Кем же работает Лукацкий на самом деле?

Самым известным человеком, который умел делать несколько дел одновременно, был, по преданию, Юлий Цезарь. Я не буду оспаривать этот миф, обращусь лишь к фактам, которые присутствуют в Интернете и собираются за час.

Рассмотрим деятельность Лукацкого, которая на виду у всего Интернет сообщества. Смотреть буду только январь и февраль 2012 года. Итак:

Активность на блоге

В январе Лукацким было написано 23 поста, в феврале 22 поста. Если все посты слить в один файл, то получится вот такая статистика:

По времени посты распределяются следующим образом:

1:39, 5:02, 5:08, 5:10, 5:11, 5:11, 5:12, 5:14, 5:19, 5:22, 5:31, 5:33, 5:37, 5:38, 5:39, 5:39, 5:44, 5:51, 5:52, 5:53, 5:56, 5:57, 5:58, 5:59, 11:16, 11:39, 12:25, 13:44, 13:50, 14:46, 14:48, 15:06, 15:27, 15:31, 15:32, 15:35, 15:39, 16:05, 16:46, 19:49, 22:46, 23:01.

Следовательно, активность в течение дня распределяется так:

• утро с 5 ч. до 6 ч. - 55%;

• день с 11 ч. до 17 ч. – 35%;

• вечер после 19 ч. – 10%.

Понятно, что при публикации поста в блогах можно указывать нужное время или изменить часовой пояс.

Также Лукацкий участвует в обсуждении своих постов, путем ответов на комментарии.

Активность в твиттере

В январе Лукацким было написано 197 твитов, в феврале 468 твитов. В среднем это означает 6,35 твитов в день в январе и 16,14 твитов в день в феврале.

Активность на форуме банкира

В январе Лукацким было написано 17 сообщений, в феврале 38.

Курсы и презентации

Лукацкий ведет свой собственный курс по ПДн в Финконсалтинге,

Лукацкий был замечен в качестве выступающего на Уральском форуме и на PCI DSS RUSSIA.

Также Лукацкий публикует статьи в журналах и пишет книги.

Собственно к чему этот пост?

А к тому, что совершенно не понятно как можно работать в известной компании и одновременно вести подобную «потустороннюю» деятельность. Только на публикацию всего этого материала и аналитики уходит уйма времени, а сколько времени уходит на поиск этой информации?! Складывается впечатление, что Лукацкий больше числится в известной компании, чем работает на нее. Впрочем, я могу заблуждаться, может быть в этом и заключается маркетинговое преимущество этой компании, благодаря тому, что в ней работает такой Гуру по информационной безопасности.

Ну и в заключении хочу отметить, что в январе Лукацкому была вручена благодарность министра внутренних дел Нургалиева, а в феврале диплом от ассоциации российских банков. :-)

ТОП-5 СЗИ

Где-то в блогосфере совсем недавно мне попался пост об основных средствах защиты. Эдакий минимальный джентльменский набор СЗИ, который должен быть у всех. Я тоже решил немного поразмыслить на этот счет и вот что у меня получилось графически.

1.       Межсетевой экран

2.       Антивирус

3.       Установка обновлений (говоря точнее управление уязвимостями)

4.       Контроль USB (говоря шире это контроль пользовательской активности)

5.       Резервное копирование

Единственное, что хочу отметить это необязательность второго пункта программы и вот почему. Если не учитывать сегодняшние тенденции становления антивирусов многопрофильными комбайнами по образу [имя продукта] Enterprise Endpoint Security, то основное назначение антивирусов это уничтожение вредоносного кода. Сможет ли вредоносный код оказать отрицательное воздействие зависит от наличия уязвимостей в ПО, поэтому регулярное обновление ПО в значительной степени парирует эту угрозу. И если уязвимостей в ПО нет, то можно в значительной степени считать, что антивирус будет лишь уменьшать количество контента, поставляемого в организацию из вне.

Админские права у пользователей

Перевел фрагмент анотации на интересный продукт, посвященный отбору админских прав. Сам продукт не называю.

Сложности установления минимальных привилегий

Улучшение безопасности ассоциируется с ликвидацией административных прав. Можно спросить, почему так много организаций позволяют своим сотрудникам работать с административными правами. Это идет от предположения, что убрать лишние права очень трудная задача, и что пользователи будут работать менее эффективно из-за запретов, возникающих минимальными правами. Если пользователю нужны административные права, чтобы запустить единственное приложение, приходится добавлять его в группу администраторов. В действительности же у каждого пользователя более, чем одно приложение требует таких прав. Увеличение количества ноутбуков в организации только усиливает эту проблему, т.к. пользователям самим приходится решать многие административные задачи на них, например, изменять сетевые настройки, добавлять принтеры, устанавливать дополнительное ПО.

Неспособность большинства ОС точечно предоставлять и контролировать нужные приложениям права является фундаментальным барьером для многих организаций, желающих добиться эффективной работы своих сотрудников с минимальными привилегиями, необходимыми для выполнения ими своих задач.

Хотя в Windows XP есть режим запуска “Rus As”, а в Windows Vista и Windows 7 есть режим User Account Control (UAC), эти режимы всё еще требуют, чтобы пользователь имел дополнительно еще и административную учетную запись для выполнения административных задач. Однако эти возможности больше подходят для работы на домашнем компьютере, когда пользователь выполняет свои повседневные дела, работая под обычными правами, и использует полные права только эпизодически. 

Ликвидация административных прав

Ликвидация административных прав для обычных пользователей это первый шаг на пути установления минимальных привилегий. Это часто называет least-privileged user account (LUA). LUA должен быть применен, как к обычным пользователям, так и к администраторам.

Однако применение LUA может быть трудным и дорогим во внедрении, т.к. приложения, требующие административных прав часто должны быть переработаны или для их работы нужно точно понять какие ресурсы им необходимы, точечно предоставить их, чтобы эти приложения заработали под обычными правами.

Когда пользователям требуется сконфигурировать ОС, что бывает необходимо во многих ОС, им предоставляются административные учетные записи. Используя режимы Run As и UAC можно запустить приложения под административными правами, но для этого опять же нужно дать пользователям права администратора. Всё это очевидно создает следующие трудности:

§        пользователи должны быть доверенными, т.к. имеют локальные административные учетные записи, что создает возможность злоупотреблений, что в корпоративной среде неприемлемо;

§     приложения, запускаемые под другими учетными записями, нежели работают сами пользователи, создают дополнительные проблемы. Например, приложения могут не иметь доступа к пользовательским профилям или сетевым ресурсам, в результате чего уменьшается прозрачность при работе пользователей с приложениями.

§     пользователи должны помнить по два пароля: один стандартный, другой административный.  Пользователям нужно быть более бдительными при запросах ОС о вводе административных паролей, такие пользователи становятся слабым звеном любой системы.

Все эти проблемы создают предпосылки для повседневной работы пользователей под административными правами.

Сертифицированные СЗИ-2010

Лучше поздно, чем никогда, поэтому решил всё-таки для себя свести СЗИ сертифицированные по линии ФСТЭК в 2010 году.

Опять же не перечислю СЗИ, не относящиеся к программным средствам, являющиеся какими-либо специальными средствами, а также предназначенные для госов или около того.

Антивирусы

Kaspersky Administration Kit 8.0. ПО Kaspersky Administration Kit 8.0 - по 3-му уровню РД НДВ и требованиям ТУ

Dr. Web® версии 5.0  для Windows. Программное изделие «Антивирус Dr. Web® версии 5.0 для Windows» - по 2 уровню контроля НДВ и ТУ

Security Studio Endpoint Protection Antivirus. Средство защиты информации Security Studio Endpoint Protection Antivirus -  по 4 уровню контроля отсутствия НДВ, и на соответствие ТУ, с ограничениями формуляр

Межсетевые экраны и VPN

WatchGuard Firebox. Программно-аппаратный комплекс межсетевой экран «WatchGuard Firebox» с программным обеспечением «Fireware XTM» версии 11 - межсетевой экран, предназначенный для защиты информации, не содержащей сведений, составляющих государственную тайну, соответствует 3 классу защищенности для МЭ при выполении указаний по эксплуатации

CSP VPN Server  v. 3.0. ПС «Сервер безопасности CSP VPN Server.Версия 3.0»  - по ОУД 3 в соответствии ОК и 4 уровню НДВ (использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 2 класса включительно.)

CSP VPN Gate v. 3.0. Программный комплекс «Шлюз безопасности CSP VPN Gate.Версия 3.0»»  -по ОУД 3 в соответствии ОК и 4 уровню НДВ (использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 2 класса включительно.)

CSP VPN Client  v. 3.0. Программное средство «Клиент безопасности CSP VPN Client. Версия 3.0»  - по ОУД 3 в соответствии ОК и 4 уровню НДВ (использоваться при создании автоматизированных систем до класса

защищенности 1Г включительно, а также для защиты информации в ИСПДн до 2 класса включительно.)

CSP RVPN v. 3.0.Программный комплекс «Шлюз безопасности CSP RVPN. Версия 3.0»  - по ОУД 3 в соответствии ОК и 4 уровню НДВ (использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 2 класса включительно.)

CSP VPN Server  v. 3.1. Программный комплекс «Сервер безопасности CSP VPN Server.Версия 3.1»  - по ОУД 3+ в соответствии ОК и 3 уровню НДВ (может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 1 класса включительно.)

CSP VPN Gate v. 3.1. Программный комплекс «Шлюз безопасности CSP VPN Gate.Версия 3.1»»  -по ОУД 3+ в соответствии ОК и 3 уровню НДВ (может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 1 класса включительно.)

CSP VPN Client  v. 3.1. Программное средство «Клиент безопасности CSP VPN Client. Версия 3.1»  - по ОУД 3 в соответствии ОК и 3 уровню НДВ (может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 1 класса включительно.)

UserGate Proxy & Firewall 5.2.F. Программный комплекс UserGate Proxy & Firewall 5.2.F –  на соответствие ЗБ и имеет оценочный уровень доверия ОУД2 для ОК , по 4 классу РД МЭ, 4 уровень - РД НДВ (может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для перданных до 1 класса включительно)

ССПТ-2. Межсетевой экран ССПТ-2 версии 1.3 - по 3 классу для МЭ и 3 уровню контроля НДВ

TrustAccess. Средство защиты информации TrustAccess -  по 4 уровню контроля отсутствия НДВ, и на соответствие 2 класс РД МЭ ( может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 1 класса включительно.)

TrustAccess-S. Средство защиты информации TrustAccess-S -  по 2 уровню контроля отсутствия НДВ, и на соответствие 2 класс РД МЭ ( может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 1 класса включительно.)

ViPNet Coordinator HW-VPNM.Программно-аппаратный комплекс защиты информации "ViPNet Coordinator HW-VPNM" - на соответствие 3 кл РД МЭ,  3 уровень по НДВ, и ТУ (может использоваться для защиты информации  в АС 1В и ИСПДн до 1 класса включительно)

ViPNet Coordinator HW1000.Программно-аппаратный комплекс защиты информации "ViPNet Coordinator HW1000" - на соответствие 3 кл РД МЭ,  3 уровень по НДВ, и ТУ (может использоваться для защиты информации  в АС 1В и ИСПДн до 1 класса включительно)

ViPNet Coordinator HW100. Программно-аппаратный комплекс защиты информации "ViPNet Coordinator HW100" - на соответствие 3 кл РД МЭ,  3 уровень по НДВ, и ТУ (может использоваться для защиты информации  в АС 1В и ИСПДн до 1 класса включительно)

Stonegate Firewall. Межсетевой экран StoneGate Firewall - по 2 классу для МЭ,  по 4  уровню контроля в соответствии с РД НДВ и требованиям ТУ

Security Studio Endpoint Protection Personal Firewall.Средство защиты информации Security Studio Endpoint Protection Personal Firewall - по 4 уровню контроля отсутствия НДВ, по 4 классу РД МЭ и на соответствие ТУ

Купол-Т. Программный модуль защитного туннелирования «Купол-Т» – по 4  уровню контроля в соответствии с РД НДВ

Операционные системы и виртуализация

МСВСфера 5.2 Desktop. Клиентская операционная система с интегрированными пользовательскими приложениями МСВСфера 5.2 Desktop - на соответствие ЗБ и имеет оценочный уровень доверия ОУД2 для ОК ,  4 уровень - РД НДВ  (может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для перданных до 1 класса включительно)

МСВСфера 5.2 Server. Cерверная операционная система с интегрированными серверными службами МСВСфера 5.2 Server - на соответствие ЗБ и имеет оценочный уровень доверия ОУД2 для ОК ,  4 уровень - РД НДВ  (может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для перданных до 1 класса включительно)

Security Code vGate  for VMware Infrastructure. Средство защиты информации Security Code vGate  for VMware Infrastructure -  по 4 уровню контроля отсутствия НДВ, и на соответствие 5 класс РД СВТ ( может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 1 класса включительно.)

VMware vSphere 4. Программный комплекс «VMware vSphere 4 в составе: ESX 4.0 Update 1 и VMware vCenter Server 4.0 Update 1» в редакциях: «Essentials», «Essentials Plus», «Standart», «Advanced», «Enterprise», «Enterprise Plus» –  на соответствие 5 класса СВТ (может использоваться в 1Г и ИСПДн до 2 класса)

Средства защиты от НСД

Secret Net 6. Средство защиты информации Secret Net 6 -  по 4 уровню контроля отсутствия НДВ, по 4 классу защищенности для СВТ (может использоваться в 1Г и может использоваться для защиты информации  в ИСПДн до 1 класса включительно)

Страж NT v.3.0. Система защиты информации от несанкционированного доступа "Страж NT" (версия 3.0) МАВУ.00028-01 - по 3 СВТ и  2 НДВ (может использоваться в 1Б и использоваться для защиты информации  в ИСПДн до 1 класса включительно)

Citrix Presentation Server 4.5. Citrix Presentation Server 4.5 with Feature Pack 1 for Microsoft Windows Server 2003 (Citrix XenApp 4.5 for Microsoft Windows Server 2003) Advanced SE Edition, Enterprise SE Edition –  на соответствие ТУ и 5 класс СВТ (может использоваться в 1Г)

Сканеры уязвимостей и обнаружение атак

XSpider 7.7. Средство анализа защищенности «Сетевой сканер безопасности XSpider 7.7» -  по 2 уровню контроля отсутствия НДВ и ТУ

Stonegate IPS. Система предотвращения вторжений с функцией межсетевого экрана Stonegate IPS - по 3 классу РД МЭ, РД НДВ - по 4  уровню контроля, соответствует ТУ,  может использоваться при создании АС до класса защищенности 1Г включительно и для защиты информации в ИСПДН до 1 класса включительно

Security Studio Endpoint Protection HIPS. Средство защиты информации Security Studio Endpoint Protection HIPS - по 4 уровню контроля отсутствия НДВ и на соответствие ТУ

DLP

InfoWatch Traffic Monitor 3.3. ПК "InfoWatch Traffic Monitor 3.3" –  на соответствие 4 уровню РД НДВ, ТУ и может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 1 класса включительно.

DeviceLock 6.4.1. Программный комплекс DeviceLock 6.4.1 соответствует заданию по безопасности и имеет оценочный уровень доверия ОУД 2 по  РД БИТ, по 4 уровню НДВ (может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно)

SIEM

ArcSight Enterprise Security Manager. Программное обеспечение системы мониторинга и корреляции событий информационной безопасности ArcSight Enterprise Security Manager - на соответствие ТУ

SSO

AstroSoft MatchLogon. Программное изделие «AstroSoft MatchLogon» версия 3.3 - по 3 уровню контроля отсутствия НДВ и на соответствие ТУ

Контроль принтеров

Print Control v. 2.4. Программный продукт "Средства контроля и аудита печати Print Control v. 2.4" -  на ТУ  и по 4 уровню НДВ (может использоваться в 1Г и использоваться для защиты информации  в ИСПДн до 1 класса включительно)

Из интересного с единичным сертификатом:

1С: Предприятие, версия 8.2z. Защищенный программный комплекс "1С: Предприятие, версия 8.2z" -  на соответствие РД СВТ(5класс) и РД НДВ (4 уровень) (может использоваться при создании автоматизированных систем до класса защищенности 1Г включительно, а также для защиты информации в ИСПДн до 1 класса включительно.) 10000 экз.

IDC

Сегодня был на конференции IDC IT Security Roadshow. Из всех докладов на которых я присутствовал понравился лишь последний доклад независимого эксперта Глеба Лигачева, конспект которого и привожу здесь:

ДИТ в больших корпорациях в последние годы сильно деградировал.

Основными задачами ДИТ стали:

• не трогай раз работает;

• не трогай пока работает;

• если что-то поменяем, то вдруг не будет работать;

• а если вдруг не будет работать, вдруг не сможем откатиться назад;

• ничего не внедряй нового, а только поддерживай как можешь по той же причине.

Поэтому их методы работы стали:

• всячески оттягивать согласования;

• всячески оттягивать внедрения;

• прикрывать свою «плоскость опоры».

Про ДИБ:

• часто располагаются под руководством ДИТ, поэтому все вышеперечисленное это и про них;

• часто располагаются под обычной безопасностью, поэтому их задачами становятся: собирать материал и расследовать действия сотрудников;

• просто запрещать, т.е. создавать неудобства (про рациональность даже речь не идет).

Выводы:

• ДИТ и ДИБ являются обеспечивающими подразделениями;

• ДИТ и ДИБ не помогают, а только мешают бизнесу;

• если между бизнесом, ДИТ и ДИБ нет противостояний, то это уже хорошо.

Что делать:

• менять кадры, включая руководство;

• должна быть ротация кадров, например, 3-5 лет;

• нацеливать ДИТ/ДИБ на помощь бизнесу, т.е. на достижение конкурентных преимуществ;

• пиарить собственную деятельность ДИТ/ДИБ, чтобы все, включая руководство, знали и понимали, что они делают и какая от них есть польза.

Как пробивать проекты:

• обосновывать до копейки проекты бесполезно, т.к. бизнес в них ничего не понимает и поэтому они бизнесу не нужны;

• должно быть неформальное общение бизнеса/ДИТ/ДИБ/других подразделений тогда успех проектов более очевиден.

Нужно учитывать:

• что все системы нужно сильно кастомизировать и это большая головная боль для всех;

• если будет успех проекта, то бенефиты получит бизнес подразделение;

• если будет провал проекта, то виноватым будет ДИТ или ДИБ.