Сергей Гордейчик Positive Technologies   Compliance management  для реальной безопасности
Немного истории Можете провести  Pentest? Легче легкого! Телеком
Сначала мы подключились к сети… C:>tracert -d www.ru Tracing route to www.ru [194.87.0.50] over a maximum of 30 hops: 1  *...
Потом немного посканировали сеть #sh run Using 10994 out of 155640 bytes ! version 12.3 ... ! username test1 password 7 <r...
Потом немного послушали трафик
Потом настроили  VPN … Так удобней
В результате… <ul><li>Контроль над 500 маршрутизаторами, включая: </li></ul><ul><ul><li>MPLS- магистраль </li></ul></ul><u...
Если бы это были плохие парни
Если бы это были плохие парни
Если бы это были плохие парни
Если бы это были плохие парни
В чем причина? <ul><li>У «Телеком» плохо с управлением ИБ? </li></ul><ul><li>Полный набор всего нормативного обеспечения <...
В чем причина?
Т ехнический  Compliance <ul><ul><li>Контроль уязвимостей </li></ul></ul><ul><ul><ul><li>Огромное количество уязвимостей (...
Подход к  Compliance Management
Спасибо за внимание! Сергей Гордейчик
Upcoming SlideShare
Loading in …5
×

Compliance manamement for real security

1,109 views
1,050 views

Published on

Published in: Technology
0 Comments
1 Like
Statistics
Notes
  • Be the first to comment

No Downloads
Views
Total views
1,109
On SlideShare
0
From Embeds
0
Number of Embeds
95
Actions
Shares
0
Downloads
14
Comments
0
Likes
1
Embeds 0
No embeds

No notes for slide

Compliance manamement for real security

  1. 1. Сергей Гордейчик Positive Technologies Compliance management для реальной безопасности
  2. 2. Немного истории Можете провести Pentest? Легче легкого! Телеком
  3. 3. Сначала мы подключились к сети… C:>tracert -d www.ru Tracing route to www.ru [194.87.0.50] over a maximum of 30 hops: 1 * * * Request timed out. 3 10 ms 13 ms 5 ms 192 . 168 .5.4 4 7 ms 6 ms 5 ms 192 . 168 .4.6
  4. 4. Потом немного посканировали сеть #sh run Using 10994 out of 155640 bytes ! version 12.3 ... ! username test1 password 7 <removed> username antipov password 7 <removed> username gordey password 7 <removed> username anisimov password 7 <removed> username petkov password 7 <removed> username mitnik password 7 <removed> username jeremiah password 7 <removed>
  5. 5. Потом немного послушали трафик
  6. 6. Потом настроили VPN … Так удобней
  7. 7. В результате… <ul><li>Контроль над 500 маршрутизаторами, включая: </li></ul><ul><ul><li>MPLS- магистраль </li></ul></ul><ul><ul><li>Узлы доступа пользователей </li></ul></ul><ul><ul><li>Хостинг-площадки </li></ul></ul><ul><li>Получен доступ к внутренним ресурсам: </li></ul><ul><ul><li>Система биллинга (20000 паролей пользователей) </li></ul></ul><ul><ul><li>Рабочие станции администраторов </li></ul></ul><ul><ul><li>Система оплаты труда и HR- база </li></ul></ul>
  8. 8. Если бы это были плохие парни
  9. 9. Если бы это были плохие парни
  10. 10. Если бы это были плохие парни
  11. 11. Если бы это были плохие парни
  12. 12. В чем причина? <ul><li>У «Телеком» плохо с управлением ИБ? </li></ul><ul><li>Полный набор всего нормативного обеспечения </li></ul><ul><li>Технические стандарты на все типы систем </li></ul><ul><li>НО! </li></ul><ul><li>30% требований нереализуемы , неприменимы или противоречивы </li></ul><ul><li>Контроль за соблюдением требований отсутствует </li></ul><ul><li>Цикл технического аудита по 10% систем занимает год (т.е. практические отсутствует) </li></ul>
  13. 13. В чем причина?
  14. 14. Т ехнический Compliance <ul><ul><li>Контроль уязвимостей </li></ul></ul><ul><ul><ul><li>Огромное количество уязвимостей (десятки тысяч) </li></ul></ul></ul><ul><ul><ul><li>Охват различных систем (от клиентских приложений до ERP) </li></ul></ul></ul><ul><ul><li>Контроль конфигурации </li></ul></ul><ul><ul><ul><li>Достаточно сложная задача </li></ul></ul></ul><ul><ul><ul><ul><li>Различные форматы </li></ul></ul></ul></ul><ul><ul><ul><ul><li>«настройки по умолчанию» </li></ul></ul></ul></ul><ul><ul><ul><ul><li>«тихий» ввод новых возможностей </li></ul></ul></ul></ul><ul><ul><ul><li>Система должна быть адаптируемой </li></ul></ul></ul><ul><ul><ul><ul><li>Что русскому хорошо… </li></ul></ul></ul></ul><ul><ul><li>Контроль изменений </li></ul></ul><ul><ul><ul><li>Контроль изменений в уязвимостях и конфигурациях </li></ul></ul></ul>
  15. 15. Подход к Compliance Management
  16. 16. Спасибо за внимание! Сергей Гордейчик

×