Вопросы авторизации и аутентификации и в целом аспектов защиты информации все чаще возникают в процессе разработки приложений, и каждый с разной степенью фанатизма подходит к решению данных вопросов. С учетом того, что последние несколько лет сферой моей деятельности является разработка ПО в финансовом секторе, в частности, систем расчета рисков, я не мог пройти мимо этого, особенно учитывая соответствующее образование. Поэтому в рамках данной статьи решил осветить эту тему и рассказать, с чем мне пришлось столкнуться в процессе настройки наших приложений.
Рубрика «информационная безопасность» - 101
Введение во взаимную аутентификацию сервисов на Java c TLS-SSL
2020-02-07 в 8:02, admin, рубрики: java, jks, security, Блог компании Технологический Центр Дойче Банка, информационная безопасность8. Fortinet Getting Started v6.0. Работа с пользователями
2020-02-07 в 6:02, admin, рубрики: fortianalyzer, Fortigate, fortinet, fortinet security fabric, fortiservice, ips, ngfw, security, utm, Блог компании TS Solution, информационная безопасность, Сетевые технологии, системное администрированиеПриветствую! Добро пожаловать на восьмой урок курса Fortinet Getting Started. На шестом и седьмом уроках мы познакомились с основными профилями безопасности, теперь мы можем выпускать пользователей в Интернет, защищая их от вирусов, разграничивая доступ к веб ресурсам и приложениям. Теперь встает вопрос об администрировании пользовательских записей. Как обеспечить доступ в Интернет только определенной группе пользователей? Как одной группе пользователей запретить посещать определенные веб сайты, а другой разрешить? Как синтегрировать существующие решения по контролю пользовательских записей с межсетевым экраном FortiGate? Сегодня мы обсудим эти вопросы и постараемся проделать все на практике.
Читать полностью »
Драйвер графического планшета Wacom собирает данные об открытых пользователем приложениях и отправляет производителю
2020-02-06 в 18:40, admin, рубрики: wacom, гаджеты, данные, Законодательство в IT, информационная безопасность, отслеживание, передачаВ январе 2020 года инженер-программист Роберт Хитон подключил свой графический планшет Wacom на новый макбук. В процессе установки нового драйвера для планшета ему было предложено принять политику конфиденциальности Wacom.
«Почему устройству, которое по сути является мышью, нужна политика конфиденциальности?» — такой вопрос задал себе инженер-программист Роберт Хитон. Он при обновлении драйвера графического планшета Wacom на своем Apple Mac заметил текст мелким шрифтом в политике конфиденциальности, принимая который Роберт фактически дал Wacom разрешение на слежку за его действиями, когда он работает с планшетом.
И вот после этого клика Роберт почувствовал себя недовольным таким отношением производителя к пользователям, в нем проснулся инженер-детектив. Роберт Хитон решил выяснить, какие данные собирает графический планшет Wacom и куда он их отсылает.
Читать полностью »
Персональные данные миллиона клиентов российских МФО выставлены на продажу в сети
2020-02-06 в 14:31, admin, рубрики: документы, Законодательство в IT, информационная безопасность, микрозаймы, мфо, утечки, финансы, финансы в ITНа одном из специализированных ресурсов появилась база данных клиентов микрофинансовых организаций (МФО). В ней содержатся данные более 1,2 млн клиентов крупнейших МФО России. Впервые эту базу обнаружили в продаже 2 февраля.
Тестовый фрагмент базы сдержит около 800 записей, включая ФИО, номера телефонов, адреса электронной почты, даты рождения и паспортные данные россиян. Большинство людей из тестового фрагмента, с которыми пообщались журналисты РБК, заявили, что являются клиентами компании «Быстроденьги».
Читать полностью »
Cisco закрыла пять критических уязвимостей протокола CDP
2020-02-06 в 12:40, admin, рубрики: cdp, CDPwn, Cisco, информационная безопасность, Сетевое оборудование, Сетевые технологии, уязвимость5 февраля 2020 года компания Cisco выпустила обновления безопасности для многих своих продуктов, закрывающие недавно найденные пять уязвимостей, получивших общее название CDPwn и «высокий» статус важности. Эти уязвимости специалисты компании Armis обнаружили в текущей реализации проприетарного протокола Cisco Discovery Protocol (CDP) для многих устройств Cisco (роутеры, межсетевые экраны, коммутаторы, VoIP-телефоны и IP-камеры).
Читать полностью »
Разбираем идеальный кейс фишинга при аренде квартиры
2020-02-06 в 12:32, admin, рубрики: airbnb, Блог компании Хостинг-технологии, Здоровье гика, информационная безопасность, Лайфхаки для гиков, социальная инженерия, фишинг, фишинговый сайтНедавно я стал жертвой (к счастью, неудачной) фишинговой атаки. Несколько недель назад я бродил по сайтам Craigslist и Zillow: я хотел арендовать жилье в районе залива Сан-Франциско.
Мое внимание привлекли симпатичные фото одного местечка, и мне захотелось связаться с арендодателями и узнать о нем поподробнее. Несмотря на мой опыт в качестве специалиста по безопасности, я не понимал, что со мной общаются мошенники, вплоть до третьего письма! Ниже я подробно расскажу разберу кейс вместе со скриншотами и тревожными звоночками.
Я пишу это, чтобы проиллюстрировать, что хорошо подготовленные фишинговые атаки могут выглядеть очень убедительно. Безопасники часто рекомендуют обращать внимание на грамматику и оформление, чтобы защититься от фишинга: якобы у мошенников слабое знание языка и небрежное отношение к визуальному оформлению. В некоторых случаях это действительно работает, но в моем кейсе не помогло. Самые изощренные мошенники пишут на хорошем языке и создают иллюзию соответствия всем писаным и неписаным правилам, стараясь оправдать связанные с этим ожидания жертвы.
Как настроить Elasticsearch, чтобы не было утечек
2020-02-06 в 7:55, admin, рубрики: elasticsearch, Администрирование баз данных, Блог компании DataLine, информационная безопасность, персональные данныеЗа последний год возникало много утечек из баз Elasticsearch (вот, вот и вот). Во многих случаях в базе хранились персональные данные. Этих утечек можно было избежать, если бы после разворачивания базы администраторы потрудились проверить несколько несложных настроек. Сегодня о них и поговорим.
Сразу оговоримся, что в своей практике используем Elasticsearch для хранения логов и анализа журналов средств защиты информации, ОС и ПО в нашей IaaS-платформе, соответствующей требования 152-ФЗ, Cloud-152.
Читать полностью »
Ким Дотком: пойманный в сеть, самый разыскиваемый человек онлайн. Часть 2
2020-02-06 в 7:44, admin, рубрики: Kim Dotcom, Mega, Megaupload, Блог компании ua-hosting.company, двухфакторная аутентификация, Законодательство в IT, информационная безопасность, Ким Дотком, хакер, хостингДля одних Ким Дотком, основатель скандально известного файлообменника «MegaUpload», преступник и интернет-пират, для других — несгибаемый борец за неприкосновенность персональных данных. 12 марта 2017 года состоялась мировая премьера документальной киноленты, в которой приведены интервью с политиками, журналистами и музыкантами, знающими Кима «со всех сторон». Новозеландский режиссер Энни Голдсон с помощью видео из личных архивов рассказывает о сути судебных баталий Доткома с правительством США и другими государственными структурами, провозгласившими бой мировому интернет-пиратству.
В юности Ким Дотком считал США оплотом мировой демократии, страной, правительство которой самоотверженно борется за торжество справедливости во всем мире. Побывав в ролях хакера, малолетнего преступника и консультанта по компьютерной безопасности, к 30-ти годам Ким решает заняться бизнесом и создает крупнейший файлообменник «MegaUpload», число пользователей которого достигло 160 млн. человек. Практически до самого закрытия сайта в 2012 году он занимал 13 место в рейтинге самых посещаемых интернет-ресурсов. За 7 лет существования «MegaUpload» Ким заработал более сотни миллионов долларов, но в результате судебных разбирательств превратился в банкрота. Инициатором судебного преследования выступили США, обвинившие Доткома в размещении пиратского контента и нарушении авторских прав, что будто бы принесло правообладателям ущерб в размере 500 млн. долларов.
До сих пор Киму так и не удалось оправиться от удара и поправить финансовые дела, так как все средства он тратит на услуги адвокатов и создание новых инновационных проектов, таких как платформа «K.im» — так называемый «магазин файлов», совершающий платежи на основе криптовалюты.
В статье рассказывается о сюжете фильма «Пойманный в сеть», а также приводятся выдержки из других публицистических материалов, недоступных русскоязычному читателю.Читать полностью »
Почему удобство vs безопасность — не трейдофф
2020-02-06 в 6:00, admin, рубрики: анализ кода, безопасность веб-приложений, информационная безопасность, мобильные приложения, разработка мобильных приложений, Софт, юзабилитиЯ с 2014 года работаю над безопасностью мобильных и веб-приложений. Много раз слышал от разных людей и в разном контексте про «трейдофф usability vs security», при этом с самого начала видел в этом какой-то подвох. В этом посте я поделюсь своим мнением, почему, на мой взгляд, это не трейдофф, и на самом деле от него давно стоит отказаться.
Посоветуйте, что почитать. Часть 1
2020-02-06 в 2:00, admin, рубрики: hacking, links, websec, информационная безопасность, Социальные сети и сообщества, Учебный процесс в ITДелиться с сообществом полезной информацией всегда приятно. Мы попросили наших сотрудников посоветовать ресурсы, которые они сами посещают, чтобы быть в курсе событий в мире ИБ. Подборка получилась большая, пришлось разбить на две части. Часть первая.