Блиц-обзор основных ИБ-новостей за прошедшие праздники

Вообще я не хотел писать эту заметку, но несколько коллег вчера спросили меня, буду ли я по традиции делать обзор того, что произошло за новогодние праздники, чтобы понять, не пропустили ли они чего-нибудь важного, проведя время в Мексике, Тайланде, США и других прекрасных частях света, полностью дистанцировавшись от профессиональных новостей. И посколько таких запросов было больше одного, я не стал противиться и составил свой топ новостей за прошедшие пару недель, взяв за точку отсчета последнюю неделю декабря (многие уже не работали в последние пару дней). Итак мой топ таков:

• Правительство утвердило план мероприятий по направлению «Информационная безопасность» в рамках программы «Цифровая экономика». Я уже высказывался по поводу этой программы и финальный план меня окончательно убедил, что далека она от того, чтобы хоть как-то выправить ситуацию в индустрии; скорее наоборот. Думаю, на днях более подробно распишу про этот документ.
• В начале января стало известно о наличии в процессорах Intel, AMD, Qualcomm и др. уязвимостей, названных Meltdown и Spectre, которые позволяли красть конфиденциальную информацию с устройств, на которых можно было запустить пользовательский код (в том числе и с помощью JavaScript). Часть вендоров пользовательских и серверых ОС уже отчиталась о выходе патчей (которые могут привести либо к неработоспособности системы определенной конфигкрации, либо к некоторому замедлению работы), часть тормознула из-за новогодних праздников. В любом случае последнюю неделю разговоры в открытых и закрытых группах и чатах ведутся только об этих уязвимостях, преподносящихся как очередной (или даже более серьезный «Heartbleed»). На мой взгляд это совсем не «ужас-ужас», как говорилось в одном анекдоте. Не надо срочно бежать и менять (как иногда советуют) все уязвимые процессора на новые (кто гарантирует, что там нет этих «уязвимостей» или закладок?). На мой взгляд достаточно начать с правильной защиты пользовательских ПК — ограничение (не тупой полный запрет) работы скриптов JavaScript с помощью бесплатного NoScript или AdBlock и использование решений класса EDR (а не просто сигнатурных антивирусов). Дополнительно необходимо контролировать доступ к вредоносным сайтам, эксплуатирующим эти уязвимости (с помощью решений класса SIG, обычных URL-фильтров или DNS Firewall), а также использовать IPS, детектирующие использование указанных уязвимостей. Иными словами, старая добрая эшелонированная защита, которая помогла бы в случае с WannaCry, Neytya, Bad Rabbit и множеством других «ужас-ужасов». Гораздо более неприятная ситуация ждет производителей сертифицированных в ФСТЭК (с ФСБ не уверен, что они сильно парятся на тему уязвимостей в сертифицированных СКЗИ) средств защиты, которым придется доказывать отсутствие влияния новых уязвимостей, уже попавших в БДУ ФСТЭК.
• Американские министерства торговли и нацбезопасности выпустили проект отчета для Президента (виданное ли дело, публиковать проекты отчетов для руководства страны?) по усилению устойчивости американской телекоммуникационной инфраструктуры и Интернет к различным распределенным киберугрозам (ботнетам и т.п.).
• Wi-Fi Alliance  анонсировал новую версию протокола защиты беспроводных сетей WPA3, среди обновлений которого можно назвать защиту от перебора паролей при аутентификации в беспроводных сетях, а также улучшения криптографической подсистемы.
• VirusTotal запустил новый инструмент визуализации VirusTotal Graph, позволяющий визуализировать взаимосвязи между файлами, URL, доменами и IP-адресами.
• Министерство промышленности и информатизации Китая выпустило план действий по защите своих систем промышленной автоматизации «Industrial Control Systems Information Security Action Plan (2018-2020)».
• Российский хакер Козловский признался в том, что это он создал WannaCry по заказу ФСБ. История с этим Козловским мутная донельзя — на его странице в Фейсбуке выложены десятки стран уголовного дела, в котором он «признается», что работал по заказу арестованных по делу о госизмене бывших сотрудников ЦИБ ФСБ Сергея Михайлова и Дмитрия Докучаева. По словам Козловского, именно он, сотоварищи, взломал американские выборы в 2016-м году. 
• Был подготовлен законопроект о внесении изменений в статью 13.11 Кодекса Российской Федерации об административных правонарушениях, вводящий наказание не только для обработчиков ПДн, но и для операторов ПДн за действия обработчиков ПДн.
• Минкомсвязь подготовило проект приказа об утверждении порядка, технических условий установки и эксплуатации средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов КИИ.
• 29 декабря Президент подписал закон об удаленной, читай, биометрической, идентификации клиентов финансовых организаций, за которым последуют и нормативные акты самого ЦБ. Банковским безопасникам стоит готовиться в этом вопросе — он может очень быстро стать актуальным, а может быть и обязательным (как «Мир», НСПК и иже с ними).
• Директор АНБ и глава американского киберкомандования Майкл Роджерс решил уйти в отставку, что и должно произойти весной этого года. За прошедшие 4 года, что Роджерс руководил АНБ, произошло немало событий, которые, как мне кажется, и повлияли на решение об отставке. Тут и утечка арсенала АНБ через взлом The Equation Group, и противостояние с Трампом, которого Роджерс прямо обвинил в сговоре с Россией.