Miért nem tudsz úgy blogolni, mint Lukatsky? Alekszej Lukatsky. Interjú a Cisco Business Consultant Blog Lukatskiy információbiztonsággal
O válasznyilvánvalónak tűnő. Ahhoz, hogy olyan blogot írhasson, mint Lukatsky, Lukatsky-nak kell lennie. De nézzük meg alaposabban a saját blog vezetésének módszereit és motivációit.A blogírás egy drog. Még akkor is, ha ma már írtál egy csomó bejegyzést, tweetet és megjegyzést az összes lehetséges közösségi médiába, egyre többet akarsz. Minél több érdeklődő információ rakódik rád, annál inkább szeretnél blogokat, oldalakat, oldalakat fogyasztani. Minél több csatornán keresztül terjesztheti információit, annál több módra van szüksége a külvilággal való kommunikációhoz.
Bármely blog valódi értéke tulajdonosa számára egy megfizethető módja annak, hogy információkat közöljön széles közönséggel. Ráadásul egy blog lehetővé teszi, hogy növelje önbecsülését, elrejtse belső gyengeségeit, és éppen ellenkezőleg, kifelé tárja fel erényeit.
Saját márka létrehozásának vágya
A blogírás első oka az, hogy legyen mondanivalója a közönségnek. A világ telítődik információval, növekszik a hasznos és időszerű információk iránti kereslet, ami új lehetőségeket ad azoknak az embereknek, akik ezt a lehetőségük kibontakoztatásának módjának tekintik.
A második ok meglehetősen önző – a vágy, hogy saját márkát hozz létre, vagyis azt csináld, amit szeretsz, hogy abból személyes hasznot húzz (hoppá, véletlenül fogalmazta meg minden hacker álma).
Nézzük meg, hogy megvannak-e az előfeltételei a saját márka létrehozásához a közösségi hálózatokon.
Először is, amikor a blogírás témáját választja, valamire összpontosítania kell. Van választási problémád.
1. A közölt információ márkaneve (feltételezzük, hogy ez valamiféle exkluzív, a’la Arustamyan a futballból a maga álhíreivel).
2. Szakértői márka - ki kell érdemelni, és ez egy hosszú és tüskés út. A műhelyben dolgozó kollégáknak fel kell ismerniük az Ön személyében egy olyan szakembert, aki kiváló minőségű információkat tud hozzáférhető formában közvetíteni.
3. Tudásmárka - ahhoz, hogy a tudást a közönségnek közvetítsük, először meg kell szerezni, és ez olyan munka, amely nem biztos, hogy kifizetődő. Mindenesetre növelnie kell a potenciálját a szakma képviselőjeként.
4. Nos, és a leggyakoribb lehetőség, hogy te csak egy tehetséges ember vagy, kitör benned a vágy, hogy híres legyél, és nem számít, miről írsz / beszélsz (a kezdő bloggerek többsége így gondolja).
Meg kell tanulnod úgy előadni az anyagot, hogy az a) érthető legyen, b) releváns legyen, majd ami tetszik: érdekes, izgalmas, aforisztikus, könnyed, humoros. Hiszen az írás vagy a nyilvános beszéd megtanulható és tapasztalattal járó készségek.
A legtöbb ember (a cikk kontextusában - bloggerek) vagy mások gondolatait értelmezi (pontosan azt, amit most csinálok), vagy összesíti a sajtóközleményeket (események, állások stb.), beleértve a saját márkájú híreinek sugárzását / termék , a szükséges tartalom közzététele kiállításokról, konferenciákról, előadásokról stb. De még ebben az esetben sem tudnak jó minőségű anyagokba belepakolni az információkat (nem tekintjük a hivatásos újságírókat). És miért? Az anyagok híradása a célközönség többségének megfelel. A mostani időhiány és a rengeteg anyag miatt az olvasónak nincs elég ereje és türelme.
A címben szereplő kijelentés ellenére, ha nem is úgy, mint Lukatsky, de minden megvan ahhoz, hogy híres bloggerré váljon - olyan emberré, aki tudja, hogyan kell írni, és kész arra, hogy minden szabadidejét ennek a foglalkozásnak szentelje.
Ehhez mindössze öt kifejezésre van szükség.
Először is szerencse kell. (és ez az egyik oka annak, hogy miért nem leszel Lukatsky). Nem mindenki olyan szerencsés, mint Lukatsky. Tudással, tapasztalattal, és ami a legfontosabb, modern biztonsági technológiákkal rendelkezik. Fontos (és ebből is látszik), hogy támogatást kap a cégétől. Ami korábban csak hobbija volt Lukatsky számára, az új megközelítéssé vált a vállalat számára a szükséges információk továbbításában. A közösségi médiában való népszerűsége miatt Lukatsky blogja a cégen belül is márkává vált (kétlem, hogy ez legalábbis kezdetben jól átgondolt stratégia volt). Ez a Lukatsky által képviselt üzlet részévé vált ( Cisco ). Őszintén szereti munkáját, és érdeklődése átkerül a közönség felé. Nemcsak a tevékenységi területtel foglalkozik, hanem az iparág egészének állapotával is, és ez magával ragadó.
A második a belső energia, a személyes karizma és a tapasztalat koktélja
A nyilvános beszédhez karizma, ragyogó személyiség kell. Lukatskyt különféle eseményekre hívják meg, mert képes egyszerű szavakkal elmagyarázni az összetett dolgokat (ez a készség, amelyet el kell tanulni), és kiválóan ismeri a témakört.
Negyedszer – lásd az erdőt a fák előtt
Látni/érezni/tudni kell a blog célközönségének problémáit. A legjobb bloggerek felbecsülhetetlen segítséget nyújtanak blogjaik olvasóinak a problémák megoldásában. Rendszeresen és jól csinálják, ha anyagot szednek, és világos és érdekes blogbejegyzésekbe csomagolnak.
A blog nem csak információközlési módszer, hanem karrier növekedési lehetőség is (senki sem próféta a saját hazájában). Lukatsky egy példa arra, hogyan lehet új pozíciót létrehozni egy vállalatnál – egy domain tolmácsot, hogy új közönséget vonzzon.
És végül az ötödik - a blogírás vasfegyelmet igényel hogy rendszeresen (minél gyakrabban, annál jobb) tegyen közzé anyagokat a blogján.
Nos, kiegészítő, opcionális lehetőségként kívánatos rendszeresen képzési szemináriumokat tartani hogy reklámozza a márkáját.
Egy híres mondást átfogalmazva: az emberek elfelejtik, amit írtál, az emberek elfelejtik, amit mondtál, az emberek nem felejtik el, amit neked köszönhetően megértettek. Most minden vas azt sugározza, hogy Lukatsky szemináriumot tart holnap a személyes adatokról (talán ez a PR egy formája, a robotok már régóta sugároznak, IVR -technológiák, vagy tényleg megmaradtak még Oroszországban a távoli kamcsatkai falvak, amelyek lakói nem vettek részt Lukatsky személyes adatokkal foglalkozó szemináriumán?). De komolyra fordítva a szót, cikkeit, prezentációit, diákjait minden közönségnek replikálják és élik a saját életét, és ez normális, erősíti a márkát.
Tehát nem fogsz tudni blogot írni, mint Lukatsky. És ki csinálta, mikor hagyta abba?! Ahogy Andrej Knisev viccelődött: "Aki magasabbra mászott, csak korábban mászott."
1992 óta dolgozom az információbiztonság területén. Információbiztonsági szakértőként dolgozott különböző kormányzati és kereskedelmi szervezeteknél. A titkosító eszközök programozójából és adminisztrátorból elemzővé és üzletfejlesztési menedzserré vált az információbiztonság területén. Számos bizonyítványt szerzett az információbiztonság területén, de leállította a versenyt a jelvényekért. Jelenleg mindent beleadok a Ciscóba.
Több mint 600 nyomtatott munkát publikált különböző kiadványokban - CIO, információs szolgálat igazgatója, National Banking Journal, PRIME-TASS, Information Security, Cnews, Banking Technologies, Analytical Banking Journal, "Business Online", "A kommunikáció világa. Kapcsolódás”, „Eredmények”, „Rational Enterprise Management”, „Fungers and Acquisitions” stb. A 2000-es évek közepén már nem tartotta reménytelen gyakorlatnak publikációit. Jelenleg az interneten blogolok "Vállalkozás veszély nélkül".
2005-ben elnyerte a Dokumentumfilm Távközlési Szövetség "Az oroszországi infokommunikáció fejlesztéséért", 2006-ban pedig az Infofórum díjat az "Év kiadványa" jelölésben. 2007 januárjában bekerült az orosz IT-piac 100 fős besorolásába (amit nem értettem). 2010-ben megnyerte az Oroszlánok és Gladiátorok versenyt. 2011-ben megkapta az Orosz Föderáció belügyminiszteri oklevelét. Az Infosecurity konferencián háromszor - 2013-ban, 2012-ben és 2011-ben (oktatási tevékenységért) - Biztonsági Díjat kapott. Ugyanezen tevékenységéért, vagy inkább blogírásért 2011-ben megkapta a Runet Anti-Prize-t a "Biztonságos tekercs" jelölésben. 2012-ben az Orosz Bankok Szövetsége kitüntetésben részesítette az orosz bankrendszer biztonságának fejlesztéséhez nyújtott nagymértékű hozzájárulását, 2013-ban a magnyitogorszki fórumon pedig "Módszertani támogatásért és a bankbiztonság terén elért eredményekért" díjat kapott. ." 2013-ban és 2014-ben is a DLP-Expert portált választották a legjobb információbiztonsági előadónak. A Ciscónál eltöltött ideje alatt számos belső díjjal jutalmazták.
2001-ben kiadta Attack Detection című könyvét (ennek a könyvnek a második kiadása 2003-ban jelent meg), 2002-ben pedig az I.D.-vel együttműködve. Medvedovsky, P.V. Szemjanov és D.G. Leonov - a "Támadás az internetről" című könyv. 2003-ban megjelentette a "Protect Your Information With Intrusion Detection" című könyvét (angol nyelven). 2008 és 2009 között a bankir.ru portálon megjelentette a "Myths and Fallacies of Information Security" című könyvet.
Számos kurzus szerzője vagyok, köztük a "Bevezetés a behatolásészlelésbe", "Behatolásészlelő rendszerek", "Hogyan kapcsoljuk össze a biztonságot egy vállalat üzleti stratégiájával", "Mit rejt a személyes adatok törvénye", "ISIS és szervezetelmélet" , "A teljesítmény információbiztonságának mérése", "IS architektúra és stratégia". Információbiztonságról tartok előadásokat különböző oktatási intézményekben, szervezetekben. A FIDO hálózatban a RU.SECURITY echo konferencia moderátora volt, de felhagyott ezzel az üzlettel, mivel a legtöbb szakember az internetre vándorolt.
Az orosz sajtóban először foglalkozott a témával:
- Üzleti információbiztonság
- M&A biztonság
- Az információbiztonság hatékonyságának mérése
- SOA biztonság
- Számlázási rendszerek biztonsága
- megtévesztő rendszerek
- IP-telefon biztonság
- Adattároló rendszerek biztonsága (tárolás)
- Hotspot biztonság
- Call center biztonság
- Szituációs központok alkalmazásai az információbiztonságban
- mobil spam
- Mobilhálózat biztonsága
- És sokan mások.
Nős vagyok, van egy fiam és egy lányom. Szabadidőmet igyekszem a családomnak szentelni, bár a Szülőföld és a munkáltató érdekében végzett kimerítő munka szinte nem hagy ilyen időt. A munkává vált hobbik vagy a hobbivá vált munka az írás és az információbiztonság. Gyermekkorom óta foglalkozom turizmussal.
PS. Fotók internetes kiadványokhoz (letöltés fent vagy
Mai vendégünk Alexey Lukatsky, az információbiztonság területén ismert szakértő és a Cisco üzleti tanácsadója. A beszélgetés fő témája egy rendkívül érdekes terület volt – a modern autók és egyéb járművek biztonsága. Ha szeretné tudni, hogy miért törnek fel még gyakrabban a drónok, mint az autók, és miért blokkolják a mezőgazdasági gépgyártók a gépeiken az illetéktelen javításokat firmware szinten, olvass tovább!
A modern autók biztonságáról
A legtöbb emberben veszélyes tévhit él, miszerint az autó valami egyedi, különbözik egy normál számítógéptől. Valójában nem.
Izraelben a Ciscónak külön részlege van, amely az autóipari kiberbiztonsággal foglalkozik. Az egyik izraeli startup felvásárlása után jelent meg, amely ezen a területen dolgozott.
Az autó nem különbözik az otthoni vagy vállalati hálózattól, amint azt különböző tanulmányok is bizonyítják, amelyek azt vizsgálják, hogy mit tehet egy behatoló egy autóval. Kiderült, hogy az autókban is vannak számítógépek, csak azok kicsik és nem feltűnőek. ECU-nak (Electronic Control Unit) hívják őket, és tucatnyian vannak az autóban. Minden elektromos ablak, fékrendszer, gumiabroncsnyomás-ellenőrző, hőmérséklet-érzékelő, ajtózár, fedélzeti számítógépes rendszer és így tovább mindegyik számítógép más-más munkát végez. Az ilyen számítógépes modulokon keresztül megváltoztathatja az autó logikáját. Mindezeket a modulokat egyetlen hálózatba egyesítik, a kábelek hosszát néha kilométerben mérik, az interfészek száma több ezer, a kód mennyisége pedig több millió sor egy normál fedélzeti számítógép és általában a teljes elektronikus töltés (űrhajóban kevesebb van belőlük). Különböző becslések szerint a modern autók 40%-a elektronika és szoftver. A szoftver mennyisége a prémium autókban akár egy gigabájtot is elérhet.
Nem veszem figyelembe az orosz autóipar termelését, ahol szerencsére (biztonsági szempontból) nincs komoly számítógéptömés. De ha szinte az összes külföldi autógyártót figyelembe vesszük, akkor most mindegyikük számítógépesíti autóik legtakarékosabb modelljeit is.
Igen, az autókban van számítógép. Igen, saját adatcsere-protokolljuk van, ami nem valami titkos: lehet csatlakozni hozzájuk, adatokat lehallgatni és módosítani. Amint azt az olyan gyártók gyakorlatából származó esetek mutatják, mint a Toyota, a Chrysler Jeep, a GM, a BMW, a Chevrolet, a Dodge és a Mercedes-Benz, a támadók elég jól megtanulták elemezni, mi történik az autóban, megtanulták elemezni az autók kölcsönhatását. külvilág az autóval. A szakértők becslése szerint az autókban tesztelt szoftveralkalmazások 98%-a (és az összes innováció akár 90%-át is ezek biztosítják) súlyos hibákkal rendelkezik, és egyes alkalmazásoknál több tucat ilyen hiba van.
Most különböző európai és amerikai projektek keretében úgynevezett smart utak jönnek létre.(pl. EVITA, VANET, simTD projektek). Lehetővé teszik az autó számára, hogy kommunikáljon az útfelülettel, közlekedési lámpákkal, parkolókkal, forgalomirányító központokkal. Az autó képes lesz automatikusan, emberi beavatkozás nélkül irányítani a forgalmat, forgalmi dugókat, parkolókat, lassítani, információkat kapni a forgalmi eseményekről, így a beépített navigátor önállóan újra tudja építeni az útvonalat és a kevésbé forgalmas autópályákon irányítani az autót. Mindez az interakció most sajnos szinte védtelen módban zajlik. Maga az autó és ez a kölcsönhatás szinte semmilyen módon nem védett. Ez annak a közkeletű tévhitnek köszönhető, hogy az ilyen típusú rendszereket nagyon nehéz tanulmányozni, és senkit sem érdekelnek.
Vannak üzleti vonatkozású problémák is. Az üzletet az irányítja, aki először lép be a piacra. Ennek megfelelően, ha a gyártó elsőként dobott piacra egy bizonyos újdonságot, nagy részesedést szerzett ezen a piacon. Ezért a biztonság, amelynek bevezetése és ami a legfontosabb, tesztelése sok időt igényel, sok vállalkozást mindig visszahúz. Gyakran emiatt a cégek (ez nem csak az autókra vonatkozik, hanem a dolgok internetére is) vagy későbbre halasztják a biztonságot, vagy egyáltalán nem foglalkoznak vele, megoldva egy hétköznapibb feladatot - egy termék gyors kiadását. a piacra.
A múltban előforduló ismert feltörések a fékek működésébe való beavatkozással, a motor leállításával menet közben, az autó helyére vonatkozó adatok elfogásával, az ajtózárak távvezérléssel történő kikapcsolásával kapcsolatosak voltak. Ez azt jelenti, hogy a támadóknak meglehetősen érdekes lehetőségeik vannak bizonyos műveletek végrehajtására. Szerencsére, bár a való életben nem hajtanak végre ilyen akciókat, ez inkább az úgynevezett proof-of-concept, vagyis egyfajta demonstráció az autólopás, menet közbeni megállítás, irányítás átvételének lehetőségeiről, stb.
Mit lehet ma tenni az autóval? Feltörni a közlekedésirányítási rendszert, ami közlekedési balesetekhez és forgalmi dugókhoz vezet; elfogni a PKES jelet és ellopni az autót; útvonalváltás RDS-en keresztül; önkényesen gyorsítsa fel az autót; blokkolja a fékrendszert vagy a motort útközben; POI-pontok módosítása a navigációs rendszerben; elfogja a helyet vagy blokkolja a helyinformáció továbbítását; blokkolja a lopásról szóló jel továbbítását; tartalmat lopni a szórakoztató rendszerben; módosítsa az ECU-t és így tovább. Mindez megtehető mind közvetlen fizikai eléréssel, az autó diagnosztikai portjához való csatlakozással, mind a módosított firmware-es CD-n vagy a PassThru mechanizmuson keresztüli közvetett fizikai hozzáféréssel, valamint vezeték nélküli hozzáféréssel közelről (pl. , Bluetooth) vagy nagy távolságokra (például interneten vagy mobilalkalmazáson keresztül).
Hosszú távon, ha az eladók nem gondolnak arra, hogy mi történik, ez szomorú következményekkel járhat. Vannak egészen egyszerű példák, amelyek még nem azt jelzik, hogy a hackerek aktívan vették volna fel az autókat, de már alkalmazhatók a való életben. Például a GPS vagy GLONASS érzékelőkkel rendelkező beépített tachográfok elnyomása. A GLONASS-szal még nem hallottam ilyen esetekről az orosz gyakorlatban, de Amerikában voltak előzmények a GPS-szel, amikor a támadók elakadtak egy gyűjtők páncélozott autójának jelét és ellopták egy ismeretlen helyre, hogy feltépjék és kihúzzák az összeset. az értékeket. Ezen a területen végeztek kutatásokat Európában, az Egyesült Királyságban. Az ilyen esetek az autó elleni támadások első lépései. Mert minden mást (a motor leállítását, a fékek leállítását menet közben) a gyakorlatban szerencsére soha nem hallottam. Bár már az ilyen támadások lehetősége is azt sugallja, hogy a gyártóknak és legfőképpen a fogyasztóknak meg kell gondolniuk, mit csinálnak és mit vásárolnak.
Érdemes elmondani, hogy még a titkosítást sem használják mindenhol. Bár a titkosítást kezdetben biztosíthatja a tervezés, ez közel sem mindig engedélyezve van, mert terheli a csatornát, bizonyos késéseket okoz, és az eszközhöz kapcsolódó egyes fogyasztói jellemzők romlásához vezethet.
Számos országban a titkosítás egy nagyon specifikus üzlettípus, amelyhez engedélyt kell kérni a kormányzati szervektől. Ez bizonyos korlátozásokat is támaszt. A titkosítási funkciókat tartalmazó berendezések exportja az úgynevezett Wassenaari kettős felhasználású technológiai export megállapodások hatálya alá tartozik, amelyek a titkosítást is tartalmazzák. A gyártónak be kell szereznie a gyártó országából a kiviteli engedélyt, majd be kell szereznie a behozatali engedélyt arra az országra, ahová a terméket behozza. Ha a szoftverrel már megnyugodott a helyzet, bár ott vannak nehézségek és korlátok, akkor még mindig vannak gondok az olyan újszerű dolgokkal, mint a titkosítás a dolgok internetén. A helyzet az, hogy senki sem tudja, hogyan kell szabályozni.
Ennek azonban megvannak az előnyei, mert a szabályozók még mindig szinte nem törekednek a tárgyak és az autók internetének titkosítására. Például Oroszországban az FSB nagyon szigorúan ellenőrzi a titkosítási funkciókat tartalmazó szoftverek és távközlési berendezések importját, de gyakorlatilag nem szabályozza a titkosítást drónokban, autókban és egyéb számítógépes töltelékekben, így kívül esik a szabályozás hatályán. Az FSZB ezt nem látja nagy problémának: a terroristák és a szélsőségesek nem használják ki. Ezért, bár az ilyen titkosítás ellenőrzése alatt marad, bár formálisan a törvény hatálya alá tartozik.
Ezenkívül a titkosítást sajnos nagyon gyakran alapszinten hajtják végre. Amikor valójában ez egy szokásos XOR művelet, vagyis egyes karakterek lecserélése másokkal egy bizonyos egyszerű algoritmus szerint, amelyet könnyű felvenni. Ezenkívül a titkosítást gyakran a kriptográfia területén nem jártas szakemberek valósítják meg, akik az internetről letöltött kész könyvtárakat veszik át. Ennek eredményeként az ilyen megvalósításokban olyan sebezhetőségek találhatók, amelyek lehetővé teszik a titkosítási algoritmus megkerülését és legalább az adatok elfogását, és néha behatolnak a csatornába, hogy helyettesítsék azokat.
Az autóbiztonság iránti igény
Izraeli részlegünknek van egy Autoguard nevű megoldása. Ez egy kis tűzfal az autók számára, amely szabályozza a belső eseményeket, és kölcsönhatásba lép a külvilággal. Tulajdonképpen elemzi a fedélzeti számítógép elemei és a szenzorok között váltott parancsokat, kívülről szabályozza a hozzáférést, vagyis meghatározza, hogy ki csatlakozhat és ki nem csatlakozhat a belső elektronikához, töltelékhez.
2018 januárjában Las Vegasban, a legnagyobb elektronikai kiállításon, a CES-en a Cisco és a Hyundai Motor Company bejelentette egy új generációs jármű létrehozását, amely egy szoftveresen definiált jármű (Software Defined Vehicle) architektúráját használja, és a legújabb hálózattal lesz felszerelve. technológiák, beleértve a kiberbiztonsági mechanizmusokat. Az első autóknak 2019-ben kell legördülniük a futószalagról.
A fogyasztói elektronikai cikkekkel és a vállalati informatikai megoldásokkal ellentétben az autóipari biztonság nagyon sajátos piac. Világszerte csak néhány tucat fogyasztó van ezen a piacon – az autógyártók számát tekintve. Sajnos maga az autótulajdonos nem tudja növelni "vaslova" kiberbiztonságát. Az ilyen jellegű projekteket általában nem hirdetik pontosan, de nem nyilvánosak, mert nem cégek millióinak van szükségük útválasztókra, és nem több százmillió felhasználóra, akiknek biztonságos okostelefonokra van szükségük. Csupán három-négy tucat autógyártóról van szó, akik nem akarják felhívni a figyelmet az autóvédelmi folyamat felépítésére.
Sok gyártó könnyedén veszi a védelmet, mások csak ezt a területet vizsgálják, különféle teszteket végeznek, mert az autó életciklusához sajátosságok társulnak. Oroszországban egy autó átlagos élettartama öt-hat év (a központi régiókban és a nagyvárosokban három-négy év, a régiókban pedig hét-nyolc év). Ha egy gyártó most azon gondolkodik, hogy a kiberbiztonságot bevezesse autói közé, akkor ez a megoldás tíz év múlva kerül a tömegpiacra, nem korábban. Nyugaton kicsit más a helyzet. Ott gyakrabban cserélnek autókat, de még ebben az esetben is korai lenne azt állítani, hogy az autók megfelelően felszereltek védelmi rendszerekkel. Ezért senki nem akarja felhívni a figyelmet erre a témára.
A támadók számítógépes biztonsági problémák miatt immár autókat támadhatnak meg, vagy autók visszahívását provokálhatják. Ez nagyon költséges lehet a gyártók számára, mert mindig vannak sebezhetőségek. Természetesen megtalálják. De minden alkalommal több ezer vagy százezer sebezhető jármű visszahívása egy sebezhetőség miatt túl drága. Ezért ez a téma nem terjedt el széles körben, de a nagy gyártók természetesen dolgoznak és gondolkodnak ennek a piacnak a kilátásairól. A GSMA becslései szerint 2025-re az autók 100%-a csatlakozik az internethez (az úgynevezett csatlakoztatott autók). Nem tudom, hogy ezekben a statisztikákban mennyiben veszik figyelembe Oroszországot, de a világ autóóriásai beleszámítanak.
Más közlekedési módok biztonsága
Minden típusú járműben vannak sérülékenységek. Ezek a légi szállítás, a tengeri szállítás, a teherszállítás. A csővezetékeket nem veszik figyelembe, bár ezek is szállítási módnak számítanak. Bármely modern jármű meglehetősen erős számítógépes töltetet tartalmaz, és ezt gyakran hétköznapi informatikusok és programozók fejlesztik, akik klasszikus hibákat követnek el kódjuk létrehozásakor.
Ami a fejlesztést illeti, az ilyen projektekhez való hozzáállás némileg eltér attól, amit a Microsoft, az Oracle, az SAP vagy a Cisco csinál. A tesztelést pedig nem ugyanazon a szinten végzik. Ezért ismertek olyan esetek, amikor sebezhetőséget találtak, és demonstrálták a repülőgép vagy a tengeri szállítás feltörésének lehetőségét. Emiatt egyetlen jármű sem zárható ki ebből a listából – kiberbiztonságuk ma nem túl magas.
A drónokkal pontosan ugyanez a helyzet és még egyszerűbb is, mert ez egy tömegesebb piac. Szinte bárkinek lehetősége van drónt vásárolni és szétszedni kutatás céljából. Még ha egy drón több ezer dollárba is kerül, akkor is megvásárolhatja egy táskában, elemezheti, és megtalálhatja a sebezhetőségeket. Ezután vagy ellophatja az ilyen eszközöket, vagy menet közben leszállhatja őket, elfogva a vezérlőcsatornát. Arra is van lehetőség, hogy provokálják leesésüket és kárt okozzanak a tulajdonosnak, vagy ellopják azokat a csomagokat, amelyeket a drónok szállítanak, ha áruk és küldemények szállítására használják őket.
A drónok számát tekintve érthető, hogy a támadók miért kutatják aktívan ezt a bizonyos piacot: ez inkább pénzre vált. Ezen a területen még aktívabb a helyzet, mint az autóknál, mert ebből közvetlen haszna van a „rosszfiúknak”. Nincs jelen, amikor egy autót feltörnek, nem számítva az autógyártó esetleges zsarolását. Ezenkívül a zsarolás börtönbe kerülhet, és a váltságdíj megszerzésének eljárása sokkal bonyolultabb. Természetesen meg lehet próbálni legálisan pénzt szerezni az autógyártótól, de nagyon kevesen keresnek pénzt azzal, hogy legálisan és pénzért keresik az ilyen sérülékenységeket.
Amikor a gyártók blokkolják a frissítéseket
Nemrég volt egy érdekes eset - egy mezőgazdasági gépgyártó. Nem látok semmi természetfelettit és az üzleti gyakorlattal ellentétes dolgot a gyártó szemszögéből ebben a helyzetben. Át akarja venni a szoftverfrissítési folyamat irányítását, és be akarja zárni ügyfeleit. Mivel a garanciális támogatás pénz, a gyártó továbbra is keresni akar belőle, csökkentve annak kockázatát, hogy az ügyfelek más berendezések szállítóihoz menjenek.
Ezen elv szerint szinte minden informatikai területen működő cég "él", valamint cégek – autók, mezőgazdasági gépek, repülési berendezések vagy drónok gyártói, amelyek otthoni informatikát valósítanak meg. Nyilvánvaló, hogy minden jogosulatlan beavatkozás szomorú következményekkel járhat, ezért a gyártók zárják a szoftver önfrissítésének lehetőségét, és itt tökéletesen megértem őket.
Amikor a fogyasztó nem akar fizetni a berendezések garanciális támogatásáért, különféle warez webhelyeken keresi a firmware-frissítéseket. Ez egyrészt oda vezethet, hogy ingyenesen frissíti a szoftverét, másrészt viszont károkat okozhat. Konkrétan a Cisco gyakorlatában volt olyan eset, amikor azok a cégek, amelyek nem akartak támogatást fizetni (ebben az esetben persze nem autóipari vagy mezőgazdasági berendezésekért, hanem közönséges hálózati berendezésekért) letöltötték valahonnan a hacker fórumokon a firmware-t. Mint kiderült, ezek a firmware "könyvjelzőket" tartalmaztak. Ennek eredményeként számos ügyfél esetében a hálózati eszközökön áthaladó információk ismeretlen személyekhez kerültek ki. A világon több cég is szembesült ezzel.
Ha folytatjuk a hasonlatot, és elképzeljük, mit lehet tenni a mezőgazdasági gépekkel, a kép szomorú lesz. Elméletileg lehetséges blokkolni a mezőgazdasági gépek munkáját, és váltságdíjat követelni a több százezer dollárba vagy akár millióba kerülő gépekhez való hozzáférés visszaállításáért. Szerencsére tudomásom szerint még nem volt ilyen előzmény, de nem tartom kizártnak, hogy a jövőben is megjelenhetnek, ha ez a gyakorlat folytatódik.
Hogyan lehet javítani a jármű biztonságát
Az utasítás nagyon egyszerű: meg kell értenie, hogy a probléma létezik. Az a helyzet, hogy sok menedzser számára nincs ilyen probléma, vagy távolinak tartják, vagy nem túl népszerű a piac részéről, és ennek megfelelően nem hajlandók pénzt költeni rá.
Három-négy éve Moszkvában tartották a Connected Car Summitot, ahol az autók automatizálásával és számítógépesítésével kapcsolatos különféle újdonságokról beszéltek. Például a helykövetésről (autómegosztás internetkapcsolattal) és így tovább. Az autóbiztonságról szóló jelentéssel beszéltem ott. És amikor különféle példákról beszéltem, hogy mit lehet tenni egy autóval, sok cég, gyártó és autómegosztó cég odajött hozzám a beszéd után, és azt mondta: „Ó, nem is gondoltunk rá. Mit csináljunk?"
Kevés autógyártó van Oroszországban. A beszéd után megkeresett egyikük képviselője, aki azt mondta, hogy bár nem is gondolnak a számítógépes biztonságra, mert nagyon alacsony a számítógépesítettség szintje, először meg kell érteniük, mit lehet hozzátenni az autóhoz számítógépes szempontból. töltelék. Amikor megkérdeztem ettől a képviselőtől, hogy gondolnak-e egyáltalán a biztonságra, azt válaszolta, hogy nagyon hosszú távon gondolják. Ez a lényeg: el kell gondolkodni azon, hogy a számítógépes biztonság szerves része, nem külső „beépített” funkció, hanem egy modern autó tulajdonsága. Ez a siker fele a közlekedés biztonságának biztosításában.
A második szükséges lépés belső vagy külső szakemberek felvétele. Olyan emberekre van szükségünk, akik legálisan meg tudják törni a meglévő megoldásokat, és sérülékenységet keresnek bennük. Ma már vannak egyéni rajongók vagy cégek, amelyek az autók és a számítógépes töltelék biztonságának tesztelésével vagy elemzésével foglalkoznak. Nem sok van belőlük, mert ez egy meglehetősen szűk piac, ahol nem lehet megfordulni és sok pénzt keresni. Oroszországban nem ismerek senkit, aki ezt tenné. De vannak olyan cégek, amelyek biztonsági elemzésekkel foglalkoznak, és egészen konkrét dolgokat csinálnak – automatizált folyamatvezérlő rendszereket és hasonlókat tesztelnek. Talán kipróbálhatnák magukat az autókban.
A harmadik elem a biztonságos fejlesztési mechanizmusok megvalósítása. Ezt már régóta ismerik a hagyományos szoftverek fejlesztői, különösen Oroszországban a közelmúltban fogadták el a biztonságos szoftverfejlesztésre vonatkozó GOST-okat. Ez egy sor ajánlást tartalmaz arra vonatkozóan, hogyan írjunk helyesen kódot, hogy megnehezítsük a feltörést, hogyan kerüljük el azokat a konstrukciókat, amelyek puffertúlcsorduláshoz, adatelfogáshoz, adathamisításhoz, szolgáltatásmegtagadáshoz stb.
A negyedik lépés a műszaki biztonsági megoldások megvalósítása, vagyis speciális chipek használata az autókban, biztonsági architektúra felépítése. A fejlesztők stábjába olyan építészeket kell besorolni, akik kifejezetten biztonsági kérdésekkel foglalkoznak. Az autó architektúrájával is foglalkozhatnak a védelem szempontjából, a vezérlőrendszer architektúrájával. Mivel mindig lehet támadni, nem magát az autót - sokkal hatékonyabb feltörni a vezérlőrendszert és megszerezni az irányítást az összes autó felett.
Ahogy a közelmúltban történt az online pénztárgépekkel, amelyek az FSZB centenáriumának napján hirtelen leálltak. Hiszen egy online pénztárgép nagyjából ugyanaz az autó: van számítógépes töltése, van firmware. A firmware egyszerre leállt, és a teljes kiskereskedelmi piac negyede több órára felkelt. Így van ez az autókkal is: a rosszul megírt kód, a benne talált sérülékenységek vagy a vezérlőrendszer feltörése meglehetősen szomorú következményekkel járhat. De ha az online pénztárgépeknél milliárdokban mérték a veszteségeket, akkor az autóknál lesznek áldozatok.
Bár az autóknál nem kell megvárni több tízmillió jármű feltörését vagy átvételét. Elég csak néhányat feltörni, és máris jön a káosz az úton. Ha pedig nyilvánosságra kerül a hackelés ténye, akkor biztos lehet benne, hogy a média az egész világ elé kürtölni fogja, az autótulajdonosokat pedig elborzadják a megnyíló „kilátások”.
Általánosságban elmondható, hogy egy modern járműnek három védelmi szintje van. Ez magának az autónak a beépített kiberbiztonsága (indításgátló, PKES, biztonságos belső kommunikáció az ECU-k között, anomáliák és támadások észlelése, beléptetés, megbízható biztonsági modulok); kommunikáció biztonsága (külső kommunikáció védelme a közúti infrastruktúra irányító központjával, az autó vagy egyes alkatrészeinek gyártójával, letöltő alkalmazások, tartalom, frissítések védelme, tachográfok védelme); és a közúti infrastruktúra biztonsága.
Mit és hol tanuljunk szakemberként
Azok az informatikai szakemberek, akik autók, járművek vagy drónok kódját fejlesztik vagy szeretnének fejleszteni, javasolható, hogy kezdjék a biztonságos fejlesztés (SDLC) tanulmányozását. Vagyis tanulmányoznia kell, mi a biztonságos fejlesztés általában. El kell ismerni, hogy ez a többlettudás nem hoz plusz pénzt. Ma már senkit nem büntetnek meg azért, mert nem ismeri a biztonságos fejlesztés alapjait, nincs felelősség, így ez magának az informatikusnak a belátása marad. Ez eleinte versenyelőnyt jelenthet egy szakembernek, mert kevés helyen lehet ezt tanítani, amivel kitűnhet a többiek hátteréből. Ám az autók biztonsága, a dolgok internete, a drónok terén nem ez a legnépszerűbb követelmény egy alkalmazottnál. Sajnos el kell ismerni, hogy az informatikusok nem foglalkoznak különösebben ezzel a témával.
A biztonságos fejlődés az öntanulás a legtisztább formájában. Mivel gyakorlatilag nincs ilyen tanfolyam, mindegyik rendelésre készül, és általában ez a vállalati képzés. Ez a téma szintén nem szerepel a szövetségi állam oktatási szabványaiban, így csak az önálló tanulás vagy a kódelemzéssel foglalkozó cégek tanfolyamaira járás marad. Vannak ilyen cégek - az orosz szereplők között, például a Solar Security vagy a Positive Technologies. Nyugaton sokkal több van belőlük, például IBM, Coverity, Synopsys, Black Duck. Különféle szemináriumokat tartanak ebben a témában (fizetős és ingyenes is), ahol elsajátíthatja az ismereteket.
A második irány az informatikusok számára az építészek. Vagyis lehet építész az ilyen projektek biztonságáért, általában a dolgok internetéért, mert ezek plusz vagy mínusz ugyanazok a törvények szerint épülnek. Ez egy központi vezérlőrendszer a felhőből és egy csomó érzékelő: vagy szűk fókuszú, például egy drón, vagy egy autóba vagy egy nagyobb járműbe integrált érzékelők, amelyeket megfelelően kell konfigurálni, megvalósítani és megtervezni. Figyelembe kell venni a különféle fenyegetéseket, vagyis szükséges az ún. Figyelembe kell venni a potenciális behatoló viselkedését is, hogy megértsük potenciális képességeit és motivációját, és ennek alapján meg kell tervezni a jövőbeli fenyegetések visszaszorítására szolgáló mechanizmusokat.
Az interneten sok hasznos anyagot találhat. Különféle előadásokat is olvashat olyan konferenciákról, mint a DEF CON és a Black Hat. Meg lehet nézni a cégek anyagait: sokan egész jó prezentációkat, ismertetőket tesznek közzé a honlapjukon, a kód tipikus hibáinak leírását, stb. Megpróbálhat prezentációkat keresni speciális autóbiztonsági eseményekről (például: Automotive CyberSecurity Summit, Vehicle Cyber Security Summit, Connected Cars Summit, CyberSecureCar Europe).
Ezenkívül az orosz FSTEC orosz szabályozó (Szövetségi Műszaki és Exportellenőrzési Szolgálat) számos kezdeményezést tett, különösen azt javasolják, hogy tegye közzé az interneten a programozók által a kódban elkövetett tipikus hibákat, hogy fenntartson egy bizonyos adatbázist. az ilyen hibákról. Ez még nem valósult meg, de a szabályozó ebbe az irányba dolgozik, bár nincs mindig elegendő forrásuk.
Miután a CIA és az NSA kiberarzenálja kiszivárgott az internetre, bárki, még egy "otthoni hacker" is különleges ügynöknek érezheti magát. Végül is szinte ugyanaz az arzenál tulajdonosa. Ez arra kényszeríti az építészeket, hogy teljesen más megközelítést alkalmazzanak rendszereik felépítéséhez. Különböző tanulmányok szerint, ha a biztonságra gondol egy architektúra létrehozásának szakaszában, akkor X erőforrást fordítanak a megvalósítására. Ha már a kereskedelmi üzemeltetés szakaszában megváltoztatja az architektúrát, az harmincszor több erőforrást, időt, embert és pénzt igényel.
Az építész nagyon divatos, és ami a legfontosabb, nagyon jövedelmező szakma. Nem mondhatom, hogy Oroszországban nagy kereslet lenne az ilyen szakemberekre, de Nyugaton a biztonsági építész az egyik legjobban fizetett szakterület, egy ilyen szakember éves bevétele körülbelül kétszázezer dollár. Oroszországban a munkaügyi minisztérium szerint évente körülbelül 50-60 ezer biztonsági őr hiányzik. Vannak köztük építészek, adminisztrátorok, menedzserek és fenyegetésmodellezők, a biztonsági szakemberek nagyon széles köre, akik rendszeresen hiánycikkekkel rendelkeznek Oroszországban.
Ugyanakkor az építészeket sem tanítják az egyetemeken. Ez alapvetően átképzés, vagyis megfelelő tanfolyamok, vagy önálló tanulás.
Oroszországban főként vállalati képzést folytatnak. Mert nem tömegpiacról van szó, és a képzési központok nem veszik fel tanfolyamként a programjaikba. Ez csak rendelésre készül. Elméletileg ezt kezdetben szükséges beépíteni az egyetemi közoktatásba. A különféle architektúrák megfelelő tervezésének megalapozása. Sajnos a szövetségi állam oktatási szabványait olyan emberek írják, akik nagyon távol állnak a valóságtól és a gyakorlattól. Gyakran egykori egyenruhásokról van szó, akik nem mindig tudják, hogyan kell helyesen megtervezni a rendszereket, vagy nagyon specifikusak ebben: tudásuk az államtitokhoz vagy a külföldi műszaki hírszerzés elleni küzdelemhez kapcsolódik, és ez egy kicsit más tapasztalat. Egy ilyen élményt nem lehet rossznak nevezni, de más és nem sok haszna van a kereskedelmi szegmensben és a dolgok internetén. A szövetségi állam oktatási szabványait nagyon lassan, körülbelül három-négy évente frissítik, és többnyire kozmetikai változtatásokat hajtanak végre rajtuk. Nyilvánvaló, hogy ilyen helyzetben nincs és nem is lesz elég szakember.
A Ciscónál dolgozom
A Cisco fejlesztést folytat Oroszországban. Jelenleg a szolgáltatók és adatközpontok számára nyílt veremplatform létrehozásán folynak a munkálatok. Számos megállapodásunk van orosz cégekkel is, amelyek egyedi projektekkel foglalkoznak számunkra. Ezek egyike a Perspective Monitoring, amely külön kezelőket ír a hálózati forgalom számára, hogy felismerje a különböző alkalmazásokat, amelyeket aztán beágyazunk hálózatbiztonsági eszközeinkbe. Általánosságban elmondható, hogy a legtöbb globális IT-céghez hasonlóan nekünk is több fejlesztési központunk van a világon, a regionális irodák látják el a marketing, a támogatás és az értékesítés funkcióit.
Van egy gyakornoki programunk az egyetemet végzettek számára – egy év Európában, a mi akadémiánkon. Előtte egy nagy megmérettetésen esnek át, majd egy évre elküldik őket valamelyik európai fővárosba. Visszatérésük után Oroszországban és a FÁK-országokban található irodáinkba juttatják el. Ezek mérnökök, akik rendszereket terveznek és támogatnak, valamint olyan emberek, akik az értékesítéssel foglalkoznak.
Néha van üresedésünk, amikor valaki előléptetésre megy, vagy elhagyja a céget. Alapvetően ezek vagy mérnöki pozíciók, vagy értékesítéssel kapcsolatos pozíciók. A Cisco színvonalát tekintve ebben az esetben nem hallgatókat veszünk fel, hanem olyan személyeket, akik egy évnél hosszabb ideig dolgoztak valamilyen pozícióban. Ha ez mérnök, akkor megfelelő mennyiségű Cisco minősítéssel kell rendelkeznie. Nem alapszintű CCNA-ra van szükség, általában minimum CCNP-re van szükség, de nagy valószínűséggel egy szakembernek egyáltalán át kell adnia a CCIE minősítést - ez a Cisco minősítés maximális szintje. Kevés ilyen ember van Oroszországban, ezért gyakran van gondunk, amikor mérnököket kell találnunk. Bár általánosságban véve nem túl nagy a rotáció a cégben, évi 1-2%-ban mérik. A gazdasági helyzet ellenére az amerikai cégek Oroszországban nagyon jól fizetnek, jó a szociális csomag, így általában nem mennek el tőlünk.
Ha a férj ingerlékeny lett
Tabletták a cukorbetegség számára
Továbbá - kell-e vessző?
Hogyan készülnek a számítógépes játékok?
Álomértelmezés arany, miért álmodik aranyról, álomban aranyról
Húgyhólyaghurut húgycsőmosás Hogyan kell felhelyezni a szubklavia katétert
Horoszkóp disznó és tigris. Tigris - Malac. Kompatibilitás