Рубрика «Аудит информационной безопасности»

Российские испытательные лаборатории средств защиты информации переориентируются на Индию!

1 Отзыв

commoncriteria_logo.gif

В Индии в Нью-Дели 9-11 сентября состоится ежегодная Международная конференция по «Общим Критериям» — International Common Criteria Conference (ICCC 2014). На Конференции ICCC 2014 от НПО «Эшелон» выступит директор департамента сертификации и тестирования к.т.н., CISSP, CSSLP Александр Барабанов с оригинальным докладом: «Сертификация по требованиям безопасности информации в России: переход на «Общие критерии» (10 сентября, 12.00).

Доклад посвящен актуальным тенденциям российской системы сертификации средств защиты информации (СЗИ) по линии методологии «Общих Критериев» и ISO 15408. В работе будут рассмотрены основные особенности российской системы сертификации по требованиям безопасности информации, представлены результаты сравнительного анализа российской и западной систем сертификации по линии «Общих Критериев», проанализированы трудности, с которыми сталкиваются российские разработчики СЗИ и аккредитованные испытательные лаборатории в случае сертификации по «Общим Критериям».

НПО «Эшелон» обладает обширным опытом применения «Общих Критериев» на практике в рамках сертификационных испытаний, проводимых испытательной лабораторией (аккредитованной ФСТЭК России, Минобороны России и ФСБ России), как российских, так и зарубежных программных продуктов. На базе НПО «Эшелон» образован Центр компетенции по «Общим Критериям», который возглавляет, собственно, автор доклада на ICCC 2014 — Александр Барабанов. Эксперты центра делятся своим опытом и проводят курсы в Учебном Центре «Эшелон»: «Сертификация средств антивирусной защиты и систем обнаружения вторжений в соответствии с методологией стандарта «Общие критерии» и «Сертификация программного обеспечения по требованиям безопасности информации» (практикум).

Как известно, последние два года ознаменовались выпуском новых пакетов нормативных правовых актов ФСТЭК России по линии методологии «Общих Критериев».
Отметим наиболее знаковые испытания, выполненные в этом и прошлом годах в соответствии с нормативными документами ФСТЭК России нового поколения, основанными на методологии «Общих Критериев»:

•    испытания программного обеспечения «McAfee Network Security Platform (версия 7.1) на соответствие требованиям документа ФСТЭК России «Требования к системам обнаружения вторжений» (уровня сети, 5 класс защиты);
•    испытания аппаратно-программного комплекса шифрования «Континент» на соответствие требованиям документа ФСТЭК России «Требования к системам обнаружения вторжений» (уровня сети, 3 класс защиты);
•    испытания программного обеспечения «McAfee Web Gateway» (версия 7.4) на соответствие требованиям документа ФСТЭК России «Требования к средствам антивирусной защиты» (типа «Б», 5 класс защиты).

Специалисты Центра принимают участие в проектах по сертификации не только в качестве экспертов испытательной лабораторий, но и в качестве экспертов Органа по сертификации ФСТЭК России.

Центр оказывает широкий спектр услуг для разработчиков программного обеспечения и испытательных лабораторий, включая проведение уникальных курсов по сертификации программного обеспечения по требованиям безопасности информации. С полным перечнем услуг можно ознакомиться на сайте Центра компетенции: www.commoncriteria.ru.

Possibly Related Posts:


Guardian: АНБ ставит «жучки» в маршрутизаторы американского производства

Ваш отзыв

Backdoor_crop380w

Агентство нацбезопасности США тайно ставит устройства для перехвата данных в маршрутизаторы и серверы американского производства. Об этом пишет The Guardian со ссылкой на своего бывшего сотрудника Гленна Гринвальда.

 

В новой книге журналиста «Скрыться негде» отмечается, что в течение многих лет правительство США активно предупреждало другие страны об опасностях китайских маршрутизаторов и других интернет-устройств, поскольку с помощью этих девайсов Пекин якобы может следить за пользователями.

