ИТ-аутсорсинг выбирают из-за денег

Как показал опрос, проведенный среди участников последней конференции исследовательской компании Gartner по аутсорсингу и ИТ-услугам, когда речь заходит о передаче управления ИТ-инфраструкторой сторонним компаниям, во главу угла ставится финансовая сторона вопроса – насколько аутсорсинг поможет сократить расходы. Качество оказываемых услуг рассматривается во вторую очередь, хотя по своей значимости этот фактор не намного уступает денежному вопросу.

Из 68 опрошенных участников конференции 31% назвали фактор сокращения расходов ключевым требованием к провайдеру услуг. 24% респондентов считают, что главенствующую роль стоит отводить вопросу качества оказываемых услуг. Меньше всего при переходе на аутсорсинг учитываются такие факторы, как введение инноваций и снижение риска — на них пришлось лишь 5% и 2% голосов, соответственно.

Опрос также выявил другую интересную тенденцию — что компании не прикладывают максимум усилий для того, чтобы привести в полное соответствие свои стратегии развития бизнеса и ИТ-аутсорсинга. Большинство опрошенных — 61% — считают, что в их компаниях обе стратегии достаточно хорошо отвечают общим задачам. В то же время, существенное количество респондентов (39%) признают, что эти направления мало согласованы между собой или вообще никак не связаны.

Когда же речь зашла об офшорном аутсорсинге, мнения опрошенных разделились. Больше половины респондентов (57%) согласны рассматривать вариант использования удаленной рабочей силы, в то время как 43% считают его совершенно неподходящим.

Большинство опрошенных Gartner — 24 человека — были из Великобритании, 10 — из Нидерландов и 4 — из Норвегии. Остальные респонденты приехали из других стран Европы, Северной Америки и Ближнего Востока.

Сенсационный взлом: радиометки беззащитны

Миниатюрные и относительно дешевые радиочастотные идентификаторы все шире используются в логистике для контроля за перемещением товаров, а также их учета. Некоторые правозащитники считают, тем не менее, что использование RFID ограничивают личную неприкосновенность покупателей, поскольку дают возможность следить за ними после того, как они прибрели товар с интегрированным чипом. С ожидаемым в скором будущем распространением на Западе вживляемых под кожу RFID-чипов (для медицинских целей) проблема обеспечения личной неприкосновенности граждан встанет еще острее. По мнению экспертов, в целях обеспечения защиты прав личности необходимо предоставить покупателям возможность стирать записанную в RFID-чипах информацию о сделанных ими покупках при выходе из магазина. Эту возможность обеспечили немецкие программисты Лукас Грюнвальд (Lukas Grunvald) и Борис Вольф (Boris Wolf).

Написанное ими Java-приложение RFDump позволяет обнаружить наличие RFID-чипа и считать его метаданные: идентификатор, тип тэга, данные о производителе товара и т.д. При этом пользовательская область памяти чипа может быть не только отображена, но и отредактирована. Тем самым программа позволяет без труда перезаписывать RFID-чипы, меняя маркировку товаров. Программа может работать на ПК или на КПК (предлагаемая в настоящий момент бесплатная версия работает с HP iPAQ под управлением Linux).

Задуманная в изначально благих целях, программа открывает невиданные перспективы перед злоумышленниками, магазинными воришками, хакерами и простыми хулиганами. В супермаркетах в любой момент может воцариться хаос. «Возможность изменять содержимое памяти RFID-чипов несёт потенциальную угрозу для торговых компаний, - комментирует ситуацию один из разработчиков программы, старший консультант немецкой компании DN-Systems Enterprise Solutions GmbH, Лукас Грюнвальд. – У магазинных воришек началась новая эпоха». Перспективы открываются плачевные - хакеры смогут с помощью карманных компьютеров переобозначать дорогостоящие товары как менее дорогие и спокойно покидать с ними магазины. Несовершеннолетние хакеры получат возможность обходить возрастные ограничения на продажу алкоголя и фильмов «для взрослых», а шутники и хулиганы смогут произвольным образом путать маркировку товаров – в магазинах мгновенно воцарится хаос.

Обеспечение безопасности торговых компаний в таких условиях представляет собой серьезную проблему, однако дороговизна аппаратуры для считывания RFID-чипов и сложность соответствующего программного обеспечения тормозит изучение вопросов, связанных с безопасностью использования радиочастотных идентификаторов. Обезопасить содержащуюся в чипах информацию от несанкционированного доступа можно с помощью шифрования, однако это увеличит стоимость RFID-чипов. Другим вариантом является использование специализированного сервера, позволяющего отслеживать движение товаров по порядковому номеру самого RFID-чипа, который невозможно изменить, однако использование такого сервера крайне усложняет систему и усложняет её внедрение в небольших торговых точках.

Мошенники интересуются интернет-пейджерами

Эксперты по интернет-безопасности предупредили о многократном росте объемов спама, рассылаемого на интернет-пейджеры с предложением зайти на определенную страницу и обновить личные данные. Кроме того, в программах, поддерживающих спонсорские ссылки, стали появляться URL подставных сайтов, специально созданных так называемыми "фишерами".

Напомним, что фишинг (phishing) - это разновидность интернет-мошенничества, когда пользователю приходит спамерское сообщение по электронной почте или по интернет-пейджеру, в котором мошенники под различными предлогами просят зайти на специально созданный подставной сайт, копирующий интерфейс настоящего легального сервиса, и обновить какие-либо данные - ввести пароль, логин, номер банковского счета и так далее. В графе "обратный адрес" чаще всего пишут подставной адрес email, представляясь служащими банков или других серьезных организаций.

Подобная схема используются и несколькими интернет-червями и вирусами, такими как, например, Bakosto. В связи с тем, что системы интернет-пейджинга в последнее время начали стремительно расти, мошенники развили активную деятельность не только по электронной почте, но и в сетях обмена мгновенными сообщениями. Эксперты по безопасности призывают проверять все сообщения и лишний раз самостоятельно связываться со своим банком для проверки сообщения.

Большая часть вирусов этого года написана одним человеком

В мае Яшан был арестован немецкой полицией, которая утверждает, что он признался в написании червей Netsky и Sasser, и эксперты Microsoft это подтвердили. (К аресту тинэйджера привела программа наград Microsoft за поимку вирмейкеров.) За пять месяцев до ареста Яшана вышло по крайней мере 25 вариантов Netsky и один сетевой червь Sasser, сканирующий порты.

Грэм Клали, старший консультант по технологии Sophos, поражается тому, что один человек мог вызвать столько эпидемий. Ричард Старнз, президент секьюрити-объединения ISSA UK, тоже недоумевает: "Не собирается же он указывать это в своем резюме?". По словам Клали, все же остается вероятность, что к вирусу Netsky приложили руку другие, хотя пока больше никто не арестован. "История банды Netsky целиком пока не известна. Мы знаем, что допрашивались некоторые его однокурсники, но истинные мотивы пока окончательно не выяснены".

Согласно рейтингу Sophos, червь Sasser лидирует с 26,1% всех заражений, а второе, третье и четвертое места занимают соответственно Netsky.p, Netsky.b и Netsky.d. В первой десятке не принадлежат перу Яшана только вирусы MyDoom.a (пятое место), Zafi.b (шестое место), Sober.c (девятое место) и Bagle.a (десятое место).

"Может быть Sasser и занимает первую строчку, но шесть самых разрушительных вирусов последнего полугодия — это варианты Netsky и Bagle, которые постоянно доставляли неприятности пользователям ПК во всем мире, пока их авторы играли в суперпубличную игру, доказывая свое превосходство в вирусописании", — сказал Клали.

Старнз считает, что хотя Яшан и арестован, всегда найдутся другие, желающие пойти по его стопам. "Авторы вирусов обычно вырастают из любителей, но хакеры не переведутся никогда. Сообщество вирмейкеров обновляется с большой скоростью. Освободившееся место всегда кто-нибудь заполнит".

Клали согласен с этим, но отмечает, что в создании вирусов все чаще участвует организованная преступность, с которой труднее справиться, так как она действует осторожнее. "Сейчас среди вирмейкеров больше преступного элемента, чем когда-либо прежде. Организованная банда, которая делает на вирусах и хакерстве деньги, не станет бравировать своими достижениями друг перед другом, чтобы в конечном счете оказаться на крючке у Microsoft", — говорит Клали.

Nokia защитила свои телефоны от атаки через Bluetooth

Всплыли подробности об антивирусном ПО Microsoft

Как следует из сообщения, опубликованного ZDNet France со ссылкой на руководителя секьюрити-проекта Microsoft во Франции Николу Мирая, самостоятельный антивирусный продукт будет создан на основе тех инструментов, которые Microsoft унаследовала в 2003 году при покупке компаний GeCad и Pelican Software.

Представители Microsoft в США отказались говорить о функциональных элементах или назвать возможное время выпуска антивирусного пакета. Однако Мирай уточнил, что антивирусное ПО Microsoft будет использовать два разных средства обнаружения поврежденных файлов, первое из которых для обнаружения потенциальных инфекций будет обращаться к регулярно обновляемому перечню известных вирусов. Второй антивирусный инструмент будет анализировать компьютерные системы, определяя, не были ли они поражены вирусом в прошлом, и давать конечным пользователям представление о том, в какой степени их компьютеры подвержены новым проблемам.

Мирай отметил, что антивирусный пакет не будет комплектоваться защитным ПО на основе межсетевого экрана, но сказал, что такое ПО будет встроено в операционную систему Windows ХР, когда выйдет ее обновление Service Pack 2. Мирай сообщил также, что продукт будет работать как с Windows ХР, так и с операционной системой Longhorn.

Представитель Microsoft отрицает, что комментарии Мирая вскрывают неизвестные ранее детали, но компания дает очень мало информации о своих планах в области антивирусов. Ходили слухи, что Microsoft готовит крупное приобретение в этой сфере и якобы держит на примете секьюрити-фирму Network Associates. В начале этого месяца другой европейский руководитель Microsoft сказал, что антивирусные планы компании, включая интеграцию продуктов, собранных в результате приобретений, находятся на ранних этапах реализации.

Когда Microsoft купила румынскую компанию GeCad, она объявила это первым шагом своей инициативы Trustworthy Computing, нацеленным на защиту почти двух третей (по оценке Microsoft) пользователей Windows, не имеющих на своих компьютерах современного антивирусного ПО. Тогда компания говорила, что она, возможно, откроет основанный на подписке платный сервис для пользователей Windows.

Последним из вирусов, создавших хаос в интернете, стал MyDoom.M, новый вариант распространенного червя, который появился в этот понедельник и быстро запрудил Google и другие поисковые сайты. Эта версия MyDoom не была нацелена на какие-то конкретные продукты Microsoft, но, как и многие другие вирусы, содержит дополнение, или "лазейку" (backdoor), запрограммированную на запуск атаки denial-of-service против веб-сайта производителя ПО.

«Пальцевая биометрика» на страже компьютерных секретов Пентагона

Крупнейший интегратор биометрических решений и разработчик программного обеспечения компания SAFLINK получила заказ от Управления финансового контроля Министерства обороны США на программное и аппаратное обеспечение для биометрической идентификации пользователей на 250 сотрудников.

«Нам была нужна система, совместимая с разными программными продуктами и рассчитанная на большое количество пользователей». – Сказал Клэренс Хуп, руководитель отдела информационной безопасности. – «Мы сотрудничаем со многими подразделениями Министерства обороны, включая вооруженные силы, а утверждаемые нами расходы составляют более 400 миллионов долларов в год. Структура решений SAFLINK позволит совместить используемые нами системы, обеспечить высокий уровень информационной защиты, и выбрать наиболее подходящее аппаратное обеспечение».

Управление отвечает за проверку и утверждение всех бюджетных расходов Министерства обороны США. С тех пор как национальная безопасность стала ключевым направлением американской политики, большая часть данных, содержащих информацию о готовящихся операциях и проектах, составляет государственную тайну. С помощью новой системы все сотрудники будут идентифицироваться по отпечатку пальца вместо используемых сейчас смарт-карт и паролей.«Нам необходимо повысить уровень информационной безопасности во всех подразделениях Министерства обороны, а не только в нашем Управлении», - добавил Хуп. – «Мы будем способствовать внедрению этого решения во всех отделениях нашего Министерства».

Заключению договора предшествовал успешный пилотный проект, во время которого в Управлении было установлено решение SAFmodule – программное обеспечение для биометрической идентификации для сетей под управлением сетевых решений Novell – и оптические биометрические мыши SecuGen.

Обзор биометрики в журнале "Information Security"

В ближайших номерах журнала "Information Security/Информационная безопасность" читатели смогут ознакомиться с техническим обозрением по биометрическим системам.

Если говорить о системах использующих в качестве идентификации биометрические признаки, то на сегодняшний день наиболее применяемы системы, использующие биометрическую характеристику – отпечаток пальца. Они привлекают потребителя своей простотой использования, неприхотливым обслуживанием в процессе работы, неплохими техническими параметрами и невысокой ценой. Многие из них имеют стильный дизайн, удачные эргономические показатели и изготовлены из качественных современных материалов.

В обзоре, который мы представляем Вашему вниманию, рассматриваются биометрические продукты компаний, присутствующих на российском рынке.

Редакция журнала "Information Security/Информационная безопасность" будет очень признательна Вам за отзывы и комментарии по данной проблеме, которые мы постараемся разместить в нашем журнале. Обращайтесь, пожалуйста, к главному редактору журнала Александру Гудко по тел. (095)251-66-54, 251-68-45 или e-mail: gudko@groteck.ru

Справки по адресу: (095)251-6654, 251-6845 или e-mail: timokhov@groteck.ru

Третья всероссийская конференция по информационной безопасности

Подмена URL в Web браузере Opera

Программа: Opera Web Browser 7.53, Build 3850 Опасность: Низкая Наличие эксплоита: Да Описание: Уязвимость в Web браузере Opera в обработке javascript позволяет удаленному пользователю создать HTML, который подделает URL в адресной строке. Удаленный пользователь может создать HTML, содержащий javascript, который, когда будет загружен, отобразить другой URL в адресной строке. Пример/Эксплоит: [script] function fake() { oc=window.open('http://www.opera.com/', '','location=1'); oc.location.replace('http://www.example.com'); } [/script] [a href="javascript:void(0);" onClick="fake()"]http://www.opera.com/[/a] URL производителя:http://www.opera.com/ Решение:Способов устранения обнаруженной уязвимости не существует в настоящее время.

Неавторизованный доступ в OpenDocMan

Программа: OpenDocMan до версии 1.2 Опасность: Средняя Наличие эксплоита: нет Описание: Уязвимость в OpenDocMan позволяет удаленному авторизованному пользователю выполнить неавторизованные действия. Сценарий 'commitchange.php' не достаточно проверяет права пользователя для выполнения изменения. Удаленный авторизованный пользователь может выполнить изменения, которые он не авторизован выполнять, включая добавление/удаление/обновление пользователя, подразделения или категории. URL производителя:http://sourceforge.net/project/shownotes.php?release_id=255785 Решение:Для устранения уязвимости, установите последнюю версию программы: http://sourceforge.net/project/showfiles.php?group_id=69505

Удаленное выполнение произвольного кода в Dropbear SSH Server

Программа: Dropbear SSH Server до версии 0.43 Опасность: Высокая Наличие эксплоита: Да Описание: Уязвимость в Dropbear SSH Server позволяет удаленному пользователю выполнить произвольный код на целевой системе. Программное обеспечение для проверкси DSS может попытаться освободить (free()) неинициализированную переменную, потенциально позволяя удаленному пользователю выполнить произвольный код на целевой системе с привилегиями Dropbear SSH Server. Уязвимы системы, которые скомпилированы с поддержкой DSS и pubkey-auth. URL производителя:http://matt.ucc.asn.au/dropbear/dropbear.html Решение:Установите обновленную версию программы (0.43): http://matt.ucc.asn.au/dropbear/