LETA создает Международный Университет Информационной Безопасности (МУИБ)

LETA создает Международный Университет Информационной Безопасности (МУИБ)

...

Сегодня LETA IT-company – ведущий российский оператор типизированных ИТ-услуг – объявляет о запуске проекта по созданию первого Международного Университета Информационной Безопасности (МУИБ). Университет будет давать комплексное образование на стыке бизнес- и информационной безопасности, подтвержденное дипломами государственного образца. Проект носит инвестиционный характер, инвестором выступает LETA Group. Планируемый объем инвестиций составит 1,5 млн. долларов США.

Создавая Университет, LETA намерена серьезно повлиять на состояние рынка труда и ИТ-индустрии в послекризисный период. Известно, что последние несколько лет нехватка высококвалифицированных специалистов была одним их основных сдерживающих факторов развития ИТ-рынка в целом, ограничивала число выполняемых проектов, повышала их себестоимость и не давала ИТ-компаниям накапливать средства на развитие бизнеса. Острота этой проблемы вынуждала предприятия искать нестандартные способы привлечения персонала. В частности, для решения этой задачи компания LETA использовала собственную технологию HR-GRID.
Новые экономические реалии временно устранили проблему кадрового голода. Вместе с тем, это изменение носит временный характер – как только экономика вступит в фазу роста, проблема кадров вновь проявит себя, и, возможно, с еще большей силой. Особенно остро это затронет сегмент информационной безопасности. На рынок «хлынут» отложенные на время кризиса проекты и быстро исчерпают ресурсную базу ИТ-рынка.
Компания LETA уверена, что именно сейчас необходимо создавать инфраструктуру ИТ-образования, которая уже через 1,5 – 2 года выпустит на рынок значительное число новых квалифицированных специалистов и будет достаточно масштабируема, чтобы за несколько лет создать конкуренцию на рынке труда. 

Проект создания МУИБ рассчитан на два года. 
Подготовительный период (апрель-декабрь 2009) включает формирование учебных планов и программ; разработку учебно-методических материалов; привлечение преподавателей из российских и зарубежных ВУЗов и компаний; практикующих российских и международных экспертов в сфере ИБ, работающих в Госдуме РФ, ФСТЭК России, Управлении «К», BSI и др. Также в учебном процессе МУИБ будут активно участвовать ведущие специалисты компании LETA.

Обучение в Университете начнется с января 2010 года по четырем специальностям: «Основы сетевой безопасности», «Риск-менеджмент в ИБ», «Стандарты и госрегулирование в области ИБ» и «Менеджмент в ИБ». По каждой из них предусмотрен набор краткосрочных (по 2-5 дней) учебных программ (16, 8, 12 и 14, соответственно). При этом для каждой специальности общая продолжительность обучения по всем программам превышает 72 часа. На данном этапе МУИБ будет работать как учебный центр повышения квалификации. Отметим, что в рамках конкретного учебного плана слушатель проходит несколько обязательных программ, а также получает определенный объем учебных часов для посещения других программ по выбору. Каждая программа заканчивается экзаменом, а в конце всего учебного плана проводятся выпускные аттестационные испытания. Для допуска к выпускным экзаменам необходимо получить положительные оценки по всем обязательным программам в рамках учебного плана. Лица, успешно сдавшие все промежуточные и финальные экзамены, получают свидетельства о повышении квалификации государственного образца. В 2010 году предусмотрена очная форма обучения - дневная и вечерняя; в дальнейшем будут также применяться заочная и дистанционная формы. В 2010 году число выпускников составит 200-250 человек. По итогам первого года работы Университета будет расширен набор специальностей и увеличено число курсов по каждой из них (предположительно, до 20).

В первой половине 2011 года МУИБ также начнет обучение по долгосрочным программам. Этот этап характеризуется появлением не только практических учебных программ, но и фундаментальных основополагающих дисциплин (например, общий менеджмент, финансы, основы юриспруденции). Также для основных специальностей будут сформированы кафедры с постоянным преподавательским составом и методически выверенными программами обучения. Предусмотрены два типа долгосрочного обучения: второе высшее образование и формат бизнес-обучения, наиболее близкий к системе MBA. Для обозначения такого образования, которое впервые появится на ИТ-рынке, компания LETA вводит термин MBS (Master Business Security). В MBS ряд основополагающих прикладных дисциплин будут преподавать реальные практики, работающие в ведущих российских и международных компаниях. Также при обучении в формате MBS предусмотрена обязательная стажировка на крупнейших отечественных или зарубежных предприятиях. При этом учащиеся с более высокой успеваемостью получат право приоритетного выбора места стажировки.

В 2011 году МУИБ выпустит 500 человек, прошедших обучение по схеме повышения квалификации, и начнет обучение порядка 60 человек по схемам второго высшего образования и MBS. В дальнейшем Университет будет ежегодно выпускать порядка 150 человек MBS-квалификации.

Также в МУИБ предусмотрены две системы грантов: на обучение - для лучших студентов ведущих вузов страны (совместные программы с ВУЗами), и на стажировку (до шести месяцев) в лучших зарубежных ИТ-компаниях (такие гранты будут предоставлять компании Microsoft, Symantec, LETA IT-company и др). Также отметим, что программа развития Университета предусматривает партнерство с зарубежными ВУЗами - на уровне совместных программ и обмена преподавателями и студентами.
По оценкам компании LETA, к концу 2011 года МУИБ выйдет на самофинансирование. 

«Бизнес-подразделения, ИТ-службы заказчика и поставщики решений видят задачу внедрения систем информационной безопасности с разных точек зрения. Это естественно. Но для того, чтобы такое решение было и современным, и эффективным, они должны находиться на одинаково высоком уровне понимания проблем ИБ и их стыковки с бизнесом. Сегодня такая ситуация является скорее исключением, – говорит Андрей Конусов, исполнительный директор LETA IT-company. – Мы хотим, чтобы статус MBS стал своего рода стандартом уровня подготовки руководителей ИБ на предприятиях любого размера. Такие специалисты, обладающие широким профессиональным кругозором и знакомые со всеми передовыми решениями в сфере ИБ, будут широко востребованы и в ИТ-компаниях, и в организациях-заказчиках. Когда это произойдет и когда рынок перейдет от конкуренции организаций за специалистов такого уровня к конкуренции самих специалистов, – уровень информационной безопасности в российских компаниях значительно повысится, а сам ИТ-рынок получит возможность расти и развиваться».

Новая атака на кеш Nginx позволяет красть данные и ломать сайты

Исследователь YesWeHack Алекс Брумен описал вектор кибератаки Cache Key Injection. В случае её эксплуатации последствия для потенциальной жертвы опасные: обход контроля доступа, раскрытие закрытых страниц, отказ в обслуживании и при определённых условиях.

Как объясняет исследователь YesWeHack, проблема возникает не в Nginx по умолчанию, а в конфигурациях, где администраторы просто склеивают несколько значений переменной длины без разделителей. Например:

$scheme$host$request_uri$http_accept

Разных запроса два, а итоговая строка может получиться одна. Так, запрос к /h с заголовком Accept: ome*/* создаёт тот же ключ, что и обычное обращение к /home с Accept: */*.

Если атакующий успеет первым положить в кеш ответ 404, пользователи вместо главной страницы будут получать ошибку до очистки записи. Получается CPDoS — отказ в обслуживании с доставкой прямо из кеша.

 

Ещё веселее становится с закрытыми разделами. В лабораторном примере страница /admin была доступна только с localhost, но злоумышленник мог обратиться к /ad и перенести оставшуюся часть имени в соседний компонент ключа. Nginx видел разрешённый путь, однако доставал из кеша содержимое админ-панели.

При совпадении нескольких условий техника позволяет столкнуть HTTP- и HTTPS-запросы и записать в кеш страницу со ссылкой на атакующий JavaScript, превратив ошибку конфигурации в stored XSS. Даже Cloudflare не всегда спасёт: заголовок Authorization может провести запрос мимо его кеша прямо к уязвимому кешу Nginx.

 

Защита выглядит до смешного просто: не склеивать значения вслепую. Между элементами ключа нужны разделители или структурное кодирование, например:

$scheme|$host|$request_uri|$http_accept

Также следует проверять Host, перенаправлять HTTP на HTTPS и не кешировать аутентифицированные запросы.

RSS: Новости на портале Anti-Malware.ru