Опасная уязвимость в DNS-сервере BIND

Опасная уязвимость в DNS-сервере BIND

Организация ISC выпустила экстренные обновления DNS-сервера BIND с устранением уязвимости (CVE-2013-4854), позволяющей инициировать крах процесса named через отправку запроса со специально оформленным содержимым поля RDATA. Уязвимости подвержены как рекурсивные, так и авторитетные серверы. Ограничение доступа через ACL не позволяет защититься от проблемы, помочь может только ограничение доступа к сетевому порту на уровне пакетного фильтра. Проблема усугубляется тем, что информация о методе эксплуатации появилась в Сети до выхода исправления и несколько компаний зафиксировали применения уязвимости для атаки на DNS-серверы.

В настоящий момент уязвимость уже исправлена в выпусках BIND 9.9.3-P2 и 9.8.5-P2, все остальные версии BIND 9, новее ветки 9.6, подвержены атаке. Для BIND 9.7 официальное исправление не выпущено, так как время поддержки данной ветки прекращено, тем не менее уже доступно обновление пакетов с BIND 9.7 для Debian. Аналогичное обновление также выпустил проект FreeBSD. RHEL/CentOS, Fedora, SUSE, openSUSE, Ubuntu и другие дистрибутивы Linux обновления на момент написания новости ещё не выпустили, сообщает opennet.ru.

Отдельно можно отметить объявление о добавлении в состав будущих выпусков BIND модуля RRL, предоставляющий эффективный механизм для защиты от проведения DDoS-атак с использованием DNS. Речь ведётся не об атаках, направленных на выведение из строя DNS-сервера, а об использовании DNS-серверов для атак на другие системы. Пользуясь тем, что ответ DNS-сервера превышает по размеру DNS-запрос, путем отправки запросов с указанием фиктивного обратного адреса, в качестве которого указан IP жертвы, создаётся волна трафика из обратных ответов (исходный трафик приумножается примерно в 100 раз).

Во втором квартале 2013 года частота проведения подобных атак возросла на 20%. При этом в среднем при каждой такой DDoS атаке генерируется трафик порядка 50 млн пакетов в секунду. RRL является способом справиться с проблемой на стороне DNS-серверов, давая возможность администраторам установить лимит на интенсивность отправки ответов в привязке к адресу получателя (заданные через RRL ограничения действуют только на исходящие запросы и не влияют на входящие). Модуль RRL добавляет поддержку директивы responses-per-second в блок rate-limit, позволяющей задать допустимое число ответов в секунду. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Айтишники чаще других приукрашивают свои навыки в резюме

Почти две трети российских компаний сталкивались с недостоверными данными в резюме соискателей. Чаще всего преувеличивают свои навыки топ-менеджеры, административный персонал и ИТ-специалисты. По данным hh.ru, кандидаты нередко скрывают реальный возраст, причины увольнений, частую смену работы и периоды безработицы, а также завышают уровень образования.

Как сообщили «Известия» со ссылкой на рекрутинговые сервисы, за последний год около двух третей российских работодателей выявили ложные сведения о кандидатах.

В SuperJob уточнили, что соискатели чаще всего приукрашивают уровень владения иностранными языками или специализированным программным обеспечением. Некоторые указывают в резюме несуществующие курсы, искажают информацию о наградах и поощрениях. Наиболее склонны embellish свои достижения соискатели младше 31 года, тогда как среди старших кандидатов подобное встречается значительно реже.

Как правило, обман быстро вскрывается — чаще всего во время собеседования, реже при проверке данных из трудовой книжки или обращении к предыдущим работодателям. По данным hh.ru, каждый шестой работодатель узнавал правду после проверки службой безопасности, а 9% — при анализе социальных сетей кандидата.

«Если кандидат указал в резюме недостоверные сведения, ему трудно подробно и последовательно описать реальные рабочие процессы. Конкретные вопросы позволяют быстро выявить несоответствия, — отметили в кадровом агентстве ProfiStaff. — Те, кто действительно участвовал в проектах, уверенно оперируют фактами: объемами продаж, сроками, количеством клиентов, метриками эффективности. А те, кто приукрашивает достижения, часто путаются или не могут назвать точные данные».

Больше всего склонны приписывать себе лишние заслуги управленцы, административный персонал и представители ИТ-сферы. Среди ИТ-специалистов чаще других преувеличивают программисты и разработчики, руководители проектов и тестировщики. Несколько реже приукрашивают опыт менеджеры продукта, дизайнеры, UX-специалисты и тимлиды.

Подобная практика также встречается у системных администраторов, технических писателей, аналитиков, дата-сайентистов, ИТ-директоров и руководителей аналитических подразделений.

Карьерный консультант Елена Рагозина в беседе с «Известиями» подтвердила, что ИТ-специалисты действительно нередко embellish свои резюме: «Некоторые карьерные консультанты сами советуют, что можно немного приукрасить: на чём сделать акцент, а что опустить. Но откровенная ложь может иметь уголовные последствия — прежде всего для тех, кто приобретает поддельные дипломы или лицензии».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru