Что такое банк угроз: цели создания и доступ к информации. Идентификатор БДУ ФСТЭК России. Базовый вектор уязвимости CVSS 2.0. Справочник мер защиты новой БДУ соответствует только составу мер из Требований, утвержденных приказом ФСТЭК России от 25 декабря 2017 года № 239 (для объектов КИИ). О банке данных угроз безопасности информации ФСТЭК России регулярно пишут разные авторы.
Новый раздел банка данных угроз: что важно знать
Автоматизирует контроль защищенности XSpider позволяет выстроить процесс выявления уязвимостей: настроить автоматический запуск задач на сканирование в нужное время. Благодаря этому отпадает необходимость в ручной проверке каждого отдельного компонента информационной системы. Входит в реестр Российского ПО, рег. Преимущества Обширная база знаний команда экспертов Positive Technologies регулярно пополняет базу новыми данными об угрозах. Автоматизация сканирования в XSpider можно настроить автоматический запуск задач на сканирование в нужное время. После завершения сканирования системный планировщик может направить отчет по электронному адресу или сохранить его в указанную сетевую папку. Быстрая установка и настройка XSpider не требует развертывания программных модулей на узлах, все проверки проводятся удаленно.
Но в отличие от BDU:2024-00878, эта уязвимость затрагивает только старые версии продукта — до 2022. Уязвимость актуальна для всех версий до 2020. Уязвимость возникает в случаях, когда приложение использует недоверенные пользовательские данные в качестве пути к запрашиваемому файлу без проведения необходимых проверок. Уязвимости подвержены версии продукта до 2022. Websoft HCM. Для проведения атаки необходимо спровоцировать жертву перейти по специальной ссылке. Уязвимость затрагивает версии до 2022.
На сегодняшний день в банке описано более 200 УБ и почти 30 тысяч уязвимостей. Есть ряд производителей софта, разработки которых постоянно отслеживаются. Особенности банка данных угроз ФСТЭК России для входа в БДУ не требуется регистрация, доступ предоставляется с любого устройства; необходимо обязательно ознакомиться со сведениями, которые содержатся в БДУ разработчикам ПО, компаниям-производителям средств защиты, операторам ПДн, испытательным лабораториям и органам сертификации СЗИ; база существует только в электронном формате, постоянно обновляется и корректируется по запросу пользователей, при этом не имеет признаков иерархической классификационной системы то есть это просто список без градации угроз по каким-либо параметрам. Определять степень опасности и вероятности каждому оператору предстоит самостоятельно, учитывая характеристики и особенности эксплуатации ИС; получать данные из БДУ можно бесплатно и неограниченное количество раз, а при её распространении нужно указывать источник полученной информации; дополнение списка осуществляется в соответствии с установленным регламентом, который предполагает проверку запроса об уязвимости. Нужно учитывать, что отправка сведений через раздел «Обратная связь», предполагает публикацию их в БДУ с целью изучения и проработки механизмов устранения уязвимостей ПО; если планируется применение информации из базы в коммерческих целях, например, в работе сканеров безопасности, то требуется получить разрешение от ФСТЭК. К однозначным плюсам электронной базы можно отнести: постоянное включение новых уязвимостей, что дает возможность максимально обезопасить информационные системы от несанкционированного доступа; беспроблемный и бесплатный доступ; принятие заявок на пополнение Банка от разных категорий пользователей; упрощение процесса проработки актуальных угроз; наличие детальных сведений о потенциале нарушителя и прописанные характеристики, которые нарушаются при возникновении каждой УБ; наличие фильтров поиска — можно быстро найти угрозы по нескольким параметрам: наименованию слову или словосочетанию , источнику, последствиям реализации нарушению конфиденциальности, доступности, целостности ; возможность скачивания информации; детализация УБ — перейдя в паспорт угрозы, можно увидеть уникальный идентификатор, объекты воздействия, источники и т.
Только не подумайте, что я против модели угроз как таковой! Может быть, повторюсь, но считаю, что сама идея — использовать модель угроз при выборе мер защиты — абсолютно верная. Однако, не отрицая важности самого процесса оценки угроз безопасности информации при выборе адекватных мер защиты, необходимо отметить, что многолетняя практика моделирования угроз для каждого конкретного объекта показывает свою НЕэффективность. Ситуация получается очень похожей на басню Крылова правда, немного в другой коннотации : «Вертит Очками так и сяк: То к темю их прижмёт, то их на хвост нанижет, То их понюхает, то их полижет; Очки не действуют никак». И происходит это по банальной причине: нет связи между угрозами и мерами. Вот давайте посмотрим на раздел банка угроз, связанного с уязвимостями. Там есть не только привязка уязвимости к конкретному ПО и его версии, что позволяет однозначно определить необходимость принятия мер, но и такие замечательные рубрики, как «Возможные меры по устранению уязвимости» и «Способ устранения». А это уже прямое руководство к действию. Поэтому этот раздел оказывается весьма полезным в практической деятельности ибэшников. К сожалению, этого нельзя сказать про раздел угроз безопасности информации. Правда, некоторые специалисты пытаются составить таблицы соответствия угроз и мер защиты [2], но, честно говоря, это всё-таки самоделки. Здесь нужен системный подход,чёткая проработка и соответствующие разделы в банке угроз. Вот тогда-то модель угроз станет действенным инструментом при выборе мер защиты и не потребуется заставлять бизнес разрабатывать формальную модель угроз «документ ради документа» , он сам почувствует её необходимость, так как это будет экономить деньги. А ещё лучше, если угрозы будут увязаны не только с мерами защиты, но и с необходимыми функциями безопасности, которые реализуются средствами защиты читай классами средств защиты. Тогда модель угроз станет бесценной. Не всё, что в банке угроз названо угрозами, является таковым. Просто кое-что, отнесённое к классу угроз, не вписывается в классическое определение угроз. Частенько идёт подмена понятий. Кстати, об определении. Как сказал классик, «прежде чем объединяться и для того, чтобы объединиться, мы должны сначала решительно и определённо размежеваться». В нашем случае объединяться — это составить банк угроз, а размежеваться — чётко определить те сущности, которые мы собираемся объединять. Попробуем «размежеваться». И главное здесь, конечно, — понятие угрозы. Глупо полагать, что обеспечением безопасности информации занимаются только для того, чтобы поддержать соответствующие службы и производителей средств защиты. Эгоизм правит миром, и поэтому любая деятельность по обеспечению безопасности информации направлена только на то, чтобы не допустить ущерба обладателю от нарушений полезных свойств информации. Поэтому примем за аксиому, что угроза — это некие негативные действия, угрожающие интересам субъекта обладателя информации. А отсюда следует, что угроза может быть только тогда, когда есть субъект, которому может быть причинён ущерб. Поэтому «угрозы информации» быть не может в силу того, что информация является объектом отношений, а не субъектом.
ФСТЭК подтвердил безопасность российского ПО Tarantool
Приказ Федеральной службы по техническому и экспортному контролю от 20.06.2023 № 119 "О признании утратившим силу приказа ФСТЭК России от 24 августа 2012 г. № 100". В нем выложены протестированные ФСТЭК 122 обновления зарубежных продуктов, широко используемых в российских компаниях и госучреждениях. Главная» Новости» Фстэк новости. Главная» Новости» Фстэк новости. Новости по тегу фстэк россии, страница 1 из 4.
Обновления базы уязвимостей “Сканер-ВС”
Другой аспект — это вовлечение российских специалистов в работу над платформой. Когда речь идет о практических инструментах «для людей», делать их без оглядки на исполнителей и потребителей — это неэффективный путь. Сергей Вихорев Советник генерального директора ГК «ИТ-Экспертиза», эксперт по информационной безопасности Стоит открыть любой документ ФСТЭК России, касающийся требований к мерам защиты информации, и увидим: «Требования к системе защиты информации информационной системы определяются в зависимости от... И далее: «В качестве исходных данных для определения угроз безопасности информации должен использоваться банк данных угроз безопасности информации bdu. При этом по факту до сих пор меры защиты выбираются исходя из класса информационной системы который, кстати, определяется по другим критериям и не обращает внимание на угрозы или требуемого уровня защищенности, но не от угроз. Нет взаимосвязи между самими угрозами и теми мерами, которые позволяют их нейтрализовать. Сама идея — использовать модель угроз при выборе мер защиты — абсолютно верная. Но при этом сейчас нет связи между угрозами и мерами.
Некоторые специалисты пытаются составить таблицы соответствия угроз и мер защиты, но по большому счёту это всё же «самоделки». А нужен системный подход и четкая проработка и соответствующие разделы в банке угроз. Вот тогда модель угроз станет действенным инструментом при выборе мер защиты и не потребуется заставлять бизнес разрабатывать формальную модель угроз «документ ради документа» , он сам почувствует ее необходимость, так как это будет экономить деньги. А еще лучше, если угрозы будут увязаны не только с мерами защиты, но и необходимыми функциями безопасности, которые реализуются средствами защиты читай классами средств защиты.
Как правильно в этом случае обеспечить корреляцию — вопрос, который также остается без ответа.
На заключительном этапе осуществляется анализ возможных тактик и техник реализации угроз. Стоит отметить еще один момент, касающийся БДУ. На сегодняшний день этот ресурс не содержит какой-либо структурированной информации о возможных способах реализации угроз, в связи с чем ссылка на него выглядит неуместной. Выдержка из матрицы тактик и методик, представленной в документе: В общем и целом, предложенный подход значительно выделяется своими положительными сторонами, особенно на фоне порядка, представленного в действующей методике. Среди «плюсов», как минимум, можно выделить следующие: отказ от неудобных в использовании и далеко не всегда корректных параметров исходной защищенности информационной системы и вероятности реализации угрозы, используемых в методике 2008 года; зависимость актуальности угроз безопасности от действительно значимых для информационной безопасности параметров, таких как потенциальный ущерб от реализации угрозы и сценарии ее реализации; большой акцент на мероприятиях, позволяющих корректно и точно определить, от чего необходимо защищаться — оценка рисков, проведение тестирования на проникновение, использование источников о тактиках и техниках реализации угроз; предусмотрены различные варианты выполнения мероприятий при определении актуальности угроз, например, определение потенциальных последствий от реализации угрозы тремя разными способами; предоставление исходных данных и примеров выполнения для каждого из мероприятий, выполняемых для определения актуальности угроз.
Таким образом, мероприятия по определению актуальности угроз безопасности являются целостным и структурированным процессом, способным учитывать особенности функционирования различных типов информационных систем. Вместе с тем стоит отметить тот факт, что модернизация подхода к определению актуальности угроз сделал его значительно более трудоемким. От исполнителя или, вероятнее, группы исполнителей требуются глубокие знания как об инфраструктуре системы, так и различных областях ИБ, начиная от законодательных норм, заканчивая пониманием и, желательно, наличием практических навыков по реализации различных типов атак. Определение угроз безопасности для инфраструктуры, размещаемой на внешних хостингах Особое внимание уделяется вопросу разделения ответственности при моделировании угроз для информационных систем, размещаемых во внешних ЦОД и облачных сервисах. Определение актуальных угроз безопасности в рассматриваемой ситуации должно осуществляться владельцем информации совместно с используемым хостингом.
В общем случае хостинг определяет актуальные угрозы безопасности для предоставляемой им инфраструктуры и доводит эти сведения до своего клиента — обладателя информации оператора. Например, границы моделирования угроз безопасности при аренде виртуальной инфраструктуры выглядят следующим образом: В случае, если владелец хостинга не выполняет моделирование угроз, Методика не рекомендует использование его услуг. С учетом того, что такая рекомендательная мера далеко не всегда будет соблюдаться, остается открытым вопрос о том, как быть владельцу информации, если он решится на использование услуг такого хостинга. Поддержание модели угроз в актуальном состояние Результаты моделирования угроз оформляются в виде документа по форме, представленной в приложении к Методике, и утверждается руководителем обладателя информации оператора. Стоит отметить, что предлагаемая к использованию форма документа имеет достаточно стандартную структуру, повторяющую основные разделы Методики, при этом в ней отсутствует раздел с указанием выводов или какой-либо иной информации, объясняющей, что же с этими угрозами делать дальше.
Такой подход, к сожалению, создает впечатление неоконченного документа, описывающего мероприятие, вырванное из общего контекста. Но перейдем к дальнейшим этапам жизненного цикла модели угроз. Подразумевается, что в течение всего периода эксплуатации информационной системы, модель угроз должна актуализироваться с учетом изменения требований законодательства, изменения архитектуры и условий функционирования системы, выявления новых угроз безопасности информации. С учетом того, что внесение изменений в БДУ событие относительно частое от 1 до 3 раз в год, в соответствии с представленной в базе информацией , возвращаться к вопросу актуализации модели угроз придется регулярно.
На Форуме руководители и специалисты обсуждают стратегию и структуру внедрения технологий, состав цифровых команд, импортозамещение ключевых цифровых решений и обеспечение технологического суверенитета, практику и проекты цифровой трансформации.
Фокус деловой программы и экспозиции Форума — на интересах крупнейших заказчиков, их проектных офисов, интеграторов, разработчиков и поставщиков, на обсуждении задач и проектов внедрения в трех основных направлениях: цифровых технологий, технологий безопасности и защиты информации в целях построения прозрачного и предметного сотрудничества. Специальные условия раннего бронирования!
Банк данных угроз безопасности информации. Что такое банк угроз ФСТЭК?
Компонентой как частью чего является пользователь: "инструмента", информации или среды распространения? Не понятно. Но это ещё пол беды. Эти же пользователи также отнесены и к типам нарушителей см. Получается, что основная часть субъектов ИС пользователи и администраторы одновременно и объект воздействия его часть как компонента и источник угроз. Может это "недоразумение" будет как-то устранено в новой редакции методики?
Как говорится "поживём - увидим"... Не больше и не меньше. Поэтому давать ей какую-либо оценку пока рано. Откуда такое определение УБИ? Поэтому и вопросов, почему "пользователь" одновременно и "объект воздействия" и "нарушитель", не возникает.
Пример: "фишинг", конечно, можно классифицировать как "воздействие на ППО ИС например, почтовый клиент ", но... А что до "базового вектора", опять-таки пример: "Угроза несанкционированной подмены" сама по себе - это только направление воздействия, атаки, защиты, анализа без конкретики. Оная конкретика, в свою очередь, проявляется при указании "Объекта воздействия" с позиции нарушителя и "Объекта защиты" с нашей позиции , например, О.
Аутсорсинговая компания «Центр единого сервиса Аскона Лайф Групп» автоматизировала обслуживание клиентов с помощью российского продукта Naumen Service Desk Pro. Сервисной поддержкой пользуются 63 корпоративных клиента и 10 тыс. В систему поступают запросы от организаций на бухгалтерское, кадровое, административное обслуживание и работу с нормативно-справочной информацией НСИ. Также в системе настроены и предоставляются 25 услуг для внутренних пользователей. Сотрудники холдинга Askona Life Group оценили быстроту, прозрачность и удобство работы в единой системе. Удовлетворенность клиентов выросла благодаря повышению удобства работы персонала и увеличению скорости решения запросов. Возможности нейросети Kandinsky 3. Добавление функции улучшения запроса бьютификации упрощает процесс создания изображений. Теперь нет необходимости быть профессиональным промпт-инженером — новая функция помогает создать детальный промпт за пользователя: достаточно написать всего несколько слов описания желаемого изображения, остальное сделает встроенная в новую версию нейросети языковая модель GigaChat Pro — она расширяет и обогащает деталями промпт. Также за счёт нового подхода к обучению и качественного датасета значительно улучшилась функция inpainting, которая позволяет редактировать отдельные части изображения. VK Cloud запустили облачный сервис Cloud Kafka для сбора и обработки потоков данных — решение на базе технологий с открытым исходным кодом Apache Kafka и Kubernetes. Сервис можно использовать для сбора аналитических и продуктовых метрик, показателей производительности сайтов и приложений, построения предиктивных моделей и прогнозирования бизнес-показателей, а также финансовой и налоговой отчетности. Cloud Kafka обеспечивает обмен данными между разными модулями ИТ-систем в режиме реального времени. С помощью сервиса можно создать систему уведомлений пользователей о новых заказах и обновлении статуса, отправлять сообщения или предложения в ответ на действия на сайте или в интернет-магазине. VK Реклама покажет бизнесу портрет аудитории сайта В кабинете VK Рекламы появился новый инструмент — портрет аудитории. С его помощью бизнес, продвигающий на платформе сайты, сможет составить обезличенный профиль посетителей за неделю. Аналитика поможет скорректировать маркетинговые стратегии и увеличить эффективность кампаний. Инструмент покажет срез аудитории по трем параметрам: социально-демографическим характеристикам, географии и интересам. По умолчанию бизнесу будет доступно распределение посетителей сайта по полу и возрасту, топ-5 городам и интересам. Дополнительно доступен расширенный список городов и регионов. Топ интересов покажет, какими темами посетители сайта интересуются больше, чем пользователи рунета в среднем. Для формирования портрета аудитории необходимо установить пиксель VK Рекламы. Инструмент доступен бизнесу не менее чем с 1 тыс. Оба продукта развернуты в среде операционной системы Astra Linux SE версии 1. Применение программного стека позволяет удовлетворять высокие требования организаций к защите данных в системе управления корпоративными материальными ресурсами и работать на максимальных скоростях и нагрузках. Передвижные базовые станции МТС ускорят мобильный интернет к майским праздникам в Москве МТС расширит в Москве к майским праздникам пропускную способность мобильной сети в местах массовых мероприятий. Передвижные базовые станции помогают практически в любом месте оперативно расширить емкость мобильной сети связи при кратном росте нагрузки на сеть во время общественных мероприятий и массового наплыва абонентов. На первом этапе проекта к новым сервисам планируется подключить 100 тыс. Общая численность персонала составляет порядка 235 тыс. Для организации корпоративных коммуникаций «Россети» выбрали решения платформы VK WorkSpace — электронную почту, мессенджер и видеозвонки для совместной работы. Приобретенное ПО доступно как с десктопных, так и мобильных устройств. Нейросеть Mail. Доступ к проекту предоставлен всем пользователям с 25 апреля. Чтобы воспользоваться сервисом необходимо перейти на специальную страницу , загрузить скан фотографии и сохранить новую версию в Облако Mail.
БДУ ФСТЭК России: основные моменты модель угроз Если вы занимаетесь защитой информационной системы и разрабатываете для неё модель угроз в соответствии с новой методикой, то, вероятно, вам придётся использовать банк данных угроз безопасности информации ФСТЭК. Сайт bdu. Подписывайтесь на канал ИТ. Безопасность в Telegram Задать вопрос эксперту Даю согласие на обработку моих персональных данных. Связанные услуги.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование средств межсетевого экранирования для ограничения возможности удаленного доступа; - ограничение доступа из внешних сетей Интернет ; - использование виртуальных частных сетей для организации удаленного доступа VPN.
Общий обзор реестров и классификаций уязвимостей (CVE, OSVDB, NVD, Secunia)
ФСТЭК России: российские разработчики ПО постоянно нарушают требования по срокам устранения уязвимостей. ФСТЭК России разрабатывает законопроект о введении обязательных требований по ИБ для подрядчиков, оказывающих услуги ИТ-разработки госсектору. Необходимость расширения полномочий ФСТЭК связана с тем, что попросту некому поручить, считает руководитель компании «Интернет-розыск» Игорь Бедеров. XSpider способен обнаруживать уязвимости из БДУ ФСТЭК России, CVE, OWASP Top 10, а также собственной базы данных Positive Technologies.
UDV DATAPK Industrial Kit
Эта классификация отличается от используемой для моделирования угроз в соответствии с методикой ФСТЭК России от 5 февраля 2021 года. ФСТЭК России является правопреемницей Государственной технической комиссии СССР, которая была создана в декабре 1973 года. для решения задачи формирования перечня актуальных угроз ИБ российский регулятор ФСТЭК России выпустил методический. БДУ ФСТЭК России: основные моменты (модель угроз). Расчет базовой, контекстной и временной метрик по методике CVSS с использованием калькулятора CVSS6 V3 или V3.1, размещенного в БДУ ФСТЭК России7.
MARKET.CNEWS
- Сканеры уязвимостей сети — обзор мирового и российского рынков
- ФСТЭК РФ БДУ и организации, системы, технологии, персоны:
- Новая методика оценки УБИ — Утверждено ФСТЭК России
- БДУ ФСТЭК создал раздел с результатами тестирования обновлений: комментарии Руслана Рахметова
- Назначение
- About the creator
Анализ уязвимостей и оценка соответствия по ОУД4
Обрабатываются тексты всех редакционных разделов (новости, включая "Главные новости", статьи, аналитические обзоры рынков, интервью, а также содержание партнёрских проектов). Новые угрозы в БДУ ФСТЭК. Все хранящиеся в БДУ ФСТЭК России записи имеют единообразный формат и включают: текстовое описание уязвимости, дату обнаружения уязвимости, названия, версии и производителей уязвимого ПО, информацию о типе ошибки.
Новинка: Сканер-ВС 6 - сканирование на уязвимости никогда не было таким быстрым!
Благодаря этому система может использоваться как единое решение для обработки данных энергопотребления в любых масштабах — от населенного пункта до всей страны. К ней уже подключены порядка 2 500 защищенных шлюзов, «опрашивающих» интеллектуальные приборы учета, а к концу 2024 года их количество вырастет до 24 000. К2Тех и Альфа-Лизинг разработали систему управления лизинговой деятельностью Разработка сделана на базе 1С. С помощью этой системы произошел рефакторинг более 240 бизнес-процессов свыше 1,5 тысяч требований на автоматизацию и 200 форм отчетности. Общий охват проекта составил 500 пользователей. Внедрение было обусловлено федеральным законом. Управление предприятием 2» — архитектура подходила для дальнейшей кастомизации. Однако анализ выявил больше комплексных требований, чем предполагалось изначально — проект потребовал вовлечения большего количества ресурсов, увеличения сроков, принятия управленческих решений по распараллеливанию этапов и одновременному проведению аналитики, проектирования и разработки по различным функциональным блокам для достижения быстрого результата. Документы, системы для учета ИТ-активов и категорирования объектов критической информационной инфраструктуры КИИ. В решении появилась функция автоматического формирования модели угроз, которая позволит компаниям оценивать актуальность опасностей, опираясь на добавленные редактируемые справочники.
Документы» отражена информация об угрозах, способах их реализации, техниках и тактиках злоумышленников, выгруженная из банка данных угроз безопасности информации БДУ ФСТЭК. Кроме того, теперь компании могут редактировать и дополнять справочники, опираясь на собственные ресурсы и опыт. В решении появились новые возможности для оценки рисков КИИ. После того, как ИБ-специалисты клиента провели предварительное сканирование системы, назначили активы например, доменное имя, IP-адрес , оборудование и программы, они могут ранжировать угрозы по 10-балльной шкале. Отметки от 7 до 10 определяют, что кибератака актуальна, от 0 до 6 — нет. Глобальное обновление «Р7-Команда» Модуль видеоконференцсвязи «Р7-Команда» получил обновление сервера и десктопного клиента. Появился индикатор качества сетевого соединения, добавлен набор новых функций по управлению групповыми чатами и поддержка отправки файлов больших размеров. Сервер и десктопный клиент «Р7-Команда» теперь поддерживают совершение выборочных звонков: перед началом группового вызова можно выбрать, каким именно участникам группы будет совершен звонок. Кроме того, для групп с модерацией для пользователей в роли «Докладчик» доступна опция отображения только активных участников конференции тех, у кого включена камера или микрофон , а также переключение между медиапотоками участника звонка.
Реализована упрощенная авторизация в рамках одной организации , а при открытии ссылки на конференцию или в группу запускается десктопный клиент. Образование и обучение Холдинг Т1 и МФТИ создали совместное предприятие для развития решений с использованием ИИ Холдинг Т1 и МФТИ, ведущий российский вуз по подготовке специалистов в области теоретической, экспериментальной и прикладной физики, математики, информатики объявляют о создании совместного предприятия «Квантовые и оптимизационные решения» СП «КОР» , которое будет заниматься разработкой оптимизационных решений в области математики и искусственного интеллекта. СП «КОР» станет связующим звеном между наукой, бизнесом и промышленными предприятиями: холдинг Т1 выступит как вендор, взаимодействующий с государством и компаниями из разных отраслей В числе задач нового предприятия: создание технологий на основе численных методов оптимизации и соответствующих инновационных продуктов, обеспечивающих решение актуальных практических и производственных задач. К2Тех перевел сеть магазинов Zolla на новую систему автоматизации торговли Необходимость в замещении системы управления торговой деятельностью у Zolla формировалась давно — на используемую версию решения «1С: Управление торговлей 10. Ключевым требованием к новой системе стал расчет себестоимости товаров. Сложность перехода заключалась в том, что на ИТ-системе было завязано огромное количество бизнес-процессов компании. В Zolla входит более 450 магазинов по всей России, каждый из которых имеет отдельную информационную базу и связан интеграционными потоками с центральной базой автоматизации торговли. Система ежедневно отражает в среднем 30 тысяч операций, собирает и консолидирует данные из отдельных информационных баз каждого магазина о заполненности складов, перемещениях товара и его продажах. Для базы построения новой системы было выбрано решение 1С: Управление торговлей 11.
Это типовой продукт, позволивший закрыть большинство потребностей заказчика по функционалу. Система работает на базе платформы 1С 8. В результате проектная команда К2Тех и Zolla обновила систему автоматизации торговли 1С до УТ-11 и реализовала полный оперативный обмен между исторической и внедряемой базой. Аутсорсинговая компания «Центр единого сервиса Аскона Лайф Групп» автоматизировала обслуживание клиентов с помощью российского продукта Naumen Service Desk Pro. Сервисной поддержкой пользуются 63 корпоративных клиента и 10 тыс. В систему поступают запросы от организаций на бухгалтерское, кадровое, административное обслуживание и работу с нормативно-справочной информацией НСИ.
