Методические рекомендации по проведению аудита безопасности критичных онлайн-приложений Вячеслав Железняков, Softline Инфофорум 2013

Киберугрозы Коммерческая направленность Организованность Объем Современные технологии Узкая специализация Ориентированы на данные и приложения Социальная инженерия

Экосистема приложения Файловые хранилища Системы ЭДО/ЭП Платформа виртуализации Технологические системы SOA/ESBСУБД Активные сетевые устройстваАппаратное обеспечение Корпоративные порталы Рабочие станции Мобильные устройства, удаленный доступ Прикладное ПО Серверная ОС Active Directory Онлайн- приложения Люди

Как защититься от киберугроз Анализ защищенности Постановка задачи Определение угроз Оценка защищенности Выбор мер защиты

Анализ защищенности (из опыта работы) «Нельзя вот так просто взять и найти все уязвимости в сложной экосистеме» © Андрей Петухов (SolidLab) Что нужно сделатьКакие могут быть проблемы Осознать необходимость обеспечения безопасности Недостаточно информированы. Не осознаем реальности угрозы Поставить задачу и определиться с подходом к ее решению Решаем не ту задачу или используем неверный подход Определить рассматриваемые классы угроз (нарушителей) Пропускаем актуальные классы угроз (нарушителей) Определить границы обследования, требуемые результаты Не понимаем границ экосистемы, неверно выбираем перечень объектов обследования, требования к результатам Выбрать квалифицированного исполнителя и методику Выбираем не того поставщика, неподходящую методику

Какая методика будет использована в проекте? Есть ли обоснование того, что данная методика позволит решить задачи проекта? Какое место в этой методике занимают инструменты и какие? Наличие каких классов уязвимостей будет устанавливаться при анализе? Как будут обнаруживаться логические ошибки (в т.ч. уязвимости авторизации)? Какие классы уязвимостей, открытых в последнее время, будут исследоваться в рамках проекта и каким образом? Как будет оцениваться критичность найденных уязвимостей? Какие возможные варианты решения могут быть предложены Выбор исполнителя

Популяризация грамотного подхода к обеспечению ИБ Формирование требований и стандартов, касающихся этапа планирования ИБ Распространение информации об актуальных угрозах Применение специализированных решений, актуальных современным угрозам Обучение и поддержание квалификации специалистов ИБ Как защититься от киберугроз? Application Security Verification Standard Project

Спасибо за внимание! Вячеслав Железняков Руководитель Департамента информационной безопасности +7 (909)