Взлом из сети выставки по безопасности.

   Забавный случай произошел на выставке Infosecurity 2011. Мы с коллегой слушали одну из презентаций. В какой то момент выступление был не очень интересно и коллега решил посмотреть, что происходит в окружающем эфире. Включив на своем Ipad обнаружение WiFi сетей, он обнаружил большое количество устройств. Среди найденных устройств высветился некая точка доступа D-Link. Проведя сканирование портов обнаружили открытый порт 80. Это оказалась консоль управления. Пробуем классическое admin/admin, и вот он интерфейс управления.  Покопавшись в настройках и не найдя ничего интересного, поиграли со светодиодами, отключили несколько устройств. Потом перезагрузили точку доступа  и отключились. Искать где же расположено это устройство не очень хотелось и было некогда.

  

Очень забавно выглядело использование незащищенной точки доступа и логина/пароля по умолчанию на выставке по безопасности. При этом, существует опасность того, что такой точкой доступа воспользуются злоумышленники. И будет очень смешно, когда выяснится, что взлом произошел из сети выставки по инфобезопасности. С другой стороны в парке Сокольники кругом бесплатный WiFi, но тем не менее. 

Когда люди научатся менять пароли по умолчанию сразу после включения устройства?

Infosecurity 2011 (день второй)

Вчера весь день посвятил Zecurion DLP Forum'11. Мероприятие проходило в зале №4 расположенном отдельно от основного зала выставки. На входе стояли бдительные девушки и без наличия фамилии в списке не пропускали. Сначала. Потом все таки пускали. У меня проблем не возникло, т.к. я отправил запрос на регистрацию днем раньше и получил подтверждение. Однако мой коллега этого сделать не смог и его сначала не пускали. Мотивируя это тем, что якобы у них на 150 мест 300 желающих. Но когда к началу форума зал был заполнен наполовину, все таки решили пустить. 

Всем раздали тряпочные сумки с материалами. Среди материалов был блокнот, ручка, программа форума и рекламный буклет с продукцией Zecurion DLP. Да и еще в каждой сумке лежала книга. У всех разная. Мне досталась книга Паоло Коэльо "Алхимик". Коллеге достался Жан Жак Руссо. Забавно. Программа форума состояла из трех сессий. Плюс в конце обещали чемпионат по картингу. Но я на него не пошел. Были дела дома. 

Форум начался не очень организованно. Т.к. большинство докладчиков опоздали. Но тем не менее начали вовремя. В первой сессии под названием "DLP-сегодня: задачи и возможности" выступал А.Раевский с докладом по теме "Стратегический подход к защите от утечек: какие бизнес-задачи решают современные DLP-системы". 

Потом выступил И.Шабанов из Anti-malware.ru. Но его доклад как то не впечатлил. Раевский был интереснее. 

Затем очень не плохо выступил М.Кардер из Cisco. И еще выступил Е.Климов из RISSPA. 

Во второй части под названием "Выбор DLP" выступали П.Савич из Websense с интересным докладом о потребностях клиентов и возможностях систем DLP. В частности, он пытался объяснить, что зачастую клиенты требуют от системы DLP возможностей, ктороые в жизни не очень нужны. Например, морфологический анализ. По его словам это не самое главное свойство DLP. И если его нет, то вполне можно обойтись звездочкой - договор*. 

Р.Подкопаев (Zecurion) с докладом "А что вам нужно от DLP?". Затем выступил О.Головенко из Symantec с обзором технологий DLP. 

Затем был довольно скучный (для меня) доклад А.Рогожина из Trustwave о DLP в контексте PCI DSS.

В третьей части под названием "Практика защиты от утечек: от внедрения до расследований", довольно интересно выступил А.Новиков из McAfee. Он рассказывал о сложностях при внедрении DLP. 

Затем было выступление представителя Group-IB. Он много рассказал о проведении расследований. Но не совсем понятно было при чем здесь DLP. И когда мы спросили использовались ли системы DLP и их логи при расследовании. Был получен ответ  "Нет". 

Очень интересно выступал К.Суворов из адвокатской конторы "Корельский, Ищук, Астафьев и партнеры" о том, насколько правомерно использование DLP в компании. И что необходимо для обеспечения правомерности. Т.к. по конституции все имеют право на тайну частной переписки. И за нарушение этого права грозит уголовная ответственность. Но и работодатель имеет право контролировать исполнение обязательств. Но чтобы не нарушать права работника нужно получить его согласие. Тогда работодатель прав не нарушает. Было много вопросов. Например, даже если нет DLP, то есть скажем антиспам фильтр, который просматривает почту. Формально нарушаются права на тайну переписки. Т.е. нужно согласие работника. Для себя определил, что надо наравне с согласием на обработку персональных данных, брать еще согласие на доступ к переписке. Плюс вводить режим коммерческой тайны и запрещение использования служебных средств в частных целях.

