• PCI DSS: что это такое и как под него сертифицироваться + наш опыт



      — Хорошо, теперь покажите ваш статический анализатор кода.
      — Знакомьтесь, это Пётр.
      — Приятно познакомиться, но…
      — Пётр и есть наш статический анализатор кода.

      Когда вы работаете с платёжными данными, то должны обеспечивать определённый уровень безопасности. Этот уровень описан в стандарте PCI DSS, разработанном Visa, MasterСard и другими платёжными системами. Он важен, поскольку применяется ко всем участникам процесса работы с данными держателей карт, но есть дополнительные требования для поставщиков услуг.

      В стандарте 12 разделов — начиная от того, что служба безопасности должна следить за сменой доступов и изъятием пропусков после увольнения сотрудников, и заканчивая тем, как и куда должны писаться всевозможные логи.

      Расскажу, как мы сертифицировали нашу облачную платформу и сколько нервов это вымотало.
      Читать дальше →
    • Включаем поддержку TLS v1.3 в Nginx на примере Debian 9

      • Tutorial
      Всем доброго времени суток!

      Данный пост написан вследствие победы желания докопаться до сути над усталостью, сонливостью, соблазном опрокинуть очередную бутылочку пива пятничным вечером. Сразу скажу, что ничего супер сложного не раскрываю, всего лишь включение TLS v1.3 в Nginx.

      image

      Наверняка на Хабре найдутся те, кто уже 100 раз это делал, поэтому данная статья — больше для новичков или для тех, кто хочет найти готовое решение в виде мануала, не тратя много времени на поиски, как я, например. Вспомнив, что давно не писал на Хабре и поставив статье метку «tutorial», принялся за дело.
      Читать далее
    • Чем опасны социальные сети на рабочем ПК?

      • Перевод


      Исследователи компании Trend Micro обнаружили новый бот-майнер криптовалюты, распространяющийся через Facebook Messenger. Впервые он был замечен в Южной Корее и получил прозвище Digmine. Также наблюдалось распространение Digmine в других регионах, таких как Вьетнам, Азербайджан, Украина, Вьетнам, Филиппины, Таиланд и Венесуэла.
      Читать дальше →
      • –6
      • 6,9k
      • 7
    • Как я взломал компании, связанные с криптовалютой, и заработал на этом $60 000

        image

        Биткоин и криптовалюты в целом сейчас у всех на слуху. Моё знакомство с криптовалютами произошло примерно 5 месяцев назад, именно тогда я начал инвестировать в bitcoin и ethereum, курс на тот момент был по $1900 за btc и $89 за эфир. Для того, чтобы вы могли понять, какой профит я получил, скажу, что на момент написания статьи биткоин стоит $18 100, а эфир $830 и продолжает выходить на орбиту вместе с остальными криптовалютами. Подумал, что будет отлично посмотреть насколько безопасны сервисы, в которых я держу свои криптовалютные сбережения, торгую ими или отдаю в доверительное управление.
        Читать дальше →
      • Что-то не так с IDS сигнатурой



          Имена Snort и Suricata IDS знакомы каждому, кто работает в сфере сетевой безопасности. Системы WAF и IDS — это те два класса защитных систем, которые анализируют сетевой трафик, разбирают протоколы самого верхнего уровня и сигнализируют о злонамеренной или нежелательной сетевой активности. Если первая система помогает веб-серверам обнаружить и избегать атак, специфичных только для них, то вторая, IDS, способна обнаружить атаки во всем сетевом трафике.

          Многие компании устанавливают IDS для контроля трафика внутри корпоративной сети. Благодаря механизму DPI они собирают транспортные потоки, заглядывают внутрь пакетов от IP до HTTP и DCERPC, а также выявляют как эксплуатацию уязвимостей, так и сетевую активность вредоносных программ.

          Сердце и тех и других систем — наборы сигнатур для выявления известных атак, разрабатываются экспертами сетевой безопасности и компаниями по всему миру. Мы, команда @attackdetection, также занимаемся разработкой сигнатур для обнаружения сетевых атак и вредоносной активности. Далее в статье речь пойдет о обнаруженном нами новом подходе, который позволяет нарушить работу систем IDS Suricata и скрыть такую активность.
          Читать дальше →
          • +10
          • 3,6k
          • 2
        • Как управлять секциями в БД Oracle и не сойти с ума

            Мы уже рассказывали о том, почему секционирование баз данных очень важно для производительности DLP-системы и как мы реализовывали его в PostgreSQL. В этой статье речь пойдет об Oracle.

            Специфика использования СУБД в DLP-решениях состоит в том, что объем данных прирастает очень быстро. Их невозможно держать в оперативном архиве, и долговременное хранение – это необходимость в компании численностью свыше хотя бы 50 человек. При этом оперативный архив наполняется так быстро, что отдавать информацию в долгосрочный архив приходится раз в 2 недели или чаще. Использование только встроенных средств СУБД требует знаний и опыта. Это главная сложность, и она, в общем-то, очевидна «на берегу».

            Кроме того, возникают проблемы, не очевидные сразу. Как вернуть из долгосрочного архива партицию с данными более старой версии приложения и прицепить к более свежей? Что делать, если у них разных формат хранения данных? Что делать, если подключение секции было прервано, и она «зависла» между долговременным и оперативным архивом?


            Читать дальше →
            • +11
            • 2,5k
            • 9
          • AdBlock похитил этот баннер, но баннеры не зубы — отрастут

            Подробнее
            Реклама
          • Как бороться с майнерами криптовалют в корпоративной сети

              Проблема использования корпоративных ИТ-ресурсов для майнинга криптовалют проявляется все чаще (недавно их упоминала Транснефть). А на днях ФСБ нагрянула в аэропорт Внуково и задержала администратора, который на вычислительных мощностях авиационной гавани майнил криптовалюту. Сразу отвечу на часто звучащий вопрос: “А причем тут ФСБ?” Все очень просто. Внуково — это не только аэропорт для обычных пассажиров; из Внуково-2 летает Президент России и члены Правительства, что делает эту воздушную гавань критически важным объектом для национальной безопасности. И когда в ней происходят по непонятной причине скачки напряжения, которые могут повлечь за собой отключение отдельных систем управления воздушным транспортом, то за дело берется именно ФСБ. Но вернемся к майнингу. В последнее время мы получили несколько запросов от заказчиков с просьбой объяснить, как можно обнаружить факт использования майнеров в корпоративной или ведомственной сети? Учитывая растущее число таких вопросов, мы и решили написать эту заметку.
              Читать дальше →
            • Как скомпрометировать систему документооборота в несколько кликов

                На пороге уже стоит 2018 год. Но большинство бородатых уязвимостей продолжает жить в разрабатываемых системах. И не смотря на то что появился OWASP Top-10 2017. И приоритетность определенных вещей сильно поменялась. По прежнему ничего не мешает натыкаться на ситуации, которые были актуальны в 2010.




                История началась с банального любопытства к продукту компании, в которой работает мой знакомый. Продукт интересный. Покупают данный продукт очень вдумчиво и за ценники с 6 знаками. Баг-баунти официальной у этой компании нет. Но я подумал, что даже если что-то найду — через знакомого разрулю и передам.

                Читать дальше →
              • Создание блокчейн-приложения для страховой компании с помощью Hyperledger Fabric от IBM

                  За счет распределенного реестра, смарт-контрактов и невозможности опровержения, блокчейн-технология совершает революцию в способах ведения деятельности финансовых учреждений, и индустрия страхования не исключение. В IBM разработали паттерн, позволяющее создать блокчейн-приложение для упрощения оформления страхования и обработки обращений за страховыми выплатами.

                  Большинство из нас оказывались в такой ситуации: произошло мелкое ДТП, мы уже в ужасе от того, сколько теперь придется потратить времени и сил на разбирательство со страховой компанией, полицией и другим водителем-участником. Даже если дело продвигается достаточно быстро, все равно все это сильно нарушает ваши планы.

                  А что если вы как разработчик могли бы перевернуть все и полностью изменить страховую индустрию? Что если вы сможете усовершенствовать не только личный опыт, но и опыт миллионов других людей по всему миру, сталкивающихся с теми же неудобствами, задержками и нарушением планов?
                  Читать дальше →
                • Сертификация CompTIA Network+

                    Начало


                    CompTIA Network+, к этой сертификации я долго шел. Дело в том, что я — так называемый «процессный ИБ» (в свое время поднял CISM), и для нормального движения вперед понял, что без сетей никак.

                    Необходимо было собрать воедино все что знаю по сетям, увидеть дальнейшее развитие. Выбирал между CCNA и CompTIA Net+. Склонился в конце концов к вендор-независимой CompTIA.

                    Тут небольшой рассказ, о том как готовился, какие материалы использовал и как сдавал экзамен. Вдруг окажется кому-нибудь полезным)
                    Читать дальше →
                  Самое читаемое