 

«Согласно документам АБН, американцы занимались точно такой же деятельностью», – утверждает Гринвальд. Он добавляет, что маршрутизаторы и серверы китайского производства конкурируют с американскими не только в экономическом плане, но и в области слежки.

В статье правда напрямую не упоминаются конкретные марки устройств.

 

Книга «Скрыться негде» выходит 13 мая.

Источник

 

Possibly Related Posts:


Nmap обзавелся поддержкой Heartbleed

Ваш отзыв

11 апреля мир увидел новую версию сканера Nmap 6.45, получившего в свой арсенал около десятка новых скриптов, в том числе очень актуальный сейчас скрипт ssl-heartbleed для поиска серверов, открытых для атаки через уязвимость Heartbleed в OpenSSL.

Помимо этого, сканер поддерживает новые скрипты http-dlink-backdoor для выявления маршрутизаторов DLink с известным бэкдором, quake1-info для получения информации об игроках и игровых серверах Quake 1, http-ntlm-infoдля изучения серверов, требующих прохождения NTLM-аутентификации, sstp-discover для поиска серверов, работающих по протоколу Microsoft Secure Socket Tunnelling Protocol, rfc868-time для получения даты и времени с серверов времени RFC 868, weblogic-t3-info для определения протокола T3 RMI, который используется в программном обеспечении Oracle/BEA Weblogic, брутфорсерhttp-iis-short-name-brute для выявления уязвимых серверов Microsoft IIS и извлечения «сокращенных имен» файлов и папок из корневой папки. В Nmap 6.45 реализована поддержка idle-сканирования для IPv6 и проч.

Новая библиотека unicode помогает корректно кодировать и декодировать UTF-8, UTF-16, CP437 и прочие наборы символов Unicode. Библиотека tls предназначена для обработки функций, связанных с протоколами SSLv3 и TLS: соответствующие изменения внесены в скрипты ssl-enum-ciphersssl-date и tls-nextprotoneg. Библиотека и скрипт unittest помогают добавлять юнит-тесты к библиотекам NSE, а брутфорсер telnet-brute научился работать в параллельных потоках.

Также разработчики исправили несколько багов в программе и скриптах, в том числе сбой при сканировании SOCKS4-only прокси, баг с обработкой символов подчеркивания в скрипте ntp-info, баг с вычислением контрольной суммы UDP и др. Улучшению подверглась и производительность программы за счет создания приоритетного потока для обработки таймеров и таймаутов.

Possibly Related Posts:


AlienVault совершенствует свободный продукт SIEM

Ваш отзыв

siemПроизводитель средств безопасности AlienVault выпустил в конце февраля важное обновление открытого и коммерческого вариантов своего решения Security Information and Event Management (SIEM), нацеленное на улучшение взаимодействия с пользователем и повышение прозрачности системы обеспечения безопасности.

Обновления Open Source Security Information Management (OSSIM) и его коммерческого собрата повышают прозрачность систем обеспечения безопасности для пользователей.

Технология SIEM играет центральную роль на современном ландшафте безопасности, так как позволяет организациям протоколировать и отслеживать события, связанные с безопасностью. Новыми функциями пополнились оба релиза, Open Source Security Information Management (OSSIM) 4.5 и AlienVault Unified Security Management (USM) 4.5, вышедшие в свет в середине февраля. AlienVault является главным коммерческим спонсором свободного проекта OSSIM.

По словам Рассела Спитлера, вице-президента AlienVault по управлению продуктами, все новшества коммерческого решения USM 4.5 одновременно включены и в OSSIM.

“Мы как всегда стремимся, чтобы безопасность была равнодоступной для всех. Но в USM добавлены функции, помогающие организациям соблюдать нормативные требования, а также правила и конфигурации для обнаружения новейших угроз по нашей подписке AlienVault Labs Threat Intelligence Subscription”, — сказал Спитлер.

