👼🏻 🥊 👩‍🌾 Pentester लागू 🔙 👩🏽‍🤝‍👨🏼 ⬆️

आईएस, जिसे प्रवेश परीक्षणों के साथ लागू किया जाता है, को भी रिसाव को ध्यान में रखना चाहिए। शायद मैंने सोचा के लिए इसे पंखे पर फेंक दूंगा।

पहला भाग। पीबी और ओटी

सूचना सुरक्षा हमेशा सुरक्षा सेवा, IT और के बीच हितों का टकराव है, चाहे वह कितना भी अजीब क्यों न लगे, सुरक्षा सेवा और OT।

औद्योगिक सुरक्षा क्या है? श्रम सुरक्षा क्या है? हम किस बारे में बात कर रहे हैं?

नहीं, मैं सुरक्षा परिषद को एक सुरक्षा सेवा के रूप में समझता हूं, उनके रक्त में सुरक्षा है, उन्हें अधिकतम करने के लिए इशारा किया जा सकता है, ताकि सभी को नियंत्रित किया जा सके, ताकि उनकी जानकारी के बिना एक कदम उठाना असंभव हो। ठीक नहीं है, लेकिन "चुन" ...

मैं समझता हूं - आईटी सूचना प्रौद्योगिकी है, यह उनके रक्त में बनाने के लिए आसान और सस्ती है, सभी सर्वरों पर एक व्यवस्थापक खाते का उपयोग करें। विभिन्न प्रणालियों में अधिकारों की स्थापना के साथ परेशान करने के लिए नहीं, ताकि क्रॉस-डोमेन, क्रॉस-सिस्टम, क्रॉस-सर्विस अधिकारों को स्थापित करने के साथ परेशान न करें। याया ...

सुरक्षा और आईटी में हमेशा हितों का टकराव होता है - यह सभी के लिए स्पष्ट है। साक्षर आईटी हमेशा एसबी का एक सा होता है, और साक्षर एसबी हमेशा आईटी का एक सा होता है। लेकिन पीबी और ओटी का इससे क्या लेना-देना है? एक व्यावसायिक सुरक्षा इंजीनियर लगभग हमेशा आईटी या सुरक्षा परिषद नहीं होता है, और वह उनकी परवाह नहीं करता है।

अभी के लिए, आपको यह विश्वास करना होगा कि यहाँ अचानक तीसरे प्रतिभागी का पंजा चल रहा है, ठीक है, या आप थोड़ा सोच सकते हैं ... जबकि आप आगे पढ़ते हैं।

दूसरा भाग। SKUD, एपीएस, SOUE, SMIS और SMIK

एसीएस - इसमें कोई संदेह नहीं हो सकता है, यदि कोई एससी है, तो एसीएस एससी का विशेषाधिकार है, और एससी इस प्रणाली को आईटी से दूर ले जाने के लिए हर संभव प्रयास करेगा, क्योंकि यह वास्तविक नहीं है।

एपीएस (मैं बंदूक के बारे में नहीं, बल्कि फायर अलार्म के बारे में बात कर रहा हूं) - यदि एसबी आलसी नहीं है, तो यह एसबी के नियंत्रण में होगा, बल्कि पीबी और ओटी, और आईटी शायद ही इस प्रणाली के लिए जिम्मेदार होंगे।

SOUE - एक नियम के रूप में, एमटीए के रूप में एक ही स्थान पर, और उन्हें एक दूसरे से अलग करने और अलग करने का कोई मतलब नहीं है।

एसएमआईएस और एसएमआईके आमतौर पर इस इंजीनियर को प्रेषण में और संबंधित इंजीनियरिंग सेवाओं के साथ हैं, लेकिन ऐसी परिस्थितियां हैं जब एसएमआईएस और एसएमआईके को SOUE के साथ एकीकृत किया जाता है, और अक्सर पर्याप्त होता है।

मैं किस बारे में बात कर रहा हूं? आह, हाँ, SOUE - यह सिस्टम आपकी सूचना सुरक्षा ("तुम्हारा" एक छोटे से पत्र के साथ तोड़ देगा, क्योंकि आपकी कंपनी के बारे में, और आपके प्रति अपमानजनक रवैये के बारे में नहीं)। अभी तक अनुमान नहीं लगाया है? देखो, आपके पास सुरक्षा नियम हैं, आपके पास सूचना सुरक्षा के संबंध में आईटी आवश्यकताएं हैं, आपने सभी पक्षों से हमलावरों के प्रवेश मार्गों को कवर किया है, आप सभी संभव आईटी प्रणालियों में उनकी गतिविधि को नियंत्रित करते हैं, जैसे कि आप प्रवेश और निकास की परिधि को पूरी तरह से नियंत्रित करते हैं, और आपने हस्ताक्षर के लिए अपनी सूचना सुरक्षा के साथ सभी कर्मचारियों को भी परिचित किया है, और यहां तक कि डीएलपी भी पेश किया गया है।

लेकिन तभी एक लेबर प्रोटेक्शन इंजीनियर आया और उसने दीवार पर फायर एस्केप प्लान लटका दिया।

मैं किस बारे में बात कर रहा हूं?

