June 7th, 2014 
admin 
Polonia a castigat editia de anul acesta a “Locked Shields”, exercitiu-concurs in domeniul securitatii cibernetice.
Exercitiul, desfasurat sub egida NATO la Centrul de Excelenta pentru apararea cibernetica din Tallinn, Estonia, a atras anul acesta echipe din 14 tari: Franta, Italia, Spania, Germania, Olanda, Estonia, Letonia, Lituania, Finlanda, Turcia, Cehia, Ungaria, Polonia si Austria.
Concurentii au format echipele “albastre”, insarcinate cu apararea infrastructurii informatice, simulate bineinteles, a unei tari supusa unei campanii de atacuri prin care echipa “rosie” incerca sa sustraga informatii si sa afecteze functionarea serverelor. Echipele “albastre” au fost punctate in functie de gradul de degradare al performantelor sistemelor administrate, asa cum ar fi observat de un utilizator obisnuit.
Mai multe detalii despre organizarea unui astfel de exercitiu pot fi citite pe site-ul Centrului de Excelenta.
Dupa cum se poate vedea din lista participantilor, Romania a lipsit de la unul din cele mai importante evenimente de gen de anul acesta, fiind mult prea ocupata cu micile gainarii: “Europa luptă de la Bucureşti cu criminalitatea informatică” si “Un centru de inovare in domeniul securitatii cibernetice va fi infiintat in Bucuresti prin fonduri americane“.
Posted in
De ce nu a participat si Romania? Pai e foarte simplu: pentru ca nici SUA nu a fost acolo. La cate fonduri are armata romana, cam atat isi permite: sa se agate de americani la diferite activitati. De exemplu, cine credeti ca a platit deplasarea tehnicii romanesti folosita la exercitiul din Germania? Eu as paria ca trenurile alea s-au platit in dolari 😀
SUA este unul din sponsorii Centrului.
Neparticiparea nu poate fi pusa pe seama lipsei banilor, Romania nefiind nici macar membra a CCDCoE deci pur si simplu nu a existat interes pentru asemenea activitati. Si inca nu exista.
Daca participarea la exercitiul din Germania a fost posibila prin contributia SUA, atunci sa fie primit si la mai multe. Dar faptul ca nu s-ar putea plati deplasarile la asemenea exercitii e intr-adevar trist, daca nu suprinzator.
În Germania, forțele românești au fost incluse în OPFOR – de aici și interesul SUA de a ne avea alături. Avem tehnică înrudită cu cea a rușilor, plus că ies mai ieftin plătindu-ne nouă transportul decât aducându-și propriile forțe.
Din fericire, instruirea de care au parte militarii din OPFOR-ul unui exercițiu organizat de americani depășește cu mult ceea ce fac ai noștri în țară, chiar când sunt în prim plan.
Cam asta este situația în armata noastră minunată, ce să-i faci.
În domeniul IT, situația e și mai nasoală – nu numai în MApN, ci în toată administrația. De când cu criza, adică de prin 2009 – 2010, s-au emis acte legislative care au interzis achiziția de tehnică de calcul – cică astea sunt un lux. Uitați-vă că toată administrația este pe Windows XP – care nu mai este suportat de Microsoft. Singurii care au primit fonduri în această perioadă au fost cei de la STS, pentru că vrem în Schengen.
Apropo de bunuri de lux și hotărârile guvernanților: s-a interzis achiziționarea aparatelor de aer condiționat. Și ce treabă are asta cu IT-ul? Păi are, că nu mai cumperi un aparat de AC la 100 de euro și ți se frig vreo două servere de 20.000 de euro. Iar exemple de acest gen mai putem găsi…
Asta cu aparatele AC e clasica, la fel si “economia” facuta la UPS-uri, ca oricum in mod normal nu folosesc la nimic, deci se pot taia de pe lista fara nici un risc.
Iar pentru inlocuirea XP din administratie trebuie sa apara inca un contract gras. Probabil ca inca nu s-au hotarat cine si cum ia caimacul. O sa apara ceva de genul: “Pentru ca mentinerea XP-ului e risc la adresa securitatii nationale, prin procedura de urgenta si fara licitatie s-a hotarat etc…”.
