Кто проаудирует аудитора ИБ?

    На недавней Infosecurity 2016 один из выступавших озвучил, что методика внутреннего аудита ИБ его компании получила положительное заключение от одной из ведущих аудиторских компаний.

4 типа организаций кому не выжить без IDM

    После недавней истории о схожести стоматологии и внедрения IDM наверняка все читатели подумали - «Да ну его нафиг, эта IDM-затея для мазохистов». Без небольшого мазохизма в этом деле никак (а уж представьте какие мазохисты CIO, что внедряют интеграционные шины), но у этой затеи есть очень, ОЧЕНЬ жирные плюсы. Такие жирные, что целым категориям организаций без IDM вообще никак. Руководству их служб ИТ и ИБ иногда может быть проще ходить с невылеченными зубами чем работать без IDM.

Что общего между стоматологией и внедрением IDM - 10 фактов

    За последние 3 года я участвовал в подготовке десятков сделок по внедрению IDM. Часть из них сорвалась из-за санации банков, часть развалилась из-за высокой цены на пользователя (до определенного размера инфраструктуры IDM внедрять экономически невыгодно), часть была успешно закрыта. Параллельно с этим я наблюдал за развитием нескольких программ проектов по развитию IDM в инфраструктурах на с ХХ ХХХ и даже ХХХ ХХХ пользователей - в компаниях, проблемы в информационных системах которых могут привести к экологической катастрофе или остановке значительной части платежей в стране.

Мощный процессор против мощной разведки - 2 подхода к созданию сетевых средств защиты

    3 месяца назад я писал о возможном подходе ИБ-капиталистов к решению проблем ИБ, а заодно - к захвату ИБ-рынка. Вкратце подход простой - коммодитизировать threat intelligence, и пусть победит тот у кого больше денег для инвестиций в разработку специализированных программно-аппаратных комплексов (классический пример - Cisco, Palo Alto,  Fortinet, CheckPoint) для обработки неуклонно увеличивающегося потока информации. Коммодитизация threat intelligence в теории позволит охватить максимально большое число угроз и понизить стоимость обеспечения безопасности мегабита.

Басня о честном тендере по ИБ

    В Тридевятом Царстве под Москвой собралась компания начальников отделов ИБ и решила провести честный тендер. Никто из них ранее ранее такого никогда не проводил, просто потому что провести честный тендер - когда у всех 100% равные условия на самом деле очень трудно, а задача начальника отдела ИБ не трудности себе придумывать, а задачи бизнеса решать.

20-ая Экономика потребления - дайджест и закрытие рубрики

    Юбилейный, 20-ый выпуск ежемесячной рубрики Экономика потребления, станет и последним. В рубрике уже 19 кейсов, должны быть понятны элементы и дух качественного сервиса с точки зрения погруженного в предметку ИБ специалиста, а значит должно быть проще внедрять элементы в ежедневное взаимодействие с бизнесом.

Экономика потребления: Цифровое здоровье или -15 кг за 6 месяцев

    Решил рассказать как я похудел на 15 кг за 6 месяцев с помощью технологий "цифрового здоровья" (Digital Health).

"Ковровая бомбардировка" клиентской базы или 6 стилей и 7 проблем маркетинга в ИБ

    Только ленивый не считает своим долгом пнуть маркетинг в ИБ (или специалист службы маркетинга), присоединюсь и я, тем более что себя пинать даже как-то весело (иногда я выступаю в роли такого специалиста).

Экономика потребления: журнал Хакер, омниканальность и английский язык

    Как и многие из безопасников я подписчик журнала Хакер. Забавно, что мне от него мало практической пользы, так как техникой я занимаюсь мало, но знать о последних тенденциях считаю важным. Журнал выполнял для меня роль аггрегатора технической информации, читал я его в 2003-2009 и с 2015 по сегодняшний день.

Киберподжоги в IoT или МТС с Redmond повышают риск пожаров?

    Полгода назад Cnews сообщил о начале партнерства МТС с "умной" техникой Redmond, которой возможно управлять дистанционно. Даже дети знают, что нельзя оставлять пожароопасные предметы без присмотра, но видимо вырастая забывают. Продуктов у Redmond целый ряд (частично на Android 4.3):

Программно-определяемые риски

    В последнее время все громче звучит рой голосов о внедрении "программно-определяемых" сетей и датацентров (SDN\SDDC). Черт бы с голосами, но не одна организация стала клиентом "облачных" инфраструктурных сервисов (например, AWS), основанных именно на такой идеологии.

Стратегия победы больших ИБ вендоров - горизонтальная интеграция и "нефть угроз"

    Определенные классиками факторы производства - Труд, Земля и Капитал в последнее время дополняются Талантом. Талант неудобен для капиталистов - его еще сложнее масштабировать чем Труд, он дороже Капитала, и ограничен как Земля. Существует целый набор стратегий управления Талантом и его наличием (весь ИТ-аутсорсинг вырост из этой проблемы), но для ИБ профи Талант интересен в разрезе противодействия другому Таланту - а именно злоумышленникам.

Экономика потребления: Критикуем консалтинг - стимулируем карго-культ

    На волне обсуждений импортозамещения очень забавно видеть, как руководители одной из ключевых государственной организации страны показывают сделанные западными консультантами стратегии, подчеркивают оценки ущерба от McKinsey (сделанные для мира, не для Росссии;) и собираются переводить лондонский курс по кибербезопасности, без которого ни в жизнь не стать нормальным ИБшником.

