Дежа вю. Год назад я уже писал о событии, ударная волна которого, несколько раз обогнув земной шар, коснулась каждого, кто так или иначе имеет отношение к индустрии информационной безопасности. Так, например, организаторы культовой хакерской конференции Defcon, находящиеся на той стороне планеты, приняли решение приютить на своих соревнованиях CTF финалистов PHD CTF.

Команда проекта "Defec Tech" объявляет о бесплатном бета-тестировании своей методики и программного комплекса проведения нагрузочного тестирования.

Нагрузочное тестирование информационных систем – процедура повышения уровня защищенности внешних ИТ-ресурсов целевой инфраструктуры посредством проверки ее устойчивости к атакам, направленным на отказ в обслуживании (DDoS/DoS). Результатом работ является проверка работоспособности защитных механизмов системы, анализ ее состояний и определение порогового значения нагрузки.

Вы можете принять участие в бета-тестировании, заполнив соответствующую форму.

RST/GHC/UKT – аббревиатуры, о многом говорящие тем, кто следил за хак-сценой в далеких 2000-х годах. Команда хакеров Rush Security Team (она же - RST) трясла Интернет и оставила свой след на территории информационной безопасности. Кстати говоря, сама индустрия ИБ в то время была еще в зачаточном состоянии. Мне посчастливилось пообщаться с человеком, который, как оказалось, является не только талантливым пентестером в одной из крупных ИБ-компании, но и хакером-ветераном, который уверенными шагами вышел на свет и прикоснулся (а может не только прикоснулся, но и значительным образом «потоптался») к истории российской хак-сцены.

 Материалы данного интервью опубликованы на официальном веб-ресурсе журнала "Хакер"

Оценка соответствия инфраструктуры, в которой хранятся, обрабатываются и передаются данные о держателях платежных карт, требованиям Стандарта безопасности данных индустрии платежных карт (Payment Card Industry Data Security Standard, PCI DSS) позволяет выявить причины, создающие благоприятные условия для нарушения аспектов безопасности рассматриваемой информационной системы и, как следствие, компрометации критичных данных.

В процессе разработки распределенной информационной системы, от корректности функционирования которой напрямую зависит доступность других информационных систем, встала задача обеспечения доступа к компонентам ее администрирования. Организация обмена данными между узлами осуществлялась с использованием зоопарка технологий, которые предоставляет Windows Communication Foundation, входящий в состав .NET Framework. Веб-сервисы, XML-сообщения, SOAP, web.config WCF-клиента с установленным элементом "security" - все это было бы отличным фундаментом для решения поставленных задач с учетом аспектов безопасности доступа к административной части, но факт существования техники "Padding Oracle Attack" ставит под сомнения концепцию и заставляет задуматься над конкретной реализацией.

Февраль-март 2012 года принимает в список своих бумажных изданий очередной номер аккредитованного Высшей Аттестационной Комиссией журнала «Безопасность информационных технологий» (второе название - «БИТ»), где наряду с блестящими научными публикациями выходит в свет моя работа на тему автоматизации процесса аудита по стандарту PCI DSS.

Проведение технического аудита в подавляющем большинстве случаев сопровождается анализом защищенности сетевого периметра. Практика показывает, что этап проведения внешнего теста на проникновение является для аудитора задачей, которая требует ожидания. За время, пока пентестеры врезаются в инфраструктуру, пытаясь перевести свою деятельность на внутрекорпоративный уровень, аудитор проводит ряд организационных мероприятий, связанных с получением дополнительных данных для последующей оценки защищенности методом «белого ящика». Иногда встречаются ситуации, когда он вынужден выносить вердикт исключительно по результатам теста на проникновение или в значительной степени опираться на эти результаты. Встает вопрос оптимизации в реальном времени получаемой от пентестера информации.

25 ноября Санкт-Петербург в квадратных метрах клуба «Катовский» пройдет международная конференция «ZeroNights», обещающая взорвать грандиозностью своего события российскую арену информационной безопаности.

Не знаю, какие метрики в настоящее время (время, когда велико стремление славян организовать русскоязычный Defcon) используются аналитиками для определения уникальности мероприятия, но изюминка в подготовке этого события обязательно должна быть: в подготовку конференции вложили душу люди, не понаслышке знакомые с форматами таких конференций как Defcon/BlackHat и успешно продемонстрировавшие свои доклады зарубежной аудитории.

События прошедшего лета, связанные с утечками конфиденциальных данных в поисковые системы, прямо или косвенно коснулись каждого, кто следит за новостями, любезно предоставляемыми СМИ. Под «системный нож» попали поисковые роботы и персональные данные гражданина РФ. Копнем немного глубже и выясним, каким образом частная жизнь может оказаться «у всех на виду».