Konference a přehledy
Symantec vydal svou měsíční zprávu Messagelabs Intelligence September 2010. Komentář k jejím výsledkům je obsažen v článku Mobile workers pose biggest security risk. Ocitujeme jedno zde uvedené číslo – vzdálení pracovníci spustí nějaký typ varování 5,4krát častěji než běžní pracovníci.
Obecná a firemní bezpečnost IT
Adrian Adison informuje o průběhu mezinárodní policejní konference, která se konala v nedávných dnech v Hongkongu – Cyber crime is world's most dangerous criminal threat. Počítačová kriminalita i díky anonymitě kybernetického prostoru narůstá do rozměrů, kdy se stává nejvíce nebezpečnou kriminální hrozbou, jaké bylo nutné čelit, cituje autor generálního tajemníka Interpolu (Ronald Noble). Tato skutečnost nezůstává skryta ani před teroristy.
Bruce Schneier claims that there has been a death of privacy and hits out at Facebook for ‚not protecting the victim‘ – Dan Raywood zase cituje vyjádření bezpečnostního „guru“ Bruce Schneiera na IDC bezpečnostní konferenci v Londýně: „nastala smrt soukromí a Facebook nám ukazuje, jak oběti ztráty soukromí nejsou chráněny“.
Stránky pro děti a mládež jsou intenzivně sledovány prostřednictvím cookies – On the Web, Children Face Intensive Tracking. Steve Stecklow komentuje výsledky šetření, které provedl Wall Street Journal. Nasbíraná data se prodávají… Určitě zajímavá analýza, která stojí za přečtení.
Je navrhován zákon, podle jehož znění by měly americké soudy mít právo uzavřít pirátské stránky a to kdekoliv ve světě – Bill Would Give Justice Department Power to Shutter Piracy Sites Worldwide. Uzavřeny budou prostředky doménové registrace. Je však otázkou, zda takovýto zákon má šanci v kongresu projít. Viz také komentář Dana Goodina – Bill would let feds block pirate websites worldwide.
Národy i společnosti musí být připraveny na kybernetickou válku, zaznělo to na konferenci společnosti ArcSight (Protect ´10 conference in National Harbor, Maryland) – z úst estonského odborníka – Nations, companies should prepare for cyberwar, experts say.
IETF schválilo formát pro podávání zpráv o e-kriminalitě – IETF approves e-crime reporting format. Tento formát podporuje časové značky, různé jazyky, vzorky malware atd.
Šestý díl série Miche Kabaye k bezpečnosti rozvodných sítí je věnován systémům SCADA – Increasing security of SCADA systems in power industry. Autor cituje materiály k tomuto tématu, které se začaly objevovat od roku 2002. Sedmý díl této série – A laundry list of power industry incidents to learn from – pak je věnován přehledu incidentů v rozvodných sítích. Z tohoto seznamu je třeba si vybírat vhodná poučení, říká autor.
Jak vylepšit podnikovou politiku pro bezpečnost databází, k tomu Noel Yuhanna (Forrester Research) formuluje tři hlavní zásady, kterými by se příslušná strategie měla řídit – How to refine an enterprise database security policy.
EU – bylo již odhlasováno – budou se připravovat zpřísněná opatření v boji proti internetovým pirátům – EU votes to toughen rules on Internet piracy. Text, o kterém se hlasovalo, neměl legislativní charakter, ale připravuje cestu Evropské komisi pro vydání nové legislativy.
Kolik byste měli utratit za IT bezpečnost? Podle přehledu společnosti Gartner (údaje z 1500 firem z celého světa) věnují firmy na IT bezpečnost v průměru pět procent svého rozpočtu. Číslo na jednoho zaměstnance činí 525 dolarů ročně (How much should you spend on IT security ).
Nové trendy v praní peněz popisuje Joan Godchild – Money Laundering: New trends and tips for protecting your business – a zároveň uvádí některá doporučení k ochraně podnikání.
Google odpovídá na český zákaz – Google responds to Czech ban. We never done it or nothing. Společnost Google k zákazu vydala vyhlášení, které je v článku citováno.
Jak by měl probíhat audit firewallu? V článku Preparing for a firewall audit Michael Hamelin (Tufin Technologies) popisuje jednotlivé kroky v šesti základních bodech.
Zákony vztahující se k válečným konfliktům existují, jak je rozšířit na kybernetický prostor? Tom Gjelten v první části Extending The Law Of War To Cyberspace dvoudílné série článků poukazuje na to, že neexistence zákonných a etických hranic pro státy angažující se v kybernetických konfliktech může mít neblahé důsledky. Správné odpovědi v tomto směru jsou nyní proto hledány. Druhou část série najdete na stránce
V této druhé části se autor zamýšlí nad příčinami, které vedly k současnému stavu.
Nejste příliš perfektní, abyste byl efektivní bezpečnostní manažer? Michael Santarcangelo na stránkách csoonline.com přichází s několika zkušenostmi a doporučeními z nich vycházejícími – Are you too perfect to be an effective security manager?.
Sociální sítě
Facebook je špičkovým zdrojem infekcí malware. Vyplývá to z výsledků přehledu, který zpracovala společnost Panda Security – Facebook is the top source for malware infections.
Přehled říká: rostou obavy z rizik, které pochází od zaměstnanců brouzdajících v sociálních sítích – Survey: Fear of data loss, security risks via social media sites on the upswing. V tomto článku Joan Goodchild komentuje výsledky přehledu společnosti Proofpoint.
Nasty Twitter Worm Outbreak aneb dotěrní červi na Twitteru. Informuje o nich na svém blogu Brian Krebs. Červi využívají nově nalezenou zranitelnost Twitteru. Krebs doporučuje zablokovat JavaScript. Viz také další informaci, která se týká JavaScriptu na Twitteru – Warning: Mouseover tweets security flaw is wreaking havoc on Twitter [Updated].
Software
Na stránkách Google Online Security Blog: říkají – brouzdejte bezpečně – Moving security beyond passwords. Několik doporučení (i vzhledem k aktuální situaci) zde předkládají Panayiotis Mavrommatis a Niels Provos.
Aktuálnímu problému ASP.NET aplikací je věnován článek ‚Padding Oracle‘ Crypto Attack Affects Millions of ASP.NET Apps. Nedávno nalezená cesta k útoku ohrožuje milióny aplikací, podrobně byla minulý týden rozebírána na konferenci v Argentině – ekoparty Security Conference.
Šifrovací technologie Microsoftu nejsou příliš používány – Microsoft encryption technology not widely used, according to survey. Jeremy Kirk cituje závěry přehledu, který připravila bezpečnostní firma Opswat. Podle jeho výsledků šifrování nepoužívá 90 procent počítačů. V praxi k nejčastěji používaným šifrováním patří: TrueCrypt, DigitalPersona; Sophos' Utimaco; Microsoft's BitLocker a Symantec's PGP a GuardianEdge.
Cookie, kterého se nezbavíte (The cookie that won't go away) vyvinul Samy Kamkar (proof-of-concept) a označil ho jako evercookie. Komentář Johna Leydena je zde – Über-zombie cookies give us the fear a tématu se věnuje také diskuze na Schneierově blogu – Evercookies.
Co se týká testování bezpečnosti SW, zájem je veliký, bezpečnost však zůstává nízká – Software security testing – interest is high, security is low. Článek obsahuje komentář k výsledkům přehledu State of Software Security Report: Volume 2., který připravila společnost Veracode.
Potřebujeme na našich desktopech firewally? Pokud je klient za serverem, je firewall nezbytný? V otázce se rozebírá Jon Honeyball – Do we really need a firewall on our desktops?.
Aplikace využívající kód třetí strany jsou rizikem – Applications weakened by third-party code. Jason Steer (Veracode) – ve vyvíjených aplikacích přichází 30 až 70 procent kódu odjinud a to bývá problém. Viz také další komentáře k studii společnosti Veracode:
- Over half of all apps have security holes
- Report finds that the quality of security in applications is getting progressively worse
Malware
Autoři viru Here You Have mohou být ze Španělska – “Here you have” virus authors may be based in Spain. Má se jednat o skupinu IRAQ Resistance, jejíž členové mají žít ve Španělsku. Okolnosti okolo červa Here You Have vyšetřuje FBI – FBI investigating ‚Here you have‘ worm. Tento červ „zafungoval“ zejména v Severní Americe (e-mailové systémy velkých organizací jako Disney, Proctor & Gamble and NASA). Pátrá se po tom, kdo je za zmíněným označením Iraq Resistance.
