Google сама себя сертифицировала по госнормативам ИБ США

На днях в ходе судебных разбирательств, в которые вовлечены американское правительство, корпорация Microsoft и Google, выяснилась странная вещь: поисковый гигант утверждал, будто его "облачный" программный пакет Google Apps for Government сертифицирован на соответствие федеральному акту об организации защиты информации, не имея на то никаких достоверных оснований.


Тяжба началась еще в прошлом году, когда Google подала иск в защиту свободной конкуренции против государства - за то, что американское МВД выбрало систему делегированных вычислений от Microsoft для построения своей новой электропочтовой службы. При этом юристы истца особо подчеркивали, что "облачное" решение Google имеет сертификат соответствия требованиям акта FISMA (Federal Information Security Management Act), которым продукт редмондской корпорации не располагает.

FISMA-сертификация - это серьезный козырь. В этом акте рассмотрены основные вопросы обеспечения надлежащей безопасности данных для государственных ведомств США, и вполне естественно, что отвечающий его стандартам продукт более предпочтителен для такого учреждения, как министерство внутренних дел. В силу этого претензии Google казались вполне обоснованными.

Однако вчера представитель Microsoft Дэвид Говард сообщил в корпоративном блоге компании, что проводимые министерством юстиции США проверки выявили загадочный факт: у решения Google Apps for Government... не оказалось сертификата соответствия FISMA. Это весьма удивительно, тем более что на странице с описанием данного "облачного" продукта Google и по сей день утверждает обратное.

В итоге выяснилось, что сертификат у поискового гиганта все-таки был, но на другой вариант программного пакета - Google Apps Premier; в свою очередь, версия for Government, как объяснили представители истца, является лишь его усовершенствованной и усиленной модификацией. Иными словами, в Google решили, что если продукт Premier прошел проверку на соответствие FISMA, то основанный на нем и более надежный выпуск for Government автоматически будет считаться отвечающим требованиям федерального акта.

Таким образом, компания де-факто сама сертифицировала свое решение, не советуясь с компетентными контрольно-надзорными органами и полагаясь не на существующие нормы и правила, а лишь на свое умозрительное представление о том, какими они могут быть. Чиновники, однако, объяснили представителям Google, что сознание не определяет бытие, и в объективной реальности проверку на соответствие FISMA нужно проходить заново, если сертифицированный продукт был подвергнут модификациям.

Теперь поисковый гигант, конечно, представит необходимые документы по правилам, и вполне вероятно, что решение Google Apps for Government получит свое FISMA-удостоверение. Однако, к сожалению, компания выставила себя не в самом благоприятном свете, использовав в промо-материалах и даже в судебно-исковых заявлениях фактически ложную информацию, основанную на домыслах. Складывается впечатление, что руководство Google рассматривает свою деятельность скорее как игру, нежели как серьезный бизнес; во всяком случае, некоторые аналитики уже намекают, что компании не мешало бы стать немного "взрослее".  

ZDNet

Письмо автору

" />

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Фейковый PoC устанавливает на машину ИБ-экспертов Cobalt Strike Beacon

На GitHub обнаружены два вредоносных файла, выдаваемых за PoC-эксплойты. Авторы находки из Cyble полагают, что это задел под очередную киберкампанию, мишенью которой являются участники ИБ-сообщества.

На хакерских форумах тоже обсуждают эти PoC к уязвимостям CVE-2022-26809 и CVE-2022-24500, которые Microsoft пропатчила в прошлом месяце. Как оказалось, оба репозитория GitHub принадлежат одному и тому же разработчику.

Проведенный в Cyble анализ показал, что расшаренные PoC на самом деле представляют собой вредоносный Net-банарник, упакованный с помощью ConfuserEX — обфускатора с открытым исходным кодом для приложений .Net. Зловред не содержит заявленного кода, но поддерживает эту легенду, выводя с помощью функции Sleep() поддельные сообщения, говорящие о попытке выполнения эксплойта.

Усыпив бдительность жертвы, вредонос запускает скрытую PowerShell-команду для доставки с удаленного сервера основной полезной нагрузки — маячка Cobalt Strike.

 

Этот бэкдор можно впоследствии использовать для загрузки дополнительных файлов в рамках атаки и для ее развития путем горизонтального перемещения по сети.

Похожая вредоносная кампания была зафиксирована полтора года назад. Злоумышленники вступали в контакт с баг-хантерами, пытаясь с помощью замаскированного IE-эксплойта 0-day и бэкдора добраться до информации об актуальных уязвимостях.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru