🆕 🔐 ⚽️ 防衛省、FSB、FSIN、NPP、メトロおよびフェデラルハイウェイのセキュリティシステムの脆弱性 👦🏿 🤱🏿 🤛

誰もが、 1つのビデオが一連の国際スキャンダルの起爆剤としてどのように役立ったかという話を覚えています。

ハッカーは既にロケットランチャー（訓練目的）、防空システム、石油会社にハッキングしていますが、米国のintelligence報機関に奴隷にされたハッカーはシリアでインターネットをオフにし、イランの核計画を突破しました。

調査によると、 ~~小学生で~~ も、経験の浅いハッカーでさえ、10の大企業のうち8つを割ることができます。カットの下には、まだ作成されていないが、防衛省、FSB、FSIN、原子力発電所、地下鉄、および連邦高速道路に対して潜在的に脆弱なプロジェクトのリストがあります。

要するに、 Shodanをダウンロードし、トレーニングを行って状態システムの耐久性をテストします（もちろん、教育目的で、必要な人に事前に通知するため）。

重要なインフラストラクチャのセキュリティを確保するシステム（たとえば、燃料とエネルギーの複合施設、輸送施設、スタジアムの分類された施設）、および法執行機関の特別な目的の施設は、閉鎖コードの外国開発システムソフトウェアを使用しないでください。

外国の閉じたソフトウェアの主な問題：

1.文書化されていない機会（ NDV ）の存在。米国政府には特別なアクセス施設があります。

あなたの証拠は何ですか？

はい、および「スノーデン」のGoogleリクエスト

NSAはWINDOWS 7（ rus 、 eng ）の開発に参加しました

ドイツのintelligence報機関がWindows 8のバックドアを恐れる

NSAの予算から、代理店はサードパーティの商用ソフトウェア妨害プログラムに年間約2億5,000万ドルを費やしています。もちろん、Microsoftは代理店の主要なパートナーの1つです。会社のオフィスが、開発者とFBI、NSA、およびその他の機関の代表者との会議を定期的に開催し、専門家が現在の問題を共同で解決することは確実に知られています。

[ ソース ]

FBIは、AppleとGoogleがユーザーデータへの特別なサービスへのアクセスに「穴」を残すことを要求しました

シリアでインターネットを切断する-NSAによって？（ロシア語、英語）

NSAの監督下：保護された状態を維持する方法（ブルースシュナイアーの推奨事項）

Snowdenは、暗号化のハッキングによって状況を明らかにしました。すべてが悪い

1.1。文書化されていない機能がないこと、および情報への不正アクセスに対する保護のためのソリューションの詳細な検証と状態認証は不可能です。

制御レベル、プライバシーレベル、標準の要件について少し

制御レベルの要件。要件のリスト。

州の情報システムにおける情報保護のための方法論的文書措置

（2014年2月11日にロシアのFSTECにより承認）

情報の重要性のレベルは、情報の所有者（顧客）および/またはオペレーターの潜在的な損害の程度によって決まります

情報の機密性、完全性、または可用性の違反：

KM = [（機密性、損傷の程度）（完全性、損傷の程度）（アクセシビリティ、損傷の程度）] 、

ここで、起こりうる損害の程度は、情報の所有者（顧客）および（または）オペレーターによって、専門家または他の方法によって独立して決定されます。

情報セキュリティプロパティ（機密性、完全性、アクセシビリティ）のいずれかの違反の結果として、社会的、政治的、国際的、経済的、財政的またはその他の活動分野で重大な否定的な結果が生じる可能性がある場合、および/または情報システムおよび/またはオペレーター（情報保有者）それらに割り当てられた機能を実行できます。
メディアそれらに割り当てられた機能の少なくとも1つを実行できます。
情報セキュリティプロパティ（機密性、完全性、アクセシビリティ）のいずれかの違反の結果として、社会的、政治的、国際的、経済的、財政的またはその他の活動分野および/または情報システムおよび/またはオペレーター（情報所有者）割り当てられた機能を不十分な効率で実行したり、機能のパフォーマンスを実行したりするには、追加の力と手段が必要です。

ガイダンス文書情報への不正アクセスに対する保護

（1999年6月4日のロシア連邦大統領の下での国家技術委員会委員長の決定により承認されました。第114号）

宣言されていない機会がない場合、4つのレベルの制御があります。各レベルは、特定の最小要件セットによって特徴付けられます。

状態の秘密として分類された情報を保護するために使用されるソフトウェアの場合、少なくとも3番目のレベルの制御を確保する必要があります。

最高レベルの制御- 最初のものは、署名スタンプ「」で情報を保護するために使用されるソフトウェアに十分です。
第2レベルの制御は、署名スタンプ「CC」で情報を保護するために使用されるソフトウェアにとって十分です。
第3レベルの制御は、「C」とマークされた情報を保護するために使用されるソフトウェアに十分です。
最低レベルの制御-4 番目は 、機密情報を保護するために使用されるソフトウェアに十分です。

不正なアクセスに対する7つの保護クラスが4つのグループにまとめられ、さまざまな保護方法が特徴です。

NDVの不在の4つのレベルの制御により、情報システムが処理できるスタンプされたドキュメントが決まります。

詳細はこちら： Linuxというスター：「軍事」OSが強力な理由

2.外国のサプライヤーへの依存

2.1。制裁による配達を制限する可能性

例

「オバマはクリミアでWindows、Skype、Gmailを無効にするよう命じました」

ロシア全体にこのようなシナリオを実装すると、銀行、店舗、モバイル通信などが機能しなくなります（Vinzhの「Fall of repeaters」）

たとえば、MS Windowsを実行しているPCが製造元の要求でシャットダウンされ（NATOとの競合が始まる前にユーゴスラビア）、PCユーザーの希望に関係なく特定のコマンドを実行した（PCユーザーが禁止した場合でもMicrosoftのコマンドでソフトウェアの更新を強制した）前例がありますアップデート）。後者の場合、必要に応じて、Windowsを実行しているすべてのPCがMicrosoftから送信されたすべてのプログラムを更新および起動できます。必要に応じて、これはすべてのデータの削除、システムのロック、必要なドキュメントの検索などを行うプログラムにすることができます。

[ ソース ]

2.2。更新とサービスのためのソフトウェアライセンスの初期購入以外に、ドル為替レートの急騰による大幅な追加費用。

2.3。ユーザーの知識なしで更新をダウンロードするなど、使用条件を一方的に変更します。

例

ユーザーの同意なしのWindows 10の更新について。

Windows 10の自動更新は必要な悪です

MicrosoftがWindows 10でユーザーをスパイしているという批判が殺到

ハッカーニュースでの議論

Windows XPサポートは本日終了

中国は政府のWindows 8を放棄しました

3.穴

あなたは本当にセキュリティシステムでJavaを使用していますか？

アプリケーションに対するサイバー攻撃の脆弱性の分布[ 脆弱性とゼロデイ ]

「攻撃者はJAVAを選択します！」

「Java乱数ジェネレーターのハッキング」

新鮮から：

「JAVA 0日脆弱性が発見されました」

すべてを時間通りに監視および更新できることは明らかです。ただし、ソフトウェアの製造元は常に効率的に作業するとは限らず、制裁措置中に製品の更新を停止する場合があります。

多くの場合、製造業者は独裁者であり、必ずしも寛大ではありません。「Oracleの行動は、オープンソースキャンプに対する中性子爆弾です」

オープンソースでは、すべてが穴についてそれほどバラ色ではありませんが（オープンソースについてのハートブリードと誤解）、戦略的な観点では、オープンソフトウェアには利点があります。

一方、ロシアでは

連邦科学技術研究センター「エレロン」JSC（モスクワのロザトムコーポレーション）が開発したTOBOL-TVテレビ監視システムは、実行環境としてJAVAを使用しています 。

「そして、これらの人々は私に鼻をほじることを禁じていますか？」

防衛省、内務省、連邦刑務所などの一部の部門システムがインターネットに直接アクセスできないことを宣言します。これにより、システムソフトウェアの更新時またはプリンタードライバーのインストール時に、新しい脆弱性の脅威が発生します。また、人的要因にも留意する必要があります。多くの場合、ユーザーは静かにインターネットにアクセスするために当局からゲームやUSBモデムをインストールします。

私の友人の友人は、「米国では、NATO加盟国以外で開発されている政府機関（特に国務省）でのソフトウェアの使用のカテゴリ的禁止に関する指令があります」と提案しました。

恐竜によって尾が噛まれている間、遺体の神経系に沿った信号は長い時間がかかることは明らかですが、おそらく対称的な反応を導入する時が来るでしょう。

現実には何がありますか？

エンタープライズインフラストラクチャの脆弱性

企業情報システムの脆弱性統計（2013）。 ポジティブテクノロジー

完全なレポート（PDF）

ネットワーク境界保護の欠点

10のシステムのうち9つで、インターネットの一部で動作する外部の侵入者は、内部ネットワークのノードにアクセスできます。さらに、55％のケースで、外部の攻撃者は攻撃を開発し、会社のインフラストラクチャ全体を完全に制御できます。
平均して、ネットワークの境界を克服するには、外部の攻撃者は2つの異なる脆弱性を悪用する必要がありますが、82％のケースでの攻撃には中程度または低レベルの資格があれば十分です。
40％のケースでは、内部ネットワークへの侵入ベクトルは弱いパスワード保護に基づいています。過去2年間と同様に、この脆弱性は最も広範囲であり、調査対象システムの82％のネットワーク境界で発見され、これらの各システムでは、辞書パスワードもWebアプリケーションに存在していました。 67％の企業では、特権アカウントに辞書パスワードが使用されていました。
3番目のシステムでは、内部ネットワークへのアクセスはWebアプリケーションの脆弱性を介しています。したがって、「任意のファイルのロード」や「SQLステートメントの埋め込み」などの脆弱性は、システムの55％で発見されています。全体として、調査したシステムの93％でWebアプリケーションの脆弱性が検出されました。この分野のセキュリティの全体的なレベルは、過去2年間と同様、非常に低いままです。
2011-2012と比較。ネットワーク境界の平均セキュリティが低下しました。システムのシェアは17％増加し、内部ネットワークへのアクセスが可能になりました（74から91％）。攻撃を実行するために、外部の攻撃者はより低い資格を必要とするようになり、平均して境界を克服するには、より少ない脆弱性を悪用する必要があります（過去2年間で2対3）。一般的な状況は、使用されている保護手段の開発が最新の攻撃方法よりも遅く、十分に高いレベルのセキュリティを提供できないことを示しています。そのため、たとえば、ネットワーク境界のノードに最新のセキュリティ更新プログラムがインストールされていないシステムの割合が大幅に増加しています（10から64％）。

内部ネットワークを保護することの欠点

調査したすべてのシステムで、ネットワークのユーザーセグメントにある特権のない内部侵入者は、何らかの方法で特権を拡大し、重要なリソースへの不正アクセスを取得できます。さらに、71％のケースで、内部違反者は組織の情報インフラストラクチャ全体を完全に制御できます。
わずか17％のケースでは、内部攻撃者は重要なリソースにアクセスするための高度な資格を持っている必要がありますが、調査対象のシステムの半分では、内部ネットワークの未熟なユーザーから攻撃が可能です。平均して、内部ネットワークにアクセスする場合、攻撃者は5つの異なる脆弱性を悪用して重要なリソースを制御する必要があります。
内部ネットワークリソースの最も一般的な脆弱性は、システムの92％で見られる脆弱なパスワードの使用です。次に最も一般的なのは、サービスプロトコル（ARP、STP、CDPなど）のフィルタリングと保護のデメリットであり、トラフィックの傍受とリダイレクト、および重要なデータのクリアなストレージにつながります。これらの脆弱性は、システムの67％で検出されています。
内部ネットワークのセキュリティレベルは、2011年から2012年に比べて低下しています。調査したシステムの100％で内部ネットワークから重要なリソースを完全に制御できるようになりましたが、以前は84％のケースで同様の結果が得られていました。外部の攻撃者による攻撃については、攻撃の成功に必要な脆弱性の平均数が7から5に減少しました。攻撃者の必要なスキルも低下しました。攻撃の50％ではスキルがかなり低く、以前はこの資格は40で十分でした％攻撃。一般に、特定の領域でのいくつかの改善（たとえば、ウイルス対策のレベルが向上した）にもかかわらず、適用されたセキュリティ対策は、現代の攻撃に対抗するには十分ではありません。

情報セキュリティ問題に対する従業員の認識の弱さ

情報セキュリティの問題に対するユーザーの意識を評価した結果、66％のケースで、1つまたは別の欠陥が発見されました。 3番目のシステムでは、ユーザー認識のレベルが低いと評価されました。これらのシステムでは、フィッシングエミュレーションメーリングリストの受信者の20％以上が提案されたリンクをたどり、提案されたファイルを起動するか、資格情報を入力しました。
平均して、ユーザーの10人ごとが提案されたリンクをクリックし、ユーザーの3％がダイアログへの入力を試み、被験者の4％が実行可能ファイルをダウンロードするか、提案された認証フォームに資格情報を入力しました。
情報セキュリティの問題に対する従業員の認識レベルが向上しました。 2013年には、3番目のシステムごとに、認識レベルが許容可能と評価されました。

産業用制御システム

合計で、この調査ではICSのコンポーネントに691の脆弱性が確認されました。 2009年以降、急激に増加しました。今後3年間（2010〜2012）に、自動プロセス制御システムの脆弱性の数は20倍に増加しました （9から192）。その後、検出された脆弱性の年間平均数は安定しました（2014年に181）。

調査：2014年の産業管理システムの脆弱性

5か月ごとに脆弱性が1か月以上修正されます
ハッカーは脆弱性の50％でコードの実行を開始できます
脆弱性の4分の1は、必要なセキュリティアップデートの欠如に関連しています
ロシアのグローバルネットワークで公開されているシステムの50％に脆弱

数字で見る産業システムのセキュリティ（2012、PDF）

重要なインフラ施設

2011年のシマンテック調査からの主な調査結果（すべて悲しい）：

重要なインフラストラクチャオブジェクトは、攻撃の対象です。ロシア連邦の重要なインフラストラクチャの13個のオブジェクトのうち1個の代表者は、特定の目的のために行われたサイバー攻撃の犠牲者であると疑っています。
ロシアの企業は、重要なインフラストラクチャを保護するために、政府のプログラムよりも独自のリソースに依存しています。これらのプログラムに対する企業の態度はかなり懐疑的です（回答者の35％がこれを述べています）。それにもかかわらず、ロシアの重要なインフラ施設は、世界平均よりは程度は低いものの、国家と協力する用意ができています（ほとんどの企業はこれについて中立的または肯定的でした）
企業の準備を向上させる可能性。研究データは以下を示しています。
ロシア連邦の重要なインフラストラクチャの20％は、情報セキュリティインシデントに適切に対応していません。
重要なインフラストラクチャ施設の26％は、資格情報に基づいてインフラストラクチャへのアクセスを制御するための十分な対策を講じていません。
重要なインフラストラクチャ施設の30％には、情報システムの災害復旧計画がないか、準備が不十分です。
重要なインフラ施設の30％は、Webサイトのセキュリティを確保するための十分な対策を講じていません。
重要なインフラ施設の33％は、情報セキュリティを適切に監視していません。
重要なインフラ施設の34％は、ネットワークを保護するための十分な対策を講じていません。
重要なインフラ施設の35％の経営陣は、情報セキュリティの脅威の重要性を十分に認識していません。
重要なインフラ施設の37％は、電子通信のセキュリティを確保するための十分な対策を講じていません。
重要なインフラ施設の39％で、安全訓練が適切なレベルで実施されていません。
重要なインフラ施設の45％は、十分なセキュリティ監査を実施していません。
重要なインフラストラクチャ施設の半分以上（51％）は、エンドポイント（ユーザーの職場のコンピューター、サーバー、端末など）を保護するための不十分な手段を使用または適用していません。つまり、企業の半分以上が保護されていません。
情報セキュリティインシデントを監視し、情報漏洩を監視するシステムを改善する必要があります。この調査では、情報セキュリティの分野での認識と制御のレベルが不十分であることが示されました。回答者の3分の1は、情報システムが攻撃されたかどうか不明です。システムが攻撃されたほとんどの企業は、これらの攻撃が成功したかどうかを確実に判断することはできません。さらに、回答者の3分の1は、サイバー攻撃に耐える準備ができているかどうかを確実に言うことができません。
世界の情報セキュリティのレベルと比較すると、ロシアはまだやや遅れています。さまざまなセキュリティ対策のステータスに基づくセキュリティインデックスは、世界で平均+ 7％に対して+ 25％です。攻撃に対する企業の準備状況に関する当社自身の評価も世界的なものよりも低く、ロシアのサイバー攻撃に耐える準備ができているのは世界の平均70％に対して41％のみです。

[ ソース ]

軍事構造

Linuxに切り替えますか？

ソースコードの分析を含むレベル3以下のNDVの非存在の制御について話す場合、閉じたソフトウェアでNDVを取得することは正式に不可能です。通常、Windowsベースのシステムには4未満の制御レベルはありません。

WindowsおよびJAVAに基づく一部のシステムはFSTEC認定に合格していますが（個人データを保護するためだけに、「C」、「SS」、「OV」とマークされた情報の操作には適していません）、状態での使用構造およびバックボーン企業は、現在の地政学的および経済的状況においてリスクを伴う可能性があります。（上記のクリミアの例を参照）。

政府でWindowsをLinuxに置き換えることについて話す

ロシア人にとって良いことはドイツ人にとって死である：ミュンヘンの自治体はワークステーション上のLinuxを廃止する

ISSの例を見てください

ISSがLinuxに移行

United Space Allianceの従業員であり、ISSのラップトップとネットワークを担当する部門の責任者であるKeith Chuvalaは、最近、NASAがLinuxですべてのコンピューターをISSに切り替えることを決定した理由を述べました。

「安定性と信頼性の高いオペレーティングシステムが必要であったため、WindowsからLinuxに主要な機能を移行しました。これにより、 完全な制御が可能になります。 そして、何かを修正、調整、または適応させる必要がある場合、それを行うことができます。」

オプションは何ですか？

基本的なオプションは、バニラカーネルLinuxを使用して、特別な目的のシステムを自分で組み立てることです。

Alt LinuxディストリビューションはFSTEC証明書を受け取りました

Astra Linux Common Edition 1.10レビュー

Astra Linuxには、Common EditionとSpecial Editionの 2つのエディションがあります。後者は重要なオブジェクト専用です。

潜在的に脆弱な調達の例

ロシア連邦国防省のニーズに応じて、「ロシア国防省の施設でのビデオ監視機器の配備（仕様に応じて）」を提供します（注文0173100000814000723 ）。 Windowsで使用されます。

575 105 938ルーブルのコスト。

PAKがLinuxで動作するという事実にもかかわらず、オペレーターのワークステーションは重要なコンポーネントであるWindowsを使用します。 6ページ「ロシア国防省の対象物へのビデオ監視機器の配備（仕様に準拠）」の供給に関する電子オークションに関する通知および文書の変更を参照してください。

軍事ユニット2148（購入番号0373100125315000033 ）のビデオおよび熱画像監視「Videokolator-Dozor」の自律的なポストのアイドル状態での設置および試運転のためのサービスの提供。 Windowsで使用されます。

2,000,000ルーブルのコスト。

カレリア共和国のロシア連邦連邦保安局の国境警備局向けのビデオ監視-境界ビデオ監視システム（購入番号0306100000215000201 ）のインストール。 Windowsで使用されます。

12 424 687ルーブルのコスト。

ロシア連邦刑務所向けの統合セキュリティシステム（キットの周囲1200メートル）の配信。（購入番号0373100065014000126 ）。 Windowsで使用されます。

費用は98,270,819ルーブルです。

クラスノヤルスク地方の連邦刑務所のビデオ監視およびセキュリティシステム用の機器の供給（購入番号0319100023215000049 ）。 Windowsで使用されます。

1 363 119ルーブルのコスト。

連邦政府機関「コストロマ地域の連邦刑務所事務所の補正コロニー1号」のニーズに対応するビデオ監視システム用の機器の供給。（購入番号0341100008615000244 ）。 Windowsで使用されます。

374,081ルーブルのコスト。

スモレンスクNPPのビデオ監視システムの実装に関する一連の作業（作業文書の作成、建設および設置作業、試運転）の実装。使用されている外部ソフトウェア「CMS」および使用されているWindows。

AO Luzhniki（購入番号31502412367 ）のニーズに対応するSmall Sports Arenaのビデオ監視システムの近代化。 WindowsとデンマークのマイルストーンのCCTVシステムを使用しています 。

1200万ルーブルのコスト。

建設、設置、試運転は、単一のデジタル無線通信システムに輸送インフラ施設と輸送ニーズの人口の安全を確保するための包括的プログラムの枠組み内のサンクトペテルブルクメトロ州統一企業のライン1、ライン2およびセヴェルノー電気拠点の輸送セキュリティ管理ポストを装備することで動作しますサンクトペテルブルク（購入番号0172200002514000087 ）。 Windowsで使用されます。

費用は197 106 801ルーブルです。

M-29「コーカサス」高速道路（購入番号0318100043415000069 ）の輸送インフラストラクチャの最も脆弱なオブジェクトの輸送セキュリティを確保するためのエンジニアリングおよび技術システムのインストールの実装。 Windowsで使用されます。

139 164 194ルーブルのコスト。

国営企業Avtodor M-4 Donの高速道路の輸送インフラストラクチャの最も脆弱なオブジェクトにエンジニアリングおよび技術的セキュリティシステムをインストールするための契約を締結する権利の公開入札-モスクワからクラスノダール、ロストフオンドンのVoronezh経由ノヴォロシースクへ「ドン川を渡る橋はkm 1061 + 569（左、右）」（ No . 31502313606 ）。 Windowsで使用されます。

国内防犯システムの比較表

商標	開発者	サーバーOS	クライアントOS	Webインターフェース	ソフトウェアリンク/ソース
Axxonnext	ITV	窓	窓	Java	ソース
支配	Vipax	Linux	窓	HTML	ソース
Macroscop	Macroscop	窓	窓	HTML	ソース
オーウェル2k	ELVIS-NeoTech （RUSNANO）」	窓	窓	いや	ソース
SecurOS	ISS	窓	窓	Java	ソース
トラシル	Dssl	Linux	Windows MacOS	いや
	ITV	Windows	Windows	JAVA
		Windows	Windows
	Synesis	Linux	Linux , Windows	HTML
-	« ()»	JAVA	JAVA

おわりに

Windows, JAVA
90%
, ,

追加します。 :

スターは、Linux、なぜ「軍事」OS強いという名前の 2011年5月10日

待っていた文書、 2015年5月25日

模索し、新たな要件FSTEC：ロシアでのACSの保護を 2014年11月11日

- FSTEC暗号化を！ 2014年6月5日

状態の規格の開発にクラウドソーシング 2013年5月20日

、仮想環境のチェックリストの脅威のセキュリティ 2012年3月15日に

配布ALT Linuxは、証明書FSTEC受信した 2011年4月21日

国家資格の反射アンチウイルス 2011年4月14日

アストラのLinux共通編の概要1.10 2015年2月16日

アストラLinuxのスペシャル編

防衛省、FSB、FSIN、NPP、メトロおよびフェデラルハイウェイのセキュリティシステムの脆弱性