Архив категории 'Интернет'
Опубликовано: 26 декабря 2015 года
Все более популярными в сфере корпоративных информационных технологий становятся облака, вместе с этим меняются и потребности в обеспечении безопасности данных. Вслед за облачными сервисами для бизнеса появились облачные сервисы для информационной безопасности, или безопасность как услуга.
Безопасность из облака для облака
Безопасность как услуга, или Security as a Service (SecaaS) — это бизнес-модель, в которой сервис-провайдер услуг безопасности интегрирует свои сервисы в корпоративную инфраструктуру заказчика. При этом совокупная стоимость владения для компании снижается за счет облачной архитектуры решений, оплаты сервисов по подписке и отсутствия капитальных затрат для заказчика.
Методика расчета TCO для SecaaS и сравнения с традиционными (on-premise) решениями достойна отдельной будущей статьи, но уже в самом определении заложена экономическая целесообразность SecaaS. Но только ли низким TCO, обеспечиваемым за счет многопользовательской архитектуры и масштабности, может заинтересовать SecaaS потенциального заказчика?
Некоторые категории SecaaS уже привычны — антивирусная и антиспам-фильтрация электронной почты в облаке, сервисы по защите от DDoS-атак. Все больше подсистем безопасности уходят в облако, так как это позволяет защищать данные в новых ИТ-системах и приспосабливаться к быстро меняющейся ИТ-инфраструктуре.
SecaaS-решения, базирующиеся на облачных технологиях, в отличие от традиционных средств защиты (on-premise), архитектурно лучше подходят для защиты данных в новой ИТ-инфраструктуре, к которой относятся:
- Мобильные сотрудники с ноутбуками, смартфонами и планшетами. Пример — традиционные средства контроля веб-доступа и URL-фильтрации, устанавливаемые внутри периметра компании, не способны защищать доступ удаленных сотрудников с их разнообразных устройств. SaaS-решение для веб-фильтрации, использующее ближайший к пользователю сервер фильтрации и агентов на ноутбуках и мобильных устройствах, решает эту задачу.
- Увеличивающийся набор SaaS-бизнес-приложений. Пока традиционные вендоры адаптировались к облачным бизнес- и консьюмерским приложениям, появился целый класс решений SaaS IDM и Access Management для управления учетными записями в SaaS-системах.
- Динамичная и масштабируемая инфраструктура веб-приложений. Пример: традиционный «коробочный» Web Application Firewall, устанавливаемый внутри периметра, не сможет защитить веб-приложение, динамически развернутое в нескольких дата-центрах. Невозможно перенести уже купленный «железный» WAF в облако Amazon или Azure. Нельзя настроить «коробочный» WAF на работу с несколькими резервными дата-центрами для обработки трафика одного веб-приложения — если, конечно, компания не приобретет несколько «коробок», что непременно увеличит TCO. Облачный Web Application Firewall, предоставляемый по SaaS-модели, способен экономически эффективно справиться с задачей защиты веб-приложений в современных инфраструктурах.
- Облачные серверы, инфраструктура как сервис (IaaS), гибридные облака. Для примера возьмем базовые подсистемы безопасности — межсетевое экранирование и обнаружение вторжений. В традиционной корпоративной инфраструктуре эти подсистемы безопасности реализуются на аппаратных платформах. Но для серверов в публичной или гибридной IaaS-инфраструктуре необходимы более гибкие решения — так на сцену вышли host-based средства сетевой безопасности. Наибольшую ценность и удобство управления предоставляют SecaaS-решения, которые интегрируются с интерфейсами управления IaaS-платформы.
Читать запись полностью »
Опубликовано: 24 декабря 2015 года
10 декабря 2015 года в Сыктывкарском гуманитарно-педагогическом колледже им. И.А. Куратова состоялось открытие и пленарное заседание в рамках I межрегиональной научно-практической конференции «ИНФОКОМИТЕХ-2015».
В начале пленарного заседания с приветственным словом выступил директор СГПК Дмитрий Беляев, который поприветствовал всех участников и гостей конференции, а также проинформировал, что в 2015 году колледж существенно нарастил информационно-технологические ресурсы (в частности, в несколько раз расширил каналы связи, в том числе Интернет) и будет продолжать это делать в будущем.
Читать запись полностью »
Опубликовано: 8 декабря 2015 года
Минкомсвязи и Институт развития интернета вошли в число учредителей КЦ — регулятора доменных зон .Ru и .РФ. Это усилит роль государства в управлении доменными зонами, считают эксперты.
Новые учредители КЦ
Число учредителей Координационного центра национального домена сети интернет (КЦ) увеличилось с четырех до шести.
