Информационная безопасность — TechCave

Информационная безопасность — состояние сохранности информационных ресурсов и защищенности законных прав личности и общества в информационной сфере.

Информационная безопасность

Информационная безопасность — состояние сохранности информационных ресурсов и защищенности законных прав личности и общества в информационной сфере.

Информационная безопасность – это процесс обеспечения конфиденциальности, целостности и доступности информации.

  • Конфиденциальность: Обеспечение доступа к информации только авторизованным пользователям.
  • Целостность: Обеспечение достоверности и полноты информации и методов ее обработки.
  • Доступность: Обеспечение доступа к информации и связанным с ней активам авторизованных пользователей по мере необходимости.

Информационная безопасность — все аспекты, связанные с определением, достижением и поддержанием конфиденциальности, целостности, доступности, отказоустойчивости, подотчётности, аутентичности и достоверности информации или средств её обработки.

Безопасность информации — состояние защищенности данных, при котором обеспечиваются их конфиденциальность, доступность и целостность.

Безопасность информации определяется отсутствием недопустимого риска, связанного с утечкой информации по техническим каналам, несанкционированными и непреднамеренными воздействиями на данные и (или) на другие ресурсы автоматизированной информационной системы, используемые в автоматизированной системе.

Стена группы

Загрузка...
1 день назад
#

Нестареющая классика, или обзор новых векторов атак через Microsoft Office



image
Хакеры десятилетиями эксплуатируют человеческую доверчивость и невнимательность. Большинство пользователей без раздумий открывают безобидное, на первый взгляд, почтовое вложение и, сами того не зная, запускают вредоносное ПО. Чтобы защититься от подобных атак, нужно знать врага в лицо. Сегодня мы попробуем разобраться, как устроены три новые техники выполнения кода в офисных приложениях, обнаруженные в этом году, и какие способы защиты от них существуют.



Источник
Загрузка...
1 день назад
#

Почему потребители не боятся кражи персональных данных





В 1954 году математик Леонард Сэвидж опубликовал труд о том, как люди обрабатывают информацию во время принятия решений. Основная аксиома, которой оперировал Сэвидж, — sure thing principle, «принцип неизбежности». Согласно ей, в процессе принятия решения потребители рассматривают множество различных входных данных. Они мысленно оценивают и отбрасывают те данные, которые важны, но не настолько, чтобы изменить уже принятое решение.

В качестве примера Сэвидж приводил желание купить недвижимость. Потенциальный покупатель считает, что предварительное обдумывание существенно повлияет на итоговый результат. Однако, взвесив все за и против по каждому пункту, потребитель все равно собирается покупать дом. То есть если он уже решил стать обладателем той или иной собственности, рассуждения насчет релевантных факторов хоть и имеют некоторое значение, но не играют решающей роли.

Если верить принципу неизбежности, то недавняя утечка персональных данных 500 млн гостей отелей Marriott не сильно повлияет на потребительское желание забронировать номер в одной из гостиниц компании в следующий раз.

Источник
Загрузка...
1 день назад
#

Повсеместное размытие спутниковых фотографий раскрывает местонахождение секретных баз



Как заинтриговать аналитика, занимающегося спутниковыми фотографиями? Размыть их.

image

Google Earth периодически размывает фото по запросу правительства, желающего помешать любопытным взорам изучить некоторые из наиболее чувствительных военных или политических объектов. Франция, к примеру, попросила Google затенить все изображение тюрем, после того, как французский гангстер успешно
организовал побег из тюрьмы, вдохновлённый голливудом: он использовал дроны, дымовые шашки и даже украденный вертолёт – и Google
согласилась сделать это до конца 2018 года. По той же схеме старый закон в Нидерландах требует от местных компаний размывает спутниковые фотографии, на которых есть военные и королевские объекты – один раз даже компания, предоставляющая спутниковые фотографии,
подредактировала фото, на которое попала воздушная база Волкел, после того, как это фото приобрёл
Ханс Кристенсен.

