takingcontrolme-blog

[takingcontrolme-blog]

Hvilken fil integritet overvågningsteknologi er bedst for FIM?

  Inden for FIM teknologimarkedet er der valg, der skal foretages. Agent-baseret eller agentless er det mest almindelige valg, men selv da er der både SIEM og 'pure-play' FIM, løsninger at vælge imellem. FIM - Agenter eller Agentless Der er aldrig en klar fordel for enten agentbaseret eller agentløs FIM. Der er en balance mellem agentløs FIM og den sandsynligvis overlegne drift af agentbaseret FIM, der tilbyder  

[takingcontrolme-blog]

Fil integritetsovervågning - hvorfor din sikkerhed er kompromitteret uden det

  Fil integritet Overvågning er afgørende for sikkerheden for enhver virksomhed 'IT. Vi undersøger behovet for malware-detektering, der adresserer de uundgåelige fejl i antivirus-systemer. Malware Detection - Hvor Effektiv er Anti-Virus? Når malware rammer et system - oftest et Windows-operativsystem, men i stigende grad Linux og Solaris-systemer er truet (især med den fornyede popularitet af Apple-arbejdsstationer, der kører Mac OS X) - den skal udføres på en eller anden måde for at gør sine onde gerninger. Det betyder at en slags systemfil - en eksekverbar driver eller dll skal plantes på systemet. En trojansk vil sikre sig, at den udføres uden yderligere brugerintervention ved at erstatte et legitimt operativsystem eller en programfil. Når programmet kører, eller hvis operativsystemet udfører en af sine faste opgaver, udføres den trojan i stedet. På en brugerarbejdsstation er 3rd-party applikationer som internetbrowsere, pdf-læsere og dagligdags brugerpakker som MS Word eller Excel målrettet som en vektor til mellemliggende malware. Når dokumentet eller regnearket åbnes, kan malware udnytte sårbarheder i applikationen, så malware kan downloades og udføres. I begge tilfælde vil der altid være en række tilknyttede filændringer. Legitime systemfiler udskiftes eller nye systemfiler tilføjes til systemet. Hvis du er heldig, vil du ikke være det første offer for denne særlige stamme af malware og dit AV-system - forudsat at det er blevet opdateret for nylig - vil have de nødvendige signaturdefinitioner til at identificere og stoppe malware. Når dette ikke er tilfældet, og husk at millioner af nye malware varianter introduceres hver måned, vil dit system blive kompromitteret, normalt uden at du ved noget om det, mens malware roligt går om sin virksomhed, beskadiger systemer eller stjæler din data. FIM - Fangning af malware Andre anti-virus systemer Miss Det er selvfølgelig, medmindre du bruger fil integritet overvågning. Enterprise-niveau FIM vil registrere enhver usædvanlig filsystemaktivitet. Usædvanligt er vigtigt, fordi mange filer vil ændre sig ofte på et system, så det er afgørende, at FIM-systemet er intelligent nok til at forstå, hvilken regulær drift der ligner til dine systemer og kun markere ægte sikkerhedshændelser. Undtagelser og undtagelser bør dog holdes på et minimum, fordi FIM er bedst, når den drives i en "nultolerance" tilgang til ændringer. Malware er formuleret med det formål at det bliver effektivt, og det betyder, at det både skal distribueres og fungere uden at detekteres. Udfordringen med distribution har set meget i vejen for innovation. Fristende e-mails med malware agn i form af billeder, der skal ses, præmier, der skal vundet og sladder på berømtheder, har alle haft succes med at sprede malware. Phishing-e-mails giver en overbevisende grund til at klikke og indtaste oplysninger eller downloade formularer, og specifikt målrettede Spear Phishing-e-mails har været ansvarlige for at duppe selv den mest cybersecurity-savvy bruger. Uanset hvilken vektor der anvendes, når malware er velkomne ind i et system, kan det så have midler til at formere sig i netværket til andre systemer. Så tidlig opdagelse er af afgørende betydning. Og du kan simpelthen ikke stole på dit antivirusprogram til at være 100% effektiv, som vi allerede har fremhævet. FIM giver denne 'nultolerance' til filsystemændringer. Der er ingen anden gættelse af, hvad der muligvis er malware, hvilket sikrer, at alle malware er rapporteret, hvilket gør FIM 100% effektiv til at registrere eventuelle brud på denne type. Resumé FIM er ideel som en malware-detekteringsteknologi, da den ikke er tilbøjelig til "signaturforsinkelsen" eller "nuldagssvagheder", der er Achilles 'Heel af antivirussystemer. Som med de fleste bedste praksis, er rådgivning altid mere, bedre, og operativ anti-virus (selv med sine kendte fejl) i forbindelse med FIM giver den bedste overordnede beskyttelse. AV er effektiv mod gamle malware og dets automatiserede beskyttelse vil karantæne de fleste trusler, før de gør skade. Men når malware undgår AV, som nogle stammer altid vil gøre, kan real-time FIM tilbyde et vigtigt sikkerhedsnet.  

[takingcontrolme-blog]

CSI Number11 - Sagen om det uhørte bevis

  Men ikke i første omgang. I første omgang så jeg lige dollar tegnene. Et par velhælvede L.A.-advokater ringede til mig. Virksomheden havde syv efternavne i sin titel og et af disse navne var på telefonen. Jeg slog opmærksom på, da de spurgte, om jeg kunne se på nogle 100MB Zip-diske, fortæl disse fyre hvad der var på diske, og hvad plejede at være på dem. Jo, jeg er altid spil til et lille show og fortælle. Et hundrede megabyte var ikke så lille da. Efter låsning og billeddannelse af diske tog jeg en lille spadseretur gennem filstrukturen med gamle Norton Utilities i vedligeholdelsestilstand. Fandt nogle filer, der ikke burde have været der. Fundet slettede filer, der var nyere end filerne på diskene. Fundet at et diskoptimeringsprogram var blevet kørt - muligvis overskrivet filer, der tidligere var der. En defrag operation, der kan frag filerne. Du ser, når en fil slettes, sker der ikke meget i første omgang. Det er som om nogen slettet en post i indholdsfortegnelsen - computeren er for dum at vide, at den stadig er der, bare fordi indekset til filen er blevet ændret. Men indtil noget skriver over indholdet af den slettede fil, ligger den stadig der og venter på at blive tilsluttet igen med en mappe og venter på at blive afsløret igen. Efterhånden vil slettede filer have tendens til at blive overskrevet, og som det viser sig, er en defrag en hurtigere måde at overskrive slettede filer - i det mindste nær den forreste ende af disken - så de bliver uoprettelige. Disse få filer, der var blevet slettet, og som vi genoprettede, og de få filer med de funky datoer overbeviste vores moneyed kunder om at tabe lidt mere mønt og få mig til at flyve ned til Sydøst L.A. for at trække diskdrevne fra ni computere. Efter at de fortalte mig sagens historie, forekom det mig, at jeg kunne rejse ind i løvehulen. Her var aftalen. Dette firma lavede beholdere til tærter og kager og alle slags lækker fremvist og indeholdt godbidder. De gjorde dem til Costco og hundredvis af andre butikker. Du selv har bestemt haft mad i disse containere. Fremstillingsmetoden var unik og hemmelig og baseret på proprietære software-tilførselsinstruktioner til brugerdefinerede maskiner. Virksomheden var værd omkring 60 millioner dollars og var ejet af flere medlemmer af samme familie. Størstedelen af de stemmeberettigede aktier gik med ideen om at sælge selskabet. Minoriteten ønskede ikke at sælge. En vis mængde shenanigans følges. Mens de øverste medlemmer af flertallet gik på at forberede dokumenter til at sælge, gik minoritetsmedlemmerne om at hemmeligt etablere forretninger andre steder med en dyb-lommepartner. Derefter gik de om at sabotere den oprindelige operation, ødelægge et stort antal designs, der gjorde virksomheden speciel. Da jeg gik ud på stedet for de beskidte gerninger, syntes alt, hvad der kunne gå galt, for at gå galt. Murphy arbejdede overarbejde gratis. Flyvninger blev forsinket og annulleret; Bilreservationer forsvandt, og de tog ikke American Express, men endelig var jeg på vej ud af LAX til byen Sandofay Wells. Jeg ringede til min assistent for at se, hvordan tingene gik. "Steve, er du okay?" Selvfølgelig var jeg - hvad ville være forkert, bortset fra forsinkelser? "Din mor ringede - hun havde en præmonition, du var død." Det var godt ud af det blå. Jeg ringede til min velsignede mor og lod hende vide, at intet meget var galt - jeg var bare ude på en koncert og ikke bekymre dig. Men så begyndte det at komme til mig. Ubesvarede flyvninger, mærkelige bilpolitikker, tingene forsinket og reservationer væk. Så advarslen fra min mor. Hvem skulle jeg skulle beskæftige mig med på webstedet? Jeg går ubevæbnet ... Jeg besluttede at trække mig over og roligt fortælle min kone, hvor de vigtige papirer var, hvem kreditorerne var og vigtigere, hvem skyldte os penge. "Nej, skat, intet er forkert. Jeg tænkte bare på det. Kys, kys, vi ses i aften." Jeg kørte til lokationen og steeled mig selv for ... ingenting. De dårlige fyre var ikke der - de havde boltet dagen før og alt var godt. Dette var den eneste røde sild af turen. Jeg tog dybt indånding og gik ind i laboratorierne. Der var ni computere, og om det samme antal mennesker, der ønskede at tale. Hør, jeg kan tilberede et blåt ordstykke på et hvilket som helst tidspunkt, men når jeg forsøger at arbejde, er for mange ord for prøvende. Jeg tog billeder, logget serienumre, skrev beskrivelser af systemerne, deres brugere, deres placeringer og drevene. Jeg mærket hvert drev og placerede det i en antistatisk taske, derefter i en polstret beholder, så i en stor kasse med de andre drev To af fyre gav mig en rundvisning i butikken. En anden fyr ønskede hjælp til at gemme en fil. Flere fyre forsøgte deres bedste for at ignorere mig. Nogle fyre brugt deres computere helt op til det øjeblik, jeg måtte lukke dem ned for at tage diskdrevene ud (Bevar bevis faktisk). Og to af gutterne havde interessante historier. En af disse to sidste var en ansat konsulent. Han fortalte mig, at han var blevet ansat for at prøve at finde de manglende filer og computer tegninger. Han udførte en installation af AutoCad på systemet, hvor filerne var i færd med at overskrive ca. 300 MB dataene! Hans bekymring var at lade mig vide, at kopien af AutoCad var legitim - ikke piratkopieret. Jeg var dumbfounded. Den første bevisregel er ikke at ødelægge nogen! Vand under broen. Han var ikke en retsmedicinsk fyr, og jeg ville beskæftige mig med situationen, når jeg havde lavet et retsmedicinsk billede gennem en skriveblokerer, og se om der var noget tilbage. Den anden fyr med en historie var flertallets øverste medlem. Den onde gamle onkel. Han sad mig på sit kontor i en time eller mere og fortalte mig hele historien. Det var en temmelig tæt match til den, jeg fortalte ovenfor. Lovkontoret ringede og bad mig om at sidde stramt, mens en af advokaterne bragte endnu en computer. Det tilhørte Pablo, det yngste medlem af familien, et medlem af mindretalet og den mest teknologiske kyndige af gruppen. Dette ville vise sig at være den vigtigste. Men mere på det senere. Selv om jeg stoler på din pind-til-det-iveness, læser en fuld fortælling af det arbejde, jeg gjorde, ville tage mere opmærksomhed end jeg selv har, så jeg vil springe ret hurtigt til konklusionerne. Der var mystiske huller i dataene på flere af harddiske, hvilket tyder på, at store dataudvekslinger var blevet slettet. I disse huller var både specifikke og tilfældige mønstre af bytes. De syntes at være blevet overskrevet med ikke-fil data. Der var et spøgelsesbilledprogram på et par af de computere, der havde filer slettet fra dem, og de samme filer optrådte på de zip-diske, jeg havde set på tidligere. De samme filer var blevet kopieret fra Zip Disks til Pablo's computer. Perp'en brugte Ghost's hurtige billeddannelsesfunktioner til at stjæle data. Denne samme version af Ghost, der var på par kompromitterede computere, var også på Pablo's PC og ingen andre steder. Områderne for slettede filer var blevet erstattet med mønstre, der var i overensstemmelse med et fildestruerende program. Se og se, Windows-registreringsdatabasen på Pablo's computer viste, at det for nylig havde et program kaldet "Shredder95" på den, konfigureret til at producere bare sådanne mønstre. Shredder95 var et tidligt kommercielt fil-shredding-program, og selv om det var blevet afinstalleret, blev registreringsdatabasen, der viste det, kun fundet på Pablo's computere. Da programmet blev afinstalleret, spredte det ikke selv restene. Vi ledte til en deponering, med mig dandied i min slips og abe-dragt. Om morgenen på dag et af deponeringen fik jeg en uvurderlig coaching fra en senior partner af firmaet, der har fast med mig til i dag. Jeg fik at vide: 1. Tal ikke over advokaten og spørg spørgsmålet - vent altid indtil han er færdig, for de kan stille noget andet end det du begyndte at svare på - og det kan give væk ting, vi ikke ønsker at give. 2. Fortæl ikke vittigheder. Når en jury læser transkriptet senere, kan de ikke se kroppens sprog eller høre latteret i aflejringslokalet. Jeg blev pinligt opmærksom på dette, da jeg senere læste transkriptet og så mine spøgende ord, "Jeg bliver nødt til at spørge min mama" helt uden for konteksten. 3. Spis en let frokost, så du ikke falder i søvn efterfølgende - den anden side venter på det, så de kan slå på dig unawares med et besværligt spørgsmål. 4. Sørg altid for, at du forstår spørgsmålet. Hvis du ikke gør det, så spørg det igen. 5. Næsten aldrig svar på spørgsmålet med ja eller nej. Gør spørgsmålet selv ved at gentage det, som du svarer, især hvis det er et langt spørgsmål. Spørgsmålet, der begynder, "Er det ikke sandt, hr. Burgess, det ..." er næsten altid et rødt flag. 6. Fortæl altid sandheden, men svar kun på det spørgsmål, de spørger. Vær ikke hjælpsom ved at omformulere spørgsmålet, så det er mere fornuftigt. Du kan måske vide, hvad du mener, de mener, men det er deres job at stille det rigtige spørgsmål, hvis de vil have de rigtige oplysninger. Bortset fra joke jeg fortalte, de gange, jeg var for hjælpsom, de gange, jeg talte om spørgsmålet, og de gange, jeg talte for hurtigt, for retten reporteren at få det hele ned (en vane af mig, når jeg taler tech) de to dage af deponering gik ret godt. Der var måneder med e-mails, telefonopkald, rapporter om, hvordan tingene gik i retten, og så endelig, den store domstol dato. Endnu en gang prettied, jeg trådte ind i retssalen, klar til noget, tænkte jeg - men ikke for hvad der skete. Kort sagt var det: Selvom alle vidste, hvilke filer der havde været på computeren, og selvom jeg kunne vise, at de var blevet ødelagt af Shredder95 - den samme version, som Pablo havde og konfigureret på samme måde - og selv om jeg kunne vise, at det skete På den sidste dag havde Pablo adgang til computere i butikken, og selv om jeg kunne vise, at Pablo havde en kopi af de (stjålne) slettede filer på hans computer og på zip-diskerne, og selvom jeg formåede at finde en elektronisk kopi af Pablo's kvittering for Shredder, dommeren tillod ikke mit vidnesbyrd. Hvorfor ikke? Fordi jeg ikke selv havde set filerne, før de blev ødelagt, og derfor var noget, jeg sagde om deres ødelæggelse, høresag. Hvad siger du?! Jeg forestillede mig en ekspert i et andet tilfælde. "Ja, din ære, vi har stykkerne af toget, vi har identificeret de kemikalier, der bruges til at lave den bombe, der blæste den op, vi har serienummeret til detonatoren. Sagsøgte indrømmer at købe en detonator med det serienummer, han har de samme kemikalier i sin lejlighed, men vi så ikke sæderne på toget, før de sprang op, så vi kan ikke være sikre på, at de var de samme pladser. Lad ham gå. " Måske en overdrivelse, men da dommeren og min klient begge sagde: "Du er undskyldt, hr. Burgess," var det svært at vælge min kæbe op af gulvet. To års arbejde sluttede uden at jeg kunne præsentere det. En bund af penge brugt af klienten med intet at vise for det. Jeg fandt det forbløffende. Men du ved, det er ikke for mig at stille spørgsmål til dommeren. Rettssalen er hans slot og hvad han siger går. Mine klienter endte med okay, men ikke så okay som de kunne have været med det ekstra vidnesbyrd. For mig blev jeg betalt for at blive mentoreret af en proffs. Det er svært at slå. Mine fødder blev lidt fladere, og mine sko fik lidt gummi ... Det viser ikke altid alle roser i computerforensics, men gebyrerne kan købe en posey eller to og en dåse af Glade, og når du lukker øjnene på en sommerdag, kan du ikke altid fortælle forskellen. I et øjeblik blinker rapporterne og retssalen i reverie. Og så ringer telefonen med en anden klient, der har brug for os til at grave ind i den digitale verden igen. Dette er blot en af de mange "CSI - Computer Forensics Files: Real Cases fra Burgess Forensics." Hold øje med flere historier om dårlige gerninger afsløret af videnskaben.  

[takingcontrolme-blog]

Fil integritetsovervågning, hvorfor din sikkerhed er kompromitteret uden den - Sårbarhedsscanneren

  Det er vigtigt at bruge File Integrity-overvågning for systemfiler som backstop til AV for at registrere malware. Enterprise-niveau FIM går videre, hvor konfigurationsfiler er bekymrede for ikke blot at registrere og rapportere ændringer til config-indstillinger, men også at identificere sårbarheder. Malware Detection - Hvor Effektiv er Anti-Virus? Der er dog også en række problemer med at bruge disse tjeklister for at eliminere sårbarheder, eller med andre ord at hærde et system. Først og fremmest er det tidskrævende og omhyggeligt at kontrollere et system for tilstedeværelsen af sårbarheder. Gentagelse af processen for en hel ejendom af hundredvis eller tusindvis af servere vil kræve betydelige ressourcer. Sårbarhedsscanneren Scanningssystemer, som Nessus, Rapid7, eEye eller Qualys, kan bruges til automatisk at afprøve et system og identificere om der er sårbarheder. Men mens en sårbarhedsscanner kan løse problemet med tid og ressourcekrav til sårbarhedsdetektering, skaber de også en helt ny række problemer, samtidig med at man efterlader en skarp fejl uløst. Scanning betyder, at servere og arbejdsstationer bliver forhørt via netværket, typisk ved hjælp af en automatiseret række af scripts, udført ved hjælp af psexec eller ssh, der arbejder sammen med et opløseligt middel. Det første problem er, at det opløselige middel skal kopieres på tværs af netværket til hver vært, og at være opløselige, dette skal gentages for hver scanning, for hver vært. Dette forbrænder båndbredde og værtsressourcer. Kommandoer køres for at forespørge konfigurationsindstillinger, dumping indholdet af config-filer, mens det opløselige agent tillader, at en MD5 eller SHA1 hash beregnes for hver fil som et 'DNA Fingerprint' for hver fil. Og det er et yderligere problem. For at kontrollere integriteten af kernesystemfiler og nøglekonfigurationsfiler er det nødvendigt, at scanner login er ved root eller near-root, privilegium. Dette betyder, at før du kan tjekke sikkerhedsstillingen for dine værter, skal du først svække sikkerheden og give et root-netværk login! Endelig skal resultaterne analyseres af scanningsapparatet, hvilket betyder at trække alle de indsamlede data tilbage på tværs af netværket, hvilket skaber yderligere belastning på netværket. Scanning fjernsystemer giver et mere overdrevet problem med båndbredde brug og overbelastning. Af disse grunde skal scanninger altid være planlagt uden for normal arbejdstid for at minimere serverbelastninger og for at forsøge at være så blid på netværket som muligt. I bedste fald betyder det, at en scanning kan udføres en gang om dagen for kritiske servere, men i en 24/7 operation vil der aldrig være en god tid til at scanne. Dette giver nogle store beslutninger, der skal foretages. Hvor meget ekstra belastning er du parat til at placere på din følsomme netværksinfrastruktur og værtssystemer? Hvor længe vil du tolerere dine kritiske systemer, der bliver sårbare over for angreb? Hvor længe er du sikker på at forlade malware uopdaget på dine nøgleværter? Agent-baseret FIM versus Agentless Scanner Agentbaserede sårbarhedsdetekteringssystemer som Tripwire og NNT Change Tracker løser disse problemer ved hjælp af agenter. En agent, der er hjemmehørende på en vært, betyder, at der ikke længere er behov for den netværksbaserede forespørgsel af værten, så der er ikke behov for yderligere admin eller root-adgang til at sikre værter. FIM-agenten fjerner også den gentagne scanningsbelastning på værten og netværket. En engangsbaseline kan betjenes, og derefter vil kun kvalificerende filændringer kræve nogen aktivitet fra agenten og derfor enhver brug af værtsressourcer. Endelig vil en agent også give en realtidsdetekteringskapacitet. Det bedste firma FIM-agent vil have kernelovervågningsmuligheder og være i stand til at se på alle filsystemaktiviteter, optage ændringer af interesse, så snart de er lavet. Typisk gælder dette for Linux, Windows og Solaris, men de bedste FIM-løsninger vil også strække sig til Mac OS X, og endda Android og iOS. Resumé FIM er veletableret som et middel til at detektere sårbarheder, men der er stadig muligheder på markedet. Agentless scannere og agentbaserede FIM-løsninger betjenes ofte sammen, og det er typisk ikke en eller en beslutning om hvilken teknologi der er den rigtige for dit netværk. Faktisk ser de fleste organisationer fordelene ved en "anden mening" om sårbarheder, der opnås ved at drive en sårbarhedsscanner i forbindelse med en kontinuerlig FIM-pakke.  

[takingcontrolme-blog]

Ressourcefordeling i dit computermiljø

  På samme måde, hvis der var omfattende duplikering af data, f.eks. De samme filer, der blev gemt på forskellige computere, ville diskpladsressourcerne blive brugt hurtigt, hvilket resulterede i en ineffektiv udnyttelse af diskplads, da de samme data blev replikeret. Dette kan løses ved at købe en virtuel lagringsdisk og have alle computere adgang til dataene på den lagringsdisk. Selvfølgelig ville der være andre problemer, der ville opstå, som f.eks. Hvilken bruger, der kunne redigere filen, og hvilken brugers redigeringer der ville blive overgået af andre brugere. Løsning af disse problemer ville være meget mere effektiv i form af ressourcefordeling end at duplikere dataene på tværs af computermiljøer. En anden computerressource er processoren. En central behandlingsenhed (CPU) (tidligere også kaldet en central processor enhed) er hardwaren i en computer, der udfører instruktionerne i et computerprogram ved at udføre systemets grundlæggende aritmetiske, logiske og input / output-operationer. Moderne er næsten alle CPU'er multi-behandling, dvs. har flere behandlingsenheder i dem og kan behandle flere opgaver på én gang. Endvidere øges databehandlingspræstationen ved anvendelse af multi-core-processorer, som i det væsentlige tilslutter to eller flere individuelle processorer til et integreret kredsløb. Ideelt set ville en dual core processor være næsten dobbelt så kraftig som en enkeltkerner processor. På trods af at der er gjort betydelige fremskridt med fremskridt i processorkraft, kan en enkelt opgave blokere hele processorkraften i et computermiljø og blokere andre opgaver, hvis CPU-strømmen ikke tildeles effektivt. Hvis du f.eks. Instruerer computeren til at beregne det største mulige primtal (som i det væsentlige er umuligt at gøre) - vil computerens CPU blive låst ind i uendelig. En effektiv måde at lade et edb-system fungere på effektiv kapacitet er at allokere ressourcer til forskellige brugere. En anden måde er at allokere en procentdel af ressourcerne til hver bruger. Hvis der f.eks. Er 5 brugere og 5 GB ledigt diskplads, kan du allokere 10% til hver bruger, uanset hvad brugeren bruger - dvs. 500MB uanset den faktiske brug, eller alternativt kan du allokere hele 5GB til hver bruger og overvåge aktiviteten og placere begrænsninger baseret på brugsmønstre. Hvert computermiljø er forskelligt, og beslutninger skal baseres på brugerens unikke fakta og brugsmønstre. CPU-tildeling er mere vanskelig, hvis der er flere brugere, der bruger det samme computermiljø, og nogle brugere har tidskritiske processer, såsom - betalingsgateway-systemer, hvis en bruger hogs op i hele CPU'en, kan de andre brugere blive blokeret. Derfor vil en fast tildeling af CPU være gavnlig i sådanne tilfælde. CPU er imidlertid meget sværere at skalere op, dvs. du kan ikke installere nye chips på en maskine lige så nemt som du kan installere nyt diskplads, og så - hvis du forventer en voksende brugerbase, er tildeling af en fast CPU til hver bruger umulig. I sådanne tilfælde skal du allokere en procentdel til hver bruger. For eksempel springer mange webhostingfirmaer CPU-brugen på din hjemmeside, når du krydser en vis procentdel af den samlede tilgængelige computerkraft. Over alt skal webmastere og administratorer være opmærksomme på ressourceallokeringsproblemer og -problemer og håndtere dem på en rettidig og logisk måde.  

[takingcontrolme-blog]

Digital sikkerhed svarer til rigdom

  "Virksomhedsledere skal tage en aktiv rolle i at gøre politikdelen af virksomhedens DNA. Det første skridt er en klar anerkendelse af den økonomiske risiko for organisationen, hvis der opstår brud på grund af manglende overholdelse." -Bob Janacek, DataMotion Det betyder, at jeg ikke alene vil øge værdien af mine data ved at sikre det; Jeg reducerer faktisk den værdi ved ikke at sikre den. Alligevel har nogle virksomheder som Google allerede taget fat på ideen om at sikre data ved ikke at sikre det overhovedet. Selv om dette giver nogle store fejl i forbrugerens privatlivsproblemer, hvis nogen skulle lade sige hack Google's server og stjæle brugerens oplysninger. Flere tænketank ledere, herunder Sir Ken Robinson, har diskuteret Google Xs arbejdsmiljø. I sin populære TED Talk sagde Robinson, at der skal laves fejl for at skabe innovative ideer. Med andre ord er der intet rigtigt eller forkert svar i dagens økonomi økonomi. Hvordan kan du eller din virksomhed udnytte denne bevægelse? DataMotion CTO Bob Janacek siger, at en best practice-tilgang til it-sikkerhed og compliance er centreret om to vigtige områder: effektiv kommunikation om politikker og brug af passende værktøjer til overførselsstyring og kontroller til virksomheds e-mail, herunder på mobilenheder. Vidste du, at Google ikke spore de hits, du får fra mobile og andre enheder? Indtil nu med Universal Analytics - Googles opdatering til den nuværende Analytics-platform; brugerne vil kunne se internettrafik på en helt ny måde. Det tilbyder support til et analytics.js bibliotek, og Mobile SDK eller højere til Android og iOS. Fra hvad det ser ud, har Google opfordret udviklere til at flytte alle "egenskaber", som de sætter det over til det nye Universal Analytics-system. At gøre et skridt til at vide mere om organisationens hjemmesider og demografien deraf er et godt træk. Det er meget som overførsel af virksomhedsdatabaser til en mere sikker infrastruktur. Efter at have talt med en repræsentant fra Trust-E Online, er jeg nu sikker på, at de ville centrere min it-afdeling omkring vores corporate politikker. Jeg gik ud og modtog en Digital Asset Assessment og kan nu begynde at se, hvor meget denne risiko er værd for den overordnede organisation. Det er værd at investere i min virksomhed.  

[takingcontrolme-blog]

Kryptering: Hvad er det og hvorfor er det vigtigt?

  For eksempel, når du handler online, sendes vores navn, adresse og kreditkortoplysninger over internettet til sælgeren. Med sådan privat information, der kanaliseres via internettet, er det afgørende, at der træffes visse foranstaltninger for at sikre privatlivets fred og fortrolighed af dataene. Seneste informationsteknologi nyheder fortæller os, at antallet af cyberforbrydelser er stigende. Det er her, hvor kryptering kommer ind. Enkelt sagt krypterer krypteringen de data, der skal overføres via internettet på en måde, der kun kan dekrypteres af en, der har krypteringsnøglen. Krypteringskonceptet er baseret på kryptografi, og det er af to typer:  

[takingcontrolme-blog]

Alt i én pc - tilbyder flere muligheder, hvilket gør livet lettere

  Alt i en pc er faktisk beregnet til maksimal ydelse under ekstreme miljøforhold. Det kan modstå vand, støv, ekstrem varme såvel som kolde betingelser, vibrerer sammen med rystning, mens det ikke falder eller taber nogen information i det mindste. Det har faktisk hjulpet alle brancher vokse gennem årene. Hvad er så anderledes med det? Denne pc giver exceptionelle computerteknikker i de hårdeste miljøer. Det tilbyder den allerbedste ydeevne, der er tilgængelig i dag på markedet. Den opererer også under ekstreme miljøforhold. Det er en fanless panelcomputer, der giver en lydløs ydeevne med en simpel overgang til eksisterende IT-systemer. Den slanke stil giver en simpel overgang i tætte arbejdsområder. Derfor er det slet ikke en overraskelse, at den bruges i flere handelsområder. Du ved måske ikke, men beslag og de eksterne porte muliggør uden tvivl nogen enkel integration. Eksterne porte kan tilbyde flere eksterne tilføjelser som LAN-ledninger, resistive tastaturer og meget mere. Tilsætningen af sådanne eksterne porte vil ikke begrænse eller forhindre ventilatorfri panelcomputerens vandmodstand. Alt i en pc har opdateret software Den nyeste teknologi giver fremragende ydeevne fri for enhver svindel eller tøven. Softwarepakken er hurtigere her og har konsekvente opdateringer, så du forbliver oven på handelsstandarderne. Sådanne alt-i-en-computere har høj hastighed, pålidelighed og fremragende. De eksterne såvel som de interne elementer på computere tilbyder høj ydelse under ekstreme forhold. Bundkortet er altid beregnet til fleksibilitet, og det har den særprægede evne til at skifte og bevæge sig uden at miste viden. Mest produktivitet og drift er ældre og kan henføres til førsteklasses kvalitet og innovative elementer. Din virksomhed har brug for ekspertise og konsekvent produktivitet og en god præstation trods vibrationer og meget mere. Den gennemsnitlige computerskærm er altid beregnet til enkel læsbarhed, selv i hårdt og påtrengende dagslys. Hvad computerskærmen gør? Skærmen er normalt mest vellidt til medicinske funktioner, der kan henføres til dens enkle evne til at vise digital grafik og skriftlige rapporter. Medicinsk handel bruger disse enheder til nem adgang til røntgenstråler, MRI-scanninger og andre medicinske rapporter. Læsbarhed, konsistens og pålidelighed er forsynet med denne højkvalitets skærm. Dens skærm er desuden designet til at indtaste enkel information og dens ekstraktion, mens du bærer seriøse instruktioner. Skærmen er i stand til at imødegå alle miljøforhold, mens den ikke knækker eller knuses. Professionelle test og retesterer dette produkt for at sikre, at det er mest produktivt under ekstreme miljøforhold. Det er troværdigt og pålideligt og støttet af robust kundesupport.  

[takingcontrolme-blog]

Med E-Commerce Product Data Entry Virksomheden bliver produktiv

  Desuden bør dataindtastningsopgaver styres effektivt, og det er klogt nok at outsource dine e-handelsproduktdataindtastningstjenester til en kendt markedspladsstyringstjeneste. Disse tjenester er yderst gavnlige for dem, der driver en online-forretning, fordi det er nødvendigt at styre og øge online salgsvolumen og spare værdifuld tid og indsats for at uploade produkterne. Se altid efter tjenester, der er overkommelige, sikrer kvalitet og fortrolighed. Det er en kendsgerning, at outsourcing-tjenester giver løsninger til at håndtere både små og store produktindtastningsopgaver, hvilket måske ikke er en nem opgave at administrere. For at få mest muligt ud af din hjemmeside for at optimere dit website, skal du også optimere dine Google-produktfortegnelser. Flere og flere opmærksomhed bør betales til disse produktfortegnelser på grund af indledningen af Google Shopping's moderne plan. Det har nu vist sig at være et af de vigtigste aspekter af online marketingkampagne. Den første og fremmest ting, der skal gøres for at optimere din produktfortegnelse, er at være opmærksom på de overskrifter, der bruges til at skildre produkterne. Omhyggeligt gode ord overskrift vil hjælpe din hjemmeside til at rangere højere, når produktet søges efter. Eksperterne fremførte, at din overskrift ikke må være mere end 70 tegn, og hvis det går mere end det, vil Google formentlig forkorte dele af overskriften. Derudover skal du også placere de relevante oplysninger om produktet såvel som dets anvendelighed foran dets titel. Det er fordi, når resultaterne bliver præsenteret for seerne, er de første få ord i overskriften kun synlige. Google Produktfortegnelser afslører faktisk kunden om det sande billede af den pågældende vare, pris og navn på butikken. Forhandlere, der bare giver et enkelt klik til din fortegnelse, vil straks henvende sig til hjemmesiden, hvorfra de kan købe de varer, de selv vælger. Når en bruger ønsker at erhverve alle former for relevant information om varen på Google Merchant-kontoen, vil Google uden fejl vise de mest anvendelige produkter og det tilhørende billede, priser og produktnavn.  

[takingcontrolme-blog]

Et kig på cyberkriminalitet

  I de tidlige års opfattelse var cyberkriminalitet ikke så bredt spredt som det er i dag. Det blev normalt begået af en skurk individer eller en lille gruppe af individer, der bare søgte at snoop omkring nogle firmaoplysninger eller personlige oplysninger. Et flertal af indtrengningerne, hvor et forsøg på at se lige hvor dybt de kunne trænge ind uden at blive opdaget. Disse individs hensigter var ikke altid kriminelle, men deres handlinger blev anset for at være, selvom der normalt ikke var nogen permanent skade end snooping. På kort tid udviklede cyberkriminaliteten sig hurtigt fra snoopers til dem, der søger at udtrække information eller distribuere vira. Når du overvejer udviklingen af cyberkriminalitet, svarer det til udviklingen af en banks sikkerhed. Tidligere var bankerne langt mindre komplekse, da dagens banker så adgang til dem til information eller økonomisk gevinst var en let proces, dvs. banker fra begyndelsen af 1900'erne ville have været langt lettere at få adgang til da de komplekse banker i dag. I dag er cyberkriminalitet et af de hurtigst voksende områder af kriminalitet. Spørgsmålene omkring cyberkriminalitet er langt mere komplekse og organiserede. Det udvikler sig og spredes i en alarmerende hastighed. Organiserede kriminalitetssyndikater arbejder sammen om at dække en bred vifte af cyberkriminalitetsaktiviteter med det ene formål at opnå økonomisk gevinst. Deres hensigter er kriminelle, og denne gruppe af individer fortsætter med at vokse hurtigt. Fordi cyberkriminalitet er en ansigtsløs metode til at udføre kriminelle handlinger, udnytter et stigende antal kriminelle den tilgængelighed og anonymitet, som teknologien tilbyder, og i modsætning til de fleste normale kriminelle aktiviteter vil de udfordringer, vi står overfor med cyberkriminalitet, ikke opfyldes på lokalt niveau. Internettets globale karakter har givet fleksibiliteten for kriminelle til at udføre næsten ethvert ulovligt cyberkriminalitet til enhver, de vælger, fra ethvert sted rundt om i verden. Dette er en dårlig kombination for et samfund, der bliver mere sammenkoblet gennem teknologi i dag. Nogle moderne metoder til cyberkriminalitet omfatter hacking, revnedannelse, identitetstyveri, internetbedrageri, cyberindbrud, bank svindel, brud på virksomheds sikkerhed, spearfishing og email fraud. Oprettelse af forsvar mod cyberkriminelle bliver stadig sværere for virksomheder at følge med efterspørgslen. Faktisk tror mange eksperter i dag, at vi ikke vinder kampen mod cyberkriminalitet, og at mængden af kriminelle hackere overstiger mængden af etiske hackere. En tendens, der ikke synes at ændre sig når som helst i overskuelig fremtid.  

[takingcontrolme-blog]

PCI DSS Version 3.0: Ny standard men samme problemer?

  "Kortindehaverdata er fortsat et mål for kriminelle. Manglende uddannelse og opmærksomhed omkring betalingssikkerhed og dårlig implementering og vedligeholdelse af PCI-standarderne fører til mange af sikkerhedsbrudene i dag" PCI SSC 'PCI DSS 3.0 Change Highlights' - august 2013 Kort datatyveri er stadig ved at ske, så den tredje revision af PCI Data Security Standard er lige så meget en ny lancering som en genopfriskning. Mange organisationer - endda Level 1-forhandlere - har endnu ikke fuldt ud gennemført alle kravene i PCI DSS V2 eller tidligere versioner af standarden, så øjnene kan godt rulles til en ny version af en standard, som endnu ikke er blevet mestret i sin tidligere formularer. Denne nye version handler mere om forfining og afklaring end nogen introduktion af nye teknikker eller teknologier til beskyttelse mod korttyveri, men mens tab ved hjælp af kort bedrageri stadig stiger, er det klart, at noget skal ændres. Hvor stor er problemet? Med hensyn til de tab, der opstår, kan du se, hvorfor kortmærker, udstedere og banker stadig vil være desperate for bedre omhu og opmærksomhed på deres kortnumre. $ 11billion gik tabt sidste år, og det beløb øges årligt. I betragtning af, at den samlede værdi af kortbetalingsforretninger nu overstiger 21 billioner dollar om året, er der stadig masser af penge, der ydes fra levering af hurtige garanterede betalingsprodukter. Imidlertid er ethvert initiativ, der reducerer det $ 11 mia. Tab, værd at være lidt tid og opmærksomhed. Fra den seneste Nilsson-rapport om kortsvindel: "Kortudsteders tab forekommer hovedsageligt på salgsstedet fra falske kort. Udstederne har bedrageri tab, hvis de giver købmænd tilladelse til at acceptere betalingen. Købers og erhververnes tab forekommer hovedsagelig ved transaktioner med kort ikke-nuværende (CNP) på internettet, på et opkaldscenter eller via postordre " PCI-overholdelse er ikke kun et kort-mærkeproblem, der resulterer i, at din organisation skal bruge tid og penge, men er en måde at beskytte din organisation direkte mod alvorlig risiko. Dette er ikke kun en finansiel risiko: Andre faktorer som brandbeskyttelse og kundetoler er også tabt, når et brud opstår. PCI DSS Version 3.0 - Stick eller Twist? Den nye version af PCI DSS er ikke tilgængelig før i begyndelsen af næste måned, så det er en tidlig afsløring af, hvad der er en ganske omfattende omarbejdning af standarden. De fleste af kravene overføres med nogle tweaks og tilføjelser, som vil blive dækket senere, men der er også en grad af raffinement i formuleringen i hele standarden. Den overordnede hensigt er, at standarden tager sigte på at fremme tænkning om sikkerhed for kortholderdata snarere end blot at køre overholdelse af standarden. Sikkerhedsstandarderådet er selvfølgelig opsat på, at bedste praksis i forbindelse med sikkerhed vedtages og praktiseres som et spørgsmål om rutine snarere end blot som en "en-årig stor-push-to-keep-a-auditor-happy" begivenhed - som om nogen ville gøre det? J Nye varer betragtes som "bedste praksis" indtil juni 2015, hvorefter de bliver officielle krav. Desuden kan enhver organisation, der overholder PCI DSS 2.0, holde sig til januar 2015, inden den nye version af DSS'en vedtages. Hvad har ændret sig i PCI DSS V3? Så hvad er de specifikke ændringer eller nye krav? Der er ordlydændringer i hele for at tilskynde mere rutinemæssigt fokus på PCI DSS-kravene, men der er nogle detaljerede ændringer og afklarende sprog, som vi kan fremhæve her. Krav 2: Sårbarhedsstyring og hærdning Krav 2 har altid givet udtryk for behovet for at hærde server-, EPOS- og netværksenhedskonfigurationer, og fjerner standardindstillingerne som minimum, men opmuntrer til vedtagelse af en NIST- eller CIS-hærdningstjekliste. Detailændringer for Version 3 gør passordssæt acceptable. Pass sætninger er et godt alternativ til lange, komplekse adgangskoder, der er nemmere at administrere og huske, men med tilsvarende sikkerhedsbeskyttelse. Hærdning, sårbarhedsstyring og konfigurationskontrol er en af NNT 'stærke hænder', og flere detaljer er tilgængelige på vores hjemmeside. Krav 6: Udvikle sikre applikationer 6.5.6 - Usikker håndtering af PAN og SAD i hukommelse Ligesom med bufferoverstrømningsbeskyttelse og modvirkning af SQL-indsprøjtningsangreb er dette en appel for applikationsdesignere at være på deres vagt. Dette krav er specifikt rettet mod at forsvare mod skadelig malware, og at designe i sikkerhedsfunktioner, så CHD og Secure Authentication Data er beskyttet. Opkaldet er at tage et skridt tilbage og overveje at bruge programmatiske funktioner, som forhindrer uautoriserede applikationer i at få adgang til hukommelse (nogle udviklingsmiljøer er bedre end andre til dette). Hvad sker der med CHD eller SAD under et programkrasch? (Mange angreb er i form af afbrydelse af ansøgningen for at gøre det 'hoste op' eller dump data). Hvor det er muligt, kan applikationen slette data fuldstændigt, når det ikke længere er nødvendigt? Det er med andre ord en applikationsudfordringsudfordring (dermed et krav 6-emne), men også et malware-beskyttelsesproblem. En angriber vil have brug for en trojansk eller anden malware til at skrabe hukommelsen, så lavt niveau FIM kan spille en rolle i sikringsbeskyttet kodning. Sammenfatning, gør dig klar til nogle mere udfordrende spørgsmål fra din QSA, så spørg dine EPoS / eCommerce app udbydere eller i husudviklingshold nu hvad de gør af dette krav. Potentielt vil dette også vise sig at være et vanskeligt krav for, at QSA kan validere. 6.5.11 - Broken Authentication og Session Management Detalje af dette nye krav synes at være at bede handlende om at afbøde risikoen ved overtagelse af kunderne: antage, at betroede kunder kan blive angrebsvektorer. Angreb på klientsiden er en af de mest almindelige måder, som hackere får adgang til data, og som altid vil hackere gå til den svageste forbindelse. Kravet har også til hensigt at sætte fokus på man-in-the-middle style angreb også. Interessant er der også et forslag om, at købmænd, der bruger omdirigerede tjenester (f.eks. Worldpay for eksempel) måske også skal undersøge deres applikations session management operation for sårbarheder. Primært er dette et applikationsdesign problem (Krav 6 prefix er en giveaway J). Det fremhæver en fælles "sårbarhed vs. funktionel" saldo, som tolereres af udviklere, fordi implementering kan skabe brugeroplevelser, der er kompromitteret. For eksempel vil det ikke forbedre salget fra et detailwebsted, hvis en kunde efterlader deres indkøbskurv forud for udtjekning, vender de tilbage til en "session timeout" -meddelelse. OWASP knowledgebase er din go-to ressource for udvikling afbødning. Krav 8: Brug altid unikke bruger-id'er 8.5.1 - Unikke godkendelsesoplysninger for serviceudbydere Standard sikkerhed bedste praksis inden for og uden for PCI DSS skal altid bruge unikke adgangsoplysninger til ALT , så du ved, hvem der er gerningsmanden, når noget unødigt finder sted. Det er bare standard, god praksis. Behovet for at dette udtrykkeligt fremhæves som et krav tyder på, at tjenesteydere har brug for en påmindelse om, at dette også gælder for dem. De fleste tjenesteudbydere fungerer sikkert, men de skal stadig tage de samme grundlæggende forholdsregler og sikre, at de bruger unikke legitimationsoplysninger (og ikke kun 'brugernavn + administrator som brugernavn heller!) Krav 9: Fysisk sikkerhed 9.9 - Beskyttelse af Point of Sale (POS) Enheder fra Tampering Baseret på kortindehaver data tyveri statistikker, kort skimming og mere udførlige varianter deraf målrettet på POS udstyr er stadig udbredt. Dette er ying til yang af de tidligere dækkede, yderst tekniske krav, der minder om, at "low tech" -kriminalitet stadig virker for. Krav 9 har altid været meningen at formidle meddelelsen om 'Lad ikke nogen røre noget af kortbeholderens databehandlingsudstyr'. Version 3-afklaringen her udtrykker udtrykkeligt beskyttelse af endepunkter, hvilket fører til den konklusion, at krav 9 generelt er fortolket som - med rette - stærkt orienteret mod datacenteret "centralt sted", men på bekostning af fokus på POS-systemer. Krav 11: Test sikkerhed 11.3 Udvikle og implementere en metode til penetrationstestning Dette er et andet "nyt" krav, der eksisterer for at understrege fokus på en af de standardpraksis, som alle allerede overholder, men måske gør det ikke så godt som de måtte. Et klassisk tilfælde af at opfylde brevet, men ikke ånden, af kravet. Det ser ud til, at markedet for Pen Testing er blevet meget commoditized med de fleste leverandører, der tilbyder omkostningsdesignede, højt automatiserede tjenester. Dette har uundgåeligt medført, at testene bliver mere overfladiske (mere 'checkbox-tilgang til overholdelse'), så dette nye krav er en "slæb på snor", hvilket tvinger købmanden til at undgå dårlige vaner og hjørnesnit. Det er alligevel noget nøglen til NNT-metoden, idet vi fortaler for, at de klassiske sikkerhedsbestemmelser bliver brugt, hvilket igen hjælper med til at minimere 'boom and bust'-tilgangen til sårbarhedsstyring, som PCI DSS undertiden giver. For eksempel skal du køre årlige eller kvartalsvise scanninger, så du skal tabe alt i en uge for at kunne patchere og genkonfigurere enheder, før du gentager processen 3 måneder senere, gør ikke kun livet hårdt, men kan også gøre dig usikker i flere måneder ad gangen. . NNT arbejder løbende for løbende at spore ændringer til enheder og giver dig mulighed for at drive mere af en 'trimning'-proces til sårbarhedsstyring. Denne tilgang er mere effektiv, skånsomere på netværket og værter, og lettere på dine ressourcer også! Krav 12: Vedligeholde en sikkerhedspolitik 12.9 - Supplerende krav til serviceudbydere om datasikkerhed Og endelig en præcisering af krav 12 om brug af Cloud eller Managed Security Services. Hensigten er at sikre, at tjenesteudbydere fuldt ud forstår og bruger deres PCI krav fuldt ud. DSS lægger vægt på købmanden for at sikre, at de har en erklæring, der anerkender dette, og til gengæld bør grossisterne holdes skadesløs for deres dataudbyder af kortholderen. Konklusion Sammenfattende, mens der er nye krav, hvoraf nogle kan vise sig at være udfordrende at implementere og teste, ændres intet i form af hensigt. Datasikkerhed skal være et fuldtidsfokus, der kræver høj driftsdisciplin, med kontrol og balance for at sikre, at sikkerheden opretholdes. PCI DSS forsøger at formidle dette, men har altid været offer for behovet for at uddanne, klarlægge og mandat sikkerhed bedste praksis. Datasikkerhed er ikke en nem ting at beskrive eller opsummere, og derfor har DSS afsluttet 650 delkrav, som sælgeren eller betalingsprocessoren finder komplekse og tvetydige. Teknologi kan hjælpe, og der er mulighed for at implementere højt automatiserede løsninger til størstedelen af PCI krav, der hverken er dyre eller vanskelige at implementere og køre. Og denne nye version af DSS, med større vægt på at sikre sikkerhed en regelmæssig vane, er helt i tråd med dette. Faktisk kan du forenkle størstedelen af PCI DSS ned til følgende trin:  

[takingcontrolme-blog]

PCI DSS Version 3.0: Ny standard men samme problemer?

  "Kortindehaverdata er fortsat et mål for kriminelle. Manglende uddannelse og opmærksomhed omkring betalingssikkerhed og dårlig implementering og vedligeholdelse af PCI-standarderne fører til mange af sikkerhedsbrudene i dag" PCI SSC 'PCI DSS 3.0 Change Highlights' - august 2013 Kort datatyveri er stadig ved at ske, så den tredje revision af PCI Data Security Standard er lige så meget en ny lancering som en genopfriskning. Mange organisationer - endda Level 1-forhandlere - har endnu ikke fuldt ud gennemført alle kravene i PCI DSS V2 eller tidligere versioner af standarden, så øjnene kan godt rulles til en ny version af en standard, som endnu ikke er blevet mestret i sin tidligere formularer. Denne nye version handler mere om forfining og afklaring end nogen introduktion af nye teknikker eller teknologier til beskyttelse mod korttyveri, men mens tab ved hjælp af kort bedrageri stadig stiger, er det klart, at noget skal ændres. Hvor stor er problemet? Med hensyn til de tab, der opstår, kan du se, hvorfor kortmærker, udstedere og banker stadig vil være desperate for bedre omhu og opmærksomhed på deres kortnumre. $ 11billion gik tabt sidste år, og det beløb øges årligt. I betragtning af, at den samlede værdi af kortbetalingsforretninger nu overstiger 21 billioner dollar om året, er der stadig masser af penge, der ydes fra levering af hurtige garanterede betalingsprodukter. Imidlertid er ethvert initiativ, der reducerer det $ 11 mia. Tab, værd at være lidt tid og opmærksomhed. Fra den seneste Nilsson-rapport om kortsvindel: "Kortudsteders tab forekommer hovedsageligt på salgsstedet fra falske kort. Udstederne har bedrageri tab, hvis de giver købmænd tilladelse til at acceptere betalingen. Købers og erhververnes tab forekommer hovedsagelig ved transaktioner med kort ikke-nuværende (CNP) på internettet, på et opkaldscenter eller via postordre " PCI-overholdelse er ikke kun et kort-mærkeproblem, der resulterer i, at din organisation skal bruge tid og penge, men er en måde at beskytte din organisation direkte mod alvorlig risiko. Dette er ikke kun en finansiel risiko: Andre faktorer som brandbeskyttelse og kundetoler er også tabt, når et brud opstår. PCI DSS Version 3.0 - Stick eller Twist? Den nye version af PCI DSS er ikke tilgængelig før i begyndelsen af næste måned, så det er en tidlig afsløring af, hvad der er en ganske omfattende omarbejdning af standarden. De fleste af kravene overføres med nogle tweaks og tilføjelser, som vil blive dækket senere, men der er også en grad af raffinement i formuleringen i hele standarden. Den overordnede hensigt er, at standarden tager sigte på at fremme tænkning om sikkerhed for kortholderdata snarere end blot at køre overholdelse af standarden. Sikkerhedsstandarderådet er selvfølgelig opsat på, at bedste praksis i forbindelse med sikkerhed vedtages og praktiseres som et spørgsmål om rutine snarere end blot som en "en-årig stor-push-to-keep-a-auditor-happy" begivenhed - som om nogen ville gøre det? J Nye varer betragtes som "bedste praksis" indtil juni 2015, hvorefter de bliver officielle krav. Desuden kan enhver organisation, der overholder PCI DSS 2.0, holde sig til januar 2015, inden den nye version af DSS'en vedtages. Hvad har ændret sig i PCI DSS V3? Så hvad er de specifikke ændringer eller nye krav? Der er ordlydændringer i hele for at tilskynde mere rutinemæssigt fokus på PCI DSS-kravene, men der er nogle detaljerede ændringer og afklarende sprog, som vi kan fremhæve her. Krav 2: Sårbarhedsstyring og hærdning Krav 2 har altid givet udtryk for behovet for at hærde server-, EPOS- og netværksenhedskonfigurationer, og fjerner standardindstillingerne som minimum, men opmuntrer til vedtagelse af en NIST- eller CIS-hærdningstjekliste. Detailændringer for Version 3 gør passordssæt acceptable. Pass sætninger er et godt alternativ til lange, komplekse adgangskoder, der er nemmere at administrere og huske, men med tilsvarende sikkerhedsbeskyttelse. Hærdning, sårbarhedsstyring og konfigurationskontrol er en af NNT 'stærke hænder', og flere detaljer er tilgængelige på vores hjemmeside. Krav 6: Udvikle sikre applikationer 6.5.6 - Usikker håndtering af PAN og SAD i hukommelse Ligesom med bufferoverstrømningsbeskyttelse og modvirkning af SQL-indsprøjtningsangreb er dette en appel for applikationsdesignere at være på deres vagt. Dette krav er specifikt rettet mod at forsvare mod skadelig malware, og at designe i sikkerhedsfunktioner, så CHD og Secure Authentication Data er beskyttet. Opkaldet er at tage et skridt tilbage og overveje at bruge programmatiske funktioner, som forhindrer uautoriserede applikationer i at få adgang til hukommelse (nogle udviklingsmiljøer er bedre end andre til dette). Hvad sker der med CHD eller SAD under et programkrasch? (Mange angreb er i form af afbrydelse af ansøgningen for at gøre det 'hoste op' eller dump data). Hvor det er muligt, kan applikationen slette data fuldstændigt, når det ikke længere er nødvendigt? Det er med andre ord en applikationsudfordringsudfordring (dermed et krav 6-emne), men også et malware-beskyttelsesproblem. En angriber vil have brug for en trojansk eller anden malware til at skrabe hukommelsen, så lavt niveau FIM kan spille en rolle i sikringsbeskyttet kodning. Sammenfatning, gør dig klar til nogle mere udfordrende spørgsmål fra din QSA, så spørg dine EPoS / eCommerce app udbydere eller i husudviklingshold nu hvad de gør af dette krav. Potentielt vil dette også vise sig at være et vanskeligt krav for, at QSA kan validere. 6.5.11 - Broken Authentication og Session Management Detalje af dette nye krav synes at være at bede handlende om at afbøde risikoen ved overtagelse af kunderne: antage, at betroede kunder kan blive angrebsvektorer. Angreb på klientsiden er en af de mest almindelige måder, som hackere får adgang til data, og som altid vil hackere gå til den svageste forbindelse. Kravet har også til hensigt at sætte fokus på man-in-the-middle style angreb også. Interessant er der også et forslag om, at købmænd, der bruger omdirigerede tjenester (f.eks. Worldpay for eksempel) måske også skal undersøge deres applikations session management operation for sårbarheder. Primært er dette et applikationsdesign problem (Krav 6 prefix er en giveaway J). Det fremhæver en fælles "sårbarhed vs. funktionel" saldo, som tolereres af udviklere, fordi implementering kan skabe brugeroplevelser, der er kompromitteret. For eksempel vil det ikke forbedre salget fra et detailwebsted, hvis en kunde efterlader deres indkøbskurv forud for udtjekning, vender de tilbage til en "session timeout" -meddelelse. OWASP knowledgebase er din go-to ressource for udvikling afbødning. Krav 8: Brug altid unikke bruger-id'er 8.5.1 - Unikke godkendelsesoplysninger for serviceudbydere Standard sikkerhed bedste praksis inden for og uden for PCI DSS skal altid bruge unikke adgangsoplysninger til ALT , så du ved, hvem der er gerningsmanden, når noget unødigt finder sted. Det er bare standard, god praksis. Behovet for at dette udtrykkeligt fremhæves som et krav tyder på, at tjenesteydere har brug for en påmindelse om, at dette også gælder for dem. De fleste tjenesteudbydere fungerer sikkert, men de skal stadig tage de samme grundlæggende forholdsregler og sikre, at de bruger unikke legitimationsoplysninger (og ikke kun 'brugernavn + administrator som brugernavn heller!) Krav 9: Fysisk sikkerhed 9.9 - Beskyttelse af Point of Sale (POS) Enheder fra Tampering Baseret på kortindehaver data tyveri statistikker, kort skimming og mere udførlige varianter deraf målrettet på POS udstyr er stadig udbredt. Dette er ying til yang af de tidligere dækkede, yderst tekniske krav, der minder om, at "low tech" -kriminalitet stadig virker for. Krav 9 har altid været meningen at formidle meddelelsen om 'Lad ikke nogen røre noget af kortbeholderens databehandlingsudstyr'. Version 3-afklaringen her udtrykker udtrykkeligt beskyttelse af endepunkter, hvilket fører til den konklusion, at krav 9 generelt er fortolket som - med rette - stærkt orienteret mod datacenteret "centralt sted", men på bekostning af fokus på POS-systemer. Krav 11: Test sikkerhed 11.3 Udvikle og implementere en metode til penetrationstestning Dette er et andet "nyt" krav, der eksisterer for at understrege fokus på en af de standardpraksis, som alle allerede overholder, men måske gør det ikke så godt som de måtte. Et klassisk tilfælde af at opfylde brevet, men ikke ånden, af kravet. Det ser ud til, at markedet for Pen Testing er blevet meget commoditized med de fleste leverandører, der tilbyder omkostningsdesignede, højt automatiserede tjenester. Dette har uundgåeligt medført, at testene bliver mere overfladiske (mere 'checkbox-tilgang til overholdelse'), så dette nye krav er en "slæb på snor", hvilket tvinger købmanden til at undgå dårlige vaner og hjørnesnit. Det er alligevel noget nøglen til NNT-metoden, idet vi fortaler for, at de klassiske sikkerhedsbestemmelser bliver brugt, hvilket igen hjælper med til at minimere 'boom and bust'-tilgangen til sårbarhedsstyring, som PCI DSS undertiden giver. For eksempel skal du køre årlige eller kvartalsvise scanninger, så du skal tabe alt i en uge for at kunne patchere og genkonfigurere enheder, før du gentager processen 3 måneder senere, gør ikke kun livet hårdt, men kan også gøre dig usikker i flere måneder ad gangen. . NNT arbejder løbende for løbende at spore ændringer til enheder og giver dig mulighed for at drive mere af en 'trimning'-proces til sårbarhedsstyring. Denne tilgang er mere effektiv, skånsomere på netværket og værter, og lettere på dine ressourcer også! Krav 12: Vedligeholde en sikkerhedspolitik 12.9 - Supplerende krav til serviceudbydere om datasikkerhed Og endelig en præcisering af krav 12 om brug af Cloud eller Managed Security Services. Hensigten er at sikre, at tjenesteudbydere fuldt ud forstår og bruger deres PCI krav fuldt ud. DSS lægger vægt på købmanden for at sikre, at de har en erklæring, der anerkender dette, og til gengæld bør grossisterne holdes skadesløs for deres dataudbyder af kortholderen. Konklusion Sammenfattende, mens der er nye krav, hvoraf nogle kan vise sig at være udfordrende at implementere og teste, ændres intet i form af hensigt. Datasikkerhed skal være et fuldtidsfokus, der kræver høj driftsdisciplin, med kontrol og balance for at sikre, at sikkerheden opretholdes. PCI DSS forsøger at formidle dette, men har altid været offer for behovet for at uddanne, klarlægge og mandat sikkerhed bedste praksis. Datasikkerhed er ikke en nem ting at beskrive eller opsummere, og derfor har DSS afsluttet 650 delkrav, som sælgeren eller betalingsprocessoren finder komplekse og tvetydige. Teknologi kan hjælpe, og der er mulighed for at implementere højt automatiserede løsninger til størstedelen af PCI krav, der hverken er dyre eller vanskelige at implementere og køre. Og denne nye version af DSS, med større vægt på at sikre sikkerhed en regelmæssig vane, er helt i tråd med dette. Faktisk kan du forenkle størstedelen af PCI DSS ned til følgende trin:  

[takingcontrolme-blog]

CSI18 - The Case of Deadbeat Beauty

  Ikke alt fungerer altid i Forensicland. Nogle gange rammer vi ud. På flere måder end en. Jeg stirrede ud på mine kontors høje vinduer på den blå, blå Santa Barbara-himmel, med Nary en sky i syne. Det var min 50-års fødselsdag. Regningerne blev ignoreret. Det virkede som en perfekt dag. Så ringede telefonen og en dejlig stemme svarede. Ginger Justín. Hun lo; hun elskede mine vittigheder; Hun syntes jeg var strålende. Hun sagde, at jeg var perfekt til hende. Som ekspert. Jeg mindede hende om sin far. Hendes afdøde far. Jeg burde have taget køen. Det ser ud til, at fru Justins far var gået væk - muligvis ved hjælp af Lynn Dallas, en levende følgesvend - en ledsager, der var i den nyeste version af fars vilje. Ikke kun det, Ginger-kind, omsorgsfuldt, dejlig Ginger - var blevet skrevet ud af viljen. Hendes søskende var stadig derinde. Børnebørnene var stadig derinde. Fru Dallass ledsager var derinde for hundens skyld! Penge til følgesvendens følgesvend! Men intet til ingefær. Noget måtte gøres. Poseur var nødt til at blive udsat, før hun tog endnu en gammel mands formue. Som Ginger oplyste mig, var dette Dallass M.O. Kendskab til den gamle fyr, bevæge sig ind med ham, blive en kærlighed interesse ("Hun elskede aldrig ham, hun var lige efter hans penge!"), Så hjælpe ham med at shuffle off planeten, når tiden var rigtig. Ginger's juridiske ørn, Big Dan Tuberosa, var enig. "Dette er en dårlig kvinde, dette Dallas. Hun skal stoppes." Så jeg bad om et katalog af enheder, der kunne holde forskellige versioner af testamentet. Hr. Justín havde ret opsætning. Racks med netværk gear ovenpå og ned. Flere computere og bærbare computere. Masser af backup harddiske. Ginger spurgte, om jeg kunne hente dem på landsdækkende administrator, John Geering's sted i Silicon Valley. Og hvis jeg kunne skære denne stakkels heroine pause på prisen. Tredive år af at være i biz har lært mig den hårde måde at når nogen forsøger at hjul & amp; håndtere dig, det er et rødt flag. Hver dollarrabat synes at komme med et fempunktsfald i respekt. Det er en mærkelig del af den menneskelige natur, der giver væk en C-note får folk til at tro, at du er et let mærke. Men hendes desperate charme sparkede ind, og jeg sagde, at jeg ville vælge gearet næste gang jeg var op på den måde. Det viste sig at Yahoo! Nyheder ønskede mit input til et onlineinterview / artiklen kaldet: "True / False: Aldrig sælge din gamle telefon", så efter interviewet gik jeg til Geerings nærliggende grave for at hente ting. Da jeg kom ned fra hans kontor, var der ingefær og venter på at hilse på mig. Hun var lang, lang og læn, undtagen hvor det tælles. Hendes flammende røde hår stod op med eftermiddagssolen. Hun lænede sig op mod mig med en sløv, vedvarende kram og bad mig om at dele en øl på en lokal fortovscafé, hvor vi kunne diskutere sagen. Jeg plukket et bord udenfor, i alles synspunkt, bare for at spille det sikkert. En lokal Firehouse IPA afkølet mit skyllede ansigt og slog mig nerver nok til at afklare mine wits. Brølet i mine ører faldt. Jeg hørte mere om, hvor meget Ginger's far elskede hende. Jeg hørte mere om, hvordan hendes søskende (dem, der stadig er nævnt i Will), stod på hende for at få den rigtige historie ud i deres fars hukommelse. Jeg hørte hvordan Ginger skulle gøre det hele alene. Jeg hørte mere om den onde Frøken Dallas. Jeg hørte, hvordan denne sag ville være værd at tjene penge og kunne jeg ikke gøre en del af mit gebyr på et uforudsete grundlag? Som det viser sig, er ekspertvidner ikke lov til at arbejde på en beredskabsbasis. Billedet af den hyrede pistol ville være uundgåeligt. Uanset omstændighederne, at blive betalt af hvor meget du vinder, passer det ikke lige overens med etikken om fuldstændig ærlighed på standen. Ligesom Lamas underviser, vedhæftes vedhæftelsen kun med lidelse. Vi havde stadig spørgsmålet om en kontrakt og en indehaver at håndtere. Big Dan forsikrede mig om, at Ginger var god til det, men det er aldrig en god ide at komme i gang uden noget nedskrevet. Hun underskrev kontrakten og skar mig en check. Med dette bag os og nogle tech talk sat i lejemål, besluttede vi os for en strategi. Hun troede, at to computere (med 3 diskdrev) ville være mest tilbøjelige til at bære frugt. • Jeg ville selvfølgelig lave et retsmedicinsk billede af hver harddisk, ved hjælp af FTK Imager gennem en skriveblokerer. • Lav en søgeordssøgning med EnCase for udtryk og sætninger taget fra kendte versioner af Will, og giv resultaterne som et regneark for hvert søgeord. • Gendan slettede filer. • Se efter Willmaker-dokumenter, herunder ved at finde en hexadecimal signatur for disse filer, så søg og skære dem ud med Blade. • Find hvornår og på hvilken computer der havde været Wills oprettet, ændret og fået adgang. • Giv en komplet liste over regneark for alle filer med Creation, Last Written og Last Accessed dates, blandt andet filattributter. • Opgrader alle eksisterende og slettede historikposter, ved hjælp af NetAnalysis og HstEx • Find hvilke USB-enheder der var blevet knyttet til hver computer (hvis der var mere opdagelige enheder). • Find ud af, om fil-tørre software blev installeret. Som du kunne forestille dig, tog det lidt tid og producerede en masse elektronisk dokumentation. Disse mange data ville tage ud af en stor del af skoven, hvis jeg sendte den som udskrifter. At mange papirbøger ikke er gratis, og da jeg ikke arbejdede pro bono, ville tiden til at udskrive det ikke være gratis. I modsætning til virkeligheden af at skulle betale for min tid, accepterede Big Dan og Ginger at tage det som filer, selvom de ikke ønskede at nogen elektronisk korrespondance skulle kunne spores senere. De ønskede, at e-mail-kommunikation skulle være stum på indholdet af det, vi fandt. CYA alarmerne inde begyndte at svirre. Flere flags begyndte at gå op ... Ginger brugte mange timer på at forsøge at sortere gennem dataene. Jeg fortalte mange timer på telefonen. Hun var lyst, men hendes hoved var ikke bygget til elektroniske regneark - det blev bygget til fortælling, og hun komponerede en historie til at passe hendes fortælling. Da jeg forklarede, at fakta ikke passede, spurgte hun mig i en halsig stemme, hvis jeg ikke kunne behage, bedes du gøre denne tilpasning til hvad jeg selvom dataene betydede? Gennem flere røde flag måtte jeg antage, at hun tog mit ben. Dataene er dataene. Som en berømt tv-politimand sagde engang, "Bare fakta, Ma'am." Sagsøgtes råd besluttede at tage min deponering over telefonen. Når en advokat gør sig klar til at prøve at tage mig fra hinanden, kan jeg lide at kunne læse sit kropssprog, så telefonindskud er ikke mine favoritter. Jeg kunne høre Big Dan og Ginger i rummet sammen med den anden advokat. Vi kom ind i emnet for, hvilke ændringer, oprettelses- og adgangsdatoer der var meningen. Som jeg forklarede, kunne jeg høre ingefær bede om en pause for at tjekke hendes søn, som hun sagde var syg hjemme. Derefter ringede mit kontor telefon og nummeret var hendes! Hendes søn var fint. Hun havde ringet til at forsøge at ændre virkeligheden lidt. Selvom hun havde svært ved at finde vej rundt om et regneark, insisterede hun på, at jeg havde fejl i mit vidnesbyrd om fildatoer. Jeg var nødt til at forklare, at jeg kendte en eller to ting om dem, og at jeg selv havde udført forsøgene til bekræftelse. Hun havde også, sagde hun, og jeg tog fejl. Jeg må indrømme, jeg var lidt rattlede. Jeg forsøgte at forklare, at Windows 7 og XP behandler bestemte datoer lidt anderledes. Jeg var nødt til at holde fast i mine våben, og ingefær var rasende. Alligevel besluttede de at tage det helt til retten. Ginger forberedte en stak af shreddable papir regneark og faxede dem til mig. Nu var jeg den, der havde problemer med at tolke regneark, da jeg ikke kunne gøre hendes hold sammen. Jeg gjorde mit bedste. Ingen ønsker en smuk kvinde at tro, at de bliver foragtede. Så faxede hun mig om en 100 point, hun ønskede, at jeg skulle vidne om. Jeg tilbragte flere timer forklarer, at der var mange ting derinde, som jeg simpelthen ikke kunne sige. Jeg følte, at jeg var på et debathold. Jeg skulle have stoppet der og da, men jeg holdt fast med det, indtil hun sagde - skriftligt - at hvis jeg ikke kunne besvare et bestemt punkt på en bestemt måde, insisterede hun på, at jeg sagde, at jeg ikke kunne få svaret. Selv om det ikke ville have været højden af et etisk brud, ville det være skade. Jeg siger op. Jeg kaldte Big Dan og fortalte ham, at jeg tog mig af sagen, og at han virkelig burde fortælle sin klient ikke at bede en officer i retten om at perjure sig selv. Men Dan var stadig en troende i denne forfærdelige fristende. Og retten var truende. Jeg lod mig selv tale om at gå til retten under følgende omstændigheder: Ginger ville ikke tale til mig mere - kun advokat Dan; ingen ville forsøge at påvirke mit vidnesbyrd, herunder Big Dan; og jeg var nødt til at modtage øjeblikkelig betaling for at dække den langvarige regning samt kommende vidnesbyrd. Færdig og færdig. Jeg afslutter. Ville det være, at aftalen blev holdt. Hvad der skulle have været et par timer på stativet, blev til to hele dage. Ginger sad med sin advokat, scowling, rystede på hovedet og på anden måde forsøgte at få mig til at sige "de rigtige" ting. Hvert af hendes eksperter og hendes advokat og dommeren var en doofus, og hver eneste af oppositionen var strålende. Pauserne var fulde af beskyldninger, og denne smukke kvinde, som kunne få så mange mennesker til at danse til hendes melodi, kunne ikke få fakta til at sige, hvad hun ville have til dem, uanset hvor mange gange hun skifte hende om hvad de skulle betyde . De bad mig om at blive en anden dag som et modløs vidne til den næste fyr, men jeg kunne bare ikke. Jeg var nødt til at beskæftige mig med virkelighed og aftaler. Nå i sidste ende blev jeg tilbage med at holde posen til en dags domstolsregning - og karma blev ramt af den giftige temptress. Måske var det hendes histrionics, hendes væskeformede måde med sandheden, eller bare, at far havde skrevet hende ud af hendes arv for en eller anden mærkelig grund. Men efter flere års arbejde med retssystemet, sluttede den onde Lynn Dallas med, hvad Will gjorde hende, og den skarpe sirenen fik en andel af Karma. Så nu sidder jeg og mediterer på flag og tegn og den blå Santa Barbara-himmel. Betaler lidt nærmere opmærksom på, hvad universet skal vise en fyr, der gør sit liv til at grave sandheden op med en retsmedicinsk spade. Forsøger at se, hvad der kommer for den almægtige, skal slå mig i panden med en slædeshammers for at få min opmærksomhed. Og holde fancy duds presset til den næste retsdato med fakta.  

[takingcontrolme-blog]

Apple vs FBI - er det forbi?

  Som du sikkert sikkert ved, afviste Apple i første omgang og tog lidt tid til at udarbejde et svar på retten for ikke at skulle give efter for Feds krav. Og som du måske ved, fik nogle ukendte firmaer, enkeltpersoner eller grupper (som i øjeblikket anses for at være gråhatte pro hackere) FBI en metode til at knække det selv. Så hvad er problemet her? Apple havde sprækket mange iPhones til FBI før. På spil var en af Apples vigtigste salgs-punkter, og det er sikkerheden for dets flagskibsapparat. Apple har brudt sine enheder i samarbejde med regeringens anmodninger tidligere, men i dette tilfælde var enheden en af de mere moderne iPhones, en 5C. Apple bagt sikkerhed i denne telefon, så selv de ikke kunne knække det og havde ingen registrering af sin adgangskode. For at kunne knække telefonen fortalte FBI Apple om at oprette en engangsopdatering, der ville sandsynligvis tillade uendelige forsøg på at logge ind på telefonen uden at låse sig selv. I øjeblikket låses telefonen for brugeren i timer, dage eller måneder, hvis der gøres for mange forsøg med forkerte koder - og i nogle tilfælde kan det tømme telefonen uden data. Så hvorfor er det noget, hvis Apple opretter denne bagdør til en fyrs telefon? Der er et par flere problemer på spil. For det første, hvis Apple skulle oprette bagdøren, ville det bare være noget om tid, indtil det var "i det vilde". I en meget kort periode ville hacket sprede sig, og ingen telefon ville være sikker fra regeringens eller kriminals nysgerrige øjne - herunder andre terrorister! For det andet mener mange kendte mennesker inden for sikkerhed og privatliv, at NSA havde midlerne og sandsynligvis ville have tilbudt det til FBI, men at FBI bare ikke var interesseret. Hvorfor ikke? Fordi tvinger Apple til at skabe en bagdør ind i dens sikkerhed, ville der være et præcedens, der ville gøre det muligt for FBI at tvinge alle teknologiske virksomheder til at knække deres sikkerhed også. Hvorfor vil vi passe, hvis vores egen regering er i stand til at omgå sikkerheden på alt? Nå er begrebet lidt skræmmende for denne forfatter lige ved starten. Men det er ikke den eneste grund til at se spørgsmålet om at opgive hele vores privatliv til vores egne retshåndhævende myndigheder. Når sikkerheds- / krypteringskatten er ude af posen, er det tænkeligt, at al privatliv vil blive en fortid, til vores egen regering, til udenlandske regeringer, til skurke og kriminelle, til terrorister og bøder. Det menes at vi ville åbne en meget mørk Pandoras boks. Så FBI har nu midler til at knække den terroristens iPhone. Kan de gøre alles? Nej - i hvert fald ikke endnu. iPhones mere moderne end 5C bruger en anden form for kryptering, der sandsynligvis ikke er sprængt. Og selv om FBI sandsynligvis ikke vil fortælle Apple, hvordan revnen fungerede, vil Apple fortsætte med at designe stærkere sikkerhed for at bage i deres enheder. Desuden brugte denne 5C en af de svageste typer af adgangskoder. Valg af en stærkere, længere adgangskode kan have stumpet de anvendte metoder denne gang. FBI faldt sin sag mod Apple - denne gang. Men siden september 2015 har agenturets direktør været stædig over for de problemer, der har en stærk kryptering, der kan forårsage, når der er tale om en national sikkerhedssag. Og denne fortaler mod stærk kryptering er blevet bragt ind i kongressens haller. Når jeg skriver denne artikel, udarbejder kongressen en antikrypteringsregning. Det er endnu ikke opdraget til afstemning, og det er ikke garanteret at bestå. der er tilhængere og svindlere på begge sider. Senator Wyden of Oregon (almindeligvis betragtet som liberal) sagde: "For første gang i Amerika vil virksomheder, der ønsker at give deres kunder større sikkerhed, ikke have det valg - de ville være forpligtet til at beslutte, hvordan de skulle svække deres produkter for at gøre du er mindre sikker. " En kollega fra Cato Institute (almindeligvis betragtet som konservativ) sagde: "Burr-Feinstein kan være den mest vanvittige ting, jeg nogensinde har set seriøst ud som et lovforslag. Det er" magi "i retssagen." Så det er ikke forbi. Faktum er, at sagen har bragt et offentligt slag til lys ved dets eksistens. Det er ikke forbi med et langt skud.  

[takingcontrolme-blog]

4 grunde til, at administrerede it-supporttjenester holdes bedre end de tekniske teknikere

  Af denne grund vil du se utallige virksomheder, der foretrækker at have en administreret serviceudbyder snarere end et internt it-team. Enhver mellemstor virksomhed med intern IT-teknologi klager over, at de for det meste spiser ressourcerne, selv når netværket kører glat - og det er bare en af de mange grunde til, at virksomheder foretrækker en administreret serviceudbyder. Så læs videre, hvis du blæser varmt og koldt ved at bringe ombord en leverandør, der tilbyder administrerede it-tjenester i enhver anden del af verden. En struktur, der er bygget på tillid og erfaring Hver ledende administreret serviceudbyder har en struktur til at udføre de daglige it-aktiviteter; det vil sige, hver it-proces - uanset hvor meget kritisk det har været - er testet, prøvet og raffineret, før det bliver implementeret. Sådanne tjenesteydere har tidskrævne ressourcer, fordi deres procedurer / processer systematiseres, da de har erhvervet mange års erfaring og ekspertise i at betjene forskellige kunder. Og på grund af sådanne systematiserede processer og dokumentation bliver sådanne tjenesteudbydere og deres kunder aldrig hamstrung af den irriterende nedetid. Sådanne systematiserede strukturer gør det muligt for et outsourcet it-team at løse selv de mest kritiske tech snags i korte turnarounds. Værktøjer, der er skabt i forkant med IT Når du har et internt teknologisk team, skal du investere meget på værktøjer som fejlfindingssoftware, antivirusprogrammer, billetprogrammer og andre it-ledelsesværktøjer. og disse værktøjer kan endda koste virksomheden en lille formue. Du behøver dog ikke at bekymre sig om investeringerne på sådanne it-værktøjer, når du arbejder sammen med en administreret tjenesteudbyder. Og det bedste er, at hver af de ledende serviceudbydere vil have de nyeste it-værktøjer i sit arsenal, så du, kunden, får sømløse tjenester hvert sekund. Omkostningseffektivitet og it-vedligeholdelse skal gå hånd i hånd Selvom din virksomhed formår at købe de sofistikerede it-værktøjer (som vi har nævnt ovenfor), så koster det dig hundredvis og tusindvis af dollars for at opdatere dem regelmæssigt. Det vil sige, at den oprindelige kapitalinvestering i sådanne tilfælde er ret stor, især for mellemstore og små virksomheder. Hvis din virksomhed på en eller anden måde har formået at investere i at købe et sådant værktøjssæt, vil omkostningerne ikke ende der. I stedet skal du træne supportteamet for at bruge den nyeste version af sådanne værktøjer. Så det er en anden overhead, der løbende vil skade dit budget i ganske lang tid. Sådanne dyre træningssessioner vil dog ikke genere, når du får tjenester fra en administreret serviceudbyder. De færdigheder, der kan vouched for En it-afdeling er kendetegnet ved sine færdigheder og hvor meget tid bruger det til at forfine dem. Lige fra hjælpen til tier III-ingeniører skal alle, der er i det interne it-team, have enestående oplevelse for at imødekomme virksomhedens daglige it-behov. Men hvis en virksomhed opererer på en shoestring, vil den ansætte et uerfarligt parti (hvilket kan føre til snesevis af uløste IT-tilfælde og nedetid). Derfor er det godt nok at få tjenester fra et it-team, der har meget eksponering for at forstå og løse en række sikkerhedsproblemer og phishing-svindel. Den simple kendsgerning, at mængden af IT-billetter, som en administreret tjenesteudbyder lukker dagligt, vidner om sine færdigheder. Det er rigtigt, at du kan få skræddersyede it-tjenester, når du får et internt it-team, men der er stadig ingen afslag på, at outsourcing managed services har flere fordele. Kort sagt er sådanne administrerede serviceudbydere dygtige til at krølle de forskellige elementer i succeskommunikation, organisation og samarbejde.  

[takingcontrolme-blog]

5 Karakteristika at sammenligne, inden du køber en Probe Station Unit

  1. Med den stigende popularitet af kryogene målinger er tidskrævende ledninger af en on-wafer-enhed ikke længere nødvendig. Dagens platforme giver mulighed for visualisering og elektrisk efterforskning af flere wafer niveau enheder. Desværre kommer dette med en afvejning. Optisk adgang til ufleksibel sondering af en enhed kan overføre varmebelastninger fra sonden arm til den testede enhed. For at minimere denne effekt er det vigtigt, at sondestationsenheden har en slags skærm eller anden teknologi til at reducere termisk stråling på prøven. Flere eksperimenter har vist, at selv den mindste mængde termisk strålingsoverførsel kan ændre slutresultatet. 2. En anden karakteristisk sammenligning, før man køber en sonde station enhed, er evnen til at foretage automatiske temperaturvariationer. Sondens arme er traditionelt forankret til prøvestadiet, og sondens spids vil bevæge sig, når prøvefasen varmer. Dette gør det vanskeligt at automatisere variable temperaturmålinger, fordi proberne skal løftes og landes igen for enhver mærkbar temperaturovergang. Evnen til at skabe stabil spidsstilling, der giver mulighed for løbende målinger, er kritisk. Det sikrer ikke kun nøjagtighed, men det giver også øget målefunktionalitet. 3. Prøveholdere på probestationenheden skal også sammenlignes. De fleste enheder tilbyder en række stikprøveholdere at vælge imellem. Populære valgmuligheder omfatter en jordet prøveholder, co-akselprøveholder og isoleret prøveholder, selvom der også findes flere ekstra muligheder. Når man sammenligner enheder, er det afgørende at sikre, at forskere kan bruge den nødvendige prøveindehaver, der kræves for at kunne gennemføre deres eksperiment. 4. Sondestationsenheds vision system er kritisk til sammenligning inden indkøb. Dette system er ansvarlig for sondens karakteristika og korrekt landingsprober. Afhængigt af eksperimentet varierer detaljeringsniveauet fra visionssystemet. Forskere skal derfor overveje aktuelle eksperimenter samt fremtidige behov, når man sammenligner synssystemer. 5. Den endelige karakteristik, der skal sammenlignes, før man køber en sondestationsenhed er den overordnede systemets alsidighed. I betragtning af den betydelige forskudspris er det afgørende, at forskere får mest muligt ud af deres enhed ved at vælge en mulighed, der giver mulighed for vellykket forskning ved hjælp af en række forskellige metoder. Da flere sondestationsenheder bliver tilpasselige eller modulære, overordnet fleksibilitet, og forskningskapaciteterne fortsætter med at udvide. I betragtning af den betydelige finansielle investering, der kræves for at købe en kvalitetssensorstation, er det ikke overraskende, hvor meget tid og ressourcer der bruges til nøjagtigt at sammenligne tilgængelige muligheder. Ved at fokusere på de fem nøgleegenskaber kan en nøjagtig sammenligning hurtigt og nemt gennemføres.  

[takingcontrolme-blog]

IT-bortskaffelse af aktiver - Miljøoverensstemmelse

  Når det står "fri" betyder det ikke altid det Der er IT-genbrugsleverandører, der vil tilbyde at tage aktiverne og bortskaffe dem uden omkostninger for virksomheden. Når du spørger dem, hvordan de kan gøre dette, kan de fortælle dig, at de vil tjene penge på at sælge aktiverne til skrot. Dette bør smide et rødt flag og gøre dig mistænkelig. Når et it-aktivmateriale har en vis værdi som skrot, er det normalt ikke nok at opretholde en genbrugsvirksomhed, der er miljømæssigt kompatibel. Hvis din virksomhed skal betale bøder for et firma, der praktiserer dårlig genanvendelse, kan disse "gratis" tjenester koste din virksomhed en formue. Så hvis et IT-deponeringscenter tilbyder at bortskaffe virksomhedens aktiver gratis, skal du søge efter en anden service. Nedstrøms betyder noget Mange af disse virksomheder har partnere nedstrøms, hvem de afleverer aktiverne til at blive behandlet yderligere, og det er normalt materiale, de ikke kan sælge. En vigtig ting at bemærke er, at din virksomhed er ansvarlig for alle it-aktiver, som du har bortskaffet i hele forældremyndigheden. Det er fra det tidspunkt, det forlader din virksomhed til det endelige dispositionssted. For at sikre, at det firma du vælger, er miljøoverholdelse, skal du sikre dig, at alle involverede personer også overholder kravene. Sørg for, at du ved, hvor dine it-aktiver går. Certificering Dette er den mest pålidelige måde at sikre, at firmaet du vælger, er miljøoverensstemmelse. Generelt er der ingen hos din virksomhed, der har ekspertise eller tid til at revidere praksis for it-deponering genbrugscentre fra start til slut. Du behøver ikke at stole på deres ord, at de og alle partnere overholder. Bed om at se deres certificering for kompatibel og sikker it-genanvendelse, som er et eller begge certifikater, R2 / RIOS og e-Stewards. For at få disse certifikater skal de også overvåge deres partnere og fremlægge dokumenteret bevis for, at IT-bortskaffelsen er i overensstemmelse med alle standarder og love.