Как было объявлено во время заседания совета, в число учредителей вошли Минкомсвязи (от лица государства) и Институт развития интернета.
Координационный центр (КЦ) — некоммерческая организация, созданная в начале 2000-х годов. КЦ является регулятором доменных зон .RU и .РФ, а также .SU.
Учредителями КЦ изначально выступали четыре общественные организации: Российский научно-исследовательский институт развития общественных связей (РосНИИРос, был предшественником КЦ в вопросе управления зоны .Ru), Союз операторов интернета, Ассоциация документальной электросвязи и региональная общественная организация «Центр интернет-технологий» (РОЦИТ).
Де-факто в последние годы учредители не вмешивались в работу КЦ. Организацией управлял совет, который, в том числе, выбирал директора КЦ и новых членов совета. С 2009 г. директором КЦ трижды избирался Андрей Колесников.
Учредители взяли КЦ под контроль
Однако летом 2015 г. учредители КЦ неожиданно воспользовались изменениями в законодательстве и изменили устав организации, передав полномочия избрания директора и членов совета собранию учредителей КЦ.
Андрей Колесников сначала назвал такие действия незаконными, но затем согласился уйти в отставку. Новым директором КЦ был избран бывший PR-директор крупнейшего доменного регистратора Ru-Center Андрей Воробьев (он также является PR-директором ИРИ).
Между тем, в совет КЦ традиционно входил представитель государства (в лице представителя Минкомсвязи). Соответственно, встал вопрос о защите интересов государства в новой структуре управления КЦ. С этой целью Минкомсвязи и было введено в состав учредителей.
ИРИ — также дружественная государству структура. Она создана государственным Фондом развития интернет-инициатив (ФРИИ), РОЦИТ, Российской ассоциацией электронных коммуникаций (РАЭК), Медиа-коммуникационным союзом и отдельными интернет-предпринимателями.
Кстати, ИРИ пишет Программу долгосрочного развития интернета, которая, как ожидается, будет представлена Президенту Владимиру Путину.
Читать запись полностью »
Опубликовано: 10 октября 2015 года
На сайтах федеральных, региональных и муниципальных органов власти, где граждане получают услуги в электронном виде, появятся единая система поиска и единый каталог. Создание единой поисково-навигационной системы «Госбар» обойдется в 7 млн рублей.
Заказчик системы — АО «РТ Лабс», 100-процентная «дочка» «Ростелекома», — обнародовал документы о закупке у единственного поставщика, это петербургское ООО «Нетрика», создатель портала Минкомсвязи и ряда региональных сайтов Санкт-Петербурга.
Система должна предоставлять возможности быстрой навигации по сайтам государственных ведомств (будет их каталог), поиска по сайтам ведомств, осуществлять мониторинг их доступности. Кроме того, система будет собирать статистику о пользователях.
Чуть позже, по словам источника, знакомого с планами по разработке, в «Госбар» интегрируют сервисы портала госуслуг. Это позволит находить нужные электронные услуги, используя навигационную панель любого сайта органа власти.
«Интерфейс должен быть реализован как веб-приложение, используемое… через веб-браузеры Google Chrome, Mozilla FireFox, Opera, Apple Safari версий, официально поддерживаемых производителями, и через веб-браузер Internet Explorer версии 9 и выше», — говорится в техническом задании на «Госбар».
— Идея — дать для [сайтов] федеральных органов власти сквозной элемент навигации, — рассказал экс-советник министра связи Дмитрий Сатин.
По словам Сатина, ему известны примеры, когда пользователи искали через поисковую систему информацию — например «сломанные лифты ЖКХ». И попадали на сайт министерства, у которого в документации фигурировали слова ЖКХ, но само госведомство этими вопросами не занималось. Новая система позволит людям в такой ситуации найти нужную информацию и ответственный госорган.
Источник, близкий к Минкомсвязи, сообщил, что создание такой системы давно планировалось и даже было реализовано на новом портале министерства. Однако перед запуском решили убрать с него возможность искать информацию на сайтах других госорганов.
Также похожая «панелька» — без урезания функций — была размещена на сайте общероссийской базы вакансий «Работа в России» (TrudVsem.ru), созданном Федеральной службой по труду и занятости. Правда, эта поисковая система сделана на базе «Яндекса», а «Госбар», согласно техзаданию, будет работать со «Спутником» (поисковой системой, принадлежащей «Ростелекому»).
Для реализации проекта «Госбар», отмечает источник, близкий к Минкомсвязи, потребуется внести изменения в закон «Об обеспечении доступа к информации о деятельности государственных органов и органов местного самоуправления» и в постановление правительства России «Об обеспечении доступа к информации о деятельности правительства Российской Федерации и федеральных органов исполнительной власти».
Читать запись полностью »
Опубликовано: 29 августа 2015 года
Специалисты по безопасности после нескольких попыток сумели взломать холодильник Samsung и выманить у него учетные данные от аккаунта Gmail.
Холодильник модели RF28HMELBSR сильно сопротивлялся, но шансов у него было мало, ведь компания-производитель не позаботилась о правильной проверке сертификата SSL при установке защищенного соединения с сервером Google.
Взлом холодильника осуществлен хакерами из компании Pen Test Partners во время пентестерского конкурса на конференции Defcon.
Подключенный к интернету холодильник авторизуется на сайте Google Calendar, чтобы показывать хозяину информацию о текущих делах на встроенном экране. Бытовой прибор работает точно так же, как любое другое устройство с установленной программой для Google Calendar.
Хотя в холодильнике реализована поддержка SSL, но проверка сертификата де-факто не осуществляется, что делает возможным проведение атаки MiTM.
Устройство подключается к сети по Wi-Fi, так что теоретически провести атаку можно из-за пределов квартиры, от соседей или с улицы.
Читать запись полностью »
Опубликовано: 27 августа 2015 года
Первый зампред комитета Госдумы по информационное политике, информационным технологиями и связи Вадим Деньгин направил в силовые и правоохранительные ведомства, Министерство связи и массовых коммуникаций депутатский запрос, в котором призвал внимательнее отнестись к явлению троллинга в интернете и инициировать разработку специального программного обеспечения, способного в автоматическом режиме отслеживать интернет-троллей.
По мнению парламентария, если деятельность подобных интернет-пользователей заканчивается преступлениями в реальной жизни, то их необходимо вычислять и противодействовать им.
Недавно подобная программа была создана исследователями из Стэнфордского и Корнелльского университетов. Ученым удалось добиться 79-процентной точности в определении троллей по их первым пяти комментариям.
Интернет-троллинг зародился, когда у пользователей интернета появилась возможность оставлять анонимные комментарии под постами или статьями других участников Сети.
В научной литературе термин впервые появился в 1996 году. За более чем 20-летнюю историю феномена появились как объединения троллей, так и способы противостояния их активности.
Помимо гигабайтов бессмысленных споров, тролли в той или иной мере стали виновниками множества эксцессов — от смешных до трагических.
Например, недавно актриса из «Американской семейки» Ариэль Винтер решила уменьшить грудь с шестого до четвертого размер из-за интернет-троллей, а СМИ нередко сообщают о случаях попыток детского суицида из-за унижений в социальных сетях. Однако проблема троллинга в Сети имеет и более серьезные последствия — по информации МВД, в России в первом полугодии 2015 года выросло число экстремистских преступлений из-за интернет-троллей, которые повышали градус ненависти у пользователей Сети.
— На нынешнее положение дел в этом аспекте необходимо обратить пристальное внимание. Конечно, иностранные разработки, может быть, и хороши, но при использовании иностранного программного обеспечения всегда существует опасность, что оно может следить за тобой и полностью передавать пользовательскую информацию, — поясняет депутат необходимость создания собственного алгоритма для определения троллей в Сети.
Инициативу народного избранника поддержали его коллеги по думскому комитету и из других партий. Представитель «Справедливой России», а также первый зампред комитет ГД по информполитике Андрей Туманов, обычно негативно относящийся к ограничительным мерам в интернете, заявил «Известиям», что одной из причин распространения троллинга считает возможность анонимного комментирования, которую, по его мнению, уважающие себя ресурсы и вовсе не должны допускать.
Читать запись полностью »
Опубликовано: 25 августа 2015 года
В России может появиться сайт государственных услуг для юридических лиц, через который компании и предприниматели смогут получать уведомления от государственных органов.
Такое предложение включено в доклад Института развития Интернета (ИРИ) президенту Владимиру Путину о развитии интернета в России. Об этом рассказал председатель правления ИРИ Герман Клименко.
— Нужен сайт с сервисами по уведомлению о налогах, по задолженности, по проверкам… Вообще сервис для получения любых уведомлений от госорганов, — говорит Клименко. — Мне бы хотелось, чтобы государство все свои пожелания ко мне как к юрлицу скидывало не в почтовый ящик, а официально складывало в специальный ящик на госуслугах. Надо начать переход к нормальному электронному документообороту.