10 обязательных ИБ-инструментов для ИБ консультантов и "бумажников"

    Уважаемые коллеги, ИБ-консультанты и "бумажники" (под бумажниками подразумеваю аттестаторов и иже с ними), а вам не смешно что вам пару лет как вышедшие из вуза скрипт-киддисы тычут "практической безопасностью"? Лично мне смешно, ведь мне доводилось работать в частном CERT, заниматься реверс-инжинирингом, проводить анализ защищенности периметра и администрировать средства защиты корпоративного класса - высшая математика в вузе давалась намного сложнее;)

     Но и в примате "практической" безопасности есть доля истины. Существует набор общедоступных инструментов, без владения которыми сложно решать задачи по сбору, анализа и подготовке информации для управленческих решений в ИБ - основной работы консультантов. Или сложно без них коммуницировать важность ИБ внутренним и внешним клиентам:) Тех, которые использую я 10:

1. nmap - самый быстрый вариант понять что у нас есть в сети, а заодно ознакомиться с реальной NetBIOS нотацией.
2. Nexpose - неограниченно доступный во времени полноценный сканер уязвимостей, раньше был на 256 теперь 32 IP. 
3. Wireshark - отлично подходит что бы показать небезопасность открытых Wi-Fi, хоть сейчас уже и хуже чем раньше в связи с распространением https. Раньше используя Wireshark можно было засечь нарушения пользователями политики безопасности - тот же Dropbox, недавно пробовал - не получилось (может в том месте сеть просто была сегментирована лучше).
4. NetWitness Investigator - помогает разобраться в ранее захваченном Wireshark'ом трафике. Автоматически "разрезает" трафик по IP, протоколам, доменным адресам, наличию и типу вложений и т.п. Ограничение в 1ГБ анализируемого трафика.
5. Cain&Abel - пригодится для демонстрации опасности Man in the Middle путем ARP Spoofing.
6. Maltego - аналогично для демонстрации "цифровой тени" личности в Интернете, в частности в социальных сетях (жаль, вКонтакте не поддерживается).
7. Microsoft Access - позволяет работать с данными больше ограничений Excel. Excel не упоминанию, так как по моему с ним уже все умеют работать.
8. Splunk - помогает искать в тех обьемах, которые не тянет ни Excel ни Access, а так же в неструктурированных данных.
9. Evernote - мастерское владение продуктом позволяет "помнить" - использовать невозможный для нормально человека обьем знаний. А это и security bencmarking, и легкая подготовка комментариев и статей, и основа для прогнозов и аналитики, и всегда полная и актуальная нормативная база под рукой.
10. VirtualBox\VmWare Player - хостовая виртуальная машина позволяет держать основную в чистоте, пробовать софт неизвестного происхождения в изолированной среде и в принципе дает новую степень свободы. Сейчас смотрю на AWS и Docker, в общем-то разные вещи но развивающие ту же возможность свободы от инфраструктуры.

    Надеюсь, этот список будет полезен. Разрушим "монополию" на технические знания:)

5 скомпрометировавших себя терминов в ИБ

    Информационная безопасность долгие годы являлась закрытой темой военных и ученых, и не сказать что бы для обычного человека ситуация поменялась. Производители решений культивируют свою "избранность", запугивают неспециалистов растущими неотразимыми постоянными угрозами. Но даже в такой "мутной" теме есть свои чемпионы по "мутности". Целый ряд терминов из-за своей размытости, неопределенности и спорной полезности себя скомпрометировал, в том числе и 5 следующих:

Экономика потребления: Сервис проверки читаемости текста

    Пишущие люди рано или поздно приходят к пониманию необходимости писать не просто точно и четко, но и понятно. Ведь если текст не понят - то время затраченное на его написание и продвижение потрачено впустую. Работать зря, работать "в стол" не хочется, поэтому применяются методики управления читабельностью и понятностью. Известной является "золотая пирамида Минто", что используется McKinsey и другими консультантами "большой тройки".

Новогодние мечты - Как получить дешевый и качественный проект

    В нынешнее время проблема оптимизации затрат актуальна как никогда. Если и есть новые деньги то их уже меньше в пересчете на единицу (пользователя, рабочее место, точку продаж).
Что же делать в новой экономической реальности? Как вариант - оценить свой портфель подрядчиков.

Слабое звено - есть ли необходимость повышения производительности службы ИБ?

    На рынке ИБ каждый второй вендор, похоже, ориентируется на олимпийские лозунги "Быстрее! Выше! Сильнее!" т.е. агититирует за повышение производительности службы ИБ.

Экономика потребления: Удаленный видеобанкинг от Ulster Bank

    Давече пользовался приложением Waring Street от Ulster Bank (банк из глобальной банковской группы RBS, третий банк в Ирландии).
    Приложение скачивается из обычных "сторов" и предоставляет видеосвязь для банковского работника и клиента. Идентификация и аутентификация со стороны клиента производятся по имени комнаты и паролю для доступа в нее. В моем случае имя комнаты было простым - AlexBodryk.
    Теперь можно увидеть своего менеджера не посещая отделения, и даже не регистрируясь в Skype\Viber. Банк декларирует "безопасность банковского уровня" и активное использование шифрования при передаче данных. Насколько знаю, в России пока такого удобного сервиса нет ни у кого. Попробуем сподвигнуть самый большой "цифровой" банк (Тинькофф), поставив имя его твиттер аккаунта в заголовок.

P.S. Функции аутентификации и шифрования для данного сервиса являются превосходным примером как безопасность может стать business enabler. Без уверенности в безопасности сервиса клиенты не будут активно пользоваться сервисом и обсуждать свои конфиденциальные сделки.

недоКиллер VS лучшие практики SANS

    Недавняя новость о новом продукте российского вендора, обещающего защиту от "всех целенаправленных атак" заставила задуматься - неужели панацея возможна, а придуманная ранее сообществом специалистов по ИБ США модель 20 критичных контролей избыточна.