Дали потестить одну из последних новинок компании Check Point, продукт под названием Abra. Решение представляет собой флеш носитель, емкостью 4 и 8Gb, с поддержкой аппаратного шифрования 256-битным AES. Но поскольку аппаратным шифрованием сейчас можно удивить только какого либо человека, очень далекого от безопасности и it вообще, то основной фишкой решения является то, что оно организует Secure virtual workspace, а проще говоря запускает защищенную, виртуальную копию установленной операционной системы Windows, которая работает как независимая система, отгороженная от имеющейся на машине комплексом безопасности, включающем в себя антивирус, фаервол и систему предотвращения вторжений. Abra поддерживает такие операционные системы как Windows 7/Vista/XP, пока правда только 32хитные версии. При старте системы Abra проверяет имеется ли в системе антивирус, какие актуальные патчи установлены и после этого сканирует операционную память на предмет обнаружения работы злонамеренного программного обеспечения. После этого, запускается диалог доступа к данным, заключающийся в воде пароля устанавливаемого при первичной инициализации устройства и если пароль введен корректно, то запускается виртуальное пространство, которое разрешает доступ только к определенным, установленной политикой, программам. Для ввода пароля используется виртуальная клавиатура, которая тем самым предотвращает перехват пароля кейлоггерами.Из запущенного пространства уже можно установить IPSec VPN соединение со своим шлюзом, и работать через него в своей сети. После установления VPN соединения клиент Abra подтягивает со шлюза политики локального фаервола и ips, которые будут использованы по умолчанию при следующем запуске системы. Также при установлении VPN соединения обновляется локальный антивирус Abra. В дополнение к этому клиент получает список разрешенного для использования программного обеспечения, но для использования это ПО должно быть установлено на машине, на которой запускается Abra. Эта политика версия-независима, то есть разрешив Microsoft office мы дадим пользователю возможность пользоваться любым, имеющимся в наличии офисом.
При работе пользователю блокируется доступ к локальному диску, так что пользоваться он может только файлами, хранящимися на флеш-носителе, или полученными по сети. Использование оперативной памяти разделено с компьютером, поэтому вирусы и другое злонамеренное ПО не способно проникнуть внутрь виртуальной системы, что предохраняет от угрозы заражения как сами файлы пользователя, так и его корпоративную сеть, с которой он установит защищенное соединение. И главное этот механизм работы не требует дополнительных лицензий, как например стандартная виртуальная машина, как для операционной системы, так и для используемого ПО. Во время работы виртуальное окружение создает защищенный канал доступа к установленному на компьютере ПО, организуя безопасную работу пользователя с разрешенным политиками безопасности программами.Принцип работы таков, что после успешного логина, в виртуальном окружении, запускается новая оболочка explorer.exe и все остальные процессы запускаются по отношению к этому процессу как к родительскому, что и позволяет Abra контролировать выполнение приложений с безопасной среде. Все вызовы к приложениям перенаправляются к флеш драйву, то есть все приложения запускаемые внутри виртуальной системы работают внутри виртуальной файловой системы и реестра, находящихся на флеш-носителе, где они шифруются сразу в процессе записи на носитель.
Благодаря устройству Abra пользователь может получить доступ к своим файлам и корпоративной сети практически с любой машины, подпадающей под определение не доверенных узлов, не боясь нанести урон своей сети или данным хранимым на носителе. Также в случае потери, данные не станут доступны похитителям или людям, случайно нашедшим утерянный флеш-носитель, а ведь не секрет, что большинство громких утечек данных на западе были вызваны кражей или потерей ноутбуков. Более того, данное решение позволяет пользователю отказаться от стандартного ноутбука, который постоянно приходится носить с собой и который свои фактом присутствия, уже является целью для воров. С Abra весь функционала ноутбука помещается к кармане рубашки или джинсов, позволяя использовать мощности любого доступного пользователю компьютера, не задумываясь при этом о потенциальных угрозах которые может нести сторонний компьютер не подпадающий под используемые в компании политики безопасности. И тем самым для нас, это еще один лишний довод перед начальством за то, чтобы работать удаленно- из-за домашнего компьютера.
Надыбало наше начальство очередного вендора, чтобы запихнуть его в, и без того раздутый, продуктовый портфель. Контора называется Splunk и предлагает она одноименный продукт, являющийся системой управления инцидентами и событиями информационной безопасности (Security Information and Event Management – SIEM). Данный продукт позволяет построить единую и централизованную систему управления журналами регистрации событий, причем мониторинг, поиск, анализ и построение отчетов может происходить в режиме потока данных реального времени и в архивных версиях журналов, одновременно. Благодаря данному продукту отладка ошибок приложений и расследование инцидентов безопасности может занимать считанные минуты, а не долгие часы выборки из логов. Благодаря удобным средствам мониторинга можно избежать проблем связанных с падениями или отказами сервисов, причем по гораздо более низкой цене, чем за аналогичные решения конкурентов: Symantec Security Information Manager, IBM Tivoli Security Operation Manager, RSA EnVision, Cisco MARS. Splunk предлагает свое решение по весьма демократичной схеме (на самом деле по их заявлениям, ибо опнять цену вопроса пока не удалось): лицензирование идет за размер потока журнальной информации мегабайт/день, причем на триал система дается полнофункциональная с ограничением времени работы в 60 дней и поток до 500 мегабайт данных в день, хотя вроде как была информация том, что если система ставится для некоммерческого использования, то при сохранении лимита в 500 Мб она дается в пользование навсегда (но это надо смотреть отдельно).
Со слов разработчиков, да и по вебинару тоже, следует, что устанавливать и настраивать Splunk проще простого и сама установка займет не более 10 минут, причем для начала можно поставить решения на свою машину, с тем чтобы потом перенести его на серверное оборудование дата-центра.
Splunk может индексировать и обрабатывать данные полученные практически из любых источников, любыми возможными способами, причем в режиме реального времени. Выгрузка файлов журналирования идет через syslog, WMI polling, мониторинга логов, мониторингом изменений файловых систем или реестра Windows, netflow, SNMP и многое другое. Splunk индексирует все эти объемы информации без применения специфических парсеров или адаптеров, для получения и размещения в собственной области данных (аналогичной файловой системе), в виде сжатых и обработанных данных, уже готовых для поиска, аудита и анализа.
В случаях когда доступ центрального Splunk сервера к журнальным данным удаленных систем невозможен, но необходим, используются так называемые Splunk перенаправители, которые являясь легковесными серверами Splunk, собирают всю необходимую информацию: от выводов статус команд и заканчивая конфигурациями и атрибутами файловых систем, после чего передают данные на центральный сервер, используя защищенные соединения, также в режиме реального времени. Поскольку это легковесные сервера, то их установка и интеграция занимает очень ограниченное время и при этом эти решения бесплатны.
При увеличении объемов обрабатываемых данных, скорость доступа к журнальным данным не должна снижаться, и решение Splunk позволяют просматривать миллионы записей за секунды, благодаря масштабируемости решения, путем добавления вспомогательных серверов, между которыми, благодаря имеющемуся функционалу балансировки нагрузки, распределяются данные, снижая тем самым время отклика, повышая отказоустойчивость и оптимизируя процесс поиска.
Splunk поддерживает архитектуру распределенных систем, то есть имея несколько дата-центров, информацию с них можно аккумулировать на одном центральном узле, собирая в режиме реального времени миллионы записей со всех распределенных систем, и при этом локальные администраторы филиалов будут иметь возможность также просматривать журнальную информацию со своих систем.
Splunk обеспечивает высокий уровень защиты, как обмена информации, так и использование пользователями web и командного интерфейса, и системной активности посредством Splunk API. Можно задавать пользователям определенные права, дающие им возможность просматривать те или иные блоки данных, таких как отладочная информация или инциденты безопасности.
Система Splunk позволяет использовать модули разработанные сторонними разработчика, для расширения функционала программного продукта, или отслеживания какого либо класса устройств или производителя.
Система Splunk доступна в следующих реализациях:
Windows XP, 2003, Vista, Windows 7, 2008, 2008 R2 (32/64-bit)
2.6+ kernel Linux distributions (32/64-bit)
2.4+ kernel Linux distributions with NPTL (32-bit)
Solaris 9, 10
OSX 10.6/10.5
FreeBSD 6.x (32-bit)
FreeBSD 6.2 (64-bit)
AIX 5.2, 5.3
HP-UX 11i v2/v3
Подробнее об этой системе можно почитать на её официальном сайте: http://www.splunk.com
В процессе навигации по интернету попал на один очень , на котором выложены решебники тестов для сертификациям по многочисленным техническим вендорам, таким как Cisco, Check Point, ISS, Apple и многим другим. За такой сайт, я бы полгода назад наверное продал душу, поскольку его начинка почти идентична содержанию тестов от Testking, ActualTests и Fravo, с той лишь разницей, что комплект Q&A от этих сайтов обойдется от 50 до 150 бачей, а эти предоставляются бесплатно, то есть даром.
Поскольку в душе еще свежи воспоминания о моих душевных терзаниях, могу сказать что Check Point вопросами очень похож на те вопросы, что идут на сертификации, а вот ISS что то выглядит совершенно по другому, хотя какая то часть вопросов встречается в тестах.
При заходе на сайт доступны для скачивания первые 10 страниц, на которые влезает примерно 50 вопросов, остальное предоставляется по требованию, после того как вы покликаете на размещенную на сайте рекламу AdSense и отошлете авторам письмо с просьбой разблокировать доступ к их базе Q&A.
Система предотвращения вторжений Proventia Network IPS является одним из самых востребованных решений, в области информационной безопасности, из продуктовой линейки ISS Proventia. Система IPS, являясь системой предотвращения вторжений, позволяет защитить сеть от потенциальных угроз, неправомерной активности, коллизий, а также уменьшить последствия от заражения систем сетевыми червями, спам-ботами, троянами и прочим интернет мусором, способным поставить под удар любую систему, как подключенную к глобальной сети интернет, так и не имеющую подключений к публичным сетям. Решение от компании ISS является одним из лучших решений, представленных в сегменте IPS продуктов.
Сейчас озадачили новой тематикой- сдавать экзамены по продуктовой линейке ISS (Internet Security Systems), компании работающей на рынке безопасности уже более 10 лет, и с недавнего времени, ставшей одним из подразделений компании IBM. Компания работает на рынке весьма успешно, и предлагает богатую продуктовую линейку. Наибольший уклон в развитии технологий, компания делает в области превентивной защиты, т.е. защиты от возможных угроз, чья вероятность появления только спрогнозирована в лабораторных условиях.
Когда я начинал кропать этот блог, то передо мной стоял выбор- какому хостингу отдаться. После знакомства с русскоязычным обзором зарубежных хостинг провайдеров, и более подробного знакомства с топовыми хостерами, я остановил свой выбор на американской площадке . В данный момент на хостинге действует летняя 20% скидка на подписку, нужно только упомянуть при регистрации скидочный купон BEACH, и зарегистрироваться за $7.96, вместо $9.95.
Собственно, я распишу о своих ощущения, т.к. всю техническую подборку можно найти в подробном техническом обзореэтого хостера, и у меня нет особого желания заниматься копипейстом.
Сегодня был на 3хчасовой презентации по оборудованию Crossbeam. Штатовский вендор, специализирующийся на создании высокопроизводительного оборудования для решений в области информационной безопасности, по заверению производителя максимальная пропускная способность фаервола и IPS-модуля, под нагрузкой, составляет 40Гб/c. Такие скорости достигаются, за счет собственной внутренней высокоскоростной шины, и двух сетевых блейдов, имеющих по два 10Гб интерфейсов на борту. Два основных решения, продвигаемых компанией- это блейдовые системы x45 и x80, стоимостью, при полном фарше, под пол-ляма зелени. Максимальная загрузка шасси составляет 14 блейдов, причем как минимум по одному под сетевой модуль и модуль управления (как максимум по два, для достижения отказоустойчивости). Управляющую модуль несет свою собственную ось XOS, которая как принято в области безопасности, создана на базе RHEL, при этом синтаксис CLI очень смахивает на cisco’ревское общение с железяками.
