анализ ИБ от Силверана [Архив]

Просмотр полной версии : анализ ИБ от Силверана

silveran

25.01.2007, 20:51

Приветствую Вас уважаемые коллеги.
Поздравляю Вас от лица группы “античат” и себя лично, с столь быстрорастущими темпами развития. С последней нашей встречи Вы, так сказать, выросли и расширились. Вы поразили меня с какой скоростью Вы родились и выросли. Я искренне рад за Вас.
Теперь оставил дифирамбы и поговорил детальнее) .
Для начала высоко оценил работу над Вашим сайтом. Не рискнул проверять степень его безопасности, но заметил, что работа над улучшением ваших ресурсов ведётся постоянно и плодотворно- это радует, но изучив детально выложенную Вами информацию, позволю себе небольшой анализ как вас так и обстановки ИБ в целом.
Для начала прочитал Ваши общие положения про ИБ. И то, иронию вызвало, к примеру заявление что хакеры это обычно 14-23 летние подростки, и получается что ЦЕРТ ведёт борьбу с их деятельностью.  Господа времена Кевина Митника прошли, когда всё было направленно на создания мнения, что хакер- это либо подросток, либо волосатый с огромным пивным животом и мятыми брюками мужик, который только и делает что ворует или ломает. Неужели школьник, скачавший видео ролик с ачата и сломавший форум стоматологического сайта, это хакер (скрипт киди)!? Нет. Хакер- это обычно высокоинтеллектуальный человек с особым складом ума, умеющий находить обходные пути в любой ситуации, и возраст не имеет здесь значения. К примеру в меня часто (тыкали пальцем и говорили- хакер), но нет ни одной компании, которая имеет ко мне претензии. Так что было бы правильнее называть ту часть продвинутых компьютерщиков, на борьбу с которыми Вы вышли, не хакерам,и а скажем взломщиками (в мире профессионалов их называют нюкерами или киберпанками, промышленными шпионами). Хакер, это не синоним преступника. Понимаю, написать хакер-зло, это проще, но есть понятие профессиональной этики.
Ваша оценка уровня ИБ в целом Может и верна но не отражает реальной картины в целом. Да, 30-40% ресурсов, что более подвержено атакам, итд итп может и реальны, но давайте всё же разделим атаки на скажем не финансово и финансово критичные. Сколько из всего ресурсов в республике могут при атаке понести финансовые убытки (моральный ущёрб не учитывается)? А сколько из них достойно защищены? Уже существуют компании, чьи финансовые потоки ведутся через компьютерные технологии а так же владеющие денежно ценной информацией, вот они то и являются важной целью атак. Именно они должны Вас интересовать. Уберём всё лишнее (ресурсы мп3 уз, форумы молодых мам, туристические компании, итд итп ) и дадим оценку финансово критически уязвлённым компаниям. Я готов доказать, что 90% подобных компаний не защищены, правда юридическая сторона вопроса не позволяет провести подобную проверку.)
я понимаю, многие готовы со мной поспорить и к примеру админ компании перфектум мне бы заявил- у нас последняя версия форума ипб, даже если угнать Кеш админа перловой программой (кстати это правда), то куки требую ещё и подтверждения по ip (во загнул). Да- это правда, безопасность на уровне По продуманна удачно, но вот выбор хостера (бузтон и саркор) выбран не удачно( ресурсы этих провайдеров позволяю залить шелл и гулять по их ЖД как у себя дома- так что даже хорошее ПО и грамотные настройки самого ресурса перфектума- ничего не значат. Если мы уже взяли сотовых операторов, то компания коском использует https://sales.coskom.uz защищённые соединения для работы своих филиалов, а так же *119# … для получения информации о номере, (в некоторых филиалах подробная инструкция приклеена к компу липким листком), да раздача лицензий это грамотно, но насколько защищены компьютеры в пунктах оплаты? Учитывая что девчонкам скучно, часто ловил их на играх и общению в Интернете. Так что тут не спасёт 128 битное шифрование…кстати, в моей статье, приведённой ниже, будут ещё упоминаться сотовые операторы. Так же ещё есть банки, использующие телл нет протоколы и стандартно настроенные цыски. Сегодня все, кому не лень создают свои билинг системы, особенно мне нравятся провайдеры, к примеру https://shark.stream.uz/corp_clients/sales********* , из мира этот ресурс не виден, но в нутрии сети работает.. вроде как ещё сильнее защитить!? Но не учтено что в радиусе 500 метров от шарка можно зайти в их сеть по wi-fi. Я уже не говорю, про то, что банкоматы пользуются линиями ГТС, а сотовые компании отменяют вип пакеты из за построения на их базе солибной сети по ip телефонии. Так что, к сожалению, это реальная оценка ИБ, и она ужасна. Объяснить я это могу только оттоком “умных голов”. Всё это привело, что нынешний персонал делает упор на совершенство ПО и оборудования. Стали проводиться семинары, иногда тренинги, разбор Исошныш стандартов итд итп. Но что главное в ИБ?.. это люди. Взломщик не забивает голову исошными стандартами, он просто делает своё дело. И никакое ПО и даже если нужный компьютер находится под горой на глубине 1 го километра, не сможет его остановить. Его остановит человек настраивающий это оборудование и По. К сожалению я пока увидел у Вас только банальные предложения сканирования чем нить типа х спайдера и мелких проверок на ххс и перловых атак, но это не исправит положения- самое важное это обучение персонала. Именно высококвалифицированный центр обучения. Скольких людей вы знаете скажем хорошо разбирающихся в безопасности Вы знаете? Согласен- немного. Не редкие тренинги и семинары исправят физически ИБ а именно обучение- упорное и регулярное.
На последок хочу предложить почитать мою статью “защита от соц. инженера” на примерах известных Вам компаний http://antichat.ru/txt/socing/.
С Уважением Силверан!!!
П.С. я в данный момент нахожусь в поисках работы, так что попытаюсь предложить Вам свои услуги)) вновь.

maniak

25.01.2007, 21:19

Сотрудники CERT не занимаются выявлением и "наказанием" хакеров, они предотвращают возможные попытки взломов и всего прочего, не связанного с легальной деятельностью в рамках интернета. Так что вначале ход твоих мыслей несколько не верен.
На счет подготовки людей, способных вплотную заняться выявлением и устранением уязвимостей, а конкретнее, системных администраторов, тоже на данном форуме уже говорилось. В частности планируется проведение семинаров, в основе которых будут лежать способы устранения и нахождения уязвимостей.
На счет проникновения в корпоративные сети знаменитых компаний(вардрайвинг это кажется называется), так вот такая проблема присуще не только нам, всё чаще встречаются статьи по проникновению и эксплуатации уязвимостей именно используя не защищенные WI-FI сети. И я уверен, что меру по устранению данного вида нападения уже применяются, да и если не применяются, то можно с уверенностью сказать, что данный способ на данный момент не получит массового распространения в нашей Республике - тревогу поднимать пока рано.

Всё выше-написанное - лишь субъективное мнение, основанное на прочитанном, как на данном форуме, так и на других сайтов. За логичность и подлинность ручаться не могу.

Dengiz

25.01.2007, 21:49

П.С. я в данный момент нахожусь в поисках работы, так что попытаюсь предложить Вам свои услуги)) вновь.

Возьмите его! Он самый лучший спец по ИБ в Узбекистане :)

silveran

25.01.2007, 23:51

уважаемый маньяк- я наверное может и неправильно понял, но я ориетнируюсь на работы цертов других стран, легче опередить проблемму чем её решить, а политику работы нашего церта я просто не имею право диктовать,
во вторых я не описывал конкретные уязвимости и их проблеммы, я просто указал их наличие, в результате я надеялся что люди подумают об том, что надо сделать в общем, скажем так глобально, а не начнут думать как защитить конкретно wi fi (кстати через пол года по городу будет 30 мегабитная сеть вифи макс, вот тогда и поговорим конкретно об этом протоколе).
так же как я говорил, семинары и редкие тренинги не помогут, всё ето я могу (и даже намного больше) получитб на ачате, а вот полномаштабные курсы, гдеб учили не чем а как правильно думать, чтоб опередить взломщика, вот что я имел в виду.

так же спасибо другому пользователю за самого лучьшего спеца по Иб но мне показалось или ето сарказм!?)))))))
С Уважением Силверан...
данным постом я не надеялся на оценку вами моей работы, а надеялся узнать Ваше мнение по поводу уровня ИБ у нас.

Eldar Ishimbaev

26.01.2007, 08:49

Уважаемый Силверан,
Спасибо за пост и за статью. Только прежде чем утверждать что либо, подумайте о том, что Вы не сидите в CERT'е и не знаете всех аспектов нашей работы. Да маньяк был прав, когда сказал, что мы не отлавливаем хакеров и тем более не собираем базы по ним. Поэтому попрошу не публиковать заведомо ложных утверждений о нашей Службе. Ситуация с ИБ в компаниях нашей Республики складывается такая не по нашей вине. Мы не контролирующий орган и мы не диктуем организациям свои условия. Мы даем рекомендации, стараясь поддерживать уровень ИБ в стране на должном уровне, но все зависит от руководства той или иной компании, от системного администратора, от специалиста по ИБ.

Alexey Pikul

26.01.2007, 10:17

Djalolatdin Rakhimov

26.01.2007, 10:26

кстати через пол года по городу будет 30 мегабитная сеть вифи макс, вот тогда и поговорим конкретно об этом протоколе
наверно, имели ввиду WiMAX

silveran

26.01.2007, 13:31

Уважаемый Ильдар. Вы правы я не Сижу в Узцерте и возможно не знаю Вашу политику работы, но мы все тут взрослые люи и надеюсь знаем что пишем, так что приношу свои извинения за голословные заявления, в следующий раз я просто многозначительно промолчу, видимо я неправильно понял раздел законодательство на Вашем сайте.)))
стасибо за поправку Алексей, я в курсе про Ист телеком, однако мы обладаем разной видимо информацией и возможно у меня более свежая инфа про будующее с целом.
Благодарю вас уважаемый Джалолидин, вы правы, ето моя ночная опечатка, именно WiMax. С покритием Ташкента и Таш. области.
Но к сожалению я вижу что мы уходим от темы, чесно говоря моей целью было не обсуждение работы церта а выложить свои мысли как обстоят дела по ИБ в Республике почему так и что надо делать, а так же узнать есть ли у кого мнени именно ПО ЭТОМУ вопросу))
С Уважением Силверан!!
Уважаемый Ильдар, может ли кто нить из церта проконсультировать меня, что нужно сделать по пунктно чтоб организовать свою фирму по аудиту ИБ!?)

Dengiz

26.01.2007, 13:44

наверно, имели ввиду WiMAX

А что это такое? :rolleyes:

Dengiz

26.01.2007, 13:46

а не начнут думать как защитить конкретно wi fi

А может мне кто-нибудь подробнее объяснить как защитить wi-fi? И вообще, читаю топик и чувствую себя такой отсталой от цивилизации :( Столько непонятных терминов :(

silveran

26.01.2007, 13:56

А может мне кто-нибудь подробнее объяснить как защитить wi-fi? И вообще, читаю топик и чувствую себя такой отсталой от цивилизации :( Столько непонятных терминов :(

есть ya.ru rambler.ru и море поисковиков в помощь, на ачате есть мои статьи по вопросам wi fi
просто ето не тот топ для овсуждения безопасности етого вида конекта.. так то прошу не офтопить а создать отдельную тему раз интересует етот вопрос..
С Уважением Силверан!!!

Eldar Ishimbaev

26.01.2007, 14:17

Уважаемый Ильдар, может ли кто нить из церта проконсультировать меня, что нужно сделать по пунктно чтоб организовать свою фирму по аудиту ИБ!?)
Эльдар...так меня зовут:)
По этому поводу мы не можем дать консультаций, так как не занимаемся выдачей лицензий аудиторским фирмам. Надо обращаться в хокимият.

silveran

26.01.2007, 14:31

Эльдар...так меня зовут:)
По этому поводу мы не можем дать консультаций, так как не занимаемся выдачей лицензий аудиторским фирмам. Надо обращаться в хокимият.

Уважаемый Эльдар, спасибо за совет, завтра же иду открывать фирму)
ладно о деле- может церт всёже попробует датьсвой анализ критичноси ситуации и возможно мы даже найдём возможности поспорить.. как по Вашему мнению состоит ситуация по ИБ в целом скажем с цифраи и более детально а не просто (не стоит бить панику)!?

Evgeniy Sklyarevskiy

26.01.2007, 15:05

А может мне кто-нибудь подробнее объяснить как защитить wi-fi? И вообще, читаю топик и чувствую себя такой отсталой от цивилизации :( Столько непонятных терминов :(

Это они специально, для важности...

Botirbek Samandarov

26.01.2007, 16:35

А может мне кто-нибудь подробнее объяснить как защитить wi-fi? И вообще, читаю топик и чувствую себя такой отсталой от цивилизации :( Столько непонятных терминов :(

Dengiz++, я тебя поддерживаю
Думая на UZ-CERT надо открыт раздел консультации, или как
Хотя бы в на форуме

Ibrohim Djuraev

26.01.2007, 17:24

Уважаемый Эльдар, спасибо за совет, завтра же иду открывать фирму)
ладно о деле- может церт всёже попробует датьсвой анализ критичноси ситуации и возможно мы даже найдём возможности поспорить.. как по Вашему мнению состоит ситуация по ИБ в целом скажем с цифраи и более детально а не просто (не стоит бить панику)!?