Читать полностью »

Possibly Related Posts:


Четвертая международная конференция «ИТ — стандарт 2013»

Ваш отзыв

22-23 октября в Московском государственном техническом университете радиотехники, электроники и автоматики прошла IV Международная научная конференция «Стандартизация, сертификация, обеспечение эффективности, качества и безопасности информационных технологий» (конференция «ИТ-Стандарт»). Организаторами конференции выступали: Федеральное агентство по техническому регулированию и метрологии; Комитет РСПП по техническому регулированию, стандартизации и оценке соответствия; Комитет Торгово-промышленной палаты Российской Федерации по безопасности предпринимательской деятельности, Российская академия наук, МГТУ МИРЭА, Союз директоров ИТ, Технический комитет (ТК-МТК-22), АНО «Группа ИТ-стандарт», Майкрософт.

01

Направления конференции:
• Использование международных и межгосударственных стандартов в рамках Таможенного союза и Единого экономического пространства.
• Стандартизация в области безопасности информационных технологий.
• Стандартизация в области системной и программной инженерии.
• Архитектура и стандарты интегрированных интеллектуальных систем обеспечения комплексной безопасности предприятий.
• Стандартизация средств информатизации в сфере подготовки и переподготовки кадров.
• Сертификация информационных технологий.
• Также была организована площадка для дискуссий научной молодежи.

06

Специалисты ЗАО «НПО «Эшелон» ежегодно участвуют в конференциях «ИТ-Стандарт», начиная с момента ее образования. В этот раз на конференции представители ЗАО «НПО «Эшелон» помимо участия в заседаниях секций, развернули мобильный стенд, на котором были представлены новые разработки компании, а также представлены сведения об услугах предлагаемых ЗАО «НПО «Эшелон» в области ИБ.

02

В конференции от ЗАО «НПО «Эшелон» приняли участие: Андрей Фадин, главный конструктор; Александр Барабанов, директор департамента сертификации и тестирования; Александр Дорофеев, директор Учебного центра «Эшелон»; Михаил Федоров, руководитель группы департамента тестирования и сертификации. Все перечисленные эксперты активно работали на заседании объединенной секции №2 и №6.

03

Соведущими объединенной секции выступили заместитель генерального директора по экспертизам ЗАО «НПО «Эшелон» Шахалов Игорь Юрьевич и Курило Андрей Петрович, зам. Директора департамента Банка России.

05

От ЗАО «НПО «Эшелон» подготовили доклады:

«Сертификационные испытания систем обнаружения вторжений на основе покрывающих наборов»
авторы:
Барабанов А.В. (директор департамента сертификации и тестирования ЗАО «НПО «Эшелон»),
Ларионцева Е.А. (эксперт ЗАО «НПО «Эшелон»),
Стельмашук Н.Н. (эксперт ЗАО «НПО «Эшелон»).

«Сертифицированные средства испытаний автоматизированных систем»
авторы:
к.т.н., с.н.с, Марков А.С. (генеральный директор ЗАО «НПО «Эшелон»),
к.т.н., Цирлов В.Л. (исполнительный директор ЗАО «НПО «Эшелон»),
Фадин А.А. (главный конструктор ЗАО «НПО «Эшелон»).

«К вопросу о сертификации производства безопасных программных средств»
авторы:
к.т.н., с.н.с, Марков А.С. (генеральный директор ЗАО «НПО «Эшелон»),
Барабанов А.В. (директор департамента сертификации и тестирования ЗАО «НПО «Эшелон»).

«Интеграция системы менеджмента информационной безопасности и систем менеджмента качества»
авторы:
Шахалов И.Ю. (заместитель генерального директора по экспертизам ЗАО «НПО «Эшелон»),
Агафонова М.Е. (ЗАО «НПО «Эшелон»),
Райкова Н.О. (ЗАО «НПО «Эшелон»).

«Опыт сертификации изделий иностранного производства»
авторы:
Федоров М.Г. (руководитель группы департамента тестирования и сертификации ЗАО «НПО «Эшелон»).

Possibly Related Posts: