Яблочный пирог или механизмы управления айфонами топ-менеджмента
В управлении яблочными устройствами есть своя начинка специфика. Например, невозможно разработать приложение, которое управляло бы устройством. Функции управления доступны только самой iOS. Нельзя запретить пользователю отключаться от управления. После supervise нельзя восстановить данные из...
Камбоджа направит весь интернет-трафик через национальный интернет-шлюз
Cloud4Y уже рассказывал про то, как некоторые прогрессивные страны прорабатывают вопросы внедрения государственных файерволов, во многом копируя китайскую концепцию контроля информации. Их примеру решили последовать и в Камбодже. Читать далее...
Альтернатива электронной почте для 21 века
Специализированный мини-компьютер IMP соединял между собой участников сети ARPANET в 1969 году, прообраз современных маршрутизаторов и символ древности SMTP. Фото: Fred Prouser / Reuters Электронная почта — очень старая технология. Протокол Simple Mail Transfer Protocol (SMTP) впервые описан в RFC...
Research the OpenSource: Ory/Hydra
Меня зовут Богдан Хрисанфов и я работаю Lead System Analyst в Parimatch Tech. В этой статье постарался разобраться, что такое Hydra, и как она может помочь с множественными партнерскими интеграциями или предоставлением доступов к своему внешнему логину другим сервисам, аналогично логину в Google...
XCCDF и OVAL: основа формализации аудита информационной безопасности
В посте, на примере реальных документов, показаны детали языков XCCDF и OVAL — компонентов протокола автоматизации контента безопасности (SCAP). Материал может быть полезен разработчикам средств аудита, администраторам, руководителям, аудиторам и всем, кто интересуется темой информационной...
(не)Безопасный дайджест: пароли по дефолту, персданные в подарок и зарплата для фишеров
Начинаем год с новой подборки «классических» и нетривиальных ИБ-инцидентов, о которых писали зарубежные и российские СМИ в январе. В сегодняшнем выпуске сплошь звезды: ООН, РЖД, Nissan, Vodafone. Читать далее...
Проектирование ПО с учетом требований стандартов безопасности
В данной статье я хотел бы затронуть тему применения требований стандартов безопасности при разработке ПО. Основной материал подготовлен и составлен на основе требований стандарта PCI DSS. Данные требования также могут быть применены к обработке и хранению персональных данных в части выполнения...
Как и зачем проходить сертификацию AICPA SOC 2 и 3. Опыт Яндекс.Паспорта
Привет! На связи Аня Зинчук. Я работаю в Службе информационной безопасности. Мы сопровождаем ключевые сервисы Яндекса на всех этапах жизненного цикла от дизайна и проектирования до реализации в коде: анализируем архитектуру новых решений, ищем потенциальные риски, проводим анализ кода на уязвимости...
ТОП-10 кейсов по управлению корпоративной мобильностью в 2020 году
В нынешнее время сисадмины отвечают не только за работоспособность оргтехники, настольных компьютеров, сетевой архитектуры компании, но еще и за настройки и работоспособность корпоративных смартфонов, планшетов и других мобильных устройств. Читать дальше...
Хеш-функция, что это такое?
Приветствую уважаемого читателя! Сегодня я хотел бы рассказать о том, что из себя представляет хеш-функция, коснуться её основных свойств, привести примеры использования и в общих чертах разобрать современный алгоритм хеширования SHA-3, который был опубликован в качестве Федерального Стандарта...
Best practices для клиент-серверного проекта PoC
Типичный проект PoC (Proof of Concept) состоит из клиента с GUI, сервера c бизнес логикой и API между ними. Также используется база данных, хранящая оперативную информацию и данные пользователей. Во многих случаях необходима связь с внешними системами со своим API. Когда у меня возникла...
[recovery mode] Как выбрать безопасный смартфон и не пожалеть
Мобильные устройства стали практически единственным типом средств корпоративных коммуникаций во время пандемии. Поэтому решение задачи обеспечения информационной безопасности (information security) при удаленном доступе к корпоративным ресурсам - это не блажь, а вопрос активной жизни или ее...
Assurance Case: аргументированное обоснование безопасности
source Как наиболее полно оценить безопасность, и ничего при этом не упустить? Возможно ли собрать в одном документе (или диаграмме) все разнообразие артефактов, относящихся к безопасности, и организовать их таким образом, чтобы можно было наглядно представить любой аспект с понятным уровнем...
[recovery mode] Защита удаленного доступа (ЗУД) с мобильных устройств
Как выполнить требования ГОСТ Р 57580 по обеспечению безопасного удаленного доступа с мобильных устройств, не запрещая их использования Об обязательности требований ГОСТ Р 57580 для финансовых организаций, порядке их внедрения и методах оценки соответствия написано множество статей, дано много...
Кино под защитой. Как мы готовились к аудиту по безопасности медиаконтента
Наверняка каждый читатель Хабра хотя бы раз в жизни мечтал прикоснуться к миру кино, стать его частью. В этом посте я расскажу о том, как консультантам из отдела информационной безопасности удалось сделать это. Из текста вы узнаете: зачем досматривать до конца титры в конце фильма; сколько...
[Перевод] Всё, что вы хотели знать о безопасном сбросе паролей. Часть 2
Двухфакторая аутентификация Всё прочитанное вами в первой части касалось идентификации на основании того, что знает запрашивающий. Он знает свой адрес электронной почты, знает, как получить к ней доступ (т.е. знает свой пароль от электронной почты) и знает ответы на секретные вопросы. «Знание»...
[Перевод] Всё, что вы хотели знать о безопасном сбросе паролей. Часть 1
Недавно у меня появилось время снова поразмыслить над тем, как должна работать функция безопасного сброса пароля, сначала когда я встраивал эту функциональность в ASafaWeb, а потом когда помогал сделать нечто подобное другому человеку. Во втором случае я хотел дать ему ссылку на канонический ресурс...
Тонкости авторизации: обзор технологии OAuth 2.0
Информационная система Dodo IS состоит из 44 различных сервисов, таких как Трекер, Кассы ресторана или Базы знаний и многих других. 3 года назад мы написали сервис Auth для реализации сквозной аутентификации, а сейчас пишем уже вторую версию. В основе сервиса лежит стандарт авторизации OAuth 2.0....