уважаемый Силверан,
мне немного не понятна ваша позиция, на счет выдачи анализа критичности ситуации и причем тут слово попробовать? Уж тем более, мы не пытаемся никем спорить., нам этого и не надо. Просмотрел все ваши сообщения, в каких-то частях, вы напрямую спровоцируете выудить различными способами, какую либо информацию, так в чем ваша конечная цель? Что вы хотите в целом узнать? Может для начала поставите в нас в известность в вашей цели или сути вопроса?

Dengiz

26.01.2007, 17:26

Просмотрел все ваши сообщения, в каких-то частях, вы напрямую спровоцируете выудить различными способами, какую либо информацию, так в чем ваша конечная цель? Что вы хотите в целом узнать? Может для начала поставите в нас в известность в вашей цели или сути вопроса?

Соц. инженер :p

Djalolatdin Rakhimov

26.01.2007, 17:48

Не рискнул проверять степень его безопасности,
а не помешало бы, просто надо было договориться с сотрудниками CERT и провести анализ в определенный момент времени.

И то, иронию вызвало, к примеру заявление что хакеры это обычно 14-23 летние подростки, и получается что ЦЕРТ ведёт борьбу с их деятельностью. 

Хакеры - это определение способностей человека, а не определение мотивации его действий. "Хакер" - не есть хорошее или плохое.

Хакер- это обычно высокоинтеллектуальный человек с особым складом ума, умеющий находить обходные пути в любой ситуации, и возраст не имеет здесь значения.

На самом деле определение более обширно. И можете не смоневаться, что у нас именно правильное понимание этого термина.

Хакер, это не синоним преступника.

Именно. Это общество исказило со временем сущность данного термина.

Понимаю, написать хакер-зло, это проще, но есть понятие профессиональной этики.

Это зависит от контекста отдельной статьи.

Ваша оценка уровня ИБ в целом Может и верна но не отражает реальной картины в целом.

Не понятно, о какой оценке идет речь

Да, 30-40% ресурсов, что более подвержено атакам, итд итп может и реальны, но давайте всё же разделим атаки на скажем не финансово и финансово критичные.

Можем и в таком разрезе делать. Смотря как поставлена задача.

Сколько из всего ресурсов в республике могут при атаке понести финансовые убытки (моральный ущёрб не учитывается)? А сколько из них достойно защищены? Уже существуют компании, чьи финансовые потоки ведутся через компьютерные технологии а так же владеющие денежно ценной информацией, вот они то и являются важной целью атак. Именно они должны Вас интересовать.

Поверьте, у нас гораздо шире фронт работ.

я понимаю, многие готовы со мной поспорить и к примеру админ компании перфектум мне бы заявил- у нас последняя версия форума ипб, даже если угнать Кеш админа перловой программой (кстати это правда), то куки требую ещё и подтверждения по ip (во загнул). Да- это правда, безопасность на уровне По продуманна удачно, но вот выбор хостера (бузтон и саркор) выбран не удачно( ресурсы этих провайдеров позволяю залить шелл и гулять по их ЖД как у себя дома- так что даже хорошее ПО и грамотные настройки самого ресурса перфектума- ничего не значат.

Поэтому где-то уже на форуме кому-то мы и отвечали, почему проверям не только сам сайт, но и хостера. Здесь, похоже, у нас одинаковое понимание, что радует.

Если мы уже взяли сотовых операторов, то компания коском использует https://sales.coskom.uz (https://sales.coskom.uz/) защищённые соединения для работы своих филиалов, а так же *119# … для получения информации о номере, (в некоторых филиалах подробная инструкция приклеена к компу липким листком), да раздача лицензий это грамотно, но насколько защищены компьютеры в пунктах оплаты? Учитывая что девчонкам скучно, часто ловил их на играх и общению в Интернете. Так что тут не спасёт 128 битное шифрование

Кстати, шикарны пример необходимости проведения комплексного аудита.

…кстати, в моей статье, приведённой ниже, будут ещё упоминаться сотовые операторы. Так же ещё есть банки, использующие телл нет протоколы и стандартно настроенные цыски. Сегодня все, кому не лень создают свои билинг системы, особенно мне нравятся провайдеры, к примеру https://shark.stream.uz/corp_clients/sales********* , из мира этот ресурс не виден, но в нутрии сети работает.. вроде как ещё сильнее защитить!? Но не учтено что в радиусе 500 метров от шарка можно зайти в их сеть по wi-fi.

не знаб ничего конкретно про данного провайдера, но в целом показательно пример удачный.

Так что, к сожалению, это реальная оценка ИБ, и она ужасна.

Это и так понятно.

Объяснить я это могу только оттоком “умных голов”.

тут больше причин

Всё это привело, что нынешний персонал делает упор на совершенство ПО и оборудования.

а иногда и этого не делают

Стали проводиться семинары, иногда тренинги, разбор Исошныш стандартов итд итп. Но что главное в ИБ?.. это люди. Взломщик не забивает голову исошными стандартами,

а зря. Не просто так пишутся стандарты. При проведении любой оценки или экспертизы нужны единые критерии, иначе каждому надо будет объяснять как проводилась проверка, на соответствие чего и т.д. Так что, не согласен по части стандартно. Они нужны!

он просто делает своё дело.

да, он делает на сколько понимает

И никакое ПО и даже если нужный компьютер находится под горой на глубине 1 го километра, не сможет его остановить.

амбициозно и безоснавательно

К сожалению я пока увидел у Вас только банальные предложения сканирования чем нить типа х спайдера и мелких проверок на ххс и перловых атак

значит невнимательно читали. Но лучше так, чем писать ради того, чтобы писать (надеюсь).

, но это не исправит положения- самое важное это обучение персонала.

это важно. Но среди "самых важных" есть и много другого.

Именно высококвалифицированный центр обучения. Скольких людей вы знаете скажем хорошо разбирающихся в безопасности Вы знаете?

мало. да, это проблема.

Согласен- немного. Не редкие тренинги и семинары исправят физически ИБ а именно обучение- упорное и регулярное.

разве кто спорит?

На последок хочу предложить почитать мою статью “защита от соц. инженера” на примерах известных Вам компаний http://antichat.ru/txt/socing/. А так же посмотреть 2 моих видео ролика.
Smsvideiuz.narod.ru/asp.rar
Smsvideouz.narod.ru/mail.rar
Первый к примеру хоть и показывает дыру в компании asp.net (сервис поддержка микрософта), но не является финансово критичным для компании, а второй уже финансово опасен для компании (естественно уязвимости уже исправлены).

за материалы всегда спасибо

С Уважением Силверан!!!

зато всё вежливо :) спасибо

П.С. я в данный момент нахожусь в поисках работы, так что попытаюсь предложить Вам свои услуги)) вновь.

