Дайджест событий ИТ-безопасности

Валерий Крамов

В Голландии произошла утечка крупной медицинской БД

Япония всерьез занялась защитой секретных данных

Ирландские автомобилисты могут стать жертвой кражи личности

RSA: инсайдеры — по-прежнему главная угроза безопасности

Студент-хакер предстанет перед судом

Исландский подросток сумел дозвониться до Джорджа Буша

 

Вниманию читателей предлагается хроника последних инцидентов и заметных событий в мире ИТ-безопасности. Так, в Нидерландах произошла утечка крупной базы медицинских данных, а японское правительство спохватилось об утечке спустя пять лет после того, как она была допущена. Перед казанским судом предстал студент-хакер, осуществивший DDoS-атаку на сервер информационного агентства, а школьнику из Исландии удалось дозвониться до Джорджа Буша.

В Голландии произошла утечка крупной медицинской БД

Расследование Службы по защите данных Нидерландов (Dutch Data Protection Authority) показало, что похищенная база данных медицинских страховых компаний содержит подробную информацию почти о каждом голландце. Это даты рождения, номера социального и медицинского страхования, адреса голландских знаменитостей, депутатов и даже хорошо известных преступников.

База предназначена для врачей, стоматологов и поставщиков медицинских услуг. Она используется медицинскими работниками для упрощения системы оплаты и проверки данных медицинского страхования. Доступ к ней имеют по меньшей мере 80 тыс. человек. Интересно, что база защищена паролем и сертификацией, а также не содержит номеров телефонов. По запросу пользователя компания может изменить его личные данные, но не может предоставить информацию о том, кто ими пользуется.

По мнению экспертов компании Perimetrix, в базе содержится достаточно информации, чтобы осуществить кражу личности. Конечно, врачи и стоматологи получают в Нидерландах достойную зарплату, так что вряд ли кто-то из них окажется мошенником. Однако сам факт столь халатного отношения к защите персональных данных настораживает.

Япония всерьез занялась защитой секретных данных

Министерство обороны Японии работает над созданием новой системы для контроля секретных данных с целью предотвращения кражи конфиденциальной информации. Причиной послужил недавний арест капитана флота, подозреваемого в передаче секретной информации о системе обороны Aegis, что произошло 13 декабря.

Капитан третьего ранга Сумитака Мацуути работал в отделе, который занимается подготовкой файлов, содержащих обучающую информацию по системе Aegis для офицеров. Именно эти данные и были переданы Мацуути третьим лицам.

Уже сейчас удалось выяснить, что секретная информация распространена среди коллег офицера, которые не должны иметь к ней доступа. Предполагается, что Мацуути допустил утечку еще пять лет назад.

Об инциденте стало известно в самых верхах. Министр обороны Японии Сигэру Исиба провел экстренное заседание с целью разработки плана действий на случай повторения инцидентов такого рода. Планируется наложить запрет на хранение в памяти личных компьютеров официальных представителей конфиденциальных данных.

Между тем аналитический центр Perimetrix полагает, что госструктурам Японии просто нужно внедрить нормальное ПО для предотвращения утечек. Тогда никакой секретный документ не затеряется, все будет учтено и защищено.

Ирландские автомобилисты могут стать жертвой кражи личности

Утеряны незашифрованные компьютерные диски, содержащие фамилии и адреса 6 тыс. автомобилистов Северной Ирландии. Об этом сообщило транспортное агентство Северной Ирландии (Northern Ireland Driver and Vehicle Agency, DVLA). Утечка произошла на почте.

Информация, содержащаяся на двух пропавших дисках, включает регистрационные номера, номера шасси, марки и цвет 7685 транспортных средств, а также имена и адреса более чем 6 тыс. зарегистрированных владельцев автомобилей. На дисках нет никаких финансовых данных.

Последний инцидент свидетельствует о том, что распространение незашифрованных данных о гражданах посредством CD — стандартная политика правительственных учреждений, однако это не лучший метод в плане безопасности.

Эксперты Perimetrix убеждены, что физическая транспортировка секретной информации обязательно должна включать меры защиты против несанкционированного доступа. А самый надежный способ в этом случае — шифрование. Оно не отнимает много времени, зато гарантирует стопроцентную эффективность.

RSA: инсайдеры — по-прежнему главная угроза безопасности

Самый большой риск для организаций по-прежнему представляют их сотрудники. Так считает авторитетная компания RSA, опубликовавшая недавно результаты своего исследования. Оно проводилось в ноябре и заключалось в анкетировании работников государственных учреждений и штаб-квартир корпораций в Бостоне и Вашингтоне. «Результаты опроса говорят о том, что угроза для конфиденциальных данных со стороны благонамеренных инсайдеров — сотрудников, подрядчиков, поставщиков, партнеров, посетителей и консультантов, которые имеют физический и/или логический доступ к ресурсам организации, — в значительной мере дополняет угрозу со стороны инсайдеров злонамеренных, умышленно организующих утечку конфиденциальной информации в корыстных целях», — отмечается в отчете.

Эксперты Perimetrix констатируют, что в последнем перечне наиболее серьезных рисков для безопасности 2007 SANS Top 20 также отмечается, что наиболее слабым звеном в цепочке компьютерной безопасности остаются пользователи.

Около 52% офисных работников сказали, что они иногда или часто обращаются к служебной электронной почте через компьютеры коллективного пользования, установленные в кафе, гостинице или аэропорту. А 56% иногда или часто забирают служебную почту через точки доступа беспроводных сетей. На вопрос: «Теряли ли вы когда-нибудь ноутбук, смартфон и/или флэш-диск USB с корпоративной информацией?» положительно ответили 8% респондентов. А 63% заявили, что иногда или часто отправляют служебные документы на свой личный e-mail, чтобы работать дома.

Хотя авторы отчета RSA полагают, что дополнительная технология безопасности позволяет уменьшить эти риски — как-никак RSA продает такие продукты, — они признают, что винить за игнорирование пользователями правил безопасности отчасти следует самих создателей этих правил. «Организации могут уменьшить риск, разработав правила безопасности, согласованные с требованиями и реалиями их бизнеса, — говорится в отчете. — Когда такие правила введены, необходимо постоянно контролировать фактическое поведение пользователей и вносить в эти правила разумные изменения, чтобы минимизировать риск и оптимизировать производительность труда. Когда меры безопасности по возможности удобны для конечных пользователей, те реже будут их нарушать».

Однако на самом деле многие работники либо считают корпоративные правила безопасности неудобными, либо плохо их понимают. Около 35% опрошенных подтвердили, что для выполнения своей работы им приходится нарушать эти правила.

По мнению аналитического центра Perimetrix, этот факт говорит о косности и неэффективности принятых правил. Прописывая политики и внедряя технические средства, которые эти политики закрепляют, специалисты должны соблюдать баланс между требованиями бизнеса и безопасности.

Студент-хакер предстанет перед судом

В Приволжском районном суде Казани началось рассмотрение уголовного дела в отношении студента Казанского энергетического техникума 17-летнего Ильи И., который обвиняется в совершении атаки на сервер ИА «Татар-информ».

По версии следствия, в мае этого года студент Казанского энергетического техникума Илья И. с помощью вредоносного программного обеспечения совершил распределенную Dos-атаку на ресурс http://ch8.ru (молодежный чат) — сайт, принадлежащий ИА «Татар-информ». Это привело к перегрузке сервера и блокированию доступа к нему пользователей Интернета.

Было установлено, что запросы одного и того же файла с сервера идут примерно со 130 компьютеров из внешней сети с активностью более 100 тыс. запросов в минуту. В течение полутора часов специалисты информационного агентства реализовали техническое решение, блокирующее атакующие компьютеры, после чего работа сервера продолжилась в нормальном режиме, но, по данным блокирующей программы, активная атака (более 70 компьютеров) продолжалась до полудня 21 мая 2007 года, а отдельные компьютеры работали до 1 июня.

Наладить работу сервера удалось, но агентство обратилось к оперативникам из отдела «К» МВД РТ, чтобы они разобрались в сложившейся ситуации. Злоумышленника вычислили. Получив разрешение на обыск квартиры, из которой, по мнению следствия, была совершена атака, сотрудники милиции пришли к предполагаемому хакеру «в гости».

В квартире подозреваемого милиционеры обнаружили и изъяли оптические носители компьютерной информации с вредоносными программами, видеоматериалы и фотографии с элементами насилия и экстремизма, диски с информацией о фашистских и нацистских организациях, а также системный блок, на котором было найдено несколько вредоносных программ, в том числе DDos Bot. Владелец компьютера добровольно дал объяснение о том, как и по какой причине он осуществил атаку и какое программное обеспечение для этого использовал.

За свои действия молодому человеку предстоит ответить перед судом. Он обвиняется по двум статьям УК РФ: 272, ч. 1 («Неправомерный доступ к охраняемой компьютерной информации») и 273, ч. 1 («Создание, использование и распространение вредоносных программ для ЭВМ»).

Если суд признает его виновным, то Илье И. грозит наказание в виде лишения свободы на срок до трех лет со штрафом до 200 тыс. руб. Стоит отметить, что подсудимый свою вину в случившемся не признает. Об этом он заявил в ходе рассмотрения уголовного дела.

Исландский подросток сумел дозвониться до Джорджа Буша

Стали известны детали необычной истории, которая произошла в Белом доме. Шестнадцатилетний Вифилл Атласон из городка Акранес, расположенного в 50 км от Рейкьявика, позвонил на личный, естественно строго секретный, телефон Джорджа Буша в Белом доме и оставил ему сообщение.

Примечательно, что во время беседы с сотрудниками президента США Атласон представился главой Исландии Олавуром Рагнарром Гримссоном. Подросток ответил всего на несколько уточняющих вопросов о своих псевдородителях и дате вступления в должность, и его тут же соединили с личным секретарем Джорджа Буша. Та вежливо сообщила, что ее шеф в данный момент недоступен, и внесла в его расписание отметку об ответном звонке. Однако вместо телефонного разговора с Бушем Атласон вскоре услышал звонок в дверь собственного дома, куда приехали сотрудники полиции.

Выяснилось, что в правоохранительные органы Исландии от американских властей поступил официальный запрос с требованием «найти источник утечки информации о секретном телефонном номере президента США». Школьнику, по всей видимости, стражи порядка устроили настоящий допрос.

Во всяком случае, Вифилл позже объяснил представителям печати следующее: «Этот номер появился у меня несколько лет назад, и я действительно не помню, как он попал ко мне. На самом деле я просто хотел поболтать с Бушем, пригласить в Исландию и услышать его реакцию. Причем, когда мне как “президенту Исландии” стали задавать уточняющие вопросы, я воспользовался Wikipedia, где нашел все необходимые ответы. Если этот номер не слишком засекреченный, то почему в полиции мне заявили, что моя фамилия уже включена в “черный список” приезжающих в США? Я считаю, что мой звонок восприняли в Белом доме чересчур серьезно».

Гордая своим сыном, его мать — учительница местной школы заявила: «Это был действительно секретный номер самого высокого уровня доступа. Мой сын находчив, и теперь он стал героем Исландии. Ведь Буш очень непопулярен здесь». Оказалось, что номер, по которому позвонил 16-летний подросток, относится к подразделению секретной службы США, отвечающей за безопасность президента.

 

В начало В начало

КомпьютерПресс 1'2008

Наш канал на Youtube

1999 1 2 3 4 5 6 7 8 9 10 11 12
2000 1 2 3 4 5 6 7 8 9 10 11 12
2001 1 2 3 4 5 6 7 8 9 10 11 12
2002 1 2 3 4 5 6 7 8 9 10 11 12
2003 1 2 3 4 5 6 7 8 9 10 11 12
2004 1 2 3 4 5 6 7 8 9 10 11 12
2005 1 2 3 4 5 6 7 8 9 10 11 12
2006 1 2 3 4 5 6 7 8 9 10 11 12
2007 1 2 3 4 5 6 7 8 9 10 11 12
2008 1 2 3 4 5 6 7 8 9 10 11 12
2009 1 2 3 4 5 6 7 8 9 10 11 12
2010 1 2 3 4 5 6 7 8 9 10 11 12
2011 1 2 3 4 5 6 7 8 9 10 11 12
2012 1 2 3 4 5 6 7 8 9 10 11 12
2013 1 2 3 4 5 6 7 8 9 10 11 12
Популярные статьи
КомпьютерПресс использует