Вы замечали, как любая рыночная ниша, став популярной, привлекает маркетологов от информационной безопасности, торгующих страхом? Они убеждают вас, что, случись кибератака, компания не сможет самостоятельно справиться ни с одной из задач по реагированию на инцидент. И тут, конечно, появляется добрый волшебник – сервис-провайдер, который за определенную сумму готов избавить заказчика от любых хлопот и необходимости принимать какие-либо решения. Рассказываем, почему такой подход может быть опасен не только для кошелька, но и для уровня защищенности компании, какую практическую пользу может принести вовлечение сервис-провайдера и какие решения должны всегда оставаться в зоне ответственности заказчика.
Рубрика «NIST» - 2
Управление инцидентами: «отдать нельзя оставить» или искусство расстановки запятых
2018-12-17 в 11:54, admin, рубрики: incident response, IT-стандарты, NIST, scirt, SoC, solar jsoc, Блог компании Ростелеком-Solar, информационная безопасность, реагирование на инциденты, Терминология ITБезопасность Bluetooth по NIST
2018-08-13 в 7:58, admin, рубрики: bluetooth, NIST, безопасность, беспроводные сети, Блог компании Акрибия, информационная безопасность, стандартыВ настоящее время Bluetooth переживает возрождение. Этому способствует развитие IoT, отсутствие выхода под наушники в современных смартфонах, а также популярные bluetooth-колонки, беспроводные мыши /клавиатуры, гарнитуры и прочее. Мы решили посмотреть, какие рекомендации по безопасности представлены в стандарте NIST для Bluetooth.
Почему «синий зуб»? Название Bluetooth появилось от прозвища короля викингов Харальда I Синезубого, который правил в X веке Данией и частью Норвегии. За время своего правления он объединил враждовавшие датские племена в единое королевство. По аналогии Bluetooth тоже объединяет, только не земли, а протоколы связи.
Читать полностью »
Правда и ложь систем распознавания лиц
2018-07-29 в 22:02, admin, рубрики: data mining, face recognition, mtccnn, NIST, Ntech, visionlabs, Vocord, Алгоритмы, биометрия, Блог компании Recognitor, лица, машинное обучение, обработка изображений, распознавание лицПожалуй нет ни одной другой технологии сегодня, вокруг которой было бы столько мифов, лжи и некомпетентности. Врут журналисты, рассказывающие о технологии, врут политики которые говорят о успешном внедрении, врут большинство продавцов технологий. Каждый месяц я вижу последствия того как люди пробуют внедрить распознавание лиц в системы которые не смогут с ним работать.
Тема этой статьи давным-давно наболела, но было всё как-то лень её писать. Много текста, который я уже раз двадцать повторял разным людям. Но, прочитав очередную пачку треша всё же решил что пора. Буду давать ссылку на эту статью.
Итак. В статье я отвечу на несколько простых вопросов:
- Можно ли распознать вас на улице? И насколько автоматически/достоверно?
- Позавчера писали, что в Московском метро задерживают преступников, а вчера писали что в Лондоне не могут. А ещё в Китае распознают всех-всех на улице. А тут говорят, что 28 конгрессменов США преступники. Или вот, поймали вора.
- Кто сейчас выпускает решения распознавания по лицам в чём разница решений, особенности технологий?
Большая часть ответов будет доказательной, с сылкой на исследования где показаны ключевые параметры алгоритмов + с математикой расчёта. Малая часть будет базироваться на опыте внедрения и эксплуатации различных биометрических систем.
Я не буду вдаваться в подробности того как сейчас реализовано распознавание лиц. На Хабре есть много хороших статей на эту тему: а, б, с (их сильно больше, конечно, это всплывающие в памяти). Но всё же некоторые моменты, которые влияют на разные решения — я буду описывать. Так что прочтение хотя бы одной из статей выше — упростит понимание этой статьи. Начнём!
Читать полностью »
АНБ предложило стандарт шифрования для устройств Интернета вещей, но ISO его отвергло
2018-06-04 в 8:38, admin, рубрики: IoT, iso, NIST, Simon, Speck, Блог компании GlobalSign, блочные шифры, Интернет вещей, информационная безопасность, криптографияШифровальная машина Enigma. Ходят слухи, что это первое из устройств, куда внедрило бэкдор АНБ. Это произошло после WWII в сотрудничестве с фирмой-производителем Crypto AG. С тех пор внедрение таких бэкдоров стало чуть ли не стандартной практикой для американских разведчиков
Многие говорят о всемогуществе американских спецслужб: мол, они делают аппаратные закладки в CPU (чипы Clipper) и оставляют бэкдоры в стандартах шифрования на этапе создания этих стандартов, как было с алгоритмом Dual_EC_DRBG, принятым NIST в качестве стандарта ГСЧ. Документы Сноудена показали, что АНБ заплатило RSA за включение этого ГСЧ в своё программное обеспечение.
Но в реальности даже их влияние не безгранично. Если верить источнику WikiTribune из Международной организации по стандартизации (ISO), в апреле этого года развернулась целая дискуссия между специалистами из международной группы экспертов по безопасности ISO и сотрудниками Агентства национальной безопасности США (АНБ), которые представили новые блочные шифры для Интернета вещей.
Читать полностью »
Информационная безопасность банковских безналичных платежей. Часть 4 — Обзор стандартов моделирования угроз
2018-03-25 в 21:05, admin, рубрики: microsoft, NIST, арм кбр, банки, Законодательство и IT-бизнес, информационная безопасность, криптография, модели, персональные данные, платежные системы, стандарты, угрозы, ФСБ, ФСТЭК, цб рфВ предыдущей публикации цикла мы сформировали базовые требования к системе информационной безопасности безналичных платежей и сказали, что конкретное содержание защитных мер будет зависеть от модели угроз.
Для формирования качественной модели угроз необходимо учесть существующие наработки и практики по данному вопросу.
В этой статье мы проведем экспресс обзор порядка 40 источников, описывающих процессы моделирования угроз и управления рисками информационной безопасности. Рассмотрим как ГОСТы и документы российских регуляторов (ФСТЭК России, ФСБ России, ЦБ РФ), так и международные практики.
Читать полностью »
NIST наконец-то меняет рекомендации по паролям: теперь рекомендуются длинные парольные фразы
2017-08-09 в 17:04, admin, рубрики: NIST, xkcd, информационная безопасность, пароли, парольные фразы, Регулирование IT-сектора, рекомендации, стандартНа фото: Лорри Фейт Кранор, профессор Университета Карнеги — Меллон, в платье с 500 самыми популярными паролями в интернете, на саммите по кибербезопасности в Стэнфордском университете. Она надеется, что изучение платья поможет окружающим людям осознать необходимость поменять свой слабый пароль.
В 2003 году Билл Бёрр (Bill Burr) работал менеджером среднего звена в Национальном институте стандартов и технологий. Ему с коллегами поручили написать скучную инструкцию — документ с инструкциями по выбору и управлению паролей, который должен был стать рекомендацией для государственных организаций США. Сотрудники выполнили задание — и этот документ стал известен как NIST Special Publication 800-63B. Лично Бёрр написал приложение А к этому стандарту (Appendix A) — восьмистраничный пример, который даёт практические советы по выбору и управлению паролями. Билл Бёрр рекомендовал чередовать цифры, специальные символы, строчные и прописные буквы, а также периодически менять пароли.
Рекомендация NIST с годами превратилась в стандарт, который стал обязателен для исполнения во многих государственных учреждениях, а сам сейчас автор в полной мере осознал масштаб своих ошибок и теперь очень сожалеет о содеянном, пишет The Wall Street Journal.
Читать полностью »
Почему на то, чтобы найти точное значение постоянной Планка, понадобилось 100 лет?
2017-04-13 в 7:38, admin, рубрики: CODATA, NIST, Wolfram Alpha, wolfram cloud, wolfram language, wolfram mathematica, Алгоритмы, Блог компании Wolfram Research, Борда, визуализация данных, килограмм, математика, открытые данные, постоянная планка, Си, метки: килограмм, постоянная планка, СИ
Перевод поста Майкла Тротта (Michael Trott) "An Exact Value for the Planck Constant: Why Reaching It Took 100 Years".
Код, приведенный в статье, можно скачать здесь.
Выражаю огромную благодарность Полине Сологуб за помощь в переводе и подготовке публикации
Содержание
— Некоторые мысли по случаю Всемирного дня метрологии в 2016 году
— Введение и немного обо мне
— От истоков метрической системы до сегодняшних дней.
— Увеличение числа констант
— Существующая система СИ и проблема килограмма
— Новая СИ
— Секунда
— Моль
— Кельвин
— Ампер
— Кандела
— Почему основных единиц измерения именно 7?
— Путь к изменению определения килограмма
Повествование ведется от имени Жана-Шарля де Борда.
Некоторые мысли по случаю Всемирного дня метрологии в 2016 году
Позвольте мне представиться:
Я человек науки и люблю точность.
Все это время я был где-то рядом.
Я забрал у людей фунт и туаз.