Напоследок было выступление К.Керценбаума. В своем докладе Керценбаум пытался довести до нас, что внедрение DLP это одно из последних средств.  А на начальном этапе многие вопросы можно закрыть простыми средствами. Внедрением антивируса, межсетевого экрана, систем IDS/IPS и т.д.

Вкратце все. В целом форум понравился. Почерпнул некоторую новую для себя информацию.

Безопасность и бюджет

Очень часто возникает вопрос бюджета на внедрение средств ИБ. Это бюджет какого подразделения? Многие скажут конечно же подразделения ИБ. Возможно. Но ведь средства обеспечения ИБ защищают всю компанию. Хотя часть средств защиты может относится к конкретному подразделению, или к ПО используемому в конкретном подразделении. Так что получается, что бюджет на средства обеспечения ИБ должен быть во всех подразделениях (в том или ином размере). И мне кажется естественным закладывать деньги на средства ИБ при закупке/внедрении нового ПО, а не после закупки/внедрения.

А то получается история.

Я сначала купил "Жигули", а потом говорю: 

- А безопасно ли на них ездить? 

- Нет, не безопасно. Нужна подушка безопасности, АБС, преднатяжители.

- Ну так сделайте безопасно.

- Но тогда нужно для начала все это купить и установить, при этом из за подушки придется залезать через заднюю дверь. Плюс время на установку 1 месяц.

- Нет, это меня не устраивает. Мне нужно здесь и сейчас. Плюс входить через заднюю дверь я не хочу/могу.

Значит садись и езжай так. Только в случае аварии не пеняй на безопасника. Он предупреждал. А еще лучше, надо было при покупке проконсультироваться.

А ведь очень часто в компаниях при покупке некоего ПО так и происходит. Сначала что то купят, а потом требуют с безопасника сделать работу безопасной. А на его замечания, что это будет стоить денег и неудобств (в связи с тем, что изначально вопросы безопасности не рассматривались), следует ответ: "Сделай здесь и сейчас и бесплатно и удобно".

Может быть, все таки стоит работать вместе и продумывать вопросы безопасности заранее? 

Круговая защита данных

Сегодня сходил на семинар от компании SoftLine под названием "Круговая защита данных". Как оказалось название не совсем соответствовало наполнению. Были следующие доклады:

- Построение эффективного DLP-решения на базе DeviceLock 7 в корпоративной среде

- Главные возможности нового семейства продуктов ABR 11

- Обзор продукта SANsymphony-V и его возможностей. Оценка экономической целесообразности приобретения ПО

Т.к. я нахожусь в поиске DLP решения, мне было интересно послушать про DeviceLock DLP. В ходе доклада рассказывалось как все замечательно построено и работает. Правда в связи с тем, что основная масса слушателей были сисдамины, доклад был больше ориентирован на них. Система является Endpoint решением. Т.е. на клиентские машины ставится агент, который и производит все действия. Система фильтров пока не очень развита. Есть поиск по ключевым словам, по шаблонам (с использованием RegExp), сложные шаблоны. Перехватываются многие каналы (http/s, pop/smtp, IM, print). Но почему то не берется Skype. Хотя у других перехват есть. Докладчик мотивировал отсутствие тем, что протокол Skype закрыт. Ну да ладно.

Очень интересно выглядела сессия вопросов после доклада. Докладчик (Сергей Вахонин) достаточно агрессивно защищал свой продукт и на вопросы иногда отвечал довольно резко. Скользкие вопросы по нагрузке на компьютер и сеть плавно обходились или давались размытые ответы. Из этого можно сделать вывод, что нагрузка на клиентские машины есть. Также с централизованным сбором логов и теневых копий. Для снижения нагрузки ставьте больше серверов в разных сегментах и соответственно платите больше денег за лицензии. В целом у меня впечатление сырого продукта. Старый DeviceLock для работы со съемными носителями мне нравится. Система отлажена и работает. А вот новые навороты, мне кажется еще сыроваты. 

Далее рассказывали про новую версию Acronis backup and restore. Выглядело достаточно интересно. 

И напоследок рассказывали про решение компании DataCore. Решение позволяет виртуализировать хранилище данных. При этом можно использовать самое разное оборудование и каналы связи. В целом понравилось, надо будет почитать дополнительно.

В общем было нормально. Не могу сказать, что в полном восторге, но кое что полезное почерпнул.