Лаборатория информационной безопасности

Написание защищённого кода

Рейтинг:   / 3

Задача защиты программного кода от различных уязвимостей - очень важная проблема в современной быстро растущей индустрии IT. XSS, SQL-инъекции, переполнение буффера с последующими получением привилегий - всё это и многое другое следствия ошибок разработчиков, которые, к сожалению, совершают их с каждым днём всё больше и больше. Объясняется это просто: технологии движутся вперёд, объёмы кода сильно растут, а качество мозга людей и соответственно, написанного ими программного кода - не растёт. Или растёт, но не так быстро.

В нынешнее время очень хорошим результатом для гуру-программиста считается 1 серьёзная ошибка на 1000 строк кода. Для примера, в новомодной Windows 8 содержится 7 миллионов строк. Число критических ошибок подсчитать может 9-летний выпускник начальной школы.

Почему же ситуация столь плоха? Что надо делать, чтобы писать защищённый код и ограждаться от множества уязвимостей в собственном ПО? Об этом в сегодняшней статье, основанной на трудах ведущих разработчиков Microsoft М. Ховарда и Дж. ЛеБланка.

Подробнее: Написание защищённого кода

Техническая защита коммерческой тайны

Рейтинг:   / 3

Коммерческая тайна и проблема её защиты - очень распространённая тема дискуссий в современном бурно развивающемся IT-сообществе. Как показывает статистика по данным на 2013 год, 20% сотрудников коммерческих структур сами признаются в желании продать родную компанию, а дела по разглашению КТ раскрываются лишь на 7%, тогда как грамотность IT-директоров России отнюдь не назовёшь приемлемой. Одновременно, ценность информации, составляющей коммерческую тайну, всё растёт и растёт. 

В предыдущей статье Защита информации от утечек или снова о коммерческой тайне и бизнесе мы рассмотрели организационные вопросы защиты ценной коммерческой или просто подлежащей защите информации (ПДн, банковская тайна и т.д.) от утечек. В текущей статье рассмотрим технические аспекты, которые могут ощутимо помочь практически любой современной IT-компании, которой, что называется, есть, что скрывать.

Речь пойдёт о таких технических и интеллектуальных новшествах для защиты информационных ценностей, как DLP, SIEM, IPS / IDS - системы, а также их эффективность и аспекты применимости.

Подробнее: Техническая защита коммерческой тайны

DNS-атаки: защита бизнеса или анализ рисков DNS

Рейтинг:   / 1

DNS-атаки - старая, но всё ещё актуальная область хакерских исследований, представляющая во многих случаях серьёзную опасность сегодня практически для любого бизнеса. Учитывая, что UDP-протокол DNS почти не изменился с начала 80-ых, и разрабатывался он без какого-либо учёта безопасности, а современные IT-средства и умы хакеров значительно улучшились, проблема становится ещё актуальнее. В особенности, актуальной в контексте данной IT-угрозы становится защита бизнеса. Существующие в современном мире виды DNS-атак могут привести не только к воровству финансовой информации (как частного лица, так и компании) или коммерческой тайны, а и к воровству самих финансов, как явно и буквально (например, через подмену сетевых пакетов в системе ДБО), так и косвенно (коммерческая тайна и конкуренты). Не брать в расчёт данный тип атак, значит, совершить серьёзную ошибку в стратегическом планировании бизнеса компании.

В предыдущей статье мы рассмотрели все основные ныне существующие типы DNS-атак и угрозы, которые они в себе несут. В данной статье проведём анализ возможных рисков и способы защиты от DNS-атак.

Подробнее: DNS-атаки: защита бизнеса или анализ рисков DNS

DNS-атаки: полный обзор по схемам атак

Рейтинг:   / 26

За последние 2 года число DNS-атак в кибер-реальности увеличилось почти в 2 раза. Эта тенденция отнюдь не случайна и выводит актуальность данного типа атак на один ряд с таким гигантом, как DoS / DDoS. Что неудивительно, учитывая родственность DNS и DDoS-атак.

Вопросов в поставленной теме ещё много. И помимо очевидного (какие опасности таит в себе протокол DNS и атаки на него), на ум сразу приходит другой - более парадоксальный: почему вообще мы всё ещё используем в такой важной и неотъемлемой части сети, как DNS, ничем незащищённый открытый UDP-протокол (на котором и реализован DNS)? Над ответом можно долго гадать, но мнение большинства, как и моё личное, сводится к обыкновенной безалаберности и лени современных представителей IT. Хотя в последние годы решение проблемы борьбы с DNS-атаками начинают появляться и внедряться в практику IT-контор. Но обо всём по-порядку. Собственно, какие бывают типы DNS-атак и как можно им противостоять?

Основы протокола DNS и базовые схемы DNS-атак описаны в более ранней статье DNS-атаки: основные схемы и принципы. А в текущей мы поговорим более подробно о конкретных схемах реализации и способах защиты от атак на протокол DNS.

Подробнее: DNS-атаки: полный обзор по схемам атак

DNS-атаки: основы и принципы

Рейтинг:   / 5

Атаки на DNS–сервера (и просто DNS-атаки) - уже далеко не новый, но тем не менее отнюдь не забытый и до сих пор актуальный тип хакерских (и не только) атак, которые активно используется многими злоумышленниками и по сей день. В том числе, в части переноса процента прибыли каких-либо организаций в свой карман.

Представим себе такую ситуацию: лезет директор нашей IT-конторы на корпоративный сайт - оценить результат работы его добросовестных сотрудников, а вместо этого попадает на www.bdsm-porno.ru. Вообразили? Вот это и есть результат (всего лишь один из возможных) успешной DNS-атаки.

Рассмотрим подробнее, как реализовываются такие схемы (атак на DNS, а не достижения высот в рекламе порноиндустрии), какие ещё бывают угрозы и типы DNS-атак.

Подробнее: DNS-атаки: основы и принципы

Криптосистема с разделяемым секретом на открытом канале связи

Рейтинг:   / 1

Настоящая исследовательская работа посвящена разработке криптосистемы разделения секрета на открытом канале связи, решающей проблему эффективного (т.е. за квазилинейное время) криптостойкого (k,n)-доступа (т.е. доступа по кворуму) к информации произвольной длины в незащищённом канале связи. 

В работе предложено алгоритмическое обобщения метода Диффи-Хеллмана, решающее проблему генерации общего ключа между произвольным числом участников в незащищённом канале связи. Кроме того, предложен метод разделения секрета, работающий за квази-логарифмическое время относительно порядка поля на основе интерполяционных многочленов Лагранжа. При этом доказана криптостойкость предложенного метода. В конце работы, предложено полное описание всей криптосистемы с наглядными схемами.

Также, в работе содержится подробное описание процесса сравнительного анализа существующих методов решения поставленных задач, а также описание разработки собственных алгоритмов. Все описываемые алгоритмические свойства содержат строгие доказательства.

Подробнее: Криптосистема с разделяемым секретом на открытом канале связи