Блог компании 1cloud.ru

Ранее мы обсуждали неочевидные моменты, связанные с ротацией парольных фраз и персональной ИБ. Сегодня продолжим тему, но поговорим о работе с файлами, а именно о том, как вычислить, кто слил конфиденциальную информацию по метаданным и защитить документы компании.

Поиск уникальных утечек

Если компания обменивается конфиденциальными файлами с большим количеством партнеров, неизбежно случаются утечки и закрытая информация попадает в сеть. Как сообщили в ZDNet, буквально пару месяцев назад так слили корпоративные файлы Intel объёмом более 20 Гбайт.

Источник подобной проблемы можно было бы обнаружить, если заранее внедрить в документооборот вспомогательную систему, которая вносила бы в каждую копию особо ценных документов незначительные модификации дополнительные пробелы, отсутствующие точки, невидимые символы, омоглифы или даже опечатки. Это один из самых простых вариантов защиты, поэтому его достаточно легко вычислить, если у человека есть опыт работы с текстом. В качестве более продвинутого подхода применяют более сложные аффинные преобразования.

Такой метод годится как для обычных бумаг, так и для электронных файлов. С помощью средств автоматизации в распространяемые экземпляры вносят уникальные комбинации изменений например, незначительные различия в межстрочных интервалах, кернинге, цвете текста и других параметрах форматирования. Проверка копий производится с помощью программного наложения таких признаков в системе они находятся в виде компактных слепков, чтобы не забивать хранилище сотнями вариантов для каждого отдельного PDF-файла. Кстати, на днях на Хабре выходил рассказ от лица компании, занимающейся разработками в этой области, а простейшие действия можно предпринять и путем генерации документов с помощью Python-библиотеки FPDF:

from fpdf import FPDF pdf = FPDF() pdf.add_page() pdf.set_font("Arial", size = 15)   pdf.cell(200, 10, txt = "HabraPost",           ln = 1, align = 'C') 

Помимо или в качестве дополнения к работе с содержимым стоит рассмотреть возможность учета метаданных. Уникальные экземпляры особо ценных файлов можно прогонять через утилиты вроде MD5 Hash Changer, модифицирующие хеш путем добавления произвольного числа null-значений.

Вендор-лок aka DRM

Этот подход стоит смело отнести к более жестким, но уже из категории превентивных. Он известен всем по широкому применению в среде дистрибуции музыки, игр и электронных книг, где сложно себе представить возможность отслеживания судьбы сотен миллионов уникальных копий файлов.

Решения такого типа есть для корпоративной среды например, их используют для лицензирования видео в индустрии гостеприимства, чтобы не закупать специальное DRM-железо для отелей, защитить трансляции от копирования и эффективнее управлять инфраструктурой для доставки контента.

Если говорить о более классических use-кейсах (защите корпоративных документов), речь в основном сводится к работе над корпоративной мобильностью (на дистанционное и в офисе) контролю за устройствами сотрудников, сетевым доступом и шифрованием. Этот подраздел DRM-контроля еще называют IRM (Information rights management) или E-DRM (Enterprise Digital Rights Management).

Часто такие решения разворачивают в облаке например, для отдельных виртуальных рабочих мест. Такой подход позволяет закрыть и ряд вопросов, связанных с угрозой зловредов и различных векторов атак, которые могут привести к сливу особо важных документов компании.

Отдельные решения вроде Dangerzone могут послужить дополнением к такому сетапу.

Они конвертируют в своей песочнице подозрительные док-файлы, изображения и презентации (например, поступившие от неизвестных отправителей по email в адрес компании) в безопасные PDF-ки.

Вопрос доверия

Различные методики защиты документов применяют и спецслужбы (см. дело Реалити Виннер), но иногда стоит взвесить необходимость использования большей части из этих мер в вашей компании.

Если вы введете их без помощи юристов или не уведомите ваших сотрудников о том, что защищаете документооборот с определенными целями, а они начнут замечать странное форматирование документов, такая забота об информационной безопасности может стать выстрелом в собственную ногу. После этого вам придется тратить сили уже на восстановление доверия в коллективе.

Нужно понимать, что технологии не могут быть серебряной пулей, если рассматривать их в отрыве от человеческого фактора и анализа общего устройства бизнес-процессов компании.

Дополнительное чтение:

• Анализируем рекомендации по защите ПД и ИБ на что обратить внимание

• Почему разработчики дороже денег, как их сохранить и приумножить

• TL;DR: непривычная дистанционка, досмотр гаджетов и личная ИБ

На Хабре:

• Квантовые коммуникации: система распределения ключа для десяти участников сети

• Полный граф в квантовой сети для восьми участников обсуждаем этот эксперимент

Тема удаленки в этом году уже успела всем надоесть, но мир вынужден погружаться в нее с каждой новой эпидемиологической волной и в массовом порядке мигрировать из офиса. Этот процесс связан со множеством сложностей, в том числе с точки зрения адаптации технологий и поддержания должного уровня информационной безопасности. Именно они все чаще ассоциируются с этим форматом работы, а разговоры о ванильных метриках вроде сокращения временных затрат на дорогу до рабочего места и обратно отходят на второй план.

Горечь притягательного образа

В какой-то момент казалось, что дистанционная работа может стать одним из основных драйверов для модернизации экономики. Возможность ее развития за счет выноса филиалов организаций поближе к домам сотрудников описали еще в 1976 году, а последние лет десять, кажется, только и обсуждали экономию времени на перемещениях в офис и обратно. Но большую часть ванильных метрик для удаленки все-таки пришлось пересмотреть в худшую сторону.

Свежее исследование специалистов Гарварда и Нью-Йоркского университета показало, что кажущееся удобство ведения дел в халате и домашних тапочках выливается в существенное увеличение рабочего дня. По их оценкам, речь идет о дополнительных 48 минутах, которые приходится тратить на подготовку к звонкам и вынужденным переговорам с коллегами.

В свою очередь, масштабная эвакуация из офисного центра ради сокращения корпоративных расходов на аренду тоже не всегда идет на пользу. Как минимум, рядовым сотрудникам, оказавшимся в непривычной ситуации. Далеко не каждая компания согласится компенсировать им затраты на оборудование, организацию рабочего места дома и другие косвенные траты, которые до этого входили в ее каждодневные обязательства перед персоналом, а некоторые фирмы и вовсе собираются снижать заработную плату надомникам.

Но даже если не пытаться спорить на эти темы, игнорировать организационные сложности действительно проблематично. Одна только весенняя волна ограничений вынесла на берег множество проблем, связанных с документооборотом: задержками с отправкой бумаг и информационной безопасностью ведения дел со штатом дистанционных сотрудников. Менеджеры зачастую не могли даже освоить простейшие инструменты вродеудаленных рабочих мест в облаке, хотя последние поспособствовали бы снятию большей части рисков и неудобств.

Что уж говорить об адаптации решений на программном уровне, об этом многие не задумывались до осени. Когда она наступила, в повседневную жизнь огромного числа компаний вернулась неразбериха им вновь пришлось выводить из офиса существенное количество персонала, а самим надомникам пользоваться решениями, которые были собраны на скорую руку из старых компонентов и не были подготовлены к изменившимся условиям.

Старые уловки для новых проблем

Тем, кого все-таки оставили в офисе, и специалистам, чья деятельность не очень хорошо сочетается с домашней обстановкой, пришлось столкнуться с более существенными неудобствами. Помимо повышенной эпидемиологической угрозы, а во многом и благодаря ей, мониторить их активность стали внимательнее и начали использоваться для этого новые программные и железные средства. Но их практическая реализация вызвала много вопросов.

Как заметили эксперты EFF (Electronic Frontier Foundation), системы видеофиксации и GPS-датчиков, брошенные на передовую для мониторинга подвергшихся потенциальному воздействию вируса, действительно могут собирать излишний объем данных. Согласно EFF, этот факт часто подтверждают и сами вендоры таких комплексов, а вот уточнений о том, как данные хранят и используют давать не торопятся.

Приложения для регулярного сбора отчетности по самочувствию и состоянию здоровья персонала отдельная история, но для них эти вопросы заострены в еще большей степени.

В ряде стран хранение данных мед.карт и информации о здоровье граждан требует отдельных соглашений с работодателем, не говоря об уровне защиты полученных сведений. Но пока организации не торопятся менять привычные порядки и в некоторых случаях подают такие приложения сотрудникам в качестве помощников, позволяющих оценить факторы, которые влияют на продуктивность. Какую ответственность понесут такие компании в случае утечек так называемых GTD-данных и признают ли их мед. информацией, пока не совсем понятно.

В сфере мониторинга образовательного процесса складывается похожая ситуация. К осеннему карантину были готовы единицы учреждений, а существенная их часть решила использовать на дистанционке уже имеющиеся программы для контроля за экзаменационным процессом.

Поэтому теперь даже в процессе выполнения домашнего задания ученики вынуждены правильно моргать, чтобы алгоритм не посчитал их подменными, не отводить взгляд от монитора на длительные промежутки времени и не отклоняться в сторону за подсказками. Обработка данных мониторинга несовершеннолетних, логов об используемых ими устройствах, их местоположении и другой информации отдельный момент, но, кажется, многим не до него.

Нужна адаптация

В корпоративной IT-среде, где все уже привыкли к удаленке и не воспринимают происходящее как что-то неожиданное, обстановка чуть лучше, чем в других областях. Но вне технологического сектора иногда доходят до крайних мер просто проверяют с помощью веб-камер, сидят ли сотрудники за домашним рабочим местом или нет. Даже в тех случаях, когда компании все-таки решают задействовать более продвинутые средства например, для мониторинга и защиты инфраструктуры и контроля доступа к документам есть вопросы к тому, как активность таких систем воспринимают сами работники. Так называемый bossware-софт не может не раздражать.

По данным свежего исследования, проведенного в Великобритании, 44% респондентов выразили крайнюю озабоченность возможностью дистанционного контроля, 80% признались, что не готовы трудится под камерой, а 74% высказались против носимых датчиков для мониторинга.

По итогам рассмотрения общего положения дел в этой области возникает вопрос: сможем ли мы увидеть действительно эффективные и элегантные решения, которые не вызовут волну недоверия? Или все проблемы удаленщиков скинут на директоров по персоналу, задобрив последних всего лишь новым названием должности вроде head of remote? Как будет развиваться ситуация, всем нам предстоит выяснить в ближайшие несколько месяцев.

Дополнительное чтение:

• Работа на дистанционке хорошо забытое старое

• Почему мониторинг для дистанционки требует адаптации

• TL;DR: непривычная дистанционка, досмотр гаджетов и личная ИБ

На Хабре:

• Если уже слили: как сделать документооборот чуточку безопаснее

• Занимательные RFC, YT-каналы на выходные, живойкомп из 50-х и история Fidonet'a

Одни считают, что образовательные YouTube-каналы и подкасты по определению не могут дать глубоких знаний, другие находят там новые идеи и черпают вдохновение. Мы решили разобраться, что смотрят опытные разработчики и те, кто только начинают учебный процесс в IT.

Сегодня остановимся на общих темах, а в следущий раз перейдем к специализированным.

Главное не воспринимать эти рекомендации как единственные в своем роде. Что-то новое для себя вы точно найдете как с точки зрения общей культуры программирования, так и некоторых аспектов computer science. Но не стоит ждать от авторов этих каналов чего-то невозможного.

Fun Fun Function

^{245 тысяч подписчиков}

Заметим сразу, что автор канала приостановил выпуск роликов. Но библиотеку записей, собранную за пять с лишним лет работы, он сохранил. Наибольшее количество просмотров 600k набрала первая часть разбора техник функционального программирования на JavaScript. Из более свежих в лидеры вырвались такие темы как React Hooks (123k) и когнитивно-поведенческая психотерапия (28,5k), ставшая частью длительной серии из нескольких десятков роликов о культуре разработки, карьере в IT, лайфхаках для программистов, продуктивной работе и эмоциональной гигиене.

Подойдет для продвинутых разработчиков и тех, кто только начинает разбираться в теме.

Отличительная черта канала информативность и хорошее чувство юмора ведущего. Благодаря им все публикации в общей сложности набрали более десяти миллионов просмотров. Кстати, загляните и в дружественный проект DevTip (хотя тут апдейты перестали появляться еще раньше).

Art of The Problem

^{70 тысяч подписчиков}

Здесь каждый выпуск посвящен истории технологической или научной проблемы. В роликах рассказывают, с чего начиналось решение того или иного вопроса, обсуждают ход этого процесса и делятся современными исследованиями и проектными реализациями по заданной теме.

Одни из наиболее популярных передач по теме нейронок и глубокого обучения. В последнем видео из этой серии авторы объясняют базовые концепции и математику, задействованную в этой области, с помощью различного рода визуализаций. На канале есть огромное количество разборов: от механик рекомендательных до основных принципов работы криптографических систем.

Подойдет для всех, кто интересуется технологиями и не хочет буксовать на одном месте.

Отличительная черта аккуратный подход к видеоряду, подготовленная закадровая читка, высокая информативность и темп подачи материала (в самом хорошем смысле). Эти качества справедливы для всех роликов, которых здесь не так и много, но свои 6,5 млн просмотров они все-таки набрали.

Канал Гурава Сена

^{287 тысяч подписчиков}

Это одна из находок среди точечных рекомендаций участников сообщества Hacker News. Автор канала выбрал для себя следующие тематические направления: проектирование систем, алгоритмы, спортивное программирование и работа над системами ИИ. Но на них он не ограничивается.

Суммарно ролики Гурава набрали более одиннадцати миллионов просмотров, хотя всего на канале чуть меньше 170 публикаций. Наиболее популярное видео 720k это разбор устройства системы обмена сообщениями. Сразу за ним самый быстрый алгоритм сортировки (668k), третье место занимает шардинг баз данных, четвертое архитектура сервисов вроде Tinder.

Понравится тем, кто учится на одной из CS-специальностей и развивает карьеру в этой области, а более продвинутым программистам поможет найти свежий взгляд на некоторые вопросы.

Отличительная черта скорость подачи материала, которая существенно отличается от того, к чему многие привыкли в вузе; разнообразие и достаточно глубокое погружение в определенные темы.

Канал Бэна Итера

^{559 тысяч подписчиков}

Продолжаем движение от каналов, где новые видео не появлялись около месяца, к более активным. Этим проектом занимается человек, известный по технической части Khan Academy и независимым начинанием в области разработки электроники и моделирования компьютерного железа.

Его ролики набрали более 33 млн просмотров, а отдельные видео регулярно выходят на миллионный охват. В топе рассказ о том, как собрать худшую в мире видеокарту (2,8M), еще мы выделили бы знакомство с работой TCP (333k) и обсуждение проблемы сетевого нейтралитета.

Подойдет тем, кто хотел бы на практике погрузиться в мир компьютерного железа.

Отличительная черта глубокая проработка отдельных тем (пример плейлиста по одной из них), подробные объяснения принципов работы и устройства компонентов, внимательное отношение к видеоряду (крупные планы, свет), хороший звук и подробные закадровые комментарии к гайдам.

The Coding Train

^{1,19 млн подписчиков}

Если при просмотре действительно полезного YouTube-туториала вы задумывались о том, как было бы круто, если его автор преподавал бы в вашем вузе, то это именно такой случай. Здесь есть все: от алгоритмов и машинного обучения до генеративной поэзии и проведения различных симуляций.

Отдельно стоит отметить плейлисты. Их количество вполне можно сравнить с общим числом роликов на похожих каналах. Их наиболее популярных серий для просмотра на этих выходных мы бы рекомендовали компактный гайд по машинному обучению для представителей творческих профессий и еще один, но уже по теме задачи коммивояжёра.

Этот канал подойдет всем, кто читает Хабр каждый день. Опытные разработчики и те, кто только начинают путь в сфере IT, точно смогут найти для себя что-то подходящее и полезное.

Отличительная черта прекрасное чувство юмора ведущего, профессиональное отношение к разбору тем, высокий уровень подачи материала в формате live-презентации (без редактирования).

Новые публикации у нас на Хабре:

• Квантовые коммуникации: система распределения ключа для десяти участников сети

• Полный граф в квантовой сети для восьми участников обсуждаем этот эксперимент

• Перестройка IT-монополий, слом cookie-стен и открытый госсофт облачный TL;DR

Одни считают, что образовательные YouTube-каналы и подкасты по определению не могут дать глубоких знаний, другие находят там новые идеи и черпают вдохновение. Мы решили разобраться, что смотрят опытные разработчики и те, кто только начинают учебный процесс в IT.

Сегодня остановимся на общих темах, а в следущий раз перейдем к специализированным.

Главное не воспринимать эти рекомендации как единственные в своем роде. Что-то новое для себя вы точно найдете как с точки зрения общей культуры программирования, так и некоторых аспектов computer science. Но не стоит ждать от авторов этих каналов чего-то невозможного.

Fun Fun Function

^{245 тысяч подписчиков}

Заметим сразу, что автор канала приостановил выпуск роликов. Но библиотеку записей, собранную за пять с лишним лет работы, он сохранил. Наибольшее количество просмотров 600k набрала первая часть разбора техник функционального программирования на JavaScript. Из более свежих в лидеры вырвались такие темы как React Hooks (123k) и когнитивно-поведенческая психотерапия (28,5k), ставшая частью длительной серии из нескольких десятков роликов о культуре разработки, карьере в IT, лайфхаках для программистов, продуктивной работе и эмоциональной гигиене.

Подойдет для продвинутых разработчиков и тех, кто только начинает разбираться в теме.

Отличительная черта канала информативность и хорошее чувство юмора ведущего. Благодаря им все публикации в общей сложности набрали более десяти миллионов просмотров. Кстати, загляните и в дружественный проект DevTip (хотя тут апдейты перестали появляться еще раньше).

Art of The Problem

^{70 тысяч подписчиков}

Здесь каждый выпуск посвящен истории технологической или научной проблемы. В роликах рассказывают, с чего начиналось решение того или иного вопроса, обсуждают ход этого процесса и делятся современными исследованиями и проектными реализациями по заданной теме.

Одни из наиболее популярных передач по теме нейронок и глубокого обучения. В последнем видео из этой серии авторы объясняют базовые концепции и математику, задействованную в этой области, с помощью различного рода визуализаций. На канале есть огромное количество разборов: от механик рекомендательных до основных принципов работы криптографических систем.

Подойдет для всех, кто интересуется технологиями и не хочет буксовать на одном месте.

Отличительная черта аккуратный подход к видеоряду, подготовленная закадровая читка, высокая информативность и темп подачи материала (в самом хорошем смысле). Эти качества справедливы для всех роликов, которых здесь не так и много, но свои 6,5 млн просмотров они все-таки набрали.

Канал Гурава Сена

^{287 тысяч подписчиков}

Это одна из находок среди точечных рекомендаций участников сообщества Hacker News. Автор канала выбрал для себя следующие тематические направления: проектирование систем, алгоритмы, спортивное программирование и работа над системами ИИ. Но на них он не ограничивается.

Суммарно ролики Гурава набрали более одиннадцати миллионов просмотров, хотя всего на канале чуть меньше 170 публикаций. Наиболее популярное видео 720k это разбор устройства системы обмена сообщениями. Сразу за ним самый быстрый алгоритм сортировки (668k), третье место занимает шардинг баз данных, четвертое архитектура сервисов вроде Tinder.

Понравится тем, кто учится на одной из CS-специальностей и развивает карьеру в этой области, а более продвинутым программистам поможет найти свежий взгляд на некоторые вопросы.

Отличительная черта скорость подачи материала, которая существенно отличается от того, к чему многие привыкли в вузе; разнообразие и достаточно глубокое погружение в определенные темы.

Новые публикации у нас на Хабре:

• Квантовые коммуникации: система распределения ключа для десяти участников сети

• Полный граф в квантовой сети для восьми участников обсуждаем этот эксперимент

• Перестройка IT-монополий, слом cookie-стен и открытый госсофт облачный TL;DR

В прошлый раз мы поговорили о перестройке IT-монополий, сломе cookie-стен и открытом ПО, а до этого обсудили непривычную дистанционку, личную ИБ и то, почему разработчики дороже денег. Сегодня вновь делимся главными моментами из наших избранных материалов.

Шутки ради: пара занимательных RFC

Формат Request for Comments существует более пятидесяти лет. За это время вышло около девяти тысяч различных спецификаций, но не ко всем из них стоит относиться слишком уж серьезно.

Так, RFC 8771 описывает сетевую нотацию I-DUNNO. Ее задача необратимо обфусцировать IP-адреса, чтобы усложнить их чтение и закрепить эту область за вычислительными системами.

В 8774-м документе предусмотрели возможные проблемы с квантовыми сетями будущего, а именно 0-RTT, с которым готовы столкнуться лишь TLS 1.3 и QUIC. Чтобы справиться с потенциальными сложностями, автор предлагает составить список всех протоколов, подверженных квантовым багам.

Компьютер, который отказывается умирать

Еще одна наша находка японский FACOM 128B. В этом году ему исполняется 62 года, а 100-й линейке этих устройств 66 лет. Стоит признать, что компьютер уступает своим современникам (вроде IBM 701) по производительности, но его хватило, чтобы спроектировать целый авиалайнер.

Недостатки FACOM компенсирует надежностью и простотой обслуживания. 128B прекрасно себя чувствует и в роли музейного экспоната для поддержки его работоспособности нужен всего один инженер. Кстати, в статье мы говорим и о других долгожителях IBM 402 и DEC MicroVAX 3100.

Наш короткий ролик о FACOM 128B:

Почти анархия: краткая история Fidonet

Стоит признать, что основателям этого проекта не было дела до победы над интернетом, а его название вовсе не произошло от клички пса одного из них. Их решение было уникальным с точки зрения отсутствия активной коммерциализации, хотя такой подход и погубил это начинание.

Том Дженнингс, начавший работу над проектом в 83-м, уже через год провел первый сеанс связи с коллегой, находившимся на другом побережье США. Но от формата точка-точка к простой древовидной структуре сеть перевели лишь через несколько лет. Тогда и появились пойнты, ноды, сисопы и регионы, задавшие международный масштаб для независимого проекта.

В Россию Fidonet пришел в 90-е, тогда он был на пике популярности. Однако уже к концу десятилетия по уровню и скорости развития интернет не оставил Fidonet'у ни единого шанса. С другой стороны, сама технология все еще в ходу сегодня Fido Technology Network все еще пользуются не только отдельные энтузиасты, но и некоторые банки или даже правоохранительные структуры.

Изучить на выходных: книги для сетевых администраторов

Мы посмотрели, что сегодня обсуждают на Hacker News и других англоязычных технологических площадках, а по итогам такого анализа подготовили компактную подборку литературы.

Первая книга о принципах построения компьютерных сетей при участии ведущего специалиста VMware. Она распространяется бесплатно репозиторий проекта на GitHub, а читать тут.

Вторая книга бестселлер и всесторонний справочник для сетевого администратора. Один из разработчиков DNS назвал ее незаменимой для тех, кто работает с облаком и открытым ПО.

Третья от одного из топовых экспертов по кибербезопасности. Здесь сделали ставку на простоту примеров и разбор ситуаций, с которыми может столкнуться системный администратор.

Кстати, вот короткий видеообзор еще одной подборки книг на этот раз с фокусом на ИБ:

Парочка тематических подкастов по теме сетевых технологий

Мы изучили несколько аудиопередач и рассказали об избранных подкастах. Так, один из них решили не продолжать в 2020-м, но у программы есть архив из 85 выпусков средней длительности, которые достаточно легко слушать какая-то особенная подготовка для этого не требуется. Шоу подойдет тем, кто хотел бы разобраться с рядом базовых мифов и оценить профильные темы свежим взглядом.

Ведущие второго подкаста уделяют больше внимания вопросам информационной безопасности. Здесь выпуски чуть объемнее, но и формат отличается свежий эпизод повествует о борьбе TrickBot'ом, есть двухсерийный разбор крупномасштабной учётки данных в Yahoo и рассказ о Золотом щите.

Англ. YT-каналы об алгоритмах, разработке и архитектуре ПО

Этот обзор, опубликованный на днях в нашем блоге, добавили в избранное 123 хабрапользователя. Тут есть достаточно популярные и относительно необычные проекты, но формат подачи материала у них многим покажется доступнее для восприятия и понимания (все-таки есть визуальная составляющая).

Среди ключевых находок стоит отметить:

• Канал Бэна Итера рассматривающего процесс разработки компьютерного железа (см. топовый ролик про DIY-видеокарту, наглядное знакомство с работой TCP);

• Канал Гурава Сена рассказывает о проектировании систем (разбирает архитектуру Tinder-подобных проектов, мессенджеров и говорит о спортивном программировании).

Пара специализированных рекомендаций (Python, Linux и др.) в комментариях к хабратопику.