Глянул "Стандарт по защите облачной инфраструктуры" от Yandex Cloud

Добавить комментарий

Глянул Стандарт по защите облачной инфраструктуры от Yandex Cloud
Глянул Стандарт по защите облачной инфраструктуры от Yandex Cloud

Глянул "Стандарт по защите облачной инфраструктуры" от Yandex Cloud. В части Управления Уязвимостями никаких откровений не увидел. Кроме того, что у них есть встроенный сканер для образов, правда непонятно на каком движке он работает. В его описании почему-то только про deb, но rpm дистрибутивы перечислены. Российских дистрибутивов в списке нет.

"При сканировании происходит распаковка Docker-образа и поиск версий установленных пакетов (deb). Затем найденные версии пакетов сверяются с базой данных известных уязвимостей."

Встроенный сканер для хостов тоже напрашивается, но видимо пока нет.

Указанное "решение в маркетплейсе" это ScanFactory Agent — сервис для мониторинга безопасности публичных IP-адресов и доменов, размещенных в Yandex Cloud (периметровый сканер). ScanFactory Agent каждый час выгружает список публичных IP-адресов и доменов и отправляет их в ScanFactory для анализа. Результаты мониторинга доступны в личном кабинете клиента.

По поводу поста зампреда комитета ГД по информполитике Антона Горелкина

Добавить комментарий

По поводу поста зампреда комитета ГД по информполитике Антона Горелкина. "Все успешные операционные системы, которые существуют сейчас, разрабатывались без участия государств. Они завоевали рынок именно потому, что коммерческие компании были кровно в этом заинтересованы."

Если убрать за скобки действительно спорный контекст с выделением 480 млрд рублей Ростелекому, а рассмотреть написанное по существу, то можно отметить следующее:

1. "Все успешные операционные системы, которые существуют сейчас", если брать десктопы и смартфоны, произведены 3 американскими компаниями: Microsoft, Google, Apple. Как же так получилось, что компании все американские, и занимают большую часть рынка во всех странах мира. За небольшим исключением - мобильные ОС на основе AOSP в Китае и Red Star OS в Северной Корее. Такое положение американских компаний вызвано конкуренцией на свободном рынке? Или все же имеет место разумная политика протекционизма?
2. "Разрабатывались без участия государств". Если государственных денег на первый взгляд не видно это не значит, что их нет. Вливание миллиардов долларов в Microsoft через Department of Defence, например, видно вполне отчётливо (первая попавшаяся ссылка "Microsoft wins $10 billion US Department of Defense JEDI cloud contract"), часть этих средств безусловно идёт на разработку Windows. Будет неправдой сказать, что бизнес американского бигтеха строится на прямых вливаниях из американского бюджета, но и говорить, что американское государство в деятельности этих компаний не участвует и материально не поддерживает тоже нельзя.
3. Факт зависимости РФ от продуктов американских компаний на лицо. Сама собой ситуация не изменится. Альтернативные десктопные и мобильные операционные системы в мире есть, но значительную доли рынка они самостоятельно занять не могут и видимо не смогут. Если брать мобильные ОС, то кого реально интересуют Sailfish, PureOS, postmarketOS и т.п. кроме горстки гиков (я среди них)?
4. Теперь вопрос: а насколько это критично? Если это вопрос государственной безопасности (а мне кажется это так и есть), то нужно принимать чрезвычайные меры, чтобы ситуация конкретно в России изменилась. Чтобы у нас вдруг стало не так как во всем мире. Для этого колоссальные усилия нужно предпринять. В том числе и в законодательной плоскости, и в сфере регуляторики. Сделать разумный протекционизм, как в Штатах, но располагая гораздо меньшими ресурсами. Это не просто кому-то денег дать. И результат совсем не гарантирован. Если же для государства засилье американских операционных систем это в целом норм, то тогда конечно можно оставить все как есть. Но ожидать, что ситуация сама изменится в силу самозародившейся конкуренции на локальном российском рынке, как мне кажется, не стоит.

По поводу новости, что компания Microsoft разблокировала возможность скачивать дистрибутивы ОС Windows из РФ

Добавить комментарий

По поводу новости, что компания Microsoft разблокировала возможность скачивать дистрибутивы ОС Windows из РФ. Ограничение доступа они ввели ~19 июня, сняли ~28 декабря. Это, по-моему, крайне скверно.

За 2022 год MS опубликовали отчёты (Defending ***: Early Lessons from the Cyber War, Microsoft Digital Defense Report), которые не оставляют никаких сомнений на какой эта компания стороне. MS больше не нейтральный глобальный IT-вендор. Нельзя по инерции продолжать их так воспринимать. Теперь это явный придаток американского государства. Для них Россия эта угроза. Не какие-то условные киберпреступники из России, а именно органы гос. власти. Они прямо пишут как они этой угрозе противодействуют. И много о чем, естественно, умалчивают. Другие компании из американского бигтеха себе такого не позволяют, это случай практически уникальный.

Я не большой поклонник блокирования доступа к каким-то ресурсам в Интернет, но в случае дистрибутивов Windows мне кажется это совершенно оправдано делать. Необходимо всячески способствовать сокращению доли ОС Windows в РФ при этом не навредив стабильности текущей инфраструктуры. Кажется, что ограничение на скачивание продуктов Microsoft (чтобы пользователи лишний раз задумались, а может ну его, может Linux-а хватит), а также дополнительные существенные сборы с продажи лицензий и новых устройств с Windows стали бы достаточно действенной мерой. Косвенно это подтверждают и сами MS, т.к. ограничения с их стороны были сняты явно не из-за человеколюбия, видимо что-то начало меняться в невыгодную для них сторону.

Прочитал статью Дмитрия Алтухова "Корпоративная мобильность на Android: троянский конь для критической информационной инфраструктуры"

2 комментария

Прочитал статью Дмитрия Алтухова "Корпоративная мобильность на Android: троянский конь для критической информационной инфраструктуры". Неплохая раскладка про Android. Выделил тезисы:

1. Android не всегда был лидирующей мобильной ОС. В 2007 70% рынка было у Symbian. В 2009 появился Android, в 2013 его доля выросла до 50%, а о Symbian уже никто не вспоминал.
2. На рынке настольных ОС существует массовая Microsoft Windows, нишевая Mac OS и множество вариантов Unix-подобных систем. На мобильном рынке олигополия, т.к. мобильные ОС сильнее интегрированы с аппаратным обеспечением, имеют более высокие требования к оптимизации процессов системы для обеспечения долгого времени работы устройства от аккумулятора.
3. Основной бизнес Google – не разработка программного обеспечения, а реклама и аналитика данных пользователей. Продукты и сервисы это инструмент доступа к пользователям и их данным.
4. Первая бесплатная и открытая мобильная ОС - уникальный маркетинговый ход Google, который сработал.
5. Архитектура ранних версий Android была достаточно простой. Архитектурно драйверы не были изолированы от основных компонентов ОС (до HAL).
6. В первых версиях все приложения Google поставлялись с открытым исходным кодом и входили в состав операционной системы. Спустя пару лет их убрали в лицензируемый набор сервисов, API и приложений Google Mobile Services (GMS).
7. Android не является «честным» ПО с открытым исходным кодом. Google публикует исходный код Android после завершения разработки каждой версии. Драйверы аппаратного обеспечения в виде исходных кодов в полном объёме отсутствуют. Размер исходного кода современного Android (150 млн строк) не предполагает, что кто-то с ним будет по-настоящему разбираться. Ежегодно меняется несколько млн строк. Лицензия SDK Android Studio не является свободной (только для разработки совместимого ПО).
8. «Настоящий» Android на всех рынках, кроме китайского — это не AOSP, а сертифицированные Google телефоны с проприетарным GMS.
9. Производители Android-устройств с сервисами Google (Open Handset Alliance) связаны конфиденциальными юридическими соглашениями. Запрет на производство устройств на базе "несовместимых" форков исходного кода Android. Mobile Application Distribution Agreement обязывает производителей устанавливать единственный поиск по умолчанию и выносить приложения Google на первые экраны.
10. Через эти ограничения остановили, например, проект Яндекс.Кит. «Яндекс» договорился о выпуске телефонов: вышли ограниченным тиражом Huawei Honor 3 Yandex и Explay Flame; затем вмешался Google – Fly и Prestigio были вынуждены свернуть выпуск моделей, а затем и Explay оказался в такой же ситуации.
11. Google никогда не пытались сертифицировать свои системы (в отличие от той же Microsoft). При использовании Android с GMS невозможно полностью исключить блокировку всего устройства или части функционала, дистанционное удаление всех данных или несанкционированный доступ к информации со стороны производителя или третьей стороны, например государственных органов страны, в которой зарегистрирован производитель ОС или устройства. Только в случае правильно выбранного производителя устройства с AOSP заказчик может существенно снизить эти риски. Вероятность наличия недокументированных и бэкдоров функций в формально открытом коде довольно низкая, но полноценный независимый аудит безопасности AOSP не проводился.
12.С 2015 года Google выпускает ежемесячные обновления безопасности. Сейчас обновления выпускаются лишь для версий 10–13. До 2017 года Android обновлялся через полную замену прошивки. В Android 8 Google начал переход к модульным обновлениям «нижних слоёв» ОС, выделив полноценный слой аппаратной абстракции (в рамках Project Treble), разделив обновления фреймворков Android и драйверов «железа». Google ввёл новую формулу для сертифицированных телефонов «два релиза ОС, три года обновлений». Но по факту следуют ей далеко не все производители телефонов с GMS. Обновления же Android в варианте AOSP лежат на совести каждого производителя устройств и разработчика форка.

