Базис в 2 раза сократил сроки проведения испытаний своих решений для ФСТЭК

Базис в 2 раза сократил сроки проведения испытаний своих решений для ФСТЭК

Базис в 2 раза сократил сроки проведения испытаний своих решений для ФСТЭК

«Базис», российский разработчик решений для организации динамической инфраструктуры, виртуальных рабочих мест и оказания облачных услуг, сократил срок прохождения испытаний ФСТЭК России с 6 до 3 месяцев.

Это стало возможным благодаря внедрению в компании инструментов безопасной разработки и активной работе специалистов вендора в Центре исследований безопасности системного ПО, созданного на базе ИСП РАН по инициативе ФСТЭК России.

Сертифицированные решения обязаны проходить испытания в связи с внесением изменений в сертифицированное ранее средство защиты информации (СЗИ) после каждого значимого обновления. Процесс проверки ФСТЭК может занимать около полугода, из-за чего выход сертифицированной версии откладывается, а вместе с этим может откладываться и получение новой функциональности продукта его заказчиком.

Выбранный командой «Базиса» подход к разработке экосистемы позволил компании выпускать новые релизы продуктов, сертифицированные и нет, с минимальной разницей во времени. В частности, решение для защиты систем виртуализации и облачных платформ Basis Virtual Security и платформа для управления виртуальными средами Basis Dynamix прошли испытания всего за три месяца.

Basis Virtual Security и Basis Dynamix ранее были сертифицированы по 4 уровню доверия на соответствие требованиям ФСТЭК к средствам виртуализации. Достижение столь высокого уровня и получение сертификата стали возможным благодаря использованию методов безопасной разработки и существующим в Basis Virtual Security средствам обеспечения информационной безопасности.

Решение «Базиса» позволяет управлять доступом к информационным системам (ИС), реализует технологию единого входа (single sign-on, SSO) в ИС, контролирует целостность средств виртуализации, обеспечивает многофакторную аутентификацию, регистрирует события безопасности и т.д. В целом, предлагаемые Basis Virtual Security инструменты реализуют подавляющее большинство технических мер защиты виртуальной среды.

Сертифицированные Basis Dynamix и Basis Virtual Security можно использовать в:

  • государственных информационных системах (ГИС) до 1 класса защищенности,
  • информационных системах персональных данных (ИСПДн) до 1 уровня защищенности,
  • автоматизированных системах управления технологическим процессом (АСУ ТП) до 1 уровня защищенности,
  • информационных системах общего пользования II класса,
  • значимых объектах критической информационной инфраструктуры (КИИ) до 1 категории значимости.

«Для того, чтобы продукт мог называться защищенным, недостаточно единожды получить сертификат – после выхода каждого обновления нужно проходить испытания на соответствие стандартам ФСТЭК, а это серьезно задерживает релиз. Команде «Базис» в сотрудничестве с ИСП РАН и НТЦ Фобос-НТ удалось выстроить вокруг продуктов такой процесс безопасной разработки и проектирования, что новый релиз может проходить испытания всего за три месяца вместо полугода. В совместных планах у нас еще большее сокращение сроков, а также дальнейшее повышение безопасности разработки: «Базис» является активным участником Центра исследования безопасности системного ПО, и проводимые работы по статическому и динамическому анализу исходных кодов регулярно приводят к выявлению и исправлению дефектов. Одним из последних успехов стало выявление уязвимости высокого уровня критичности BDU-2024-04430. Все это говорит о правильности выбранного компанией подхода к разработке и зрелости наших продуктов. Заказчики могут быть уверены, что решения «Базиса» создают безопасную основу для динамической инфраструктуры их организации», – прокомментировал Дмитрий Сорокин, технический директор компании «Базис».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Шесть популярных менеджеров паролей уязвимы к кликджекингу

На DEF CON 33 исследователь Марек Тот продемонстрировал: сразу шесть популярных менеджеров паролей с десятками миллионов пользователей уязвимы перед кликджекингом (clickjacking). Уязвимость может привести к краже логинов, паролей, кодов 2FA и даже данных банковских карт.

Суть атаки проста: злоумышленник прячет интерфейс менеджера под слой невидимых элементов (баннер, попап, «капчу»), и жертва, думая, что кликает по безобидной кнопке, запускает автозаполнение — в итоге чувствительные данные уходят напрямую к атакующему.

Под удар попали браузерные версии 1Password, Bitwarden, Enpass, iCloud Passwords, LastPass и LogMeOnce. Все они оказались уязвимы хотя бы к одному из сценариев атаки.

Тестировались также другие сервисы, но часть из них уже закрыла уязвимости: например, Dashlane и Keeper выпустили обновления ещё в июле–августе.

 

Реакция вендоров оказалась разной. В 1Password сочли баг «вне зоны ответственности», объяснив, что кликджекинг — это общий риск веба, а не проблема их продукта. LastPass тоже признал проблему, но отметил её скорее «информативный характер».

В Bitwarden признали уязвимость, но заявили, что она не критична — правда, тут же выпустили обновление 2025.8.0, которое закрывает дыру. А вот LogMeOnce вообще никак не ответила на сообщения исследователей.

По словам Тота, эксплойт можно адаптировать под любой из менеджеров, определив, какой из них работает в браузере жертвы. Чтобы снизить риски до выхода обновлений, он советует отключить автозаполнение и использовать только копипаст для ввода паролей.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru