Получил сегодня новогоднее поздравление и подарок от коллег из Security Vision! Подарок креативный и полезный - в фирменной чёрной коробке пять упаковок разных витаминов. ⚕️ В сезон простуд это особенно актуально. 😉
👨👩👧 А ещё сертификат в Кидзанию, где у Security Vision есть детские обучающие активности по теме информационной безопасности (как и в Кидбурге 😇).
Спасибо большое, Security Vision! Всего вам самого хорошего и доброго в новом году!
Почитал про 2,27 млрд рублей для РКН на создание и внедрение "механизма фильтрации интернет-трафика с использованием инструментов машинного обучения". В этом сюжете пока ничего нет, кроме статьи в российском Форбсе. Как утверждается в этой статье, цифру в 2,27 млрд на 2026 год журналисты взяли из (пока непубличного) "плана цифровизации РКН", который был представлен Правительственной комиссии по цифровому развитию 26 декабря. Эта вся конкретика, остальное домыслы. 🤷♂️ РКН отказали Форбсу в подробном комментарии.
То, что механизмы фильтрации с машинным обучением будут встроены прямо в ТСПУ на сетях операторов для повышения эффективности DPI или классификации контента - это пока тоже домыслы. Может так и будет, а может система будет функционировать как-то иначе.
По большому счёту, широкой общественности необязательно знать, как именно реализован механизм блокировок доступа к противозаконной информации и сервисам. Главное, чтобы блокировки работали точно и эффективно. 😉
Продолжу тему о критериях успеха в работах по Анализу Защищённости (АЗ). Если провести детектирование уязвимостей в любой достаточно большой организации, неизбежно обнаружатся критические уязвимости. И это абсолютно нормально, ЕСЛИ для всех обнаруженных уязвимостей выполняются следующие условия:
🔹 В организации уже знали про уязвимость на активе, т.е. обнаруживали её с помощью собственных средств детектирования.
🔹 Уязвимость уже была оценена и ей была присвоена степень критичности.
🔹 Для устранения уязвимости уже была заведена задача на конкретного исполнителя с зафиксированным сроком выполнения (в соответствии с принятым SLA) и этот срок ещё не вышел.
Это значит, что VM-процесс в организации успешно функционирует (по БОСПУУ 😉), и АЗ успешно пройден. 🥇👏
Но если в ходе АЗ были обнаружены уязвимости, для которых перечисленные условия НЕ выполняются, это вызывает вопросы к средствам детектирования уязвимостей, используемым в организации, и к практикам их использования. 😏
Я являюсь большим сторонником использования статьи 274.1 УК РФ (ч.3 нарушение правил эксплуатации КИИ) в качестве ультимативного аргумента в разговорах об устранении уязвимостей инфраструктуры. Не стоит начинать любой разговор с "давай быстро патчься, а то посадят 😡". Достаточно ненавязчиво упомянуть, что такая статья существует. И зачем под этой статьёй ходить, если можно пропатчиться и спать спокойно. 🤷♂️😉
Эту статью хотят обновить:
🔹 Довольно размытый "вред КИИ" хотят уточнить как "уничтожение, блокирование, модификация или копирование информации в КИИ".
🔹 Добавят освобождение от уголовной ответственности, тем, кто "активно способствовал раскрытию и расследованию преступления". Возможно, в том числе тем, кто первый расскажет про грешки коллег. 😉
🔹 Добавят аналогичную статью в КоАП РФ, если нарушение не содержит признаков преступления. Будут штрафовать граждан от 5 до 10 тыс. р., должностных лиц от 10 до 50 тыс. р., юрлица от 100 до 500 тыс. р.
Сегодня покрутил идею SOVA - проекта упрощённого аналога OVAL, о котором я писал в октябре. В итоге набросал тестовый дефинишен, описывающий проверку отключения аутентификации по паролю на SSH-сервере.
Как можно видеть, здесь комбинация двух тестов, выполняющих bash-скрипты, статусы которых объединяются по И. Всё сразу наглядно читается и, как я подозреваю, такие дефинишены будет очень просто генерить нейронкой по тексту из руководств по харденингу а-ля CIS Benchmarks. 😉
Проект завёл на платформе GitVerse от Сбера. Буду потихоньку его вайб-кодить в свободное время. 🙂 GitVerse, кстати, вполне норм. На мой неискушённый взгляд, ничем GitHub-у не уступает, можно пользоваться. 😉
На сайте ФСТЭК 16 января был опубликован документ с рекомендациями по харденингу SAP-систем. В документе 6 страниц текстовых рекомендаций и таблица на 9 страниц, содержащая объекты контроля (параметры, роли, сервисы и учетные записи), действия, безопасные значения/результаты и наименования продуктов, требующих настройки.
Рекомендации разделены на 12 групп:
1. Управление обновлениями
2. Учётные записи и пароли по умолчанию
3. Неиспользуемая функциональность и сервисы
4. Открытые интерфейсы и администрирование
5. Параметры профиля и конфигурации безопасности
6. Шифрование и защита каналов связи
7. Контроль доступа и разделение полномочий
8. Доверенные соединения и RFC
9. Логирование и аудит
✳️ 10. Безопасность данных
✳️ 11. Управление доступом и безопасной разработки
✳️ 12. Использование отладчика
Последние 3 группы ✳️ не отражены в таблице, только в тексте документа.
Документ интересный и, на фоне медленного импортозамещения ERP-систем, более чем актуальный. 👍
Сходили сегодня на концерт Meldis. Последний раз ходили с жёнушкой на концерт Анастасии со товарищи ещё до рождения нашей крохи, лет 8-9 назад. И вот уже ходим втроём. 😊 Как время летит.
Концерт прошёл душевно. Послушали и в меру сил поподпевали разному кельтскому и "толчковому". 🙂 Моего любимого Мирквуда, правда, не было, надеюсь, что в следующий раз… 😉 Но было много чего ранее неслышанного. 👍 Доченька в процессе сделала рисунок и получила автограф. 😇
ТОН 71 как площадка тоже понравился, комфортно и вкусно. Можно ходить при случае.
Это мой личный блог. Всё, что я пишу здесь - моё личное мнение, которое никак не связано с моим работодателем. Все названия продуктов, логотипы и бренды являются собственностью их владельцев. Все названия компаний, продуктов и услуг, упоминаемые здесь, упоминаются только для идентификации. Упоминание этих названий, логотипов и брендов не подразумевает их одобрения (endorsement). Вы можете свободно использовать материалы этого сайта, но было бы неплохо, если бы вы разместили ссылку на https://avleonov.ru и отправили мне сообщение об этом на me@avleonov.com или связались со мной любым другим способом.