Источник
Загрузка...
Den
1 день назад
#

Курс MIT «Безопасность компьютерных систем». Лекция 20: «Безопасность мобильных телефонов», часть 3



Массачусетский Технологический институт. Курс лекций #6.858. «Безопасность компьютерных систем». Николай Зельдович, Джеймс Микенс. 2014 год

Computer Systems Security — это курс о разработке и внедрении защищенных компьютерных систем. Лекции охватывают модели угроз, атаки, которые ставят под угрозу безопасность, и методы обеспечения безопасности на основе последних научных работ. Темы включают в себя безопасность операционной системы (ОС), возможности, управление потоками информации, языковую безопасность, сетевые протоколы, аппаратную защиту и безопасность в веб-приложениях.

Лекция 1: «Вступление: модели угроз»
Часть 1 /
Часть 2 /
Часть 3

Лекция 2: «Контроль хакерских атак»
Часть 1 /
Часть 2 /
Часть 3

Лекция 3: «Переполнение буфера: эксплойты и защита»
Часть 1 /
Часть 2 /
Часть 3

Лекция 4: «Разделение привилегий»
Часть 1 /
Часть 2 /
Часть 3

Лекция 5: «Откуда берутся ошибки систем безопасности»
Часть 1 /
Часть 2

Лекция 6: «Возможности»
Часть 1 /
Часть 2 /
Часть 3

Лекция 7: «Песочница Native Client»
Часть 1 /
Часть 2 /
Часть 3

Лекция 8: «Модель сетевой безопасности»
Часть 1 /
Часть 2 /
Часть 3

Лекция 9: «Безопасность Web-приложений»
Часть 1 /
Часть 2 /
Часть 3

Лекция 10: «Символьное выполнение»
Часть 1 /
Часть 2 /
Часть 3

Лекция 11: «Язык программирования Ur/Web»
Часть 1 /
Часть 2 /
Часть 3

Лекция 12: «Сетевая безопасность»
Часть 1 /
Часть 2 /
Часть 3

Лекция 13: «Сетевые протоколы»
Часть 1 /
Часть 2 /
Часть 3

Лекция 14: «SSL и HTTPS»
Часть 1 /
Часть 2 /
Часть 3

Лекция 15: «Медицинское программное обеспечение»
Часть 1 /
Часть 2 /
Часть 3

Лекция 16: «Атаки через побочный канал»
Часть 1 /
Часть 2 /
Часть 3

Лекция 17: «Аутентификация пользователя»
Часть 1 /
Часть 2 /
Часть 3

Лекция 18: «Частный просмотр интернета»
Часть 1 /
Часть 2 /
Часть 3

Лекция 19: «Анонимные сети»
Часть 1 /
Часть 2 /
Часть 3

Лекция 20: «Безопасность мобильных телефонов»
Часть 1 /
Часть 2 /
Часть 3

Источник
Загрузка...
3 дня назад
#

Конференция DEFCON 22. Эндрю «Зоз» Брукс. Не облажайся! Часть 2



Конференция DEFCON 22. Эндрю «Зоз» Брукс. Не облажайся! Часть 1

Используйте
Opsec 24 часа в день 7 дней в неделю. Вы видите скриншот из чата на Reddit с Сабу, уже после того, как он стал стукачём, в котором он советует собеседнику использовать Opsec 24/7. Так что если «друзья» захотят вас утопить, они смогут это сделать. Никогда ещё ни один федеральный стукач не говорил более правдивых слов.



Еще один случай, о котором все мы слышали. Студент Гарварда, который сообщил об угрозе взрыва во время экзаменов. Он использовал
Tor для подключения к почтовому сервису
Guerilla mail, который позволяет отправлять одноразовые почтовые сообщения.

Федералы поймали его благодаря тому, что
Tor добавляет исходный
IP отправителя в заголовок письма. Так что
Opsec в этом случае терпит неудачу. В основном такая глупость связана с инструментами конфиденциальности, с которыми вы «не дружите». Поэтому конфиденциальность должна у вас быть на завтрак, обед и ужин. Она как бекон, который всё делает лучше!

Я расскажу, как облажался этот студент. Во первых, внутренняя сеть Гарварда требует, чтобы вы зарегистрировали свой
MAC-адрес. Еще одна причина, почему
MIT лучше Гарварда — потому что мы этого не требуем. Итак, регистрация пользователя в сети привязана к его
MAC-адресу, кроме того, они ведут логи исходящего трафика. Вполне распространённый микрокосмос наблюдения. Всё это вместе создало векторы угрозы, которые позволили «достать» этого парня. Например, следователи могли увидеть, кто зашёл на сайт и скачал установщик
Tor прямо перед угрозой взрыва, или просмотреть всех, кто был привязан к известному узлу записи
Tor в то время, или кто обращался к серверам каталога
Tor.

