Банк-клиент ВТБ: спасайсь, кто может, Закономерный результат использования небезопасного софта Опции

ты путаешь правильный арм для работы с клиент-банком с обычным пк, на котором SME пользуются ДБО

второй вариант как-то года два уже не видел, люди думать головой стали, хотя бы некоторые

второй вариант вижу каждый день. первый вариант по пальцам руки.

"Данный вирус использует четыре ранее неизвестные уязвимости системы Microsoft Windows, одна из которых «нулевого дня» (zero-day), направленная на распространение при помощи USB-flash накопителей."
по твоей ссылке. в описанной мной ситуации - вариант с зараженной флешкой исключён, вариант с заражением по сети - исключен в виду отсутствия в сети других, потенциально зараженных, узлов.

Компьютеры, на которые был нацелен stuxnet не были соединены в сеть, (по соображениям безопасности, естественно), поэтому единственный вариант обмена данными с ними - это флешки. Так что их использование соответсвовало требованиям информационной безопасности целевого объекта. Так что, исключительно с помощью флешек и вендодыр, вирусу удалось заразить сотни тысяч персоналок, оставаясь незамеченным, проникнуть на охраняемый войсками завод, заразить не сетевые компы, получить управление производством и вывести из строя оборудование. Выводы каждый сам сделает.

описанная тобой ситуация (в реальности события развивались по другому и сеть там всё же была) показывает, что нормы ИБ заданные тобой же не выполнялись - в этот замкнутый контур автономных компов попадали непонятные флешки.

Что такое национальная платежная система и зачем она нужна, если уже есть интернет банкинг?

ну, по пунктикам об [обще]национальной платежной системе:

обще... - значит, что охват граждан близок к 100%, через нее можно провести 100% платежей в пользу юрлиц, 100% платежей в пользу граждан и процентов 80-90 розничных платежей.
национальная - платежи, проводимые внутри страны, за пределы страны не выходят никак (так что Виза при всей ее распространенности не проходит)
система - значит, что работа с ней единообразна и мало зависит от банка, а по условиям и по формату документов - не зависит никак.

Должна обеспечивать наряду с онлайн-платежами, ПОСами и интернет-банкингом еще и безболезненную и оперативную обработку бумажных платежных документов (чеков, выставленных на оплату жиро и т.д.).

Должна быть общедоступна по цене - транзакция на 20 рублей не должна никого удивлять.

Должна быть проста в использовании; получатель должен идентифицироваться просто номером счета и, возможно (но крайне нежелательно), названием банка...

Куски всего этого где-то как-то в РФ есть, но системы - нет и близко.

ну, по пунктикам об [обще]национальной платежной системе:
.............................
Куски всего этого где-то как-то в РФ есть, но системы - нет и близко.

...а о крайней нежелательности для США создания чего-либо подобного в РФ было озвучено месяца три назад на уровне то ли Обамы, то ли Клинтон...

типа: это поломает бизнес визы et al...

описанная тобой ситуация (в реальности события развивались по другому и сеть там всё же была) показывает, что нормы ИБ заданные тобой же не выполнялись - в этот замкнутый контур автономных компов попадали непонятные флешки.

Ссылку на то, как в реальности события развивались по другому покажешь?

ИМХО, была бы сеть - не было бы эпидемии, с сетью флешки не нужны, а стукснет той версии по сети не распространяется.

Вероятнее всего, конечно, это по раздолбайству. Однако, при правильном подходе, не составит труда заслать в "замкнутый контур автономных компов" одну флешку, замаскированную под мышку, например и дальше виндодыры все сделают сами. Да это и не важно, если при втыкании флешки под обычным пользователем происходит заражение с поднятием привиллегий, эпический вендофейл безоговорочен.

Что такое национальная платежная система и зачем она нужна, если уже есть интернет банкинг?

ну, по пунктикам об [обще]национальной платежной системе:

обще... - значит, что охват граждан близок к 100%, через нее можно провести 100% платежей в пользу юрлиц, 100% платежей в пользу граждан и процентов 80-90 розничных платежей.
национальная - платежи, проводимые внутри страны, за пределы страны не выходят никак (так что Виза при всей ее распространенности не проходит)
система - значит, что работа с ней единообразна и мало зависит от банка, а по условиям и по формату документов - не зависит никак.

Должна обеспечивать наряду с онлайн-платежами, ПОСами и интернет-банкингом еще и безболезненную и оперативную обработку бумажных платежных документов (чеков, выставленных на оплату жиро и т.д.).

Должна быть общедоступна по цене - транзакция на 20 рублей не должна никого удивлять.

Должна быть проста в использовании; получатель должен идентифицироваться просто номером счета и, возможно (но крайне нежелательно), названием банка...

Куски всего этого где-то как-то в РФ есть, но системы - нет и близко.

То есть помимо существующего неконвертируемого рубля предлагается сделать еще один внутренний нанорубль, платить им зарплаты и пенсии, при этом "платежи, проводимые внутри страны, за пределы страны не выходят никак"? Данунах такой общенациональной платежной системе.

Ссылку на то, как в реальности события развивались по другому покажешь?

на той же википедии снизу есть ссылки на "инцидент репорт" с хронологией от различных более менее уважаемых специалистов.

ИМХО, была бы сеть - не было бы эпидемии, с сетью флешки не нужны, а стукснет той версии по сети не распространяется.

ну и какой это "той" версии стукснет по сети не распространяется если из 4 zero-day уязвимостей только одна была нацелена на внешние накопители?
тем более, я тебе изначально, в том числе, про контроль портов говорил (юсб), а ты гришь что от стукснета это бы не помогло.

Вероятнее всего, конечно, это по раздолбайству. Однако, при правильном подходе, не составит труда заслать в "замкнутый контур автономных компов" одну флешку, замаскированную под мышку, например и дальше виндодыры все сделают сами.

комплекс административных и технических мер должен исключать раздолбайство.
а при правильном подходе не составит труда что угодно, т.к. против государства нет защиты, у доброй части государств хватит ресурсов сделать что угодно где угодно и мужики с ружьями не спасут.

например и дальше виндодыры все сделают сами.

подготовленный специалист(ы) пролезет и через "любаяОС"дыры.

Да это и не важно, если при втыкании флешки под обычным пользователем происходит заражение с поднятием привиллегий, эпический вендофейл безоговорочен.

в правильной ситуации для флешки, как минимум, не установятся дрова (хотя это и не панацея от некоторых вещей))).

и опять же, нельзя сказать, что использование ОС %N и софта %N гарантирует безопасность. так не бывает.

То есть помимо существующего неконвертируемого рубля предлагается сделать еще один внутренний нанорубль

Обычный рубль, такой же, как на всех сбербанковских счетах. Другое дело, что нормальная платежная система убьет всякие яндекс-псевдоденьги и смс-платежи, так туда им и дорога. "Невыход за пределы" значит просто, что все внутренние транзакции обрабатываются без помощи американцев

То есть помимо существующего неконвертируемого рубля предлагается сделать еще один внутренний нанорубль

Обычный рубль, такой же, как на всех сбербанковских счетах. Другое дело, что нормальная платежная система убьет всякие яндекс-псевдоденьги и смс-платежи, так туда им и дорога. "Невыход за пределы" значит просто, что все внутренние транзакции обрабатываются без помощи американцев

собственно, это одна из первоочередных задач - свобода от визы и мастеркарда.

подготовленный специалист(ы) пролезет и через "любаяОС"дыры.

иногда беспилотник без опознавательных знаков намного проще и дешевле

другое дело, что в случае свободной ОС нельзя гарантировать, что нужные дыры будут in place :angry: имхо потому так яростно продавливается семёрка

подготовленный специалист(ы) пролезет и через "любаяОС"дыры.

иногда беспилотник без опознавательных знаков намного проще и дешевле

другое дело, что в случае свободной ОС нельзя гарантировать, что нужные дыры будут in place :angry: имхо потому так яростно продавливается семёрка

никуда она не продавливается. если правительство страны говорит (задаёт стратегию\политику), что для критичных функций мы используем свои технологии, то так и будет и никакие продавливания ни где ни на что не повлияют. а там где целенаправленно стоит семёрка - она стоит потому, что так и должно быть ((: на государственном уровне все всё прекрасно понимают и это касается не только софта.

numberfive речь идёт про каналы для дезорганизации частного бизнеса и вообще всего, куда не дотягиваются требования сертификации.

Ливийско-сирийский пример -- посты в твиттере с правильным айпишником могут послужить поводом для военных действий.

numberfive речь идёт про каналы для дезорганизации частного бизнеса и вообще всего, куда не дотягиваются требования сертификации.

задача врага №1 - дезорганизовать частный бизнес. шапочка из фольги в комплекте.

numberfive в правильной ситуации для флешки, как минимум, не установятся дрова (хотя это и не панацея от некоторых вещей))).

Отключение USB носителей в сети виндовсов по учебнику дыряво. А именно - нужно сунуть в порт какой нибудь девайс, например мобильник, винда, увидев чтото непонятное, загрузит все драйвера пофигу, что там написано в реестре. Потом можно совать в этот же порт флешку. Вуаля! Она заведется! Относительно надежным решением может быть повреждение (не удаление, а именно порча) usbstor.sys и отобрать права на него у SYSTEM. Доставляющее занятие, если в сети сотни машин! Дыра была на ХР и найдена нашими СБ - шниками за 3 дня. В более поздних версиях не знаю, мы всех пересадили на тонких клиентов.

и опять же, нельзя сказать, что использование ОС %N и софта %N гарантирует безопасность. так не бывает.

Верно, но так же верно и то, что использование виндов и вендо софта показало свою полную несостоятельность в плане безопасности. И Да, я признаю, что погорячился насчет способностей stuxnet размножаться по сети, таки умеет, зараза... Хотя учитывая количество вендодырок, например, дефолтно поднятый SMB на системных шарах C$, admin$, глупо былобы не воспользоваться.

Другое дело, что нормальная платежная система убьет всякие яндекс-псевдоденьги и смс-платежи, так туда им и дорога.

Никогда не пользовался ни тем ни другим, так что лично мне их существавание никак не мешает. Наверное, единая система это неплохо, но я не могу придумать ситуации, которую решает эта единая система и которую любой желающий не сможет решить сейчас, существующими средствами. Поэтому целесообразность ее создания, по меньшей мере, не очевидна.

R3PO

Отключение USB носителей в сети виндовсов по учебнику дыряво. А именно - нужно сунуть в порт какой нибудь девайс, например мобильник, винда, увидев чтото непонятное, загрузит все драйвера пофигу, что там написано в реестре. Потом можно совать в этот же порт флешку. Вуаля! Она заведется! Относительно надежным решением может быть повреждение (не удаление, а именно порча) usbstor.sys и отобрать права на него у SYSTEM. Доставляющее занятие, если в сети сотни машин! Дыра была на ХР и найдена нашими СБ - шниками за 3 дня. В более
поздних версиях не знаю, мы всех пересадили на тонких клиентов.

методов софтового отключения портов тыщи (а тот, на который дана ссылка достаточно слабый в целом), но суть не в этом .
мы вроде обсуждали безопасность ПК используемого для критичных финансовых операций, к которому имеет доступ минимум людей, на котором не стоит лишнего софта и не выполняются лишнии функции.
к нему никто не должен приближаться с юсб устройствами и тыкать их в порты (которые можно и выпаять)))

Верно, но так же верно и то, что использование виндов и вендо софта показало свою полную несостоятельность в плане безопасности.

это тебя тыщи вирусов на домашних ПК смущают? а примеры из жизни критических функций больших компаний с хорошей ИБ культурой есть? у меня есть без привзки к ОС и софту.

Наверное, единая система это неплохо, но я не могу придумать ситуации, которую решает эта единая система и которую любой желающий не сможет решить сейчас, существующими средствами. Поэтому целесообразность ее создания, по меньшей мере, не очевидна.

а если американские платежные системы "отключат" россию (фантастический вариант), что ты будешь делать?

Это вы про какую то другую Россию, в той России, где я живу полно банков у которых практически бесплатно - обыкновеннейший банковский текущий счет, с которого можно (фанфары!!!) совершить любую (вообще любую) легальную финансовую транзакцию, при чем в онлайне, любым браузером, не отрывая попу от стула.

Да?
Очень интересно.
Вы не дадите мне адрес такового вот банка, а то поставщики товара принимают от меня деньги только с расчетного счета ИП, который зарегистрирован в налоговой.
С "гражданского" не берут, поскольку там имеется (обязательный) пункт, что оплата производится не в качестве предпринимательской деятельности. Соотвественно, если я даже отправлю деньги с обычного счёта, то они не пройдут, поскольку в платёжке одна буковка, характеризующая тип операции, будет не та и руками её никак не проставить.

методов софтового отключения портов тыщи (а тот, на который дана ссылка достаточно слабый в целом), но суть не в этом .

Суть именно в этом - тыщи ненадежных методов , вместо одного гарантированного.

мы вроде обсуждали безопасность ПК используемого для критичных финансовых операций, к которому имеет доступ минимум людей, на котором не стоит лишнего софта и не выполняются лишнии функции. к нему никто не должен приближаться с юсб устройствами и тыкать их в порты (которые можно и выпаять)))

Выпаять, а принтер куда? Впаять принтер? И ключ впаять, то есть он будет постоянно в компе? Небезупречное решение проблем с безопасностью, мягко скажем. На заводе по переработке урана были ПК, используемые для критичных технологических операций, к которым имели доступ минимум людей, на котором не стояло лишнего софта и не выполняются лишнии функции. Это не помогло. Компьютер с виндовсом безопасен только в вырожденном случае, с постоянным соблюдением всех приведенных и не приведенных тобой условий, что в реальной жизни не встречается. Проще сразу обесточить.

примеры из жизни критических функций больших компаний с хорошей ИБ культурой есть?

Есть. Но там на критических функциях нет виндов.

у меня есть без привзки к ОС и софту.

Ого! ИТ система без ОС и софта?

а если американские платежные системы "отключат" россию (фантастический вариант), что ты будешь делать?

Это означает самостоятельный американский отказ от доллара как мировой рассчетной валюты. Или штатыкапец. Буду рвать бояны.

Это вы про какую то другую Россию, в той России, где я живу полно банков у которых практически бесплатно - обыкновеннейший банковский текущий счет, с которого можно (фанфары!!!) совершить любую (вообще любую) легальную финансовую транзакцию, при чем в онлайне, любым браузером, не отрывая попу от стула.

Да?
Очень интересно.
Вы не дадите мне адрес такового вот банка, а то поставщики товара принимают от меня деньги только с расчетного счета ИП, который зарегистрирован в налоговой.
С "гражданского" не берут, поскольку там имеется (обязательный) пункт, что оплата производится не в качестве предпринимательской деятельности. Соотвественно, если я даже отправлю деньги с обычного счёта, то они не пройдут, поскольку в платёжке одна буковка, характеризующая тип операции, будет не та и руками её никак не проставить.

Легальную транзакцию, значит транзакцию, соответсвующую всем действующим правилам финансового учета. То что для предпринимательской денятельности существуют какие то ограничения к рассматриваемому вопросу отношения не имеет. Да и что, в вашем случае, изменит единая платежная система? Во вторых, кто мешал открыть ИП счет в банке с нормальным веб кабинетом?

но я не могу придумать ситуации, которую решает эта единая система и которую любой желающий не сможет решить сейчас, существующими средствами. Поэтому целесообразность ее создания, по меньшей мере, не очевидна.

Во-первых просто очень удобно, во-вторых в перспективе позволяет практически избавиться от налички. Нынешняя банковская инфраструктура (тем более Виза и Мастеркард) увеличения количества операций на 2 порядка не выдержат.

Сообщение отредактировал archnae - 20.6.2011, 15:44

R3PO

Суть именно в этом - тыщи ненадежных методов , вместо одного гарантированного.

гарантированных тоже тыщи ((:

Выпаять, а принтер куда? Впаять принтер? И ключ впаять, то есть он будет постоянно в компе? Небезупречное решение проблем с безопасностью, мягко скажем. На заводе по переработке урана были ПК, используемые для критичных технологических операций, к которым имели доступ минимум людей, на котором не стояло лишнего софта и не выполняются лишнии функции. Это не помогло. Компьютер с виндовсом безопасен только в вырожденном случае, с постоянным соблюдением всех приведенных и не приведенных тобой условий, что в реальной жизни не встречается. Проще сразу обесточить.

а принтер оставить в другой комнате, подключить к обычному ПК.

На заводе по переработке урана были ПК, используемые для критичных технологических операций, к которым имели доступ минимум людей, на котором не стояло лишнего софта и не выполняются лишнии функции. Это не помогло.

ты так рассказываешь, как будто имеешь представлей об их внутренней кухне (((: если принесли с улицы флешку с вирусом, то либо так и было задумано тем, кто это сделал, либо культура ИБ там низка и подключение левых флешек - обычное дело. какие еще есть варианты?
и откуда ты знаешь как был организован доступ к ПК и что там стоял за софт? (((: то, что так должно быть в идеальном мире - не ответ.
про безопасонсть винды ответ всё тот же, нет такой ОС которая бы гарантировала безопасность от подготовленной группы специалистов с бесконечными ресурсами, просто нет.

Есть. Но там на критических функциях нет виндов.

то есть у тебя есть примеры косяков с ИБ в критических функциях больших компаний, которые не гоняли их под виндой? ((((: ну ок, подтверждает мои слова.

Ого! ИТ система без ОС и софта?

капитан сообщает, что "без привязки к ОС и софту" означает, что на результат в ситуациях не влияло то, какие ОС и софт были установлены.

Это означает самостоятельный американский отказ от доллара как мировой рассчетной валюты. Или штатыкапец. Буду рвать бояны.

а для россии последствий не видишь? а если это будет в случае когда такие санкции америки поддержит мировое сообщество (мало ли)? у кого будет полный рот проблем? капитан подсказывает, что не смотря на дискредитацию доллара как мировой валюты, в данном случае полный рот проблем будет у россии.