Bezpečnostní střípky: EU - datové průniky bude třeba oznamovat

Konference a přehledy

Zpráva společnosti Pricewaterhou­seCoopers (PwC) vydaná u příležitosti konání akce Infosecurity Europe se nesla v spíše pesimistickém duchu. Téměř dvě třetiny britských podniků detekovaly v uplynulém roce pokusy o průnik. Narůstá množství dat na internetu a také počet lidí, kteří k nim přistupují – vznikají tak nové hrozby. Vážné dopady na bezpečnost přichází s využíváním sociálních sítí a výpočtů v oblacích (cloud computingu). Komentáře k této zprávě:

• Infosecurity Europe: PwC report shows bleak security landscape
• Infosec 2010: Prepare for the information security revolution, says PwC
• Infosecurity Europe: A new wave of security breaches is hitting the UK with most companies ill-prepared to deal with them
• 2010 Information Security Breaches Survey results

The top threats to government systems, and where they're coming from – USA – odkud přichází hlavní hrozby pro vládní systémy? Komentář k příslušné části zprávy Symantecu (Government Internet Security Threat Report, viz minulé Bezpečnostní střípky) zpracoval William Jackson.

Obecná a firemní bezpečnost IT

10 cest k tomu, jak se na internetu dostat k blokovanému obsahu, je uvedeno na stránce Top 10 Ways to Access Blocked Stuff on The Web. Někdy to jde …

Cvičení Cyber Defense Exercise pod patronací NSA se koná již desátým rokem a v letošním roce se ho účastní osm vojenských škol – NSA's boot camp for cyberdefense.

Jste příliš mladí a přesto chcete pracovat v IT bezpečnosti? Bill Brenner poradí cesty – How young upstarts can get their big security break in 6 steps. Obvykle mladý člověk v tomto směru narazí na požadavky typu délka praxe. Jak z toho ven? Najdete zde šest doporučení.

Jak důležitá je bezpečnost ve vztahu k různým aspektům podnikání? Tony Lock (FreeformDynamics) uvádí zajímavý diagram a rozebírá jaké z něho vyplývají závěry – Rethinking security. Just what are you trying to secure?.

Otevřený dopis adresovaný společnosti Google: chraňte lépe soukromí při zavádění nových služeb -Google's privacy afterthought. Je podepsán signatáři z deseti různých zemí.

Proč bezpečnostní profesionálové chybují? Dan Lohrmann zveřejnil k tomuto tématu celou sérii článků:

• Why Do Security Professionals Fail?
• Offer Security Options: Does the Virtual Shoe Fit?
• Problem #3 for Security Professionals: Not Enough Humble Pie
• The Customer is Clueless – Not!
• Problem 5: Are You An Insider Threat?
• Problem 6: Burned Out Yet?
• Security Career Problem 7: Perspective Stuck in a Box

Viz také:

• Are You A Security Professional?

CIA – její globální plán do roku 2015 se týká také IT bezpečnosti – CIA Unveils Five-Year Strategy Plan. CIA 2015, released this week, seeks to ensure the agency remains in step with current national security challenges, such as cyber threats. Elizabeth Montalbano v tomto článku komentuje vystoupení ředitele CIA (Leon E. Panetta) – CIA Director Leon E. Panetta Unveils Blueprint for Agency’s Future.

Datové průniky v USA jsou dražší než jinde ve světě – Data breaches in U.S. cost more. Ellen Messmer se zde vyjadřuje k srovnání, které provedl Ponemon Institute – USA versus Austrálie, Francie, Velká Británie a Německo. Viz také další komentář (Joan Goodchild) – Study: Cost of data breach in U.S. is highest world wide.

Příručku k bezpečnosti koncového bodu najdete na tomto odkazu – STRATEGIES FOR ENDPOINT SECURITY. Dvacetistránkový materiál (InfoWorld) obsahuje sérii osmi článků, které se váží k tomuto tématu. Jejich autory jsou Ellen Messmer, Mary Brandel, Johna Till Johnson, Bill Brenner a Keith Schulz.

Who needs exploits when you have social engineering? – proč hledat exploity, když máme sociální inženýrství? Bojan Zdrnja komentuje současný vývoj – nárůst falešných antivirů je jedním z příkladů. Diskutuje pak jednu podezřelou stránku na Facebooku.

Společnost Google přiznává: neanonymizuje vaši IP adresu, jak tvrdila, tj. po devíti měsících – Google backpedals on IP ‚anonymization‘ claim. Less obscure obscurity.

EU: všechny organizace brzy budou povinny oznamovat datové průniky zákazníkům a regulačním orgánům – Data breach notification law coming, says watchdog. Takováto informace k chystané evropské legislativě padla na konferenci Infosec. Podle článku se slůvko všechny vztahuje na situaci ve Velké Británii, v Evropě se to bude týkat široké škály organizací.