С наступающим 2023 годом! Год был непростой, но интересный

Добавить комментарий

С наступающим 2023 годом! Год был непростой, но интересный
С наступающим 2023 годом! Год был непростой, но интересныйС наступающим 2023 годом! Год был непростой, но интересный

С наступающим 2023 годом! Год был непростой, но интересный. Мозгопрочищающий. По моей ИБ-шной активности помимо основной работы итоги получаются такие:

1. 31 эпизод на avleonov.com (блогпост с аудио/видео). На 3 меньше, чем в прошлом году. Из них
1.1. 12 обзоров Microsoft Patch Tuesdays. Тут получалось выпускать четенько, доволен собой. 🙂
1.2. 3 эпизода по другим уязвимостям (Joint Advisory AA22-279A, Gitlab OmniAuth, Spring4Shell).
1.3. 2 эпизода про инструменты детектирования (Vulners Linux Audit API, OpenSCAP).
1.4. 3 эпизода чисто про мои опенсурсные проекты (Vulristics, Scanvus).
1.5. 4 эпизода на общие темы (Zero Day, Malicious Open Source, End of CentOS Linux, удаляем данные с Github).
1.6. 3 эпизода про ИБшные конфы, где выступал (PHDays 11, AM Live VM, CISO Forum 2022). Ещё о 3 где-то мероприятиях не написал отчет. Основные темы, которые поднимал в этом году: "Слепые пятна в базах знаний VM решений", "Зловредный Open Source", "Изменения VM процесса в новой реальности".
1.7. 2 эпизода "Vulnerability Management news and publications". Очередная попытка поиграть в новостной формат. Довольно успешная, но свернул. В какой-то момент спросил себя, "я что, хочу тратить значительную часть свободного времени на постоянный пересказ чужих новостей?" Не хочу. Лучше хочу что-то свое делать и рассказывать об этом.
1.8. 2 эпизода в рамках VMconf 22. Проект отдельной Vulnerability Mangement "конфы" сворачиваю. Эксперимент неудачный, но довольно занимательный. Проникся ещё большим уважением к организаторам мероприятий, это прям работа-работа.

2. В июле завел телеграмм-канал на русском языке @avleonovrus, за полгода он набрал 500+ подписчиков. Делать посты на русском гораздо приятнее, быстрее и как-то естественнее. На некоторые темы писать на английском просто странно, особенно сейчас (импортозамещение, российские ОС, российская регуляторика и т.д.). Основной англоязычный канал @avleonovcom перевалил за 1500 подписчиков. Обе цифры для настоящих блоггеров конечно ни о чем, ну да я и ненастоящий блоггер. 😉

Планы на следующий год примерно те же - постараться насколько возможно жить своей жизнью и периодически фиксировать реальность, когда не фиксировать её не получается. Постараюсь больше уделять внимания освещению своих опенсурсных проектов, т.к. толку от этого больше. На конференции собираюсь ходить, только если орги будут звать, самому подаваться пока не хочется.

Прочитал статью в Ъ, что некий консорциум из российского бигтеха будет развивать "мобильную операционную систему для широкого потребителя"

3 комментария

Прочитал статью в Ъ, что некий консорциум из российского бигтеха будет развивать "мобильную операционную систему для широкого потребителя". Т.е. фактически возьмут гугловый AOSP, запилят свой аналог Google Mobile Services и такое поделье в духе хуавеевской Harmony станет нашей новой отечественной мобильной ОС. И эта ОС видимо будет дальше продвигаться для установки на отечественные же устройства.

А что же в таком случае будет с Авророй? "Будет использоваться в корпоративном и государственном секторе для работы с чувствительными данными". Т.е. останется нишевым решением поддерживаемым за счёт регуляторных требований и без особых перспектив роста. 🙁

Если и правда так будет, то это жесть. Хитрым способом получили контроль над единственным в мире полноценным мобильным Linux-ом, чудом нарастили экспертизу, чтобы оно как-то работало и развивалось. И вместо того чтобы продвигать сейчас своё родное по максимуму, опять будут брать готовый американский код, который не контролируют вообще никак. И все для того, чтобы бигтеху свои уникальные Java-приложеньки не переписывать. Офигеть теперь. Ну не хотите переписывать, ну развивайте эмулятор в Авроре. Sailfish OS позволяет запускать Android приложения, в Авроре тоже не должно быть принципиальных проблем с этим. Но нет. Лучше по пути наименьшего сопротивления.

В общем, новость так себе. 😐

Выпустил эпизод про поддержку двух API в Scanvus

1 комментарий

Выпустил эпизод про поддержку двух API в Scanvus. Потестил сканирование локалхоста, удаленного хоста по SSH и Docker образа. Все работает, но при сравнении результатов есть серьезные расхождения. До конкретных причин я в этом эпизоде на докапывался. Однако это в очередной раз подтверждает, что обнаружение уязвимостей не такое просто дело, и хорошо, когда можно использовать несколько независимых механизмов обнаружения и сравнивать результаты. 😉