Iar ref. la inrudirea dintre echipamentele noastre si cele ale rusilor, nu cred ca T-90 si-ar recunoaste nici macar un surub in TR-85M1. Daca romanii s-au promovat ca echipa rosie, fini cunoscatori si replicatori de tehnica si tactica ruseasca moderna, atunci bravo lor si, cum am zis, la cat mai multe asemenea exercitii.
Io zic ca nu ne-au chemat ca sa nu-i umilim ….. parerea mea 🙂
Adica de acum inainte nu o sa ne mai invite la nici un exercitiu?
Abia ce se termina editia de anul asta a Thracian Star unde a fost prezenta si Romania, deci fie ce s-a intamplat in editiile trecute a fost mult umflat, fie au vrut revansa.
Păi cu ce să îi umilim pe acolo? Că în domeniul securității informatice i-am putea umili doar prin câte hârtii putem face fără niciun folos 😀
Si cu reteta noastra secreta a kapitalismului, de vazut articolul aparut azi pe Hotnews ref. la unele achizitii ale Institutului pentru Tehnologii Avansate (SRI).
Am citit articolul direct de la sursă: http://www.riseproject.ro/articol/cum-functioneaza-fabrica-de-bani-a-lui-sebastian-ghita/ 😀
Da, ramane de vazut in cat timp le inchide si lor gura.
probabil nu ne-au primit de frica, sa nu le dam “humiliation” si pe acolo 🙂
Slabe sanse. Deocamdata altii ne-au dat-o noua, dar in realitate, asa ca mai e mult pana departe. Stire de acum 2 ani: “Anonymous: Astăzi am „spart” site-ul INOE din România”. Sursa: Capital.
ce cautau acolo?
nu cumva sunt niste kgb-isti care ar trebui sa stea frumos in streang “anonymus” astia care umbla prin Romania?
Bine ar fi sa fi fost doar publicitate.
Sau poate cautau si alte lucruri, avand in vedere ca e un institut de cercetare. In cel mai rau caz erau sponsorizati de altii, care au ramas in umbra.
Oricum ar fi, au aratat ca Romania nu era pregatita la momentul 2012 pentru a face fata la asemenea atacuri. Daca s-a schimbat ceva intre timp, probabil nimic fundamental, avand in vedere si lipsa de interes pentru niste exercitii care sa arate clar care este nivelul relativ al echipelor CERT.
Bine ar fi daca autoritatiile romane ar incepe sa isi creeze propia distributie de linux (bazata pe Debian sau Kubuntu) ca sa nu mai ofere contracte “grase” unor agenti economici din alte state (Micro$oft). Cu banii economisiti pe liciente ar (angaja/instrui) tehnicieni mai capabili iar banii ar ramane in Romania. Toata lumea ar fi mai castigata….daca ar exista vointa …
Sa nu credeti ca folosirea unor sisteme Linux in acentiile guvernamentale / publice (ca Desktop pt ca la Servere domina lumea) este ceva neauzit , doua exemple imi vin in minte: Jandarmeria Frantei a trecut pe Ubuntu (40.000 statii) cat si primaria Munich-ului (14.000).
http://www.wired.com/2013/09/gendarmerie_linux/
http://www.techrepublic.com/article/how-munich-rejected-steve-ballmer-and-kicked-microsoft-out-of-the-city/
Tot ce trebuie facut este sa incepem iar peste cativa ani beneficiile vor fi enorme.
Sper sa nu fi fost prea off-topic.
Multumesc.
Este si nu prea OT, pana la urma e vb de lucruri pe care altii le pot face si romanii nu. De francezi stiam, ei oricum au alergie la cam orice e de provenienta americana. Uneori le iese, alteori nu. In functie de domeniu balanta inclina intr-o parte sau alta.
O distributie de Linux romaneasca pentru administratie e o idee interesanta, licenta e gratuita insa suportul costa bani seriosi. Aici s-ar putea implica de exemplu ICI insa am o retinere in ceea ce priveste proiectele facute/conduse de stat. In general ce e de stat, sta. Mai ales in IT.