это при личном контакте

Djalolatdin Rakhimov

26.01.2007, 17:49

Dengiz++, я тебя поддерживаю
Думая на UZ-CERT надо открыт раздел консультации, или как
Хотя бы в на форуме

Так и пытаемся. Курсы и тренинги - со временем, ресурсов мало

Djalolatdin Rakhimov

26.01.2007, 17:54

Уважаемый Ильдар. Вы правы я не Сижу в Узцерте и возможно не знаю Вашу политику работы, но мы все тут взрослые люи и надеюсь знаем что пишем, так что приношу свои извинения за голословные заявления, в следующий раз я просто многозначительно промолчу, видимо я неправильно понял раздел законодательство на Вашем сайте.)))

бывает :) просто в последнее время нас очень много провоцируют на форуме, зная нашу политику обязательных ответов на все посты.

Но к сожалению я вижу что мы уходим от темы, чесно говоря моей целью было не обсуждение работы церта а выложить свои мысли как обстоят дела по ИБ в Республике почему так и что надо делать, а так же узнать есть ли у кого мнени именно ПО ЭТОМУ вопросу))

Это категорически приветствуется. Мы развиваемся, никто не идеален. Помощи будем благодарны. А мысли - мыслями. Заодно и поспорим. Ничего страшного.

Уважаемый Ильдар, может ли кто нить из церта проконсультировать меня, что нужно сделать по пунктно чтоб организовать свою фирму по аудиту ИБ!?)

Сложный вопрос. Статус и доверие клиентов очень сложно будет заработать. Кстати, мы этим занимаемся, причем для очень крупных заказчиков (закрытая инфо).

Дело в том, что заключение, сделанное такой фирмой, должно быть весомым.

Djalolatdin Rakhimov

26.01.2007, 17:55

А что это такое? :rolleyes:
http://wimaxline.uz/

Dengiz

26.01.2007, 18:05

это при личном контакте
maniak тоже возьмите! Кто кто а вот он очень умный! По безопасности сможет ответить на любые мои вопросы :)

maniak

26.01.2007, 18:08

maniak тоже возьмите! Кто кто а вот он очень умный! По безопасности сможет ответить на любые мои вопросы :)

Бог с тобой, я ещё несовершеннолетний, да и знаю только поверхностно.

Djalolatdin Rakhimov

26.01.2007, 18:23

ладно о деле- может церт всёже попробует датьсвой анализ критичноси ситуации и возможно мы даже найдём возможности поспорить.. как по Вашему мнению состоит ситуация по ИБ в целом скажем с цифраи и более детально а не просто (не стоит бить панику)!?

только по мере возможности, так как вопрос непростой, и общий фразы тут неуместны

Djalolatdin Rakhimov

26.01.2007, 18:27

Dengiz++, я тебя поддерживаю
Думая на UZ-CERT надо открыт раздел консультации, или как
Хотя бы в на форуме
специально открыли подраздел "Инциденты" для разбора реальных ситуаций. А общие вопроса - в раздел "Общее"

Djalolatdin Rakhimov

26.01.2007, 18:27

Бог с тобой, я ещё несовершеннолетний, да и знаю только поверхностно.
тогда можно и волонтером, заодно и натаскается

silveran

26.01.2007, 18:30

Уважаемый Иброгим, уверяю Вас, я никого ни на что не провацирую! если Вы найдёте любой повод для чего бу мне ето было необходимо- рад был бы их узнать. чтож- если та часть моих постов, которая касается церат, вызывает столь большие подозрения и провацирует к сожалению не интерес а как мне показалось агрессию и конфликт (причём ето нормальная реакция специалистов по ИБ на мои рассуждения, я уже привык) тогда я перестаю касаться лично церта в любых аспектах. жаль конечно что мы начинаем разговор с объвинениях в голословности и в атмосфере подозрительности, но если Вам п о к а з а л о с ь что я имею что то против церта- уваряю- ето всего лиш п о к а з а л о с ь. мне намного инетерснее вопрос касательо обстановки ИБ а не заниматься провакацией конфликтов.
Уважаемый Джалолидин, благодарю за единственный ответ на мой пос так сказать по существу. есть вопросы где мы расходимся где нет- ето нормально и вести споры по пустикам- будет глупо. вы опираетесь на свой опыт работы я же на свою многолетнию практику и кто прав не так важно, важнее что мы понимает на каком уровне ИБ и что с етим что то надо делать. вот именно ето я хотел услышать.
быть может стоит предложить форумчанам или кинуть кличь в узнете на конкурсной основе, кто что может предложить реальное по етому вопросу (к примеру создать виртуальный центр обучения с уроками, екзаменами и домашними заданиями))). Согласитесь вопрос ИБ уже реально можно выносить на финансовый уровень. но Вы правы более детально можно обговорить уже не в паблике.
благодарю за рассширенный ответ!
С уважением Силверан!!!

silveran

26.01.2007, 18:32

приношу извинения за орфографию, печатанье на клавиатуре- моя не самая сильная сторона

Djalolatdin Rakhimov

26.01.2007, 18:48

Уважаемый Иброгим, уверяю Вас, я никого ни на что не провацирую! если Вы найдёте любой повод для чего бу мне ето было необходимо- рад был бы их узнать. чтож- если та часть моих постов, которая касается церат, вызывает столь большие подозрения и провацирует к сожалению не интерес а как мне показалось агрессию и конфликт (причём ето нормальная реакция специалистов по ИБ на мои рассуждения, я уже привык) тогда я перестаю касаться лично церта в любых аспектах. жаль конечно что мы начинаем разговор с объвинениях в голословности и в атмосфере подозрительности, но если Вам п о к а з а л о с ь что я имею что то против церта- уваряю- ето всего лиш п о к а з а л о с ь. мне намного инетерснее вопрос касательо обстановки ИБ а не заниматься провакацией конфликтов.

Коллеги, прошу успокоиться. Я уже как-то вверху писал о провокациях. Поэтому ребята с Церта немного агрессивны. Но похоже, это не тот случай. И давайте с этого моменты эмоции уберем. Вроде диалог конструктивный налажен.

быть может стоит предложить форумчанам или кинуть кличь в узнете на конкурсной основе, кто что может предложить реальное по етому вопросу (к примеру создать виртуальный центр обучения с уроками, екзаменами и домашними заданиями))).

приветствую предложение

Согласитесь вопрос ИБ уже реально можно выносить на финансовый уровень. но Вы правы более детально можно обговорить уже не в паблике.