Он дает возможность сформировать персонализированный перечень угроз под конкретную инфраструктуру. С ее помощью удобно корректировать политику информационной безопасности. Некоторые обновления создают новые дыры в безопасности, на исправление которых нужны новые доработки. Информационная инфраструктура развивается и меняется непрерывно. Но для полной безопасности ими ограничиваться не стоит. Например, в части описаний. Текст, написанный техническим языком, с добавлением свойственных любому государственному органу канцеляризмов — это существенная преграда для понимания и эффективного использования. Другой аспект — это вовлечение российских специалистов в работу над платформой. Когда речь идет о практических инструментах «для людей», делать их без оглядки на исполнителей и потребителей — это неэффективный путь. Сергей Вихорев Советник генерального директора ГК «ИТ-Экспертиза», эксперт по информационной безопасности Стоит открыть любой документ ФСТЭК России, касающийся требований к мерам защиты информации, и увидим: «Требования к системе защиты информации информационной системы определяются в зависимости от... И далее: «В качестве исходных данных для определения угроз безопасности информации должен использоваться банк данных угроз безопасности информации bdu. При этом по факту до сих пор меры защиты выбираются исходя из класса информационной системы который, кстати, определяется по другим критериям и не обращает внимание на угрозы или требуемого уровня защищенности, но не от угроз.
Включение информации в банк данных угроз безопасности информации осуществляется по мере появления получения сведений о новых уязвимостях и угрозах безопасности информации и их рассмотрения. Доступ к банку данных угроз безопасности информации осуществляется в режиме просмотра чтения информации об уязвимостях и угрозах безопасности информации. Информация, содержащаяся в банке данных угроз, является общедоступной. Заинтересованным органам государственной власти и организациям рекомендуется использовать информацию, содержащуюся в банке данных угроз безопасности информации, при организации и проведении всех видов работ по защите информации, установленных нормативными правовыми актами, методическими документами и национальными стандартами в области обеспечения информационной безопасности. Лицам исследователям , планирующим направить информацию об уязвимостях в банк данных угроз безопасности информации через раздел "Обратная связь", необходимо учитывать, что данные фамилия и имя исследователя, выявившего уязвимость, могут быть опубликованы в банке данных угроз. Это необходимо для анализа и организации устранения уязвимостей в конкретном программном обеспечении, в ходе которого возможно потребуются взаимодействие и совместные действия со специалистами Службы и или иными организациями, включая разработчиков производителей программного обеспечения.
Tripwire IP360 Tripwire IP360 позиционируется как продукт корпоративного уровня «enterprise» для управления уязвимостями и рисками. Сканер построен на модульной архитектуре, что позволяет легко масштабировать данную систему. Возможна поставка версий для локального on-premise , облачного или гибридного развёртывания. Также IP360 позволяет размещать на узлах агенты для более эффективного мониторинга сети и выявления уязвимостей. Помимо этого сканер обладает следующими возможностями: Проведение инвентаризации в сети для выявления и идентификации всех ИТ-активов, включая локальные, облачные и контейнерные. Отслеживание изменений в активах. Ранжирование уязвимостей на основе их степени воздействия и возраста. Управление временем запуска сканирования через планировщик. Аудит безопасности в контейнерных средах с поддержкой инструментальных средств DevOps. Централизованное управление через веб-интерфейс для администрирования, настройки, получения отчётов, распоряжения задачами. Рисунок 14. Окно процесса сканирования в IP360 IP360 поставляется в виде программного или аппаратного обеспечения, причём для увеличения производительности и надёжности работы системы возможна её установка в кластере. Сканер также доступен на торговых площадках AWS и Azurе. Больше сведений о Tripwire IP360 можно получить на сайте разработчика. Vulnerability Control Система Skybox Vulnerability Control позволяет автоматизировать различные процессы управления уязвимостями на единой платформе. Продукт способен собирать данные из различных систем с учётом особенностей сети и выявлять наиболее опасные угрозы. Vulnerability Control обладает следующими возможностями: Анализ данных из систем инвентаризации и патч-менеджмента, а также ряда других позволяет собирать сведения в недоступных для сканирования областях. Проведение имитации атак на динамической