Kybernetická kriminalita: Evropská komise uvažuje o zřízení nového celku  – European Commission may create new cybercrime unit. Byl k tomu vydán následující dokument – Council conclusions concerning an Action Plan to implement the concerted strategy to combat cybercrime. Tento celek by měl mj. dbát v jednotlivých zemích na prosazování zákonů, které se týkají kybernetické kriminality.

10 security books for the future aneb deset knih z IT bezpečnosti pro budoucnost. Chad Perrin seznamuje s knihami, které si on chce koupit.

Symantec koupil PGP a také další bezpečnostní firmu GuardianEdge Technologies – Symantec buys encryption specialist PGP for $300M.

Děti o sobě na internetu prozradí vše a neuvědomují si důsledky, varují odborníci, Miloslav Fišer: Mladí lidé stále častěji poskytují citlivé osobní údaje do sociálních sítí a internetových fór, aniž by si uvědomovali, jaké to může mít důsledky. Chyba je především v nízké osvětě mezi dětmi i rodiči. Shodli se na tom ve čtvrtek účastníci konference evropských úřadů pro ochranu osobních údajů na Pražském hradě.

Sociální sítě

Jak obnovit své soukromí na Facebooku – How to Restore Your Privacy on Facebook, také Ryan Tate reaguje na nedávné změny politik Facebooku (ve vztahu k soukromí uživatelů). Viz také další komentáře:

• Updated: Facebook Further Reduces Your Control Over Personal Information
• Facebook shows its true face

Opravte si ve Facebooku nově nastavení týkající se vašeho soukromí – Facebook: 5 Privacy Settings You Must Tweak Now. Kristin Burnham se vyslovuje k změnám, které Facebook oznámil v posledních dnech a uvádí pět podstatných úprav.

Sociální síť Blippy si najímá bezpečnostního ředitele – Social network Blippy to hire CSO in wake of security woes. Také zde došlo ke kompromitacím, čísla platebních karet některých členů této sítě byla zveřejněna na Googlu.

Software

Ochráníte přechodem na Linux lépe své soukromí online? Adrian Kingsley-Hughes polemizuje se stanoviskem svého kolegy Jasona Perlowa – Can switching to Linux protect your online identity?

Snort 2.8.6 released – Snort vychází ve verzi 2.8.6. Tento open source systém pro prevenci a detekci průniků si v nové verzi můžete stáhnout zde – Snort 2.8.6. Viz také komentář – Intrusion detector Snort now has improved HTTP inspection.

Lansweeper : prohlédne inventář vaší sítě – Lansweeper 4.0: Network inventory tracking. Článeček obsahuje několik poznámek k této aplikaci (existuje také volně dostupná verze).

Pozor na rozšíření k prohlížeči Chrome – Chrome extensions: Potential cracks in the armor? Michael Kassner v článku rozebírá aktuální situaci.

BitTorrent a ochrana soukromí – Bluebear: Exploring Privacy Threats in BitTorrent, to je soubor několika článků, které ukazují, že to s tou ochranou soukromí není zrovna valné (anonymizéry jako Tor nepomohou).

Odborníci umí sledovat provoz na BitTorrentu v reálném čase – Researchers spy on BitTorrent users in real-time. User uploads and downloads revealed. Za 103 dnů posbírali 148 miliónů IP adres a informace o 2 miliardách stažených souborů, mnoho z nich je přitom chráněno copyrightem. Protokol, který BitTorrent používá, navíc obsahuje zranitelnosti, které mohou zneužít útočníci.

Čína chce podrobné informace o šifrování v produktech do země dodávaných – New China encryption rule could pose headaches for U.S. vendors. Týká se to 13 typů technologií (firewally, routery, chytré karty, bezpečnostní nástroje databází atd.). Dodavatelé, kteří budou chtít tyto produkty na čínském trhu prodávat, budou muset nejprve projít certifikací u čínského orgánu (China's Certi­fication and Accreditation Administration – CNCA).

Google: k jednomu útoku, který prozradil uživatelovu historii prohlížení – Google personal suggest bug exposed user web history. Zranitelnost již byla opravena. Odborníci nyní zkoumají, zda podobnou chybu nemá Bing od Microsoftu.

DNSSec: konečně bezpečné DNS, Miroslav Knotek: Službu DNS dnes používáme všichni s naprostou samozřejmostí ve všech možných internetových i intranetových službách. Málokdy si ale uvědomujeme, že vedle pohodlí, které nám to přináší, je DNS ve své současné podobě také hrozbou.
JP: Je to nesporný krok dopředu, ale není to všelék, jak ukázaly již dnes existující kritické připomínky.

Jak na rodičovskou kontrolu ve Windows 7, Roman Polášek: Svým dětem můžete na počítači zakázat hrát hry, spouštět nevhodné programy či vůbec se přihlásit v určitou dobu. Ukažme si možnosti rodičovské kontroly, kterou nabízí přímo systém Windows 7.

Malware

Britský zdravotnický systém byl infikován zlodějským malware – Update: Malware infects UK National Health Service systems. Týká se to UK National Health Service. Použit byl Quakbot.

