Перейти к содержанию

Форумы Anti-Malware

Showing all content posted in for the last 365 days.

This stream auto-updates     

  1. Последняя неделя
  2. Всем здравствуйте. СРАЗУ оговорка: Кнопка "Создать новую тему" только на главной странице форума. В выпадающем её меню НЕактивны абсолютно все разделы кроме этого. Тему разместить хотелось-бы в другом разделе. Ответ на тот вопрос ― наверное поэтому. Собственно по делу - У кого из считающих себя "мастером_своего_дела" могло-бы появиться желание подумать и высказать своё предположение метода проникновения файла сценария с печеньями (cookies) после того, как весь IP-диапазон адреса хранения файла был заблокирован в настройках Outpost, отлично справляющегося по сей день с блокировкой ЛЮБЫХ других (кроме этого) IP-диапазонов? Адрес(имя) файла: https://mc.yandex.ru/metrika/watch.js Outpost навскидку можно сравнить с другими продуктами защиты - там. Вопросы типа "а-зачем-вам-это-надо" будут расценены как флуд, отвлекающий от темы. (уважаэмым модераторам) Тема относится к способу проникновения этой заразы, а не к конкретному продукту защиты.
  3. на него уже давно не реагируют они сейчас самый опасный report_crash что дампы отправляет
  4. Earlier
  5. Домашние антивирусы были обновлены до версии 14.1.20.
  6. Компания «АВ Софт» является российским производителем средств обеспечения информационной безопасности, которые вендор разрабатывает с 2010 г. Портфель продуктов включает в себя систему защиты от целевых атак ATHENA, программный комплекс для имитации корпоративной инфраструктуры LOKI, антивирусный мультисканер OCTOPUS, корпоративный мессенджер BOND и другие продукты, уже зарекомендовавшие себя у российских заказчиков. ВведениеПозиционирование вендора на рынкеСектор рынкаATHENALOKIOCTOPUSBONDCRIMLABNFIКатегории заказчиковНовые продуктыЗарубежные проектыГибкость и адаптация решенийПартнёрская сетьСертификацияПодведение итоговВыводыВведениеБренд «АВ Софт» придумал Антон Чухнов, основатель компании, имея скромное желание изменить индустрию информационной безопасности в России. Сердце потребителей планировалось пронзить стрелой чего-то нового и оригинального.В 2010 году системы на базе технологии «песочницы» обладали слабой гравитацией на рынке, многим идея казалась неперспективной и странной. Антон пришел от неё в восторг и объединил в первом прототипе системы ATHENA возможность анализировать поведение программного обеспечения с антивирусным мультисканером. Единство технологий принесло первый коммерческий успех, который стал отправной точкой для набора команды и развития продукта.В 2016–2019 гг. палитра предложений компании существенно увеличилась. В ней появились классы решений по маскировке операционных систем, защите мобильных устройств и мониторингу компрометации сетевых устройств. Каждое разработанное решение имеет свой стиль и концептуальное преподнесение. Система ATHENA стала флагманским продуктом и гибко адаптировалась под различные инфраструктурные пожелания заказчиков. Компания стала участником ассоциации АРПП «Отечественный софт», резидентом инновационного центра «Сколково», выиграла несколько конкурсов по инновациям в сфере ИТ и безопасности.В 2020 г. компания «АВ Софт» стала лауреатом гранта российского фонда РФРИТ по разработке системы ложных распределённых целей на базе технологии «deception». Новое решение позволит имитировать ИТ-инфраструктуру организации и заманивать злоумышленников в «ловушки», оберегая реальные устройства от кибератак. Система ATHENA была выбрана для участия в отечественном мультисканере (аналоге VirusTotal), который уже активно проходит тестирование. Также компании удалось развить партнёрскую сеть и реализовать ряд научно-технологических проектов.В команде есть всё необходимое для развития и роста: концентрация идей, потенциал для создания новых продуктов и самый важный бриллиант для любого вендора — доверие заказчиков.Позиционирование вендора на рынкеОбъективная оценка вендора на рынке играет важную роль для потребителей продуктов и услуг в области информационной безопасности. Управление рисками при выборе поставщика решений для защиты ИТ-инфраструктуры требует высоких профессиональных компетенций. Базовая оценка контрагента, выполняемая финансовым отделом, может упустить важные аспекты этой весьма наукоёмкой сферы.Можно выделить следующие направления анализа организаций, специализирующихся на разработке программного обеспечения и оказании услуг в области информационной безопасности:сектор рынка,категории заказчиков,создание новых продуктов,зарубежные проекты,гибкость и адаптация решений,партнёрская сеть,сертификация.Оценка всегда предполагает градацию её уровней, поэтому была разработана шкала присвоения веса по каждому параметру оценки. Таблица 1. Параметры оценки вендора№Параметр1 балл2 балла3 балла1.Сектор рынкаНаправление продуктов всего одноЕсть 2–3 направления продуктовЕсть больше 3-х направлений продуктов2.Категории заказчиковТолько государственные организацииПрисутствуют государственные и коммерческие организацииПрисутствуют государственные, коммерческие и зарубежные заказчики3.Новые продуктыНовые продукты создаются реже чем раз в 5 летНовые продукты создаются раз в 2–3 годаНовые продукты создаются каждый год4.Зарубежные проектыЕсть 1 зарубежный проектЕсть 2–5 зарубежных проектовЕсть более 5-ти зарубежных проектов5.Гибкость и адаптация решенийРешения очень редко допускают индивидуализациюДопускается частичная индивидуализацияВсе решения могут гибко адаптироваться под нужды заказчика6.Партнёрская сетьЕсть 1–2 партнёраПартнёрская сеть невелика и находится в развитииРазвитая партнёрская сеть (более 10-ти партнёров)7.СертификацияКомпания имеет 1 сертификатЧасть продуктов компании имеет сертификациюВсе продукты компании имеют сертификацию Сектор рынкаЗдесь важно учесть возможность не только начитаться маркетинговых материалов на сайте, но и получить пробную версию или возможность организации «пилота», который не потерпит крушение, что достоверно подтвердит наличие самих продуктов.У компании «АВ Софт» есть следующие направления решений:антивирусный мультисканер,песочница (sandbox),ловушки (deception),контроль сетевого взаимодействия устройств,криминалистический анализ,безопасная коммуникация.Разнообразие направлений продуктов в компании даёт представление о системном охвате рынка, развитии смежных компетенций у специалистов и потенциальной возможности построения сложных конструкций в ИТ-инфраструктуре.Пробные версии показывают возможности продуктов компании, о которых будет рассказано далее.ATHENAФлагманский продукт по защите от целенаправленных атак AVSOFT ATHENA SANDBOX с помощью методов поведенческого анализа и искусственного интеллекта способен проверять всю входящую в компанию информацию на наличие опасного и вредоносного содержимого.Внутри системы ATHENA присутствует множество инструментов проверки, которые можно разделить на два больших блока анализа: статический и динамический. Рисунок 1. Интерфейс системы ATHENA При прохождении файлом или веб-ссылкой статического вида анализа выполняется проверка контента на наличие известных сигнатур множеством локальных антивирусных ядер, синтаксическими анализаторами (парсерами) и искусственным интеллектом, а также осуществляется сбор информации по исследуемому объекту во внешних репутационных базах данных.При динамической проверке осуществляется анализ поведения файла в имитационной среде — «песочнице» (она может быть как виртуальной, так и физической), которая соответствует реальному рабочему месту пользователя или серверу компании. В ней происходят запуск файла, провоцирование его на вредоносные действия, сбор событий о его поведении и вынесение вердикта на основе результатов аналитического блока и поведенческих сигнатур, которые разработаны командой аналитиков «АВ Софт».Стоит отметить, что в системе ATHENA присутствует широкая линейка поддерживаемых в песочницах операционных систем, включающая отечественные ОС:Microsoft Windows;Linux:Astra Linux,RedOS,Alt Linux,Red Hat Enterprise Linux,Debian,Ubuntu,openSUSE,CentOS;Android.После завершения всех видов анализа система ATHENA отображает подробный отчёт. Рисунок 2. Отчёт по проверке в системе ATHENA Рисунок 3. Отчёт по проверке сетевого трафика в системе ATHENA Важно обращать внимание на современность и удобство интерфейсов систем, которые вы берёте попробовать. Сейчас уже вполне устойчиво сформировались общепризнанные требования и правила по эргономике, грамотному использованию цветовых палитр, а также интерактивным возможностям современного программного обеспечения. Если вы осознаёте, что интерфейс часто вводит вас в заблуждение или недоумение, т. е. вы не понимаете, куда нужно двигаться и что делать, и вместо службы доставки вкусного ужина пытаетесь дозвониться до службы поддержки вендора, то что-то идёт не так. Любое нарушение графическими интерфейсами устоявшихся сценариев поведения пользователей тормозит бизнес-процессы компании.LOKIПрограммный комплекс AVSOFT LOKI DECEPTION имитирует корпоративную инфраструктуру на базе технологии «deception» и позволяет виртуально моделировать на различном уровне любое устройство в организации, включая оборудование IoT и IIoT (контроллеры АСУ ТП). Рисунок 4. Интерфейс системы LOKI Имитация устройств осуществляется с помощью ловушек (honeypot) и песочниц (sandbox). На рабочих местах сотрудников и серверах разворачиваются приманки, которые ведут в ловушки и песочницы, уводя вектор атаки от реальных устройств.Использовать систему LOKI несложно, достаточно сделать 4 шага:Просканировать подсети для определения состава активных устройств.Система сама предложит ловушки к ним, можно будет просто согласиться с её выбором.Развернуть ловушки в выбранной подсети одной кнопкой.Скачать приманки на рабочие места и установить их. Рисунок 5. Панель статистики системы LOKI Сейчас линейка имитируемых устройств в системе LOKI уже включает в себя большой список типов и моделей, который активно пополняется: рабочие станции, серверы, маршрутизаторы, межсетевые экраны, IP-телефоны, IP-камеры, принтеры и сканеры, PoS-терминалы, ЧПУ-станки. Рисунок 6. Карта сети ловушек и реальных устройств в системе LOKI При работе с программным продуктом не стоит забывать о простоте его использования, чтобы любой шаг был естественен и логично следовал из предыдущего. В системе LOKI есть эта особенность, хотя изначально концепция идеи может сформировать представление о чём-то громоздком и сложном. Конечно, комплексы, автоматизирующие процессы в информационной безопасности, имеют большие функциональные возможности, но продукт должен стараться исключать людей из процесса, выполняя по максимуму всё самостоятельно, т. к. человеческий фактор — это всегда риск.OCTOPUSСистема AVSOFT OCTOPUS MULTISCANNER — это антивирусный мультисканер, который может быстро обрабатывать большие объёмы трафика и подходит в том числе для небольших компаний за счёт невысокой стоимости.Внутри системы — больше 20-ти локальных антивирусных ядер, при желании можно добавить и больше. Помимо этого есть модули статического анализа файлов, модели на базе машинного обучения, интеграция с внешними репутационными сервисами.Можно отправить на проверку самые разнообразные типы файлов: исполняемые, офисные, скрипты, мобильные приложения, архивы, включая многотомные и закрытые паролем, и др. Рисунок 7. Страница проверки файлов в системе OCTOPUS При оценке любой современной системы важно учитывать скорость обработки данных; если вендор предлагает решить её только за счёт «железа», то это — порочная практика, т. к. она всегда ставит перед заказчиком вопрос о дополнительных затратах. Важно уточнять у вендора, как происходит обработка очередей и больших объёмов задач, чтобы подстраховать себя от незапланированных финансовых потоков во внешний мир.BONDAVSOFT BOND MESSENGER — мессенджер для безопасного корпоративного общения. Он позволяет управлять всей коммуникацией в компании через собственный сервер. После развёртывания мессенджера в инфраструктуре никто кроме уполномоченных администраторов из персонала заказчика не имеет доступа к серверу, включая самих разработчиков программы. Рисунок 8. Интерфейс мессенджера BOND Получение быстрого доступа к продукту, как в случае с мессенджером, который можно просто скачать и поставить, даёт возможность сразу оценить его характеристики и принять решение. Если приходится пройти сражение с драконом или спасти принцессу, чтобы получить «пилот» или пробный доступ, то стоит задуматься, стоит ли ввязываться в этот бой, поскольку так же сложно могут быть выстроены и другие процессы, связанные с поддержкой или инсталляцией в инфраструктуру.CRIMLABКриминалистическая лаборатория AVSOFT CRIMLAB ANALYTICS предоставляет инструменты для детального анализа файлов и разнообразной агрегации собранных данных: сравнение исследований, создание коллекций, формирование базы знаний и др. Решение актуально для центров мониторинга информационной безопасности (SOC) и компаний, которые хотят развить компетенции своих специалистов в данной области. Рисунок 9. Схема работы CRIMLAB Решение позволяет проводить детальный анализ содержимого любого типа файлов, изучать его поведение в виртуальных и физических песочницах, тонко индивидуализировать параметры среды исследования и добавлять инструменты исследований, а также осуществлять ретроспективный анализ. Рисунок 10. Подробный отчёт по файлу Возможность тонкой индивидуализации внутренних функций и настроек системы всегда говорит о её гибкости и адаптивности, это уже стало базовым качеством многих современных программных продуктов. Не стоит забывать, что осуществление индивидуализации не должно быть сложным или запутанным, т. к. это повышает риск ошибок, система должна запрещать пользователю выполнять заведомо некорректные настройки.NFIНебольшой программно-аппаратный комплекс AVSOFT NFI контролирует взаимодействие сетевых устройств с внешней сетью (интернетом). NFI представляет собой устройство, которое берёт в кольцо сетевые пакеты, работая на 3-м уровне модели OSI. Инспектор способен оперативно выявить и заблокировать компрометацию любого сетевого устройства и оповестить об этом службу безопасности. Рисунок 11. Схема работы AVSOFT NFI NFI имеет графический интерфейс, в котором можно задавать правила фильтрации и управлять устройством. Рисунок 12. Интерфейс программно-аппаратного устройства NFI Итак, компанией охвачены востребованные направления на рынке информационной безопасности и этих направлений больше 5-ти, что даёт основание присвоить ей 3 балла по принятой методике оценки.Категории заказчиковДля вендора большую роль играет получение опыта с разными категориями заказчиков. Все осознают, что государственные и коммерческие организации — это два больших разных «королевства» со своими требованиями и правилами. Непрерывная реконструкция и анализ многогранных кейсов с клиентами может помочь пересмотреть процесс реализации новых проектов. Заказы от коммерческих компаний преимущественно ориентированы на скорость и оптимизацию затрат, от государственных структур — на соблюдение требований регуляторов, а качество, конечно, интересует всех.Компания «АВ Софт» работает как с государственными, так и с коммерческими заказчиками. Веер направлений деятельности клиентов включает в себя промышленность, транспорт, оказание услуг по безопасности и задачи связанные с обороной. Не присутствуют пока зарубежные заказчики, что позволяет поставить по методике оценки 2 балла.Новые продуктыОриентация на создание новых продуктов — обязательный талисман для всех, кто планирует расти. Сфера кибератак развивается со скоростью гепарда, поэтому вендорам важно не упускать шанса моделировать инструменты охоты, которых ни у кого нет или которым есть куда стремиться по уровню качества. Конкуренты всегда помогают в развитии, никогда не сидят спокойно и ждут возможности забрать себе кусочек того, что кто-то потерял, потому что отстал в развитии. Если компания постоянно генерирует новые идеи и не жалеет ресурсов на развитие новых продуктов, то это выделяет её с точки зрения планирования долгосрочной стратегии.Команда «АВ Софт» почти каждый год выпускает новый продукт, и основная концепция компании как таковая базируется на непрерывном выпуске новых продуктов. По методике можно присвоить ей 3 балла.Зарубежные проектыКогда вендор вращается только в своей домашней зоне, это не даёт ему возможности развиться до уровня международных конкурентов, и тем самым он обрекает себя на стагнацию, которая наступит рано или поздно. Очень важно стремиться расширять круг заказов за границами комфортного «стеклянного шара», адаптируя свои решения под требования заказчиков из других стран.Опыта зарубежных проектов компания «АВ Софт» пока не имела шанса получить, поэтому по методике ей ставим 0 баллов.Гибкость и адаптация решенийСпособность продуктов гибко трансформироваться не всегда удобна вендорам, потому что это влечёт за собой дополнительные ресурсы на поддержку и сопровождение. Но желания заказчиков никто не отменял, и пока они не удовлетворены — это всегда отличный повод для действия. Клиентоориентированный подход уже пронизывает все сферы рынка и требует покориться ему в том числе и от поставщиков решений по информационной безопасности.Индивидуализация продуктов компании «АВ Софт» возможна и является одним из обязательных условий работы с заказчиками, взятых на себя командой. Высокая адаптивность продуктов — это всегда отчасти и риск, но при должной оптимизации этого процесса он даёт гораздо больше, чем ограничения клиентов. Формируется совершенно иной уровень доверия, появляется возможность реализовать действительно полезные проекты. По методике мы можем поставить в данной категории 3 балла.Партнёрская сетьРазвитая партнёрская сеть свидетельствует о доверии и устойчивой позиции вендора на рынке. Если среди партнёров есть крупные интеграторы и дистрибьюторы, то это показывает, что компания получила признание у сильных игроков.У компании «АВ Софт» — больше 15-ти партнёров, что даёт основание выставить ей по методике ещё 3 балла.СертификацияПолучение сертификации — ювелирная работа, которая требует в первую очередь стабильности продуктов и чёткого их соответствия заявленным требованиям. При наличии лицензий можно сделать вывод о том, что присутствует баланс между разработкой новых функций и их устойчивым состоянием.Часть продуктов компании «АВ Софт» имеет сертификацию, остальные находятся в процессе её получения, поэтому в нашей финальной метрике мы можем выставить 2 балла.Подведение итоговВ итоговой таблице компания «АВ Софт» получает 16 баллов, что вполне неплохо, но значит, что есть куда стремиться. Цветом выделены баллы, которые компания получила в результате прохождения оценки в рамках настоящего материала. Таблица 2. Методика оценки вендора№Параметр1 балл2 балла3 балла1.Сектор рынкаНаправление продуктов всего одноЕсть 2–3 направления продуктовЕсть больше 3-х направлений продуктов2.Категории заказчиковТолько государственные организацииПрисутствуют государственные и коммерческие организацииПрисутствуют государственные, коммерческие и зарубежные заказчики3.Новые продуктыНовые продукты создаются реже чем раз в 5 летНовые продукты создаются раз в 2–3 годаНовые продукты создаются каждый год4.Зарубежные проектыЕсть 1 зарубежный проектЕсть 2–5 зарубежных проектовЕсть более 5-ти зарубежных проектов5.Гибкость и адаптация решенийРешения очень редко допускают индивидуализациюДопускается частичная индивидуализацияВсе решения могут гибко адаптироваться под нужды заказчика6.Партнёрская сетьЕсть 1–2 партнёраПартнёрская сеть невелика и находится в развитииРазвитая партнёрская сеть (более 10-ти партнёров)7.СертификацияКомпания имеет 1 сертификатЧасть продуктов компании имеет сертификациюВсе продукты компании имеют сертификацию ВыводыОценка вендора может быть адаптирована под потребности конкретной организации и особенности защиты её ИТ-инфраструктуры. Рекомендуется также выстраивать управление рисками в части поставки решений по информационной безопасности и методику оценки качества продуктов и услуг вендора. Читать далее
  7. Продукт, известный сейчас как Ideco UTM, произошёл из Ideco ICS (Internet Control Server), первый выпуск которого состоялся в 2005 г. За 15 лет продукт поменял название, расширил список функциональных возможностей и стал называться Ideco UTM. В конце 2020 года состоялся релиз новой, 9-й версии; слоганом презентации стало «Дальше только космос». Рассмотрим, какие изменения произошли по сравнению с предыдущей, 8-й версией. ВведениеНовые возможности Ideco UTM 9Системные требования Ideco UTM 9 для разного количества пользователейПреимущества Ideco UTM 9 перед конкурентамиКонцепция постоянных обновлений Ideco UTM 9Принцип «всегда на связи»ВыводыВведениеIdeco UTM представляет собой шлюз безопасности типа Unified Threat Management (система единообразной обработки угроз) российского разработчика «Айдеко». Предыдущая, 8-я, версия этого шлюза рассматривалась на нашем сайте весьма подробно. Новая редакция продукта обладает широкими функциональными возможностями за счёт использования таких модулей и механизмов, как защита от несанкционированного доступа и внешних угроз (межсетевой экран, WAF, контроль приложений и другие), контроль доступа, контентная фильтрация, антивирусная проверка трафика, антиспам (на основе технологий «Лаборатории Касперского»), возможности работы в качестве VPN-, DNS-, DHCP- и даже почтового сервера.Исходя из перечисленных функций можно сказать, что Ideco UTM уже вышел за рамки привычного класса устройств для сетевой безопасности и представляет собой экосистему, работающую не только для организации и защиты сети, но также для частичного построения серверной инфраструктуры.За прошедшие 15 лет это решение стали использовать такие компании и ведомства, как Федеральная таможенная служба, холдинг «Вертолёты России», ArcelorMittal. В целом более 14 000 организаций используют в своих сетях решение Ideco UTM.Ещё одним преимуществом рассматриваемого решения является его наличие в Едином реестре российских программ для электронных вычислительных машин и баз данных. Это позволяет использовать Ideco UTM 9 для целей обеспечения государственных и муниципальных нужд в соответствии с постановлением Правительства Российской Федерации № 1236 от 16 ноября 2015 г., а также в рамках программы импортозамещения, что важно в свете планируемого перевода субъектов КИИ на российские продукты.Новые возможности Ideco UTM 9Ideco UTM 9 основана на новейшем ядре Linux 5.11. В этой версии обновлены многие системные пакеты, увеличена производительность, включена поддержка новых платформ.Переработан веб-интерфейс администратора. Теперь он ещё удобнее с точки зрения структуры и работает быстрее, чем раньше. Рисунок 1. Интерфейс администратора Ideco UTM 9 Добавлена ролевая модель администраторов. Теперь благодаря ей доступ разделён на две категории: полный доступ и только чтение, что позволяет предоставлять его обучающимся или неопытным пользователям. Рисунок 2. Добавление учётной записи администратора Реализован раздельный доступ в консоль по SSH под логинами администраторов. Это позволяет настроить сети, из которых возможен доступ по SSH. Раньше была возможность подключаться только к веб-интерфейсу шлюза. Рисунок 3. Управление доступом по SSH В обновлённой версии шлюза безопасности добавлена установка пароля администратора при развёртывании сервера. Данная возможность исключает использование стандартных паролей и делает необходимой их ручную смену после установки продукта. Это позволяет избавиться от типичной проблемы использования нестойких и подверженных взлому паролей в привилегированных учётных записях.В межсетевой экран добавлены счётчики срабатывания правил, что позволяет эффективнее управлять правилами, удаляя или дорабатывая правила файрвола не имеющие срабатываний. Рисунок 4. Управление правилами файрвола В Ideco UTM 9 появился почтовый узел («релей») с возможностью работы в качестве полноценного почтового сервера с модулем антиспама от «Лаборатории Касперского». Рисунок 5. Основные настройки почтового релея Почтовый релей может подписывать исходящие письма DKIM-ключом, который используется почтовыми сервисами для идентификации и классификации электронной почты. Рисунок 6. Включение функции DKIM В продукте обновлён модуль системы предотвращения вторжений. Теперь он более эффективен в выявлении и предотвращении атак.Добавлена возможность отправки оповещений о событиях на сервере с помощью телеграм-бота. Рисунок 7. Настройка телеграм-бота Системные требования Ideco UTM 9 для разного количества пользователейIdeco UTM — это программное решение, что весьма выгодно с точки зрения отсутствия необходимости покупать продукт вместе с аппаратной частью. Достаточно выделить соответствующие ресурсы из уже имеющихся. Несмотря на новые функции, появившиеся в версии 9, требования к аппаратному обеспечению не изменились по сравнению с 8-й версией. Таблица 1. Минимальные системные требования, предъявляемые Ideco UTM 9Минимальные системные требованияПримечаниеПлатформаОбязательна поддержка UEFI Гипервизор2-е поколение виртуальных машин HyperV (с отключённым SecurityBoot) ПроцессорIntel Pentium G / i3 / i5 / Xeon E3 / Xeon E5 с поддержкой инструкций SSE 4.2Требования могут варьироваться в зависимости от сетевой нагрузки и используемых сервисов, таких как контентная фильтрация, антивирусы и система предотвращения вторжений. Для работы системы требуется минимум два, лучше четыре ядра процессора.Объём оперативной памяти8 ГБ (16 ГБ при количестве пользователей более 75)Дисковая подсистемаЖёсткий диск (магнитный или SSD) объёмом 64 ГБ или больше с интерфейсом SATA, SAS либо совместимый аппаратный RAID. В случае использования почтового сервера — второй жёсткий диск.Не поддерживаются программные RAID-контроллеры (интегрированные в чипсет или материнскую плату). При использовании аппаратных RAID-контроллеров настоятельно рекомендуется использовать плату с установленным аккумулятором, иначе высока вероятность краха RAID-массива. Не поддерживаются диски объёмом выше 2 ТБ.Сетевые адаптерыДва сетевых адаптераРекомендуются сетевые адаптеры, основанные на чипсетах 3Com, Broadcom, Intel или Realtek со скоростью 100/1000 Mбит/с.ДополнительноМонитор, клавиатураДля установки и работы Ideco UTM не требуются предустановленная ОС и дополнительное программное обеспечение. Ideco UTM устанавливается на выделенный сервер с загрузочного компакт-диска или USB-накопителя, при этом автоматически создаётся файловая система и устанавливаются все необходимые компоненты. Ниже в таблице представлены несколько типов конфигураций, которые зависят от количества пользователей. Таблица 2. Минимальные характеристики сервера для Ideco UTM 9 в зависимости от количества пользователей в сетиКоличество пользователей2550–200200–50010002000Модель процессораIntel Pentium Gold G5400 или совместимыйIntel i3 8100 или совместимыйIntel i5, i7, Xeon E3 от 3 ГГц или совместимыйIntel Xeon E3, E5 или совместимыйIntel Xeon E5 или совместимый 8-ядерныйОбъём оперативной памяти4 ГБ (рекомендуется 8 ГБ)8 ГБ16 ГБ16 ГБ32 ГБДисковая подсистема64 ГБ64 ГБHDD 500 ГБ либо SSD 256 ГБ2x1000 ГБ, аппаратный RAID либо SSD 1 ТБ2x1000 ГБ, аппаратный RAID либо SSD 1 ТБСетевые адаптерыДва сетевых адаптера Преимущества Ideco UTM 9 перед конкурентамиIdeco UTM имеет немало особенностей и отличий. Как было сказано выше, это — программное решение, поддерживаемое всеми гипервизорами, без привязки к конкретным аппаратным платформам. Благодаря этому можно разворачивать продукт как на собственных мощностях, так и в облаке.Настройка шлюза упрощена за счёт большей автоматизации процесса. Рисунок 8. Настройка контроля приложений Время внедрения системы в организации минимизировано благодаря интеграции с Active Directory, SIEM, DLP-системами, а также предпродажной (presale) поддержке от производителя решения. Рисунок 9. Настройка интеграции с Active Directory Рисунок 10. Настройка отправки отчётов в SIEM Рисунок 11. Настройка интеграции Ideco UTM с сервисами ICAP (DLP, антивирусы и т. д.) В Ideco UTM есть все модули глубокого анализа трафика, как в классических UTM- / NGFW-решениях, что позволяет предотвращать многие атаки на корпоративные ресурсы компании-покупателя.Одна из концепций «Айдеко» — использование опенсорс-продуктов в совокупности со своими разработками. Компания не скрывает факта использования программ с открытым исходным кодом: ядра Linux, Suricata, Nginx, Squid и других. «Айдеко» дорабатывает их и делится этими доработками с сообществом. Собственные разработки «Айдеко» касаются создания правил для определения и предотвращения атак.Отметим усовершенствованную систему справки — рядом с каждым пунктом меню веб-интерфейса продукта есть иконка, нажав на которую администратор перейдёт к соответствующему пункту документации. Рисунок 12. Иконка вызова документации Рисунок 13. Переход в документацию Быстрые релизы и постоянное развитие продукта — принцип «agile» в действии. Также отдельного упоминания заслуживают мгновенные ответы техподдержки по различным каналам коммуникации.Давайте рассмотрим последние два принципа чуть подробнее.Концепция постоянных обновлений Ideco UTM 9Компания «Айдеко» уделяет огромное внимание управлению изменениями своего продукта. С момента выхода 9-й версии в конце 2020 года выпущено уже 8 релизов. Средний интервал между ними составляет около 2 недель.Обновления касаются не только исправления выявленных ошибок, но и улучшения используемых модулей (например, в редакции от 19 марта обновлён модуль системы предотвращения вторжений Suricata до версии 6.0.2), а также ввода новой функциональности (в релизе от 5 февраля добавлены новые возможности, касающиеся учёта и отчётов по веб-трафику).Таким образом, компания заботится о том, чтобы решение было удобно для организаций и действительно работало так, как это нужно пользователям.Принцип «всегда на связи»Забота о клиентах проявляется не только в том, что компания регулярно обновляет свой продукт, но и в том, что она обеспечивает его поддержку и собирает обратную связь для выявления потребностей используя абсолютно разные каналы связи. Это — классическая почта и портал технической поддержки, многоканальный телефон, телеграм-бот и канал в Telegram, чат в веб-интерфейсе самого продукта. Также в чат и в телеграм-бот оперативно приходит информация о наличии новой версии Ideco UTM.ВыводыIdeco UTM 9 — это постоянно развивающееся отечественное решение, включившее в себя не только функциональную часть как таковую, но и современный подход к разработке и сопровождению продукта. С одной стороны, это IPS, межсетевой экран, почтовый релей и т. д., а с другой стороны — постоянная обратная связь с производителем решения, регулярные релизы и обновления.С каждой версией производитель всё больше заботится об администраторах с базовыми знаниями сетевых технологий, упрощая процесс настройки шлюза безопасности, структурируя веб-интерфейс и принудительно заставляя уходить от «пустых» паролей и паролей «по умолчанию», что важно для бюджетных организаций и компаний с маленьким штатом ИТ-сотрудников. Читать далее
  8. В ряде случаев вирусы вызывают системные ошибки с соответствующей записью в журнал. Если имя в журнале будет соответствовать имени файла\процесса из списка... То в Инфо. файла добавлять соответствующую запись из журнала. Error: (03/25/2021 04:26:00 PM) (Source: Application Error) (EventID: 1000) (User: ) Description: Имя сбойного приложения: exUpd.exe, версия: 0.0.0.0, метка времени: 0x60566260 Имя сбойного модуля: KERNELBASE.dll, версия: 10.0.19041.804, метка времени: 0x0e9c5eae Код исключения: 0xe0434352 Смещение ошибки: 0x000000000002d759 Идентификатор сбойного процесса: 0x31fc Время запуска сбойного приложения: 0x01d72182c72bbd15 Путь сбойного приложения: C:\Users\Asus\AppData\Roaming\Microsoft\Google\ChromeExtensions\Ads\HoneyAds\exUpd.exe Путь сбойного модуля: C:\WINDOWS\System32\KERNELBASE.dll Идентификатор отчета: ff70bc1c-b22e-4e91-8f1b-ecae072e5661 Полное имя сбойного пакета: Код приложения, связанного со сбойным пакетом: Error: (03/25/2021 04:26:00 PM) (Source: .NET Runtime) (EventID: 1026) (User: ) Description: Приложение: exUpd.exe Версия платформы: v4.0.30319 Описание. Процесс был завершен из-за необработанного исключения. Сведения об исключении: System.BadImageFormatException Сведения об исключении: System.BadImageFormatException в System.Reflection.RuntimeAssembly.nLoadImage(Byte[], Byte[], System.Security.Policy.Evidence, System.Threading.StackCrawlMark ByRef, Boolean, Boolean, System.Security.SecurityContextSource) в System.Reflection.Assembly.Load(Byte[]) в <Module>.wWinMain(HINSTANCE__*, HINSTANCE__*, Char*, Int32) в <Module>.wWinMainCRTStartup()
  9. Платформа «Антифишинг» позволяет проводить высокоэффективное обучение сотрудников и выработку у них навыков безопасного поведения при работе за компьютером, в интернете и с электронной почтой. В результате значительно снижается риск успешных кибератак, большая часть которых начинается с рассылки вредоносных писем. Новая версия платформы получила ряд уникальных функций, среди которых — отслеживание ключевых показателей в режиме реального времени, прямое взаимодействие с SOC и пользовательский поток данных Threat Intelligence, а также максимально реалистичные полноэкранные атаки. ВведениеНовая система визуализации2.1. Показатели охвата по ключевым процессам2.2. Показатели эффективности процессов и детализация показателей охвата2.2.1. Эффективность работы с сотрудниками2.2.2. Эффективность процессов обучения2.2.3. Эффективность процессов тренировки навыковПлагин «Антифишинга»: сотрудники сообщают об атаках и помогают защитить организациюГруппировка сотрудников по приоритетам и уровню рискаИмитированные атаки5.1. Реалистичные полноэкранные атаки5.2. Шаблоны атак из электронной почтыАвтоматизация через API «Антифишинга»: параметр externalKeyАвторизация администраторов через LDAPАнонимизация данныхВыводыВведениеФишинг и другие цифровые атаки на сотрудников продолжают оставаться основным способом проникновения в корпоративные сети, а также самым эффективным средством доставки вредоносных программ и получения учётных данных пользователей. В основе этих атак лежат не эксплойты и другие технические средства, а социальная инженерия. Воздействуя на слабые места людей с помощью выверенных психологических приёмов, преступники убеждают сотрудников компаний выполнить нужные им действия.По данным исследований «Антифишинга», собранных в отчёте о защищённости сотрудников в 2020 году, в среднем 37 % людей открывают письма мошенников, а 79 % из них совершают затем опасные для компании действия: вводят свои логины и пароли на сторонних сайтах, открывают потенциально опасные вложения или даже скачивают и устанавливают вредоносные программы, замаскированные под обновления системы.Проблему с небезопасным поведением людей обычно пытаются решить техническими блокировками и через обучение (повышение осведомлённости). Однако, по данным исследования, после года обучения лишь 9 % сотрудников меняют своё поведение на безопасное.Намного более выраженный эффект даёт проведение тренировок навыков безопасного поведения сотрудников с помощью имитированных атак, максимально похожих на реальные атаки преступников.Платформа «Антифишинг» позволяет проводить обучение сотрудников с помощью курсов в привычном SCORM-формате и тренировать навыки безопасного поведения с помощью имитированных атак.В новой версии 2.4.3 была значительно расширена функциональность системы, добавлена удобная визуализация процессов обучения и тренировки навыков, а также внедрена возможность ещё сильнее вовлекать сотрудников в защиту компании.Рассмотрим эти возможности более подробно.Новая система визуализацииЧтобы качественно и эффективно управлять любыми процессами безопасности, в частности — обучением и тренировками навыков сотрудников, объективно оценивать результаты и вовремя вносить изменения, важно видеть наглядную картину по всем ключевым показателям в режиме реального времени.Новые визуальные представления «Антифишинга» позволяют наглядно увидеть главные показатели охвата сотрудников процессами обучения и тренировки навыков, а также оценить ключевые показатели эффективности этих процессов.Показатели охвата по ключевым процессам Рисунок 1. Визуализация показателей по ключевым процессам Первая группа показателей, которые мы рекомендуем контролировать, — показатели охвата процессов обучения (повышения осведомлённости) и тренировки навыков сотрудников по информационной безопасности: по людям, по обучению, по тренировкам и по мотивации.Каждый такой показатель позволяет оценить, сколько людей в компании в принципе добавлены в систему и участвуют в процессах (были назначены на обучение, проходили тренировки навыков), а также отображает очень важный индикатор, о котором обычно забывают: склонность сотрудников к соблюдению правил безопасности.Показатели эффективности процессов и детализация показателей охватаВторая группа показателей — данные по эффективности процессов, которые раскрываются при выборе соответствующего показателя охвата.Эффективность работы с сотрудникамиЭтот график показывает, как изменялось число сотрудников, которые были добавлены в систему или разрешены в лицензии, а также общее число сотрудников в организации.График помогает увидеть детальное и историческое изменение данных, которые определяют показатель охвата по людям: ось абсцисс — время, ось ординат — число сотрудников в указанной категории. Рисунок 2. Динамика изменения охвата по людям Эффективность процессов обученияЭтот график показывает, какая доля общего числа сотрудников прошла или не прошла обучение в назначенный срок, либо находится на обучении, либо ни разу не была назначена на обучение. Рисунок 3. Динамика показателей эффективности обучения по времени Так же как и в предыдущем случае, на оси абсцисс — время, а на оси ординат — число сотрудников в указанной категории.Эффективность процессов тренировки навыковЗдесь показано, какая доля общего числа сотрудников не тренировалась, выдержала атаку либо выполнила то или иное небезопасное действие. Рисунок 4. График изменения показателей эффективности процессов Ось абсцисс — по-прежнему время, а ось ординат — вновь число сотрудников в указанной категории.Плагин «Антифишинга»: сотрудники сообщают об атаках и помогают защитить организациюПомимо проверки и тренировки навыков «несовершения» опасных действий, очень важно формировать у сотрудников привычки безопасного, правильного поведения.Важно, чтобы люди не только могли заметить какую-то цифровую атаку и не стать её жертвой, но и сообщили о ней в службу безопасности, таким образом активно помогая защите своей организации.Чтобы формировать у сотрудников нужные навыки, мы добавили плагин «Антифишинга», который позволяет сообщать об атаках по электронной почте непосредственно из почтового клиента Microsoft Outlook. Рисунок 5. Плагин «Антифишинга», интегрированный в окно сообщения Microsoft Outlook Теперь сотруднику не нужно помнить адрес и номер телефона службы безопасности — в его рабочем пространстве всегда есть возможность «Сообщить об атаке».Плагин интегрируется с инфраструктурой Microsoft Exchange и Office 365, что позволяет службам безопасности сразу получить все исходные сообщения от сотрудников, провести детальный анализ этих сообщений и применить соответствующие технические меры защиты.После корректной установки сотрудники видят у себя в почтовом клиенте Microsoft Outlook новый плагин (рис. 6). Рисунок 6. Кнопка плагина в панели инструментов Outlook После нажатия на плагин сотрудник видит окно обратной связи.Если атака была имитированной, то окно выглядит так, как показано на рисунке 7. Рисунок 7. Окно плагина после сообщения об атаке Плагин попросит сотрудника разметить эту атаку по психологическим векторам и по атрибуции. Они описаны в классификации «Антифишинга», об этих же векторах рассказывается в обучающих курсах, которые проходит сотрудник. Дополнительное внимание сотрудника к эмоциям, которые вызвала атака, помогает сформировать важный навык психологического торможения и более осознанное отношение к возможным цифровым атакам в будущем.После сообщения об атаке через плагин письмо с имитированной атакой удаляется из почтового ящика пользователя, атака отображается в поле «Сообщил об атаке», к текущему статусу сотрудника в системе добавляется цветной ободок, а к рейтингу — 1 балл. Рисунок 8. Всплывающие подсказки информируют о действиях сотрудника Плагин умеет различать имитированные атаки из «Антифишинга» и не пересылает их на анализ в службу безопасности.Если же сотрудник выявит реальную атаку, то окно обратной связи будет выглядеть так, как на рисунке 9. Рисунок 9. Интерфейс плагина после детектирования реальной атаки В этом случае сотрудник также может разметить атаку по психологическим векторам и атрибуции.Копия письма со всеми заголовками и содержимым пересылается на адрес службы безопасности и переносится в папку нежелательной почты в почтовом ящике сотрудника.Фактически, благодаря плагину «Антифишинга» сами сотрудники могут генерировать внутренний социоинженерный поток данных (фид) Threat Intelligence, который службы безопасности могут использовать, чтобы быстро и вовремя останавливать активные цифровые атаки. Теперь служба безопасности сможет выявлять и анализировать возможные инциденты, а также реагировать на них ещё быстрее.Вот как это работает (см. рис. 10). Рисунок 10. Формирование социоинженерного фида Threat Intelligence благодаря коммуникации пользователей и экспертов SOC Внимательные и лояльные сотрудники выявили цифровую атаку.Статистика об этих безопасных и корректных действиях сохранилась в «Антифишинге».Исходные данные ушли на анализ в адрес корпоративного центра мониторинга и реагирования на инциденты (Security Operations Center, SOC).Аналитики смогли провести расследование и извлечь собственные индикаторы компрометации (IoC).SOC блокирует атаки по выявленным IoC на технических средствах защиты ещё до того, как информация об этих IoC станет доступна во внешних фидах.Группировка сотрудников по приоритетам и уровню рискаРазные категории сотрудников имеют различные приоритеты с точки зрения рисков и процессов безопасности. Не всегда эти приоритеты отражаются организационной структурой — часто сотрудники из разных подразделений и отделов должны быть сведены в единую параллельную структуру, которая имеет свой приоритет и позволяет вести процессы особенным способом.Для решения этой задачи и визуального представления разных категорий сотрудников в «Антифишинге» появилась возможность группировать сотрудников — объединять их без привязки к организационной структуре. Рисунок 11. Наглядное представление с цветовыми кодами групп по числу людей в группах Изначально все сотрудники помещаются в категорию «Сотрудники без группы».Администратор может самостоятельно создавать и настраивать новые группы (рис. 12). Рисунок 12. Создание новой группы риска Сотрудников, которые создают наибольший риск с точки зрения процессов безопасности, рекомендуется помещать в группу наиболее высокого приоритета.Группировка и последующие действия с сотрудниками разных групп могут быть автоматизированы встроенными средствами платформы, а также через API «Антифишинга».Имитированные атакиРеалистичные полноэкранные атакиНовый тип атак выглядит для сотрудника как реалистичная фишинговая страница, на которой даже знающие все правила безопасности люди всё равно могут ввести свой пароль. Рисунок 13. Адрес страницы и домен, значок https и все другие элементы выглядят для пользователя легитимно Механизм создания подобных атак на базе «Антифишинга» задействует Fullscreen API и работает во всех современных браузерах.Атаки создаются с учётом реального окружения пользователя у каждого заказчика — браузеры, операционная система и темы оформления подбираются на этапе согласования шаблона атаки.Шаблоны атак из электронной почтыДля тренировки сотрудников очень важно использовать максимально реалистичные имитированные атаки.Если в организации есть адрес электронной почты, на который уже поступают примеры атак от пользователей, можно подключить этот адрес к «Антифишингу» и загрузить письмо как шаблон имитированной атаки напрямую из электронной почты.Автоматизация через API «Антифишинга»: параметр externalKeyИдентификация сотрудников в «Антифишинге» всегда происходила по адресу электронной почты. В версии 2.4.3 был добавлен новый атрибут, который не видно из интерфейса, но можно использовать при работе с «Антифишингом» через API, как дополнительный параметр в связке с электронной почтой.Схема работы1. При создании и редактировании сотрудника можно будет задать externalKey — внешний (по отношению к «Антифишингу») ключ сотрудника.Запрос будет выглядеть так:curl --location --request POST 'https://antiphish/v2/targets' \--header 'Authorization: Bearer TOKEN' \--header 'Content-Type: application/json' \--data-raw '{ "fullName": "тtbdБВ&sЪs:m;0Х ьДRМPк#aЙuвЧЗIZ ?бДa^шрюu2ЖZMЮэ", "position": "Менеджер ФhWбш8+рVВ+чёъЕ", "email": "[email protected]", "department": { "id": 80, "name": "Отдел К^К7~_RLЙЬЩBjhЦ" }, "marks": [ "яМк", "-гЛоx5SФB", "жMишО", "q" ], "externalKey": "006f1f83-b419-4252-8dba-6e7883035301"}'2. Используя externalKey, можно будет найти сотрудника в «Антифишинге» через запрос:/v2/targets/external/externalKeyили/v2/targets/external/?key=externalKey3. Получив объект сотрудника, можно уже оперировать с ним в соответствии с описанными сценариями, в том числе редактировать, удалять, менять адрес электронной почты.Авторизация администраторов через LDAPТеперь пароли для входа и парольная политика администраторов не только определяются локальными настройками «Антифишинга», но и управляются через единый корпоративный каталог LDAP.Для администраторов это упрощает вход в систему. Больше не нужно хранить и запоминать пароли от нескольких систем, можно всегда использовать корпоративную учётную запись. Данные для входа берутся из LDAP, поэтому парольные политики «Антифишинга» по умолчанию соответствуют всем корпоративным требованиям по безопасности.Если учётная запись пользователя в Active Directory, которая подключена к учётной записи администратора в «Антифишинге» с типом авторизации «LDAP», удаляется или блокируется в AD, то администратор больше не сможет заходить в систему.Анонимизация данныхЧтобы избежать ситуаций, когда администратор дискриминирует сотрудников по их показателям в системе, мы добавили в «Антифишинг» возможность анонимизации данных. Это — новый режим работы системы, в котором нельзя сопоставить персональные данные сотрудников с их рейтингом и статистикой по обучению.Анонимный режим позволяет выполнить ряд требований в соответствии с общим регламентом защиты персональных данных — GDPR, что особенно актуально при работе с сотрудниками — гражданами ЕС.ВыводыНовый выпуск платформы «Антифишинг» получил функциональность, которая значительно облегчает работу сотрудников подразделений ИБ и HR:позволяет в режиме реального времени отслеживать состояние защищённости организации от цифровых атак на сотрудников;интегрирует процессы обучения и тренировки сотрудников с процессами мониторинга и реагирования на инциденты, которые уже ведутся в организации с помощью IRP / SOC;выводит коммуникации ИБ-подразделения с остальными сотрудниками на новый уровень. Читать далее
  10. Антивирусы для macOS были обновлены до версии 6.10.600. В числе прочего добавлена поддержка Big Sur 11.1 и 11.2.
  11. Программа для удаления продуктов ESET обновилась до версии 9.0.3.0. Для просмотра всех команд запустите утилиту с параметром /help. 
