Ресурсы по безопасности

[Olej]

Здесь я буду публиковать URL ресурсов по безопасности: форумы, сайты, подборки статей ... которые позволяют укрепить безопасность компьютерных систем от не санкционированного вторжения.
А позже, по мере знакомства с ресурсом, приписывать к ним и свои оценки и комментарии: дельное ли это содержимое, или пацанячий лепет играющих в "хакеров" (то же самое предлагаю делать и всем заинтересованным).

Если чьи-то публикации относительно мер противодействия внешним не санкционированным вторжениям будут казаться мне дельными, то прямо здесь их буду цитировать...

Большой интерес этого занятия, обзора ресурсов, состоит в том, что очень многие (большинство? ) ресурсов, пишущие слова про "Безопасность...", "Защита..." ... и другие красивые слова, на самом деле мимикрируют под эти названия ("придуриваются" - для тех кто плохо понимает русский язык) с разговорами про взлом, технику взлома, программы взлома и детали их использования. и разоблачение этой мимимкрии - это тоже есть цель вот такого исследования.

[Olej]

Защита компьютерных систем на сайте


К большому сожалению, сайт-форум посвящён, в основном, массовому Windows ... но и там можно извлечь что полезное.

Полезно хотя бы в том смысле, что необыкновенно любопытно поглядеть, до чего же не скучная и рисковая жизнь у пользователей Windows ... каждый день как у сапёра ... рванёт, или на сегодня попустит...

[Olej]

Большой интерес этого занятия, обзора ресурсов, состоит в том, что очень многие (большинство? ) ресурсов, пишущие слова про "Безопасность...", "Защита..." ... и другие красивые слова, на самом деле мимикрируют под эти названия ("придуриваются" - для тех кто плохо понимает русский язык) с разговорами про взлом, технику взлома, программы взлома и детали их использования. и разоблачение этой мимимкрии - это тоже есть цель вот такого исследования.

Вот такой форум как https://forum.antichat.ru/ ... по моему скромному предположению является примером такой мимикрии ... хоть 100 раз называй они целые разделы своих форумов как:

Безопасность и Уязвимости

Вот составлять перечень подобных придурков - это тоже предмет данной темы.

[Olej]

Несколько рекомендаций как обезопаситься от придурков ("хакеров" и подобных уродов): Безопасность при работе с компьютером 2017.

Хотя...
- и рекомендации как-то расплывчасты ... "бла-бла-бла" ...
- и неужели "Безопасность при работе с компьютером 2017" чем-то так радикально отличается от безопасности при работе с компьютером в 2016-м ... 2015-м ... 2014-м ... ... ...

[Olej]

Вот составлять перечень подобных придурков - это тоже предмет данной темы.

Вот ещё такие клоуны (не они первые, не они последние - просто для образца):

Эти клоуны на полном серьёзе заявляют о безопасности, защищённости ... но вот только оглавления некоторых разделов их форума:

Инструменты хакера
353 1.380
Биндеры I Джойнеры I Спуферы
Программы генераторы ЕХЕ | BAT | CMD | SRC
RAT I Backdoor I Trojans
Кейлогеры
Стиллеры
Downloaders I Loaders
Черви | Клонеры
Спам I Флуд
Телефония
Ddos I Dos
Крипторы
Сканеры
Кликеры
Парсеры
Чекеры
Прокси
Бруты
Фейки

Реверсинг
146 181
Инструменты крэкера
Отладчики
Мониторы и шпионы
Декомпиляторы
Документы
Криптография
PE утилиты
Упаковщики и протекторы
Распаковщики
Дополнения
Взлом паролей
.NET
Компиляторы
x64-инструменты
JAVA-инструменты

Циферки после темы - это: "тем" - "сообщений" ... и вот 2-й раздел - показатель, что всё это ... говно : 146 тем в которых 181 сообщение ... по существу то сказать не хрен...

[Olej]

Книга:

Руководство подготовки к экзамену.
Пятая редакция.
Полностью охватывает все 10 доменов курса подготовки специалистов по безопасности информационных систем.
Отлично подходит как для подготовки к экзамену CISSP, так и в качестве руководства для самостоятельного изучения предмета "Безопасность информационных технологий".
Шон Харис.
Перевод: dorlov.blogspot.com

984 стр.
Охватывает как технические (сетевые, операционные системы, ...) так и организационные аспекты противостояния придуркам!
Это должен прочитать, хотя бы бегло, любой системный администратор.
А ещё больше - руководство компании, чтобы понимать, что от системного администратора далеко не всё зависит, и натыкать этому системному администратору, чтобы тот разработал комплексную политику "защиты от придурка".


На картинке 3-е издание ... перевод - 5-е издание ... в англоязычном варианте существует 7-е издание.

[Olej]

Охватывает как технические (сетевые, операционные системы, ...) так и организационные аспекты противостояния придуркам!

Безопасность посредством неизвестности
Неправильное понимание рисков может привести к множеству различных проблем для компании и не позволит обеспечить хорошую работу безопасности. К сожалению, достаточно часто применяется такая практика, как "безопасность посредством неизвестности", которая ведет к плачевным результатам. Корень этой проблемы заключается в отсутствии понимания возможностей современных компьютерных злоумышленников, незнании инструментов, которые они имеют в своем распоряжении, а также недооценке их изобретательности. Это ведет защитников информации к серьезнейшей ошибке – они считают себя умнее своего потенциального противника. Следствием этого являются элементарные ошибки в защите, небрежности и распространение ложного чувства безопасности. Примерами таких распространенных ошибочных мнений могут быть следующие: уязвимости не могут быть использованы, если они не общеизвестны; скомпилированный код более безопасен, чем открытый исходный код; перевод HTTP-трафика на порт 8088 обеспечит достаточную защиту; алгоритмы шифрования собственной разработки остановят злоумышленника и т.п. Это лишь немногие варианты потенциально опасных мнений, возникающих вследствие использования подхода к безопасности посредством неизвестности.
Хотя всем хочется верить во врожденную доброту и порядочность своих коллег, если бы это на самом деле было бы так, у специалистов по безопасности не было бы работы.

А вот мне как-раз "верить во врожденную доброту и порядочность своих коллег" совсем даже не хочется - я слишком хорошо знаю эту IT-среду.

Хороший подход в безопасности иллюстрируется старой поговоркой: "Есть только два человека в мире, которым я верю – ты и я... но я не уверен в отношении тебя".

[Olej]

984 стр.

стр.75 :

При разработке программного обеспечения должно быть явное разделение между средой разработки, средой тестирования, библиотекой программного обеспечения и производственной средой. Программистам должна быть доступна только среда разработки, в которой они могут разрабатывать программное обеспечение и производить его предварительное тестирование. После разработки исходные тексты передаются другому человеку, который проводит контроль качества кода и тестирование его работы в отдельной среде, являющейся копией производственной среды. Только когда код прошел все необходимые тесты, он размещается в библиотеке программного обеспечения. Для внедрения в производственную среду, программное обеспечение берется только из библиотеки. Код ни в коем случае не должен попадать напрямую от программиста в производственную среду без тестирования и сохранения в библиотеке! Тестовая среда должна быть полностью отделена от производственной, чтобы непроверенное еще программное обеспечение не нанесло вреда данным и системам, находящимся в реальной работе. Программист не должен «латать» свои программы непосредственно в процессе их эксплуатации! Должны быть внедрены простые и эффективные методы, не позволяющие вносить изменения в программное обеспечение компании небезопасными способами.

И далее...

В зависимости от позиции, на которую компания ищет нового сотрудника, должен выбираться уровень фильтрации кандидатов, проводимой специалистами кадровой службы компании, чтобы найти именно того человека, который лучше всего подходит к условиям этой позиции.
...
Более детальная проверка информации о кандидате может выявить массу интересных сведений. Например, необъяснимые пробелы в трудовом стаже, различия в заявленной и фактической квалификации, судимости, штрафы за нарушение правил вождения автомобиля, искажение названий компаний-работодателей, плохая кредитная история, увольнения не по собственному желанию, нахождение в различных криминальных списках, реальные основания увольнения с предыдущих мест работы. Это дает реальную выгоду компании, т.к. является, по сути, первой линией обороны для защиты от нападения изнутри. Любая негативная информация, выявленная на данном этапе, может указывать на потенциальные проблемы, которые потенциальный сотрудник может создать для компании позднее. Например, не стоит принимать на работу в бухгалтерию или кассу человека с плохой кредитной историей.

Интересно, да?

Ротация обязанностей (rotation of duties) позволяет сохранить здоровую и продуктивную работу подразделений. Один человек не должен оставаться на одной и той же должности длительное время, т.к. в конечном итоге он может получить слишком большой контроль над отдельным сегментом бизнеса. А такой уровень контроля может стать причиной мошенничества, искажения данных, ненадлежащего использования ресурсов.
Сотрудники, работающие в критичных для компании областях, обязательно должны периодически брать отпуск (это известно как политика обязательного отпуска (mandatory vacation policy)). Во время их отпуска другие сотрудники должны исполнять их обязанности, что позволит выявить возможные ошибки и мошеннические действия.

[Olej]

984 стр.

стр. 127-131
Описание работы системы Kerberos, на примерах и безотносительно к ОС где оно применяется ... это не так легко найти.

Kerberos (Цербер) – это имя трехголовой собаки в греческой мифологии, которая охраняла вход в подземный мир.

[Olej]

984 стр.

стр. 136 :

Дискреционное управление доступом

стр. 137 :

Мандатное управление доступом

стр. 139 :

Ролевое управление доступом

стр. 146 - 152 :
Протоколы клиент-серверной аутентификации, авторизации и аудита удаленных пользователей (ААА-протоколы): RADIUS , TACACS+ , Diameter.