NIST открыл для обсуждения вторую версию платформы безопасности

Американский институт NIST открыл для публичного обсуждения вторую версию своей национальной платформы безопасности, которая называется Cybersecurity Framework. Первая версия данной платформы была опубликована в 2014 году после принятия закона об усилении кибербезопасности (Cybersecurity Enhancement Act). Основными нововведениями во второй версии является контроль рисков в цепочках поставок продуктов (Supply Chain Risk Management - SCRM). Вполне возможно, что на усиление контроля за поставщиками повлияла история с поставкой антивирусных продуктов «Лаборатории Касперского» для защиты государственных информационных систем США. Теперь за подобными рисками будут тщательно следить. При этом требования безопасности, сформулированные в данном документе, обязательны к исполнению федеральными агентствами - это условие содержится в майском указе администрации Трампа под названием Strengthening the Cybersecurity of Federal Networks and Critical Infrastructure. При этом для владельцев информационных систем критической архитектуры требуется предоставить навигационную карту по переходу на новую версию национальной платформы безопасности.

Первоисточник: https://www.darkreading.com/cloud/nist-releases-new-cybersecurity-framework-draft/d/d-id/1330579?_mc=rss_x_drr_edt_aud_dr_x_x-rss-simple

Правительство Мексики собирает данные Mastercard.

ESET предупреждает о новой волне интернет-мошенничества. Злоумышленники рассылают фишинговые письма от имени платежной системы Mastercard и используют для кражи данных пользователей взломанный сайт правительства Мексики.

Сообщение спамеров начинается с неперсонализированного приветствия. В тексте письма говорится о блокировке учетной записи в платежной системе. Чтобы восстановить доступ к сервисам Mastercard, пользователю предлагают перейти по ссылке и обновить информацию. 

Если жертву не смутит отсутствие личного обращения и адрес отправителя, не имеющий отношения к Mastercard, он перейдет на поддельный сайт. Там, согласно «законам жанра», его ожидает анкета для ввода персональных и платежных данных, включая номер, срок действия и CVV банковской карты.

Заполнив анкету и нажав кнопку «Ввод», пользователь отправит все данные злоумышленникам. Информация может быть использована для списания средств с карты.

Спам-атака могла бы показаться рядовой, если не одна особенность – фишинговая страница размещена на домене .gob.mx, который принадлежит правительству Мексики. Вероятно, злоумышленники получили доступ к учетной записи администратора домена или использовали уязвимость сервера. Специалисты ESET сообщили об инциденте в Центр реагирования на компьютерные угрозы Мексики (СERT-МХ).

ESET рекомендует игнорировать неперсонализированные сообщения, не переходить по ссылкам из них, а также защитить компьютер комплексным антивирусным ПО с функциями «Антифишинг» и «Антиспам».

Рекомендации MIT

Группа экспертов из лаборатории искусственного интеллекта MIT под руководством Джоэля Бреннона, бывшего генерального инспектора АНБ, опубликовала документ, в котором содержатся рекомендации для администрации президента Дональда Трампа по организации защиты критической инфраструктуры. В рекомендациях указываются восемь основных проблемы, над которыми нужно работать: улучшать координацию защиты критических объектов; измерять киберриски и безопасность инфраструктуры; пересмотреть нормативные документы; создать центры реагирования на атаки у операторов критической инфраструктуры; снизить сложность и уязвимость компонент; решить фундаментальные архитектурные проблемы; сформулировать национальную стратегию защиты; стимулировать и улучшать образование ИБ-профессионалов. Причем под архитектурными проблемами эксперты подразумевают следующее: Интернет – это унаследованная сеть, в которой невозможно обеспечить безопасность, следовательно, от нее необходимо отключить все объекты критической инфраструктуры. Складывается ощущение, что в лаборатории искусственного интеллекта вдруг обратили внимание на российский опыт.

Первоисточник: http://www.connect-wit.ru/obzor-zarubezhnoj-pressy-po-tematike-informatsionnoj-bezopasnosti-za-mart-vesennie-obostrenie.html

Перезагрузка: Таллиннское руководство 2.0

В начале февраля центр повышения квалификации киберзащиты НАТО (CCDCOE) опубликовал новую версию Таллиннского руководства, которое определяет рекомендации по международному праву в части так называемых киберопераций. Причем изменилось не только содержание, но и название – в первой версии речь шла исключительно о кибервойне, а сейчас рекомендации расширены, в частности, на операции спецслужб в киберпространстве (кибероперации). Как и предыдущая версия, данное руководство является рекомендательным и пока не имеет юридической силы, хотя принципы, заложенные в первой версии, оказались достаточно популярны.