модели сети для выявления уязвимостей, которые доступны для эксплуатации на критически важных активах. Также это позволяет понять эффективность текущих настроек компонентов сети. Функция моделирования сети позволяет определять альтернативные методы борьбы с угрозами, включая изменения правил доступа или сигнатур систем предотвращения вторжений IPS. Использование скоринговой модели, учитывающей различные критерии уязвимости, активы, бизнес-сегменты , в том числе уникальные параметры и атрибуты, применяемые в конкретной инфраструктуре. Выявление очерёдности установки патчей и других компенсирующих мер по устранению уязвимостей на основе уровня угроз и ранжирования их по степени опасности. Рисунок 15. Окно с информацией об уязвимостях в Skybox Vulnerability Control Vulnerability Control реализует гибкий подход к анализу уязвимостей, позволяющий лучше понять возможные последствия. Помимо основных данных собираются разнообразные дополнительные сведения: настройки и условия использования ОС и других приложений, материалы из национальной базы данных уязвимостей США NVD , CVSS, бюллетени поставщиков, итоги анализа брешей и рисков из других источников IBM X-Force, прочие сканеры уязвимостей и т. Более подробная информация о продукте находится на сайте разработчика. Обзор сканеров уязвимостей с открытым исходным кодом Помимо рынка с коммерческими проприетарными версиями продуктов есть также небольшая ниша сканеров с открытым исходным кодом Open Source. Они являются полностью бесплатными для пользователей при соблюдении требований лицензии. Наиболее заметными представителями данного сектора являются инструменты Nikto и OpenVAS, которые мы и рассмотрим далее. Отличительной особенностью данного инструмента является отсутствие графического интерфейса. Управление сканером осуществляется через интерфейс командной строки. Nikto позволяет выполнять комплексное сканирование на веб-серверах, охватывая более 6700 потенциально опасных файлов и программ. Сканер проверяет устаревшие версии серверов 1250 единиц и ищет проблемы, связанные с конкретными версиями 270 единиц , а также проверяет элементы конфигурации, такие как наличие нескольких файлов индекса или параметры HTTP-сервера, и пытается идентифицировать установленные веб-серверы и программное обеспечение. Компоненты Nikto и плагины часто обновляются; новые их версии могут устанавливаться автоматически. Рисунок 16. Окно с интерфейсом командной строки Nikto с результатами проверки Проверка на наличие устаревших серверных компонентов. Самостоятельное создание шаблонов отчётов. Сканирование нескольких портов на сервере или нескольких серверах с помощью файла ввода input file. Определение установленного программного обеспечения с помощью заголовков, значков favicons и файлов. Поиск поддоменов. Установление имён пользователей Apache и cgiwrap. Проверка паролей на стойкость и выявление паролей по умолчанию. Возможность интеграции с Metasploit. Более подробная информация о Nikto находится на сайте разработчика. OpenVAS Этот сканер уязвимостей с открытым кодом является разработкой компании Greenbone, которая постоянно его дорабатывает и поддерживает с 2009 г. OpenVAS позволяет осуществлять тестирование с аутентификационными данными и без них, проводить анализ различных высокоуровневых и низкоуровневых сетевых и промышленных протоколов, настройку производительности для крупномасштабного сканирования; имеется широкофункциональный внутренний язык программирования для реализации любого типа тестирования уязвимостей. OpenVAS реализует активный мониторинг: сканирует открытые порты, посылает специальным образом сформированные пакеты для имитации атаки, получает доступ к консоли управления и выполняет там команды.
Множественные уязвимости systemd (CVE-2022-3821, CVE-2023-7008, CVE-2023-26604, CVE-2022-4415)
Осуществляется поддержка уязвимостей из банка данных угроз безопасности информации (БДУ) ФСТЭК России. Главные новости об организации ФСТЭК России на Решения «Лаборатории Касперского» имеют сертификаты соответствия ФСТЭК и ФСБ России, но не все знают для чего они требуются. Обрабатываются тексты всех редакционных разделов (новости, включая "Главные новости", статьи, аналитические обзоры рынков, интервью, а также содержание партнёрских проектов). В первую очередь будет проведена аналитика по сравнению техник и тактик из методики ФСТЭК России (FST&CK) с техниками, тактиками и контрмерами из матрицы MITRE ATT&CK и контрмерами из NIST 800-53. Иконка канала Россия 1.
Информация
- БДУ ФСТЭК РОССИИ Telegram канал
- ФСТЭК РФ БДУ - Банк данных угроз Федеральной службы технико-экспортного контроля - CNews
- Обновлённые реестры ФСТЭК
- Методики управления уязвимостями от ФСТЭК - YouTube
- Уязвимость BDU:2023-00291