Nu vreau sa-mi imaginez un centru de suport … de stat.
Iar alternativa e o firma privata a unor baieti destepti si cu priza la public care vor cere (si vor primi) mai mult decat unele companii externe cu greutate. Greu de ales.
Daca planul ar fi bine conceput si mai ales bine pus in practica, intr-adevar beneficiile ar fi mari. La altii s-ar putea dar in Romania e mai complicat…
Eventual sa inceapa un parteneriat cu o firma serioasa gen Oracle care pana la urma sa-i impinga de la spate in directia buna si sa-i ajute sa decida cum trebuie.
Atata vreau sa spun, suportul pentru OS nu are cum sa coste mai mult decat cel platit oricum catre Microsoft, este imposibil! Lucrez in domeniu si am cat de cat habar de preturi.
Cum omul a invatat sa foloseasca Windoze, la fel va invata si pe Linux, oricum nu trebuie facut transferul peste noapte, in timp.
Putem incepe din scoli unde un elev vare va invata sa utilizeze un desktop Linux (oricare va fi el) va fi mult mai liber (in gandire cat si ca abilitati) sa foloseasca la job orice alt sistem, inclusiv produse Microsoft. Atata timp cat vorbim de bani publici, ete normal sa se adopte sisteme open si nu sa ii inveti ca exista doar un furnizor in aceasta lume, din comoditate sau pentru ca acel politician este corupt (multe companii din doemiul IT folosesc “cadouri”)
PS> Pe linga ICI mai exista multe alte firme romanesti care ar putea oferii suportul initial: Getico, Omnilogic, IIRUC si multi altii cat si suportul direct ofertit de Canonical.
In mod normal nu are cum, bineinteles.
Dar la fel de normal ar fi ca un Logan sa nu poata costa 60.000 de euro insa Politia Romana ne-a demonstrat ca in Romania imposibilul inseamna doar ceva putin probabil.
Daca stau si ma gandesc bine imi amintesc de portalul eRomania, evaluat la 500 de milioane de euro (!!!). Culmea e ca suma nu li se parea deloc scandaloasa functionarilor romani ci o baza de plecare: Ministrul Comunicatiilor, Gabriel Sandu, spune ca pretul de 1,9 miliarde de lei a fost stabilit de o echipa de experti din cadrul ministerului si are in vedere complexitatea proiectului. ”Nu spune nimeni ca vom cheltui atat. Este un calcul estimativ, de la care plecam. Bineinteles, vom cauta un cost optim care sa ne permita sa venim cu o solutie de calitate, la un pret cat mai mic”, a declarat Sandu, pentru DailyBusiness.ro.
Oricum ar fi, Windows sau Linux, se va incerca sifonarea de fonduri. Evident varianta Linux ar fi o solutie mai buna insa cineva mai trebuie sa si promoveze ideea. Daca romanii aud de ceva “gratis” isi dau seama ca nu au cum sa umfle pretul prin intermediari, asa ca spun pas.
Ai dreptate, dar sincer sper ca odata si odata sa se schimbe mentalitatea asta si pe la noi, sa incepem sa vendem si interesul cu un scop mai general, mai amplu, nu numai personal.
Cum cineva a creeat o petitie online referitoare la achizitia prin offset a avioanelor suedeze (care din pacate a esuat), poate se va creea si una pentru inceperea uni distributii publice linux adaptata cerintelor romanesti pentru uzul in administratie cat si in scoliile publice. Poate va avea succes.
Pambuccian mai avea initiative de genul asta. Atat timp cat ceilalti nu sint “cointeresati” nu vad sa treaca nici o initiativa de genul asta. Poate daca nu sint atenti… sa se adopte in mod tacit sau asa ceva.
Deci, sa incepem ca niste gospodari :D.