Творческим вдохновителем Таллиннского руководства является Майкл Шмитт, эксперт в области права вооруженных конфликтов, профессор международного публичного права юридического факультета «Эксетера», а также старший научный сотрудник Военно-морского колледжа Соединенных Штатов. Он вместе с другими 19 экспертами и разработал данное руководство. Оно, в частности, рекомендует не атаковать критическую инфраструктуру иностранного государства. И если компания была атакована в рамках какой-то кибероперации, то отвечать на агрессию компания не имеет права – это может делать только само государство. Собственно, аналогичный принцип заложен и в российской системе защиты критической информационной инфраструктуры ГосСОПКА, где предполагается, что именно государство реагирует на атаку против защищаемой системой компании.

Первоисточник: http://www.connect-wit.ru/obzor-zarubezhnoj-pressy-po-tematike-informatsionnaya-bezopansost-za-fevral-informatsionnaya-bezopasnost-trebuet-kompetentnosti.html

Трамп в безопасности

Выбор Дональда Трампа на пост Президента США вызвал множество обсуждений в сообществе информационной безопасности, что связано с публикацией переписки демократической партии. Трамп поблагодарил WikiLeaks за публикацию этой переписки и усомнился в причастности к данному инциденту России.

При этом эксперты выяснили, что Дональд Трамп использует смартфон на базе Android, что может представлять угрозу для национальной безопасности. Эта платформа якобы является незащищенной и может быть взломана. Впрочем, эти данные основаны на предположении, что Трамп сам публикует свои посты в социальных сетях.

В ноябре Дональд Трамп объявил, что планирует  выбрать в качестве советника по национальной безопасности Майкла Флинна, который ранее был главой разведывательного управления министерства обороны США и озвучивал концепцию, что США должны не отсиживаться в углу киберпространства в оборонительной позиции, а вести активную наступательную деятельность (читай – атаковать потенциальных киберагрессоров).

Трамп в своем видеообращении, где он обнародовал планы на первые 100 дней, немалую часть уделил именно кибербезопасности как одной из главных внешних угроз. В частности, он собирается обучить государственных чиновников правилам кибербезопасности, чтобы те соблюдали их беспрекословно, а не как Хилари Клинтон. Кроме того, он дал поручение министерству обороны и главному штабу разработать методы защиты критической инфраструктуры США от киберугроз и других типов атак. Так что первоочередные меры пока направлены скорее на защиту, чем на нападение.

Первоисточник: http://www.connect-wit.ru/obzor-zarubezhnoj-pressy-po-tematike-informatsionnoj-bezopasnosti-za-noyabr-bezopasnost-v-ssha.html

Стратегическое планирование безопасности

Идея, заложенная в рекомендациях G7 по стратегическому планированию защиты от киберугроз, пошла в народ, и теперь страны, даже не относящиеся к «большой семерке» просто будут вынуждены разработать свои стратегии. В частности, в октябре на сингапурской неделе киберсотрудничества SICW о разработке такой стратегии для Сингапура объявил премьер-министр этой страны Ли Сянь Лун.

Стратегия предполагает, что правительство Сингапура обеспечивает создание отказоустойчивой критической информационной инфраструктуры (CII) и принимает меры по ее защите от киберугроз. Для этого правительство рассчитывает запустить процесс системного управления киберрисками, создать планы по реагированию на нападения через киберпространство и по восстановлению повреждений инфраструктуры, а также обеспечить развитие инфраструктуры на принципах «встроенной безопасности» за счет контроля всей цепочки поставок оборудования и программного обеспечения. В стратегии предусмотрено четыре базовых элемента: отказоустойчивая инфраструктура, безопасное киберпространство, экосистема кибербезопасности и международное партнерство.