Malware se skrývá před vyhledávači – Hiding from Anti-Malware Search Bots. Brian Krebs informuje o nových cestách a vynalézavosti tvůrců malware. Viz také komentář – Malware hides from search engines.
A také další komentář Briana Krebse  – Fake Anti-virus Peddlers Outmaneuvering Legitimate AV.

Botnet Storm znovu vstává z hrobu – Infamous Storm botnet rises from the grave. Undead penis pill spam. Dan Goodin v článku komentuje informace, které připravily bezpečnostní pozorovatelé z CA.

Při odstraňování malware – poslouží přiložený seznam – Improve malware removal routines with the help of this checklist. Erik Eckel zde informuje o možnosti využít jeho Virus & Spyware Removal Checklist (tento seznam je volně dostupný, jen se musíte zaregistrovat).

Denní realitou jsou otrávené výsledky vyhledávání – Poisoned search results: Our daily reality. Článek obsahuje komentář k vystoupení zástupců společnosti Google na akci Workshop on Large-Scale Exploits and Emergent Threats v San Jose v tomto týdnu.

Další kampaň s infikovanými pdf využívá neopravenou zranitelnost – Major malware campaign abuses unfixed PDF flaw. Počítač, kde je otevřeno infikované pdf, bude napaden variantou červa Auraax (resp. Emold) – pro Windows. Viz také komentář – PDF files spread Windows worm.

Introduction to malware analysis, zde najdete úvod do analýzy malware (video). Lenny Zeltser vás v něm seznámí se základními nástroji a jejich použitím pro analýzu malware.

Viry

Microsoft uvolnil českou verzi antivirového programu pro domácí použití, čeští uživatelé z řad domácností si mohou zdarma stáhnout nový bezpečnostní produkt Microsoft Security Essentials.

Hackeři

Přicházející hrozbou jsou útoky na integritu dat, to zaznělo na akci Infosecurity Europe (v rámci panelové debaty) – Infosecurity Europe: Data integrity attacks described as a future cyber crime threat.

Hackeři crackli stálou online kontrolu Ubisoftu – Hackers crack Ubisoft always-online DRM controls. Game on. Kontrola vyžaduje stálé připojení k internetu.

Hardware

FBI : není jednoduché nalézt usvědčující data na mobilech a herních konzolích – FBI: Finding criminal data on cell phone, game consoles is tough. Na akci 2010 Computer Forensics Show konané v New Yorku s tím vystoupil Stephen Riley (forensic examiner – FBI Computer Analysis and Response Team).

Objevil se nový USB flash disk se šifrováním a klávesnicí pro PIN – New USB stick comes with built-in PIN keypad. Je to zajímavý kousek HW, přesto – řada obdobných pokusů neodolala hackerům. Chtělo by to bezpečnostní certifikát.

Problémům s používáním USB flash disků v americké armádě je věnován článek Encryption may end flash drives' exile for good. Hrozby související se šířením virů touto cestou jsou nepříjemné.

Zabudované systémy a nebezpečí v nich číhající jsou zase předmětem komentáře v článku The evil men (can) do with embedded systems. Je věnován vystoupení Paula Asadooriana na akci v Bostonu minulý týden – Embedded Systems Hacking and My Plot To Take Over The World.

Vzdálené útoky na síťové karty, Joanna Rutkowska na svém blogu Remotely Attacking Network Cards (or why we do need VT-d and TXT) komentuje prezentaci pánů Loic Duflot a Yves-Alexis Perez – slajdy.

Spam

Scam Constellations and Spam Link Architectures, to je hezký přehled popisující architekturu používanou při vytváření spamu.

Počítače s Linuxem jsou ve zvýšené míře používány k distribuci spamu – Linux machines linked to spam. V článku jsou rozebírána následující čísla ze zprávy Symantecu: Systémy s Windows PC tvoří 90 procent trhu, s Linuxem okolo jednoho procenta trhu. Co se týká spamu – 92,65 procenta přichází z počítačů s Windows PC a 5,14 procenta s počítačů s Linuxem.

Phishing

Americké letectvo: phishingový test ukázal na problém – US Air Force phishing test transforms into a problem. Podstatná část personálu sdělila své osobní informace falešné (cvičně) webové stránce.

Elektronický podpis

Manual Verification of SSL/TLS Certificate Trust Chains using Openssl (Part 1/2), manuální verifikace řetězce důvěry vytvořeného prostřednictvím SSL/TLS certifikátu – pomocí OpenSSL. Cílem článku je postupně projít (manuálně) kroky, které obvykle provádí automaticky prohlížeč. Druhá část článku je pak na této stránce:

• Manual Verification of SSL/TLS Certificate Trust Chains using Openssl (Part 2/2)

SSL sice chrání provoz webu, ale také může být proti vám zneužito – Don't let SSL be used against you. William Jackson zde konstatuje: takto k vám může přijít malware či jiná ne zrovna přátelská data. Článek obsahuje rozhovor na toto téma s Davidem Wellsem ze společnosti Neutronome.

Různé

Přehled vychází z průběžně publikovaných novinek na Crypto – News.