Противодействие кибератакам в финансовой сфере

Внимательно посмотрел и послушал панельную дискуссию «Противодействие кибератакам в финансовой сфере — Информационная безопасность банков 18 апреля2022г». Всё полезное там было в первом часе, далее шла просто дискуссия о преимуществах и недостатках аутсорсинговых соков. Хочу привести основные новые озвученные угрозы, мысли о них на сегодняшний день вместе со своими комментариями:

1. Сейчас за атаками стоят многочисленные правительства иностранных государств, о чем раньше мало кто даже фантазировал. Это было только в литературе, в моделях угроз ФСБ и в качестве шаблонных фраз на выступлениях. Сейчас это стало реальностью. За атаками стоят официально поддерживаемые властями иностранные ИТ компании.

2. Настало время относиться ко всему по методологиям Zero-trust (нулевое доверие), в том числе и к персоналу. Есть информация, что администраторам предлагают значимые суммы ($2000) за размещение вредоносных программ в контролируемых ими корпоративных сетях.

Race Condition

В техниках безопасного программирования есть такое понятие, как Race Condition. Перевожу сразу из учебника:

Две инструкции из разных потоков пытаются получить доступ к одним и тем же данным одновременно. Когда разработчик пишет приложение, потоки данных должны быть запрограммированы на последовательный доступ к данным. Сразу приводится пример:

Два футбольных фаната покупают билеты на финал Суперкубка. Когда они приходят на стадион, они обнаруживают, что проданные им билеты на одно и то же место. Это большая прибыль для тех, кто продает билеты, но плохая ситуация для тех, кто покупает билеты.

В банковской отрасти это может означать, что нужно отслеживать выполнение распоряжений клиента, исходящих их разных мест. Например, в каждом банке (брокере, страховой компании, и т.д.) есть web-кабинет и мобильное приложение. Разумно сделать контроль сессий клиента, чтобы в единицу времени активной была только 1 сессия. Некоторые банки давно имеют такой контроль, а некоторые нет. Реализации могут быть следующими:

- при открытии второй сессии, пишется ошибка, что сессия клиента уже существует;

- при открытии второй сессии, первая сессия автоматически закрывается.

Этот контроль сделать несложно, так как чаще всего разные виды ДБО для клиентов - это лишь разные интерфейсы, ведущие к общей прикладной части и далее к общей БД.

CompTIA Security+ Вопросы и ответы после разделов

Перечитал последнюю редакцию книги CompTIA Security+, о которой писал немного ранее. По данной книге сейчас уже проводится 6-я версия экзамена (SY0-601). 

Через Яндекс Переводчик сделал переводы вопросов и ответов после каждой из глав. Даю ссылку на файл с вопросами и ссылку на файл с ответами, которые выложил через Яндекс.Диск. За перевод не судите, так как это AI, а не я.

Как оплачивать услуги в (ISC)2

Недавно я писал заметку, как сейчас можно оплачивать услуги в ISACA. Аналогичная схема применима и к (ISC)2. Человек с телеграмм-чата последовал моему совету, запросил у техподдержки реквизиты. Техподдержка прислала реквизиты, написала, чтобы он в платеже указал свои данные (имя и ID) и после совершения платежа отправил информацию об этом. 

Thank you for contacting us.

Yes, members do have an option to pay via wire. Please find the wire instructions attached. We ask members to use their name and (ISC)2 Member ID as reference so that our finance department could locate your payment and apply it to your account. Please note that we do not cover any bank charges. Please send the payment confirmation directly to our Finance department on ARprocessing@isc2.org.

Перевод был выполнен также через Тинькофф банк и дошел на третий день. На форумах пишут, что такая "скорость" связана с тем, что Тинькофф банк сперва держит платеж 3 дня и только потом отправляет.

На днях поступила официальная инфа, что Тинькофф банк до конца года будет переименован, ну а SWIFT - живи!

Опасные и безопасные протоколы

Из учебника CompTIA Security+ публикую скриншотами опасные и безопасные протоколы. В общем случае первых не должно быть в сети, они должны быть замещены на вторые. 

Конечно всё это нужно делать не шаблонно, а вдумчиво.