Клименко напомнил, что сейчас в России активно работает сайт госуслуг для физлиц. В процессе его создания «Ростелеком», который занимается развитием портала, получил большой опыт и теперь может сделать аналог для юрлиц.
— Доступ на сайт для юрлиц можно сделать платным. На этом «Ростелеком» смог бы зарабатывать, — добавил Клименко. — Нам нужно фиксированное «виртуальное место», где государство коммуницировало бы с юрлицом. Это снимет массу проблем, сэкономит много денег и бумаги. Налоговики, пожарные, СЭСы, когда собираются к тебе приходить, шлют бумажные письма. Они не всегда доходят вовремя.
По словам бывшего замминистра связи и массовых коммуникаций, главы Фонда развития электронной демократии Ильи Массуха, когда существующий сайт госуслуг запускали в 2009 году, там была отдельная вкладка для юрлиц.
— Сейчас на сайте также есть раздел для юрлиц, но сделать отдельный сайт для них было бы правильно. Так, например, реализовано в Америке и Сингапуре, — отмечает Массух.
Руководитель аудиторско-консалтинговой компании «АИП» Сергей Елин рассказал, что сейчас сайт госуслуг направлен в основном на работу с физлицами. Многие компании и не догадываются, что на нем есть раздел для юрлиц.
Было бы удобнее, если бы всё было на отдельном сайте. Хочется, чтобы на сайте появились услуги лицензирования, чтобы там можно было оформить разрешительную документацию, чтобы можно было проводить сертификацию и многое другое, резюмирует Елин.
Читать запись полностью »
Опубликовано: 16 июня 2015 года
Заключение ООО «ЯНДЕКС» на проект Федерального закона № 804132-6 «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации» и отдельные законодательные акты Российской Федерации» (далее — Законопроект)
Согласно пояснительной записке к Законопроекту, он разработан в целях создания механизма, ограничивающего распространение в информационно-телекоммуникационной сети Интернет ссылок на информацию о гражданине, которая является недостоверной, неактуальной или распространяемой с нарушением законодательства.
Законопроект, однако, содержит в себе явные противоречия с действующим законодательством, включая Конституцию Российской Федерации, а также противоречия со сложившейся судебной практикой, поскольку необоснованно и непропорционально ограничивает права граждан на поиск и доступ к информации, а также возлагает на коммерческие организации несвойственные им функции правоприменительных органов.
Кроме того, Законопроект не учитывает технических особенностей распространения информации в сети Интернет и особенностей функционирования поисковых систем.
1. Законопроект нарушает конституционное право граждан на поиск и получение информации. Если Законопроект будет принят, поиск большого массива общественно значимой, а также достоверной информации будет затруднен.
Согласно общепризнанным принципам и нормам международного права и в соответствии с Конституцией Российской Федерации каждому в Российской Федерации гарантируется свобода мысли и слова, право свободно искать, получать, передавать, производить и распространять информацию любым законным способом (ст. 29 Конституции Российской Федерации). Федеральный закон «Об информации, информационных технологиях и информатизации» также предусматривает право граждан на поиск и получение любой информации в любых формах и из любых источников (ст. 8 закона).
Согласно ст. 55 Конституции Российской Федерации в Российской Федерации не должны издаваться законы, отменяющие или умаляющие права и свободы человека и гражданина. Права и свободы человека и гражданина могут быть ограничены федеральным законом только в той мере, в какой это необходимо в целях защиты основ конституционного строя, нравственности, здоровья, прав и законных интересов других лиц, обеспечения обороны страны и безопасности государства.
Аналогичные выводы содержатся в решениях Европейского суда по правам человека, юрисдикция которого распространяется на Российскую Федерацию (решение суда в делах Лингенс (Lingens) против Австрии, Кастеллс (Castells) против Испании).
Цели, поставленные авторами Законопроекта, не позволяют обосновать ограничение прав и свобод человека и гражданина, гарантированных Конституцией РФ, в той степени, в которой это предусмотрено Законопроектом. В вводимых Законопроектом ограничениях присутствует явный дисбаланс между частными и общественными интересами. Необходимость поиска и получения информации во многих случаях обоснована общественным интересом поиска и доступа к информации о деятельности лиц, которые играют важную роль в публичной жизни.
Читать запись полностью »
Опубликовано: 12 июня 2015 года
По данным ntldstats.com, число имен, зарегистрированных в новых общих доменах верхнего уровня, превысило 6 миллионов.
Как сообщили в «Координационном центре национального домена сети интернет», достижение примечательно не только круглой цифрой, но и тем, что новые домены смогли собрать миллион регистраций всего за последние два месяца — рубеж в 5 млн имен был преодолен в начале апреля 2015 года. Для сравнения, количество регистраций в самом известном и популярном домене мира .COM за те же последние два месяца увеличилось на менее чем 300 тыс. имен.
Однако следует учитывать тот факт, что операторы новых доменов активно наращивают число регистраций, прибегая к проверенной тактике бесплатных раздач имен либо снижая цены регистрации.
Так, порядка 200 тыс. имен зарегистрированы за последние месяцы в домене .SCIENCE, управляемом компанией Famous Four Media. Однако не менее 50 тыс. из них были розданы бесплатно по случаю старта домена. Затем в рамках промо-акции была установлена цена годовой регистрации в размере $0,49.
Еще 225 тыс. регистраций принесли на двоих домены .PARTY и .WEBCAM, также управляемые Famous Four Media и осуществляющие ту же политику в отношении регистраций, отметили в «Координационном центре».
Известный своими бесплатными раздачами имен домен .XYZ провел очередную маркетинговую акцию на азиатских рынках — пользователи могли зарегистрировать имена по цене не дороже $2 за год. По оценкам аналитиков, акция принесла домену порядка 75 тыс. новых регистраций.
Таким образом, хотя многие новые домены уже отмечают свои первые годовщины, судить о реальной их востребованности на рынке пока рано, полагают в «Координационном центре доменов RU/РФ». Тем более что и процесс сокращения числа регистраций по мере приближения необходимости их продлевать также набирает силу.
Например, в домене .GURU в начале апреля насчитывалось порядка 83 тыс. имен. Однако с наступлением срока продления регистраций число их начало неуклонно сокращаться и сегодня составляет лишь 68 тыс.
Опрос ICANN
Кстати, недавно ICANN провела опрос с целью выяснить, знают ли пользователи Интернета о новых доменах верхнего уровня.
Всего было опрошено более 6000 человек, которые представляли 24 государства и 18 языков. Оказалось, что 46% респондентов знали о программе запуска новых доменов верхнего уровня.
Читать запись полностью »
Опубликовано: 12 июня 2015 года
В настоящее время в сети интернет довольно часто можно встретить аббревиатуру DNSSEC, когда речь идёт об использовании современных технологий обеспечения сетевой безопасности.
DNSSEC (Domain Name System Security Extensions) — это расширение протокола DNS (Domain Name System), обеспечивающее безопасность информации, предоставляемой средствами DNS в IP-сетях (в сети Интернет).
Фактически применение протокола DNSSEC позволяет подписывать адресную информацию цифровой подписью: администратор доменной зоны подписывает записи о соответствии доменных имён и IP-адресов в своей зоне, а потребитель адресной информации получает возможность проверить достоверность подписи.
Использование DNSSEC позволяет избавиться от ключевых уязвимостей в адресной системе DNS и снизить риск так называемых «подмен адреса», от которых могут пострадать пользователи интернета.
Целесообразность внедрения и использования технологии DNSSEC определяется, в первую очередь, стоимостью рисков от перенаправления конечных пользователей на сервера злоумышленников. Это могут быть финансовые потери, получение искаженной информации и другие негативные последствия.
Решение о внедрении и использовании DNSSEC должно приниматься после всесторонней оценки рисков от подмены информации на сервере, к которому адресуется пользователь. При принятии решения нужно так же учитывать, что использование технологии DNSSEC потребует затрат на обеспечение механизма генерации и надёжного хранения ключей электронно-цифровой подписи, обеспечения процесса подписания, также необходимо обеспечить процедуру ротации ключей, без наличия которой защиту записей сложно считать надёжной.
Изначально система Domain Name System (DNS) разрабатывалась не в целях безопасности, а для создания масштабируемых распределённых систем.
Со временем система DNS стала всё более уязвимой. Злоумышленники без труда перенаправляют запросы пользователей по символьному имени на подставные серверы и таким образом получают доступ к паролям, номерам кредитных карт и другой конфиденциальной информации. Сами пользователи ничего не могут с этим поделать, так как в большинстве случаев даже не подозревают о том, что запрос был перенаправлен — запись в строке браузера и сам сайт в точности такие, какими их и ожидает увидеть пользователь. DNSSEC является попыткой обеспечения безопасности при одновременной обратной совместимости.
Таким образом, DNSSEC была разработана для обеспечения безопасности клиентов от фальшивых DNS данных, например, создаваемых DNS cache poisoning. Все ответы от DNSSEC имеют цифровую подпись. При проверке цифровой подписи DNS-клиент проверяет верность и целостность информации.
Читать запись полностью »