Понять очевидное: безопасность Microsoft

Посещая различные конференции по ИБ я неоднократно слышал одно и то же утверждение представителей Microsoft о том, что ОС Windows Vista куда более безопаснее, чем Linux, а MS SQL Server 2005 чем любая другая СУБД. В качестве аргумента приводилась статистика по опубликованным уязвимостям соответственно для Windows/Linux и SQL Server 2005/Oracle.

Не смог удержаться, чтобы не пооспаривать подобные утверждения. Вот аргументы:

1. неверно сравнивать ПО с открытым и закрытым кодом. По-моему очевидно: насколько хорошо сделан ремонт в квартире значительно проще понять просто зайдя туда, вместо того, чтобы пытаться догадаться об этом через закрытую дверь;
2. все-таки суждения о безопасности ПО необходимо строить в отношении к количеству инсталляций. Тут приходит на ум хорошая аналогия с криптографией: правильным считается выбирать проверенные временем решения, а не только что придуманные новинки; к тому же это подтверждается, например, в отчетах Symantec: Windows Vista Network Attack Surface Analysis и Security Implications of Windows Vista . Пользователи логично опасаются ставить новинки, что замедляет исследования в области безопасности (неуловимый Джо потому и неуловим, что он никому не нужен).
3. (совсем странное умозаключение) если исходить из того, что количество уязвимостей конечно, то чем больше их обнаружили, тем меньше их осталось. Понятно, что можно возразить, типа, каждый фикс приносит новые проблемы, и что это утверждение работает только в случае, если ПО не развивается (т.е. в нем не появляются новые функции вообще). Но я здесь имею в виду как раз то, что называется "зрелостью" ПО, то, к чему уже более неприменимо понятие "сырое".

В заключение, уважаемые читатели, если вы согласны хотя бы с одной мыслью изложенной в этом посте, имейте ее в виду, прослушивая пламенные речи о совершенстве всего нового, доселе неисследованного, поскольку в такой области как безопасность только время покажет что безопаснее, никакие косвенные, специально подобранные факты здесь не помогут. Обращайте внимание на факты практических внедрений тех или иных решений, ибо умные люди совершенно законно утверждают, что теория похожа на практику только на теории.

Attackers Hide In Fast Flux

http://www.forbes.com/technology/2007/07/17/symantec-security-bot-tech-cx_0717darkreading.html

Что дать интегратору.

Совершенно спонтанно, без какой бы то ни было подготовки, проведен дружественный "аудит" внутренней ИС одного из интеграторов. Сеть простояла не долго. Но плохо не это. Плохо то, что в сети не соблюдаются элементарные правила, уже много лет прописанные во всевозможных инструкциях, статьях и рекомендациях и продаваемые заказчикам в каждом проекте.
Вот немного недостатков обнаруженных при беглом осмотре:
- Сложность паролей не контролируется;
- Ограничений на срок действия паролей нет;
- Сертификаты, генерируемые для удаленного доступа пользователей через vpn, лежат на одном из серверов сети и не защищены паролями;
- Тестовые пользователи с простыми паролями и членством в административной группе;
- Аудит работы сети не ведется и нарушение безопасности не обнаружено (это при том, что в данной ИС хранится море информации о сетях клиентов);
- Тестовые сервера находятся в рабочем домене.
После этого Вы еще считаете, что Заказчики должны слепо доверять защиту своих сетей Интеграторам? Даже если Заказчик может исправить ошибки "недовнедрения" своими силами, то что делать с информацией о проекте и сети заказчика, которая оседает в ИС исполнителя и как проконтролировать доступ к ней?
Конечно, можно сказать, что не у всех все так плохо, но это будет только словами. Пока сети 2-х интеграторов (этот был не первым) сдались без боя.

On Fighting Spam

SPAM is an economic problem, not a technical one. And this lawsiut could be one of the first steps to solve the problem, if it succeeds:

Some of the worst spammers in the United States could be in for a rude surprise shortly, as Unspam Technologies has taken the first steps in tracking them down, with help from the ISPs.

The company filed a lawsuit yesterday in the Eastern District of Virginia seeking the identities of spammers under the U.S. CAN-SPAM Act and the state of Virginia’s own anti-spam statue. The suit seeks damages that could potentially reach $1 billion, but Unspam said it would be happy with driving spammers out of business.

http://www.internetnews.com/security/article.php/3674731

Куда поставить интегратора.

На семинаре группы RISSPA прозвучал доклад "Управление отношениями с поставщиками услуг. Взгляд с обеих сторон – заказчика и консультанта" Алексея Пастоева. Нельзя сказать, что Алексей выдумал что-то новое, но, пожалуй, он один из не многих заговорил о том, что постоянно обсуждается в курилках и о чем вслух стараются не говорить.
Забавно, что на форуме той же RISSPA участники семинара просят удалить этот провокационный доклад.
Все было замечательно, кроме определения компаний группы BIG4 как компаний de facto работающих хорошо.
Мое мнение - интегратор в принципе не может качественно (то есть на 100%, а не на 90%) реализовать проект, так как его доход напрямую зависит от времени потраченного на реализацию задания. Как выход мне видится изменение позиционирования интеграторов - они не должны заниматься проектированием и реализацией проекта самостоятельно. Этим должны заниматься представители заказчика, а интегратор может помочь им, используя свою базу старых проектов. То есть роль интегратора сводится к "черновой" работе, вроде предоставления шаблонов, монтирования оборудования и установки программного обеспечения. А сложную работу, качество исполнения которой сильно влияет на успешность реализации всего проекта, берет на себя заказчик. Конечно, на стороне заказчика должны появиться специалисты соответствующего уровня, ну это уже другая тема. Речь не идет о проектах, затеянных ради галочки или повышения уровня благосостояния представителей заказчика.
Как альтернатива были рассмотрены некие "консультанты". Но я не совсем понял мнение выступающего, потому не вижу предмета обсуждения.

Два слова о Студии Артемия Лебедева

Вообще, по долгу службы я не занимаюсь выбором подрядчиков для создания очередного сайта Компании на которую я работаю, мой удел - информационная безопасность. Поскольку корпоративный сайт - лицо компании, а лицо хочется доверять ответственному визажисту, не могу не поделиться своими мыслями относительно вот этого:

что в настоящее время можно лицезреть здесь.

Я привык считать, что безопасность - это не только следствие безупречного выполнения технического решения, а комплекс множества факторов, одним из которых является ответственность подрядчика. Кто-то умный сказал, что за деньги можно купить профессионализм, но нельзя купить ответственность, что я понимаю буквально - решение, выполненное безответственно не будет безопасным.

Но дело не только в безопасности, будучи ответственным за выбор подрядчика и абсолютно не разбираясь ни в чем, после подобного CV я все равно бы не выбрал Студию хотя бы по следующим умозаключениям:

1. Ловкое владение "народным" языком и попытки этим выразить свою индивидуальность/уникальность/единственность не должно доказывать или показывать преимущество, напротив, это свидетельствует о слабости (ну в крайнем случае должно настораживать). Многие подростки курят и ругаются матом для того, чтобы возвысить себя в чьем-либо лице, возможно это даже работает, но лично мне, такой подход к самоутверждению смешон (особенно сейчас, когда я уже давно не подросток). По этой же причине мне смешны субъекты, которые думают, что такие методы работают. Студия в данном вопросе подобна подросткам, которых я упоминал выше.

2. Этика, в частности, деловая, - это не только правила приличия, но еще и элемент уважения. Лично я бы не стал работать с подрядчиком, который не уважает меня, как заказчика, кто "в гробу видали все корпоративные ценности вместе взятые" и пр. На мой взгляд такой подход к организации сервиса является одной из причин "советского сервиса" (если кто-то не понял, о чем я говорю - рекомендую посмотреть мультфильм для детей 1988-ого года "Если был бы я моим папой", выпуск 1, где действия происходят в продуктовом магазине).

3. О профессионализме позвольте судить профессионалам. Вы верите рекламе? Когда производитель рассказывает на вид правдоподобные вещи о своем товаре, подчеркивая его уникальность и абсолютную необходимость именно вам. Подумайте о таком CV вашего подрядчика с этой стороны.

Outsourcing: The Nature's Way

A story from CBC Radio Quirks&Quarks program about the giant clam (Calyptogena magnifica) that practically outsources the energy production function to a bacteria.

It seems the bacteria produce all of the nutrients the clam needs to survive in this inhospitable environment. The clams, in turn, give the bacteria a safe place to live and a constant supply of sulphur, which they need in order to produce their own energy supply.

http://www.cbc.ca/quirks/archives/06-07/feb24.html#2