Информационная безопасность компьютерных систем и защита конфиденциальных данных
Термины

Внедрение SQL-кода

автор: Administrator | 9 февраля 2009, 04:19 | Просмотров: 5345
теги:

Внедрение SQL-кода (англ. SQL injection) - один из распространённых способов взлома сайтов и программ, работающих с базами данных, основанный на внедрении в запрос произвольного SQL-кода.

Внедрение SQL, в зависимости от типа используемой СУБД и условий внедрения, может дать возможность атакующему выполнить произвольный запрос к базе данных (например, прочитать содержимое любых таблиц, удалить, изменить или добавить данные), получить возможность чтения и/или записи локальных файлов и выполнения произвольных команд на атакуемом сервере...
Термины

XSRF (Подделка межсайтовых запросов)

автор: Administrator | 9 февраля 2009, 04:17 | Просмотров: 6694
теги: Термины, XSRF, запрос, протокол, HTTP, веб-сайт, уязвимости, XSS

XSRF (англ. Сross Site Request Forgery - «Подделка межсайтовых запросов») - вид атак на посетителей веб-сайтов, использующий недостатки протокола HTTP. Если жертва заходит на сайт, созданный злоумышленником, от её лица тайно отправляется запрос на другой сервер (например, на сервер платёжной системы), осуществляющий некую вредоносную операцию (например, перевод денег на счёт злоумышленника).

Для осуществления данной атаки, жертва должна быть авторизована на том сервере, на который отправляется запрос, и этот запрос не должен требовать какого-либо подтверждения со стороны пользователя....
Термины

Межсайтовый скриптинг

автор: Administrator | 9 февраля 2009, 04:15 | Просмотров: 6403
теги: Термины, межсайтовый скриптинг, XSS, веб-атак, уязвимость, сайт, URL, администратор, DOM

XSS (англ. Сross Site Sсriрting - «межсайтовый скриптинг») - тип уязвимости компьютерной системы, используется при хакерской атаке. Специфика подобных атак заключается в том, что вместо непосредственной атаки сервера, они используют уязвимый сервер в качестве средства атаки на клиента. XSS-атака обычно проводится путём конструирования специального URL, который атакующий предъявляет своей жертве.

Иногда для термина используют сокращение «CSS», но чтобы не было путаницы с каскадными таблицами стилей, используют сокращение «XSS».

Условно XSS можно разделить на активные и пассивные:
Термины

Переполнение буфера

автор: Administrator | 9 февраля 2009, 03:19 | Просмотров: 8581
теги: Термины, переполнение буфера, программы, данные, защита, буфер, отказ в обслуживании

Переполнение буфера (Вuffer Overflow) - явление, возникающее, когда компьютерная программа записывает данные за пределами выделенного в памяти буфера.

Переполнение буфера обычно возникает из-за неправильной работы с данными, полученными извне, и памятью, при отсутствии жесткой защиты со стороны подсистемы программирования (компилятор или интерпретатор) и операционной системы. В результате переполнения могут быть испорчены данные, расположенные следом за буфером (или перед ним).

Переполнение буфера является наиболее популярным способом взлома компьютерных систем, так как большинство языков высокого уровня используют технологию стекового кадра - размещение данных в стеке процесса, смешивая данные программы с управляющими данными (в том числе адреса начала стекового кадра и адреса возврата из исполняемой функции)...
Термины

Эксплойт (exploit)

автор: Administrator | 9 февраля 2009, 02:52 | Просмотров: 9817
теги: Термины, эксплойт, уязвимость, доступ, безопасности, компьютер, атака, код, ошибки, система

Эксплойт (англ. exploit - использовать) - это общий термин в сообществе компьютерной безопасности для обозначения фрагмента программного кода, который, используя возможности предоставляемые ошибкой, отказом или уязвимостью, ведёт к повышению привилегий или отказу в обслуживании компьютерной системы.
Новости

Продукты Mandriva Linux получили сертификат ФСТЭК

автор: Administrator | 9 февраля 2009, 02:24 | Просмотров: 4451
теги: Linux, ФСТЭК, доступ, Flash, Server

Компании Mandriva.Ru и «Национальный Инновационный Центр» объявляют о выходе сертификата ФСТЭК на серверные и пользовательские дистрибутивы Mandriva.

Сертификацию прошли дистрибутивы Mandriva Powerpack 2008 Spring, Manriva Corporate Server 4 Update 3, Mandriva Flash по 5 классу для СВТ («Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации» (Гостехкомиссия России, 1992) и 4 уровню контроля НДВ («Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей» (Гостехкомиссия России, 1999)).

Дистрибутивы, прошедшие сертификацию, представляют собой весь спектр необходимых в организации операционных систем: дистрибутив для рабочей станции или сервера небольшой организации Mandriva PowerPack, мобильное рабочее место - дистрибутив, работающий с USB-носителя Mandriva Flash, корпоративный сервер Mandriva Corporate Server. Дистрибутивы Mandriva и корпоративное программное обеспечение от Mandriva уже широко используются в ряде государственных структур, среди которых - Правительство Московской области, Министерство финансов республики Саха (Якутия), администрация Черниговского района Приморского края, ФГУП "АРЦ Мингосимущества России" и другие.

Созаявителем на сертификацию продуктов Mandriva выступила компания «Национальный Инновационный Центр» (ЗАО «НИЦ»), занимающаяся разработкой и внедрением сложных систем, решающих проблемы информационной безопасности. По данным ЗАО «НИЦ», в течение 2007-2008 гг наблюдался стабильный спрос на качественные Linux-системы, в том числе среди государственных организаций, поэтому сертификация дистрибутива Mandriva, одного из наиболее дружественных к пользователю, качественных и популярных дистрибутивов в мире, стала очень своевременным шагом для ЗАО «НИЦ»...
Новости

Датские провайдеры должны заблокировать The Pirate Bay

автор: Administrator | 9 февраля 2009, 02:23 | Просмотров: 3437
теги:

Суд постановил, что все датские провайдеры должны блокировать торрент-портал The Pirate Bay. Если данное решение будет проигнорировано, то на компании будет наложен штраф.

Напомним, что в прошлом году суд обязал Tele2 заблокировать в Дании доступ к The Pirate Bay. Это произошло после того, как Международная федерации фонографической индустрии (IFPI) обвинила провайдера в пособничестве в нарушении авторских прав. В январе 2009 года доступ к The Pirate Bay добровольно заблокировал крупнейший датский провайдер TDC, опасаясь исков со стороны IFPI.

Однако не все датские провайдеры согласны с решением суда о блокировке The Pirate Bay. TDC, Telia и Telenor заявили, что намерены обжаловать это решение в Верховном суде. Провайдеры настаивают, что они предоставляют лишь доступ в Сеть и не несут ответственности за нарушение авторских прав их абонентами в интернете...
Новости

Дело взломщика системы электронных платежей будет рассмотрено в суде

автор: Administrator | 9 февраля 2009, 02:20 | Просмотров: 4388
теги:

Следственным комитетом при МВД России окончено предварительное расследование уголовного дела по обвинению Сергея Двуносова в совершении преступлений, предусмотренных ч.1 ст. 273 (Создание, использование и распространение вредоносных программ для ЭВМ), ч.1 ст. 272 (Неправомерный доступ к информации), ч.1 ст. 183 (Незаконное получение сведений, составляющих коммерческую тайну), ч.3 ст. 159 (Мошенничество), ч. 3 ст. 30 ч. 3 ст. 159 (Покушение на мошенничество) Уголовного кодекса Российской Федерации.

В ходе расследования было установлено, что Сергей Двуносов продавал желающим компьютерные вирусы, а также сам их использовал. "Сначала он заразил вредоносными программами более 2 тысяч электронно-вычислительный машин, подключенных к сети Интернет, что повлекло нарушение их работы, а затем, отыскав уязвимости защиты, скопировал аутентификационные данные ряда индивидуальных предпринимателей и юридических лиц - агентов и субагентов платежной системы ЗАО "ОСМП" (Объединенная система моментальных платежей), получив таким образом полный доступ к управлению их персональными финансовыми счетами в платежной системе ЗАО "ОСМП", - сообщает пресс-служба Следственного комитета при МВД России...
Новости

Хакеры взломали сайт Общественной палаты РФ

автор: Administrator | 9 февраля 2009, 02:19 | Просмотров: 3688
теги:

В выходные сайт Общественной палаты РФ был взломан неизвестными хакерами. На сайте были размещены радикальные исламистские лозунги и ролики. Сейчас работа сайта восстановлена.

Член Общественной палаты Александр Брод, директор Московского бюро по правам человека, сказал что "на сайте были размещены радикальные исламистские лозунги и ролики". При этом Брод утверждает что за частыми атаками на сайты правозащитных организаций в России обычно "стоят радикальные националистические организации"...
Новости

Microsoft готовит к выходу четыре патча

автор: Administrator | 9 февраля 2009, 02:15 | Просмотров: 4690
теги:

Во вторник 10 февраля Microsoft выпустит 4 обновления для программного обеспечения, из которых два призваны исправить критические уязвимости в Windows, Internet explorer и Microsoft Exchange Server.

Патчи, имеющие статус "критических", должны решить проблемы в Internet Explorer 7, Windows XP Professional Edition, Windows Vista, Microsoft Exchange 2000 Server, Exchange Server 2003 и Exchange Server 2007...
Новости

Киберпреступники осваивают новую разновидность DDoS-атак

автор: Administrator | 9 февраля 2009, 02:07 | Просмотров: 3668
теги:

Во второй половине января провайдер ISPrime подвергся распределённой DoS-атаке нового вида, получившей название DNS Amplification («DNS-усиление»). Атака, как выяснилось, была заказана владельцами порносайта, которые хотели задавить конкурента, хостившегося на ISPrime.Через день атака повторилась и продлилась в течение трёх суток.

Как заявил Фил Розенталь (Phil Rosenthal), технический директор ISPrime, всего 2’000 компьютеров-«зомби» смогли полностью наводнить своими фальшивыми пакетами сеть ISPrime, используя для этого 750'000 вполне легитимных серверов DNS по всему миру.

Алгоритм атаки DNS Amplification отличается изощренностью. Используя недавно найденную уязвимость во многих серверах DNS, компьютер по команде злоумышленника может отправить на официальный DNS-сервер небольшой пакет размером, скажем, в 17 байт. В ответ DNS-сервер отправляет пакет размером уже около 500 байт. Подменяя адрес источника своего пакета, злоумышленник может направить огромный поток никому не нужных данных на любой выбранный адрес в сети свой жертвы.

Причем новой атаке жертве нечего противопоставить. Защититься от нее можно только вместе с провайдерами. Если владельцы DNS-серверов не устранят уязвимость в своей системе, то их клиенты останутся беззащитными перед лицом таких мощных и разрушительных атак...