Уже в октябре Microsoft объявила о создании на территории Сингапура своего Transparency and Cybersecurity Center, который формируется в рамках стратегии компании по взаимодействию с правительствами GSP. Такие центры у компании есть в Редмонде, Вашингтоне и Брюсселе. В России взаимодействие по GSP организовано через НТЦ «Атлас» в рамках договора с компанией. Центр в Сингапуре будет обслуживать еще десять азиатских стран. Всего в программе GSP участвует 40 государств.

О пересмотре своих стратегий в области кибербезопасности задумались и другие страны. В частности, в Канаде, входящей в «большую семерку», пошли разговоры о пересмотре концепции информационной безопасности, которая не обновлялась с 2010 г. И если министр общественной безопасности Ральф Гудэйл говорит о новых киберрисках для финансовой системы, то министр иностранных дел Стефан Дион больше боится киберугроз, исходящих от России, Сирии и Северной Кореи. Так или иначе, но идея пересмотра стратегии кибербезопасности овладела умами канадских политиков.

Первоисточник: http://www.connect-wit.ru/obzor-zarubezhnyh-smi-po-tematike-informatsionnoj-bezopasnosti-za-oktyabr-kiberprostranstvo-pod-pritselom.html

Выбор за хакерами

Компьютерный департамент ФБР опубликовал предупреждение, что сайты электронного голосования в двух штатах – Иллинойс и Аризона – были взломаны неизвестными. В результате персональные данные граждан США, которые регистрировались на сайте, возможно, были украдены. ФБР не исключает, что системы электронного голосования в других штатах также могут быть подвержены кибератакам.

Подробностей о взломе голосования в Аризоне не публикуется, но про Иллинойс представлено достаточно детальная информация. Дело в том, что сайт голосования данного штата в июле не работал в течение десяти дней – не заметить этого было сложно. В опубликованном сообщении указывается, что хакеры использовали коммерческий сканер веб-уязвимостей для платформы Acunetix с широкими возможностями по поиску SQL-инъекций. Под такое определение подходит, в частности, российская разработка MaxPatrol компании Positive Tecnologies, которая как раз и отличается уникальным механизмом поиска неизвестных уязвимостей типа SQL-инъекции. Возможно, именно потому и возник в этой истории российской след, хотя купить такой сканер можно и за пределами России – продукт достаточно популярен. Для доступа к данным было использовано два продукта с открытыми кодами: SqlMap – для выкачивания данных из уязвимой базы и DirBuster – для поиска скрытых файлов и каталогов. С помощью этих инструментов хакерам удалось скачать персональные данные 200 тыс. зарегистрированных на сайте пользователей. Отмечено также, что атака была выполнена с IP-адресов двух операторов виртуального хостинга – из Болгарии и Нидерландов.

Если бы США присоединилась к Евроконвенции по персональным данным, и у разработчиков сайта были бы требования по защите ПДн, аналогичные требованиям 152-ФЗ, то им пришлось бы разделить базу данных CMS-системы веб-сервера и базу персональных данных голосующих, что исключило бы возможность для нападающих получить доступ к критически важным данным с помощью указанного набора хакерских инструментов.

Проведенная атака заставила разработчиков систем электронного голосования задуматься о том, как обеспечить защиту систем голосования, сохранив доверие к результатам. В частности, журнал Dark Reading выделил шесть компонентов систем для голосования, которые желательно улучшить: сами машины-считыватели бланков; защита регистрационных баз; защита критической для голосования инфраструктуры; защита серверов электронной почты; обеспечение надежного функционирования системы голосования; защита от внутреннего мошенничества. Вполне возможно, что часть этих элементов будет модернизирована уже в ходе голосований в рамках текущей президентской кампании.

В других странах также начинается переосмысление требований к безопасности систем для голосования. В частности, в эстонском издании Estonian Cyber Security News появилась статья, где предлагается пересмотреть эстонскую систему голосования, в частности, добавить в нее дополнительную идентификацию, например по Mobile-ID. Кроме того, рекомендуется провести качественный аудит кода системы голосования, чтобы найти максимально возможное количество уязвимостей. При этом эстонцы по-прежнему предпочитают иметь систему для голосования с открытыми исходными кодами, чтобы любой желающий мог проверить качество программирования и быть уверен, что программа не делает ничего лишнего. Именно в этом и заключается возможность повысить доверие к электронной системе для голосования. Забавно, что в анонимном комментарии к статье указывается, что Финляндия заморозила развитие своей системы электронного голосования.

Первоисточник: http://www.connect-wit.ru/dajdzhest-inostrannoj-pressy-po-informatsionnoj-bezopasnosti-za-avgust.html

"Техносерв" сертифицировал своё облако по требованиям приказов 17 и 21 ФСТЭК.

Компания «Техносерв», крупнейший российский системный интегратор, объявляет о получении аттестата соответствия выделенного сегмента облачной платформы "Техносерв Cloud" требованиям защиты информации, установленным ФСТЭК России. Данный аттестат подтверждает безопасность использования сервиса «Виртуальный дата-центр под 152-ФЗ» "Техносерв Cloud" для размещения информационных систем государственных и коммерческих организаций, предъявляющих жесткие требования в части защиты информации.

Изолированный сегмент Техносерв Cloud реализован на основе продуктов компании VMware. На базе данного сегмента «Техносерв» предоставляет IaaS-услугу ИТ-инфраструктуры как сервиса (виртуального дата-центра), ориентированную на размещение следующих информационных систем:

· государственных информационных систем (ГИС) до 1-го класса защищенности включительно;
· информационных систем персональных данных (ИСПДн) с уровнем защищенности персональных данных до 1-го уровня защищенности включительно.

Документ, полученный по результатам аттестационных испытаний, подтверждает, что система обеспечения информационной безопасности изолированного сегмента "Техносерв Cloud" выполняет требования следующих документов: 

· Приказ ФСТЭК России от 11 февраля 2013 г. №17 «Об утверждении требований о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах»; 
· Приказ ФСТЭК России от 18 февраля 2013 г № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных».

Сервис «Виртуального дата-центра под 152-ФЗ» позволяет оптимизировать финансовые и временные затраты организации, сократив издержки на создание и обслуживание своей ИТ-инфраструктуры, построение и поддержку внутренней системы защиты информации.

Аттестация информационной системы компании включает в себя как аттестацию самой информационной системы, так и платформы (ИТ-инфраструктуры) для ее размещения. При этом процедура аттестации представляет собой сложный, длительный и очень ресурсоемкий процесс. Эксперты «Техносерв» обеспечивают комплексное техническое сопровождение заказчика для аттестации непосредственно клиентских информационных систем, размещаемых в сегменте "Техносерв Cloud", включая консалтинг и разработку комплекта организационно-распорядительных документов по информационной безопасности. Наличие аттестата на сегмент Техносерв Cloud исключает этап аттестации ИТ-инфраструктуры заказчика, тем самым до 50% снижает объем требуемых временных трудозатрат, значительно снижает размер инвестиций и существенно облегчает процесс  аттестации информационных систем. 

«Далеко не все провайдеры облачных сервисов предусматривают как аттестацию платформы виртуализации, систем хранения данных, гипервизоров, систем управления, так и ш сервисов безопасности, соответствующих требованиям госрегуляторов, — отметил Никита Дергилёв, директор департамента облачных решений Техносерв Cloud. — Наличие у Техносерв Cloud аттестата на соответствие требованиям защиты информации означает, что российские заказчики, включая тех, кто специализируется на обработке персональных данных, теперь смогут воспользоваться преимуществами виртуального дата-центра нашей облачной платформы. Это заказчики, являющиеся операторами государственных информационных систем, систем персональных данных с высоким уровнем защищенности, например, медицинские и страховые компании, а также все организации, для которых важно наличие сертифицированных средств защиты информации и возможность аттестации их систем в облаке».

Напомним, что "Техносерв Cloud" (https://ts-cloud.ru/)  – это собственная облачная платформа компании «Техносерв». Сегодня заказчикам Техносерв Cloud доступны восемь услуг: виртуальный выделенный сервер, виртуальный дата-центр в защищенном и закрытом сегментах под ФЗ-152, корпоративная почта, облачный сервис деск и ITSM, облачное хранилище, облачная база данных (Oracle, Microsoft SQL, PostgreSQL или MySQL) и резервное копирование. Все услуги предоставляются пользователю по его запросу и оплачиваются по системе подписки. Заказчики платят только за реально потребленные ресурсы и сервисы, и только за тот период, в который они были использованы. Для пользователей всех облачных сервисов организована оперативная техническая поддержка в режиме 24x7 по телефону и электронной почте.