Информационная безопасность компьютерных систем и защита конфиденциальных данных
Статьи

Цифровая самооборона

автор: Administrator | 31 марта 2009, 14:42 | Просмотров: 3119
теги: СТАТЬИ, Цифровая, самооборона, приватности, власти, шпионаж, данные

Давно подмечено, что чем больше государство настаивает на обязанности граждан быть патриотами и почитать свою власть, тем сильнее процветает тоталитаризм.

И наоборот - в любой действительно свободной стране естественным является открыто декларируемое недоверие граждан к государственной власти, по самой природе своей склонной к злоупотреблениям.

Причем такая позиция отнюдь не является "непатриотичной", поскольку любовь к стране и обожание власти - это вещи, имеющие мало общего.

У одного талантливого русского поэта есть примерно такие строчки в тему:
"Чем я сильней люблю свою страну, тем больше государство ненавижу".

Вероятно, после такой преамбулы яснее станет "антигосударственная" инициатива, предпринятая известной правозащитной организацией Electronic Frontier Foundation (EFF), которая сосредоточила свои усилия на защите приватности и "цифровых прав" граждан в эпоху высоких компьютерных технологий.
Статьи

Основы резервного копирования данных

автор: Administrator | 28 марта 2009, 00:19 | Просмотров: 4883
теги:

Предисловие:

    Компьютерная безопасность настолько универсальна и многогранна, что ее нельзя определить в рамках единого понятия или даже подхода. Напротив, она включает многочисленные подкатегории, которые в целом дополняют друг друга, давая единственное, последовательное выстроенное понятие о компьютерной безопасности. В качестве еще не рассмотренной подкатегории выступают решения для резервного копирования данных, позволяющие сохранять ваши данные в целости. В этой статье мы восполняем этот пробел, предлагая расширенный экскурс в тему резервного копирования данных.

    Резервная копия важных данных позволяет Вам сохранить свою информацию и восстановить ее позже, если что-то с ней произойдет. Это попросту необходимый инструмент, если Вы хотите обеспечить безопасность от повреждения или изменения оригинал своей работы, нужные файлы или любые иные имеющиеся у Вас данные. Вне зависимости от факта утраты исходных данных или их повреждения Вы всегда можете вернуть систему к предыдущему состоянию и восстановить из копии то, что было утеряно или повреждено.

    В каких ситуациях полезна резервная копия данных:

      Когда критическая информация находится в опасности, Резервная копия важных данных – первое пристанище для того, кто хочет знать, что все, чем он дорожит, лежит вне зоны риска. Резервная копия важных данных особенно полезна в следующих ситуациях:

        »» Когда Вы собираетесь установить новое, влияющее на систему приложение или существенное обновление и не уверены, не вызовет ли оно проблем совместимости или проблем с сетью. Этим приложением, по иронии судьбы, может стать программа обеспечения безопасности или Windows Service Pack (пакет обновления Windows), который существенно модифицирует Ваши существующие конфигурации OS таким образом, что нет никакой уверенности, что этот переход пройдет гладко. Резервное копирование также рекомендуется для продвинутых пользователей, которым нравится вмешиваться в отлаженные параметры настройки системы (такие, как ручная настройка записей реестра), экспериментируя с драйверами и сервисами системы, – и портить их.

        »» Когда Вы испытываете, предвидите, или хотите предотвратить сбои аппаратных средств. Есть множество индикаторов предполагающих, что Ваши аппаратные средства близки к «гибели» или «обрушению» (например, компьютер становится нестабильным или перегревается, или работа Вашего жесткого диска (хард диска) ухудшается). Проблемы жесткого диска (хард диска) (HDD) заслуживают специального упоминания в отдельной статье, но, говоря коротко, когда HDD «приближается к гибели», Windows начинает сообщать о проблемах со чтением диска или проблемах с записью на диск, либо система диагностики жесткого диска (хард диска) SMART выдает предупреждение и рекомендует быстро сохранить и переместить Ваши данные в безопасное место. Резервное копирование также желательно, если Ваш рабочий стол не оборудован решением UPS (системой бесперебойного электропитания), а значит, скачок напряжения в электрической сети может моментально испортить Ваш жесткий диск или системную плату. Будущий сбой тяжело предсказать, но, к счастью, не так уж и невозможно. Опытные пользователи знают об индикаторах, которые могут намекнуть на наличие проблемы. Тем не менее, дадим совет новичкам: чем более устарела Ваша система, тем выше шансы обрушения всего лишь из-за недостаточной профилактики и ухода за ней. Если компьютер помещен в пыльную, влажную или горячую среду, возможность «аварии» выше. Бесплатные пробные утилиты диагностики – такие, как Sisoftware’s Sandra или Everest, могут предсказать аварии аппаратных средств.

        »» Резервное копирование удобно, если Вы хотите свести на нет воздействие вирусов и других зловредных программ. Они, помимо их основной миссии, состоящей в краже информации и запугивании пользователей от имени владельца системы, могут выполнять более сфокусированные разрушительные действия, такие, как повреждение параметров настройки системы, а также портить файлы и блокировать или перенаправлять сетевые соединения. Как мы сообщали на протяжении всех выпусков «В мире безопасности» (Security Insight), необходимость использовать Программное Обеспечение для безопасности – только первый (хоть и важный) шаг, и никакое решение для безопасности не может надежно предохранить Вас от всех типов вирусов и потенциально вредоносных инфекций. Поскольку для антивирусных решений наступило трудное время, порой решения для резервного копирования - более эффективный способ исправить последствия, вызванные вредоносным кодом, чем антивирус.

        »» Вы собираетесь использовать компьютер в пути (например, ноутбук) и беспокоитесь о сохранности его данных. Если вы его потеряете или нечаянно уроните в воду, резервная копия спасет вас от потерь.

        »» Вы выступаете в качестве неофициального «системного администратора» компьютера вашего знакомого или родственника, помогая ему решать все компьютерные вопросы (знакомая ситуация, не правда ли?). Посещаете Вы его не часто, и если что-то случается с подконтрольной машиной, Вы просто «откатываете» систему до момента снятия последней резервной копии, не разбираясь, что же все-таки стало причиной сбоя и куда подевались нужные файлы. Это удобно, это избавит Вас от головной боли.

        »» Резервирование отлично пригодится, если Вы собираетесь переходить на новый компьютер. В этом случае Вы просто резервируете нужные файлы, а затем восстанавливаете их на новом компьютере. Следует, однако, помнить об одном немаловажном ограничении при работе с резервными копиями системных дисков: если ваш новый компьютер серьезно отличается от предыдущего, и их конфигурация заметно разнится, скорее всего, восстановленная копия не приживется на Вашем новом компьютере. Это происходит из-за того, что программное обеспечение (например: драйверы чипсета Nvidia), настроенное на предыдущее оборудование не подойдет к новому (например, к новому компьютеру на базе процессора Intel Atom). В данном случае Ваша сохраненная копия Windows не сможет нормально загрузиться, и Вам остается ограничиться резервированием несистемных файлов и документов.
Статьи

Вирус в банкоматах: первые комментарии специалистов

автор: Administrator | 27 марта 2009, 09:55 | Просмотров: 2912
теги: dr web, доступ, вредоносная, программа, заражение, банкомат, вирус

Вчера (24 марта 2009) "Dr Web" сообщил о появлении вируса, способного получать информацию о проведенных через банкомат транзакциях. Своей точкой зрения поделился Александр Гостев, руководитель центра глобальных исследований и анализа угроз "Лаборатории Касперского".

Данная вредоносная программа была обнаружена и добавлена в антивирусные базы "Лаборатории Касперского" 19 марта 2009 г. под именем Backdoor.Win32.Skimer.a. Это троянская программа, которая заражает банкоматы популярного американского производителя Diebold (по неподтвержденным данным, речь идет о банкоматах, расположенных на территории РФ и Украины). На сегодняшний день отсутствует информации о реально инфицированных машинах.

Однако мы предполагаем, что их количество, если таковые вообще существуют, минимально. инфицированные машины становятся уязвимыми для дальнейших действий злоумышленника, а именно: имея специальную карточку доступа, вирусописатель может снять всю наличность, имеющуюся в банкомате, а также получить доступ к информации о всех проведенных через этот банкомат транзакциях других пользователей.
Статьи

Шпионские программы: вопросы и ответы

автор: Administrator | 26 марта 2009, 23:50 | Просмотров: 14322
теги: хакерские, программы, шпион, компьютер, СТАТЬИ, Windows, spyware

Что такое шпионские программы?
    Шпионские программы - это программное обеспечение, которое может устанавливаться самостоятельно или запускаться на компьютере без соответствующего уведомления, согласия или ведома пользователя. Шпионские программы могут не проявлять никаких признаков после заражения компьютера, однако многие типы вредоносного ПО или нежелательных программ могут оказывать влияние на работу компьютера. Шпионские программы могут, например, отслеживать поведение пользователя в сети или собирать сведения о пользователе (включая сведения, идентифицирующие пользователя лично, и другую важную информацию), могут изменять параметры компьютера или замедлять его работу.

    Как узнать, есть ли шпионское или нежелательное программное обеспечение на компьютере?
      Возможно, на компьютере установлено какое-либо шпионское программное обеспечение, если:
      » появились новые панели инструментов, ссылки или избранные элементы, которые не предполагалось добавлять в веб-браузер.
      » Неожиданно изменяется домашняя страница по умолчанию, указатель мыши или поисковая программа.
      » При вводе адреса определенного веб-узла (например, поисковой системы) без предупреждения выполняется переход на другой веб-узел.
      » Отображаются всплывающие рекламные объявления, даже если нет подключения к Интернету.
      » Компьютер внезапно начинает загружаться или работать медленнее.

      Возможно, на компьютере есть шпионское программное обеспечение, даже если эти симптомы отсутствуют. Программное обеспечение такого типа может собирать сведения о пользователе и компьютере без ведома и согласия пользователя. Запуск Защитника Windows во время работы на компьютере может помочь обнаружить и удалить такое программное обеспечение.
Статьи

Международный стандарт безопасности ISO 17799

автор: Administrator | 23 марта 2009, 01:05 | Просмотров: 9604
теги: ISO, 17799, Информация, Безопасность, стандарт, система, защита

Критерии оценки защищенности информационных систем
Какой вопрос наиболее часто задают IT-менеджеры специалистам по информационной безопасности? Думаю, что это очевидно: "Насколько защищена наша информационная система?".

Этот вопрос действительно является краеугольным камнем информационной безопасности и тем самым "тонким" местом, которое обычно стараются избегать специалисты по обеспечению информационной безопасности. И действительно оценить защищенность информационной системы достаточно сложно... но, как известно, можно. Для этого существуют, в основном, качественные методы оценки уровня защищенности, которые на выходе позволяют получить не количественную оценку ("система защищена на 4.2 балла или на 58%"), а качественную - система соответствует определенному классу или уровню защищенности. Количественные методы оценки на практике не нашли своего применения.

Применение качественных методов оценки является на сегодняшний день единственным способом получить представление о реальном уровне защищенности информационных ресурсов компании.


Критерии проведения аудита безопасности информационных систем
Перейдем к следующей части и вспомним, какой вопрос обычно является ключевым при проведении аудита безопасности. Обычно, это вопрос, проверку на соответствие какому стандарту безопасности будет выполнять аудитор. В России обычной практикой при проведении аудита является выполнение данных работ без привязки к какому либо критерию или стандарту - аудитор ограничивается оценкой текущего уровня защищенности и выработке рекомендаций по его повышению в соответствии со своей экспертной оценкой и своим пониманием об уровнях и критериях защиты.

И, в общем, это нормальная практика, когда компания доверяет выбранному эксперту или группе экспертов, но проводить аудит, основываясь только на собственной экспертной оценке, не учитывая мировой опыт и существующие стандарты безопасности, на сегодняшний день практически недопустимо.
Статьи

Безопасное использование служб мгновенных сообщений

автор: Administrator | 20 марта 2009, 22:51 | Просмотров: 6617
теги: Статьи, службы, Безопасность, ICQ, AIM, MSN, Messenger, Jabber, Skype, службы, информация

1. Предисловие:
Большинство пользователей знакомы со службами мгновенных сообщений (Instant Messaging, IM) - приложениями-мессенджерами, которые позволяют нам общаться с друзьями и знакомыми онлайн в режиме реального времени через интернет и отслеживать их статус в сети.

Мессенждеры приносят реальную пользу, позволяя легко обмениваться информацией и пользоваться другими дополнительными услугами, такими как видеоконференции и голосовой чат.

Однако, эти возможности подразумевают ответственность, и человек, использующий мессенджер, должен осознавать и уделять внимание аспектам безопасности и конфиденциальности служб мгновенных сообщений, чтобы оставаться в безопасности в сети и не раскрывать персональную информацию посторонним. Безопасное использование мессенджера - наша основная тема сегодня.


2. Введение в IM
2.1. Общее представление
2.2. Предпосылки
2.3. Как работает служба мгновенных сообщений
2.4. Процедура входа

3. Элементы безопасности IM-служб
3.1. Ваш IM-профиль
3.2. Использование

4. Заключение:
Статьи

Федеральный закон РФ №152 «О защите персональных данных»

автор: Administrator | 17 марта 2009, 03:32 | Просмотров: 167996
теги: Статьи, Федеральный закон, Россия, персональные данные, защита, закон, информация, оператор

Глава 1. Общие положения
Статья 1. Сфера действия настоящего Федерального закона
Статья 2. Цель настоящего Федерального закона
Статья 3. Основные понятия, используемые в настоящем Федеральном законе
Статья 4. Законодательство Российской Федерации в области персональных данных



Глава 2. Принципы и условия обработки персональных данных
Статья 5. Принципы обработки персональных данных
Статья 6. Условия обработки персональных данных
Статья 7. Конфиденциальность персональных данных
Статья 8. Общедоступные источники персональных данных
Статья 9. Согласие субъекта персональных данных на обработку своих персональных данных
Статья 10. Специальные категории персональных данных
Статья 11. Биометрические персональные данные
Статья 12. Трансграничная передача персональных данных
Статья 13. Особенности обработки персональных данных в государственных или муниципальных информационных системах персональных данных



Глава 3. Права субъекта персональных данных
Статья 14. Право субъекта персональных данных на доступ к своим персональным данным
Статья 15. Права субъектов персональных данных при обработке их персональных данных в целях продвижения товаров, работ, услуг на рынке, а также в целях политической агитации
Статья 16. Права субъектов персональных данных при принятии решений на основании исключительно автоматизированной обработки их персональных данных
Статья 17. Право на обжалование действий или бездействия оператора



Глава 4. Обязанности оператора
Статья 18. Обязанности оператора при сборе персональных данных
Статья 19. Меры по обеспечению безопасности персональных данных при их обработке
Статья 20. Обязанности оператора при обращении либо при получении запроса субъекта персональных данных или его законного представителя, а также уполномоченного органа по защите прав субъектов персональных данных
Статья 21. Обязанности оператора по устранению нарушений законодательства, допущенных при обработке персональных данных, а также по уточнению, блокированию и уничтожению персональных данных
Статья 22. Уведомление об обработке персональных данных



Глава 5. Контроль и надзор за обработкой персональных данных. Ответственность за нарушение требований настоящего Федерального закона
Статья 23. Уполномоченный орган по защите прав субъектов персональных данных
Статья 24. Ответственность за нарушение требований настоящего Федерального закона



Глава 6. Заключительные положения
Статья 25. Заключительные положения
Статьи

Федеральный закон "Об обеспечении информационной безопасности". Проект.

автор: Administrator | 16 марта 2009, 01:08 | Просмотров: 31883
теги: Федеральный, закон, информация, защита, Безопасность, СТАТЬИ



Настоящий Федеральный закон регулирует отношения, возникающие между государственными органами, организациями и гражданами при обеспечении информационной безопасности.

ГЛАВА 1. ОБЩИЕ ПОЛОЖЕНИЯ
Статья 1. Основные понятия, используемые в настоящем Федеральном законе.
Статья 2. Законодательство Российской Федерации об обеспечении информационной безопасности.
Статья 3. Сфера действия настоящего Федерального закона


ГЛАВА 2. ГОСУДАРСТВЕННОЕ РЕГУЛИРОВАНИЕ В СФЕРЕ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ
Статья 4. Основы государственного регулирования в сфере информационной безопасности
Статья 5. Обеспечение государственной и общественной безопасности в информационной сфере.
Статья 6. Обеспечение безопасности личности в информационной сфере
Статья 7. Обеспечение безопасности функционирования информационных и телекоммуникационных систем
Статья 8. Обеспечение информационной безопасности при распространении массовой информации
Статья 9. Обеспечение защиты информации
Статья 10. Обеспечение права на доступ к информации


ГЛАВА 3. ПРАВА И ОБЯЗАННОСТИ ГРАЖДАН И ОРГАНИЗАЦИЙ В ОБЛАСТИ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ.
Статья 11. Основные права граждан и организаций по обеспечению информационной безопасности.
Статья 12. Пределы осуществления и защиты прав в информационной сфере
Статья 13. Злоупотребление правами в информационной сфере
Статья 14. Информирование о принимаемых мерах по обеспечению информационной безопасности.
Статья 15. Меры ограничения доступа к информационным ресурсам и системам и последующей передачи полученной из таких ресурсов информации.
Статья 16. Ограничения на распространение информации третьими лицами и ограничение доступа к распространяемой ими информации.


ГЛАВА 4. ОБЕСПЕЧЕНИЕ БЕЗОПАСНОСТИ ОТДЕЛЬНЫХ ВИДОВ КОНФИДЕНЦИАЛЬНОЙ ИНФОРМАЦИИ.
Статья 17. Виды конфиденциальной информации
Статья 18. Защита информации о частной жизни лица.
Статья 19. Защита персональных данных.
Статья 20. Защита коммерческой тайны.
Статья 21. Защита служебной тайны.
Статья 22. Обеспечение безопасности сведений, составляющих профессиональную тайну
Статья 23. Обеспечение безопасности сведений, составляющих тайну следствия и судопроизводства.
Статья 24. Защита государственной тайны


ГЛАВА 5. ЗАЩИТА ПРАВ И ОТВЕТСТВЕННОСТЬ ЗА НАРУШЕНИЯ В ОБЛАСТИ ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ.
Статья 25. Правонарушения в сфере обеспечения информационной безопасности.
Статья 26. Защита прав при обеспечении информационной безопасности
Статья 27. Обеспечения иска по делам, связанным с обеспечением информационной безопасности.
Статья 28. Иные меры ответственности за нарушения в сфере информационной безопасности


ГЛАВА 6. ЗАКЛЮЧИТЕЛЬНЫЕ И ПЕРЕХОДНЫЕ ПОЛОЖЕНИЯ
    Статья 29. Вступление в силу настоящего федерального закона
    Статья 30. Контроль за исполнением настоящего федерального закона
Статьи

Следует ли устанавливать элементы ActiveX?

автор: Administrator | 6 марта 2009, 22:14 | Просмотров: 6672
теги: СТАТЬИ, ACTIVEX, ЭЛЕМЕНТ, ФАЙЛ, Безопасность

Возможно, следует. Нужно проявлять осторожность при установке элементов ActiveX, иногда называемых надстройками, даже если у них имеется действительная цифровая подпись. Хотя применение элементов ActiveX может улучшить просмотр веб-страниц в Интернете, они могут также представлять угрозу безопасности, поэтому лучше избегать их, если веб-страница будет работать и без них. Однако они могут потребоваться для работы некоторых веб-узлов или задач, поэтому, если содержимое или задача важны, придется решать, устанавливать ли элемент ActiveX.
Статьи

Ликбез по ликтестам

автор: Administrator | 4 марта 2009, 23:36 | Просмотров: 3629
теги: СТАТЬИ, ЛИКТЕСТ, ДАННЫЕ, ЗАЩИТА, ИНФОРМАЦИЯ, ТЕСТ, Безопасность

Вступление
Термин «ликтест» (leaktest, тест на утечку данных) за последние пару лет приобрел популярность среди экспертов в области ИТ-безопасности. Его можно встретить в новостях и сравнительных таблицах, но для многих объем и назначение этого понятия остаются неведомыми.

Почему обычным пользователям ПК стоит внимательно присматриваться к ликтестам и их особенностям в своей ежедневной компьютерной деятельность? Как результаты тестов на утечку данных могут помочь вам в выборе надежного продукта для защиты ПК?

Данная статья призвана ответить на эти и другие вопросы. По прочтении вы получите всю информацию, необходимую для понимания и грамотной интерпретации результатов ликтестов.



Что такое ликтест?
Ликтест – это инструмент или набор процедур для выявления способности решения по безопасности противостоять попыткам незаконной отправки личной информации в Сеть. Он показывает готовность системы блокировать случайную или преднамеренную утечку данных.

Ликтесты берут свое начало с момента появления первых персональных сетевых экранов (брандмауэров) в конце 90-х годов. Первоочередной задачей брандмауэров тех времен был контроль над сетевыми действиями приложений и предотвращение попыток «дозвониться домой» ( «отправить похищенные данные») недозволенным приложениям.

За последнее время ликтесты сильно видоизменились и приросли новыми возможностями, такими, как отключение защитной функции брандмауэра, использование новых видов межпрограммного взаимодействия, эксплуатация уязвимых служб – это все те приемы, которые используют хакеры в своих «трудах», и их можно смело отнести к отдельной категории тестовых программ.

Если какой-то продукт успешно справился с ликтестом, это означает, что он способен защитить от атаки, в основе которой лежит определенная техника кражи данных. На данный момент существует много приемов, которые активно эксплуатируются хакерами, и серьезная защитная программа должна знать и уметь отражать все из них.

Кибер-преступники не стоят на месте, и с каждым днем создают новые изощренные методы хищения информации с компьютеров пользователей, и по этой причине создателям программ для безопасности нужно постоянно быть начеку и создавать новые методики для защиты своих клиентов.

К моменту выхода Windows XP в 2001, на просторах Интернета существовали зловредные программы типа троянцев и шпионского ПО, которые беспрепятственно могли похитить важные данные и передать эту информацию неавторизованным лицам по сети.

Для недопущения подобных событий компании, специализирующиеся в области безопасности, вышли на рынок с решениями класса «персональный брандмауэр», которые были призваны блокировать действия, инициированные недозволенными приложениями, путем блокирования их доступа в Сеть.

Чтобы проверить, насколько эффективно работали такие защитные программы, эксперты и технические специалисты разработали специальные средства для симуляции возможных атак – тестовые программы проверяли способность брандмауэра контролировать их действия и предупреждали пользователя о том, что на компьютере обнаружена попытка выхода в Сеть. Эти тестовые средства и получили названия «ликтесты», они были сравнительно простые, но в тоже время им удалось выявить серьезные огрехи в защитных инструментах тех времен.

Первые ликтесты использовали простые методы проверки защищенности, такие, как подмена имени доверенных программ и запуск доверенных программ с измененными параметрами, которые давали команду на отправку определенного текстового содержания на удаленный ресурс с помощью нормального приложения.

Такими действиями ликтесты пытались обмануть брандмауэр, рассчитывая, что тот подумает, что с Сетьюпытается соединиться легальное приложение, и, как следствие, разрешить такое действие.

Одним из первых хорошо известных ликтестов стал продукт Стива Гибсона из GRC под простым названием "Leak Test". Эта программа эмулировала атаку, в которой зловредное приложение переименует себя в Internet Explorer, попытается зайти в Сеть и выявит, заметит ли установленный брандмауэр такую подмену.

С тех пор многое изменилось, и сегодняшние ликстесты намного мощнее и сложнее по сравнению со своими прародителями; они используют куда более изощренные техники проверки действия программ. Эти техники, к сожалению, также используются авторами вредоносных программ, таких, как клавиатурные шпионы, для захвата целевых пользовательских данных.

Ликтесты проверяют способности превентивной защиты, тестируя, как решения безопасности реагируют на определенную технику вторжения, иногда называемую «вектором атаки». Этим они отличаются от тестов на отлов вирусов, где под тестами понимается способность антивирусных решений идентифицировать определенную сигнатуру кода.
Статьи

Межсайтовый скриптинг (XSS) в DataLife Engine

автор: Administrator | 4 марта 2009, 02:41 | Просмотров: 8727
теги: САЙТ, ОПАСНОСТЬ, xss, МЕЖСАЙТОВЫЙ, СКРИПТИНГ, уязвимый

Мы все думали, что DataLife Engine является идеальной системой, не имеет никаких уязвимостей, а администраторы могут использовать с большим удовольствием все функции этой системы, убеждены, что эта CMS является непобедимой.

Я тоже так думал, что DLE вообще неуязвимая. Но несколько дней назад, во время проверки уязвимостей в моем модуле, я был очень неприятно удивлен тем, что нашел, а нашел я - XSS уязвимость, с помощью которого можно поместить специальный HTML код в Заголовок, в краткую или полную новость.

К счастью, не смотря на то, что это активная XSS, куки не могут быть украдены так легко, как кажется. Ведь в движке используется несколько особенные функций, которые защищают куки, чтобы не были украдены. НО, я сказал что "куки не могут быть украдены так легко", а это не значит, что получить их невозможно.

Получит хакер куки или нет, зависит только до какого предела он готов пойти, насколько внимательны администраторы и на каком сервере находится сайт.