  12. Staffcop Enterprise — российский программный комплекс, предназначенный для решения нескольких постоянных проблем работодателей. Во-первых, это учёт рабочего времени, т. е. выявление опаздывающих или уходящих раньше сотрудников. Во-вторых — контроль действий сотрудников за автоматизированными рабочими местами (АРМ). И, наконец, — выявление информационных потоков и контроль их направленности и содержимого. Рассмотрим архитектуру и функциональные возможности этого продукта. ВведениеФункциональные возможности Staffcop EnterpriseАрхитектура Staffcop EnterpriseЛицензии и сертификатыСистемные требования Staffcop EnterpriseОбновление совместимости и обратная связь с клиентамиФункции, подвергшиеся оптимизацииМодуль сканирования файлов на ПК и нейронные сетиВыводыВведениеВ последнее время (а именно — последние несколько лет) в среде работодателей наметилась тенденция к оптимизации расходов. Ни для кого не секрет, что сотрудники на самом деле тратят большую часть рабочего времени отнюдь не на работу, а на развлечение себя любимого и на решение своих личных проблем. Поэтому перед работодателями в полный рост встал вопрос оптимизации рабочего процесса и контроля дисциплины сотрудников. Пандемия и нефтяные войны только подстегнули этот процесс, спровоцировав переход на «удалёнку». Это вызвало размытие периметра безопасности, вывело людей из-под прямого наблюдения работодателя и увеличило риск реализации внутренних угроз — то есть исходящих от самих сотрудников. Под этим понимаются халатность или злонамеренность работников либо мошеннические действия по отношению к ним.Программный комплекс Staffcop Enterprise предназначен для контроля циркулирующей на предприятии информации, контроля эффективности персонала, учёта рабочего времени, обеспечения информационной безопасности и расследования инцидентов. Staffcop Enterprise является программным комплексом с очень широкими функциональными возможностями. Представление всех собранных данных в удобной и наглядной форме даёт возможность очень быстро выявить негативные тенденции или ситуации в компании. Говоря простым языком, Staffcop Enterprise позволяет провести аудит всего того, что происходит в организации, потратив на это минимум времени.Поддержание обратной связи с клиентами необходимо для развития продукта — только тогда он будет решать актуальные проблемы клиентов. Поэтому регулярно выходят новые версии: в частности, самый свежий релиз 4.8 включает в себя новый модуль удалённого сканирования файлов на ПК, а также в нём улучшено взаимодействие с различными информационными системами, добавлены новые настройки и оптимизированы уже имеющиеся функции. Рисунок 1. Функциональные возможности Staffcop Enterprise Сегодня мы расскажем о том, что представляет собой Staffcop Enterprise 4.8, что нового появилось в этой версии и насколько эти новинки могут оказаться вам полезными.Функциональные возможности Staffcop EnterpriseФункциональные возможности программного комплекса Staffcop Enterprise можно разделить на три основных части: информационная безопасность, контроль сотрудников и удалённое администрирование.Защита от угроз информационной безопасности достигается за счёт усиления контроля за действиями и сокращения списка доступных действий сотрудников:контроль поисковых запросов;контроль чатов в социальных сетях;контроль всех операций с файлами и папками;перехват сообщений и вложений электронной почты (POP3, IMAP, SMTP, MAPI);перехват сообщений и файлов в мессенджерах (XMPP, Skype, Telegram, VK, ICQ, Jabber, Mail.ru Agent, Yahoo и т. д.);мониторинг и контроль сетей Wi-Fi;контроль передачи информации по FTP;контроль и блокировка USB / CD;регистрация звонков и архивация сообщений;блокировка сайтов и приложений.Рисунок 2. Примеры функций контроля Staffcop Enterprise Кроме того, программный комплекс Staffcop Enterprise отличает наличие гибкого, разнообразного и точного аналитического инструментария, позволяющего рассматривать собираемые агентами данные с различных сторон и следить за рабочими процессами, протекающими в компании.Используются следующие инструменты для анализа:Регистрация запуска приложений и процессов.Скриншоты смены процесса, смены активного окна, по особым правилам.Технология OCR.Тепловые диаграммы активности.Линейные графики выявления аномалий.Карточки измерений (для файлов, сотрудников, сайтов и т. д.).Графы взаимосвязей (коммуникация между сотрудниками / отделами).Основная цель — отслеживание и своевременное оповещение ответственных лиц в случае совершения нарушения, предотвращение нарушений, сбор и систематизация данных, свидетельствующих об инциденте в сфере информационной безопасности.Программный комплекс включает в себя инструментарий, позволяющий отслеживать занятость сотрудника в течение дня, деятельность работников в онлайн- или офлайн-режиме, а также то, как сотрудники взаимодействуют друг с другом. В частности, доступны такие возможности, как построение индивидуальных рабочих графиков, выявление опозданий, простоев и нецелевого использования рабочего времени, вычисление продуктивного времени, упорядочивание статистики по сотрудникам и отделам, контроль присутствия сотрудника на рабочем месте и контроль выполняемых им там действий.Основная цель этого функционального раздела программного комплекса — позволить ответственным лицам получать информацию о качестве работы того или иного сотрудника, предупреждать деструктивные взаимодействия внутри компании и своевременно выявлять тех, кто ищет другую работу или работает «на сторону». Кроме этого, имеется возможность получить карту взаимодействий между сотрудниками и отделами, выявлять препятствия и задержки в бизнес-процессах, «перегруз» или «недогруз» отдельных звеньев, нарушения регламента, определять психологический климат в коллективе и многое другое.Удалённое администрирование помогает не только облегчить развёртывание программного комплекса, но и выполнять ряд рутинных задач, которые ложатся на плечи системных администраторов и других сотрудников IT-отделов. Сюда можно отнести, например, удалённое подключение к рабочим столам сотрудников, наблюдение за сетевым трафиком и запущенными процессами, резервное копирование, инвентаризацию аппаратной части, а также блокирование приложений или портов, удалённую настройку ОС и создание собственных фильтров сортировки данных с помощью языка программирования Python.Заметим также, что программный комплекс дополнительно позволяет отслеживать последствия проведённых работ, выделяя рабочие станции по необходимым критериям.Архитектура Staffcop EnterpriseПрограммный комплекс построен на основе клиент-серверной архитектуры с возможностью работы в офлайн-режиме. Подобная архитектура позволяет интегрировать программный комплекс в любую инфраструктуру, т. к. поддерживаются все возможные варианты подключения, в том числе NAT-трансляции и VPN-каналы. Подключение к серверу осуществляется по защищённому соединению. Рисунок 3. Архитектура Staffcop Enterprise Серверная часть функционирует под управлением ОС Ubuntu Server 18.04 и Astra Linux Special Edition (релиз «Смоленск») и использует СУБД PostgreSQL и ClickHouse. Она предназначена для сбора, хранения и просмотра информации, администрирования системы и настройки правил мониторинга. Просмотр и анализ данных осуществляются через панель администратора, реализованную посредством веб-интерфейса.Агент — системная служба, устанавливаемая на компьютере пользователя и предназначенная для сбора данных с их последующей передачей на сервер. Работа агента происходит в скрытом режиме и незаметна для пользователя. После передачи информации на сервер по шифрованному каналу (openSSL) она удаляется из локальной базы. Агенты устанавливаются на компьютеры пользователей локально или дистанционно (с помощью встроенной утилиты удалённой установки) либо разворачиваются через групповые политики. Кроме этого, в модуль можно интегрировать собственные IP-адреса и имена хостов для ускорения развёртывания.Программный комплекс Staffcop Enterprise используется администраторами вычислительных сетей и специалистами служб информационной безопасности для предотвращения несанкционированной передачи защищаемой информации, а также для контроля и мониторинга действий персонала, управления АРМ и расследования инцидентов из области информационной безопасности.Лицензии и сертификатыНа программный комплекс Staffcop Enterprise получен сертификат ФСТЭК России № 4234 от 15 апреля 2020 года, который подтверждает соответствие требованиям к средствам контроля съёмных машинных носителей информации по 4-му классу защиты, утверждённым приказом ФСТЭК России от 28 июля 2014 г. № 87. Реализовываются требования по защите информации из следующих нормативных документов: приказ ФСТЭК России от 25 декабря 2017 г. № 239; приказ ФСТЭК России от 18 февраля 2013 г. № 21; положение Банка России от 9 июня 2012 г. № 382-П; приказ ФСТЭК России от 11 февраля 2013 г. № 17; федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры» (КИИ).Программный комплекс Staffcop Enterprise успешно прошёл тематические исследования на соответствие требованиям ТИ-69 8-го Центра ФСБ России по следующим пунктам:Соответствие декларированных и реальных возможностей программного обеспечения.Отсутствие недекларированных возможностей программного обеспечения.Совместимость со средствами защиты информации.Возможность работы в безопасной среде.Исходя из вышеперечисленного, программный комплекс Staffcop Enterprise может использоваться в составе автоматизированных систем (АС) до класса защищённости 1Г; в информационных системах персональных данных (ИСПДн); в государственных информационных системах (ГИС); на объектах критической информационной инфраструктуры (КИИ); в автоматизированных системах управления производственными и технологическими процессами на критически важных, потенциально опасных и представляющих повышенную опасность для жизни и здоровья людей либо для окружающей природной среды объектах до 1 класса (уровня) защищённости включительно.Системные требования Staffcop EnterpriseУ комплекса есть следующие минимальные системные требования:Операционная система — Ubuntu, 64 бита. На ОС Debian и прочих Linux-системах корректная установка и работа StaffCop Enterprise не гарантируются. Возможна установка на виртуальную машину.Процессор — двухъядерный, 1,8 ГГц.Оперативная память — 2 ГБ.Дисковое пространство — от 10 ГБ.Для гарантированной работы административной части необходим браузер Mozilla Firefox или Google Chrome.Рекомендуемые системные требования для сервера приведены в таблице ниже. Таблица 1. Рекомендуемые характеристики сервера в зависимости от количества агентовПараметр50 агентов200 агентов500 агентовОСUbuntu Server 16.04 LTS (14.04 LTS)Ubuntu Server 16.04 LTS (14.04 LTS)Ubuntu Server 16.04 LTS (14.04 LTS)ПроцессорIntel Xeon E5-2603 v3Intel Xeon E5-2603 v3Intel Xeon E5-1660 v3Оперативная память8 ГБ16 ГБ32 ГБДисковое пространство (для ОС / для СУБД)30 ГБ / 100 ГБ30 ГБ / 200 ГБ30 ГБ / 400 ГБ Рекомендуемые системные требования для агента:Операционная система — Windows XP, 7, Vista, 8, 8.1, 10, Windows Server 2008, 2012.Процессор — любой совместимый, 2 ядра и более.Оперативная память — 2 ГБ и более.Дисковое пространство — до 10 ГБ на системном диске.Теперь рассмотрим то, что изменилось и что нового появилось в недавно вышедшей версии Staffcop Enterprise 4.8.Обновление совместимости и обратная связь с клиентамиЧеловек — существо социальное, и многие вещи в повседневной жизни построены на основе взаимодействий. Каждый день люди сообща решают важные задачи — ведь если каждый будет тянуть воз в свою сторону, как говорит басня «Лебедь, рак и щука», достичь успешного результата будет невозможно. В этой парадигме развивается и программный комплекс Staffcop Enterprise: важны обратная связь с клиентами (чтобы своевременно дополнять, улучшать и исправлять необходимое) и взаимодействие с другими программными решениями для обеспечения информационной безопасности.Раньше можно было сформировать и выгрузить журнал (лог), содержащий собранную информацию, для его ввода в другую систему для анализа; в версии 4.8 была улучшена возможность совмещения Staffcop Enterprise с другими системами защиты, в том числе доработаны методы передачи данных по REST API. Примерами таких систем могут служить RuSIEM и инструмент бизнес-анализа от Microsoft под названием Power BI. Кстати, с системами и службами Microsoft Staffcop работает давно и постоянно расширяет возможности взаимодействия с Active Directory. AD позволяет весьма гибко настраивать политики, и грех было бы не воспользоваться этим: например, можно предоставлять доступ или назначать уровни контроля для конкретного сотрудника или целой их группы на основании данных из AD. Также произведено обновление технической части, которое помимо прочего упрощает установку сервера в гипервизоры KVM и Proxmox. Крепкая связь с другими техническими решениями позволяет значительно упростить интеграцию Staffcop Enterprise в уже существующие системы.Клиенты постоянно поддерживают обратную связь, и именно благодаря им Staffcop Enterprise становится лучше: рассматривается каждое предложение, просьба или замечание. В версии 4.8 реализовано 147 доработок и предложений клиентов.Несмотря на то что последние мировые события способствуют скорее разобщению людей (что само по себе нонсенс), Staffcop Enterprise обеспечивает поддержку, укрепляет существующие связи и позволяет создавать новые, чтобы пользователи программного комплекса могли успешно достичь своих целей.Функции, подвергшиеся оптимизацииStaffcop Enterprise собирает большое количество информации, и чтобы офицер безопасности не тратил много времени на поиск нужных сведений, программный комплекс наглядно отображает все собранные данные с помощью разных виджетов. В новой версии добавлена возможность сократить интервал времени, события за который будут показаны, точно настроив его до часов и даже минут.Более точная настройка времени теперь доступна в том числе и для формируемых отчётов, а также для оповещений об отсутствии данных от агента. Если раньше имелись только варианты «ежедневно», «еженедельно» и «ежемесячно», то теперь можно указать конкретное число и время. Рисунок 4. Распределение времени сотрудника в течение рабочего дня Также нет необходимости каждый раз заново настраивать представление полей в линзе событий: можно сохранить настройку и использовать её в дальнейшем, а само отображение информации в линзе оптимизировано ради более быстрого и плавного пролистывания. Использование словарей тоже стало более удобным и наглядным: текст, на который отреагировали разные словари, теперь можно выделить разными цветами. Наглядность представления информации напрямую влияет на скорость и эффективность работы офицеров безопасности, поэтому постоянно прорабатывается и улучшается. Рисунок 5. Пример выделения цветом найденных по словарям слов Организованность процесса обеспечения информационной безопасности также является важным фактором. Чем меньше рутинных действий совершает офицер безопасности, тем эффективнее он справляется со своей основной задачей. Поэтому, в первую очередь, производится улучшение интерфейса — например, теперь можно создать несколько однотипных политик, а при сохранении и печати отчёта его название совпадает с названием его шапки.Менеджмент агентов стал удобнее: в новой версии можно настроить время активности агента, чтобы он собирал информацию только в рабочее время. Кроме этого, с неактивных ПК можно автоматически снять лицензию через указанное количество дней. Удалённые агенты теперь получают статус «Агент удалён», что позволяет проще концентрировать внимание на рабочих местах, на которых ведётся логирование информации. Рисунок 6. Функция сбора информации только в рабочее время Правильно организованная работа и наглядное отображение её результатов — это критерии эффективности выполняемой деятельности. Важно стремиться к получению максимального результата за минимум времени.Модуль сканирования файлов на ПК и нейронные сетиНовые проблемные задачи дают новые возможности, не пользоваться которыми — преступление, поэтому постоянно добавляется новая функциональность и развивается имеющаяся.В прошлом релизе был добавлен модуль нейронных сетей. Конечно, для того чтобы его применять, требуется определённый набор знаний, но компания-разработчик составила руководство, которое поможет выполнить самостоятельную настройку. Модуль нейросетей позволяет распознавать отсканированные документы — паспорта, печати на документах, — а также узнать, кто именно работает за компьютером, на месте ли сотрудник и находится ли за компьютером тот, кто должен за ним сидеть, а не другой человек. Был проведён вебинар с подробным рассказом об этом модуле и его возможностях; любой желающий может ознакомиться с записью и узнать больше об используемой технологии.Не обошлось и без добавления нового модуля — сканирования файлов на персональных рабочих станциях и на серверах. Модуль сканирования файлов позволяет провести аудит документов, которые находятся на компьютере, составить список имеющихся на рабочем месте документов и выявить конкретные документы и файлы, которые содержат в себе определённый, интересующий вас текст. Это помогает выявить те документы, которых не должно быть у сотрудника, и — более того — удалить эту информацию собственноручно, не позволив ей покинуть контролируемый периметр. Это — очень мощный инструмент, позволяющий удалённо решать задачи информационной безопасности. Рисунок 7. Интерфейс сканера файлов Рисунок 8. Интерфейс сканера файлов и отображение результатов поиска Кроме этого, была проведена ревизия модуля, ответственного за перехват файлов, отправляемых на печать: теперь этот модуль полностью переработан и осуществляет перехват исходного файла, фиксирует факт печати и снимает скриншот независимо от того, на какой принтер было отправлено задание. Нельзя только добавлять новое — обязательно нужно проверять и старые функциональные возможности на работоспособность и переделывать их, если они не отвечают требованиям.ВыводыДвижение — это жизнь, поэтому важно не останавливаться и развиваться, улучшая старое и добавляя новое. Во многом это — и заслуга клиентов, которые не стесняются писать, что они думают и что хотят видеть. Важно предоставить клиентам тот продукт, который поможет решить необходимые проблемы и задачи. Главное — делать свою работу качественно, а люди это увидят и оценят.Под качеством применительно к Staffcop Enterprise подразумевается несколько вещей. Первая из них — это используемые технологии. Необходимо следить за актуальными тенденциями и использовать новейшие технологические достижения. К таковым, конечно же, относятся нейронные сети — уже сейчас они способны значительно снизить нагрузку на офицеров информационной безопасности, выполняя за них рутинную работу. Немаловажной является и доступность используемых технологий. Неприемлем вариант, когда клиент кроме приобретения программного комплекса как такового вынужден дополнительно покупать лицензии на другие программные продукты. Увы, не у всех есть большие бюджеты, и каждый, кто создаёт решения для обеспечения информационной безопасности, просто обязан это учитывать.Одним из последних трендов в информационной безопасности стало смещение фокуса с внешних угроз на внутренние. С учётом нынешней мировой ситуации, с повальным переходом на удалённую работу, в полный рост встала проблема инсайдеров и внутренних угроз. Периметр безопасности стал размываться, и оказалось гораздо сложнее обеспечить безопасность своих данных. Staffcop Enterprise в первую очередь предназначен для защиты от внутренних угроз с помощью тотального контроля и распознавания опасных действий сотрудников. Несмотря на большой объём собираемых данных, Staffcop Enterprise обеспечивает наглядное их представление, позволяющее быстро выявить отклонения от нормы, а применяемая технология «drill-down» даёт возможность отследить все взаимосвязи и отображать данные в компактной форме, меняя масштаб и эффективно работая с ними.Помните, что вы всегда можете бесплатно протестировать Staffcop Enterprise самостоятельно и составить своё мнение. Читать далее
  13. Ego Dekker

    ESET SysRescue Live

    ESET SysRescue Live был обновлён до версии 1.0.20.
  14. Компания ESET — лидер в области информационной безопасности — сообщает о выходе новой версии продуктов для пользователей операционной системы Windows. Поэтому ESET Internet Security, ESET NOD32 Antivirus и ESET Smart Security Premium версии 14 обладают современными технологиями и улучшенным функционалом для обеспечения безопасности на более высоком уровне. В новой версии продуктов для защиты Windows теперь улучшено обнаружение вредоносного программного обеспечения, защита онлайн-платежей, безопасность паролей и поддержку устройств умного дома с целью создания безопасной цифровой среды для работы с любых устройств. Учитывая постоянный рост количества случаев кибератак важно обеспечить защиту пользователей при работе в Интернет-сети. Обновленный функционал продуктов предоставляет улучшенную защиту от банковских угроз, похищения личных данных и паролей, утечек конфиденциальной информации и угроз для домашней сети. ESET постоянно совершенствует свои решения для обеспечения пользователей новейшими технологиями в области кибербезопасности с минимальным воздействием на систему. Обновления предусматривают точную настройку системы предотвращения вторжений (HIPS) и совершенствование модулей машинного обучения, а также значительное уменьшение их размера. Основные новинки для лучшей защиты Windows: Новые сканеры системного реестра и инструментария для управления устройствами в среде Windows (WMI), которые способны выявлять несанкционированное использование этих систем. Усовершенствованный модуль домашней сети для лучшего выявления уязвимостей подключенных устройств и решения других проблем безопасности. Обновленная защита онлайн-платежей теперь имеет специальный защищенный режим браузера, с помощью которого пользователи могут безопасно осуществлять оплаты в Интернете. Усовершенствованная функция позволяет пользователям запустить любой браузер в защищенном режиме по умолчанию. При включении режима связь клавиатуры и мыши с браузером шифруется с целью предотвращения считывания нажатий клавиш. Кроме того, система теперь предупреждает пользователей об опасности несанкционированного доступа во время включенного протокола удаленного рабочего стола (RDP). Обновленный функционал ESET Password Manager теперь позволяет осуществлять выход из веб-сайтов и очищение истории браузера удаленно. Также инструмент доступен как через расширение браузера, так и с помощью мобильных приложений. «Поскольку количество киберугроз продолжает расти, очень важно обеспечить защиту устройств на каждом уровне. Многие технологии — от Интернет-банкинга до систем умных домов —выполняют важную роль в современной жизни, поэтому как никогда важно защищать свои устройства. Мы регулярно обновляем продукты по безопасности для надежной защиты Windows, что подтверждает наше стремление постоянно совершенствовать и внедрять инновации для создания безопасного цифрового пространства», — комментирует Матей Криштофик, менеджер по продуктам ESET. Пресс-выпуск.
  15. Система Multifactor от компании «Мультифактор» выделяется на рынке продуктов для многофакторной аутентификации рядом отличительных особенностей. Во-первых, она предлагается по сервисной подписке, что облегчает процесс интеграции и сокращает время до начала пользования. Во-вторых, дополнительный фактор для аутентификации можно выбирать из многих вариантов, включая такой необычный, как мессенджер Telegram. Какие ещё возможности предоставляет Multifactor, мы узнаем далее. ВведениеФункциональные возможности системы MultifactorАрхитектура системы MultifactorСистемные требования MultifactorСценарии использования системы Multifactor5.1. Начало работы с системой Multifactor5.2. Управление ресурсами в системе Multifactor5.3. Управление пользователями в системе Multifactor5.4. Управление доступом в системе Multifactor5.5. Журналирование событий в системе MultifactorВыводыВведениеДолгое время считалось, что классический метод аутентификации, основанный на комбинации логина и пароля, весьма надёжен. Однако сейчас утверждать такое уже не представляется возможным. Всё дело — в человеческом факторе и наличии у злоумышленников больших возможностей по «угону» пароля. Не секрет, что люди редко используют сложные пароли, не говоря уже о том, чтобы регулярно их менять. К сожалению, является типичной ситуация, когда для различных сервисов и ресурсов применяется один и тот же пароль. Таким образом, если последний будет подобран посредством брутфорса или украден с помощью фишинговой атаки, то у злоумышленника появится доступ ко всем ресурсам, для которых применялся этот пароль.Для решения описанной проблемы можно использовать дополнительный фактор проверки личности. Решения, основанные на таком методе, называются системами двухфакторной аутентификации (two-factor authentication, 2FA) или многофакторной аутентификации (multi-factor authentication, MFA).Одним из таких решений является Multifactor от компании «Мультифактор». Эта система позволяет выбрать в качестве второго фактора один из следующих инструментов: аппаратный токен, SMS-сообщения, звонки, биометрию, UTF, Google Authenticator, «Яндекс.Ключ», Telegram или мобильное приложение. Необходимо добавить, что данное решение предлагается только в качестве сервиса, когда у заказчика устанавливаются лишь программные агенты, а ядро системы размещается на стороне вендора, избавляя таким образом специалистов заказчика от проблем с внесением изменений в инфраструктуру и решением вопросов по организации канала связи с провайдерами для приёма звонков и SMS-сообщений.Заметим к слову, что информационно-аналитический центр Anti-Malware.ru уже поднимал тему MFA — например, в статье «Актуальные проблемы корпоративной многофакторной аутентификации».Функциональные возможности системы MultifactorСистема Multifactor обладает следующими ключевыми функциональными особенностями:Большой выбор способов аутентификации: Telegram, биометрия, U2F, FIDO, OTP, Google Authenticator, «Яндекс.Ключ», мобильное приложение Multifactor, звонки и SMS-сообщения.Предоставление API для управления пользователями из внешних систем.Готовность вендора доработать Multifactor под требования заказчика.Журналирование действий пользователей при получении доступа.Управление ресурсами, к которым осуществляется доступ.Управление пользователями из консоли администрирования.Возможность импорта пользователей из файлов формата CSV или простого текстового файла.Большой перечень ресурсов, с которыми возможна интеграция Multifactor: OpenVPN, Linux SSH, Linux SUDO, Windows VPN, Windows Remote Desktop, Cisco VPN, FortiGate VPN, Check Point VPN, Yandex.Cloud, VMware vCloud, Huawei.Cloud (в России — SberCloud), Outlook Web Access, VMware Horizon, VMware AirWatch, Citrix VDI и другие.Управление функциями системы Multifactor через единую консоль администратора.Информирование администратора системы о потенциальных инцидентах в сфере ИБ.Поддержка Active Directory и RADIUS.Архитектура системы MultifactorКак уже было сказано, Multifactor является сервисным продуктом. Таким образом, вычислительные мощности и сетевая инфраструктура, необходимые для работы системы, размещены в Москве, в дата-центре «Даталайн». ЦОД сертифицирован по стандартам PCI DSS (уровень 1) и ISO/IEC 27001:2005. На стороне заказчика устанавливаются только следующие программные компоненты с открытым исходным кодом: RADIUS Adapter (для приёма запросов по протоколу RADIUS),IIS Adapter (для включения двухфакторной аутентификации в Outlook Web Access),портал самообслуживания (для самостоятельного управления средствами аутентификации со стороны пользователей). Рисунок 1. Схема и описание работы компонентов Multifactor Multifactor можно приобрести только по сервисной подписке. Стоимость лицензии зависит от количества пользователей. Доступна подписка на любой срок начиная от 1 месяца.Интерфейс программного обеспечения Multifactor поддерживает только русский язык. Другие языки в данный момент не поддерживаются.Система не имеет сертификатов по требованиям безопасности информации, но программные агенты, которые устанавливаются на стороне заказчика, поставляются с исходным кодом, что даёт возможность убедиться в отсутствии недекларированных возможностей.Необходимо отметить, что Multifactor включён в реестр российских программ для электронных вычислительных машин и баз данных.Системные требования MultifactorДля корректного функционирования Multifactor производитель установил отдельные системные требования по каждому из компонентов системы. В таблице 1 указаны минимальные ресурсы для RADIUS Adapter. Таблица 1. Минимальные системные требования для установки RADIUS AdapterНаименование параметраКоличество аутентификаций в секунду1001000Количество процессоров48Оперативная память (RAM)4 ГБ8 ГБОперационная системаWindows Server 2012 и вышеWindows Server 2012 и выше В таблице 2 приведены показатели, соответствие которым необходимо для установки портала самообслуживания (Self-Service Portal). Таблица 2. Минимальные системные требования для установки Self-Service PortalНаименование параметраЗначениеКоличество процессоров1Оперативная память (RAM)2 ГБОперационная системаWindows Server 2012 и выше На момент выхода статьи в Multifactor доступны следующие ресурсы для реализации механизма многофакторной аутентификации (см. табл. 3). Таблица 3. Требования к ресурсам для интеграции с MultifactorТип ресурсаНаименование ресурсаОблака, виртуализация и веб-приложенияВеб-сайтSAML-приложениеYandex.CloudOutlook Web AccessHuawei CloudVMware vCloudVMware Horizon ViewVMware Horizon Cloud DaaSМежсетевые экраны и средства коммутацииCiscoCheck PointFortiGateMikrotikИнфраструктура Linux OpenVPNLinux SS Linux SUDOИнфраструктура WindowsСервер Windows VPNСервер Windows RD GatewayСервер Windows Network PolicyWindows Remote Desktop Сценарии использования системы MultifactorНиже будут описаны различные варианты работы системы Multifactor.Начало работы с системой MultifactorПосле установки всех необходимых программных компонентов можно приступать к работе с Multifactor. Все основные действия по управлению системой находятся в консоли администрирования. Для того чтобы зайти в неё, следует ввести логин и пароль. Рисунок 2. Аутентификация в консоли администрирования Multifactor При первом запуске консоли потребуется выбрать второй фактор аутентификации из числа предложенных. Рисунок 3. Выбор дополнительного способа аутентификации в Multifactor В качестве примера была выбрана аутентификация через Telegram. Для активации данного метода понадобится добавить в приложение Telegram на мобильном телефоне бота Multifactor. Далее от этого бота поступает сообщение, где для получения доступа необходимо нажать на кнопку «Да, это я» (рис. 4). Рисунок 4. Подтверждение доступа в Multifactor через Telegram После выполнения этого действия будет загружена консоль администрирования. Откроется раздел «Главная». Рисунок 5. Главное меню консоли администратора в Multifactor На этой вкладке можно поменять тариф оплаты, контактную информацию и логотип, а также сразу добавить защищаемые ресурсы. Переход на вкладку «Настройки» позволит изменить формат преобразования учётных записей и включить расширенный API для управления пользователями, ресурсами и настройками доступа к системе через программный интерфейс (рис. 6). Рисунок 6. Управление настройками в Multifactor Также в консоли администратора доступны разделы «Ресурсы» (для управления ресурсами заказчика), «Администратор» (для управления учётными записями администраторов Multifactor), «Пользователи» и «Группы» (для совершения операций с пользователями), «Запросы доступа» (для просмотра журнала подключений), «Проект» (для указания данных по текущей системе), «Тариф и оплата» (для просмотра возможностей текущего тарифа).Отметим, что на вкладке «Проект» помимо названия системы можно указать данные администратора, в том числе и контактную информацию, чтобы пользователи знали, к кому обращаться в случае появления трудностей при доступе к ресурсам. Рисунок 7. Настройка параметров проекта и контактной информации Для взаимодействия с большей частью средств коммутации и сервисов в целях осуществления доступа в Multifactor используется сетевой протокол RADIUS (Remote Authentication Dial-In User Service). Система полагается на данный протокол в следующих сценариях:схема двухфакторной аутентификации, где в качестве первого фактора пользователь применяет пароль, а в качестве второго — мобильное приложение, Telegram или одноразовый код (OTP);схема однофакторной аутентификации, где пользователь применяет логин, а вместо пароля вводится второй фактор (например, пуш-уведомление).Для того чтобы можно было использовать протокол RADIUS, необходимо обеспечить беспрепятственное подключение устройства доступа (сервер, межсетевой экран или другое средство сетевой коммутации) к адресу radius.multifactor.ru по UDP-порту 1812. Соответственно, данный порт и веб-адрес должны находиться в списке разрешённых.Кроме того, протокол RADIUS можно применять для обеспечения безопасности подключения по SSH, использования команды SUDO и других операций, требующих усиленного контроля доступа. Также сетевой протокол RADIUS пригодится как дополнительный инструмент проверки подлинности Windows для подключения к удалённому рабочему столу (Remote Desktop).Для полноценного использования протокола RADIUS в Multifactor применяется программный компонент Multifactor RADIUS Adapter.Multifactor RADIUS Adapter реализует следующие возможности:получение запросов для прохождения аутентификации по протоколу RADIUS,проверка логина и пароля пользователя в Active Directory или NSP (Microsoft Network Policy Server),проверка второго фактора аутентификации на мобильном устройстве пользователя,настройка доступа на основе принадлежности пользователя к группе в Active Directory,включение второго фактора на основе принадлежности пользователя к группе в Active Directory,применение мобильного телефона пользователя из Active Directory для отправки одноразового кода через SMS.Помимо RADIUS в Multifactor также используется протокол взаимодействия SAML, который кроме двухфакторной аутентификации предоставляет технологию единого входа (SSO) в корпоративные и облачные приложения, где первым фактором может быть логин и пароль от учётной записи в Active Directory либо в Google или Yandex. При использовании протокола SAML в Multifactor можно настроить взаимодействие для аутентификации со следующими приложениями и сервисами: VMware, Yandex.Cloud, SberCloud, Salesforce, Trello, Jira, Slack и др.Управление ресурсами в системе MultifactorКак уже было сказано выше, управление ресурсами осуществляется в разделе «Ресурсы». На данной вкладке возможно добавление ресурсов заказчика, таких как сайты, облачные решения, межсетевые экраны, серверы под ОС Linux и Windows. В частности, для подключения двухфакторной аутентификации на сайте потребуется помимо адреса этого сайта выбрать тип JSON-токена и провести процедуру интеграции с Multifactor посредством предоставляемых производителем инструкций. Рисунок 8. Добавление ресурсов заказчика для реализации MFA При добавлении нового ресурса появится отдельная страница, посвящённая ему (рис. 9). На такой странице будут представлены информация о названии ресурса и его адресе в сети «Интернет», параметры API для интеграции с Multifactor и формат токена доступа. Рисунок 9. Просмотр данных о параметрах добавленного ресурса в Multifactor Порядок подключения пользователей к сайту выглядит так, как показано на рисунке 10. Упрощённо получение доступа пользователем можно представить в виде совокупности следующих шагов:На первом этапе пользователь вводит на сайте, к которому требуется доступ, свои логин и пароль.Далее сайт проверяет корректность и правильность введённых пользователем данных.В случае если все данные корректны, сайт делает запрос к API Multifactor для подготовки доступа. Обратно API направляет ответ, в котором содержится уникальный адрес страницы доступа для осуществления дальнейших действий.На следующем этапе сайт перенаправляет пользователя на страницу доступа Multifactor, где проверяется второй фактор аутентификации.После того как сотрудник пройдёт проверку по второму фактору аутентификации, система создаст JW-токен доступа и переадресует пользователя обратно на сайт.Сайт проводит проверку JW-токена и в случае правильности и корректности данных авторизует пользователя.Таким образом, для осуществления аутентификации в Multifactor применяется JW-токен (JSON Web Token) — стандарт создания метки доступа для обмена аутентификационной информацией между двумя сторонами. JWT имеет простую структуру, состоящую из трёх частей: заголовок, данные, подпись. Рисунок 10. Схема получения доступа к сайту через Multifactor Управление пользователями в системе MultifactorПод управление пользователями в графическом интерфейсе Multifactor отводятся сразу два раздела: «Пользователи» и «Группы». В первом из них можно добавлять новых пользователей, задавая логин, имя, адрес электронной почты, телефон, а также группу, к которой должен относиться сотрудник. Помимо ручного ввода этих данных в Multifactor есть возможность их импорта из файлов формата TXT и CSV. Для корректного выполнения данной операции на каждого пользователя должна отводиться только одна строка. Рисунок 11. Добавление новых пользователей в систему Раздел «Группы», как можно понять по названию, позволяет создавать новые группы, в которые будут входить пользователи. Здесь есть возможности тонкой настройки следующих параметров: название группы, время жизни сеанса доступа, способы аутентификации (включая доступ без таковой), перечень ресурсов, с которыми смогут взаимодействовать сотрудники, IP-адреса, с которых будет возможен доступ, а также дни недели, в которые он будет разрешён. Рисунок 12. Добавление новой группы для пользователей Управление доступом в системе MultifactorУправление доступом пользователей к ресурсам тоже осуществляется через вкладку «Группы», где есть возможность определить способ аутентификации, доступные ресурсы, период подключения и прочее.Для того чтобы задать способ аутентификации для конкретного сотрудника, необходимо зайти в раздел «Пользователи», выбрать нужную учётную запись и нажать на строку «Детали». В открывшемся окне с данными пользователя можно отправить ссылку на выбор способа аутентификации.Ссылка придёт на указанный электронный адрес (рис. 13). Рисунок 13. Получение ссылки для самостоятельного выбора способа аутентификации После перехода по ссылке у пользователя откроется окно для выбора предпочтительного способа аутентификации (рис. 14). Рисунок 14. Выбор пользователем способа аутентификации После выбора способа аутентификации пользователь сможет подключаться к ресурсу с выбранными параметрами.Как уже отмечалось выше, в Multifactor есть возможность установить портал самообслуживания (Self-Service Portal). Данный компонент поставляется в комплекте с лицензией Multifactor и позволяет пользователям самостоятельно регистрировать второй фактор аутентификации внутри корпоративной сети Active Directory для безопасного подключения удалённого доступа через VPN или Remote Desktop.Журналирование событий в системе MultifactorПросмотр событий, связанных с доступом к ресурсам, реализован в Multifactor в разделе «Запросы доступа». Имеются фильтры для поиска событий по пользователю, ресурсу и периоду времени. В журнале отображается следующая информация по каждому запросу: дата подключения, имя пользователя, наименование ресурса, к которому осуществляется доступ, местоположение пользователя в момент получения этого доступа (страна и город) и статус его получения. Рисунок 15. Просмотр данных о запросах пользователей в Multifactor ВыводыПо результатам тестирования Multifactor можно сказать, что данная система предлагает интересный и удобный механизм по использованию многофакторной аутентификации для доступа к практически любым ресурсам заказчика. Можно сделать более безопасной аутентификацию на веб-ресурсах и устройствах сетевой коммутации, в облаках и средствах виртуализации, в инфраструктуре Linux и Windows.Большой выбор методов аутентификации позволяет подобрать наиболее удобный и безопасный вариант для любой группы пользователей или дать сотрудникам право самостоятельно определять способ удостоверения личности. Отметим также, что в качестве дополнительного фактора можно использовать такие современные инструменты, как мобильное приложение Multifactor, OTP от Google и «Яндекса», а также сообщения от бота в Telegram (тем более что мессенджер Telegram стал в последнее время вполне легитимным приложением и даже органы государственной власти используют его для своих официальных новостных каналов).Наличие подробных инструкций, в том числе и в видеоформате, позволяет быстро и без особых трудностей осуществить интеграцию практически любого ресурса с системой Multifactor.Ещё одним положительным моментом является легковесность внедрения данного решения. В инфраструктуре заказчика устанавливаются только три программных компонента (включая портал самообслуживания), обладающие вполне приемлемыми системными требованиями. Кроме того, вендор готов индивидуализировать свой продукт под нужды заказчика.Из отрицательных сторон можно выделить отсутствие сертификата по требованиям безопасности информации, наличие программных компонентов только под ОС семейства Windows, невозможность импорта пользователей через Active Directory / LDAP.По совокупности положительных характеристик, а также отмечая тот факт, что данная система вполне активно развивается (например, в одной из последних итераций в качестве одного из методов аутентификации появилось мобильное приложение), можно говорить о том, что Multifactor занимает выгодное место на рынке систем многофакторной аутентификации. Читать далее
  16. В чём заключаются основные преимущества и недостатки биометрии? Какие биометрические системы являются наиболее точными? В чём состоит отличие поведенческих систем от статических? Попробуем разобраться в принципах работы и областях применения биометрии. ВведениеОсобенности систем биометрической идентификацииТипы систем биометрической идентификации3.1. Статические системы3.1.1. Отпечатки пальцев3.1.1.1. Sherlock (Integrated Biometrics)3.1.1.2. Сканеры отпечатков пальцев СОП1 и СОП2 («Интек»)3.1.2. Рисунок вен на пальцах / руках3.1.2.1. Bio-Plugin: Биометрическая система СКУД (M2SYS)3.1.2.2. Palm Jet (BioSmart)3.1.3. Геометрия ладоней3.1.3.1. HandKey II (Schlage Recognition Systems)3.1.4. Радужная оболочка глаза3.1.4.1. Iris Access (Iris ID)3.1.4.2. Системы ВЗОР3.1.5. Сетчатка глаза3.1.5.1. HBOX (EyeLock)3.1.6. Лицо3.1.6.1. Blink Identity3.1.6.2. Face-Интеллект (ITV Group: Axxon Soft)3.1.6.3. PERCo-Web (PERCo)3.1.6.4. ПАК «Визирь» — СКУД на базе технологий компьютерного зрения3.1.7. Форма ушной раковины3.1.8. Голос3.1.8.1. ArmorVox (Auraya)3.1.8.2. IDVoice (ID R&D)3.1.9. Термограмма3.1.9.1. ESTONE FSAC-80 (Estone Technology)3.1.10. ДНК3.2. Поведенческие системы3.2.1. Походка3.2.1.1. SFootBD (University of Manchester)3.2.1.2. Watrix3.2.2. Движение губ3.2.2.1. Lip password (Hong Kong Baptist University, HKBU)3.2.3. Подпись3.2.3.1. SIGNificant Biometric Server (Namirial GmbH)3.2.4. Нажатие клавиш3.2.4.1. TypingDNA3.3. Мультимодальные биометрические системы3.3.1. Smart Authentications (CPqD)3.3.2. VoiceKey.PLATFORM (Группа компаний ЦРТ)3.3.3. Единая биометрическая система (Ростелеком)ПрименениеВыводы ВведениеНа сегодняшний день биометрические системы уже привычны каждому и активно участвуют в нашей жизни. Сканеры отпечатков пальцев, встроенные в смартфоны, технологии распознавания лиц и прочие инструменты постепенно приходят на замену традиционным методам идентификации и всё чаще проникают в крупные бизнесы, такие как банковское обслуживание и розничная торговля (ритейл). Биометрические системы имеют ряд преимуществ в сравнении с традиционными методами, так как приспособлены под идентификацию личности без возможности передачи ключа и во многом являются более удобными с точки зрения пользователя. Однако чем более активно ведётся внедрение такого вида систем, тем более остро встаёт вопрос обеспечения информационной безопасности.В данной статье рассмотрены основные виды биометрических систем, их принципы работы, преимущества и недостатки. Также приведён обзор компаний-производителей и конкретных продуктов, которые используются на коммерческом рынке на сегодняшний день. Особенности систем биометрической идентификацииБиометрическая идентификация — это процесс сравнения и определения сходства между данными человека и его биометрическим «шаблоном». Биометрия позволяет идентифицировать и провести верификацию человека на основе набора специфических и уникальных черт, присущих ему от рождения. Этот метод распознавания принято считать одним из самых надёжных, так как в отличие от стандартных логина и пароля биометрическими данными гораздо сложнее несанкционированно воспользоваться. Давайте рассмотрим механизм действия биометрических систем.Сначала в базе данных или на защищённом переносном элементе, таком как смарт-карта, сохраняется эталонная модель, основанная на биометрических характеристиках человека. Для этого могут использоваться один или несколько биометрических образцов.Сохранённые данные преобразуются в математический код; таким образом формируется база данных, представляющая собой набор кодов до 1000 бит, фиксирующих уникальные биометрические характеристики пользователей.При считывании отпечатка пальцев или радужки глаза сканер не распознаёт само изображение, а преобразовывает его в цифровой код, который затем сравнивает с загруженной ранее эталонной моделью. Типы систем биометрической идентификацииЧаще всего при мысли о биометрических системах нам на ум приходят сканеры отпечатков пальцев или системы распознавания лиц. Возможно, эти типы систем получили наибольшую известность благодаря кинофильмам и телесериалам. В любом случае наука не стоит на месте, и в последние годы границы биометрии стали намного шире. На данный момент существуют и активно применяются в безопасности, системах контроля доступа и предотвращения краж уже 14 типов биометрических устройств. Статические системыВ данном разделе мы расскажем о тех методах и инструментах, которые оценивают биометрические параметры в статике — без развития во времени. Отпечатки пальцевРаспознавание отпечатков пальцев является одним из первых биометрических методов. Он основан на определении структуры линий на подушечках пальцев рук, иначе — папиллярных узоров. После считывания сканером уникальный рисунок трансформируется в цифровой биометрический шаблон, при помощи которого система определяет, кто перед ней находится.Такие сканеры разделяются на два основных типа: оптические и кремниевые (тепловые и ёмкостные). Каждый из типов имеет свои преимущества и недостатки. Например, оптические сканеры являются наиболее точными с точки зрения определения узора, однако их можно обмануть с помощью силиконовых или латексных накладок и других нехитрых приёмов. Также они быстро загрязняются, в отличие от линейных тепловых, и для исключения погрешностей их приходится очищать после каждого применения. Для пользователя отличие состоит лишь в том, как взаимодействовать со сканером— прикасаться либо проводить по нему.Сейчас благодаря встроенным в смартфоны сканерам можно разблокировать таким образом мобильное устройство, оплатить покупки в интернете. В ближайшем будущем планируется внедрить подобные технологии и в другие устройства общего пользования, например в банкоматы (как это сделали Сбербанк и «Тинькофф»), и даже в метрополитене для замены билетов (такой проект собираются реализовать в Британии, чтобы сократить нагрузку на турникеты). Sherlock (Integrated Biometrics)Компания Integrated Biometrics со штаб-квартирой в Спартанбурге, Южная Каролина, была основана в 2002 году. Integrated Biometrics продолжает расти как глобальный поставщик биометрических решений.Компания занимается разработкой датчиков регистрации и проверки отпечатков пальцев. В продуктах Integrated Biometrics используется плёнка LES (светоизлучающий датчик), обеспечивающая скорость, простоту использования и долговечность мобильных устройств биометрической верификации. Интегрированные биометрические датчики отпечатков пальцев Sherlock, единственные сертифицированные ФБР, работают под прямыми солнечными лучами на сухих или влажных пальцах, устойчивы к стиранию и на 90—95 процентов меньше и легче традиционных оптических сканеров. Они больше подходят для мобильных устройств, чем кремниевые или традиционные оптические датчики. Сканеры отпечатков пальцев СОП1 и СОП2 («Интек»)Устройства позволяют получить дактилоскопические отпечатки в различных режимах. Имеют встроенный алгоритм проверки качества отпечатка и подсветку для контроля состояния сканирования. Запуск сканирования выполняется автоматически при прикладывании пальца. После получения изображения сканер самостоятельно проводит проверку качества. Кодирование и декодирование изображения осуществляются с использованием алгоритма WSQ (вейвлет-скалярное квантование). Рисунок вен на пальцах / рукахДанный тип является усовершенствованной версией предыдущего. Взломать алгоритм его работы значительно труднее, чем при другом биометрическом сканировании, поскольку вены находятся глубоко под кожей. Инфракрасные лучи проходят через поверхность кожи, где они поглощаются венозной кровью. Специальная камера фиксирует изображение, оцифровывает данные, а затем либо сохраняет их, либо использует для подтверждения личности.Не так давно технология, получившая название FingoPay, была протестирована в одном из лондонских баров. Система идентифицирует уникальный рисунок вен пальцев рук и, по заявлению производителей, является почти совершенным устройством благодаря тому факту, что совпадение структуры рисунка вен у двух разных людей равно 1 к 3,4 млрд.Также аналогичная система производителя Hitachi была использована производителями японских банкоматов. Bio-Plugin: Биометрическая система СКУД (M2SYS)Разработка M2SYS Bio-Plugin может распознавать как отпечатки пальцев, так и рисунок вен на пальцах и позволяет предприятиям любого масштаба и любой отрасли быстро интегрировать в работу систему биометрического программного обеспечения. Bio-plugin может проводить сопоставление 100 миллионов отпечатков пальцев в секунду на одном сервере и поддерживает совместимость с Windows и веб-приложениями. Преимуществами системы являются возможность быстрой интеграции (несколько часов), отсутствие необходимости компиляции ПО и глобальная инфраструктура поддержки. Система была интегрирована в комплексное биометрическое решение производителя — Гибридную биометрическую платформу, мультимодальную систему, которая поддерживает несколько форм биометрии, включая отпечатки пальцев, вены пальца и распознавание лиц. Palm Jet (BioSmart)Одной из новейших разработок компании BioSmart является бесконтактный сканер Palm Jet. Это — комплексная биометрическая система, которая избавляет сотрудников от необходимости прикасаться к одним и тем же поверхностям. В данный момент используется некоторыми предприятиями в качестве мер для профилактики COVID-19.Palm Jet сканирует сеть подкожных вен и сравнивает результат с шаблоном в базе данных. Контрастный рисунок вен ладони формируется за счёт различных коэффициентов поглощения излучения венами и тканями ладони. Устройство отлично защищено от подлога — его невозможно обмануть с помощью силиконового муляжа или фотографии. Расстояние сканирования составляет 40—100 мм, при этом скорость распознавания — менее секунды.Прочие устройства вендора:BioSmart PV-WTC — терминал для организации пропускного режима и учёта рабочего времени;BioSmart PV-WM и BioSmart DCR-PV — считыватели вен ладони. Геометрия ладонейОпределение геометрии руки относится к измерению таких характеристик, как длина и ширина пальцев, их кривизна и относительное расположение. На данный момент этот метод является устаревшим и уже почти не используется, хотя когда-то был доминирующим вариантом биометрической идентификации. Современные достижения в области программного обеспечения для распознавания отпечатков пальцев и лиц затмили его актуальность.Существует также тип биометрических методов распознавания рисунка ладони, получивший название «дактилоскопия». Впервые он был применён в Лондоне 18 апреля 1902 г. при установлении личности преступника и на протяжении 20 века использовался в области криминалистики во многих странах. Однако на текущий момент этот метод также используется крайне редко в силу своей неточности и наличия более современных биометрических технологий. HandKey II (Schlage Recognition Systems)Считыватели HandKey II разработки компании Schlage Recognition Systems фиксируют форму и размер руки, делая более 90 различных измерений. Затем они преобразуют и сохраняют эти измерения в виде 9-байтового цифрового шаблона идентификации, полностью уникального для каждого человека, который делает руку ключом.HandKey II функционирует как автономное устройство или легко интегрируется в существующую систему контроля доступа. В качестве контроллера доступа сканер обеспечивает управление механизмом блокировки с отслеживанием запросов на выход и сигналов тревоги. Аварийные оповещения предупреждают об отказе в доступе, чрезмерном количестве попыток сканирования, сбое питания и прочих событиях. Радужная оболочка глазаРадужная оболочка, или цветная часть глаза, состоит из толстых нитевидных мышц. Эти мышцы помогают формировать зрачок, чтобы контролировать количество света, попадающего в глаз. Измеряя уникальные складки и характеристики этих мышц, инструменты биометрической верификации могут подтвердить личность с невероятной точностью. Технологии динамического сканирования (например, сканирование того, как человек моргает) добавляют дополнительный уровень точности и безопасности. Iris Access (Iris ID)Iris ID с 1997 года является одним из крупнейших разработчиков технологий распознавания радужной оболочки глаза. IrisAccess — известная в мире платформа такого рода, которая уже была выпущена в четырёх версиях. По сведениям производителя, в данный момент система IrisAccess используется на 6 континентах и является более востребованной, чем все аналогичные продукты для распознавания радужной оболочки глаза вместе взятые.Одной из самых популярных серий является iCAM 7000. Новое поколение устройств способно осуществлять бесконтактную идентификацию человека по радужной оболочке глаза с расстояния около 30 см. Устройство имеет интуитивно понятный интерфейс с визуальным и звуковым оповещением, что позволяет быстро зарегистрировать человека в системе, а затем распознать его. Автоматическая подстройка угла наклона считывателя даёт возможность ускорить процесс распознавания при использовании устройства как отдельно, так и в комбинации с картами доступа или PIN-клавиатурой. Системы ВЗОРКомпания является одним из наиболее востребованных производителей биометрических систем данного типа в России. Ниже представлены несколько самых популярных разработок.ВЗОР-Регистратор / ВЗОР-Мини: сканеры для записи биометрических шаблонов в базу (ВЗОР-Регистратор) и для идентификации (ВЗОР-Мини) с дистанцией захвата около 40 см. Пропускная способность — до 20 человек в минуту.ВЗОР-Пилон: сканер биометрической идентификации человека по радужной оболочке глаза с дистанцией захвата 0,9—1,1 м при движении человека со скоростью до 1 м/с. Обеспечивает скорость прохода через турникетную группу до 40 человек в минуту.ВЗОР-Портал: сканер биометрической идентификации по радужке глаза с дистанцией захвата до 1,6 метров и обеспечивающий захват радужки глаза при движении человека со скоростью до 2 м/с. Пропускная способность — до 80—90 человек в минуту. Сетчатка глазаПроверка сетчатки позволяет отсканировать капилляры глубоко внутри глаза с помощью камер ближнего инфракрасного диапазона. Получившееся изображение сначала предварительно обрабатывается для улучшения его качества, а затем преобразовывается в биометрический шаблон для регистрации нового пользователя и для последующей сверки с эталоном во время попыток распознавания пользователя. Высокая стоимость и необходимость помещать глаз близко к камере мешает более широкому использованию подобных сканеров. HBOX (EyeLock)HBOX является устройством идентификации и верификации личности в наборе решений от компании-производителя Eyelock, которое осуществляет в режиме реального времени считывание и анализ сетчатки глаза на расстоянии и в движении. Гибкая конструкция предполагает несколько вариантов размещения — на мобильных стендах-воротах, фиксированных рамках и настенных креплениях — для максимальной гибкости в условиях нового строительства или модификации существующей конфигурации помещения.Пропускная способность HBOX обеспечивает прохождение до 50 человек в минуту и подходит для таких объектов, как аэропорты, вокзалы, стадионы. Сканер имеет возможности интеграции со всеми доступными стандартными системами и платформами управления доступом. ЛицоТехнология распознавания лиц, безусловно, является одной из первых форм биометрических систем идентификации. Программное обеспечение такого рода измеряет геометрию лица, включая расстояние между глазами и от подбородка до лба (и это — лишь некоторые из параметров). После сбора данных усовершенствованный алгоритм преобразует их в зашифрованный код, иначе — подпись (сигнатуру) лица.Согласно отчёту Computer Sciences Corporation (CSC), многие магазины уже внедрили системы распознавания лиц для отслеживания определённых групп покупателей. Принцип работы такого вида систем можно сравнить с таргетированной рекламой, цель которой — изучить предпочтения и предлагать наиболее релевантные товары.Недавно технология стала очень популярной среди пользователей смартфонов благодаря различным приложениям (например, для определения возраста) или встроенным сканерам лица, позволяющим снимать блокировку с устройства. Благодаря масштабному распространению среди пользователей и относительной простоте метода стало появляться всё больше приложений, использующих эту технологию.В 2019 году произошло несколько скандалов из-за утечки данных из приложения Zao для создания поддельных изображений (дипфейков). В ответ 16 марта 2020 года стало известно, что Китай ввёл обновлённые стандарты для приложений, собирающих биометрические данные, в том числе — для систем распознавания лиц. Blink IdentityКомпания Blink Identity использует собственную технологию распознавания лиц для идентификации людей во время движения на полной скорости, которая позволяет опознавать более 60 человек в минуту. Система может быть использована для улучшения взаимодействия с гостями и безопасного контроля доступа на «живых» мероприятиях. Для регистрации человеку нужно пройти мимо датчика, который сфотографирует его и внесёт в базу данных.По словам представителей Blink Identity, технология позволит обнаружить лицо пользователя среди 50 тысяч человек и сопоставить его с фотографией из базы данных за полсекунды. Face-Интеллект (ITV Group: Axxon Soft)Система «Face-Интеллект» позволяет проводить идентификацию по лицу в местах массового скопления людей — на вокзалах и стадионах, в аэропортах и метрополитене, а также в магазинах, ресторанах, барах и т. д. Преимущество системы состоит в том, что она способна сравнивать лица с базами данных госучреждений и правоохранительных органов, поддерживает протокол обмена данными с КАРС. «Face-Интеллект» позволяет осуществлять поиск видеозаписей с лицами, интересующими службу безопасности или правоохранительные органы, по фотографии, фотороботу или видеокадру. Система сравнивает лицо, захваченное камерой, с фотографией из базы данных СКУД. Доступ предоставляется автоматически; при низкой степени сходства решение принимает оператор. PERCo-Web (PERCo)Производитель оборудования для обеспечения безопасности PERCo разработал веб-систему контроля доступа PERCo-Web, которая поддерживает работу с терминалами распознавания лиц Suprema и ZKTeco. Алгоритмы глубинного обучения терминалов позволяют собирать метаданные объекта и проводить более точную идентификацию, постоянно увеличивая скорость распознавания путём накопления характеристик объекта. Терминалы подключаются по интерфейсу Ethernet. Данные сотрудников могут быть оперативно добавлены в систему как основной или дополнительный идентификатор. Все события проходов через терминалы сохраняются в системе PERCo-Web. При необходимости в системе можно настроить алгоритм реакций, например уведомление при входе сотрудника, поступающее оператору. Для усиления мер безопасности на критически важных объектах система может быть использована совместно с другими методами идентификации. ПАК «Визирь» — СКУД на базе технологий компьютерного зренияКомплексное решение для заказчиков любого масштаба, поставляется «под ключ», с наличием всех необходимых сертификатов. Построено на базе российского алгоритма распознавания лиц, зарекомендовавшего себя в десятках проектов по всей России. Исключает возможность мошенничества с помощью обмена пропусками, передачи пропуска лицам, не являющимся сотрудниками компании. Предотвращает проникновение на объект нежелательных лиц (сопоставление с «чёрным списком»), лиц с подозрением на инфекционное заболевание (измерение температуры). Решение обеспечивает бесконтактный проход на объект для снижения рисков заражений в условиях неблагоприятной эпидемиологической ситуации, выявляет факты нарушения трудовой дисциплины (контроль времени прихода / ухода сотрудников). В ПАК «Визирь» включена технология антиспуфинга — Liveness Detection (предотвращает атаки и попытки взлома). Продукт имеет хорошо документированный API с поддержкой большого количества методов (более 60) для решения любых задач, имеет готовые интеграционные модули для СКУД и билетно-кассовых систем ведущих вендоров. Форма ушной раковиныВ отличие от многих других биометрических методов, для которых требуются специальные камеры, эти биометрические системы измеряют акустику уха с помощью специальных наушников и неслышимых звуковых волн. Микрофон внутри каждого наушника измеряет то, каким образом звуковые волны отражаются от ушной раковины и расходятся в разных направлениях в зависимости от изгибов слухового прохода. Цифровая копия формы уха преобразуется в биометрический шаблон для дальнейшего использования.На текущий момент коммерческие аналоги пока ещё недоступны, однако ведутся многочисленные исследования в этой области. Весной 2015 года в Yahoo Labs предложили идентифицировать владельца смартфона по его ушным раковинам. В том же году патент на подобное изобретение получила компания Amazon. ГолосТехнология распознавания голоса попадает в сферы и физиологических, и поведенческих биометрических данных. С физиологической точки зрения такие системы распознают форму голосового тракта человека, включая нос, рот и гортань, определяют производимый звук. С поведенческой точки зрения они фиксируют то, как человек что-то говорит — вариации движений, тон, темп, акцент и т. д., что также является уникальным для каждого человека. Объединение данных физической и поведенческой биометрии создаёт точную голосовую подпись, хотя могут возникать некоторые несоответствия (например, в случае болезни или действия других факторов). ArmorVox (Auraya)Омниканальный голосовой биометрический процессор от компании Auraya представляет собой запатентованную технологию голосовой биометрии, разработанную с использованием алгоритмов машинного обучения. Система позволяет проводить идентификацию и проверку голоса в цифровых приложениях, браузерах, роботах AI, голосовых помощниках, чате, контакт-центре, IVR и других цифровых каналах.Клиенты могут варьировать параметры безопасности — например, установить базовый уровень защиты для всех или повышенный её уровень для отдельных пользователей. ArmorVox может сопоставлять образцы на одном сервере в режиме реального времени со скоростью более 125 млн голосов в час.EVA на базе ArmorVox используется облачным сервисом Amazon Connect. Система представляет собой простое в использовании облачное голосовое биометрическое расширение для цифровых каналов, обеспечивающее идентификацию и проверку голоса, а также предоставляющее возможности по обнаружению мошенничества. IDVoice (ID R&D)IDVoice от ID R&D — это управляемое при помощи искусственного интеллекта голосовое биометрическое ядро, которое осуществляет распознавание по голосу. Продукт построен на свёрточной нейронной сети и усовершенствованной технологии извлечения характеристик голоса, занимая первое место в рейтинге ведущих тестов отрасли.В данный момент IDVoice уже интегрирован в приложения для мобильного банкинга и программное обеспечение колл-центров для упрощения распознавания и предотвращения мошенничества.Чтобы обеспечить более быстрое внедрение и интеграцию корпоративными разработчиками, IDVoice может быть реализован на C ++, Python и Java и поставляется в виде образа Docker для гибких облачных развёртываний. IDVoice поддерживается платформами iOS, Android, Linux и Windows, что делает его универсальным для мобильных устройств, серверов, частных облаков и устройств интернета вещей. ТермограммаТермограмма — это представление инфракрасной энергии в виде изображения распределения температуры. Биометрическая термография лица фиксирует тепловые узоры, вызванные движением крови под кожей. Поскольку кровеносные сосуды каждого человека неповторимы, соответствующие термограммы также уникальны даже среди однояйцевых близнецов, что делает этот метод биометрической верификации даже более точным, чем традиционное распознавание лиц. ESTONE FSAC-80 (Estone Technology)Компания Estone Technology запустила интегрированную систему инфракрасного теплового измерения температуры, распознавания лиц и определения состояния человека для контроля доступа в офисных зданиях, гостиницах, транспорте и других областях.Тепловизор с искусственным интеллектом ESTONE FSAC-80 проводит сегментирование изображения и сканирование сегментов, благодаря чему обеспечивает быстрое и точное определение температуры с точностью до 0,5 °C. Когда камера сканирует температуру тела, на ЖК-экране отображается видимый предупреждающий сигнал (и звуковое оповещение), а операционная система автоматически сохраняет изображение теплограммы человека. В данный момент разработка является особенно востребованной на рынке, так как помимо идентификации она позволяет выявить потенциальных больных COVID-19. ДНКДНК издавна использовалась в качестве метода идентификации. Кроме того, это — единственная форма биометрии, которая может отслеживать семейные связи. Сопоставление ДНК особенно ценно при работе с пропавшими без вести, выявлении жертв катастроф и потенциальной торговли людьми. Кроме того, помимо отпечатков пальцев, ДНК — единственный биометрический объект, который невозможно непреднамеренно «забыть». ДНК, собранная из волос, слюны и т. д., содержит последовательности коротких тандемных повторов (англ. short tandem repeat sequences, STR). С их помощью можно однозначно подтвердить личность, сравнивая их с другими STR в базе данных.В настоящее время технология мало представлена на биометрическом рынке. ДНК считается идеальной биометрической характеристикой, но её недостаток заключается в том, что однояйцевые близнецы будут иметь одну и ту же ДНК. Поведенческие системыПринципы поведенческой биометрии основаны на особенностях движения человека и его поведенческих характеристиках. Ниже перечислены основные виды поведенческой биометрии. Рисунок 1. Типы поведенческих биометрических систем ПоходкаБиометрия походки фиксирует шаблоны шагов с помощью видеоизображения, а затем преобразует сопоставленные данные в математическое уравнение. Этот тип биометрических данных является ненавязчивым и незаметным, что делает его идеальным для массового наблюдения за толпой. Также преимуществом является то, что эти системы могут быстро идентифицировать людей издалека.Технология может быть очень полезной для использования в магазинах, банках и других организациях — например, для выявления возможных преступников. На данный момент одними из наиболее успешных разработок были названы SFootBD (Манчестерский университет) и технология китайской компании Watrix. SFootBD (University of Manchester)При помощи нейронных сетей эта система находит особые закономерности в движениях человека при ходьбе, позволяющие распознавать личность. SFootBD, по заявлениям учёных-разработчиков, является в 380 раз более точной по сравнению с предыдущими методами.Во время ходьбы каждого человека можно выделить примерно 24 различных параметра движения. Разрабатывая систему, исследовательская группа собрала базу данных, состоящую из 20 тысяч «сигнальных» шагов от более чем 120 человек. Походка изучалась при помощи камеры высокого разрешения и напольных датчиков, фиксирующих давление при ходьбе. Система ИИ анализировала распределение веса, скорость походки и трёхмерные показатели каждого стиля ходьбы. Результаты показали, что в среднем система выдавала почти стопроцентную точность при идентификации людей. Частота ошибок составила 0,07 процента. WatrixТехнология распознавания походки Watrix загружает видеоклип с изображением идущего человека, вырезает силуэт и создаёт модель его ходьбы. Компания планирует стать первой в мире, которая начнёт использовать технологию распознавания походки в коммерческих целях. Хотя Watrix утверждает, что её технология обеспечивает точность в 94 %, анализ не проводится в режиме реального времени. Следует отметить, что эти утверждения не были подтверждены независимыми экспертами, а эффективность программного обеспечения всё ещё остается неизвестной. Движение губЭто — одна из новейших форм биометрической верификации. Подобно тому, как глухой человек может отслеживать движение губ, чтобы определить сказанное, биометрические системы фиксируют активность мышц вокруг рта, чтобы сформировать шаблон их движения. Биометрические датчики такого рода часто требуют воспроизведения пользователем пароля, чтобы определить соответствующие движения губ, а затем на основе сравнения с записанным шаблоном предоставить или запретить доступ.На сегодняшний день одним из самых известных подобных решений является разработка учёных из Гонконгского баптистского университета (HKBU), которая пока ещё не вышла на рынок для коммерческого применения. Lip password (Hong Kong Baptist University, HKBU)Согласно заявлению HKBU, система может подтвердить личность пользователя, сопоставив содержание пароля с «основными поведенческими характеристиками движения губ». Исследователи считают, что этот метод распознавания может иметь преимущество перед классическими биометрическими датчиками. Если пароль, сгенерированный биометрическим датчиком, скомпрометирован, сам метод генерации пароля перестаёт быть безопасным, поскольку отпечаток пальца или форма уха не могут быть изменены. Однако с помощью идентификации движения губ новый функциональный пароль можно создать просто произнеся другую фразу. На данный момент устройство находится на этапе разработки и пока ещё не анонсировано для коммерческого использования. ПодписьРаспознавание подписи — это поведенческая биометрическая система, которая измеряет пространственные координаты, давление пера, его наклон и ход как в автономных, так и в интерактивных приложениях. Цифровой планшет записывает измерения, а затем использует эту информацию в ходе автоматического создания биометрического профиля для будущей верификации.В настоящее время для ввода подписи используются планшеты, которые автоматически фиксируют положение ручки в разные моменты времени, углы наклона и давление, оказываемое на планшет. SIGNificant Biometric Server (Namirial GmbH)Технология, называемая «SIGNificant Biometric Server», обеспечивает биометрическую проверку подписи в режиме реального времени на платформе SIGNificant путём сравнения биометрических параметров собственноручной подписи с предварительно зарегистрированным профилем. Документы обрабатываются только в том случае, если подписывающие их лица верифицированы.Основная идея SIGNificant Biometric Engine — преобразование движения руки в математическую структуру, называемую личным профилем. Это преобразование — одностороннее, т. е. обратная операция практически невозможна. Движение пера измеряется четырьмя способами (по горизонтали и вертикали, траектории движения, давлению, углу наклона). Для создания личного профиля система потребует примерно 4—6 попыток подписи. Клиентам доступны три типа настроек безопасности. Система также обладает технологией машинного обучения, что позволяет всё более точно проводить распознавание пользователей по мере увеличения количества попыток входа в систему. Нажатие клавишДинамика нажатия клавиш выводит стандартные пароли на новый уровень, отслеживая ритм их ввода. Такие датчики могут реагировать на время, затрачиваемое на нажатие каждой клавиши, задержки между клавишами, количество символов, вводимых за минуту, и так далее. Шаблоны нажатия клавиш работают вместе с паролями и PIN-кодами для повышения уровня безопасности. TypingDNAРумынский стартап TypingDNA позволит распознавать людей по манере печатания. С помощью собственной технологии компания планирует укрепить онлайн-безопасность без ущерба для удобства работы пользователей. По словам создателей, технология обеспечивает высокую точность сопоставления при работе со всего одним предыдущим образцом набора текста.API верификации TypingDNA регистрирует нажатия клавиш пользователем в стандартизированном формате с открытым исходным кодом, что позволяет легко и просто интегрировать его в любое настольное или мобильное приложение. Разработчики могут реализовать API TypingDNA в качестве варианта пассивной двухфакторной верификации, метода восстановления пароля или просто для обеспечения соответствия входных данных заданному пользователю. SDK разработчика TypingDNA для мобильных устройств в настоящее время также поддерживает последние версии приложений для iOS и Android.TypingDNA соответствует требованиям ACE (Automated Commercial Environment) для онлайн-проверки студентов. Европейское банковское управление подтвердило, что ввод биометрических данных соответствует требованиям SCA (двухфакторная идентификация в банковском деле и платежах в ЕС); как следствие, разработки компании пользуются большим спросом со стороны отрасли. Мультимодальные биометрические системыБиометрию рассматривают и как мультимодальную технологию. Сочетание нескольких типов измерений позволяет повысить и уровень безопасности, и эффективность работы систем идентификации. Поэтому в последнее время всё больше компаний предлагают мультимодальные биометрические системы, а потребители ориентируются на комплексные решения. Smart Authentications (CPqD)Бразильская компания CPqD запустила продукт Smart Authentications в партнёрстве с IBM. Платформа CPqD сочетает распознавание лица и голоса для аутентификации пользователей в сфере банковского обслуживания и электронной коммерции. Программное обеспечение позволяет осуществлять работу системы почти с любого устройства. VoiceKey.PLATFORM (Группа компаний ЦРТ)VoiceKey.PLATFORM — мультифункциональная платформа, предназначенная для создания высоконагруженных систем с использованием целого стека AI-технологий: биометрии, распознавания и синтеза речи, акустических событий. Решение позволяет отказаться от PIN-кодов и паролей, а алгоритмы защиты от взлома с помощью аудио- и видеозаписи — liveness detection, «определение живого человека» — дают возможность выявлять мошенников и повышать уровень безопасности. Единая биометрическая система (Ростелеком)Единая биометрическая система (ЕБС) представляет собой цифровую платформу, которая была разработана компанией «Ростелеком» по инициативе Министерства связи и массовых коммуникаций РФ и Центрального банка РФ. Система позволяет осуществлять идентификацию по голосу и изображению лица. Вместе с логином и паролем от «Госуслуг» система наделяет банки возможностью без личного присутствия гражданина открыть ему счёт или вклад, предоставить кредит. Со временем планируется провести масштабирование системы и в другие отрасли, например телемедицину или дистанционное обучение. ПрименениеДавайте рассмотрим наиболее распространённые области применения биометрических систем идентификации:Правоохранительные органы и общественная безопасность: выявление преступников / подозреваемых.Военная отрасль: идентификация противника / союзника.Финансовый сектор: идентификация и мониторинг пользователей банковского обслуживания / страхования.Государственный сектор: системы электронных документов, содержащие биометрические данные (электронные паспорта и удостоверения, водительские права и т. п.).Пограничный, туристический и миграционный контроль: идентификация путешественников, мигрантов, пассажиров.Здравоохранение и социальное обеспечение: идентификация пациентов и медицинских работников, получателей социальной помощи.Ритейл: идентификация и мониторинг потребителей / покупателей.Конечно, область применения биометрических технологий не ограничивается вышеперечисленными пунктами. Однако стоит отметить, что на данный момент этот вид технологий больше всего используется в военной отрасли и банкинге.По данным специалистов Comparitech, во многих странах, в особенности в Китае, Пакистане, Малайзии, США и Индии, в последние годы очень активно ведётся сбор биометрических данных. К сожалению, говорить о контроле их безопасности со стороны правоохранительных органов можно далеко не везде. В Китае, как упоминалось ранее, уже был ряд случаев утечки биометрических данных.В Ирландии, Португалии, Великобритании, Румынии и на Кипре сбор такой информации ведётся не так активно и скорость распространения биометрических технологий не так высока. Однако благодаря действию «Общего регламента по защите данных» (GDPR) с безопасностью дела там обстоят лучше. Россия на данный момент вместе с Канадой, Японией и Аргентиной занимает позицию «середнячка». ВыводыБиометрические системы распознавания всё больше внедряются в нашу жизнь, во многом облегчая её и упрощая процессы получения доступа. Они также помогают крупному бизнесу автоматизировать процессы поведенческого анализа и обнаруживать потенциальных злоумышленников, оказываясь незаменимыми помощниками в дополнение к традиционным методам защиты.Однако, несмотря на все вышеописанные преимущества, стоит также упомянуть и о недостатках биометрических систем. К сожалению, биометрическая информация, как и любая другая, уязвима. Банки, больницы и любые другие учреждения то и дело подвергаются хакерским атакам, и часть информации попадает в руки злоумышленников. Но одно дело, если это — стандартные логин и пароль, а другое — если речь идёт о биометрических данных. Ведь пароль можно сменить, а палец или радужку глаза — нет. В последнем случае при компрометации данных злоумышленник получает доступ ко всем активам с биометрической верификацией.Также биометрические системы бывают технологически несовершенны. Например, сотрудникам Vkansee удалось обмануть систему Touch ID при помощи пластилина, а Цутому Мацумото, известный японский криптограф и эксперт по безопасности, проделал подобную операцию и вовсе при помощи мишки из мармелада. Вносят свой негативный вклад и штампы из популярных фильмов, где сканеры взламывают буквально посредством пудры и скотча. Неудивительно, что общество смотрит на биометрические системы с определённой степенью недоверия.Вследствие наличия уязвимостей вроде описанных выше, а также из-за отсутствия надёжных систем безопасности большинство компаний — потенциальных заказчиков пока ещё не готово к масштабному переходу на биометрию повсеместно. Очевидно, что широкое применение подобных систем сопряжено с высоким уровнем риска. Остаётся лишь ожидать от их разработчиков, что те усилят меры безопасности для повышения доверия к своим продуктам, и наблюдать за развитием рынка биометрии. Читать далее
  17. Управление привилегированными учётными записями обычно выходит за рамки проекта и возможностей систем класса IGA (Identity Governance and Administration). C одной стороны, это разумно — в силу специфики привилегированного доступа и потенциальных возможностей его обладателей. С другой стороны, базовые процессы пересмотра (ресертификации), своевременной блокировки доступа, назначения ответственных (владельцев) и др., которые по умолчанию имеются в системе IGA, зачастую отсутствуют в комплексах управления привилегированным доступом. Восполнить этот пробел призван модуль Privileged Account Governance (PAG) от компании One Identity. ВведениеО привилегированном доступеСистема One Identity SafeguardМодуль интеграции Privileged Account Governance (PAG)4.1. Управление привилегированными учётными записями в One Identity Manager4.1.1. Устройства (Appliances)4.1.2. Учётные записи пользователей (User accounts)4.1.3. Группы пользователей (User groups)4.1.4. Активы (Assets)4.1.5. Группы активов (Asset groups)4.1.6. Учётные записи актива (Asset accounts)4.1.7. Учётные записи каталогов (Directory accounts)4.1.8. Группы учётных записей (Account groups)4.1.9. Полномочия (Entitlements)4.2. Привязка учётной записи пользователя в системе PAM к карточке сотрудника4.3. Запрос привилегированного доступа из портала самообслуживания IT Shop4.4. ОтчётыВыводы ВведениеДанной публикацией мы продолжаем обзор системы управления идентификационными данными и доступом One Identity Manager.В первой части обзора нами были рассмотрены история продукта и его функциональные возможности, детально описан портал самообслуживания как основное рабочее средство для сотрудников компании (рядовых пользователей, их руководителей, а также сотрудников отдела информационной безопасности и аудиторов).Во второй части мы рассказали об архитектуре решения, среде настройки и разработки коннекторов и средствах конфигурирования системы в целом.Третью часть обзора мы посвятили более детальному описанию возможностей One Identity Manager по интеграции с системой SAP R/3, широко используемой на российском и мировом рынке, и функциональности по разделению полномочий (Segregation of Duties).Ниже мы рассмотрим основные возможности модуля Privileged Account Governance (PAG), входящего в состав продукта One Identity Manager. Этот программный модуль предназначен для интеграции с системами управления привилегированным доступом (в IT-индустрии класс таких систем именуют Privileged Access Management — PAM). Наш обзор мы будем вести применительно к собственному PAM-решению компании One Identity — системе Safeguard. О привилегированном доступеПрежде чем начать обзор, необходимо сказать несколько слов об управлении доступом (сотрудников компании к информационным ресурсам организации, в которой они работают) в целом. Доступ сотрудников можно условно разделить на два типа:стандартный (набор учётных записей и полномочий, выданных сотруднику для выполнения должностных обязанностей);привилегированный (набор повышенных прав доступа, вплоть до административных — для настройки и обслуживания информационных систем и оборудования IT-инфраструктуры компании).Для управления доступом первого типа используются решения класса Identity Governance and Administration (IGA). Управление происходит централизованно, при помощи настраиваемой ролевой модели (Role-based Access Control — RBAC), через запросы доступа с последующим согласованием, посредством автоматизированных процессов аттестации / ресертификации — всё это мы подробно рассматривали в первой и второй частях обзора One Identity Manager.Проблема состоит в том, что второй тип доступа — привилегированный — в большинстве случаев не покрывается системой IGA. Для управления привилегированным доступом часто используют отдельные решения (класса Privileged Access Management — PAM), никак не связанные с системой IGA. Таким образом очень важная по своим потенциальным возможностям часть всех доступов хоть и контролируется через PAM, но всё равно выпадает из системы централизованного контроля и управления (IGA). Это происходит в силу того, что в PAM-системе обычно заводятся отдельные учётные записи для администраторов разных уровней и ведутся уникальные индивидуальные наборы доступов для каждой из них; там также присутствует необходимость поведенческого контроля действий администраторов (User Behavior Analytics — UBA), чего нет в системе IGA.Восполнить этот пробел призван механизм интеграции систем IGA и PAM — модуль Privileged Account Governance (PAG), входящий в стандартную поставку решения One Identity Manager. Система One Identity SafeguardНесколько слов также скажем о PAM-решении компании One Identity. В 2018 году One Identity приобрела Balabit — известного и популярного производителя продуктов в сфере информационной безопасности, таких как Session Control Box или syslog-ng, и интегрировала его разработки в своё собственное PAM-решение — Safeguard. В частности, Session Control Box превратился в модуль Safeguard for Privileged Sessions (SPS), а функции аналитики — в Safeguard for Privileged Analytics (SPA). О том и другом будет подробнее сказано ниже.One Identity Safeguard — это решение, сочетающее в себе возможности безопасного хранения паролей привилегированных учётных записей, а также мониторинга и записи «админских» сессий. Оно представлено в виде аппаратного (hardware appliance) или программного (virtual appliance) комплекса и состоит из двух основных независимых, но интегрирующихся между собой модулей:Safeguard for Privileged Passwords (SPP) — автоматизирует процессы запросов и процедуры предоставления привилегированного доступа с использованием ролевой модели и политик безопасности компании. Safeguard for Privileged Passwords позволяет организовать полноценную систему управления жизненным циклом паролей привилегированных учётных записей (включая встроенные, такие как «administrator», «root», «supervisor» и проч.) — запрос, согласование, утверждение, смена, ротация (на регулярной основе), отзыв и т. д. Система имеет свой собственный пользовательский портал для запроса и получения доступа. Также имеется в наличии мобильное приложение для утверждения запросов пользователей.Safeguard for Privileged Sessions (SPS) — с помощью этого модуля можно контролировать, отслеживать и записывать привилегированные сессии администраторов, подрядчиков и других пользователей, представляющих высокий уровень риска. Вся активность в рамках сессии (вплоть до нажатия клавиш, движений мыши и просмотра окон) записывается, индексируется и сохраняется в защищённых от несанкционированного доступа журналах аудита. Сессии можно просматривать как видеоролики и искать по любому слову, которое появлялось на экране пользователя. С помощью Safeguard for Privileged Sessions также можно контролировать вредоносные действия администраторов и блокировать команды, подвергающие опасности инфраструктуру компании.Отдельно опишем ещё один модуль PAM-системы One Identity — Safeguard for Privileged Analytics (SPA). Этот модуль используется совместно с модулем записи «админских» сессий (Safeguard for Privileged Sessions) и позволяет выявлять аномалии в поведении пользователей (UBA), находить и пресекать ранее неизвестные типы внутренних и внешних угроз. Алгоритмы продукта умеют выявлять отклонения от базовой линии поведения конкретного пользователя, исследуя динамику нажатия клавиш и движения мыши, время и место начала сессии, продолжительность сеанса. Эти и другие параметры служат для непрерывной биометрической аутентификации пользователей и помогают выявлять инциденты в области безопасности. Safeguard for Privileged Analytics также оценивает уровень потенциального риска каждого пользователя для принятия превентивных мер в отношении первоочередных угроз. Модульинтеграции Privileged Account Governance (PAG)PAM-решение One Identity Safeguard интегрируется с IGA-системой One Identity Manager при помощи стандартного модуля (PAG), входящего в комплект поставки последней. После активации модуля и настройки подключения к системе Safeguard становятся возможными следующие типовые сценарии:Автоматическое назначение доступа в PAM-систему из системы IGA. Например, для вновь принятого на работу сотрудника (или для уже существующего) в случае его приёма / перевода в «Отдел системного администрирования» можно автоматически создать учётную запись в PAM-системе (локальную или связанную с аккаунтом сотрудника в каталоге Active Directory) и / или добавить его учётную запись в ту или иную группу в той же PAM-системе (с группами могут быть связаны те или иные полномочия и политики привилегированного доступа, определяющие, к каким активам, аккаунтам, сессиям, в какое время и т. п. сотрудник сможет запрашивать привилегированный доступ). При увольнении или переходе в другой отдел учётную запись и весь доступ в PAM-системе можно автоматически заблокировать (удалить).Периодическая аттестация / ресертификация всех сотрудников (и их полномочий), у которых есть доступ в PAM-систему. Про функциональность аттестаций мы рассказывали в первой части обзора One Identity Manager. Здесь же отметим, что для аттестации / ресертификации привилегированного доступа используются тот же самый механизм и те же средства настройки, что и для стандартного доступа сотрудников.Показать всю полноту доступов конкретного сотрудника — как стандартного, так и привилегированного, с подробной информацией о том, откуда тот или иной доступ взялся — в виде отчётов и графических схем.Выявить неиспользуемый привилегированный доступ (например, сотрудник не заходил в PAM-систему в течение 6 месяцев — вероятно, его права нужно пересмотреть / заблокировать), а также учётные записи в PAM-системе, не привязанные ни к какому сотруднику (т. е. не имеющие владельца, «бесхозные»).Автоматическое создание учётных записей в PAM-системе и добавление их в нужные группы можно гибко настроить, используя ролевую модель, которая ведётся в решении IGA (бизнес-роли), и /или организационно-штатную структуру компании.В дополнение рядовые сотрудники могут запрашивать привилегированный доступ к системам (временно или на постоянной основе), используя портал самообслуживания IGA-решения — точно так же, как они запрашивают любой другой, стандартный доступ. При одобрении заявки (через настроенный процесс согласования) создание для них учётных записей в PAM-системе и добавление аккаунтов в те или иные группы доступа произойдёт автоматически.Считаем необходимым также упомянуть возможность системы Safeguard предоставлять доступ при помощи как локальных учётных записей и групп (т. е. когда для сотрудника создаётся локальная учётная запись в PAM-системе, которую он использует для авторизации в ней и запроса паролей привилегированных аккаунтов и сессий), так и взятых из каталога Active Directory. Другими словами, система одновременно поддерживает работу и автономно, и через интеграцию с корпоративным каталогом AD.В свою очередь, модуль Privileged Account Governance (PAG) обеспечивает функционирование в обоих режимах «из коробки». Управление привилегированными учётными записями в One Identity ManagerИнтерфейс системы управления привилегированным доступом One Identity Safeguard на данный момент — англоязычный. Он позволяет проводить настройку типовых объектов (элементов) PAM-системы, таких как пользователи, привилегированные учётные записи, группы пользователей, группы учётных записей, активы, группы активов, полномочия, политики доступа и др. Рисунок 1. Интерфейс PAM-системы One Identity Safeguard При подключении PAM-системы One Identity Safeguard к IGA-решению One Identity Manager посредством модуля Privileged Account Governance (PAG) объекты PAM-системы отображаются следующим образом (см. иллюстрации ниже). Устройства (Appliances) Рисунок 2. Устройства системы PAM — отображение в административной консоли One Identity Manager Показывает все виртуальные или «железные» устройства (appliances), составляющие основу системы PAM и её объекты. Учётные записи пользователей (User accounts) Рисунок 3. Локальная учётная запись пользователя в системе PAM — отображение в административной консоли One Identity Manager Рисунок 4. Свойства локальной учётной записи пользователя в системе PAM — отображение в административной консоли One Identity Manager Рисунок 5. Права доступа в свойствах локальной учётной записи пользователя в системе PAM — отображение в административной консоли One Identity Manager Рисунок 6. Учётная запись пользователя в системе PAM, связанная с Active Directory — отображение в административной консоли One Identity Manager Группы пользователей (User groups) Рисунок 7. Локальная группа в системе PAM — отображение в административной консоли One Identity Manager Рисунок 8. Свойства локальной группы в системе PAM — отображение в административной консоли One Identity Manager Рисунок 9. Группа в системе PAM, связанная с Active Directory — отображение в административной консоли One Identity Manager Рисунок 10. Свойства группы в системе PAM, связанной с Active Directory — отображение в административной консоли One Identity Manager Активы (Assets) Рисунок 11. Активы, зарегистрированные для управления в системе PAM — отображение в административной консоли One Identity Manager Показывает все устройства (серверы, сетевое оборудование и пр.), привилегированными учётными записями которых управляет система PAM. Рисунок 12. Свойства активов, зарегистрированных для управления в системе PAM — отображение в административной консоли One Identity Manager Группы активов (Asset groups) Рисунок 13. Группы активов — отображение в административной консоли One Identity Manager Рисунок 14. Свойства группы активов — отображение в административной консоли One Identity Manager Учётные записи актива (Asset accounts) Рисунок 15. Привилегированные учётные записи на активах, зарегистрированные для управления в системе PAM — отображение в административной консоли One Identity Manager Показывает привилегированные учётные записи на устройствах (серверах, сетевом оборудовании и пр.), которыми управляет система PAM. Рисунок 16. Свойства привилегированных учётных записей на активах, зарегистрированных для управления в системе PAM — отображение в административной консоли One Identity Manager Учётные записи каталогов (Directory accounts) Рисунок 17. Учётные записи Active Directory, связанные с PAM-системой — отображение в административной консоли One Identity Manager Показывает все привилегированные учётные записи Active Directory, которыми управляет система PAM. Группы учётных записей (Account groups) Рисунок 18. Группы привилегированных учётных записей на активах — отображение в административной консоли One Identity Manager Полномочия (Entitlements) Рисунок 19. Объекты полномочий в системе PAM — отображение в административной консоли One Identity Manager Показывает, какие полномочия выданы каким пользователям (группам) в системе PAM и какие политики доступа связаны с этими правами. Привязка учётной записи пользователя в системе PAM к карточке сотрудникаВся полнота доступа пользователя представлена на одной картинке. Отображается карточка сотрудника с привязкой всех имеющихся у него учётных записей, включая аккаунт в системе PAM. Рисунок 20. Привязка учётной записи пользователя в системе PAM к карточке сотрудника в системе IGA — отображение в административной консоли One Identity Manager Запрос привилегированного доступа из портала самообслуживания IT ShopИз портала самообслуживания One Identity Manager можно запрашивать:Привилегированные сессии к системам (RDP, SSH, Telnet и др.).Пароли привилегированных учётных записей.Создание новой учётной записи в PAM-системе для сотрудника.Добавление учётной записи в PAM-системе в те или иные группы PAM.Ниже приведено несколько примеров таких запросов. Рисунок 21. Запрос RDP-сессии из портала самообслуживания One Identity Manager После отправки запроса и прохождения настроенной процедуры согласования запросившее лицо получает уведомление по электронной почте с прямой ссылкой на открытие сессии RDP (без необходимости ввода пароля привилегированной учётной записи). Рисунок 22. Запрос пароля привилегированного аккаунта из портала самообслуживания One Identity Manager После отправки запроса и прохождения процедуры согласования сотрудник получит уведомление по электронной почте со ссылкой в систему PAM, где он сможет получить текущий пароль запрашиваемой привилегированной учётной записи. Рисунок 23. Запрос пароля привилегированного аккаунта из портала самообслуживания One Identity Manager — продолжение При запросе указывается дополнительная информация: пароль какой привилегированной учётной записи нужен и на каком активе (сервере, сетевом устройстве и т. п.). Рисунок 24. Запрос создания учётной записи в системе PAM из портала самообслуживания One Identity Manager После отправки запроса и прохождения процедуры согласования для сотрудника автоматически будет создана учётная запись в системе PAM. Вся история запроса и его согласования будет бессрочно храниться в системе IGA. Рисунок 25. Запрос членства в группе PAM из портала самообслуживания One Identity Manager После отправки запроса и прохождения процедуры согласования учётная запись пользователя (которая принадлежит сотруднику, запросившему доступ) в системе PAM будет добавлена в запрошенную группу; таким образом сотрудник получит доступ к тем или иным активам / привилегированным учётным записям. Отчёты Рисунок 26. Пример отчёта «Неиспользуемые учётные записи» — показывает сотрудников, которые не заходили в систему PAM в течение последних N месяцев Рисунок 27. Пример отчёта «Неиспользуемые учётные записи» — продолжение Рисунок 28. Пример отчёта «Висячие учётные записи» — показывает аккаунты в системе PAM, не связанные ни с какой карточкой сотрудника в системе IGA Рисунок 29. Пример отчёта «Висячие учётные записи» — продолжение ВыводыМодуль Privileged Account Governance (PAG) помимо управления стандартным доступом сотрудников компании позволяет также «взять под зонтик» и администрирование расширенных полномочий. Таким образом система управления доступом и контроля над ним (IGA) действительно становится центральной точкой, отвечающей за всю полноту доступа сотрудников к информационным ресурсам предприятия — что и является её истинным предназначением.Видео, которое наглядно демонстрирует данный тезис, вы можете посмотреть на официальном канале One Identity в YouTube. Читать далее
  18. Для домашних антивирусов ESET 13-й версии установлена ограниченная поддержка.
  19. Kaspersky Safe Kids — это уже больше, чем просто приложение для родительского контроля и ограждения от всего несоответствующего возрасту, работающее на всех популярных платформах (iOS, Android, Windows, macOS). Оно призвано помогать родителям в воспитании современных детей, жизнь и увлечения которых в значительной части происходят в онлайне. Мы протестировали основные функции продукта по контролю времени использования устройства, мониторингу местонахождения ребёнка и заряда батареи гаджета, блокированию нежелательных запросов в поисковиках (и даже в YouTube) и другие. Здесь речь пойдёт о том, как Kaspersky Safe Kids помогает родителям по всему миру и в чём состоят его преимущества для образовательных организаций. ВведениеПреимущества для образовательных учрежденийКак начать пользоваться Kaspersky Safe KidsСоветы психологаФункциональные возможности и работа с продуктом5.1. Фильтрация контента5.2. Контроль использования приложений5.3. Работа устройства по расписанию5.4. Контроль местонахождения ребёнка и заряда батареи5.5. Контроль активности в социальных сетях5.6. Мгновенные оповещения и история активности ребёнкаСистемные требованияПокупка и особенности лицензированияСоциальные мероприятия «Лаборатории Касперского» по детской онлайн-безопасностиВыводы ВведениеДля описания неотъемлемой части процесса взросления современных детей специалисты даже придумали особый термин — киберсоциализация. По данным различных исследований, на одного ребёнка в 2020-м приходится в среднем уже более одного устройства, и это количество растёт с каждым годом. Игры, обучение, общение, покупки, хобби и первые заработки — всё переходит в онлайн, что не может не отражаться на развитии, интересах, здоровье и отношениях с родителями. И это — далеко не полный перечень аспектов, связанных с постоянной «жизнью в гаджетах». Цитируя одного из ярких популяризаторов темы детской киберграмотности в России Олега Седова, «если наше поколение потихоньку оцифровывается, то современные дети уже родились цифровыми». Как выяснила «Лаборатория Касперского», 54 % детей в возрасте 4—6 лет уже имеют свой смартфон или планшет, а в категории подростков (11—14 лет) он есть у подавляющего большинства (97 %). Кроме того, серьёзно растёт активность по отдельным направлениям, таким как онлайн-покупки, общение и учёба. Рисунок 1. Сравнение активности детей в интернете в 2018-м и 2019-м, данные «Лаборатории Касперского» Темой анализа увлечений, поведения детей и обеспечения их безопасности в интернете занимаются многие компании, в том числе технологические гиганты: Google, Microsoft и др. Но несколько под другим углом видят и предлагают решать эту проблему компании из отрасли кибербезопасности. Практически все известные мировые вендоры (антивирусные компании, производители решений для сетевой безопасности и т. п.) так или иначе предоставляют свои услуги или разрабатывают продукты в этом направлении. И ключевое отличие в их подходах состоит в том, что они уже хорошо умеют защищать корпорации и сотрудников от различных угроз и готовы транслировать накопленный опыт в обеспечение детской безопасности.«Лаборатория Касперского» здесь не просто не осталась в стороне, а находится в числе самых активных компаний, нацеленных на помощь родителям в воспитании киберграмотности по всему миру. Теме детской безопасности и её популяризации вендор уделяет большое внимание. Проводятся тематические мероприятия, заключаются партнёрства с образовательным сектором, издаются книги и видеоконтент, а для целей практической помощи родителям и их детям выпускается специализированный продукт Kaspersky Safe Kids. Он переведён на 21 язык, а число скачиваний только мобильной версии перевалило за миллион. Продукт нацелен в основном на родителей детей в возрасте от 5 до 12 лет и поддерживает операционные системы всех популярных гаджетов: Android, Windows, iOS, macOS. Мы протестировали основную функциональность Kaspersky Safe Kids и готовы поделиться впечатлениями в сегодняшнем обзоре. Преимущества для образовательных учрежденийПрививание основ кибергигиены сегодня — точно такой же образовательный процесс, как и обучение детей математике или русскому языку. К сожалению, нередки ситуации, когда родители не в силах уделить ему должное внимание. Здесь как раз и приходят на помощь технологии, основная функция которых — предоставить удобный инструмент для решения повседневных задач (в данном случае — для мониторинга поведения детей в интернете и контроля их безопасности в целом).Именно поэтому Kaspersky Safe Kids позволяет получить дополнительные преимущества образовательным учреждениям (департаментам образования, школам, детским садам, оздоровительным лагерям и т. п.), поскольку привносит в воспитательный процесс крайне важную составляющую: инструмент обучения киберграмотности и повышения уверенности в том, что ребёнку ничто не угрожает. «Лаборатория Касперского» активно развивает сотрудничество с образовательными учреждениями, для которых готова предложить особые условия; за подробностями необходимо обращаться напрямую к вендору. Такого рода партнёрства позволяют как задуматься о детской безопасности в интернете тем родителям, которые по каким-либо причинам не делали этого ранее, так и сразу предложить готовый инструмент для решения этой задачи. Из публичных кейсов отметим распространение 25600 лицензий на продукт Kaspersky Safe Kids среди родителей первоклассников Ханты-Мансийского автономного округа — Югры в 2019 году.Такого рода проекты позволяют образовательным учреждениям и региональным органам власти решить сразу две задачи. Во-первых, повышается осведомлённость родителей и прививается культура безопасного детского поведения в киберпространстве как новый обязательный элемент общеобразовательной программы в современном мире. Во-вторых, благодаря подобным партнёрствам достигается массовое распространение передовых технологий по детской безопасности. Поскольку количество родителей, воспользовавшихся, например, Kaspersky Safe Kids, в этом случае будет несравненно больше, число детей под защитой также возрастёт на порядки, что и является главной целью. Как начать пользоваться Kaspersky Safe KidsKaspersky Safe Kids нацелен на массовую аудиторию, а значит, простоте установки и удобству интерфейса уделено максимальное внимание. Необходимо скачать приложение с официального сайта (для использования на компьютере) либо в одном из магазинов для мобильных устройств (App Store или Google Play). Для целей тестирования мы установили клиент для Windows и для Android. Процесс инсталляции на Windows предельно прост и сопровождается простыми и полезными советами. Рисунок 2. Установка Kaspersky Safe Kids на компьютер под управлением Windows С самого начала использования продукта в глаза бросается одна из ключевых «фич» продукта: советы профессионального психолога. Они сопровождают родителя в процессе использования Kaspersky Safe Kids и помогают понять, как лучше реагировать на те или иные действия детей. Рисунок 3. Первый запуск Kaspersky Safe Kids на компьютере под управлением Windows После регистрации учётной записи на сайте My Kaspersky (или выполнения входа, если таковая уже имеется) и создания аккаунтов маленьких пользователей компьютера с указанием года рождения для каждого из них Kaspersky Safe Kids автоматически активирует настройки, подходящие по возрасту вашему ребёнку. При этом на компьютере соответствующие правила защиты применяются к учётным записям детей, в то время как родители, авторизовавшись под своим именем, могут использовать компьютер без ограничений. Рисунок 4. Первоначальная настройка Kaspersky Safe Kids на компьютере под управлением Windows Рисунок 5. Конфигурация учётных записей в Kaspersky Safe Kids на компьютере под управлением Windows Процесс установки на мобильном устройстве также вполне привычен, приложение Kaspersky Safe Kids легко найти в Google Play или App Store. Рисунок 6. Установка Kaspersky Safe Kids на устройство под управлением Android Приложению необходимо выдать все запрашиваемые разрешения (в том числе — на геолокацию, управление экраном блокировки и другими приложениями и т. п.), после чего оно будет готово к работе. Эти привилегии необходимы Kaspersky Safe Kids для корректного функционирования и применения всех правил защиты, которые настроит родитель. Рисунок 7. Первый запуск Kaspersky Safe Kids на устройстве под управлением Android Управлять всеми устройствами с установленными Kaspersky Safe Kids и отслеживать активность своих детей можно как в личном кабинете на сайте My Kaspersky, так и в мобильном приложении, выбрав при установке «Режим родителя». Для повседневного контроля, скорее всего, большинство родителей, как и мы, остановятся на втором варианте. Рисунок 8. Управление профилями детей в Kaspersky Safe Kids Из полезных настроек до начала активного использования отметим возможность задания входа по отпечатку пальца, полезные советы по трём самым частым вопросам («Как установить приложение…» и т. п.), а также опции оповещения. Рисунок 9. Настройка базовых параметров приложения Kaspersky Safe Kids Уведомления доступны по электронной почте или в пуш-формате прямо в приложении. Кроме того, можно гранулированно настроить типы уведомлений. Например, нам может быть неинтересно оповещение «Не удалось определить местоположение устройства», когда ребёнок находится в школе и его телефону трудно подключиться к GPS. Рисунок 10. Настройка уведомлений в Kaspersky Safe Kids Советы психологаПродукт Kaspersky Safe Kids разрабатывался совместно с практикующими психологами, которые записали более 100 рекомендаций родителям по тем или иным ситуациям. Эти советы органично встроены в продукт и предлагаются именно там и в той ситуации, где это необходимо. Например, в меню настройки «Контроль в интернете» логично узнать, как реагировать на поисковые запросы ребёнка, а при блокировке платёжной активности — как научить ребёнка критически оценивать покупки в интернет-магазинах. Рисунок 11. Примеры советов психолога в Kaspersky Safe Kids К советам приводятся примеры, а их содержание легко и доступно для восприятия. Функциональные возможности и работа с продуктомВ начале статьи мы упоминали, что Kaspersky Safe Kids — больше чем обычный родительский контроль, и это действительно так. Набор функциональных возможностей здесь — один из самых широких для подобных продуктов:Фильтрация контента и безопасный поиск в YouTube.Контроль использования приложений и времени использования устройств.Использование устройства по расписанию.Определение местонахождения ребёнка и контроль заряда батареи.Контроль активности в социальных сетях.Все они настраиваются индивидуально и гибко для каждого ребёнка, представляя собой отдельные профили, что весьма удобно. Давайте разбираться с особенностями работы всех функций по порядку. Фильтрация контентаПозволяет защитить детей от столкновения с подозрительными сайтами и нежелательной информацией по 14 различным категориям («Для взрослых», «Алкоголь», «Оружие» и т. п.). Можно индивидуально настроить режимы запрета по каждой из них, задать исключения, включить режим блокировки или предупреждения. Отметим, что возможность глобального блокирования доступна для компьютеров с Windows и macOS, а также устройств на Android. Чтобы ребёнок был защищён при входе в интернет с устройств, имеющих операционную систему iOS, ему необходимо пользоваться браузером Kaspersky Safe Kids, иконка которого при установке автоматически появляется на экране. Только в этом (и ни в каком другом) браузере будут применимы правила веб-фильтрации. Рисунок 12. Настройка фильтрации контента в Kaspersky Safe Kids Важно отметить, что безопасный поиск работает как в браузерах при использовании популярных сайтов (Google, «Яндекс», Bing, Yahoo, YouTube), так и внутри мобильных приложений для Android (YouTube, «Окей, Google»). Кроме того, при запуске в браузере того или иного поисковика Kaspersky Safe Kids сам находит штатную настройку «Безопасный поиск» и активирует её. При попытке ребёнка поискать запрещённую информацию отображается предупреждение или срабатывает блокировка. Рисунок 13. Попытка ребёнка набрать в поисковике запрещённый контент и реакция Kaspersky Safe Kids Также пресекаются попытки зайти на YouTube (если он полностью запрещён) или поискать там небезопасные видео. При этом неважно, воспользовался ли ребёнок браузером или приложением. Интересной особенностью является возможность в реальном времени «спросить разрешения» у родителя. Рисунок 14. Блокировка запросов в YouTube и запрос разрешения у родителя в Kaspersky Safe Kids В это время родителю приходят оповещения о действиях ребёнка, а также запросы на одобрение. Рисунок 15. Уведомления в приложении родителя Kaspersky Safe Kids Контроль использования приложенийТочно так же, как и в случае с контентом, управлять доступными ребёнку приложениями родители могут исходя из предварительно настроенных категорий; здесь их 17. Кроме того, доступна опция распознавания маркировок возраста (12+, 16+, 18+ и т. п.) и автоматической блокировки установки программ из магазинов приложений в соответствии с настроенным возрастным профилем. Рисунок 16. Настройка контроля использования приложений в Kaspersky Safe Kids При попытке открыть приложение из списка запрещённых (например, игру) оно не запустится, а у ребёнка появится возможность запросить разрешение. Рисунок 17. Реакция Kaspersky Safe Kids на попытку ребёнка запустить запрещённое приложение Для отдельных приложений и игр можно задать ограничение по времени (например, 2 часа в день) с возможностью продления сеанса с разрешения родителя. Работа устройства по расписаниюКрайне важно не допускать «пропадания» ребёнка в гаджете сутки напролёт. Для профилактики ситуаций, когда дети целыми днями сидят даже в разрешённых играх и приложениях, доступна настройка работы устройства по расписанию (режим блокировки недоступен на iOS, отображаются только уведомления). Например, целесообразно задать ограничение на «сидение в телефоне» ночью. Рисунок 18. Настройка лимитов на «сидение в телефоне» для ребёнка в Kaspersky Safe Kids В ряде случаев целесообразно воспользоваться комбинированным расписанием, т. е. родитель может одновременно задать количество разрешённых часов в день и периоды времени, когда использование гаджета запрещено. К примеру: с 9-ти вечера до 8-ми утра работать с телефоном нельзя, а в оставшееся время — можно, но не более трёх часов. Контроль местонахождения ребёнка и заряда батареиЗнать, что ребёнок без проблем дошёл до школы или действительно посетил секции, — крайне важно для родителей. Рисунок 19. Контроль местоположения ребёнка в Kaspersky Safe Kids При необходимости можно задать на карте «периметр», например для своего района. Рисунок 20. Настройка разрешённого периметра для перемещения ребёнка в Kaspersky Safe Kids Далее настраиваются интервалы времени допустимого перемещения, например только на выходных с 8-ми до 18-ти (а по будням ребёнок должен быть, например, в школе). Рисунок 21. Настройка расписания и исключений для выхода из разрешённого периметра для перемещения ребёнка в Kaspersky Safe Kids При выходе ребёнка из разрешённого периметра с учётом временных ограничений родитель получит оповещение.Также крайне полезная возможность — контроль заряда батареи устройства. Она позволяет заранее предупредить родителя в случае возникновения риска потерять связь с ребёнком. Рисунок 22. Мониторинг заряда батареи телефона ребёнка в Kaspersky Safe Kids Контроль активности в социальных сетяхТема общения ребёнка в социальных сетях, его защиты от негативного влияния, подозрительных «друзей» и групп, кибербуллинга — крайне важна, прежде всего с психологической точки зрения. Kaspersky Safe Kids предоставляет необходимый для этого инструментарий. На данный момент поддерживаются две социальные сети: «ВКонтакте» и Facebook. Для включения такой возможности ребёнку на электронную почту приходит уведомление с просьбой дать доступ приложению Kaspersky Safe Kids. Рисунок 23. Пример письма на почту ребёнка для разрешения контроля социальных сетей с помощью Kaspersky Safe Kids После активации защиты панель управления родителя будет отображать отчёты об активности ребёнка. Kaspersky Safe Kids анализирует открытые посты и пользовательские группы «ВКонтакте» на предмет потенциально опасного контента и при его обнаружении сразу оповещает родителя. Кроме того, продукт отправляет предупреждение в том случае, если к ребёнку в друзья добавился подозрительный взрослый или ребёнок вступил в сомнительную группу. Рисунок 24. Пример отчёта по группам в социальной сети «ВКонтакте», участником которых является ребёнок, в Kaspersky Safe Kids В социальной сети Facebook Kaspersky Safe Kids может отслеживать количество друзей и опубликованные посты. Мгновенные оповещения и история активности ребёнкаОтдельно отметим глубоко проработанную функциональность взаимодействия с оповещениями и историей активности ребёнка. Как уже отмечалось ранее, сообщения о нарушении «политики детской безопасности» приходят в режиме реального времени по почте или посредством пуш-механизма либо отображаются в браузере при открытом портале — панели управления. Рисунок 25. Работа с уведомлениями родителям в Kaspersky Safe Kids Удобно, что можно не просто ознакомиться с текущей активностью, разрешить или отклонить запрос ребёнка, но и посмотреть всю историю, «провалиться» в отдельные интересующие темы, подкорректировать настройки. Системные требованияПриложение по детской онлайн-безопасности Kaspersky Safe Kids может быть без проблем установлено на всех популярных операционных системах, для его работы не требуется серьёзных ресурсов, основное — это наличие выхода в интернет.Для ОС Windows необходимы как минимум:200 МБ свободного места на жёстком диске;Microsoft Internet Explorer 9 и выше;Microsoft .NET Framework 4 и выше;Microsoft Windows 10 Домашняя / Профессиональная;Microsoft Windows 8 и 8.1 / Профессиональная / 8.1 с обновлением;Microsoft Windows 7 Начальная / Домашняя базовая / Домашняя расширенная / Профессиональная / Максимальная — SP1 и выше;процессор с частотой 1 ГГц и выше;1 ГБ (32 бита) или 2 ГБ (64 бита) оперативной памяти;разрешение экрана 1024 x 768.Минимальные требования к macOS — следующие:280 МБ свободного места на жёстком диске;2 ГБ оперативной памяти;macOS 10.13 и выше.Kaspersky Safe Kids доступен для устройств на Android начиная с версии 4.4 и для iOS (iPhone, iPad) начиная с версии 12.0.Для управления настройками родителям необходимо либо зайти в свой личный кабинет на сайте My Kaspersky (там же можно посмотреть и отчёты об активности ребёнка), либо установить себе на мобильный телефон приложение Kaspersky Safe Kids и выбрать «Родительский режим». Покупка и особенности лицензированияKaspersky Safe Kids в случае покупки частным лицом (родителем) имеет максимально прозрачную систему лицензирования. Есть полностью бесплатная версия, а для платной доступен пробный период в 7 дней, позволяющий оценить все функциональные возможности продукта. Стоимость приложения фиксированна и составляет 900 рублей в год, что делает его одним из самых доступных продуктов своего класса. Рисунок 26. Различия бесплатной и платной версий Kaspersky Safe Kids Кроме того, в стоимость платной подписки на одного родителя включено неограниченное число детских устройств, на которые можно установить программу, что является несомненным достоинством в нынешних реалиях, когда на одного современного ребёнка могут приходиться два и более различных устройств. Социальные мероприятия «Лаборатории Касперского» по детской онлайн-безопасности«Лаборатория Касперского» как производитель решений по кибербезопасности для домашних пользователей, корпораций и государственных организаций по всему миру уделяет особое внимание защите детей и видит в такой деятельности свою социальную ответственность. Функционирует полностью бесплатный портал kids.kaspersky.ru, который помогает «войти в мир безопасности» как взрослому, так и ребёнку. Рисунок 27. Портал kids.kaspersky.ru На портале есть статьи, ролики, тесты и тренировки, направленные на повышение уровня киберграмотности.Кроме того, «Лаборатория Касперского» совместно с «Фиксиками» выпустила серию простых и понятных видеосоветов, которые доступны маленьким телезрителям по всей России. Рисунок 28. Совместный видеоролик «Лаборатории Касперского» и «Фиксиков» «Лаборатория Касперского» активно сотрудничает как с государственными учреждениями различных стран (например, совместная с полицией Рима общегородская акция «Социальная жизнь»), так и с международными организациями (например, совместные вебинары с «Unicef Беларусь»).Отметим также разработку и выпуск совместно с издательством «Просвещение» пособия для школьников «Информационная безопасность, или На расстоянии одного вируса». Рисунок 29. Совместное пособие «Лаборатории Касперского» и группы компаний «Просвещение» ВыводыНесколько дней работы с Kaspersky Safe Kids оставили приятные впечатления. Пусть читателей не пугает версия продукта 1.x, он выглядит вполне зрелым. Поскольку основная аудитория — это «обычные родители» или школьные учителя (не ИБ- и даже не ИТ-специалисты), при тестировании продукта особое внимание мы уделяли процессу установки, а также интерфейсу приложения, и они нисколько не разочаровали. Пользоваться всеми возможностями — просто, разобраться даже с тонкими настройками не составит труда: везде есть подсказки и ссылки на инструкцию. Богатство функциональности позволит, пожалуй, заменить с помощью Kaspersky Safe Kids сразу несколько отдельных приложений, ведь такое обилие возможностей редко сочетается в одном продукте.Для образовательных учреждений Kaspersky Safe Kids должен стать настоящей находкой, поскольку продуктов подобного качества на отечественном рынке не так много. Важно, что продукт имеет положительные истории массовых внедрений и вендор готов помогать адаптировать образовательный процесс к современным реалиям и технологиям.Благодаря таким полезным мелочам, как советы психолога, милые детские аватарки и вежливый стиль сообщений, приложение обладает своего рода «душой» и позволяет снизить градус напряжения как для родителей, так и для детей.Отметим, что «под капотом» Kaspersky Safe Kids работают защитные технологии из решений корпоративного класса. Например, для отслеживания использования и блокировки приложений подключены возможности Kaspersky Endpoint Security, а для формирования категорий запрещённых сайтов и поисковых запросов применяется глобальная база знаний Threat Intelligence.Достоинства:Советы психолога. Отслеживание поисковых запросов в YouTube. Простота лицензирования и низкая цена. Удобный и понятный интерфейс.Богатая для приложений этого класса функциональность.Недостатки:Нет возможности переключаться между режимами «родитель» и «ребёнок» в приложении на одном телефоне без переустановки.Родителю в мобильном приложении доступна не вся функциональность.Ограниченные возможности блокировки на устройствах с iOS. Читать далее
  20. Хотя сама по себе технология контейнеризации — это не новое явление, за последние 3—5 лет её популярность возросла на фоне принятия методологии DevOps. Разработчики полюбили контейнеры за простоту и избавление от проблем совместимости. Однако для эффективного и безопасного перехода к микросервисной архитектуре необходимо обеспечить защиту среды контейнеризации и программных образов в совокупности. На рынке ИБ доступны два универсальных решения, с помощью которых можно этого добиться: Aqua Cloud Native Security Platform и Prisma Cloud Compute Edition. ВведениеПринципы работыРиски, связанные с контейнерной технологиейОбзор решений по защите контейнеров4.1. Архитектура4.2. Функциональность4.3. Защита во время исполнения (runtime)4.4. Сетевой экран веб-приложений (WAF) от Prisma Cloud Compute4.5. Виртуальный патчинг от Aqua SecurityВыводы ВведениеПрименение технологии контейнеризации для работы приложений прогрессирует заметными темпами, и согласно исследованию 451 Research ожидается, что в 2020 году скорость роста увеличится ещё на 40%. Gartner прогнозирует, что к 2022 году более 75% организаций будут использовать контейнерные технологии, а объём этого рынка составит 4,3 миллиарда долларов США.Такой рост обусловлен переходом от виртуальных машин и монолитных приложений к микросервисной архитектуре, обладающей следующими преимуществами:Все зависимости — внутри контейнера. Это упрощает развёртывание приложения. Больше нет необходимости устанавливать дополнительные библиотеки и настраивать сторонние компоненты для корректной работы программы.Гарантированная воспроизводимость. Хранение внутри образа всех необходимых зависимостей, названий переменных и конфигурационных файлов гарантирует, что приложение, развёрнутое из этого образа, сможет запуститься.Небольшой размер образа. В отличие от образов виртуальных машин, размер которых порой исчисляется десятками гигабайт, правильно собранный образ контейнера может занимать всего лишь несколько килобайт.Небольшое потребление ресурсов. Вследствие того что контейнер представляет из себя лишь упакованное приложение, а нередко — и лишь один процесс, сильно уменьшается нагрузка на ресурсы «железа».Все эти преимущества позволяют снизить операционные расходы на разработку и эксплуатацию приложений. Рисунок 1. Визуальное представление работы контейнеров и виртуальных машин на сервере Принципы работыПеред тем как начать говорить об уязвимостях технологии контейнеризации, необходимо погрузиться в базовые принципы её работы.Одно из самых известных в мире решений для контейнеризации — Docker. Для того чтобы упаковать приложение в образ Docker, необходимо составить т. н. «докер-файл». Он включает в себя описание используемых зависимостей, конфигурационные файлы, пароли, а также команды для сборки этого приложения. Рисунок 2. Пример того, как может выглядеть докер-файл для простого приложения, написанного на языке Python После написания докер-файла и запуска команды сборки образ Docker собирается и отправляется в реестр (registry). Реестр может быть как приватным (внутри организации), так и публичным (например, Docker Hub). Рисунок 3. Архитектура работы Docker Как правило, один контейнер представляет собой единственный процесс на хостовом сервере, и этого зачастую недостаточно для работы крупного корпоративного приложения. Приложение становится микросервисным, то есть состоящим из множества работающих вместе контейнеров.Комплексное корпоративное приложение требует обеспечения отказоустойчивости, балансировки, контроля трафика, бесшовного обновления, автоматического восстановления и т. д. С этими задачами прекрасно справляются средства оркестровки: Kubernetes или OpenShift. Оркестратор состоит из рабочих (worker) нод, на которых исполняется продуктивное приложение, и мастер-ноды, которая обеспечивает централизованное управление системой.Применение Docker, Kubernetes и микросервисов нашло своё успешное применение в DevOps на этапах тестирования публикуемого разработчиками кода, а также размещения в продуктивной среде. Рисунок 4. Пример конвейерной последовательности («пайплайна») CI / CD Риски, связанные с контейнерной технологиейНесмотря на преимущества, которые даёт контейнеризация приложений, существует и ряд уязвимостей, которые не позволяют внедрить эту технологию повсеместно, без оглядки на безопасность.Первый риск — развёртывание контейнера из уязвимого образа, т. е. такого, который содержит уязвимый пакет, вредоносную программу или открытые пароли. Подобный образ, например, может быть скачан из публичного реестра. Рисунок 5. Верхнеуровневая схема атаки на сервер с помощью уязвимого образа Рисунок 6. Сборка образа посредством импорта вредоносной программы, файла паролей, перечня уязвимых пакетов Уязвимость может также содержаться в базовом образе. Согласно исследованиям компании Snyk, 10 самых популярных образов в Docker Hub содержат ошибки безопасности системных библиотек. Официальный образ Node.js включает в себя 580 уязвимых системных библиотек. Остальные образы из списка содержат не менее 30 общеизвестных программных изъянов. Рисунок 7. Число уязвимостей в самых популярных образах на Docker Hub Помимо образов Docker источником уязвимостей также может являться развёрнутый контейнер. Наличие вредоносного кода, уязвимостей ПО несёт риск того, что злоумышленнику удастся скомпрометировать развёрнутый контейнер, использовать его с повышенными привилегиями, получить доступ к ОС хостового сервера, а далее запустить дочерние вредоносные процессы, подключиться к сторонним ресурсам в интернете, получить доступ к файловой системе и распространить атаки на соседние контейнеры.Риски для безопасности могут также скрываться в слабых настройках и уязвимостях компонентов Kubernetes. Для API-сервера это, например, — возможность анонимного доступа или осуществления неавторизованных запросов, отсутствие RBAC, использование небезопасных портов. Для хранилища Kubernetes (etcd) под слабыми настройками могут подразумеваться небезопасные методы подключения, возможность соединения без использования сертификатов. Рисунок 8. Угрозы, исходящие от отсутствия мер защиты среды контейнеризации, и их последствия К числу других проблем относится контроль событий контейнеров и хостов. В условиях, когда средний срок службы контейнера — несколько часов или даже минут, мониторинг текущих процессов может быть особенно сложной задачей. Обзор решений по защите контейнеровПроведём сравнение двух наиболее распространённых enterprise-решений такого рода, которые представлены на российском рынке: Aqua Cloud Native Security Platform (CSP) и Prisma Cloud Compute Edition(до покупки Palo Alto Networks имевшего название Twistlock).Основная функциональность обоих решений:Автоматическая проверка конфигурации на предмет соответствия лучшим практикам для сокращения риска компрометации.Контроль взаимодействия (firewall) между элементами контейнеризации (поды, сервисы) для сокращения риска распространения атаки.Проверка образов контейнеров в процессе разработки для сокращения риска развёртывания уязвимых образов в продуктивной среде.Проверка развёрнутых контейнеров на предмет наличия уязвимостей, открытых паролей, аномальной активности и несоответствия политикам безопасности для сокращения ущерба от атак и кражи паролей.Сбор и анализ событий, поступающих от контейнеров и хостов, для обеспечения контроля за инцидентами и эффективного реагирования. Архитектура Рисунок 9. Архитектура Aqua CSP Оба решения включают в себя два компонента, разворачиваемых в виде контейнеров: консоль управления (Twistlock Console и Aqua Console) и агент сканирования (Twistlick Defender и Aqua Enforcer).В число функций консоли входят:предоставление интерфейса для интерактивного управления решением;интеграция со сторонними программными компонентами (SIEM, средство запуска CI / CD);сканирование образов контейнеров в реестре.Агенты сканирования мониторит безопасность запущенных контейнеров во время их выполнения, чтобы обеспечить соблюдение политик, настроенных администратором системы с помощью пользовательского интерфейса на консоли. Агент также гарантирует, что только зарегистрированные и отсканированные образы будут работать на хостах, на которых установлен агент.Обоим решениям требуется выход в интернет для подключения к собственным базам знаний. База знаний используется при сканировании образов, контейнеров и хостов на предмет уязвимостей и вредоносных программ, содержит чёрный список IP-адресов, актуальные оценки производительности («бенчмарки») и так далее.С точки зрения архитектуры Aqua CSP отличается тем, что в ней есть два дополнительных компонента — Aqua Gateway и вынесенная за пределы консоли база данных. Aqua Gateway осуществляет взаимодействие между Aqua Console и Aqua Enforcer и размещается по одному компоненту на кластер, в случае если ваши сервисы размещены на разных кластерах. База данных содержит информацию, касающуюся конфигурации Aqua CSP (политики безопасности, роли и пользователи, параметры), и результаты аудита безопасности. Также в отличие от Prisma Cloud Compute, где БД размещена внутри консоли, Aqua позволяет вынести базу данных за пределы кластера на существующих серверах. ФункциональностьСравнение функциональных возможностей двух платформ представлено в таблице ниже. Таблица 1. Сопоставление Aqua Cloud Native Security Platform и Prisma Cloud Compute Edition№ПараметрAqua Cloud Native Security PlatformPrisma Cloud Compute Edition1.Метод развёртыванияAqua Enforcer — контейнер на хостTwistlock Defender — контейнер на хост2.Варианты развёртыванияКак в облаке, так и в локальной инфраструктуре (on-premise)3.КомпонентыAqua Server — центральный компонент управления Aqua Security Platform;Aqua Gateway — обеспечивает взаимодействие между компонентом управления и Aqua Enforcer, а также отправку событий в сторонние системы (SIEM, IRP);Aqua Enforcer — обеспечивает защиту среды выполнения контейнеров, хостов, виртуальных машин и лямбда-функций;PostgreSQL DB — база данных, используемая компонентами Aqua;Aqua CyberCenter — облачная служба данных киберразведки от лучших мировых сервисов: NVD, Mitre, CVSS, Red HatTwistlock Console — основной компонент управления. Выполняет сканирование образов. Поставляется с внутренней базой данных без возможности использования внешней БД;Twistlock Defender — обеспечивает защиту среды выполнения контейнеров и хостов;Twistlock Intelligence Stream — облачная служба данных киберразведки от лучших мировых сервисов: NVD, Mitre, CVSS, Red Hat4.Организация взаимодействия компонентов кластера по SSLВсё взаимодействие между компонентами происходит по зашифрованному каналу. Взаимодействие контейнерной среды по SSL обеспечивается средствами оркестратора5.Возможность настройки использования TLS-сертификатов для шифрованного взаимодействияСертификат выписывается внутренним УЦ решения для взаимодействия всех компонентов. Сертификаты для контейнерной среды настраиваются оркестратором6.Возможность написания правил для ограничения взаимодействия контейнеровФункциональность списков контроля доступа (ACL), сетевого экрана для создания правил взаимодействия контейнеров, хостов, виртуальных машин;функциональность объединения групп контейнеров, хостов, виртуальных машин в сервис с возможностью обучения сетевого взаимодействия внутри него (или между сервисами), а также автоматического создания правил и карты сетевого взаимодействия;утилита Kube-hunter, позволяющая проводить простые тесты на проникновение и эмулировать атаки на кластер Kubernetes с составлением отчётаФункциональность списков контроля доступа (ACL), сетевого экрана для создания правил взаимодействия контейнеров, хостов;обучение сетевого взаимодействия контейнеров и хостов, составление карты взаимодействия и предложения автоматических правил;функциональность брандмауэра веб-приложений (WAF)7.Визуализация взаимодействия между компонентами (пространства имён, поды)Поддержка полной визуализации взаимодействия между компонентами кластера (-ов) в консоли управления8.Сканирование образов в реестрах на наличие уязвимостейСканирование на уязвимости, наличие критических данных внутри контейнеров (приватные ключи, пароли), вирусы;сканирование хостов на наличие образов / контейнеров, не хранящихся ни в одном репозитории;сканирование библиотек исходного кода приложения на наличие уязвимостей с использованием CTI Feeds (Aqua CyberCenter);применение техник виртуального патчинга на время устранения найденной уязвимости или ожидания патча от вендораСканирование на уязвимости, наличие критических данных внутри контейнеров (приватные ключи, пароли), вирусы;сканирование хостов на наличие образов / контейнеров, не хранящихся ни в одном репозитории;сканирование библиотек исходного кода приложения на наличие уязвимостей;возможность определения собственных типов уязвимостей и импорта MD5-сумм бинарных файлов9.Сканирование образа на наличие открытых паролейСканирование на наличие критических данных внутри образов (приватные ключи, пароли) или в коде приложения10.Проверка цифровой подписи контейнера перед его развёртыванием на нодеПроверка хеш-суммы образа. Контейнер подписывается внутренним УЦ Aqua. Дополнительная подпись и проверка реализуются оркестраторомПроверка хеш-суммы образа. Дополнительная подпись и проверка реализуются оркестратором11.Защита контейнеров от изменений. Контроль среды выполненияЗащита от изменений при помощи хеширования содержимого каждого образа;защита от изменений согласно определённым политикам среды выполнения;запрет на выполнение;запрет доступа к файлам, режим «только чтение»;запрет исполнения команд ОС;запрет подключения с определённых IP-адресов;запрет повышения привилегий, использования учётной записи «root»;запрет доступа к определённым пакетам ОС;запрет на сканирование портов, блокировка ненужных портов;запрет использования нестандартных базовых образов12.Поддержка протоколов автоматизации управления данными безопасностиSCAP13.Наличие собственного хранилища секретовВстроенное хранилище секретов Aqua Secret Key Store; интеграция со сторонними Key VaultИнтеграция со сторонними Key Vault14.Управление секретами и мониторинг доступаНазначение секретов на контейнеры, хосты; изменение, удаление, добавление через консоль управления; подставление или переназначение секретов во время выполнения (runtime)Только через сторонний Key Vault15.Поиск уязвимостей на хостеСканирование хоста на уязвимости, вирусы аналогично контейнерам16.Профилирование контейнераОбучение модели на основе работы контейнера (поведенческой модели, в том числе и сетевого взаимодействия) в течение указанного периода. Создание профиля и применение его к другим контейнерамОбучение модели на основе работы контейнера в течение 24 часов17.Ограничение ресурсов контейнера (использование AppArmor, SELinux, cgroups)Контроль запуска контейнеров по критерию «запущены или нет»: Seccomp, SELinux, apparmorКонтроль запуска контейнеров по критерию «запущены или нет»: SELinux, apparmor18.