И я был рядом с Людовиком XVI
В минуты его сомнений и боли.
Я чертовски уверен в том, что метрическая рулетка,
Благодаря платиновым стандартам будет установлена раз и навсегда.
Я рад встрече с вами!
Надеюсь, вы угадали, как меня зовут?
Введение и немного обо мне
Если вы еще не догадались, я — Жан-Шарль де Борда: моряк, математик, ученый и член Академии наук. Я родился 4 мая 1733 года в городе Дакс во Франции. Две недели назад я отметил свой двести восемьдесят третий день рождения. А вот и я:
В моем родном городе в честь меня воздвигли памятник. Если вы будете неподалеку, задержитесь, чтобы посмотреть на него. Если вы не знаете, где находится Дакс, вот карта:
Когда я был мальчиком, Франция выглядела примерно так же, как сейчас. У нас было немного меньше территории с восточной стороны, но зато в Северной Америке моей стране принадлежал хороший кусок земли:
NIST рекомендует: строительные блоки для описания IoT
2016-11-11 в 18:11, admin, рубрики: IoT, IT-стандарты, NIST, reference architecture, semiformal notation, Разработка для интернета вещей, стандартизация
→ Источник
В июле 2016 на сайте National Institute of Standards and Technology (NIST), как обычно, в свободном доступе, появилась новая публикация NIST Special Publication 800-183, Networks of ‘Things’. Данный документ был выпущен в серии SP 800, Computer Security, что подразумевает его непосредственное отношение к информационной безопасности. Тем не менее, NIST SP 800-183 посвящен, в первую очередь, нотации проектирования и описания архитектуры IoT.
Я решил разобраться с содержанием этого документа, поскольку NIST выпускает более чем солидные руководства, среди которых, например, всемирно известный NIST SP 800-53, Security and Privacy Controls for Federal Information Systems and Organizations или NIST SP 800-82, Guide to Industrial Control Systems (ICS) Security и многое другое.
Тем более, что автором NIST SP 800-183 является Jeffrey Voas, известный еще с начала 1990-х гг. публикациями по теории оценивания и тестирования ПО.
Читать полностью »
Как я поучаствовал в разработке нового интернет-стандарта
2016-09-15 в 20:08, admin, рубрики: BGP, ietf, NIST, qrator, Блог компании Qrator Labs, день карьерыВ этом году в апреле на IETF Meeting 95 был представлен драфт, в создании которого я принимал участие. Этот драфт – предложение Qrator Labs по улучшению стандарта протокола BGP для обнаружения и устранения route leaks («утечки» маршрутов, далее – лики). Эта сетевая аномалия возникает, когда маршрут анонсируется с нарушением политик маршрутизации. В результате могут значительно увеличиться сетевые задержки, а помимо этого данный механизм может быть использован для организации атак MitM (Man in the Middle) или DoS (Denial of Service). Про IETF (Internet Engineering Task Force) не так давно писал на хабре мой коллега и соавтор данного драфта.
Главной идеей предлагаемого решения стало добавление информации о типе взаимосвязи между BGP-соседями непосредственно в их конфигурации с верификацией этих настроек через handshake в сообщении OPEN. Мы хотим, чтобы только на основании этой настройки (которая показывает, является ли оператор клиентом, пиром или поставщиком для своего соседа) можно было как избежать ликов внутри отдельной автономной системы, так и обнаруживать лики, сделанные другими операторами связи в Интернете. Описание нашей идеи с картинками можно посмотреть здесь.
Я оказался соавтором этого драфта практически случайно, в основном благодаря тому, что примерно за год до этого познакомился с компанией Qrator Labs на Дне карьеры в МГУ. Далее я расскажу, как это случилось.
Читать полностью »
NIST: SMS нельзя использовать в качестве средства аутентификации
2016-08-05 в 7:12, admin, рубрики: NIST, sms, аутентификация, Блог компании Positive Technologies, информационная безопасность, стандартыАмериканский институт стандартов и технологий (NIST) выступил за отказ от использования SMS в качестве одного из элементов двухфакторной аутентификации. В очередном черновике стандарта Digtial Authentication Guideline представители ведомства указывают, что «[внеполосная аутентификация] с помощью SMS будет запрещена стандартом и не будет допускаться в его последующих изданиях».
Документ не является обязательным, но в соответствии со стандартами NIST строят свою инфраструктуру многие государственные учреждения и компании США, поэтому такое решение может серьезно изменить подходы к обеспечению информационной безопасности уже в ближайшем будущем.
Под внеполосной аутентификацией здесь подразумевается использование второго устройства для идентификации личности пользователя.Читать полностью »