Obecná a firemní bezpečnost IT
V článku The Five Security ‚Musts‘ You Can't Ignore popisuje Wayne Rash pět nezbytných momentů bezpečnosti, které by měl každý zvážit. Autor říká, že to nejsou samozřejmě všechny bezpečnostní okolnosti, které je třeba brát v úvahu, ale jsou to ty, které, podle jeho soudu, hrají primární roli. Jsou to:
- Znalost vlastní sítě – jaké zde existují bezpečnostní prostředky, a to jak na straně poskytovatele internetu, tak i v rámci vlastní sítě.
- Znalost vašich uživatelů – ne všichni uživatelé jsou stejní. Je třeba např. vědět, kdo má k čemu přístup a k čemu by naopak přístup mít neměl.
- Znalost alokování vašich dat, na kterém jsou počítači. Kde jsou umístěna obchodní data, dále data citlivá z hlediska nezbytných ochran atd.
- Znalost toho, jak probíhá update vašeho softwaru.
- Konečně všichni ve vaší síti by měli být proškolení v základních otázkách bezpečnosti IT. Například – jaké e-maily neotvírat, jaká je nezbytná ochrana čísel kreditních karet atd.
Podle závěrů analytických firem musí dnes firmy čelit také rostoucímu nebezpečí od nepřítele přímo uvnitř firemní sítě – Firms face growing IT security danger from ‚enemy within‘.
Průmysl kritizuje dodavatele IT technologií za přístup k bezpečnosti – BP hits out at security standards. A to především proto, že jednotlivé aplikace nejsou (z pohledu bezpečnosti) interoperabilní. Což může vést nejen ke zbytečnému zvýšení nákladů, ale i k bezpečnostním rizikům.
Zajímavé top ten bezpečnosti spotřebitele (tedy především toho, který má málo peněz) najdete v článku Ch. Hoofnagla (ne, není to Pišta Hufnáglů) – Hoofnagle's Consumer Privacy Top 10. Poučné – i když je to orientováno na poměry v USA.
Kterým problémům v IT bezpečnosti věnují dnes média největší pozornost? Touto otázkou se zabývala RSA conference (největší konference k IT bezpečnosti ve světě a také pracovní skupina) – RSA® Conference Study Reveals Key Trends in Info Security. Podle výsledků její studie jsou nejvíce frekventovaná témata v médiích:
- 1. Data Security/Security Breaches (24%)
- 2. Malware (19%)
- 3. Identity Theft/Privacy (13%)
- 4. Legislation/Regulatory Compliance (11%)
- 5. Vulnerabilities (11%)
- 6. Network Access Control/ID Management (10%)
- 7. Best Practices (6%)
- 8. Wireless Security (4%)
- 9. Hacking (2%)
Richard Wanner (bezpečnostní profesionál) vysvětluje jednoduchá opatření, která podnikl na svém domácím počítači pro jeho ochranu před hrozbami z internetu – Protecting Your Home Computer from Internet Threats.
Byly zveřejněny prezentace z konference Black Hat Asia (17–18.října 2005 – Tokyo, Japonsko) – Presentation – Black Hat Japan 2005. Je zde celá řada zajímavých materiálů – např. k problematice rhybaření, bezpečnost bezdrátu, sítím botů, VoIP, adware a spyware, detekce rootkitů atd.
Na Amazonu najdete knihu Shona Harrise – CISSP All-in-One Exam Guide, Third Edition (All-in-One). Je to již třetí vydání knihy (září 2005), ke knize patří CD obsahující více než 500 otázek (obdobných jako jsou otázky při zkouškách) – a také elektronickou verzi knihy. Kniha pokrývá následujících deset oblastí:
- Access control systems and methodology
- Applications and systems development security
- Business continuity planning and disaster recovery planning
- Cryptography
- Law, investigation, and ethics
- Operations security
- Physical security
- Security models and architecture
- Security management practices
- Telecommunications and network security
Mimochodem – v roce 2006 má být velká poptávka po IT bezpečnostních profesionálech – IT security professionals in demand in 2006.
European project takes new approach to information security – k jednomu projektu EU (SEINIT), který slibuje bezpečné IT technologie.
Software
Tony Bradley – How Can I Protect My Microsoft Office Files? diskutuje prostředky k ochraně souborů MS Office (Word, Excel a Outlook PST soubory), tedy ty prostředky, které jsou již zabudovány v samotném Office.
Zdá se, že o tom, že je třeba se bezpečností VoIP seriózně zabývat, se již nepochybuje – Building VoIP firewalls.
To co potkává uživatele Windows, uživatele Linuxu možná teprve čeká – Hey Linux Users: No Software Is Impenetrable. Viz také – Linux – the new target for threats?
Otestujte bezpečnostní služby Microsoftu – k poslední betaverzi bezpečnostní služby Windows OneCare Live. Viz také – Windows Live Safety Center, resp. Windows Live Ideas. Komentář najdete na OneCare opened for testing.
Hardware
Zajímavý článek vyšel na Technetu (Michal Šuráň) – Šest škůdců, kteří zaručeně zničí váš počítač. Autor se zabývá pohledem na počítač, resp. jeho hardware z hlediska (rušivých) fyzikálních vlivů.
Viry a červi
Listopadovému žebříčku top ten virů vévodí Sober-Z – Sober storms November virus chart.
Rozsáhlejší zamyšlení nad počítačovými viry (počítačové viry jako umělá forma života) přináší ve své studii Eugene H. Spafford – Computer Viruses as Artificial Life. První počítačový virus se objevil již v roce 1981. My se na ně díváme především jako na bezpečnostní hrozbu. Teprve v poslední době se někteří vědci zamýšlí nad počítačovými viry z pohledu virus = replikující se organizmus. Každopádně zajímavý článek pro každého, kdo se chce s problematikou počítačových virů (včetně historie) seznámit.
O chystané čtečce RSS v IE7 se diskutuje jako o možném dalším prostředku pro šíření malware. Takovéto obavy vyslovuje také ve svém článku John E. Dunn – RSS could aid worm attacks.
Co se týká Instant Messengeru – Steep rise in IM worms, zde existuje již 62 různých červů. Dokonce v posledním měsíci – listopadu 2005 – byl zjištěn nárůst o 226 procent oproti říjnu 2005.
Hackeři
K čemu jde využít tisíce dálkově ovládaných počítačů (botů, zombie)? Některé možnosti uvádí Robert Vamosi ve svém stručném přehledu – What good are 1,000 remote-controlled PCs?:
- distribuce spamu
- útoky DoS (denial of service)
- krádeže totožnosti
- lámání hesel (passwords)
Jako ochranu počítače před armádou botů doporučuje autor instalaci dobrého firewallu (např. ZoneAlarm, resp. produkty firem McAfee a Norton). Firewall, který je obsažen ve Windows, je pouze jednosměrný a nezabezpečuje data, která opouští váš počítač bez vašeho svolení.
Hledáte mimozemšťany (projekt SETI)? Pak pozor, mohl by to být zlomyslný hacker – Scientists, be on guard … ET might be a malicious hacker. No, i taková varování existují – bezpečnost především! Takže možná je dobře, že jsme zatím žádné signály mimozemských civilizací nezachytili…
Jan Šindelář na Živě uvádí Top 10 největších hacků v historii – podle serveru DNAIndia.com.
Oproti původním předpokladům tvůrců byl Xbox 360 cracknut – v jistém smyslu – Xbox 360 hack is back – podařilo se přidat možnost ukládání MP3.
Klasifikace spyware není jednoduchou záležitostí. Svědčí o tom žaloba firmy 180solutions proti firmě ZoneLabs, která ve svém produktu (osobní firewall) označuje software firmy 180solutions jako spyware – Zone Labs sued over spyware classification.
Vyšla další část seriálu – Cracking a ochrana pred ním, 9. časť: Instantná obrana softvéru. Abstrakt: Alternatívou k náročnému programovaniu vlastnej ochrany programu môžu byť hotové prepracované riešenia. Predstavíme si niektoré z nich a pozrieme sa na princíp, ako fungujú.
Člověk – to je také jedna součást bezpečnosti IT a určitě nezanedbatelná. Jen SANS Top 20 se jí nějak nezabývalo a proto byl sepsán potřebný doplněk (David Rice) – The Human Side of Security. Přečtěte si, stojí to za to!.
A jeden z komentářů k dokumentu SANS najdete zde – New Path Of Attack.
Sony DRM rootkit, rootkity ve Windows
Ještě jeden zajímavý analytický komentář najdete na Sony BMG's Costly Silence, + další je v diskusi ke článku.
Také Mark Russinovich se vrací k problému Sony DRM rootkit – Premature Victory Declaration? (v přiložené diskusi kdosi také opublikoval seznam „infikovaných“ CD).
Ondřej Bitto na Lupě se zabývá rootkity v článku Rootkity aneb po stopách kořenů zla.
Autentizace, biometrie
S prvním notebookem s biometrií cév vstoupila na trh firma Hitachi – Hitachi points to vein recognition. Jeho označení je Lora SE210. Infračervené světlo zde skenuje tkáň na prstu a zjišťuje obrazce, které vytváří cévní systém. Viz také Notebook se čtečkou krevních cév.
Keeping a finger on security – trochu o biometrii v praxi. Mimochodem, víte, že otisky prstů se používaly jako autentizační prostředek (na hliněných tabulkách) již 150 let před naším letopočtem?
Podle výzkumu, který provedla firma Taylor Nelson Sofres PLC v USA, se více než pětina uživatelů před svátky vyhne online nákupům ze strachu z krádeže osobních údajů (ID theft, malware worry U.S. online shoppers).
Úplně bez příčiny tato situace určitě nevzniká. Z poslední doby stačí zmínit případ krádeže osobních dat u online obchodující firmy Scottrade – Major financial leak threatens stock traders.
Ty, kdo se přeci jen chtějí odvážit nakupovat online, lze odkázat na (Shopping Online for the Holidays: Twelve Tips to Protect Yourself From Cyber Grinches, Scams and Schemes) následující doporučení:
- 1. Obchoduj jen s partnerem, kterého znáš
- 2. Seznam se se všemi detaily
- 3. Vyhledej známky označující, že obchod probíhá bezpečnou cestou.
- 4. Zaplať bezpečným způsobem
- 5. Nikdy nevkládej osobní údaje do pop-up okénka.
- 6. Uchovej si doklady ke své objednávce.
- 7. Buď si vědom svých práv.
- 8. Buď podezřívavý v situacích, kdy tě někdo nečekaně kontaktuje a požaduje tvé osobní údaje.
- 9. Ověř si pečlivě podmínky na kreditní kartě a rovněž tak podmínky vydané bankou
- 10. Svůj počítač zabezpeč tak, aby byl vhodný pro bezpečný online obchod a další online aktivity.
- 11. Varuj se e-mailů, které obsahují nabídky na půjčku či kredit, a to i v situacích, kdy máš problémy s kreditem.
- 12. Okamžitě kontaktuj obchodníka, jakmile vzniknou jakékoliv problémy s objednávkou.
Obslouží nás e-shopy o Vánocích včas? – to je informace z domácí provenience.
Normy a normativní dokumenty
Tentokrát jen dva dokumenty a oba se nachází na téže adrese:IEEE P1363. Jedná se o dokumenty pracovní skupiny pro asymetrickou skupinu, jsou navrženy nové verze dvou protokolů (APKAS-AMP + APKAS-PAKZ), tak, aby bylo zabráněno objeveným možnostem útoků. Opravené verze by se po projednání měly objevit jako součást dokumentu P1363.2 (Password-Based Public Key Cryptography).
Kryptografie, kvantové počítače
O počátcích NSA si lze přečíst v studii The Quest for Cryptologic Centralization and the Establishment of NSA (United States Cryptologic History. Series V: The Early Postwar Period, Volume VI). Roky 1940–1952 popisuje Thomas L.Burns (studie má 129 stránek). I ten, kdo četl Kahna, i ten zde najde řadu zajímavých míst. (David Kahn: The Codebreakers, stránky – David Kahn – Official Website).
Nové výsledky při přípravě technologií kvantových počítačů oznamuje NIST – NIST Physicists Coax Six Atoms into Quantum ‘Cat’ State.
Různé
Právě byl schválen trestní zákoník i s naším kryptoanalytickým pozměňovacím návrhem – informuje Vlastimil Klíma na stránkách Crypto-Worldu.
Přehled vychází z průběžně publikovaných novinek na Crypto – News.