Консультации в области ИБ все больше "занимают кусок пирога" вообще среди всех IT-услуг. Это перспективно. Но не все понимают, что за качественную работу надо платить. А эти услуги порой недешевы, так как требуют (как минимум): грамотных специалистов, угробивших кучу времени на свою подготовку, времени, литературы и т.д. Вот этого понимания еще нет. Часто как в поговорке: пока гром не грянет...

silveran

26.01.2007, 19:18

нельзя вызвать интерес у потециальных клиетов ели не показать чтj они получат от етого.. надо доказать что клиент сможет не подерять деньги (надавить на негативную сторону характера))) просто надо вызвать интерес, по опыту говорю, покажеш что он информационно финансово не защищён, тут уже разговор не ведётся о том надо ето или нет а ведётся спор сколько будет стоить аудит,(поверте моему многолетнему опыту работы на российском портале и оценке рынка нашей республики)
другой вопрос легальности такого предложения, вот по етому я хочу работать на Вас или же с Вами)))
С Огромным Уважением Силверан!!!

Dengiz

26.01.2007, 20:02

тогда можно и волонтером, заодно и натаскается

:) Класс! Я бы тоже пошла, но я уже волонтер в "Красном Кресте" :)

Ibrohim Djuraev

26.01.2007, 20:18

Уважаемый Иброгим, уверяю Вас, я никого ни на что не провацирую! если Вы найдёте любой повод для чего бу мне ето было необходимо- рад был бы их узнать. чтож- если та часть моих постов, которая касается церат, вызывает столь большие подозрения и провацирует к сожалению не интерес а как мне показалось агрессию и конфликт (причём ето нормальная реакция специалистов по ИБ на мои рассуждения, я уже привык) тогда я перестаю касаться лично церта в любых аспектах. жаль конечно что мы начинаем разговор с объвинениях в голословности и в атмосфере подозрительности, но если Вам п о к а з а л о с ь что я имею что то против церта- уваряю- ето всего лиш п о к а з а л о с ь. мне намного инетерснее вопрос касательо обстановки ИБ а не заниматься провакацией конфликтов.

Уважаемый, Силверан
хотел бы отметить, что я не ищу никаких поводов для конфликтов или же споров, в этом плане можете быть спокойны. Далее по реакциям специалистов ИБ и вообще отношения к CERT, я всего лишь задал Вам вопросы по у т о ч н е н и ю (!) того, что Вас именно интересует, не более того, может мои сообщения оказались Вам как предъявление обвинения, то вы ошибаетесь. Я прекрасно помню нашу беседу с Вами, также по части обстановке ИБ в целом это вопрос обширный и как специалисту вам должно быть ясно, что в целом весь спектр охватить одним анализом сложно. И если у Вас имеется проведенный анализ, который в целом охватывает существующее состояние ИБ, то мы были весьма рады, а по отдельности делать выводы это было бы немного неправильным.

Evgeniy Sklyarevskiy

26.01.2007, 23:49

Насчет аудита безопасности хорошая идея. Сейчас можно кому-то заказать такую проверку с гарантией?
Хорошо бы еще сделать сервис автоматической проверки любого сайта на устойчивость к атакам.

silveran

27.01.2007, 01:07

я очень рад уважаемый Иброгим, что Вы помните меня, на счёт обвинений и игр нервов будем считать - взаимным недопонимаением и и ошибычным претположением.
на счёт конкретного анализа ИБ в примерах и попунктно с адресами, видами уязвимостей названий компаний, извените, я бы и рад провести подобный анализ, но тут стоит ребром вопрос как юридический так и моральный.
на счёт моих целей- попытаюсь сказать ещё более прямо- я хочу заняться аудитом ИБ и (давайте опустим высокую мораль) заработать на этом. нету путей конкурировать с Вами, значит остаётся только идти с Вами на контакт. в последнем нашем разговоре Вы к сожалению отказали мне не обьяснив причин (надеюсь в паблике Вы эти причины не будете обсуждать), но прошло время, Вы выросли, я стал умнее- быть может мы сможем найти компромис.
возможно если мы вновь проведём переговоры не в режиме (плохого и хорошего полицейского, а именно так мне и показалась наша встреча ), а поговорим как деловые люди, (мы можем быть взаимовыгодными ),
итак- моя цель- наладить контакт с цертом и начать работу!
господин Скляревский, идея не плохая , скажем так- он лаин х спайден и н мап, но в мире от етой идеи отказались, данный анализ стандартен и не всегда корректен, его результаты обычно приводят в ошибочному мнению что всё впорядке,но всё же если предупредить пользователей етого ресурса о том что ето только поверхнасная оценка и никакое ПО не заменит человеческий ресурс, то думаю идея не плохая
С уважением Силверан!!!

Ivan Lodyanoy

27.01.2007, 03:15

...скажем так- он лаин х спайден и н мап, но в мире от етой идеи отказались....!!
Немного оффтопа:
Не все могут понять о чем идет речь в данной строке - поэтому капельку дополню. Речь идет о двух известных сканерах безопасности, которые помогают провести анализ, выявление каких-либо уязвимостей заданого ресурса...
X-Spider и NMap

Botirbek Samandarov

27.01.2007, 09:55

Так и пытаемся. Курсы и тренинги - со временем, ресурсов мало

Я здесь хотел сказать. Например СЕРТ нашел на какомто сайте ошибку (ну как сказать дырку для злоумышленника). И отправил его владельца об этом ошибке, и он его исправил.
Теперь СЕРТ с идеям - что другие люди не сделали такие ошибки, опубликовал эту ошибку (не надо здесь указать , где было найдено такое ошибка, ну например показать: была-была ошибка на сайте yoursite.com).
И как бороться с такими ошибками, и исходя с этого другой ЮЗЕР как надо настроит свой сервер, или вот так надо было написать скрипт и так ...
Или опубликовать на сайте статьи "как надо безопасно настроит сервер" или "тонкости настройки АПАЧЕ" . (Конешно в паутине можно найти много статьи или документации об этом, но СЕРТ должен написат статьи исходя из своих работ - МОЙ ИМХО)

Eldar Ishimbaev

27.01.2007, 10:36

Я здесь хотел сказать. Например СЕРТ нашел на какомто сайте ошибку (ну как сказать дырку для злоумышленника). И отправил его владельца об этом ошибке, и он его исправил.
Теперь СЕРТ с идеям - что другие люди не сделали такие ошибки, опубликовал эту ошибку (не надо здесь указать , где было найдено такое ошибка, ну например показать: была-была ошибка на сайте yoursite.com).
И как бороться с такими ошибками, и исходя с этого другой ЮЗЕР как надо настроит свой сервер, или вот так надо было написать скрипт и так ...
В персональном кабинете нашего сайта мы публикуем уязвимости и способы их устранения.
Или опубликовать на сайте статьи "как надо безопасно настроит сервер" или "тонкости настройки АПАЧЕ" . (Конешно в паутине можно найти много статьи или документации об этом, но СЕРТ должен написат статьи исходя из своих работ - МОЙ ИМХО)
Не вижу смысла повторяться. ВАШЕ ИМХО - это заново изобрести велосипед. Вы думаете, что у UZ-CERT Апач какой-то другой? Или сервера используют ПО, которого ни у кого больше нет? Если, конечно, Вы хотите видеть статьи с такой тематикой на нашем сайте - то опубликуем :)

Djalolatdin Rakhimov

27.01.2007, 11:48

господин Скляревский, идея не плохая , скажем так- он лаин х спайден и н мап, но в мире от етой идеи отказались, данный анализ стандартен и не всегда корректен, его результаты обычно приводят в ошибочному мнению что всё впорядке,но всё же если предупредить пользователей етого ресурса о том что ето только поверхнасная оценка и никакое ПО не заменит человеческий ресурс, то думаю идея не плохая

Ребята вносили предложение по такой услуге. Не полностью автоматом, но при участии сотрудников ЦЕРТ. Вопрос пока на проработке, и не все пока ясно. Но в целом суть такая (приблизительно, поэтому не нужно полемики и придирания к деталям, когда проработаем - тогда полностью выложим): Владелец сайта изъявляет жедание в постоянном мониторинге его сайта со стороны ЦЕРТ, делается соглашение (возможно просто через эл. формы), соответственно на сайт ставится что-то типа баннера, что под присмотром ЦЕРТ (как с сайтами в тасиксе). Церт регулярно проводит проверки. 100% гарантии конечно никто не даст в таком деле, но поднять реально уровень ИБ для сайта человека, не специалиста в ИБ, можно. С госсайтами такое уже предпринимается, причем на платной основе. Вот вам и некоторые работы ЦЕРТ, нигде не публикованные. Просьба не просить деталей пока. А в целом обсуждение мониторинга ИБ сайтов - ок.

Djalolatdin Rakhimov

27.01.2007, 11:51

Теперь СЕРТ с идеям - что другие люди не сделали такие ошибки, опубликовал эту ошибку (не надо здесь указать , где было найдено такое ошибка, ну например показать: была-была ошибка на сайте yoursite.com).И как бороться с такими ошибками, и исходя с этого другой ЮЗЕР как надо настроит свой сервер, или вот так надо было написать скрипт и так ... Или опубликовать на сайте статьи "как надо безопасно настроит сервер" или "тонкости настройки АПАЧЕ" . (Конешно в паутине можно найти много статьи или документации об этом, но СЕРТ должен написат статьи исходя из своих работ - МОЙ ИМХО)

В принципе обобщение по найденным проблемам и вариантам решения без указания персональных данных - делать можно, если все посчитают это полезным, так как Церт все равно их формирует владельцу сайта.

Botirbek Samandarov

27.01.2007, 11:51

В персональном кабинете нашего сайта мы публикуем уязвимости и способы их устранения.

Эти уязвимости я смогу прочитают и в на других сайтах.
Зачем мне за нова прочитать (это похож к вашему ВЕЛОСИПЕДУ :) )

Не вижу смысла повторяться. ВАШЕ ИМХО - это заново изобрести велосипед. Вы думаете, что у UZ-CERT Апач какой-то другой? Или сервера используют ПО, которого ни у кого больше нет? Если, конечно, Вы хотите видеть статьи с такой тематикой на нашем сайте - то опубликуем :)
Я знаю у вас тоже тот же АПАЧ как у всех (Может есть разница в версиях)
Может я не смог написать в норме.
Вот например: в на сайте yoursite.com спецы СЕРТа нашли дырки , используя его можно сделать СИКУЕЛ инжектион. Причина: их скрипт не было защищено от СИКУЕЛ инжектион. По этому такие скрипты надо защищать вот таким то способом. Или в настройка АПАЧ надо изменить значения мажик_куотес_жпс вот так. После этого случиться вот что ...
Или это похож к ВЕЛОСИПЕДу, А

Eldar Ishimbaev

27.01.2007, 12:02

Эти уязвимости я смогу прочитают и в на других сайтах.
Зачем мне за нова прочитать (это похож к вашему ВЕЛОСИПЕДУ :) )
Эти уязвимости применимы к сайтам и серверам именно в нашем национальном сегменте.

Я знаю у вас тоже тот же АПАЧ как у всех (Может есть разница в версиях)
Может я не смог написать в норме.
Вот например: в на сайте yoursite.com спецы СЕРТа нашли дырки , используя его можно сделать СИКУЕЛ инжектион. Причина: их скрипт не было защищено от СИКУЕЛ инжектион. По этому такие скрипты надо защищать вот таким то способом. Или в настройка АПАЧ надо изменить значения мажик_куотес_жпс вот так. После этого случиться вот что ...
Или это похож к ВЕЛОСИПЕДу, А
Ни в коем случае это не похоже на ВЕЛОСИПЕД. Это ВЕЛОСИПЕД и есть. Зачем приводить общеизвестную информацию и говорить о ней как о новом открытии? Или я что-то не понимаю или формируйте свои мысли четче.

silveran

27.01.2007, 16:42

я рад что наконецто мы стали говорить по теме. хорошо!
итак к вопросам о велосипедах- да ПО у всех стандартное и настройку в сети найти можно как делать нечего, а дыры и их использоваия куда расширеннее и удобнее сможет показать тот же ачат, но мы говорим о ИБ, вот есл быскажем сотрудники церта писали видео ролики какие есть дыры и самое главное как настроить ПО чтоб ликвидировать их- вот ето было бы интересно. видео как защитить пока не существуе ((( чтоб пользователь мог скачать и повторив как обезьяна смог правильно настроить ПО, к примеру я писал видео для сримовцев как пользоваться батом и фотошопом, видео о защите.
на счёт гос сайтов- извените- но к примеру сайт нац суда- он на хосте узнета- и кому скажите понадобится его ломать? ну сломают .. минутный бекап и он снова в строе, тем более на у хостеров нет финансово важной инфы, гос сайты просто не выкладывают (есть конечно исключения но ето другой вопрос), а вот если их перенести на отдельный сервер, вот ето уже куда опаснее ИМХО.
С Уважением Силверан!!!

Botirbek Samandarov

27.01.2007, 17:18

Зачем приводить общеизвестную информацию и говорить о ней как о новом открытии?
Я не сказал что ВЫ тоже повторите. В этих общеизвестных информациях написано поверхность.
Я хотел что ВЫ написали реальные по другому.
И в на сайте СЕРТа тоже были такие интересные статьи (хай , может тот же копия, с указанием источника). А что так нельзя чтоли. Не все начинающие знает такие источники, или многие эти источники в на енглиш. Наверно переводить вам не трудно.
Все это мои предложении - а как его принят, вы сами решаете.

Djalolatdin Rakhimov

27.01.2007, 17:26

вот есл быскажем сотрудники церта писали видео ролики какие есть дыры и самое главное как настроить ПО чтоб ликвидировать их- вот ето было бы интересно.

сотрудники церт уже предлагали подобное. Если не ошибаюсь, это все еще не выпало из планов работы. Но они уточнят.

видео как защитить пока не существуе ((( чтоб пользователь мог скачать и повторив как обезьяна смог правильно настроить ПО,

надеюсь, что пользователи поймут, что это аллегория, и не обидяться на автора

к примеру я писал видео для сримовцев как пользоваться батом и фотошопом, видео о защите.

в целом согласен. не зря же делают скриншоты в манулах.

на счёт гос сайтов- извените- но к примеру сайт нац суда- он на хосте узнета- и кому скажите понадобится его ломать?

это частности. сайты бывают разные. Если всмомним массовое падение сайтов на Узнете, то это довольно сильно бьет по имиджу страны, не важно, что на сайтах -- показывает отношение страны к вопросам ИКТ и ИБ. Уже именно поэтому это важно!

ну сломают .. минутный бекап и он снова в строе,

но в итоге так не оказалось!

а вот если их перенести на отдельный сервер, вот ето уже куда опаснее ИМХО.

да, технологически концентрация в одном месте хуже, но если учесть, что распределение ресурсов сделано на хостах вообще со слабой защитой, то здесь можно и поспорить. Важные документы не хранят у разных людей в полках стола, а в одном сейфе. Здесь можно много дискутировать, но в нашем слачае централизация данных ресурсов, их изоляция от других (коммерческих) ресурсов с меньшей категорией важности, хостинг на отдельных машинах с горячим резервом, думаю, пересиливает.

Djalolatdin Rakhimov

27.01.2007, 17:27

Я не сказал что ВЫ тоже повторите. В этих общеизвестных информациях написано поверхность.
Я хотел что ВЫ написали реальные по другому.
И в на сайте СЕРТа тоже были такие интересные статьи (хай , может тот же копия, с указанием источника). А что так нельзя чтоли. Не все начинающие знает такие источники, или многие эти источники в на енглиш. Наверно переводить вам не трудно.
Все это мои предложении - а как его принят, вы сами решаете.
В целом создание что-то типа FAQ, но расширенно, как база case study - не помешает

silveran

28.01.2007, 00:25

Уважаемый Джалолитдин, раз вопрос о видео стоит в планах церта, то простите за офтоп- можете расчитывать на мою помощь если она конечна будет необходима.
может ещё стоит сделать так сказать тестовый сервер, где каждый любитель мог опробывать свои навыки по настройке По и Иб в целом.
на счёт сайтов, да мы все помним 69 атакованных сайтов, и почему бек ап не помог, могу ошибаться но ето только вопрос бюрократии.
с одной стороны Вы правы- сотредоточивание их в одном защищённом месте может помочь, если оно будет правда качественно защищенно, хотя.... нет извените меня- думаю спор по етому вопросу будет чисто гипотечиский и без результатный, всё равно будет так- как должно быть!
на счёт он лаин сканеров- согласитесь для хорошей работы подобные ресурсы должны быть на высокоскоросных "дедиках" не ниже сановских серверов, и регистрация желающих проверки должна быть офиальной (я имею ввиду с бумажным контрактом), а то кто мешает какому нить Васи Пупкину из бразилии где много диких абезьян проверить через етот ресурс скажем саркор и тпс и уничтожить таш-х как он есть.
С Уважением Силверан!!!

N3rD

30.01.2007, 11:49

Botirbek Samandarov

30.01.2007, 14:22

Uvajaimiy Silveran prastiteza translit ya uvidel shtovi atkrivayete konsaltingovuyu kompaniya no ya vami paradilsy ya toje spetsalis po informatsiyonay bezapasnosti no ya bi gatel imt takova spedsalista kak vi u sebya na firme ya pridlagayu vam rabotat umnya ya dam vazojna samuyu balshuyu zarplatu v uzbekitane yesl vi pridyote kamne rabotat na firmu pajalusta svejites samnoy pabistrey moy ICQ : 1-825-911 ili Email : hack-zver@inbox.ru :)
ya budu jdat vashiva atveta
Наверно этого топика тоже закроет.
В правилах форума написано, здесь запрещено реклама (твои похож на самореклама)
Или я ошибаюсь

silveran

30.01.2007, 17:23

Наверно этого топика тоже закроет.
В правилах форума написано, здесь запрещено реклама (твои похож на самореклама)
Или я ошибаюсь

Не опибаетесь)) но кто хоть раз не делал себе саморекламу и не переступал через правила!?))
но всё равно если ето и вправду нарушает правила- сам затру!
С Уважением Силверан!!!
да и потом цель топа не обсуждение меня а ИБ в целом- не забывайте ето !

Ivan Lodyanoy

31.01.2007, 00:24

Uvajaimiy Silveran prastiteza translit ya uvidel shtovi atkrivayete konsaltingovuyu kompaniya no ya vami paradilsy ya toje spetsalis po informatsiyonay bezapasnosti no ya bi gatel imt takova spedsalista kak vi u sebya na firme ya pridlagayu vam rabotat umnya ya dam vazojna samuyu balshuyu zarplatu v uzbekitane yesl vi pridyote kamne rabotat na firmu pajalusta svejites samnoy pabistrey moy ICQ : 1-825-911 ili Email : hack-zver@inbox.ru :)
ya budu jdat vashiva atveta

ИМХО, больше похоже на цирк, а не на саморекламу...

Dengiz

22.02.2007, 14:36

maniak

22.02.2007, 14:42

Да, у нас такое возможно, совершенно бесплатно любой желающий может получить доступ ко всемирной паутине.
Вот тут подробнее
http://www.wi-fi.uz/?q=wifizone

Djalolatdin Rakhimov

22.02.2007, 16:42

Sorry за offtop, но не знала куда запостить. Вопрос может и смешной, но мне очень интересно. Слышала в парках есть у нас Wi-Fi. Я так поняла можно с ноутбуком прийти и в инет зайти. И это без шнуров каких-либо, телефона и т.д. Бывает ли IP тогда?

если что, просто открывайте новую тему в разделащ "общее" и "разное". при необходимости тему мы перенесем в воответствующий раздел

Ivan Lodyanoy

22.02.2007, 17:10

Sorry за offtop, но не знала куда запостить. Вопрос может и смешной, но мне очень интересно. Слышала в парках есть у нас Wi-Fi. Я так поняла можно с ноутбуком прийти и в инет зайти. И это без шнуров каких-либо, телефона и т.д. Бывает ли IP тогда?

IP бывает в любом случае, будь то подключенный телефон, нотбук.

Dengiz

22.02.2007, 17:18

IP бывает в любом случае, будь то подключенный телефон, нотбук.

А можно потом по IP найти человека? К примеру, если через диал ап сидеть, то провайдер может узнать по ИП кто с какого номера телефона заходил. А если вай-фай, то как узнать? :confused:

Ivan Lodyanoy

22.02.2007, 17:47

А можно потом по IP найти человека? К примеру, если через диал ап сидеть, то провайдер может узнать по ИП кто с какого номера телефона заходил. А если вай-фай, то как узнать? :confused:

Dengiz, банки взламываешь ? ;) Зачем такая конспирация ? Через вай-фай определить не просто, но можно. Ведь каждая вай-фай точка имеет координаты... а каждый комп имеет свой Мак-адрес и все такое

maniak

22.02.2007, 17:56

А MAC-адрес можно подменить. Вообще я читал про хакера, который взламывал сервера крупных компаний используя как раз бесплатный WI-FI Интернет в городе. Увы, его поймали.

Ivan Lodyanoy

22.02.2007, 18:19

А MAC-адрес можно подменить. Вообще я читал про хакера, который взламывал сервера крупных компаний используя как раз бесплатный WI-FI Интернет в городе. Увы, его поймали.

о чем я и говорю ...

Ravshan Alimukhamedov

22.02.2007, 18:22

А MAC-адрес можно подменить. Вообще я читал про хакера, который взламывал сервера крупных компаний используя как раз бесплатный WI-FI Интернет в городе. Увы, его поймали.

Почему увы? :)

Dengiz

22.02.2007, 19:08

А MAC-адрес можно подменить. Вообще я читал про хакера, который взламывал сервера крупных компаний используя как раз бесплатный WI-FI Интернет в городе. Увы, его поймали.

ВОТ!!! Я это и хотела вообще-то узнать. Как ловят хакеров, если они берут ноуты и в парке сидят и "хулиганят"? Надеюсь, у нас нету проката ноутбуков :p А то взял на один день, посидел в парке, пошалил и вернул ноут :( А конкретно, хотела узнать, готов ли CERT к этому? То есть, через MAC как вы сказали, искать хулиганов?

maniak

22.02.2007, 19:11

Вроде у провайдеров MAC-адресс записывается в логах - тем самым вычислить таким образом будет легко.

Dengiz

22.02.2007, 19:11

Почему увы? :)

Потому что он делал доброе дело - бесплатно проверял сервера на уязвимости :)

Djalolatdin Rakhimov

22.02.2007, 19:12

Вроде у провайдеров MAC-адресс записывается в логах

Интересно, у каких из провайдеров? Откуда такая уверенность?

maniak

22.02.2007, 19:14

Я же сказал "вроде" - уверенности не было окончательной.

Ivan Lodyanoy

22.02.2007, 21:00

Потому что он делал доброе дело - бесплатно проверял сервера на уязвимости :)

Благими намерениями ... Чтож он тогда по парку прятался ? ;)

Iskander Koneev

22.03.2007, 20:20

Уважаемый Silveran!

Вы правильно отметили, что люди в ИБ это одна из основных проблем. Я скажу больше того, даже не спецы по безопасности и не админы – а пользователи!
Если поглядеть западную статистику, то видно, что простое проведение на предприятии security awareness, снижает информационные риски в разы…

Мне только не очень понравилось Ваше пренебрежительное отношение к стандартам (ИСОшным). Стандарты – это квинтэссенция опыта и предназначены как раз для помощи в организации толковой ИБ.

Не знаю, каков у Вас опыт работы специалистом по безопасности, но, полагаю, Вы понимаете, что “хороший хакер\кракер\any-“Black-Hat”-er” не равняется “хороший специалист по безопасности”. Знания и навыки по взлому это безусловный плюс, но не достаточное условие.
Предположу, что все громкие случаи по принятию на работу успешных хакеров, означали, на самом деле, зачисление их в команду “penetration testing”. А для того, чтобы выстраивать защиту, нужен другой склад ума и характера.

Пойду дальше, даже человек, искусно защищающий свой домашний компьютер не обязательно станет хорошим профи по безопасности в организации.
Это хорошо видно на развитии уровней зрелости в ИБ для всех компаний.
Начальный уровень – это приобретение и внедрение большого количества технических решений. Именно на этом этапе понадобятся хорошие технари, толковые индивидуалы, в том числе, возможно, и хакеры.
Но через некоторое время предприятие столкнется с проблемами управления своим техническим хозяйством, возросшей совокупной стоимостью владения и кучей других проблем.

Вот тут понадобится качественный переход от внедрения технической безопасности к построению системы управления ИБ. И тут без стандартов никак не обойтись.

Недавнее исследование по ИБ, проведенное компанией, где я сейчас работаю, показало, что просто наличие формализованного документа – политики ИБ, как ни странно, существенно снижает риск реализации инцидентов ИБ.

Iskander Koneev

23.03.2007, 13:45

Еще одно небольшое замечание, раз уж всплыл вопрос про аудит ИБ.

Я понимаю, что большинство предприятий в странах бывшего СССР и в Узбекистане в том числе, находятся на той стадии зрелости, когда наиболее актуально как раз техническое обеспечение ИБ.

Тем не менее, я рекомендовал бы сразу приучать пользователей к правильной терминологии и разделять понятия технического аудита и аудита системы управления ИБ.

Не в обиду будет сказано, но в принятой мировой практике, аудитом ИБ называется именно второе. А технический аудит обычно соотносится скорее с vulnerability management или penetration testing. Хотя многие, даже довольно известные компании используют определение “аудит” применительно к технической части.

Если же говорить об аудите именно на языке тех стран, откуда к нам приходят стандарты, то тут нельзя обойтись без определения control (по-русски, кратко он тоже называется “контролем”, но более глубоко под ним следует понимать “контрольный механизм”, куда может входить, как техническое решение, так и, например, организационное мероприятие)

Вот именно проверкой контролей и занимается аудит ИБ и технический аудит это только одна из его составляющих.

Уклонение только в техническую часть, без комплексного подхода чревато неприятными последствиями. Известные мне примеры:
1. Прекрасно оборудованная серверная комната оказалась расположена рядом с туалетом и очередная протечка принесла колоссальный неожиданный ущерб.
2. Хорошо налаженная система резервного копирования, тем не менее, не предусматривала регулярного тестового восстановления данных. В критической ситуации, компания была неприятно удивлена, что большинство ее лент не подлежит восстановлению.

Согласитесь, что сканированием уязвимостей такие недостатки не выявить. Об этом необходимо помнить, в противном случае может получиться некая профанация ИБ.
Компания, пройдя аудит в узком (техническом) понимании, будет считать, что все ОК и получив негативный опыт, будет, мягко говоря, недовольна.

Вообще, сильный уклон в обеспечение защиты от хакеров, это некая детская болезнь, которую предприятие тоже должно пережить. Не отрицая опасности от внешних злоумышленников, надо помнить об имеющейся статистике, которая гласит, что до 80% ущерба в ИБ приносят собственные пользователи предприятия, причем из этого списка до 80% - в результате ошибок, а не злого умысла…