K červu Stuxnet pro systémy SCADA – byl jeho cílem iránský reaktor Bushehr? Citována je domněnka, že za jeho tvorbou stojí Izrael. Je zmíněna také informace o tom, že z neznámých důvodů bylo spuštění reaktoru (mělo proběhnout v srpnu) odloženo – SCADA worm a ‚nation state search-and-destroy weapon‘. Viz také články:
- Expert: Stuxnet was built to sabotage Iran nuclear plant (Ellen Messmer)
- Was Stuxnet built to attack Iran´s nuclear program? (Robert McMillan)
- Stuxnet Worm Could Target Iran´s Bushehr Nuclear Reactor (Stefanie Hoffman)
- Stuxnet malware is ´weapon´ out to destroy … Iran´s Bushehr nuclear plant? (Mark Clayton)
- Examining the Stuxnet worm (Zeljka Zorz)
- How to p0wn a Control System with Stuxnet (Gary McGraw)
Také Bruce Schneier se obrací k červu Stuxnet – The Stuxnet Worm. V Schneierově informaci a pak i v diskuzi je také celá řada odkazů na články, které jsou tomuto červu věnovány.
Vyděračský trojan se tváří jako instalátor známých aplikací – Trojan posing as installer wants your money. Jsou to například – DivX, µTorrent, LimeWire, Avast! Antivirus atd. Chce po uživateli odeslat SMS pro odemknutí aplikace. Stahujte proto SW ze stránek jeho tvůrce, říká v závěru své informace Zeljka Zorz.
Objevila se další rodina botů pro DDoS útoky – Avzhan. Článek Another family of DDoS bots: Avzhan obsahuje podrobný popis vlastností tohoto botnetu (blízkého botnetu IMDDoS, o kterém informace proběhly v nedávném čase).
Jiný trojan se zase tváří jako klíčová utilita k rozbití iPhone (jailbreak) – Trojan poses as skeleton key jailbreak utility. Takovýto nástroj je teprve připravován, hackeři využívají rozruch, který okolo toho panuje. Trojan krade hesla a instaluje spyware na infikovaných počítačích s Windows. Podrobnější informace jsou na stránce iPhone Jailbreaking, Greenpois0n and SHAtter Trojans.
Botnetoví operátoři přemisťují své servery z Číny do Ruska – Botnet operators shift from China to Russia. Shaun Nichols tlumočí informaci bezpečnostní firmy M86.
Viry
Microsoft nabízí bezplatně svůj antivir malému podnikání – Microsoft offers free AV to small businesses. Security Essentials lze takto používat tam, kde je méně než 10 PC.
Nový test antivirů: víte, jak se umístil ten váš? V článku na Živě najdete další výsledky testů, které sestavil Andreas Clementi.
Hackeři
Minulý týden se v Budapešti konala hackerská konference – Hackers gather in Budapest. Konferenci otevřel Bruce Schneier. Podrobněji na stránce Hacktivity (je v maďarštině). Program konference v angličtině je na stránce Hacktivity.
4chan Users Organize Surgical Strike Against MPAA – k odvetné akci pirátů. Uživatelé 4chan organizují DDoS útok proti MPAA (Motion Picture Association of America) jako odvetu za najmutí indické firmy, která prováděla obdobný útok proti Pirate Bay a jiným stránkám pro sdílení souborů.
Po útoku na MPAA, následuje útok na RIAA (Recording Industry Association of America) – 4chan to DDoS RIAA Next – Is This the Protest of the Future?. Je tento decentralizovaný protest předznamením budoucího dění? Viz také komentář – 4chan launches DDoS against entertainment industry.
Hackeři útočí na profil šéfa Interpolu na Facebooku – Hackers steal Interpol chief's Facebook identity. Ronald K Noble oznámil na konferenci v Hongkongu (Interpol Information Security Conference), že hackeři ukradli jeho identitu na Facebooku s cílem získat citlivé informace k řešeným případům. Viz také – Interpol chief has Facebook identity stolen.
Cyberattacks suspected on Defense Ministry, police agency websites – o útocích hackerů na weby japonského ministerstva obrany a Národní policejní agenturu. Hackeři, kteří stojí za útokem, mají pocházet z Číny. Útok by měl být politickým protestem proti postupům japonských úřadů ve vztahu ke konfliktu lodí ve východočínském moři.
Hardware
Intel hrozí, že obviní každého, kdo zneužije crack HDCP klíče – Intel Threatens to Sue Anyone Who Uses HDCP Crack. Míní se tím tedy, ten, kdo by produkoval HW, které umožní překonat tzv. HDCP technologii.
Zloději využívají rušičky uzamykacího signálu pro zámek auta a potom je vykrádají – Thieves jam key-fob lock signals in mystery car thefts. Informuje o tom ve svém článku John Leyden. Takovéto rušičky se dají na internetu koupit za 100 dolarů a fungují až do vzdálenosti jednoho sta metrů.
Tři cesty pro prevenci rizik spojených s využíváním USB zařízení ve vašem podniku najdete v článku Three Ways to Prevent USB Insecurity in Your Enterprise. Je zde užitečný přehled problémů, které s problematikou USB souvisí. Doporučení jsou následující:
- Šifrujte data na zařízeních
- Mějte zavedeny a používány příslušné politiky
- Chraňte se před šířením malware prostřednictvím přenosných zařízení (označte zařízení, která mohou být v podniku používána)
Bezdrát
wifite, to je crackovací nástroj pro šifrování WEP/WPA – wifite – Mass Wifi WEP/WPA Key Cracking Tool. Tento automatizovaný nástroj dokáže sledovat i více sítí. Podrobněji k nástroji na stránce – wifite.
VoIP
How to hack IP voice and video in real-time aneb jak v reálném čase hackovat IP hlasové a video přenosy (IP voice and video). Tim Greene informuje o nástroji prezentovaném na konferenci v Bostonu (Jason Ostrom, director of VIPER Lab at VoIP vendor Sipera). Proto – šifrujte!
Spam
Google chystá útok na operátory webů zveřejňující reklamy na penisové pilulky – Google mounts attack on penis-pill pushers. Žaloba se bude týkat nelicencovaných online lékáren.
Roste počet domén vypouštějících spam, které mají registraci v Rusku – Analysts see uptick in Russia-registered spam domains. Podle zjištění M86, třetina spamu za poslední měsíc přichází z domén s koncovkou ru.
Elektronické bankovnictví
Kolik stojí ukradená data k platebním kartám (např. Visa, MasterCard)? Vyhledal to a vyzkoušel Brian Krebs – I’ll Take 2 MasterCards and a Visa, Please.
UK: předplacené karty pro spotřebu el. energie v domácnostech jsou předmětem podvodů – Prepaid Electricity Meter Fraud. Jsou prodávány zfalšované karty za nízké ceny podvodníky, kteří chodí po domech a jsou oblečeni ve firemních šatech dodavatele energie.
Chaos Computer Club pokračuje s kritikou německých elektronických ID karet – CCC reveals security problems with German electronic IDs. Podle kritiky může každý na internetu (s využitím ukradeného PIN kódu) pomocí SW, který je na internetu volně dostupný, ovládat dění s kartou. Kritizována je také bezpečnost podpisů, prováděných pomocí karty.
Autentizace, hesla
Google přichází s novými cestami autentizace pro uživatele svých aplikací – Google rolls out 2-step verification for Apps users. Oznámeno to bylo na konferenci v Paříži. Uživatel bude pro tuto autentizaci muset mít něco, co zná (heslo) a něco, co má (mobil). Když uživatel vloží své heslo, bude mu mobilem zaslán verifikační kód. Viz – Moving Security beyond Passports.
Jak lacino implementovat dvoufaktorovou autentizaci, vysvětluje Johannes Ullrich – Implementing two Factor Authentication on the Cheap. Navazuje na aktuální snahu Google (zavedení dvoufaktorové autentizace pro přihlašování do Google aplikací) a vysvětluje další možnosti.
Phishing
Security: Internet Scams and Phishing: A Look Inside the Business aneb internetové podvody a phishing : pohled do vnitřku tohoto „podnikání“. Brian Prince ukazuje v slideshow některá čísla a také příklady stránek, které podvodníkům slouží k zahákování obětí.
Elektronický podpis
Objevil se trojan, který krade soukromé klíče k digitálním certifikátům Trojan stealing private key certificates. Před trojanem Infostealer.Nimkey varuje společnost Symantec.
Biometrie
Can behavioral biometrics help detect terrorists entering the U.S.? článek je věnován behaviorální biometrii. Ellen Messmer se ptá: Pomůže v boji proti teroristům?
Normy a normativní dokumenty
Pracovní skupina IETF vydala minulý týden:
A americký NIST vydal následující draft:
Různé
Přehled vychází z průběžně publikovaných novinek na Crypto – News.