Источник
Загрузка...
3 дня назад
#

Надежная стратегия миграции в облако в 2019 году: 7 советов



Перед вами перевод статьи Manjunath M, которая была опубликована на
Bits and Pieces. Мы предлагаем прочитать ее тем, кто уже преодолел этап подготовки к миграции и приступает к следующему шагу.

Обычно компании рассматривают разные способы переноса приложений в облачное хранилище во время оценки и планирования портфеля — на второй стадии миграции. Задумываются также над тем, какие приложения будет легче перенести и что повлечет за собой их миграция. Именно на этом этапе разработчик понимает, насколько сложны и взаимозависимы компоненты его среды разработки. С его точки зрения, многое может пойти не так.



Источник
Загрузка...
3 дня назад
#

USB-устройства — «внезапная» угроза



Новое исследование, проведенное компанией Honeywell, показало, что съемные USB-носители «внезапно» представляют угрозу, описываемую как «значительную и преднамеренную», для защиты промышленных сетей управления технологическими процессами.





В отчете сообщается, что на 44% проанализированных USB-накопителей был выявлен и заблокирован по крайней мере один файл, угрожавший безопасности.



Источник
Загрузка...
3 дня назад
#

50 оттенков токена в лабораториях тестирования на проникновение «Test lab»





Завтра в 12:00 по московскому времени будет запущена новая лаборатория тестирования на проникновение «Test lab 12», представляющая собой копию реальной корпоративной сети с присущими ей уязвимостями и ошибками конфигурации. На сайте лаборатории уже зарегистрировано 25 000 участников, среди которых ведущие специалисты в области информационной безопасности крупнейших российских и международных компаний.

Статья содержит информацию о составе новой лаборатории, примеры поиска и эксплуатации уязвимостей, а также материал для самоподготовки.

Источник
Загрузка...
4 дня назад
#

Динамическое тестирование Андроид приложений





Динамическое тестирование проводится с целью выявить уязвимости по время функционирования приложения. В данной статье хочу поделиться нескольким способамии тестирования приложения под Андроид. Также покажу как конфигурировать и настраивать оборудование. Кому интересно, добро пожаловать под кат.

Источник
Загрузка...
4 дня назад
#

PlayStation Classic взломали, теперь игры можно запускать с флешки





Фрагмент материнской платы включенной консоли

На Хабре
уже писали о PlayStation Classic, представляющую собой аппаратный эмулятор PlayStation One. К сожалению, количество игр, вшитое разработчиками приставки в ее память, ограничено 20 тайтлами. Но уже нашлись умельцы, которые убрали этот лимит и научили приставку работать с флешкой — игры можно загружать прямо с накопителя.

Оказалось, что криптографическая защита девайса слабая, так что взломать приставку оказалось несложно. Взломщики — профессионалы в сфере модификации и хака консолей, получили дамп приставки через UART-порт и стали его анализировать. Программная часть приставки защищена ключом, который, по странному совпадению, хранится не где-то, а в самой консоли.

Источник
Загрузка...
4 дня назад
#

Изучаем Adversarial Tactics, Techniques & Common Knowledge (ATT@CK). Часть 5



Часть 5. Обход защиты (Defense Evasion)

Предыдущие части:

Часть 1. Получение первоначального доступа

Часть 2. Выполнение

Часть 3. Закрепление

Часть 4. Повышение привилегий

В разделе «Обход защиты» описываются техники, с помощью которых злоумышленник может скрыть вредоносную активность и предотвратить своё обнаружение средствами защиты. Различные вариации техник из других разделов цепочки атаки, которые помогают преодолеть специфические средства защиты и превентивные меры, предпринятые защищающейся стороной, включены в техники обхода защиты. В свою очередь, техники обхода защиты применяются во всех фазах атаки.

Источник
Загрузка...
Den
4 дня назад
#

Человеческий фактор в компании: это опасно?



