Проблемы в системе журналирования событий безопасности ОС Windowsimbasoft ru
В операционных системах семейства Windows реализована довольно неплохая система журналирования событий безопасности. О ней в различных публикациях и обзорах написано много чего хорошего, но эта статья будет про другое. Здесь мы поговорим о проблемах и недоработках в этой системе. Некоторые из рассматриваемых проблем будут некритичными, лишь осложняющими процедуры анализа событий, другие же будут представлять весьма серьезные угрозы безопасности.
Выявленные проблемы проверялись на Windows 7 Максимальная (русская версия), Windows 7 Professional (английская версия), Windows 10 Pro (русская версия), Windows Server 2019 Datacenter (русская версия). Все операционные системы были полностью обновлены.
Сделать безопасно и сертифицировано — ЗАО «ПМ» на DevCon 2015Maxim Avdyunin
Сертификация приложений по требованиям федеральных и отраслевых регуляторов, требованиям компаний (если они есть) — необходимое условие разработки и поставки коробочного решения. Требования потребителей и пользователей современных технологий по функционалу и удобству развиваются значительно быстрее эволюции ограничений. В результате, исследования практической защищенности, если и рассматриваются, то вне темы сертификации, что порождает двойной объем работ и сложности в управлении проектами.
Презентация, подготовленная сотрудниками компании «Перспективный Мониторинг» для конференции DevCon 2015, содержит информацию о том, какие практики безопасной разработки позволяют удовлетворить как требования сертификации, так и потребности практической безопасности. Рассматриваются тонкие моменты на стыке этих задач, вопросы, в которых можно опереться на мировой опыт, а также планы регуляторов по развитию требований сертификации.
В докладе представлен опыт ЗАО «ПМ» по внедрению безопасной разработки в проекты создания и развития линейки средств защиты информации для сетевого оборудования, мобильных платформ и рабочих станций, подлежащих сертификации по требованиям регуляторов.
Выступление Валерия Боронина, посвященное внедрению безопасной разработки с точки зрения руководителя, на встрече PDUG Meetup: SSDL for Management 25 ноября 2016 года.
я рассматриваю 3 основных критерия выбора:
1. Эффективность модулей безопасности.
2. Производительность.
3. Общая стоимость владения.
А также отвечаю на 4 вопроса:
1. Какой план действий при выборе и тестировании NGFW?
2. Какой способ тестирования самый правильный?
3. Как анализировать результаты тестов производительности и эффективности NGFW от внешних лабораторий?
4. Что иногда говорят производители NGFW и их партнеры, чтобы показать свои устройства в лучшем свете и принизить устройства конкурентов?
Марат Хайрулин, менеджер по партнерским коммуникациям, Microsoft, представил новую модель лицензирования Windows Server 2016, преимущества OEM-лицензий, провел обзор лицензирования ОС семейства Windows и рассказал о рисках использования пиратских лицензий и преимущества использования подлинного ПО для бизнеса.
Опыт ДС БАРС по внедрению процессов КТ-178BДС БАРС
Доклад "Практика внедрения процессов КТ-178B на российских предприятиях" Заместителя генерального директора ДС БАРС по качеству Михаила Судьбина на конференции «Сертификация в авиастроении по стандартам DO-178(B,C), DO-254, KT-178 при помощи инструментов MathWorks» 29 мая 2012 года.
Анонс новых моделей серверов ДЕПО Шторм российского производстваDEPO Computers
Андрей Состин, руководитель направления серверной продукции DEPO Computers, рассказал о возможностях и преимуществах отечественных серверных систем DEPO и анонсировал новые модели двухпроцессорных серверов DEPO Storm российского производства на базе ОС Windows Server 2016.
Практика сертификации систем менеджмента бережливого производстваMikhail Kalinin
ВНИИС - орган по сертификации, аккредитованный на проведение сертификации по ГОСТ Р 56404-2015 «Бережливое производство. Требования к системе менеджмента бережливого производства». О результатах первых успешных сертификаций.
Проблемы в системе журналирования событий безопасности ОС Windowsimbasoft ru
В операционных системах семейства Windows реализована довольно неплохая система журналирования событий безопасности. О ней в различных публикациях и обзорах написано много чего хорошего, но эта статья будет про другое. Здесь мы поговорим о проблемах и недоработках в этой системе. Некоторые из рассматриваемых проблем будут некритичными, лишь осложняющими процедуры анализа событий, другие же будут представлять весьма серьезные угрозы безопасности.
Выявленные проблемы проверялись на Windows 7 Максимальная (русская версия), Windows 7 Professional (английская версия), Windows 10 Pro (русская версия), Windows Server 2019 Datacenter (русская версия). Все операционные системы были полностью обновлены.
Сделать безопасно и сертифицировано — ЗАО «ПМ» на DevCon 2015Maxim Avdyunin
Сертификация приложений по требованиям федеральных и отраслевых регуляторов, требованиям компаний (если они есть) — необходимое условие разработки и поставки коробочного решения. Требования потребителей и пользователей современных технологий по функционалу и удобству развиваются значительно быстрее эволюции ограничений. В результате, исследования практической защищенности, если и рассматриваются, то вне темы сертификации, что порождает двойной объем работ и сложности в управлении проектами.
Презентация, подготовленная сотрудниками компании «Перспективный Мониторинг» для конференции DevCon 2015, содержит информацию о том, какие практики безопасной разработки позволяют удовлетворить как требования сертификации, так и потребности практической безопасности. Рассматриваются тонкие моменты на стыке этих задач, вопросы, в которых можно опереться на мировой опыт, а также планы регуляторов по развитию требований сертификации.
В докладе представлен опыт ЗАО «ПМ» по внедрению безопасной разработки в проекты создания и развития линейки средств защиты информации для сетевого оборудования, мобильных платформ и рабочих станций, подлежащих сертификации по требованиям регуляторов.
Выступление Валерия Боронина, посвященное внедрению безопасной разработки с точки зрения руководителя, на встрече PDUG Meetup: SSDL for Management 25 ноября 2016 года.
я рассматриваю 3 основных критерия выбора:
1. Эффективность модулей безопасности.
2. Производительность.
3. Общая стоимость владения.
А также отвечаю на 4 вопроса:
1. Какой план действий при выборе и тестировании NGFW?
2. Какой способ тестирования самый правильный?
3. Как анализировать результаты тестов производительности и эффективности NGFW от внешних лабораторий?
4. Что иногда говорят производители NGFW и их партнеры, чтобы показать свои устройства в лучшем свете и принизить устройства конкурентов?
Марат Хайрулин, менеджер по партнерским коммуникациям, Microsoft, представил новую модель лицензирования Windows Server 2016, преимущества OEM-лицензий, провел обзор лицензирования ОС семейства Windows и рассказал о рисках использования пиратских лицензий и преимущества использования подлинного ПО для бизнеса.
Опыт ДС БАРС по внедрению процессов КТ-178BДС БАРС
Доклад "Практика внедрения процессов КТ-178B на российских предприятиях" Заместителя генерального директора ДС БАРС по качеству Михаила Судьбина на конференции «Сертификация в авиастроении по стандартам DO-178(B,C), DO-254, KT-178 при помощи инструментов MathWorks» 29 мая 2012 года.
Анонс новых моделей серверов ДЕПО Шторм российского производстваDEPO Computers
Андрей Состин, руководитель направления серверной продукции DEPO Computers, рассказал о возможностях и преимуществах отечественных серверных систем DEPO и анонсировал новые модели двухпроцессорных серверов DEPO Storm российского производства на базе ОС Windows Server 2016.
Практика сертификации систем менеджмента бережливого производстваMikhail Kalinin
ВНИИС - орган по сертификации, аккредитованный на проведение сертификации по ГОСТ Р 56404-2015 «Бережливое производство. Требования к системе менеджмента бережливого производства». О результатах первых успешных сертификаций.
Лекция по безопасной разработке приложений защиты информации в РФ. Читается на 4 курсе ФРТК МФТИ. Рассмотрен процесс создания криптографических и технических средств защиты информации.
Сертификация решений Cisco по требованиям безопасности Часто задаваемые вопро...Cisco Russia
Сертификация решений Cisco по требованиям безопасности. Часто задаваемые вопросы по сертификатам ФСТЭК.
Видеоролик: https://www.youtube.com/watch?v=hawTszgKiig
QA Fes 2016. Анастасия Асеева. Роль тестирования в DevopsQAFest
В своем докладе я расскажу, как мы внедряли devops в банке, а конкретнее какую роль в этом процессе сыграло тестирование. Также расскажу с какими проблемами столкнулись, и как мы их устраняли. И да, каких результатов смогли добиться уже через полгода. А самое интересное, покажу как мы смогли добиться того, чтоб у нас pull request долетал до боя за 3 часа со всеми этапами тестирования.
Доклад будет содержать большое количество лайфхаков и обзоров инструментария, который мы использовали.
Практический доклад о том, как мы внедряли devops в банке, а конкретнее какую роль в этом процессе сыграло тестирование.
В докладе рассмотрены основные проблемы, с которыми команда столкнулась при внедрении и способы их устранения.
Продемонстрированы результаты, которых смогли достичь в течении полугода.
Доклад содержит большое количество лайфхаков и обзоров инструментария, который использовался для достижения цели.
Инструмент ChangelogBuilder для автоматической подготовки Release NotesPositive Hack Days
1. Основные понятия и определения: продукт, пакет, связи между ними.
2. Как узнать, какие изменения произошли в продукте?
3. Проблемы changelog и release note.
4. Решение: инструмент ChangelogBuilder для автоматической подготовки Release Notes
Как мы собираем проекты в выделенном окружении в Windows DockerPositive Hack Days
1. Обзор Windows Docker (кратко)
2. Как мы построили систему билда приложений в Docker (Visual Studio\Mongo\Posgresql\etc)
3. Примеры Dockerfile (выложенные на github)
4. Отличия процессов DockerWindows от DockerLinux (Долгий билд, баги, remote-регистр.)
Типовая сборка и деплой продуктов в Positive TechnologiesPositive Hack Days
1. Проблемы в построении CI процессов в компании
2. Структура типовой сборки
3. Пример реализации типовой сборки
4. Плюсы и минусы от использования типовой сборки
1. Что такое BI. Зачем он нужен.
2. Что такое Qlik View / Sense
3. Способ интеграции. Как это работает.
4. Метрики, KPI, планирование ресурсов команд, ретроспектива релиза продукта, тренды.
5. Подключение внешних источников данных (Excel, БД СКУД, переговорные комнаты).
Approof — статический анализатор кода для проверки веб-приложений на наличие уязвимых компонентов. В своей работе анализатор основывается на правилах, хранящих сигнатуры искомых компонентов. В докладе рассматривается базовая структура правила для Approof и процесс автоматизации его создания.
Задумывались ли вы когда-нибудь о том, как устроены современные механизмы защиты приложений? Какая теория стоит за реализацией WAF и SAST? Каковы пределы их возможностей? Насколько их можно подвинуть за счет более широкого взгляда на проблематику безопасности приложений?
На мастер-классе будут рассмотрены основные методы и алгоритмы двух основополагающих технологий защиты приложений — межсетевого экранирования уровня приложения и статического анализа кода. На примерах конкретных инструментов с открытым исходным кодом, разработанных специально для этого мастер-класса, будут рассмотрены проблемы, возникающие на пути у разработчиков средств защиты приложений, и возможные пути их решения, а также даны ответы на все упомянутые вопросы.
От экспериментального программирования к промышленному: путь длиной в 10 летPositive Hack Days
Разработка наукоемкого программного обеспечения отличается тем, что нет ни четкой постановки задачи, ни понимания, что получится в результате. Однако даже этом надо программировать то, что надо, и как надо. Докладчик расскажет о том, как ее команда успешно разработала и вывела в промышленную эксплуатацию несколько наукоемких продуктов, пройдя непростой путь от эксперимента, результатом которого был прототип, до промышленных версий, которые успешно продаются как на российском, так и на зарубежном рынках. Этот путь был насыщен сложностями и качественными управленческими решениями, которыми поделится докладчик
Уязвимое Android-приложение: N проверенных способов наступить на граблиPositive Hack Days
Немногие разработчики закладывают безопасность в архитектуру приложения на этапе проектирования. Часто для этого нет ни денег, ни времени. Еще меньше — понимания моделей нарушителя и моделей угроз. Защита приложения выходит на передний план, когда уязвимости начинают стоить денег. К этому времени приложение уже работает и внесение существенных изменений в код становится нелегкой задачей.
К счастью, разработчики тоже люди, и в коде разных приложений можно встретить однотипные недостатки. В докладе речь пойдет об опасных ошибках, которые чаще всего допускают разработчики Android-приложений. Затрагиваются особенности ОС Android, приводятся примеры реальных приложений и уязвимостей в них, описываются способы устранения.
Разработка любого софта так или иначе базируется на требованиях. Полный перечень составляют бизнес-цели приложения, различные ограничения и ожидания по качеству (их еще называют NFR). Требования к безопасности ПО относятся к последнему пункту. В ходе доклада будут рассматриваться появление этих требований, управление ими и выбор наиболее важных.
Отдельно будут освещены принципы построения архитектуры приложения, при наличии таких требований и без, и продемонстрировано, как современные (и хорошо известные) подходы к проектированию приложения помогают лучше строить архитектуру приложения для минимизации ландшафта угроз.
Доклад посвящен разработке корректного программного обеспечения с применением одного из видов статического анализа кода. Будут освещены вопросы применения подобных методов, их слабые стороны и ограничения, а также рассмотрены результаты, которые они могут дать. На конкретных примерах будет продемонстрировано, как выглядят разработка спецификаций для кода на языке Си и доказательство соответствия кода спецификациям.