На днях мне попался документ про фингерпринтинг (наверно, можно по-русски сказать "профилирование") браузеров. Документ не очень относится и к моей профессиональной деятелности, и к увлечениям, тем не менее, мне он показался интересным, и я его дочитал до конца. В этой заметке поделюсь посетившими меня мыслями.

0. Сводную табличку со всеми, упомянутыми в статье, методами профилирования и их свойствами, я вывел в картинке к заметке.

1. Вспомнился классический документ Федора про фингерпринтинг TCP/IP реализаций в разных ОС. И вот теперь мы поднялись на уровень приложения.

2. Построение системы безопасной аутентификации возможно только в ущерб приватности. Это еще один принципиальный постулат, аналогичный тому, что невозможно построить ML-модель, которую не сможет обмануть человек. Принцип в полной мере работает и в реальной жизни: предъявляя паспорт на входе вахтеру, который записывает его данные в свой журнальчик входов\выходов, я повергаю риску компрометации свои паспортые данные. Причем, чем более безопасный механизм аутентификации мне надо построить, тем больше своей приватности мне надо передать: чем более точно проверяющему надо определить меня, тем большую частью себя мне надо поделиться с проверяющим. Приложенная картинка с разбиранием приватности ради безопасности - прекрасная иллюстрация этого принципа. В этой связи, любой механизм профилирования всегда будет иметь "privacy impact", и поэтому доносимый статьей "мессидж" выглядит как очевидная очевидность. Тем не менее, статья содержит неплохой обзор того, что в принципе может собираться при профилировании.

3. Все это профилирование - лишнее подтверждение, что для важных рабочих задач следует пользоваться одним браузером, а для всякой ерунды - другим, может, и в incognito mode, в надежде на то, что в этом режиме "всякая ерунда" получит меньшую часть меня в свое распоряжение.

Всем привет! Как обещал, сегодня я в Минске у друзей из А1 Беларусь, на A1 Tech Day.

Есть возможность/желание, пишите, пересечемся.

Вчера мне довелось побывать в Государственной Думе. В зале ЛДПР состоялся круглый стол "Практика противодействия кибератакам", аудитория - представители отрасли, как поставщики решений, так и их потребители. Хочется выразить слова благодарности компании Angara security, персонально Сергею Петровичу Шерстобитову и Тимуру Зиннятуллину, и за организацию мероприятия и за возможность принять участие - чем плотнее экспертное сообщество будет работать с законодательной властью, тем эффективнее и результативнее будут наши общие усилия по противодействию кибератакам и кибертерроризму.

Мне выпал вопрос: "Как нам, как представителям индустрии, вести себя в разгар кибервойны, как выстраивать отношения со всеми вовлеченными сторонами, включая государство? Как разделять зоны ответственности, особенно между Заказчиками и Подрядчиками?". Так как записи нет тезисно отвечу на него здесь.

0. Поскольку наше общение происходило в стенах ГД, я выделю кратко инициативы, которые можно было бы рассмотреть с позиции государственного регулирования отрасли.

1. Для того, чтобы быть эффективными и результативными, нам надо быть организованными, аналогично корпоративной бизнес-функции ИБ, тем более, что государственная система управления ИБ (СУИБ) во многом похожа на СУИБ крупной корпорации.

2. Стандартизация. Под типовые элементы инфраструктуры должны быть разработаны профили защиты, и эти профили должны быть обязательны для исполнения в ГИС и КИИ. Пример из жизни - NIST SP 800-53 - исчерпывающий каталог контролей, обязательный для исполнения в американских ГИС.

3. Потребовав исполнение профилей защиты, результат необходимо обязательно проверять.

3.1. На госпредприятиях есть "мероприятия по оценке защищенности" (МОЗ) по сценарию пентест, можно дополнительно ввести оценки соответствия - по каждому обязательному контролю убедиться, что он внедрен и работает с предполагаемым качеством.

3.2. Контроли необходимо обложить метриками и результаты их измерения собирать. По истории измерений метрик можно анализировать тенденции. Отчетность по измерению метрик работы контролей можно поднять на уровень федеральных координационных центров - как мы собираем информацию об инцидентах в НКЦКИ, можно собирать и данные о метриках контролей безопасности.

3.3. Выработанные профили защиты необходимо регулярно проверять, для получения уверенности, что наши наборы контролей отвечают современному ландшафту угроз.

4. Эксплуатация доверительных отношений по данным статистики инцидентов за 2023 и 2024 входит в топ 5 векторов проникновения в сети, поэтому требования по контролям пп.2-3 необходимо распространить на подрядчиков, в целом, это должно стать квалификационным требованием. Это можно сделать, например, лицензированием, а подтверждать соответствие, например, могут лицензированные аудиторы\ пентестеры.

5. Если мы говорим о ПО, то здесь также поможет сертификация. Только сертифицировать надо не конкретные образцы ПО, а процесс разработки - представляется эффективнее сертифицировать конвейер, чем каждое изделие, выходящее с него.

По разделению ответственности - вопрос стандартный. Владельцем ГИС и КИИ следует рассматривать Государство, поэтому видится правильным, что Государство выдвигает требования по обеспечению их безопасности и постоянно контролирует результат. Важный момент здесь - адекватность требований, в противном случае, сами эти требования будут стимулировать их невыполнение. Адекватность может валидироваться экспертным сообществом, ну или возродить институт специализированных НИИ, как в СССР, однако верификация идей НИИ на производстве - обязательна.

А по распределению задач на предприятии я уже давно писал. Если коротко, то чем больше корпоративной специфики тем эффективнее делать самому, а стандартные вещи - в аутсорсинг.

#управление #РФ #vCISO