Изначально понятие человеческого фактора пришло в мир из военного дела и авиации — все мы знаем примеры его влияния на ход событий в мировой истории. Но всё чаще и чаще на расплывчатую формулировку «да это человеческий фактор» списывают косяки в бизнесе. Утечка данных? Человеческий фактор. Ошибка в тендере? Человеческий фактор. Упал софт у клиента на продакшене? Ну это вообще всегда человеческий фактор. Мы решили углубиться в проблему и понять, что это за явление, как оно влияет на бизнес и управление и что можно сделать для снижения влияния человеческого фактора. Ну не плыть же по течению, списывая всё на какую-то абстрактную сущность. В общем, поговорим о человеческих эксепшенах.



В каждом из них незримо живёт человеческий фактор: нельзя мини, будет декольте; нельзя рыбок, будет собака, директор вообще отморозился ну и т.д.

Источник
Загрузка...
Den
4 дня назад
#

Вебинар Group-IB «Intelligence-driven SOC и можно ли без него обойтись?»





Cпециалисты отдела мониторинга и реагирования на инциденты Group-IB, международной компании, специализирующейся на предотвращении кибератак, подготовили вебинар на тему «Intelligence-driven SOC и можно ли без него обойтись?». Вебинар начнется
18-го декабря 2018 года в 11:00 (МСК), проведет его
Александр Калинин, руководитель отдела мониторинга и реагирования на инциденты CERT-GIB.

Почему стоит присоединиться к вебинару?

На вебинаре вы узнаете, как работает с инцидентами информационной безопасности разной степени тяжести CERT-GIB — центр круглосуточного реагирования.

Мы на реальных примерах продемонстрируем:

  1. на самом ли деле нужны Intelligence системы и штат высококвалифицированных специалистов, или развитие текущих систем обеспечения безопасности уже достаточно шагнуло вперед для того, чтобы в автоматическом режиме принимать решения о критичности того или иного инцидента;

  2. общую схему работы CERT-GIB в части поддержки клиентов TDS;

  3. каких ключевых вещей может не хватать традиционному SOC.



А также разберем разберем кейсы с рассылками от MoneyTaker и Silenсe, и какую роль сыграли технологии в защите инфраструктуры клиентов.

Источник
Загрузка...
4 дня назад
#

Exploit Wednesday декабрь 2018: на тесты новых патчей времени в обрез – погнали…



Вчера, во вторник приблизительно в 22.00 по Москве Microsoft выкатил патчи от новых уязвимостей, тем самым дав старт ежемесячной гонке между администраторами по безопасности и злоумышленниками. Пока первые проверяют, не уронит ли установка обновлений критичные бизнес-сервера в синий экран, вторые дизассемблируют код обновленных библиотек и пытаются создать рабочие эксплойты для пока еще уязвимых систем.

Для любителей подробностей – короткая справка по новым уязвимостям под катом.

image

Источник
Загрузка...
5 дней назад
#

Конференция DEFCON 18. Вы потратили все эти деньги, но вас продолжают «иметь». Часть 1



Как обычно, как и в прошлом году, я не могу поверить, что люди действительно приходят на мои презентации послушать, что я рассказываю. В прошлом году это было в воскресенье, в 10 утра, я был в состоянии похмелья и думал, что никто не придёт на меня посмотреть.



Сегодня снова воскресенье, 4 часа дня, сегодня я хотел лететь домой, но, не смотря на это, я благодарю вас и действительно ценю ваше внимание, как и в прошлом году, и я чертовски люблю таких людей и DefCon.

Тема презентации – Вы потратили все эти деньги, но вас продолжают «иметь». Я провёл множество испытаний на проникновение, был во множестве стран, где занимался пентестингом, и везде боролся с разными средствами защиты типа файрволов, AWS и систем обнаружения вторжений IDS и MAC. Мы все еще даем им взбучку, и это очень плохо. Часто, когда я провожу тестирование, мой отчет превращается в сообщение об инцидентах, и хочется сказать: «эй, чувак, но ты же владелец всего этого, как можно пользоваться таким отстоем»? Этому была посвящена целая тема, но давайте я сначала расскажу, кто я такой.

Источник
Загрузка...
2 3

Авторизация

Пользователи

naikdij88
NewEXE
Георгiй Москвитинъ
Andpyxa Tutunnik
Andrey_fox
Jane linch
genagy
Pasha Radiuk
KotikBSD

Именинники

IvanNik

GeekBrains

Нетология

Нетология