониторинг безопасности систем с повышенной бдительностью.
15. Следите за наличием необходимых обновлений безопасности для Вашего программного обеспечения.

https://safe-surf.ru/specialists/news/659973/

Из 16 (без учёта повторных после апелляций) уголовных дел, возбуждённых по статье 274.1 (неправомерное воздействие на КИИ), по состоянию на сегодня только 4 были прекращены, по 10 вынесены обвинительные приговоры и ещё по двум решение публично пока недоступно. https://zlonov.com/kii/criminal_cases

В прошлом году по привлечению к уголовной ответственности за нанесение вреда КИИ РФ с неожиданной стороны выступило РЖД. Два приговора за попытку нечестно сдать экзамены.

И вот третий приговор за уже типовое преступление, но как же отличается концовка приговора!

Летом 2020 года за аналогичные преступления суд приговорил к двум годам (условно). А в конце осени 2020 года за все тоже самое - 15 000 рублей штрафа (все три преступления совершены в мае 2019 года)!

https://valerykomarov.blogspot.com/2021/01/2741.html

Бесплатные курсы от Fortinet:

• Free Advanced Training for Security Professionals
• Free Technical Training for IT Professionals
• Free Awareness Training for Teleworkers https://www.fortinet.com/training/cybersecurity-professionals

Новость на русском: https://www.anti-malware.ru/news/2021-01-18-111332/34752

Вопросы привлечения к уголовной ответственности за самодеятельную проверку защищенности объектов КИИ. Часть2: https://zen.yandex.ru/media/id/5c7b7864fa818600ae3856a1/pentesteram-posviascaetsia-chast-2-6000a9114e913f175819550b

Когда следишь сам, не хочется давать следить другим =)

__Власти Москвы хотели развернуть слежку за передвижениями каждого пешехода по MAC-адресам их мобильных устройств. Подрядчик проекта уже смонтировал всю необходимую аппаратуру, но планам столичных властей помешали Google и Apple – они выпустили апдейт для Android и iOS, блокирующий отслеживание MAC-адресов. Теперь весь проект может быть свернут, хотя на него уже потрачено свыше 60 млн руб. __

Подробнее: https://safe.cnews.ru/news/top/2021-01-14_google_i_apple_spasli_moskvichej

Описание технологии на сайте Apple: https://support.apple.com/ru-ru/HT211227 и статья (для разработчиков) про Android: https://source.android.com/devices/tech/connect/wifi-mac-randomization

Вопросы привлечения к уголовной ответственности за самодеятельную проверку защищенности объектов КИИ: https://zen.yandex.ru/media/id/5c7b7864fa818600ae3856a1/pentesteram-posviascaetsia-chast-1-5fff2a2a9bebf134000e35be

Межведомственная комиссия Совбеза России по информационной безопасности отметила стремительное нарастание угроз в информационной сфере в 2020 г., сообщает ТАСС с ссылкой на пресс-службу ведомства.

https://www.vedomosti.ru/technology/news/2021/01/13/853897-sovbez-zayavil-o-stremitelnom-narastanii-kiberugroz-v-rossii

“USSC-SOC является корпоративным центром ГосСОПКА класса А, соответствует требованиям законодательства РФ в области ИБ, обладает лицензией ФСТЭК России на мониторинг ИБ средств и систем информатизации, а также подключен к Национальному координационному центру по компьютерным инцидентам (НКЦКИ) и ФинЦЕРТ”.

Источник: https://www.anti-malware.ru/news/2021-01-11-111332/34685

Штрафы за нарушение правил создания и функционирования систем безопасности российских значимых объектов критической информационной инфраструктуры (КИИ) предложено применять, даже если в результате несоблюдения инструкций не нанесён ущерб  для критической инфраструктуры. https://www.pnp.ru/economics/za-narusheniya-v-it-bezopasnosti-gosorganov-predlozhili-shtrafovat.html

Учебная программа Приволжского института повышения квалификации ФНС России: Обеспечение безопасности значимых объектов критической информационной инфраструктуры • 92 академических часа • согласована со ФСТЭК России • единственная программа в Приволжском ФО http://www.cpp-nnov.nalog.ru/edu/paid-edication/information-security/1564-obespechenie-bezopasnosti-znachimykh-ob-ektov-kriticheskoj-informatsionnoj-infrastruktury

В заключительный день прошлого года были опубликованы три приказа ФСБ России, касающиеся вопросов электронной подписи https://vk.com/wall-88373861_1180

Судебная практика по ст. 274.1 УК РФ. Итоги за три года. https://zen.yandex.ru/media/id/5c7b7864fa818600ae3856a1/sudebnaia-praktika-po-st-2741-uk-rf-itogi-za-tri-goda-5ffae131af142f0b1716ee38

Неплохое начало года: УЦСБ  cообщает о запуске USSC-SOC - Корпоративного центра мониторинга информационной безопасности средств и систем информатизации (является корпоративным центром ГосСОПКА класса А) https://www.ussc.ru/news/novosti/utssb-zapustil-security-operations-center/

Шах и мат, скептики, не верящие в импортозамещение: Росатом закупает СУБД Postgres Pro на 299 млн руб. https://zakupki.gov.ru/223/purchase/public/purchase/info/protocols.html?regNumber=32009766940

ТОП-10 постов от ZLONOV в 2020 году https://zlonov.com/top-10-2020

Динамика положительная =) https://zlonov.com/kii187fz-2020-52

Заключительный Дайджест КИИ 187-ФЗ этого непростого уходящего года скорее всего будет последним. Впрочем, можно не согласиться. Финансово =) https://zlonov.com/kii187fz-2020-52

AUTHENTICATION MECHANISMS CSA U OO 198854 20.PDF.pdf

Агентство национальной безопасности (АНБ) выпустило рекомендации по кибербезопасности по обнаружению злоупотреблений механизмами аутентификации. В информационном сообщении описываются тактики, методы и процедуры, используемые злоумышленниками для доступа к защищенным данным в облаке, и даются рекомендации по защите от такой активности и ее обнаружению. https://media.defense.gov/2020/Dec/17/2002554125/-1/-1/0/AUTHENTICATION_MECHANISMS_CSA_U_OO_198854_20.PDF

Сотрудника компании сотовой связи будут судить за незаконный доступ к данным абонентов По факту преступления в отношении нарушителя закона возбуждено уголовное дело по статье «Неправомерный доступ к охраняемой компьютерной информации, содержащейся в к**ритической информационной инфраструктуре **Российской Федерации, что повлекло причинение вреда критической информационной инфраструктуре Российской Федерации, с использованием своего служебного положения». https://newstracker.ru/news/incident/15-12-2020/sotrudnik-sotovoy-kompanii-v-severnoy-osetii-nezakonno-blokiroval-sim-karty-klientov

CNews и Anti-Malware новость удалили, в реестре ФСТЭК России сертификат с прежними формулировками и только статья Коммерсанта напоминает о (почти) случившемся…https://www.kommersant.ru/doc/4583247

Нестандартный по формату проводимых мероприятий 2020 год под конец ознаменовался целой чередой попыток провести что-то большее, чем очередной типовой вебинар по информационной безопасности, в коих и в прошлые годы недостатка не было. https://zlonov.com/security-events-formats-2020

Декабрь - традиционный месяц прогнозов в ИБ =) #пятничное

Очередная статья, называющая биометрию аутентификацией. https://safe-surf.ru/users-of/article/659637/

Очередная статистика как повод напомнить о том, что “большинство данных было получено путем публичных действий самих пользователей.” https://www.rbc.ru/technology_and_media/30/11/2020/5fc0dfb59a7947399392a24d

День генеральных репетиций и финальных приготовлений на SOC-Форум Live. Уровень подготовки впечатляет https://ib-bank.ru/soclive/

И про это тоже поговорили =) https://www.youtube.com/watch?v=N1yt0IGckrA #ИБАСУТП #пятничное

В первый день зимы из-за SOC-Форум Live точно будет жарко =) Буду в студии помогать ведущим и спикерам в работе со слушателями, приходите (онлайн)! Регистрация тут: https://ib-bank.ru/soclive/

#пятничное

#пятничное

“…участники рынка уверены, что ФинЦЕРТ, занимавшийся мониторингом киберрисков, будет ликвидирован” https://www.kommersant.ru/doc/4566802

“...теперь льгота по НДС станет недоступна для торговых площадок, а также практически любого ПО, на котором есть рекламные баннеры или иное продвижение собственных или чужих товаров (услуг). При этом, льгота потенциально может быть применима, например, к компьютерным играм, продуктам в сфере информационной безопасности, системам управления процессами, образовательному ПО и другим.” http://www.garant.ru/ia/opinion/author/udalova/1421168/

Обзор изменений в законодательстве за октябрь 2020

• Государственные информационные системы
• Новые требования к уровням доверия
• Стандарты по управлению доступом
• Импортозамещение в критической информационной инфраструктуре
• Обеспечение безопасности операторами финансовых платформ
• Новое положение Банка России

https://www.ussc.ru/news/novosti/obzor-izmeneniy-v-zakonodatelstve-za-oktyabr-2020/

Познавательная статья, но ни слова про информационную безопасность: Как устроена система безопасности АЭС https://www.popmech.ru/technologies/614943-sterzhni-sprinkler-konteynment-kak-ustroena-sistema-bezopasnosti-aes/

Столпотворение (буквальное) на мероприятии IT EXPO 2020 =)

Правительство предложило законопроект с пятью новыми наказаниями за нарушения в сфере безопасности КИИ. Если документ будет принят, штрафы составят от 20 до 500 тыс. руб. https://www.cnews.ru/news/top/2020-11-03_v_rossii_budut_shtrafovat

Кабмин предложил штрафы за нарушения в защите критической информационной инфраструктуры. Они могут достигнуть 500 тыс. рублей https://tass.ru/ekonomika/9898221

Выпуск подкаста “Деньги пришли” про телефонное мошенничество (с подробными комментариями представителя Альфа-Банка): https://music.yandex.ru/album/8023902/track/71682117

Иногда даже «сильный случайный пароль» и двухфакторная аутентификация не спасают: “…з__аполучил аккаунт с помощью друга, который работает в Facebook__”. https://www.securitylab.ru/news/512525.php

Пять советов по повышению парольной безопасности в организации:

• Организуйте правильную подготовку персонала
• Установите требования по надёжности для паролей
• Настройте защиту от атак методом перебора
• Деактивируйте учётные записи при увольнении сотрудников
• Внедрите двухфакторную аутентификацию

https://specopssoft.com/blog/five-password-security-tips-for-your-organization/

Изменения Требований по обеспечению безопасности ЗО КИИ (позиция ФСТЭК России) https://zlonov.com/fstec-opinion-on-239-changes

Меняется приказ о Требованиях доверия, множатся уголовные дела по теме КИИ, СМИ и блогеры публикуют материал за материалом - читайте в Дайджесте КИИ 187-ФЗ 2020-44 https://zlonov.com/kii187fz-2020-44

Информационное сообщение ФСТЭК России от 15 октября 2020 г. N 240/24/4268 (утверждена новая редакция Требований по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий) https://fstec.ru/normotvorcheskaya/informatsionnye-i-analiticheskie-materialy/2124-informatsionnoe-soobshchenie-fstek-rossii-ot-15-oktyabrya-2020-g-n-240-24-4268

Вакансия: Диспетчер обеспечения безопасности значимых объектов критической информационной инфраструктуры ПАО “МРСК Волги” https://energybase.ru/en/vacancy/157347

Календарь выходных и праздничных дней в 2021 году - для тех, кто верит, что хакерские атаки и проникновения наиболее вероятны ночью в пятницу и накануне каникул, особенно длинных.

“К сожалению, вопрос с определением объектов КИИ среди имущества субъекта КИИ за почти три года исполнения 187-ФЗ  не прояснился. И проблема не только в определении сфер функционирования ИС/АСУ/ИТКС. Остро встает вопрос об определении самих сущностей - ИС/АСУ/ИТКС. В этом цикле заметок попробуем разобраться с АСУ” https://valerykomarov.blogspot.com/2020/10/blog-post_19.html

Про судебные заседания в режиме онлайн: “…видеосвязь не всегда позволяет суду оценить психоэмоциональное состояние лица и убедиться в отсутствии давления на него со стороны третьих лиц (что особенно актуально для свидетелей)” http://www.garant.ru/article/1416765/

Банк Тинькофф про новые правила электронной подписи (коротко): https://s.tinkoff.ru/thesugowher

По приглашению коллег из ЭКСПО-ЛИНК принял участие в их проекте “Безопасная среда” и прочитал короткий доклад про особенности мониторинга информационной безопасности для АСУ ТП. https://zlonov.com/the-closer-you-look-the-less-you-see

Огромный (274 страницы) отчёт Позитив Текнолоджиз “Positive Research 2020” обо всём сразу: https://zlonov.com/reports/#positive-research-2020--positive-technologies (по ссылке есть и другие отчёты по информационной безопасности)

Два свежих приказа ФСТЭК России, законодательные инициативы, материалы прошедших тематических мероприятий, посты в блогах и многое другое по теме безопасности критической информационной инфраструктуры в Дайджесте КИИ 187-ФЗ 2020-39. https://zlonov.com/kii187fz-2020-39

Знаете ли вы, что сегодня создать поддельное (deepfake) видео можно буквально за полчаса, не обладая при этом никакими специальными знаниями и не имея в своём распоряжении никаких особых вычислительных мощностей? https://zlonov.ru/quick-deepfake/

Приказ ФСТЭК России №35 от 20.02.2020 “О внесении изменений в Требования по обеспечению безопасности ЗО КИИ РФ, утвержденные приказом ФСТЭК №239 от 25.12.2017” http://publication.pravo.gov.ru/Document/View/0001202009140010

Исследователи из McAfee продемонстрировали способ обмана современных систем распознавания лиц, позволяющий выдать одного человека за другого https://vk.com/wall-88373861_1115

Как оказалось, идее простого и надёжного физического (от)рубильника для сетевого соединения есть место и в 2020 году https://zlonov.ru/cut-the-internet/

Вебинар «Построение системы мониторинга ИБ АСУ ТП» стартует в 11:00 МСК. Трансляция на YouTube, регистрация не требуется. https://www.youtube.com/watch?v=PzbI7oCF850

Традиционный обзор новинок Государственного реестра сертифицированных средств защиты информации (СрЗИ) в этот раз будет не квартальным, а сразу полугодовым. https://zlonov.ru/fstec-certs-2020-hy1/

Если вам кажется, что по теме безопасности КИИ и сказать-то уже нечего, то очередной Дайджест КИИ 187-ФЗ быстро убедит вас в обратном =) https://zlonov.ru/kii187fz-2020-35/

По не(полу)официальным данным компания Garmin заплатила многомиллионный выкуп преступникам, взломавшим её системы. Так что не стоит удивляться, что атаки вымогателей продолжаются и продолжаются. https://xakep.ru/2020/08/03/wastedlocker-garmin/

Июльский отчёт NIST о втором раунде стандартизации постквантовой криптографии - определены 7 финалистов и 8 альтернативных участников для третьего раунда (речь про новые стандарты цифровой подписи, шифрования с открытым ключом и алгоритма обмена ключами) https://vk.com/wall-88373861_1112

Отчёт Check Point по трендам кибератак за первое полугодие 2020 https://www.checkpoint.com/downloads/resources/cyber-attack-trends-report-mid-year-2020.pdf

Среди основных (в статье по ссылке их пять) препятствий на пути массового использования автономного транспорта вполне закономерно упоминается безопасность алгоритмов машинного обучения https://theconversation.com/autonomous-cars-five-reasons-they-still-arent-on-our-roads-143316 #ML

Тема безопасности КИИ настолько “пошла в народ” (приплетается к месту и не к месту), что некоторые СМИ со своими публикациями уже прямо на грани фола… Но Дайджест КИИ остаётся объективным и беспристрастным, а выводы пусть делают сами читатели. https://zlonov.ru/kii187fz-2020-31/

На Rusprofile.ru размещена бухгалтерская отчетность компаний за 2019 год. Так что можно, не дожидаясь очередного отчёта CNews 100 или рейтинга TAdviser, оценить, как обстоят дела у подрядчиков/конкурентов/партнёров с финансовым положением. https://zlonov.ru/gost-tokens-manufacturers-revenue-2019/

В оригинале про программистов, но так тоже неплохо =)

Сравнение промышленных средств обнаружения вторжений, в котором каждому из представленных производителей есть чем похвастаться: DATAPK, InfoWatch ARMA Industrial Firewall, KICS for Networks, Nozomi Networks Guardian, PT ISIM. https://www.anti-malware.ru/compare/Intrusion-Detection-Systems

Короткий Дайджест КИИ 187-ФЗ с подборкой (увы, пополняемой) уголовных дел о неправомерном воздействии на КИИ https://zlonov.ru/kii187fz-2020-28/

Миллиард кибератак, приказ Минкомсвязи России №114, три года лишения свободы условно по ч.4 ст.274.1 УК РФ и многое другое в Дайджесте КИИ 187-ФЗ за 27 неделю 2020 года https://zlonov.ru/kii187fz-2020-27/

Мой любимый RSS-сервис Feedly запустил новую услугу: Feedly for Cybersecurity https://rucybersecurity.ru/t/962

Дайджест КИИ за 26 неделю уже в почтовых ящиках и на сайте https://zlonov.ru/kii187fz-2020-26/

Опубликован Приказ Минкомсвязи России №114 от 17.03.2020 «Об утверждении Порядка и ТУ установки и эксплуатации средств, предназначенных для поиска признаков КА в сетях электросвязи, используемых для организации взаимодействия оКИИ РФ» https://zlonov.ru/kii/приказ-минкомсвязи-россии-114-от-17-03-2020/

Мужчина в США был арестован из-за ошибки алгоритма распознавания лиц https://vk.com/wall-88373861_1106

Опубликован проект приказа Минкомсвязи “Об утверждении классификатора программ для электронных вычислительных машин и баз данных”, в соответствии с которым, в частности, уточняется классификация Средств обеспечения информационной безопасности. https://rucybersecurity.ru/t/prikaz-minkomsvyazi-rossii-621-ot-31-12-2015-ob-utverzhdenii-klassifikatora-programm-dlya-evm-i-bd/961/2?u=zlonov

А чем самоизоляция запомнилась вам?

Дайджест КИИ 187-ФЗ за 25 неделю буквально пронизан нежеланием субъектов КИИ массово-принудительно переходить на российское программное обеспечение https://zlonov.ru/kii187fz-2020-25/

https://rkn.gov.ru/news/rsoc/news73050.htm

Компании Facebook и Microsoft подвели итоги Deepfake Detection Challenge — конкурса для разработчиков, который направлен на создание решений для борьбы с технологиями подмены лиц на видео. https://nplus1.ru/news/2020/06/15/deepfake-detection

В Госдуму внесли законопроект о разблокировке Telegram: “…полная блокировка Telegram в России не представляется возможной; … множество российских госорганов используют Telegram официально; …указанный сервис выполняет важную социальную функцию”. https://www.bfm.ru/news/446069

У НКЦКИ хороший ресурс, но сегодня он выглядит так https://safe-surf.ru

Число киберинцидентов в NASA увеличилось на 366% после сокращения бюджета #ВКопилкуПродавцаИБ https://www.forbes.com/sites/simonchandler/2020/06/08/nasa-hit-by-366-rise-in-cybersecurity-incidents-after-budget-cuts/

Google Docs как соцмедиа сопротивления https://www.technologyreview.com/2020/06/06/1002546/google-docs-social-media-resistance/ Интересно, этот сервис уже внесён в реестр ОРИ Роскомнадзора?

Люблю, когда на вопросы дают простые короткие ответы https://zlonov.ru/fstec-license-for-own-needs/

Первый. Летний. Жаркий. Дайджест КИИ 187-ФЗ за 23 неделю. Тема выпуска - КоАП. https://zlonov.ru/kii187fz-2020-23/

bhagavatula-conpro20.pdf

Исследование CyLab (Институт безопасности и конфиденциальности Университета Карнеги-Меллона): только около трети пользователей меняют свои пароли после объявления об утечках данных и из них меняет его на более надежный тоже только треть. https://www.ieee-security.org/TC/SPW2020/ConPro/papers/bhagavatula-conpro20.pdf

Бесплатные конференции, тренинги, книги, курсы и проч. по кибербезопасности https://github.com/gerryguy311/CyberProfDevelopmentCovidResources/blob/master/README.md

Дайджест КИИ за прошедшую неделю - НПА, публикации, блоги, немного рекламы - всё, как мы любим ;) https://zlonov.ru/kii187fz-2020-22/

Можно умиляться наивности людей, а можно на ней зарабатывать: устройство стоимостью почти 30 тыс руб обещает защитить вашу семью от предполагаемой опасности 5G, используя революционную квантовую технологию #дорогаячушь https://www.bbc.com/news/technology-52810220

Сервис подписки на обновления баз данных с утечками от haveibeenpwned.com в очередной раз напоминает что даже для крупных сервисов пароли должны быть разными, их надо периодически менять, а ещё лучше - и вовсе не использовать.

Две свежие законодательные инициативы в области безопасности КИИ вызвали на этой неделе всплеск публикаций в СМИ и блогах. Подборка в очередном Дайджесте КИИ 187-ФЗ https://zlonov.ru/kii187fz-2020-21/

#пятничное в четверг - с просторов Reddit

В сегодняшнем Дайджесте КИИ 187-ФЗ компания УЦСБ упоминается в каждой второй ссылке и даже в некоторых первых =) https://zlonov.ru/kii187fz-2020-20/

Календарь онлайн-встреч RUSCADASEC Online Meetups https://rucybersecurity.ru/t/939

Модели machine-learning, обученные нормальному поведению людей, дают сбои из-за нетипичных “входных данных” во время пандемии https://www.technologyreview.com/2020/05/11/1001563/covid-pandemic-broken-ai-machine-learning-amazon-retail-fraud-humans-in-the-loop/

Обсуждение ранее представленной методики моделирования (продолжение) и, конечно, нового проекта приказа ФСТЭК России по подключению ЗО КИИ к сети связи общего пользования в свежем Дайджесте КИИ https://zlonov.ru/kii187fz-2020-19/

Рождественская песенка в стиле Фрэнка Синатры… написана искусственным интеллектом. Да, уже можно начинать бояться ;-) https://soundcloud.com/openai_audio/jukebox-265820820

Самые значимые нововведения в законодательстве в сферах информационных технологий и информационной безопасности с мая 2020 https://zlonov.ru/new-legislation-2020-05/

Набор средств защиты, достаточный по проекту приказа ФСТЭК России для подключения значимого объекта КИИ к сети связи общего пользования: МЭ уровня сети, граничный маршрутизатор, антивирус, СКЗИ, СОВ/СПВ, МЭ уровня веб-сервера (часть - опционально) https://regulation.gov.ru/projects#npa=101634

Вон оно как! “Из-за проблем с безопасностью от использования Zoom отказались SpaceX, Apple, Google, NASA, Пентагон и Сенат США. В России крупные компании пока не делали таких заявлений, хотя против использования сервиса в школах выступили власти Саратова” https://www.forbes.ru/tehnologii/398629-vse-dyry-zoom-chem-riskuyut-polzovateli-samogo-populyarnogo-servisa

Если бы не ФСТЭК России, Википедия и Алексей Лукацкий, то сегодняшний Дайджест КИИ был бы совсем скучный =) https://zlonov.ru/kii187fz-2020-17/

ФСТЭК Росии опубликовала рекомендуемую форму перечня объектов КИИ, подлежащих категорированию https://fstec.ru/tekhnicheskaya-zashchita-informatsii/obespechenie-bezopasnosti-kriticheskoj-informatsionnoj-infrastruktury/290-inye/2076-informatsionnoe-soobshchenie-fstek-rossii-ot-17-aprelya-2020-g-n-240-84-612

Коллеги подготовили подборку: возможности вендоров по предоставлению лицензий для удаленного доступа https://www.ussc.ru/solutions/informatsionnaya-bezopasnost/vozmozhnosti-vendorov-po-predostavleniyu-litsenziy-dlya-udalennogo-dostupa/

Публикации в СМИ, пресс-релизы и подборка мнений о новом проекте методики моделирования угроз в Дайджесте КИИ 187-ФЗ https://zlonov.ru/kii187fz-2020-16/

Методика моделирования угроз от ФСТЭК России - центральная тема недели и очередного Дайджеста КИИ https://zlonov.ru/kii187fz-2020-15/

ФСТЭК опубликовала долгожданное: “Методика моделирования угроз безопасности информации” https://fstec.ru/normotvorcheskaya/informatsionnye-i-analiticheskie-materialy/2071-informatsionnoe-soobshchenie-fstek-rossii-ot-9-aprelya-2020-g-n-240-22-1534 Сам документ: https://fstec.ru/component/attachments/download/2727

КИИ и облачные сервисы? Вот вариант радикального решения проблемы: Яндекс.Облако запрещает размещать у себя значимые объекты КИИ https://yandex.ru/legal/cloud_aup

Пока в стране продолжаются #карантикулы, подводим итоги первой нерабочей рабочей недели в Дайджесте КИИ https://zen.yandex.ru/media/id/5b7d79175d36b000af9e59f9/daidjest-kii-187fz-202014-5e87054c5f081e20a965ef63

Самые значимые нововведения в законодательстве в сферах информационных технологий и информационной безопасности с апреля 2020 https://zen.yandex.ru/media/id/5b7d79175d36b000af9e59f9/zakonodatelnye-novovvedeniia-v-it-i-ib-s-aprelia-2020-goda-5e849b9a66408b1f8383f554

НКЦКИ про идентификацию, аутентификацию и авторизацию на примере козлят и Александра Петрова https://safe-surf.ru/users-of/article/643444/

Сотрудник на удаленной работе самостоятельно решает, в какое время трудиться (ч.1 ст.312.4 ТК РФ), но у работодателя сохраняется обязанность по учету рабочего времени и способ учета работодатель выбирает самостоятельно: например, использование спец. ПО http://www.garant.ru/article/1334353/

Волею судеб близко познакомился с некоторыми особенностями оказания аутсорсинговых бухгалтерских услуг одним из сервисов. https://zlonov.ru/your-selfies-are-in-your-hands/

Бесплатные решения и сервисы информационной безопасности для помощи компаниям, экстренно переходящим на удалённую работу (по материалам блога Сергея Борисова про ИБ) https://zen.yandex.ru/media/id/5b7d79175d36b000af9e59f9/besplatnye-sredstva-kiberbezopasnosti-na-vremia-epidemii-5e7e090fb0d2c37f5d21b1dd

Заканчивается 13 неделя этого непростого года. В Дайджесте КИИ рекомендации регуляторов (по дистанционной работе), публикации СМИ, пресс-релизы и посты из блогов и соцсервисов. https://zen.yandex.ru/media/id/5b7d79175d36b000af9e59f9/daidjest-kii-187fz-202013-5e7dd55d16fa501284248464

“Россияне в условиях распространения коронавируса будут обеспечены бесплатным доступом к различным цифровым сервисам” Информация о доступных сервисах с 23 марта собрана на едином интернет-ресурсе: https://www.xn--b1ag9a.xn–80asehdb/catalog

Дайджест КИИ за 12 неделю 2020 года: публикации в СМИ, блогах и соцсетях и материалы конференции ИБ АСУ ТП КВО 2020 по теме КИИ https://zen.yandex.ru/media/id/5b7d79175d36b000af9e59f9/daidjest-kii-187fz-202012-5e748b8b375fb21d41706dd0

Злободневное

Ещё меньше шансов, что получится массово удалённо поработать? = ) https://ria.ru/20200317/1568703368.html

Самые значимые нововведения в законодательстве в сферах информационных технологий и информационной безопасности с марта 2020. https://zen.yandex.ru/media/id/5b7d79175d36b000af9e59f9/zakonodatelnye-novovvedeniia-v-it-i-ib-s-marta-2020-goda-5e6b9d14e843ec4f8c3adb3f

Дайджест КИИ за 11 (и заодно 10) неделю 2020 года: Требования к уровням доверия, новые центры ГосСОПКА, доклады с ИБ АСУ ТП КВО и проч. https://zen.yandex.ru/media/id/5b7d79175d36b000af9e59f9/daidjest-kii-187fz-202011-5e6b2f2e1dfe89122278cc19

Спасибо всем принявшим участие! Сбор мнений завершён и работа над курсом в самом разгаре.

http://bit.ly/2TKlzaY

Новые сертификаты в Государственном реестре сертифицированных СрЗИ за период октябрь-декабрь 2019 года http://bit.ly/2U2Ugrp

… и диоды для гарантированного однонаправленного мониторинга так внедрять проще =)

5 лет и 1 день назад эти 4 буквы круто изменили мою жизнь, о чём я за прошедшее время уже 1 828 раз не пожалел =)

Дайджест КИИ 187-ФЗ за 9 неделю: ссылки на свежие изменения в проектах НПА и их обсуждение в блогах. https://zen.yandex.ru/media/id/5b7d79175d36b000af9e59f9/daidjest-kii-187fz-202009-5e58e6ff60db23433940e781

Через месяц и один день стартует Код ИБ Профи в Москве: http://bit.ly/2utribj Если планируете участвовать, не тяните - скидку 10% дают до 29.02.2020 #codeib

Сегодня в Дайджесте КИИ 187-ФЗ за 8 неделю 2020 года много публикаций про отечественное оборудование для критической информационной инфраструктуры.

https://zen.yandex.ru/media/id/5b7d79175d36b000af9e59f9/daidjest-kii-187fz-202008-5e4fa1d4386b1c555647f5c5

Из отчёта Центробанка:

• В 2019 г. объем всех операций, совершенных без согласия клиентов (физических и юридических лиц) с использованием электронных средств платежа, составил 6426,5 млн рублей. Количество таких операций – 576 566 единиц.

• Средняя сумма одной операции без согласия клиента по счетам физических лиц в 2019 г. составила 10 тыс. руб., юридических лиц – 152 тыс. рублей.

• 69% всех операций без согласия клиентов было совершено в результате побуждения клиентов к самостоятельному проведению операции путем обмана или злоупотребления доверием (методами так называемой социальной инженерии).

• Банки возместили клиентам 935 млн руб. (15%, или каждый 7-й похищенный рубль). Текущий уровень возмещения объясняется высокой долей социальной инженерии среди операций без согласия клиентов, которые в результате обмана или злоупотребления доверием нарушают условия договора с кредитными организациями, предусматривающие необходимость сохранения конфиденциальности платежной информации.

В связи с этим Банк России намерен рассмотреть возможность изменения процедуры возврата (компенсации) похищенных средств клиентов.

https://cbr.ru/Content/Document/File/103609/Review_of_transactions_2019.pdf

Дайджест КИИ за 7 неделю 2020 года https://zen.yandex.ru/media/id/5b7d79175d36b000af9e59f9/daidjest-kii-187fz-202007-5e464b39f2b93d016c110f96

Подборка методических рекомендаций по КИИ https://zlonov.ru/kii/guidelines/

Примеры успешного обмана машины с автопилотом с помощью проектирования изображений людей, дорожных знаков и разметки https://www.youtube.com/watch?v=1cSw4fXYqWI

Текст самого исследования: https://www.nassiben.com/phantoms

Угрозы электронной почты и правила безопасности от НКЦКИ https://safe-surf.ru/users-of/media/641622/

Коротко про нюансы законодательства о персональных данных в России =)

Выступление Николая Домуховского (УЦСБ) с рассказом о практическом опыте создания систем мониторинга информационной безопасности промышленных предприятий: https://www.youtube.com/watch?v=FFW33FzdV-I&t=14

Презентация: https://ics.kaspersky.com/media/ics-conference-2019/07-Nikolay-Domukhovsky-Sistema-monitoringa-IB-promyshlennogo-predpriyatiya.-Opyt-sozdaniya.pdf

Одно из планируемых нововведений в 239-й приказ ФСТЭК России — запрет зарубежной (и «частично зарубежной») техподдержки. https://regulation.gov.ru/projects#npa=99311

Мама, я робот! (с)Физтехи шутят

Мне захотелось проверить сайты компаний из рейтинга CNews Security 2019 https://zlonov.ru/security-leaders-and-their-ssl-web-servers/

Прокуратурой Елецкого района Липецкой области в адрес руководства медицинского учреждения внесено представление в целях устранения выявленных нарушений законодательства о критической информационной инфраструктуре http://www.lipprok.ru/press/news/?id=55889

Искусство заголовка:

• Россиянин за год заработал миллионы на краже паролей и избежал тюрьмы
• Россиянин за год заработал миллионы долларов на краже СМС как второго фактора аутентификации и избежал тюрьмы.
• Россиянин за год заработал десятки миллионов долларов на краже биометрии и избежал тюрьмы.
• Россиянин за год не заработал ничего на краже средств строгой аутентификации и попал в тюрьму.

https://www.cnews.ru/news/top/2020-01-24_rossiyanin_za_god_zarabotal

Как защитить себя от технологий распознавания лиц https://vk.com/@zlonovru-kak-zaschitit-sebya-ot-tehnologii-raspoznavaniya-lic

Проморолик компании, делающей очки, отражающие инфракрасный свет и мешающие системам распознавания лиц. https://vk.com/zlonovru?w=wall-88373861_1036

Администратор торговой системы оптового рынка электроэнергии прекращает техническую поддержку носителей eToken в своих программных продуктах (и да, там опять ЗАО Аладдин Р.Д. названо производителем eToken) https://www.atsenergo.ru/Новости/prekrashchenie-podderzhki-nositeley-klyuchey-etoken-s-01022020g

Совпадение? =)

Готовится пилотный проект по взаимодействию федеральных государственных информационных систем между собой, с гражданами и организациями с использованием российских криптографических алгоритмов и средств шифрования https://regulation.gov.ru/projects#npa=98942

ФСТЭК: прекращено действие сертификатов на Microsoft Windows 7 и Server 2008 R2, пользователям данных сертифицированных версий рекомендуется до 1 июня 2020 перейти на другие поддерживаемые операционные системы, а до перехода принять дополнительные меры.

https://fstec.ru/normotvorcheskaya/informatsionnye-i-analiticheskie-materialy/2016-informatsionnoe-soobshchenie-fstek-rossii-ot-20-yanvarya-2020-g-n-240-24-250

Дайджест RUCSADASEC #29 https://mailchi.mp/16d039846bfa/ruscadasec-029 #ИБАСУТП

Хит-парад паролей (анализ ~5 млрд паролей из утечек) http://bit.ly/373rsV1

Бесплатный видеокурс от Varonis: 7 Hidden Office 365 Settings You Can Unlock with PowerShell https://info.varonis.com/thank-you/course/office-365-powershell

На сайте НКЦКИ обновлён календарь мероприятий: «Основной акцент сделан на крупных конференциях в области информационной безопасности, организаторами которых являются российские компании» https://safe-surf.ru/specialists/conference/