मैं फिर से सोचने का सुझाव देता हूं।

तीसरा भाग। प्रवेश

सुरक्षा परिषद के साथ सब कुछ शांत है, आईटी के साथ सब कुछ अच्छा है, लेकिन फिर भी, आपकी कंपनी इमारत के अंदर "जासूस को" जाने में कामयाब रही, शायद आपके पवित्र के दौरे के साथ भी - सर्वर या डेटा सेंटर, या शायद सिर्फ आपका ओपन स्पेस, जहाँ वे सभी एक साथ शांत बैठते हैं - साधारण क्लर्क और सामान्य निर्देशक, अन्य टीओपी के साथ।

या शायद यह एक सड़क "जासूस" नहीं है, लेकिन सिर्फ एक कर्मचारी जो पहले से ही आपके लिए काम करता है, अच्छी तरह से, उन्होंने उसे 2.5 2.5 "एसएएस डिस्क आपके डिस्क शेल्फ, अच्छी तरह से, या एक वित्तीय निदेशक के लैपटॉप के साथ पोर्टेबल पोर्टेबल बिटकॉकर लेने के लिए कुछ पैसे फेंक दिए। एक डिस्क जिसे वित्तीय निदेशक काम के दिन के अंत में तिजोरी को सौंप देता है, ठीक है, या तो एक ग्राहक बैंक और प्रमाण पत्र के साथ एक यूएसबी फ्लैश ड्राइव के साथ, और एक ही चाबी का गुच्छा पर एक हार्ड-वायर्ड आरएसए के साथ।

नहीं, ज़ाहिर है, आपके पास एक एसीएस है, और यहां तक कि एक मेटल डिटेक्टर फ़्रेम भी है, जो निश्चित रूप से इस "जासूस" को उपरोक्त सभी बनाने की अनुमति नहीं देगा। ठीक है, शायद आपने इस जासूस के लिए एक अतिथि कार्ड बनाया था, वह, विशुद्ध रूप से, अगर किसी ने खराब नहीं किया है, तो वह कहीं भी नहीं मिल सकता है, ठीक है, अगर साथ में, वह अधिकतम एस्कॉर्ट के साथ ओपन स्पेस को देखना चाहिए।

पहले से ही अधिक दिलचस्प है।

किसी भी मामले में, हम इस तथ्य को एक फितरत के रूप में मानते हैं - अंदर के लोग। या शायद यह पहले से ही पर्याप्त है?

चौथा सेवारत। और फिर भी, पीबी और ओटी को इससे क्या लेना-देना है?

संभवतः सभी ने पहले ही अनुमान लगा लिया है कि सूचना सुरक्षा पर सुरक्षा और सुरक्षा का प्रभाव प्रत्यक्ष, तत्काल है। उदाहरण के लिए, क्या आग के मामले में वही निकासी योजना आईएस से सहमत है? सबसे अधिक संभावना है, इसके अलावा, 99.99% कंपनियों में यह किसी भी तरह से आईएस से सहमत नहीं है, क्योंकि यह औद्योगिक सुरक्षा और श्रम सुरक्षा है। कर्मचारियों के जीवन की सुरक्षा सुनिश्चित करना सब से ऊपर है - वास्तव में, मैं इसके साथ बहस नहीं करता हूं। इस कारण से, फायर अलार्म की स्थिति में, सभी कर्मी तुरंत खतरे के क्षेत्र को छोड़ देंगे - आखिरकार, उन्होंने नियमित रूप से प्रशिक्षित किया, श्रम सुरक्षा इंजीनियर को धन्यवाद। सबसे अधिक संभावना है, वे पूरी तरह से निरीक्षण के बिना और पूरी तरह से सभी एसबी नियमों को अनदेखा करते हुए, अपनी पूरी पहुंच नियंत्रण प्रणाली को रोक दिए बिना, इमारत को छोड़ देंगे। वाह ...

पर कैसे? बहुत सरल - पीबी और ओत्ज़े ...

विवरण? वे मेरे पास है।

आपने ACS, APS, SOUE, SMIS और SMIK के लिए बहुत सारे पैसे आवंटित किए, एक शांत सिस्टम इंटीग्रेटर ने आपको एक विक्रेता के आधार पर एक भयानक समाधान की पेशकश की, सभी सिस्टम एक दूसरे के साथ एकीकृत हैं, और SOUE में सबसे आगे हैं। आपके सभी दरवाजे एंटी-पैनिक के साथ फायर-प्रूफ हैं, ज़ाहिर है, उनके पास ACS मॉड्यूल हैं, और एक सामान्य स्थिति में उन्हें बिना चाबी या फिंगरप्रिंट के नहीं खोला जा सकता है, लेकिन SCMS कुछ शर्तों के तहत पूरे ACS को शून्य कर देता है - जब APS ट्रिगर हो जाता है। हेहे। और यह भी, यदि आपके पास एक भूकंपीय रूप से सक्रिय क्षेत्र है, तो आईएसएमएस और आईएसएमएस भी एसीएस को प्रभावित करते हैं। यह सच है, अगर एपीएस के साथ सब कुछ सरल है, यह कुछ को प्रज्वलित करने के लिए पर्याप्त है, तो यह आईएसएमएस और एसएमआईसी के साथ थोड़ा अधिक जटिल है, उनके साथ निपटना इतना आसान नहीं है, आपातकालीन प्रतिक्रिया जटिल है, लेकिन किसी ने भी डेटा लाइन पर तोड़फोड़ को रद्द नहीं किया है, और खुद पर सेंसर - SOUE को ट्रिगर करने के लिए बहुत सारे संकेत हो सकते हैं।

या हो सकता है कि आपने बहुत अधिक धन आवंटित नहीं किया हो, सिस्टम बिल्कुल अलग हैं, सस्ता फायरबॉल हमारा है, लेकिन इस स्थिति में, जब APS चालू होता है, SOUE चालू होता है और सभी दरवाजे खोल देता है, या APS ACS को सीधे संकेत देता है। क्योंकि यह होना चाहिए - बाहर आओ, प्यारा shpien।

यह आग के मामले में निकासी के लिए योजनाओं से परिचित होने के लिए बनी हुई है, उद्यम के क्षेत्र के बाहर निकासी के लिए संग्रह बिंदु को देखने के लिए, फाटकों के पीछे, लक्ष्य को देखने के लिए, सेंसर और धुएं को देखें।

पांचवें सेवारत। नहीं, हमारे पास सीसीटीवी हैं, हम बाद में पाएंगे

सबसे अधिक संभावना है हाँ, आप इसे वीडियो रिकॉर्डिंग पर पाएंगे। लेकिन हम वयस्क हैं, हमें यह समझना चाहिए कि जो व्यक्ति इस तरह के कार्यों के लिए जाता है, वह "आत्महत्या" है, वह कल आपके काम पर वापस जाने की योजना नहीं बनाता है, वह घर जाने की योजना नहीं करता है और सौदे पर "अर्जित" पर हमला करना शुरू कर देता है जहां तक संभव हो और जितनी जल्दी हो सके वह सब कुछ डंप करने की योजना बना रहा है। इसलिए इसकी तलाश करना लगभग बेकार हो जाएगा। और उसकी तलाश क्यों करें। अगर आप की जरूरत है पहले से ही चोरी हो गया है।

हाँ, और कितनी जल्दी आप पाते हैं कि आपने कुछ चुराया है? एक घंटा या दो? Tinkoff बैंक जल्दी से पर्याप्त निष्पादित करता है।

निष्कर्ष

और पंचर, और यहां तक कि कहां लगाया जाता है?

हम हमेशा पैठ और तोड़फोड़ पर विचार करते हैं, लेकिन हम शायद ही कभी इस बारे में सोचते हैं कि सफल पैठ के मामले में जानकारी / मूल्यों (जो समान है) को कैसे स्थानांतरित किया जाए, और पंचक हमें पैठ और तोड़फोड़ की संभावनाओं को दिखाता है, और लागू किए गए पंचर हमें रिसाव के लिए संभावनाएं दिखाते हैं, के लिए निष्कासन

जब आप आईएस नियमों को लिखना शुरू करते हैं, जब आप इसे सुरक्षा परिषद के साथ समन्वयित करते हैं, तो सुरक्षा नियमों और ओटी के बारे में मत भूलना - उनके पास हमेशा सुरक्षा के बारे में एक अलग दृष्टिकोण है। उनकी तरफ से एक कानून है जिसका सम्मान किया जाना चाहिए। उनके पक्ष में वही अग्निशामक हैं जो आपके आईएस नियमों और आपके एसबी के लिए वायलेट हैं, और इसलिए आपको पीबी और ओटी के साथ विकल्पों की तलाश करनी होगी, जिसमें भेड़ और भेड़िये दोनों भरे हुए हैं - और निकासी की जाती है, और किसी की खोज नहीं की जाती है का विमोचन किया। और सबसे बुरी बात यह है कि सुरक्षा ब्यूरो और ओटी को कानून के विपरीत कुछ करने के लिए मजबूर नहीं किया जा सकता है - कि आपको एसबी के साथ संयोजन के रूप में सुरक्षा और स्वास्थ्य योजनाओं के साथ अपने नियमों को संरेखित करना होगा।

यह मुश्किल है, लेकिन असंभव नहीं है, और यह अब आश्चर्य नहीं होगा।

और हां, इस छोटे से ओपस में मैं एपीएस और एसओयूई के साथ विकल्पों पर हमला करने वाले वैक्टरों में से एक के रूप में विचार करता हूं, लेकिन स्ट्रेचर पर एम्बुलेंस प्रतिनिधियों और गंभीर रूप से बीमार लोग अभी भी खोज के बिना फ्रेम से बाहर जाते हैं ... इतना सोचा के लिए ...