Romania e in topul performantei la securitate informatica, a se vedea BitDefender – da stiu, ca enduser s-ar putea sa nu fie cea mai placuta experienta insa tehnologia aia e folosita de nume mari in domeniu. E tehnologie romaneasca. Niste baieti de la mine din Oradea au reusit sa vanda o solutie de criptare unor organizatii guvernamentale din USA pe niste zeci de milioane de $. Asta asa ca si exemple din goana calului. Romania are un potential foarte mare in domeniu si subscriu la comentariul pus de Eroul Bula.
Multe institutii private folosesc inca windows 2000, cand s-a terminat supportul pentru ala? Hm? pare ciudat nu? dar este exact ceea ce au nevoie si functioneaza ireprosabil. De ce sa schimbi ceva care isi face treaba si mai e si foarte foarte bine cunoscut?
Windows XP nu moare subit doar pentru ca M$ nu mai ofera support. Oricum intr-un mediu enterprise nu se aplica toate patchurile emise de M$, trebuie sa treaca de testeri si abia apoi sunt aprobate pentru publicare/instalare. Apoi solutiile de securitate altele decat alea de M$, pe langa faptul ca sunt mai efective, nu sunt dependente de supportul Microsoft, adica nu mai sunt.
Imi place si mie Linux, dar in ceea ce priveste managementul centralizat Microsoft este rege, fara discutie. Nivelul de integrare intre produsele lor este neegalat inca de alti producatori. Administrarea catorva zeci de mii de statii pe linux e un efort MARE, pe Windoz il pot face o mana de oameni. Doar nu credeti ca au ajuns unde au ajuns fraierind oameni.
Ok, sa le luam pe rand:
1. Ref. la BitDefender, vorbim de doua lucruri diferite: eu vb de gradul de pregatire al institutiilor si companiilor din Romania de a face fata la un atac, tu mi-ai dat exemplul unui startup care a avut succes. Bravo lor/lui (Georgescu-lui) dar nu schimba cu nimic gradul de pregatire al Romaniei in general de a raspunde la incidente.
2. In general despre sectorul comercial de securitate IT din Ro: avem cateva exemple de reusite dar foarte putine. Eu le-as compara cu numarul de start-up-uri de calibru cel putin similar cu BitDefender din alte tari, care chiar viseaza domeniul asta, dar mi-e rusine. Si nu e vb de SUA, am simtul masurii, e vb de tari similare ca numar de locuitori cu Romania sau mai mic. Nu prea existam nici macar ca numar de companii care ofera ceva de genul asta, sa nu ne imbatam cu apa rece, inovatia sufera.
3. Ref. la potential: foarte putine tari NU au potential in domeniul asta dar relativ putine reusesc sa-l fructifice. Cu siguranta nu cele care isi incurajeaza resursa umana sa plece prin alte parti si in general pun bete in roate (a se citi nivelul taxelor) oricarei initiative private.
4. Ref la Win2k/XP si functionarea dupa expirarea suportului: orice OS are vulnerabilitati, ele sint descoperite cu timpul, pe masura ce devin mai “cunoscute”, tot ce se poate face e sa se rezolve problemele pe masura ce apar. De preferinta inainte ca pagube majore sa fie inregistrate.
Ciclul este intrerupt de sfarsitul perioadei de suport. Dupa asta pot sa fie descoperite noi si noi vulnerabilitati dar nu vor fi fixate, deci usile vor fi lasate larg deschise.
Asta dpdv al securitatii care este totusi un subset al functionalitatii generale. Pur si simplu exista riscuri de a nu functiona corect in momentul cand un program nou este instalat sau ceva din configuratie se schimba. In mod normal riscul asta este transferat, prin contractul de suport, furnizorului. Asta daca mai exista asemenea contract. Pentru utilizatorii individuali discutia nu are prea mare relevanta, pentru companii mari sau institutii publice e un lucru vital. Ca isi dau seama de asta sau nu, e alta discutie.
Raspuns combinat la punctele 1 si 3 – alea foarte multe tari care au potential nu au ajuns in ‘crema’ securitatii informatice. Noi avem potential de ambele parti si ca ‘agresori’ si ca dezvoltatori de tehnologie.
Punctul 2 tine oleaca mai mult de organizare, domeniu in care nu excelam deloc.
4. Tin sa precizez ca in general OS’ul se afla in spatele unor solutii de securitate a perimetrului retelei gen firewall’uri, retele securizate prin diverse metode. Daca agresorul trece de toate aceste sisteme atunci e clar ca are capacitatea sa treaca de orice alt obstacol. Asta nu inseamna ca nu mi-as dori trecerea la ultimele noutati dar de foarte multe ori nu se justifica costul. Pentru un terminal de la posta sau de la banca, XP e cel putin suficient. Chiar si pentru ATM’uri e suficient fiind o versiune customizata si protejata de solutii de securitate dedicate. Aplicatiile in domeniul enterprise sunt de obicei foarte customizate, e si normal daca ne gandim cat costa… Pot sa iti spun de exemplu ca Amazon ruleaza o versiune extrem de customizata de VirtualBox 🙂 .
Prin Asia sunt electrocasnice sau cine stie ce echipamente cu access la internet si evident ruleaza versiuni de linux, unele dintre ele sunt foarte usor de hackuit. Mitul securitatii linux sta in picioare atata timp cat e cineva priceput la tastatura.
Nu ne referim la aceeasi “crema”. Cum am spus in postare, pe partea de “atacuri” romanii se ocupa mai mult cu micile gainarii, aici poate ca sint “glazura”, dar nu m-as mandri prea mult cu asta. Pe partea de defense, eu fac o deosebire clara intre firmele private gen BitDefender (mai multe sau mai putine, cu mai mult succes sau nu, dar in mod cert private) si institutiile statului care chiar vor incerca sa intervina in caz de probleme.
Oricum, pentru a afla cat de aproape sau de departe sintem cu adevarat de restul lumii, nu neaparat de varfuri ci de medie, ar trebui sa incepem prin a participa la genul ala de exercitii/competitii. E doar inceputul, un antrenament ca o incalzire, in general atacurile adevarate sint “un pic” mai serioase.
Ref. la OS, firewall etc… subiectul este mult prea vast pentru a fi tratat intr-un comentariu, o postare pe blog sau chiar o serie de cateva postari. Ar fi o desconsiderare a oamenilor care chiar lucreaza in domeniu.
E suficient de spus ca fiecare element are vulnerabilitatile sale, particulare, nu e neaparat o ierarhie stricta si un atacator va incepe cu veriga slaba din lant, mai ales daca este plasata asa de in “interior”. Daca OS-ul prezinta vulnerabilitati, cu atat mai mult cu cat sint cunoscute si nefixate, va fi primul atacat. In cazul asta nu este necesar un atac asupra firewall-ului.
Cum orice regula are si exceptii, cine are bani sa investeasca in IDS/IPS-uri care sa acopere vulnerabilitati cunoscute ale OS-urile (sint si cazuri din astea, in general pe baze temporare) atunci va avea suficienti bani sa investeasca in patch-uri sau un upgrade complet.
Cum am spus, discutia este mult prea lunga si, pe alocuri, arida. Cam ca un masterat sau doctorat.
Ref. la terminalele de posta sau banca, odata penetrate vor fi folosite pentru lansarea unor noi atacuri, de data asta dintr-o zona de securitate mai inalta (fata de exterior).
Linux-ul nu e un silver bullet, ca orice OS are vulnerabilitatile sale insa beneficiaza de un numar enorm de voluntari care repara foarte rapid problemele aparute. Fata de un soft cu licenta (gen XP) diferenta nu ar trebui sa fie prea mare (din nou discutie lunga ref la avanataje vs dezavantajele in securitate ale open-source) insa odata ce ai ramas fara suportul Microsoft, avantajele inclina spre Linux.
Enzo, daca te referi la East-Tec, ei au vandut prin intermediul unui “value added reseller” niste licente pentru o solutie care asigura stergerea datelor dupa un hard drive si nici pe departe o solutie de criptare. Au vandut aproximativ 5000 de licente catre procuratura federala si o organizatie federala care se ocupa cu protectia muncii. Valoarea cumulativa a ambelor contracte este sub $100.000.