Как проверить биос на вирусы

БИОС вирусы

Система оказывается заражена сразу после установки. Вы ничего ТАКОГО не делали, а система заражена. Вы вставили пустой CD, а комп вдруг вырубился.

Что делать, если есть БИОС вирус?

Предыстория. Windows 8 будет поставляться с компьютерами, на которых не запустится более ни одна операционная система и якобы вирус. То есть официально, это должно защитить от вирусов, загружающихся перед операционной системой. На деле, все знают дырявость OS Windows и алчность Microsoft — это просто борьба с конкурентами. А для конечного пользователя это куча проблем. Общеизвестно, что многие вирусы не удаляемые из под Windows, удаляются с помощью «Спасательных дисков», которые работают из-под Линукса. Список для их загрузки здесь. Точнее говоря, эти диски есть не что иное, как обычный Линукс live cd, с предустановленным антивирусом. Железо заточенное под винду 8 не разрешит их запуск. Полное торжество вирусов и троянов! Мало того, если система не загружается, то Вы можете загрузившись с Puppy Linux live cd спасти важные данные. А как быть, если Windows 8 не загружается из-за вирусов, а на жестком диске остались важные файлы? Это будет большая проблема. Останется лишь вынуть жесткий диск из ПК с виндовс 8 и подключить его к другому ПК. Желательно с Линуксом — иначе заразите другой ПК, тот, к которому подключаете заразный диск. Куча проблем. Итак, чтобы вынудить покупать такое железо, нужны веские аргументы. Очень вовремя появилось несколько БИОС вирусов (но это не первые вирусы для БИОС — Чернобыль уже успели забыть, а это и был один из первых вирусов для БИОС). Итак, вышли «в мир» новые вирусы, которые якобы могут быть остановлены только восьмеркой (виндовс). Так ли это? Скоро мы увидим, что есть действенный способ удалить такой вирус (по крайней мере некоторые из них — встреченные автором) и защитить БИОС от повторного заражения. Технология напоминает таковую при защите домашнего роутера.

Очистка БИОС от вируса. Дочитайте до конца, а потом делайте.

1. Выключаем ПК.
2. ВЫНИМАЕМ привод питания из корпуса ПК. Или вилку из розетки. Это обязательно!
3. Вооружаемся отвёрткой и открываем корпус системного блока.
4. Находим на материнской плате батарею питания БИОС и вынимаем ее на минуту. БИОС вирус уничтожен.
5. Если есть такая возможность, вставив батарейку на место, делаем штатный резет БИОСа. Для этого обычно есть движок или мини переключатель — подробнее указано в инструкции к Вашей материнской плате. Но это уже не очень важно. Закройте корпус системного блока.

Подключаем провод питания и включаем ПК. Сразу же входим в управление БИОС. Обычно для этого нужно нажать кнопку Del во время загрузки ПК.

1. Без этого пункта БИОС будет заразен очень скоро! УСТАНОВИТЕ ПАРОЛЬ АДМИНА И ЮЗЕРА в БИОСЕ. Как? Например так 1!ПаРоЛЬ2@ — глядя на русские буквы, в БИОСе вводите английские — там других нет. Все согласные или каждая вторая буква с Шифтом (Shift) — т.е и большие и маленькие (заглавные и строчные). Пароль запишите НА БУМАГУ! НЕ ВВОДИТЕ ТОЧНО ТАКОЙ ПАРОЛЬ КАК Я УКАЗАЛ!
2. Неприятный момент — придётся переустановить систему. Лучше, конечно, форматнуть все ntfs диски, загрузившись с Puppy Linux live cd, но если есть куча фильмов и т. д., то делаем так. Загружаемся с этого Линукса и форматируем диск С. Затем включаем просмотр скрытых файлов и удаляем все exe файлы (игрушки не жалейте), папки System Volume Information, Recycler Bin на ВСЕХ дисках! Как пользоваться Puppy Linux live cd читаем здесь.

Все, устанавливаем Windows и живем обычной жизнью.

Можно ли проверить биос на вирусы

В первых числах сентября в руки экспертов вирусной лаборатории компании «Доктор Веб» попал примечательный экземпляр вредоносной программы, получившей название Trojan.Bioskit.1 . В целом это стандартный по функционалу троянец, заражающий MBR (загрузочную область диска) и пытающийся скачать что-то из сети. После проведенного специалистами «Доктор Веб» исследования оказалось, что в него также заложены механизмы, позволяющие заразить BIOS материнской платы компьютера.

Чем больше деталей функционирования этой вредоносной программы вскрывалось в процессе исследования, тем больше мы укреплялись во мнении, что это скорее экспериментальная разработка, нежели полноценная вредоносная программа, — либо она «утекла» раньше, чем этого хотелось бы автору. Об этом, в частности, могут свидетельствовать следующие факты:

• наличие проверки параметров командной строки (запуск данного экземпляра троянца с ключом -u излечивает систему);
• использование сторонних утилит;
• отключенный код дезактивации вируса через 50 дней;
• присутствие двух разных вариантов заражения системных файлов (из которых используется только один);
• ошибки в коде, выглядящие, как описки.

Но все эти обстоятельства нисколько не умаляют потенциальной опасности данного троянца. Сразу оговоримся, что заражению могут подвергнуться только материнские платы, оборудованные BIOS производства компании Award.

Заражение

Первоначально дроппер троянца Trojan.Bioskit.1 проверяет, запущены ли в операционной системе процессы нескольких китайских антивирусов: если таковые обнаруживаются, то троянец создает прозрачное диалоговое окно, из которого осуществляется вызов его главной функции. Затем Trojan.Bioskit.1 определяет версию операционной системы и в случае, если это Windows 2000 и выше (за исключением Windows Vista), продолжает заражение. Троянец проверяет состояние командной строки, из которой он может быть запущен с различными ключами:

• -d — данный ключ не функционирует (вероятно, в «релизной сборке» эта функция была удалена);
• -w — заразить систему (используется по умолчанию);
• -u — вылечить систему (включая MBR и BIOS ).

В ресурсах дроппера упаковано несколько файлов:

• cbrom.exe
• hook.rom
• my.sys
• flash.dll
• bios.sys

В процессе своей работы дроппер распаковывает и сохраняет на жестком диске драйвер %windir%\system32\drivers\bios.sys . В случае если в системе есть устройство \\.\MyDeviceDriver (в исследуемом дроппере драйвера, реализующего такое устройство, нет), троянец сбрасывает на диск библиотеку %windir%\flash.dll и, вероятнее всего, последовательно пытается внедрить ее в системные процессы services.exe , svchost.exe и explorer.exe . Назначение данной библиотеки — запуск драйвера bios.sys штатными средствами (service control manager ) с целью создания службы bios . При выгрузке библиотеки эта служба удаляется. В случае отсутствия устройства \\.\MyDeviceDriver троянец инсталлируется в систему путем перезаписывания системного драйвера beep.sys. После запуска beep.sys восстанавливается из предварительно созданной копии. Единственное исключение из этого правила сделано для ОС Microsoft Windows 7: в данной системе дроппер сбрасывает на диск библиотеку %windir%\flash.dll и сам же ее загружает.

Затем дроппер сохраняет в корне диска C: руткит-драйвер my.sys . Если драйвер bios.sys так и не удалось запустить или BIOS компьютера отличается от Award , троянец переходит к заражению MBR . На диск сбрасывается файл %temp%\hook.rom , который является полноценным модулем расширения (PCI Expansion ROM ). Но на данном этапе он используется всего лишь как контейнер, из которого извлекаются данные для последующей записи на диск. После этого перезаписываются первые 14 секторов жесткого диска, включая MBR . Оригинальный MBR сохраняется в восьмом секторе.

Драйвер my.sys

По сегодняшним меркам это достаточно примитивный драйвер: он перехватывает у системного драйвера disk.sys обработчики IRP_MJ_READ, IRP_MJ_WRITE и IRP_MJ_DEVICE_CONTROL , при этом:

• IRP_MJ_READ возвращает нули вместо первых 63 секторов винчестера;
• IRP_MJ_WRITE не позволяет осуществлять запись в первые 63 сектора. При этом вирус пытается разрешить своему дропперу перезаписать MBR и прочие секторы, но из-за явной ошибки в коде уловка не срабатывает. Таким образом, автор троянца разрешает перезаписывать 0x14 (20) секторов, а дроппер пишет только 0xE (14);
• IRP_MJ_DEVICE_CONTROL возвращает STATUS_UNSUCCESSFUL в ответ на запросы IOCTL_DISK_GET_DRIVE_LAYOUT_EX, IOCTL_STORAGE_GET_MEDIA_TYPES_EX и IOCTL_DISK_GET_DRIVE_GEOMETRY_EX .

Заражение BIOS

Но вернемся к случаю, когда драйверу bios.sys удается опознать Award BIOS . Надо сказать, что именно наличие этого драйвера выделяет данную вредоносную программу из большого списка подобных троянцев, заражающих MBR .

Упомянутый драйвер очень мал и обладает пугающим деструктивным потенциалом. В нем реализовано три метода:

• Опознать Award BIOS (попутно определить размер его образа и, самое главное, I/O порта, через который можно программно заставить сгенерировать SMI (System Management Interrupt ) и таким образом исполнить код в режиме SMM );
• Сохранить образ BIOS на диск в файл С:\bios.bin ;
• Записать образ BIOS из файла С:\bios.bin .

Получить доступ и тем более перезаписать микросхему с BIOS — задача нетривиальная. Для этого сначала необходимо организовать взаимодействие с чипсетом материнской платы для разрешения доступа к чипу, затем нужно опознать сам чип и применить знакомый для него протокол стирания/записи данных. Но автор этой вредоносной программы пошел более легким путем, переложив все эти задачи на сам BIOS . Он воспользовался результатами работы китайского исследователя, известного под ником Icelord . Работа была проделана еще в 2007 году: тогда при анализе утилиты Winflash для Award BIOS был обнаружен простой способ перепрошивки микросхемы через сервис, предоставляемый самим BIOS в SMM (System Management Mode ). Программный код SMM в SMRAM не виден операционной системе (если BIOS корректно написан, то доступ к этой памяти им заблокирован) и исполняется независимо от нее. Назначение данного кода весьма разнообразно: это эмуляция не реализованных аппаратно возможностей материнской платы, обработка аппаратных ошибок, управление режимами питания, сервисные функции и т.д.

Для модификации самого образа BIOS данная вредоносная программа использует утилиту cbrom.exe (от Phoenix Technologies ), которую, как и все прочие файлы, несет у себя в ресурсах. При помощи этой утилиты троянец внедряет в образ свой модуль hook.rom в качестве ISA BIOS ROM . Затем Trojan.Bioskit.1 отдает своему драйверу команду перепрошить BIOS из обновленного файла.

При следующей перезагрузке компьютера в процессе инициализации BIOS будет вызывать все имеющиеся PCI Expansion ROM , в том числе и hook.rom . Вредоносный код из этого модуля каждый раз проверяет зараженность MBR и перезаражает ее в случае необходимости. Следует отметить, что наличие в системе Award BIOS вовсе не гарантирует заражение данным троянцем. Так, из трех проверенных в вирусной лаборатории материнских плат заразить удалось только одну, а в двух других в памяти BIOS банально не хватило места для записи нового модуля.

Заражение MBR

Троянец размещает в MBR код, основная задача которого — инфицировать файлы winlogon.exe (в операционных системах Windows 2000 и Windows XP) или wininit.exe (Windows 7). Для решения этой задачи Trojan.Bioskit.1 располагает собственным парсером NTFS/FAT32 . Троянец ведет счетчик запусков, который обновляется раз в день. Через 50 дней предполагается дезактивация зараженного модуля: он будет изменен таким образом, что вирусный код перестанет получать управление. Но в данной версии троянца этот механизм отключен. Всего Trojan.Bioskit.1 включает две версии шелл-кода, из которых в настоящий момент активна только одна.

Заключение

Трудно недооценивать опасность подобного рода угроз, особенно с учетом того, что в будущем возможно появление более совершенных модификаций данной троянской программы либо вирусов, действующих по схожему алгоритму. В настоящий момент в антивирусное ПО Dr.Web добавлено детектирование и лечение MBR, системных файлов и файловых компонентов вируса. В случае если после детектирования и лечения данной угрозы система вновь оказывается инфицированной Trojan.Bioskit.1 , источником заражения, скорее всего, является инфицированный BIOS компьютера. Специалисты компании «Доктор Веб» продолжают работать над проблемой.

Сегодня словить на компьютере вирус ничего не стоит. Достаточно зайти на сомнительный сайт или открыть неизвестный файл – и готово. Сейчас их очень много, но одним из самых коварных вирусов является баннер-вымогатель. В первую очередь потому, что он практически полностью блокирует работу ПК. Поэтому без второго компьютера или ноутбука здесь обычно не обойтись.

Итак, исходные данные таковы. Ко мне обратились с просьбой помочь разобраться с ноутбуком. После его перезагрузки вдруг при входе в Windows система начала запрашивать пароль. Хотя его никто не ставил (вчера все включалось без пароля). Пользователь перепробовал все свои пароли, но они, разумеется, не подошли.

Собственно, эта информация мне мало о чем говорила – думал, придется обходить пароль. Перебирать какие-то комбинации было бесполезно, поэтому я ничего не вводил и просто нажал Enter. И тут – вуаля, система загрузилась. Ура, проблема решена? Вовсе нет – дальше было еще лучше.

Вы заблокированы, платите штраф!

После включения ноутбука на рабочем столе появился огромный баннер на весь экран. Он гласил о том, что система Windows заблокирована за просмотр «интересных фильмов» и все такое.

Честно говоря, я иногда понимаю родителей. Когда читаешь такой баннер на ноутбуке своего ребенка и видишь причину блокировки, в голове сразу появляется мысль «ах ты проказник такой-сякой». И руки сами тянутся к ремню. Наверное, поэтому дети боятся об этом сообщить и делают совершено ненужные вещи – например, платят штраф злоумышленнику.

Итак, по баннеру сразу становится понятно, что это вирус. Собственно, нужно лишь его найти и удалить. Но тут есть одна проблема: баннер блокирует работу системы, и на рабочем столе ничего сделать не получится.

В первую очередь нужно попробовать . Если вирус не даст вам это сделать, тогда остается единственный вариант – лечение антивирусной утилитой с флешки, запущенной через BIOS.

Пробуем удалить вирус антивирусной утилитой

Итак, чтобы избавиться от вируса, необходимо записать на флешку любую антивирусную утилиту Live CD. Это может быть Dr. Web, Avast, Kaspersky – что угодно.

Поскольку зараженный ноутбук заблокирован, то, тут вам понадобится другой ПК. С его помощью получится найти эту утилиту и записать ее на флешку. Хорошо, что сегодня почти в каждом доме есть по 2-3 компьютера/ноутбука ��

Флешка обязательно должна быть загрузочной. Т.е. ее надо записывать с помощью специальной программы. Например, вы можете .

Если сделаете все правильно, вместо Windows запустится антивирусная утилита. Далее вам лишь надо запустить проверку на вирусы и дождаться ее окончания.

В моем случае проверка шла более часа. Или больше. Потом мне надоело ждать. Да и печальный вид человека, переживающего за свой ноутбук и данные на нем, подсказывал, что надо что-то менять. В итоге я отменил эту злосчастную проверку и решил поискать другой способ.

Удаляем баннер с помощью AntiSMS

Существует одна отличная утилита AntiSMS. Прекрасно подходит для неопытных пользователей, которые первый раз столкнулись с подобной проблемой.

Ее плюс в том, что она не проверяет всю систему на вирусы, а сразу удаляет этот надоедливый баннер. От него можно избавиться вручную, но для этого надо знать как. Утилита AntiSMS выполняет все эти действия автоматически. В итоге баннер вымогатель удаляется буквально за 10 минут.

Опять же: вам нужно записать утилиту на загрузочную флешку, загрузиться через BIOS и запустить ее. Затем подождите пару минут, пока не увидите сообщение, что вирус успешно удален. Перезагрузите ПК или ноутбук – он должен включиться, и баннера уже не будет. Собственно, в моем случае проблема была решена как раз с помощью AntiSMS.

Утилита бесплатная, и ее можно найти на официальном сайте. Плюс сейчас уже появилась новая программа от тех же разработчиков – SmartFix.

Вот таким образом получилось разблокировать компьютер от вируса. Кстати, со слов пользователя эта зараза, скорее всего, подцепилась на сайте рефератов. Вылезли рекламные баннеры: при попытке их закрыть система зависла, далее последовала перезагрузка – и вуаля, при входе в Windows уже запрашивает пароль. А дальше, как оказалось, нас ждал вирус с грозным сообщением заплатить штраф за разблокировку ПК.

Разумеется, платить никому не надо – баннер от этого не исчезнет. Единственная польза будет только злоумышленнику: он поймет, что такой способ «заработка» действует и будет дальше распространять свои вирусы на всевозможных сайтах.

Может ли вирус попасть в UEFI биос?Как сделать проверку?

Он же только насиройки обновляет?Он же не удаляет старый биос и не ставит новый.

VVhiteHTD @VVhiteHTD Автор вопроса

Обновление поможет?

Владимир Коротенко @firedragon

VVhiteHTD @VVhiteHTD Автор вопроса

Владимир Коротенко, После обновления все настройки остаются,значит биос обновляет свои файлы,а вирус остаётся.

Владимир Коротенко @firedragon

VVhiteHTD, В компьютере есть 1,2,3, 4,5, 6,7,8,9,10 Видов памяти.
Видимо у вас EPROM осталась, в ней поместить что то при всем желании сложно.

VVhiteHTD @VVhiteHTD Автор вопроса

Вирусы в BIOS ?

26 октября Positive Technologies выпустила новую версию системы MaxPatrol SIEM — 8.0. Нововведения в продукте позволяют гарантированно выявлять попытки нарушения киберустойчивости компаний и инциденты в ИБ, ведущие к реализации недопустимых событий. ВведениеУпрощение работы аналитиков (Analyst Experience)2.1. Новый модуль BAD с машинным обучением2.2. Обновлённая карточка события2.3. Перекрёстные поисковые запросы и реагирование из карточки события2.4. Повышение удобства работы с PDQL2.5. Просмотр связанных корреляционных событий2.6. GeoIP: определение местоположения узлов по IP-адресуСкорость обработки — свыше 540 000 EPSДвукратная оптимизация ресурсовВыводыВведениеВ MaxPatrol SIEM 8.0 мы увеличили скорость обработки инцидентов операторами — за счёт того, что появилась новая подсистема поддержки принятия решений Behavioral Anomaly Detection (BAD), основанная на машинном обучении (ML). Также обновлена карточка события, которая позволяет просматривать связанные корреляционные феномены, проверять потенциально опасные артефакты и реагировать без переключения между интерфейсами разных продуктов. При этом скорость обработки превысила 540 000 событий в секунду, а ресурсов теперь требуется в два раза меньше, чем раньше.Упрощение работы аналитиков (Analyst Experience)По данным Forrester, аналитики центра мониторинга (SOC) посвящают основную часть времени не своим прямым задачам — расследованию инцидентов и реагированию на них, — а тому, чтобы преодолеть сложности использования инструментов ИБ. Одно из фокусных направлений развития MaxPatrol SIEM — упрощение деятельности аналитика (analyst experience, AX). Глобальная задача состоит в том, чтобы пользователь без опыта работы с системами этого класса смог быстро разобраться в продукте и обеспечивать с его помощью результативную кибербезопасность. Рисунок 1. Структура AX Совершенствование AX в MaxPatrol SIEM затрагивает сразу несколько аспектов: экспертизу, которая помогает без дополнительных вложений и доработок начать выявлять инциденты уже во время пилотного тестирования,технологии машинного обучения, берущие на себя рутинную работу аналитика (например, пометить похожие события как ложноположительные, написать похожие запросы) и помогающие принимать решения,оптимизацию интерфейса, позволяющую выявлять, расследовать инциденты и реагировать на них в едином окне.Специалисты нашего экспертного центра кибербезопасности PT Expert Security Center (PT ESC) и исследователи Positive Technologies постоянно изучают новые угрозы и регулярно передают данные о способах их выявления в единую базу знаний PT Knowledge Base в виде пакетов экспертизы. Кроме того, мы постоянно совершенствуем механизмы работы с базой знаний. В новой версии, например, установка и обновление правил нормализации и агрегации для облегчённой версии компонента MaxPatrol SIEM Server теперь происходят автоматически.Новый модуль BAD с машинным обучениемКак мы уже упоминали, в новой версии продукта появилась подсистема поддержки принятия решений на основе технологий машинного обучения — BAD (Behavioral Anomaly Detection). Этот модуль помогает оператору SOC принять решение с опорой не только на срабатывания правил корреляции, но и на альтернативное мнение о поведении объектов, связанных с событием. BAD выставляет оценку риска (risk score) от 0 до 100 на основании результатов работы порядка 30 моделей машинного обучения, основанных на более чем двадцатилетнем опыте изучения поведения злоумышленников во время атаки.Нагляднее — в нашем видео: Модуль BAD предоставляет больше контекста и информации о происходящем, поэтому его можно назвать интеллектуальным помощником, системой «второго мнения», помогающей сократить время на принятие решения.При этом инструмент для жёсткого профилирования в MaxPatrol SIEM также присутствует. Подробнее о нём можно прочитать здесь.Обновлённая карточка событияЦелый ряд изменений затронул работу с настраиваемыми карточками событий. Чтобы аналитик мог сконцентрироваться на наиболее важных деталях, мы упростили доступ к данным о субъекте, объекте, отправителе, получателе и источнике события, а также изменили внешний вид карточек нормализованных и корреляционных событий. Рисунок 2. Карточка события В новой версии можно изменить отображение карточки события с учётом требований конкретного пользователя и настроить удобный набор визуализируемых полей с гранулярностью PDQL-фильтра. Напомним, что PDQL (Positive Data Query Language) — это язык, разработанный в Positive Technologies для написания запросов к базе знаний при обработке событий, инцидентов, динамических групп активов и табличных списков.Перекрёстные поисковые запросы и реагирование из карточки событияВ MaxPatrol SIEM 8.0 можно отправлять поисковые запросы в сторонние системы и сервисы прямо из карточки события. На данный момент поддерживаются MaxPatrol EDR, PT Network Attack Discovery (PT NAD), RST Cloud, Spur, Whois7, VirusTotal, IP-API, AbuseIPDB, PT Threat Analyzer и др. MaxPatrol SIEM можно использовать совместно с MaxPatrol EDR. Таким образом помимо расширенных возможностей для фильтрации и группировки событий мы обеспечиваем реагирование на инциденты непосредственно со страницы события. Это существенно сокращает время реакции операторов и позволяет быстрее останавливать атаки. Рисунок 3. Реагирование на инцидент Повышение удобства работы с PDQLДля написания запросов в MaxPatrol SIEM 8.0 не нужно изучать документацию. В новой версии PDQL-запросы для фильтрации и группировки событий можно копировать и передавать как обычный текст. Например, чтобы передать запрос другому оператору, достаточно скопировать текст запроса и переслать его по электронной почте или в мессенджере.Для повышения удобства работы с запросами в скором времени появится подсветка синтаксиса PDQL в поле фильтра событий, а также конструктор условий с возможностью автозаполнения.Просмотр связанных корреляционных событийВ MaxPatrol SIEM 8.0 стало легче работать с инцидентами благодаря проверке гипотез. Просмотр связанных корреляционных событий повышает скорость обработки инцидентов. Аналитик может быстро перейти из дерева гипотез на интересующее его событие. Рисунок 4. Работа с деревом гипотез GeoIP: определение местоположения узлов по IP-адресуАктуальное обновление в настоящее время — это определение местоположения узлов по IP-адресу. В MaxPatrol SIEM 8.0 можно настроить обогащение событий данными GeoIP, дополнив информацию о событии уникальным номером (ASN), данными о городе, стране и организации, которым принадлежат узел-источник и узел назначения. Рисунок 5. Статистика по GeoIP Рисунок 6. Использование данных GeoIP Скорость обработки — свыше 540 000 EPSПроизводительность MaxPatrol SIEM продолжает увеличиваться, чтобы мониторинг энтерпрайз-уровня обеспечивался при самых высоких нагрузках. Скорость мониторинга выросла в девять раз: MaxPatrol SIEM 8.0 может обрабатывать более 540 000 событий в секунду (events per second, EPS) на одном ядре с полным набором экспертизы. Добиться такого результата удалось в том числе за счёт архитектурных возможностей: горизонтальное масштабирование позволяет подключать несколько конвейеров к одному ядру.Двукратная оптимизация ресурсовНайти подходящее оборудование — сегодня по-прежнему нетривиальная задача. Мы стремимся оптимизировать требования к аппаратным мощностям.Например, для развёртывания системы MaxPatrol SIEM 8.0, которая обрабатывает до 5000 EPS, требуется в два раза меньше виртуальных процессоров (vCPU) и вдвое меньше оперативной памяти, чем в предыдущих версиях. Начиная с версии MaxPatrol 7.0 можно использовать СУБД LogSpace, разработанную нашими специалистами. По эффективности она превосходит опенсорсные аналоги как минимум в два раза. Рисунок 7. Руководство по масштабированию Новое руководство по масштабированию можно посмотреть здесь.ВыводыЕсли описывать MaxPatrol SIEM 8.0 одним словом, то это — «результативность». Во-первых, MaxPatrol SIEM может обеспечивать мониторинг событий на огромных инсталляциях и требует в два раза меньше ресурсов, чем раньше. Во-вторых, новый ML-помощник BAD предоставляет альтернативный метод оценки событий, помогая аналитику держать фокус на самом важном. И, в-третьих, за счёт просмотра связанных корреляционных событий, проверки потенциально опасных IP-адресов, доменов и файлов, а также благодаря возможности реагирования из единого окна мы повышаем скорость обработки инцидентов.Если вы хотите протестировать функции MaxPatrol SIEM 8.0, заполните короткую форму на сайте.Если вы уже пользуетесь MaxPatrol SIEM, для обновления до последней версии обратитесь в техническую поддержку или к вашему интегратору — партнёру Positive Technologies.Любые вопросы по продукту можно обсудить в официальном телеграм-чате: t.me/MPSIEMChat.Реклама. Рекламодатель АО «Позитив Текнолоджиз», ИНН 7718668887, ОГРН 1077761087117LdtCKNgpUЧитать далее

Start EDU — платформа, которая помогает командам разработки научиться писать код без уязвимостей. Учебные модули подбираются автоматически на основе знаний разработчиков и характеристик продукта, над которым они работают. Интеграция с Jira помогает встроить обучение в рабочий процесс. ВведениеОписание Start EDUОтличия Start EDU от обычных онлайн-курсовКак устроено обучениеТемы обучающих юнитов Start EDUКакие языки программирования поддерживаютсяДополнительные возможности продукта Start EDUКак продуктовой команде подбирается курсКак внедрить Start EDU в работу командыОценка знаний, которые получил разработчикВыводыВведениеПродуктовым командам важно думать об информационной безопасности уже на этапе проектирования архитектуры и написания кода, потому что стандартные инструменты вроде SAST или DAST не могут выявить все потенциальные уязвимости и в любом случае делают это слишком поздно — когда код уже написан.Разрешить это противоречие может обучение безопасной разработке. Но классические курсы не «заточены» под задачи продуктовых команд, само обучение — неструктурированное и скучное, а главное — непонятно, как оценить его эффективность.Чтобы решить эту проблему, команда Start X (бывший «Антифишинг») выпустила продукт Start EDU. Это платформа интерактивного обучения, которая поможет продуктовым командам писать код без уязвимостей, а специалистам по безопасности приложений — кратно снизить риски компрометации систем и клиентских данных.В обзоре мы подробнее рассмотрим, как устроена платформа Start EDU.Описание Start EDUStart EDU помогает разработчикам научиться писать безопасный и качественный код с минимальным отвлечением от рабочих задач.Как это работает:Система проверяет навыки каждого разработчика через тестирование и автоматически составляет карту его компетенций.Руководитель продуктовой команды заполняет анкету, в которой указывает характеристики создаваемого ПО и распределяет разработчиков по командам.На основе этих данных платформа автоматически подбирает обучающие модули под уровень знаний разработчика и его рабочие проекты.Отличия Start EDU от обычных онлайн-курсовЕсть несколько особенностей, которые отличают обучение в Start EDU от типовых курсов по безопасной разработке.Учебные модули построены исходя из проектных задач каждого разработчика в команде. Основная цель — минимизировать количество времени и сил, которые разработчик потратит на обучение. Для этого в обязательных учебных модулях должна быть только та информация, с которой разработчик сталкивается в своей реальной деятельности.Прежде чем подобрать курс, платформа тестирует имеющиеся знания и навыки разработчика, а также анализирует характеристики ПО, с которым он работает в команде. После этого ему автоматически подбираются модули, которые нужно пройти в первую очередь, чтобы закрыть эти потребности.Так можно избежать классического подхода к обучению, когда на всех разработчиков компании массово назначается одинаковый набор курсов, но в реальной работе они не знают, как сделать продукт безопасным. Рисунок 1. Процесс разработки, в котором обучение по безопасности не учитывает специфики проектов Теория основана на экспертных знаниях и практике. Теория в обучении — всегда проблемная часть, потому что информация обычно не привязана к реальной работе специалистов и даёт только поверхностное понимание изучаемой темы. В Start EDU решили эту проблему: на основе личной карты компетенций разработчика платформа предложит ему учебные модули, информацию из которых он сразу сможет использовать в своих рабочих проектах. При этом каждый теоретический блок даёт полную информацию по изучаемой теме.Например, если говорить о безопасной работе с зависимостями, то в учебном модуле будет не общая теория, а конкретные кейсы, которые показывают векторы угроз для разработчиков, имеющих дело с этими зависимостями. Платформа учитывает реальный контекст и старается понятными разработчику терминами и ситуациями описывать эту уязвимость. Рисунок 2. Пример теории из учебного модуля по безопасной работе с зависимостями После теоретической части разработчик проходит тест (квиз) на реальных примерах, чтобы проверить свои знания. Рисунок 3. Процесс разработки, в котором обучение по безопасности учитывает специфику проектов Как устроено обучениеКаждый курс состоит из тем (юнитов) с актуальной теорией, обязательными примерами из реальной среды и проверочными заданиями, которые основаны на историях уязвимых приложений.Юнит — это специальный формат обучающего контента, который используется на платформе. Юниты написаны и построены таким образом, что будут полезны и интересны любому разработчику — специалисты сами выбирают, какие разделы изучать, в зависимости от своего уровня. Рисунок 4. Процесс создания юнита на платформе Среднее время прохождения юнита:Теория — 30–60 минут.Квиз — 10–15 минут, 3–5 заданий.Практика — 15–25 минут.Теоретическая часть описана «общим» языком, который понятен любому разработчику. В ней есть разделы «Зачем этот курс», «Как происходит атака». В разделах, где приводятся примеры кода, разработчики могут выбрать тот язык, на котором они хотят увидеть пример, и затем использовать полученные знания в работе.Квизы с проверочными вопросами, как и теория, основаны на реальных примерах. Примеры доступны на восьми языках. Рисунок 5. Пример проверочного вопроса в квизе В практике разработчикам нужно выполнять задания на поиск уязвимостей в приложениях — выбрать правильные варианты реализации защиты. Рисунок 6. Задание на поиск уязвимостей в приложении в формате ревизии кода (код-ревью) Темы обучающих юнитов Start EDUВ курсе 11 модулей, они охватывают основные темы по информационной безопасности:Защита от подделки межсайтовых запросов (CSRF).Работа с идентификационными файлами (cookie) и HTTP-заголовками.Защита от атак на XML-серверы (XXE).Кодирование и экранирование при работе с браузерами (XSS).Предотвращение манипуляции именами файлов и каталогов (Path Manipulation).Безопасная работа с зависимостями в коде.Работа с SQL.Предотвращение небезопасного прямого доступа (Insecure Direct Object Reference).Обработка входных данных.Работа с секретами (пароли, ключи, токены).Безопасная настройка Kubernetes.Какие языки программирования поддерживаютсяStart EDU даёт актуальную теорию и практику на 7 языках программирования (Java, Python, PHP, SQL, C#, Go, JavaScript) и на языке разметки HTML.Дополнительные возможности продукта Start EDUМасштабируемость на любое количество пользователей.Назначение баллов пользователю за пройденное обучение.Создание, добавление и назначение собственных обучающих материалов.Как продуктовой команде подбирается курсШаг 1. Оценка знаний и навыковStart EDU выявит навыки разработчиков через тестирование и автоматически составит матрицу их компетенций. Это позволит понять, что люди умеют, знают и понимают в безопасной разработке сейчас.Знания проверяются с помощью бесплатного публичного теста Security Champion, который основан на базе реальных кейсов по взлому приложений. В тесте 20 заданий по пяти темам, по каждой из них разработчик получает оценку. Рисунок 7. Личная карта компетенций сотрудника Шаг 2. Определение характеристик продуктаРуководитель (тимлид) заполняет анкету приложения, которым занимается его команда. На основе этой анкеты строится карта архитектуры продукта, по которой станет понятно, что сейчас важнее всего изучить разработчикам.На этом этапе можно добавить всех пользователей на платформу через Active Directory и распределить их по проектам. Рисунок 8. Карта архитектуры продукта, построенная на основе заполнения анкеты Шаг 3. Автоматический подбор обучающих модулей на основе знаний разработчиков и характеристик продуктовПосле тестирования разработчиков и картографирования архитектуры продукта Start EDU автоматически подбирает обучающие модули. Какие-то из них будут обязательными для этого проекта, какие-то — факультативными. В результате получится понятный план по обучению на основе реальных проектов продуктовой команды.Как внедрить Start EDU в работу командыЕсть несколько способов внедрить Start EDU так, чтобы это помогало решать реальные задачи безопасности.Интеграция с Jira. На этапе разработки, когда уже есть команда и она делает функции продукта, платформа может назначить обучение через Jira как задачу. В этом случае обучение выглядит не как внешнее дополнительное поручение, а как обычная рабочая задача, которую нужно закрыть.Ускоренное прохождение точек проверки (security gate). Во время релиза код проверяют сканеры — по их отчётам специалист по безопасности понимает, какие потенциальные уязвимости в коде нужно исправить. Отчёт может состоять из десятков замечаний, которые программист должен взять в работу. Проблема — в том, что сканирование только указывает на замечания, не всегда понятно, как их исправить. На этом этапе можно подключить Start EDU: платформа получит замечания, проанализирует их и даст рекомендации, как их исправить и что нужно изучить по теме.Подход «сдвиг влево» (shift left security). Start EDU можно внедрить уже на этапе требований к команде продукта. Допустим, команда будет делать мобильное приложение. Тогда уже известны потенциальные релевантные векторы угроз и платформа на раннем этапе сможет назначить обучение, чтобы разработчики понимали, как делать те или иные вещи в контексте безопасности. Это позволит на ранних этапах выявлять угрозы и уязвимости.Оценка знаний, которые получил разработчикВ Start EDU можно отслеживать статус обучения по проектам, командам и разработчикам в настоящем времени.Как это выглядит, показано на иллюстрациях далее. Рисунок 9. Личная карта компетенций Рисунок 10. Проектная карта компетенций Рисунок 11. Рейтинг сотрудников Карты компетенций и рейтинг сотрудников показывают, кто и с какими результатами проходит обучение. Также с их помощью можно узнать, в каких вопросах больше всего проблем с точки зрения обучения, какие темы проседают, и на этом основании, к примеру, назначать код-ревью.Ещё один способ проанализировать результаты обучения — провести входное и выходное тестирование с помощью бесплатного публичного теста Security Champion. Можно брать случайную выборку сотрудников, замерять их результаты в начале обучения и в его конце. Так команды безопасности наглядно увидят, каков прогресс у разработчиков и в каких темах они углубили свои знания.Всё это повышает культуру безопасности и учит писать качественный и безопасный код.ВыводыНа новой платформе Start EDU обучение становится для разработчиков интересным, эффективным и применимым на практике. Это возможно благодаря следующим особенностям:Обучение проводится с учётом специфики проекта и продукта.Прохождение курса встраивается в рабочие задачи команды.Практика учитывает разные языки программирования.После обучения можно оценить компетенции команды и каждого разработчика по отдельности.Получить демонстрацию Start EDU для своей команды можно по запросу на сайте вендора.Реклама. Рекламодатель ООО «Антифишинг», ИНН 6950191442, ОГРН 1166952058680LdtCKBgUyЧитать далее

От Ego Dekker · Опубликовано Сентябрь 27

Домашние антивирусы для macOS были обновлены до версии 7.4.1200. В числе прочего добавлена поддержка macOS Sonoma (версия 14).