Средства для оценки рисков
Средства разработки и внедрения политик безопасности
Средства мониторинга действий пользователей: Программы, предназначенные для контроля работы пользователей и администраторов за своими компьютерами и в сети Интернет. Они сообщают по сети информацию, которая интересует шефа, ему лично или уполномоченному им лицу.
Средства аудита и восстановления паролей
Шифровальщики файлов: Эти программы обеспечивают недорогое, надежное и быстрое шифрование файлов и дисков с использованием популярных алгоритмов (AES, 3DES, Blowfish, ...)

See the entire folder …

Уязвимость в облачной службе Amazon EC2 позволяет злоумышленникам выполнять административные функции

Немецкие исследователи обнаружили уязвимость в облачной службе Amazon Elastic Compute Cloud (Amazon EC2) и описали атаку с помощью цифровой шифрованной электронной подписи (XML-подписи), позволяющую вносить изменения в простой протокол доступа к объектам (Simple Object Access Protocol (SOAP)).

25.10.2011

На семинаре об облачной безопасности ACM, который состоялся 21 октября, немецкие исследователи Бохумского рурского университета под руководством профессора Йорга Швенка сообщили об обнаруженной уязвимости в облачной службе Amazon EC2, которая позволяет выполнять неавторизованным пользователям административные функции, например, запускать и останавливать работу виртуальных машин, а также создавать образы и шлюзы в EC2. По сообщению исследователей, подобная уязвимость также существует в программных продуктах Eucalyptus с открытым кодом, которые используются для управления частными облачными решениями. Впервые данный тип атаки был описан в 2005 году, его принцип состоит в том, что частичные XML-подписи даже после изменения считаются действительными.

В своей презентации "Все ваши облака принадлежат нам" ("All Your Clouds are Belong to us") исследователи с помощью XML- подписи описали атаку , позволяющую вносить изменения в SOAP сообщения таким образом, чтобы служба EC2 считала их действительными.

Злоумышленники могут перемещать подписанное частичное дерево, а затем вводить специально сформированные элементы в оригинальное расположение. Для успешного проведения атаки проверка подлинности подписи приложения и интерпретация XML-подписи должны обрабатываться отдельно. Также специально сформированный неподписанный код должен выполняться после проверки подлинности.

Разработчики Amazon и Eucalyptus уже устранили уязвимости в своих продуктах.