Проверка конфигурации k8sВстроенная проверка на различные требования (compliance): CIS (Docker CIS, Kubernetes CIS)19.Реализация POD security policyРеализуется только функциональностью Kubernetes20.Шифрование данных, хранящихся в etcdРеализуется только функциональностью оркестратора21.Протоколирование действий пользователейОсуществляется запись в журнал следующих событий:действия в консоли,действия, связанные с Container Engine,действия внутри контейнера (имя пользователя, имя контейнера, имя образа, ID процесса),события, связанные с найденными уязвимостями,действия, связанные с использованием Docker API или команд на контейнере, хосте,действия, связанные с использованием LambdaFunction,события по политикам Host Runtime,действия на хостах,события успешных / неуспешных попыток входа,действия пользователей в оркестраторе22.Мониторинг чтения / записи файлов, атрибутов, директорий на хостеПоддерживается23.Отслеживание аномальной активности на хосте (например, брутфорс)Аудит всех действий на хосте, всех исполняемых процессов, использования команд и передаваемых аргументов, сетевых взаимодействий с участием хоста24.Реализация модели доступа RBACРолевая модель реализуется только по доступу к консоли управления. Есть возможность определять свои роли с настройкой доступов на чтение / изменение к определённым компонентам25.Управление сертификатами (PKI)Реализуется при помощи оркестратора26.Проверка на соответствиеPCI, GDPR, HIPAA, NIST SP 800-190PCI, GDPR, HIPAA, NIST SP 800-19027.Поддерживаемые реестры образов (image registries)Amazon EC2 Container Registry;Google Cloud Platform Container Registry;Azure CR;Cloud Foundry Registry;Harbor;Docker;CoreOS Quay;JFrog Artifactory;OpenShift Container Registry;Red Hat Atomic Registry;Sonatype Nexus Repository OSS;любой другой реестр, поддерживающий APIAmazon EC2 Container Registry;Google Cloud Platform Container Registry;Harbor;Docker;JFrog Artifactory;Sonatype Nexus Repository OSS28.CI / CDGoCD, TeamCity, Bamboo, GitLab, Jenkins, CircleCI, Azure DevOpsJenkins plugin; Twistcli — плагин по интеграции через API к CI / CD. Доработок не требуется29.РеестрыDocker Hub, Amazon ECR, Google GCR, CoreOS Quay, JFrog Artifactory, Azure ACRDocker Hub, Amazon ECR, Google GCR, IBM CCR, JFrog Artifactory, Azure ACR, OpenShift30.Хранилище паролей (Password Vault)CyberARK Password Vault, Conjur, AWS KMS, HashiCorp Vault, AzureHashiCorp, CyberARK, AWS KMS, Azure31.Active Directory / LDAPПоддержка интеграции с LDAP и AD FS32.Единый вход (SSO)SAML-based authentication, OpenID Connect, Google Apps, AD FSSAML-based authentication, OpenID Connect, AD FS33.SIEM и аналитикаArcSight, AWS CloudWatch, Datadog, Elasticsearch, Google SCC, Logentries, Loggly, Microsoft OMS, Splunk, Sumo Logic, Syslog, QRadarПотенциально — со всеми по Syslog. Нужна доработка коннекторов34.Система отслеживания ошибокJira35.Обратная связьSlack, PagerDutySlack Защита во время исполнения (runtime)Функция защиты во время исполнения позволяет отследить аномальное поведение развёрнутых контейнеров на основе данных о процессах, сети, обращениях к файловой системе, системных вызовах, данных хоста. Это обеспечивает защиту от криптомайнеров, нежелательных процессов, распространения атаки по сети, нежелательного исходящего соединения, открытых портов, появления вредоносных программ, а также от нежелательных системных вызовов.Кроме того, оба решения позволяют обеспечить неизменность контейнера, при которой обновления будут проходить только через конвейер CI / CD, не допуская изменений, разрешённых во время выполнения. И у Aqua CSP, и у Prisma Cloud Compute есть функциональность снятия криптографического отпечатка нескольких слоёв в пределах образа для обеспечения целостности последнего. Сетевой экран веб-приложений (WAF) от Prisma Cloud Compute Рисунок 10. Верхнеуровневая схема работы Cloud Native Application Firewall (CNAF) Отличительной особенностью Prisma Cloud Compute на фоне других решений является встроенный модуль межсетевого экранирования на уровне L7 для веб-приложений — Cloud Native Application Firewall (CNAF). Агент сканирования является в данном случае прокси-сервером HTTP, анализируя поступающие GET- и POST-запросы от клиентов. Для этого Twistlock Defender добавляет новое правило iptables, перенаправляя трафик от веб-приложения через себя. Если соединение защищено с помощью TLS, Defender расшифровывает трафик, проверяет содержимое, а затем повторно шифрует его. Виртуальный патчинг от Aqua SecurityAqua CSP в свою очередь выделяется такой особенностью, как Aqua Vulnerability Shield (Aqua vShield) — функция виртуального патчинга. Это — запатентованная технология, использующая автоматический анализ уязвимостей для создания runtime-политик, которые могут обнаруживать и блокировать доступ к уязвимым компонентам в контейнерах приложения. Запуск vShield для найденной уязвимости позволит предотвратить её эксплуатацию до того, как разработчики выпустят исправление. ВыводыKubernetes не использует механизмы безопасности по умолчанию в силу того, что эти же механизмы, как правило, могут затруднять внедрение и перенос приложений. Технология не стала бы такой популярной и приятной в использовании, если бы первый запуск приложения в контейнерной среде сопровождался проблемами, вызванными чрезмерным контролем. И даже несмотря на то, что Kubernetes или OpenShift имеют в себе безопасные настройки, их использование остается трудоёмким и неконтролируемым для организаций со сложной микросервисной архитектурой и большим числом нод кластера.Такие решения, как Aqua CSP и Prisma Cloud Compute, созданы для упрощения контроля безопасности контейнерной среды. Развернув дополнительно по одному агенту на каждую ноду, можно получить сразу несколько механизмов безопасности «из коробки», что существенно сокращает риски финансовых и репутационных потерь от атаки злоумышленника на развёрнутое в среде контейнеризации приложение. Выбор того или иного инструмента зависит от потребностей отдела безопасности и бизнеса, но тенденция такова, что с ростом перехода на контейнеры популярность подобных решений будет только расти. Читать далее
  21. Для того чтобы обеспечить надлежащий уровень защиты информационной инфраструктуры от угроз, организации создают центры мониторинга и оперативного реагирования на инциденты информационной безопасности (Security Operations Center, далее — «SOC»), целью которых является быстрое реагирование на ИБ-инциденты с их последующим устранением. Но для эффективной борьбы с современными угрозами уже недостаточно просто создать SOC: необходимо оснастить его технологиями, актуальной информацией и знаниями. В этом могут помочь профильные сервисы «Лаборатории Касперского». ВведениеСостав сервисов «Лаборатории Касперского» для корпоративного SOCОсновные возможности сервисов «Лаборатории Касперского» для корпоративного SOCОписание сервисов «Лаборатории Касперского» для корпоративного SOC4.1. Kaspersky Threat Hunting4.2. Kaspersky Threat Intelligence4.3. Kaspersky Anti Targeted Attack4.4. Kaspersky Endpoint Detection and ResponseРеагирование на инцидентыАнализ защищённости и тестирование на проникновениеЭкспертные тренинги для специалистов SOCВыводы ВведениеМы не раз уже ссылались на исследование «Лаборатории Касперского» под названием «Прогнозы по продвинутым угрозам на 2020 год». Помимо прочего, оно подтверждает рост сложности методов проведения атак. Злоумышленники намеренно пытаются проводить свои операции под ложным «флагом», чтобы отвести от себя первоначальные подозрения, и точечно выбирают жертв, которые готовы заплатить значительные суммы за восстановление данных. Не перестают появляться новые варианты вредоносных действий в сфере финансовых услуг (в частности — в онлайн-банкинге). При этом в настоящее время средства защиты часто нацелены на обеспечение безопасности рабочих станций, в то время как злоумышленники расширяют свой инструментарий и распространяют атаки не на терминалы, а на сетевое оборудование. Обнаружить такие воздействия всё сложнее.Накопленный специалистами «Лаборатории Касперского» опыт изучения компьютерных угроз и разработки высокоэффективных технологий защиты от них, глубокая экспертиза и практические навыки реализации сложных проектов в области кибербезопасности, реализованные в сервисах компании, обеспечат многоуровневую поддержку SOC организации для повышения его эффективности в борьбе с комплексными угрозами. Состав сервисов «Лаборатории Касперского» для корпоративного SOCСервисы «Лаборатории Касперского» для SOC нацелены на обеспечение эталонного подхода к защите, используя четыре ключевых элемента: управление знаниями, анализ угроз, активный поиск угроз и грамотно налаженный процесс реагирования на инциденты. Сообразно этому комплекс сервисов содержит несколько перечисленных далее частей.Threat Hunting: услуга Kaspersky Managed Protection позволяет своевременно обнаружить атаки, обходящие превентивные системы защиты, путём круглосуточного мониторинга и анализа угроз информационной безопасности экспертами «Лаборатории Касперского».Threat Intelligence: потоки данных об угрозах, индивидуализированные отчёты (аналитика о проблемах безопасности для конкретных компаний или стран, а также финансовых организаций), аналитические отчёты о постоянных угрозах повышенной сложности (APT), сервисы Threat Lookup, Cloud Sandbox, CyberTrace.Kaspersky Anti Targeted Attack: защита корпоративной сети от целевых атак злоумышленников.Kaspersky Endpoint Detection and Response: защита рабочих станций.Реагирование на инциденты, в том числе — анализ вредоносных программ и цифровая криминалистика.Анализ защищённости и тестирование на проникновение: проверка надёжности корпоративной системы борьбы с угрозами и компетентности персонала, ответственного за неё.Экспертные тренинги: формирование у специалистов SOC навыков в области реагирования на инциденты, цифровой криминалистики, анализа вредоносных программ. Рисунок 1. Сравнение классического SOC и SOC на основе сервисов «Лаборатории Касперского» Основные возможности сервисов «Лаборатории Касперского» для корпоративного SOCИспользование сервисов «Лаборатории Касперского» для SOC предоставляет организации следующие возможности и преимущества:Своевременное обнаружение угроз посредством использования машинного обучения и множества аналитических данных, что позволяет быстро и эффективно выявлять и отражать сложные атаки.Использование аналитических данных, предоставляемых в различных форматах и по разным каналам, для понимания контекста проблемы и обеспечения SOC требуемыми актуальными сведениями. Это даст возможность непрерывно адаптироваться к постоянно меняющимся условиям, а также активно обнаруживать и приоритизировать угрозы информационной безопасности.Активный поиск угроз, реализуемый за счёт постоянного мониторинга событий, обнаружения новой и ранее неизвестной активности злоумышленников.Помощь экспертов «Лаборатории Касперского» в анализе вредоносных программ и цифровой криминалистике, благодаря чему можно своевременно получить полную картину инцидента для совершенствования текущих мер защиты.Своевременное реагирование на инциденты, выполняемое компетентными специалистами и позволяющее быстро обнаружить и предотвратить любую вредоносную активность, восстановить системы и бизнес-процессы.Анализ защищённости в реальных условиях, реализуемый за счёт глубоких экспертных знаний вместе с передовыми методами исследования.Тестирование на проникновение, которое показывает существующие сценарии атак на основе собранных данных об угрозах. Это даёт возможность оценить готовность средств защиты к отражению нападений.Экспертные тренинги для специалистов SOC, повышающие их квалификацию в области реагирования на инциденты, цифровой криминалистики и анализа вредоносных программ. Сотрудники центра мониторинга и оперативного реагирования на инциденты информационной безопасности получат знания и опыт, которые позволят правильно проанализировать большие объёмы данных и выбрать направление для дальнейшего расследования. Описание сервисов «Лаборатории Касперского» для корпоративного SOCKaspersky Threat HuntingСервис Threat Hunting представляет собой круглосуточную службу мониторинга и реагирования на инциденты — Kaspersky Managed Protection. Для конкретной организации формируется команда экспертов, обладающих богатым практическим опытом в области анализа угроз; это позволяет предоставить сервис, подобранный полностью индивидуально и нацеленный на непрерывное обнаружение и исследование проблем информационной безопасности, равно как и на защиту от них. Круглосуточная служба мониторинга своевременно выявляет инциденты, собирает необходимые для классификации данные, определяет степень уникальности атаки, в случае необходимости запускает процесс реагирования на инцидент и обновление баз знаний средств защиты для блокировки угрозы, а также ретроспективно анализирует системную и сетевую активность процессов и приложений с целью расследования инцидентов.Использование сервиса предоставляет следующие преимущества:Качественная и своевременная защита от целевых атак и вредоносных программ посредством взаимодействия с экспертами «Лаборатории Касперского».Обнаружение нестандартных атак (т.н. non-malware attacks, атаки с применением неизвестных ранее инструментов, эксплуатирующие уязвимости нулевого дня).Оперативная защита от обнаруженных угроз посредством мгновенного обновления баз данных.Комплексный анализ инцидентов, в том числе — на основе методов и технологий, используемых злоумышленниками.Комплексный подход к организации полного цикла защиты от целевых атак. Рисунок 2. Защита инфраструктуры организации с помощью круглосуточной службы Kaspersky Managed Protection Kaspersky Threat IntelligenceСервис Kaspersky Threat Intelligence является источником информации для SOC и состоит из следующих компонентов.Потоки данных об угрозах, предназначенные для того, чтобы дополнять существующие средства защиты и повышать уровень экспертного анализа специалистов SOC, предоставляя актуальные данные об индикаторах угроз (IP- и URL-адреса, домены, контрольные суммы файлов и т.д.).Индивидуализированные аналитические отчёты об угрозах для конкретных компаний или стран, для финансовых организаций, об APT.Сервис Threat Lookup, представляющий собой единую платформу с доступом к накопленным «Лабораторией Касперского» данным о компьютерных угрозах и их взаимосвязях, а также с возможностью поиска в режиме реального времени. Непрерывное аккумулирование информации об индикаторах угроз позволяет специалистам SOC предотвращать атаки злоумышленников ещё до того, как безопасности компании будет нанесён ущерб. Результатом работы сервиса является отчёт, в котором содержатся краткое описание проблем безопасности, технические подробности и список соответствующих индикаторов компрометации.Сервис Cloud Sandbox — облачная песочница, позволяющая мгновенно реагировать на инциденты, определять источники вредоносных файлов и защищать от неизвестных угроз посредством проверки поведения подозрительного объекта на виртуальной машине, изолированной от реальной инфраструктуры организации. В результате сервис подготавливает отчёт с описанием исследуемого файла, техническими подробностями и списком индикаторов компрометации, имеющих отношение к изученному образцу.Сервис CyberTrace, предназначенный для повышения эффективности классификации событий ИБ и первоначального реагирования на инциденты. Он позволяет упростить интеграцию потоков аналитических данных об угрозах с SIEM-системами и источниками журналов, тем самым обеспечивая специалистам SOC своевременную осведомлённость, необходимую для принятия решений.Стоит отметить, что части сервиса Kaspersky Threat Intelligence показывают максимальную эффективность в том случае, если работают вместе и дополняют друг друга. Каждый компонент является источником данных для остальных. Рисунок 3. Главное окно Kaspersky Threat Intelligence Kaspersky Anti Targeted AttackСервис Kaspersky Anti Targeted Attack — это платформа для обнаружения и противодействия комплексным угрозам на уровне сети. Доступны следующие возможности:визуализация корпоративной инфраструктуры,централизованный и автоматизированный процесс сбора и хранения данных,анализ инцидентов с помощью передовых технологий на базе машинного обучения, что позволяет свести к минимуму количество рутинных задач, связанных с обнаружением угроз,взаимодействие компонентов платформы в режиме реального времени, что даёт возможность сопоставлять данные с вердиктами от компонентов детектирования и ретроспективными материалами,сведение всей информации в единый инцидент для мгновенного реагирования и расследования,автоматизация задач по расследованию инцидентов, что ведёт к оптимизации расходования ресурсов специалистами SOC.Автоматизация отслеживания и реагирования на угрозы в Kaspersky Anti Targeted Attack реализована за счёт единой работы множества компонентов. В их числе — динамический анализ и эмуляция угроз с помощью песочницы; современные технологии обнаружения, включающие антивирусное ядро, использование YARA-правил, анализ сетевых пакетов и мобильных приложений на наличие вредоносной активности, проверку репутации URL-адресов и доменных имён и многое другое; анализатор целевых атак на основе машинного обучения, поведенческого анализа и автоматизированного сопоставления вердиктов (полученных от песочницы и механизмов обнаружения) с ретроспективными данными; репутационная база угроз, позволяющая держать руку на пульсе новых проблем безопасности, что повышает вероятность раннего обнаружения атак. Рисунок 4. Автоматизированное отслеживание угроз в сети и реагирование на них с помощью Kaspersky Anti Targeted Attack Kaspersky Endpoint Detection and ResponseСервис Kaspersky Endpoint Detection and Response представляет собой платформу, обеспечивающую защиту рабочих мест. Сервис показывает картину событий безопасности в корпоративной инфраструктуре и позволяет автоматизировать выполнение рутинных операций по выявлению, приоритизации, расследованию и нейтрализации сложных угроз. Использование сервиса позволяет решать следующие задачи:формирование целостного подхода к выявлению и расследованию инцидентов, а также реагированию на них,исполнение рекомендаций ФинЦЕРТ, Федерального закона № 187-ФЗ и положений Указа Президента РФ № 31с «О создании ГосСОПКА»,постоянный мониторинг и активный поиск нелегитимной активности и индикаторов компрометации на всех рабочих местах,повышение эффективности реагирования на инциденты за счёт дополнения SIEM или SOC вспомогательными данными с возможностью сопоставления результатов с событиями других систем,быстрое реагирование на инцидент и прекращение его развития, а также устранение последствий атаки на рабочих станциях и восстановление их работоспособности без влияния на работу пользователей.К преимуществам сервиса можно отнести единый агент для защиты и контроля рабочих станций и серверов, централизованный сбор, запись и хранение данных о событиях безопасности (обеспечивает оперативный доступ к ретроспективным материалам при расследовании продолжительных атак), автоматический сбор, анализ и сопоставление данных для автоматизации и оптимизации работы специалистов SOC, единую консоль для реагирования на угрозы, обеспечение комплексной многоуровневой защиты посредством совместной работы с Kaspersky Anti Targeted Attack, а также использование Kaspersky Private Security Network для защиты инфраструктуры с повышенными требованиями к изоляции. Рисунок 5. Комплексная защита рабочих станций на основе сервиса Kaspersky Endpoint Detection and Response, интегрированного с Kaspersky Endpoint Security Реагирование на инцидентыРеагирование на инциденты информационной безопасности, включающее цифровую криминалистику и анализ вредоносных программ, требует оперативного выделения значительных внутренних ресурсов. Речь идёт о компетентных специалистах, которые готовы оценить масштабы инцидента и быстро принять меры против распространения атаки: чем скорее последует реакция, тем меньше будет негативных последствий. Но реалии таковы, что даже у грамотно организованного SOC не хватает внутренних возможностей (как временных, так и профессиональных) для незамедлительной остановки атаки.В рамках сервиса «Лаборатории Касперского» специалисты компании оказывают услуги или проводят консультации по реагированию на инциденты, что позволяет быстро и компетентно ответить на угрозу. Эксперты проводят следующие действия:выявление скомпрометированных ресурсов, изоляция угрозы и остановка распространения атаки,поиск, сбор и анализ улик, а также восстановление хронологической картины и логики развития инцидента,анализ вредоносных программ, использованных для атаки (в случае их обнаружения),выявление источников атаки и дополнительных скомпрометированных систем, проверка инфраструктуры организации на возможные признаки компрометации,анализ исходящих соединений сети с внешними ресурсами для выявления нелегитимных объектов,устранение угрозы и выдача рекомендаций в отношении дальнейших действий по устранению последствий.Для наиболее эффективного и оперативного отклика на инциденты процесс реагирования должен включать шаги, представленные на рисунке 6. Рисунок 6. Процесс реагирования на инциденты Анализ вредоносных программ предназначен для понимания их поведения, а также целей, которые преследуют злоумышленники. Эксперты составляют подробный отчёт, содержащий свойства экземпляра программного обеспечения (краткое описание и вердикт по классификации «Лаборатории Касперского»), детальное описание (анализ функций, поведения и целей программы, индикаторы компрометации, предназначенные для нейтрализации угрозы) и сценарий устранения последствий с рекомендациями по защите инфраструктуры организации от угроз данного типа.В ходе проведения цифрового криминалистического анализа эксперты «Лаборатории Касперского» используют для восстановления картины инцидента множество источников: трассировки сети, образы жёстких дисков, дампы памяти и т.д. Как указано на рисунке 6, в начале расследования клиент собирает улики и предоставляет описание инцидента, а эксперты исследуют симптомы последнего, идентифицируют исполняемый файл вредоносной программы (если он есть) и проводят его анализ. Итогом становится содержательный отчёт, включающий меры по ликвидации последствий.Сервис доступен по подписке или для устранения единичного инцидента. Анализ защищённости и тестирование на проникновениеСервис тестирования на проникновение подразумевает, что эксперты «Лаборатории Касперского» проводят анализ уязвимостей объектов инфраструктуры и возможных последствий их эксплуатации, оценивают эффективность текущих мер защиты, а также планируют меры по устранению обнаруженных недостатков и повышению уровня защищённости. В результате организация получает практическую демонстрацию реальных сценариев атаки с выявленными изъянами защиты корпоративной сети, а своевременное обнаружение последних позволяет не допустить финансового, операционного и репутационного ущерба. Сервис также обеспечивает соответствие государственным, отраслевым и корпоративным стандартам, включая GDPR.Виды тестирования на проникновение, проводимого экспертами «Лаборатории Касперского»:внешнее (без априорных данных об инфраструктуре организации);внутреннее (например, имитация действий посетителя, имеющего только физический доступ в офис);с использованием методов социальной инженерии (фишинг, небезопасные ссылки в электронных письмах и т.п.) для оценки уровня осведомлённости сотрудников организации в вопросах информационной безопасности.Стоит отметить, что в рамках сервиса может производиться анализ защищённости беспроводных сетей на территории организации.Сервис анализа защищённости включает три вида проверок, перечисленные далее.Анализ защищённости приложений предназначен для выявления уязвимостей в прикладных программах любого типа (крупные облачные решения, ERP-системы, механизмы дистанционного банковского обслуживания и другие специализированные бизнес-приложения, а также встроенные программы и мобильное ПО). Сервис позволяет избежать потерь различного рода, свести к минимуму издержки на ликвидацию последствий, организовать непрерывность жизненного цикла безопасной разработки программного обеспечения, а также выполнить требования государственных, отраслевых или корпоративных стандартов.Анализ защищённости банкоматов и POS-терминалов обнаруживает недостатки защиты платёжных устройств и позволяет снизить риск их компрометации за счёт заблаговременного выявления уязвимостей. Так же, как и в предыдущем случае, с помощью сервиса можно улучшить механизмы безопасности, избежать различного рода потерь в результате возможной атаки и обеспечить выполнение требований регуляторов.Анализ защищённости телекоммуникационных сетей включает проверку конфигурации инфраструктуры, сетей связи по стандартам GSM, UMTS и LTE, приложений, обеспечивающих пользование сервисами (например, IP-телевидением), средств голосового общения через интернет (VoIP) и телекоммуникационного оборудования. Экспертные тренинги для специалистов SOCНавыки в области реагирования на инциденты, цифровой криминалистики и анализа вредоносных программ являются обязательными для специалистов SOC. В рамках тренингов эксперты «Лаборатории Касперского» делятся практическими знаниями и опытом в области информационной безопасности, а также уникальными данными об угрозах.Тренинги, формирующие вышеуказанные навыки, продолжаются по 5 дней и делятся на два уровня: базовый и экспертный.Тренинг по реагированию на инциденты и цифровой криминалистике позволит специалистам SOC лучше понять все стадии расследования инцидентов и даст необходимые сведения для успешного самостоятельного устранения последствий. Также он укрепит знания специалистов во всём, что касается поиска следов киберпреступления и анализа различных типов данных с целью установить источник и временные параметры атаки. После прохождения тренинга специалисты SOC самостоятельно смогут своевременно реагировать на инциденты, анализировать улики, восстанавливать хронологию и логику инцидентов, определять источники атаки и дополнительные скомпрометированные системы, а также выяснять причины инцидента для предотвращения подобных нарушений в будущем.Тренинг по анализу вредоносных программ поможет специалистам SOC качественнее проводить расследования атак, анализировать вредоносные объекты, выявлять индикаторы компрометации, писать сигнатуры для обнаружения опасных файлов либо заражённых рабочих станций. После прохождения тренинга специалисты SOC смогут самостоятельно проводить анализ подозрительного образца и его возможностей, определять степень его вредоносности, выявлять возможности его воздействия на скомпрометированные системы организации, а также составлять план устранения последствий. ВыводыУгрозы безопасности информационных активов организаций постоянно меняются, и для защиты от них необходимо оперировать максимально возможным объёмом информации, развивать экспертные компетенции специалистов, оперативно реагировать на инциденты и на регулярной основе проводить анализ защищённости инфраструктуры. Современные организации создают центры мониторинга и оперативного реагирования на инциденты информационной безопасности, чтобы достичь требуемого уровня борьбы с угрозами; но для максимальной эффективности работы SOC необходимо наладить взаимодействие с сервисами или продуктами, которые, с одной стороны, снабдят SOC необходимыми актуальными данными, а с другой стороны, будут помогать принимать решения и расследовать инциденты.Сервисы «Лаборатории Касперского» позволяют повысить уровень безопасности организации, встретить во всеоружии комплексные и целевые угрозы, а также обеспечить такое взаимодействие с SOC, при котором специалисты центра будут полностью освобождены от рутинных операций, а организация получит мощный инструмент для своевременного обнаружения угроз и реагирования на инциденты. Также с помощью этих сервисов можно получать экспертную помощь «Лаборатории Касперского» в исследовании вредоносных программ и в цифровой криминалистике, а также в анализе защищённости, тестировании на проникновение и многом другом. Читать далее
  1. Load more activity
×