Тет-а-тет с Информзащитой

mindw0rk (mindw0rk@gameland.ru)

Xakep, номер #066, стр. 066-078-3

Сейчас у меня несколько иная работа. Я скорее занимаюсь ликбезом и рассказываю людям, почему надо защищаться, как и чем. А здесь без творческого подхода не обойтись. Иначе очень трудно спуститься с небес на землю и начать говорить с людьми на их языке, без всех этих терминов: «RAID», «кластеризация», «Common Criteria» и «субъект доступа».

А умные книги читать всем полезно ;-). Даже если ты не будешь вторым Крисом Клаусом, Кевином Митником или ЗАРАЗой, то все равно имеешь шанс стать грамотным специалистом, который хорошо выполняет свою работу. Главное - это нарабатывать опыт, чтобы потом уметь вовремя распознать все подводные камни, предвестники серьезных проблем и т.д. А еще хороший security-эксперт – это психолог, который не только умеет найти общий язык с неграмотными в области security сотрудниками, но также не допускать конфликтов с ИТ-подразделением, если отделы разделены.

mindw0rk: Расскажи о самых интересных security-проектах, в которых тебе доводилось принимать участие за последние несколько лет. Именно интересных, не обязательно известных или коммерчески успешных.

АЛ: По правде, ни в чем интересном пока участвовать не приходилось ;-(. Все больше варился в собственном соку. Только сейчас решил замутить несколько проектов, но пока до их завершения далеко, не хочу раскрывать карты ;-). Хотя… интересным проектом можно назвать написание книжки «Обнаружение атак». Помимо того, что я для самого себя систематизировал многие вопросы по сетевой безопасности, я вдобавок получил интересный опыт написания таких объемных трудов. Ведь создание книги сильно отличается от написания статьи в журнал.

mindw0rk: Часто ли тебе доводилось общаться с зарубежными коллегами? Отличаются ли чем-то их sec ppl от наших? :) Какой опыт, полученный в результате такого общения (совместной работы), ты особенно ценишь?

АЛ: Не так часто. Мне и российского общения достаточно ;-), тем более что в России специалисты не хуже, а иногда даже лучше западников. Нам приходилось изучать многие вещи в условиях нехватки информации. Да и с техникой всегда были проблемы. Поэтому в России стремятся досконально изучить то, что есть. Я помню, что мы творили с БК в школе… Мы занимались постоянным поиском, который и делает эксперта экспертом. А сейчас? Многие хотят получить все готовое. Лишь у единиц присутствует желание создать что-то свое, зато критиковать или писать в форумах «Лажа! Не фурычит!» могут все. Поэтому script kiddies сейчас много, а грамотных специалистов мало. И здесь мы постепенно равняемся с западом.

mindw0rk: Как представитель крупной IT-компании ты наверняка участвуешь в специализированных конференциях. Расскажи о самых ярких, например, о Первом IT-Security Форуме и АДЭ. Там все сугубо официально, с галстуками и скучными лекциями, или интересные моменты тоже имеются? :)

АЛ: Участвую, но ярких впечатлений нет ;-(. В России нет конференций, которые можно было бы назвать эталоном. На большинстве мероприятий выступающие занимаются рекламой своих продуктов и услуг, что очень негативно воспринимается участниками. Хотя и докладчиков можно понять – они заплатили деньги и хотят за них получить максимум отдачи. Если же докладчики выступают бесплатно, то организатор со временем прогорает и ставит свое мероприятие на коммерческие рельсы, что, конечно, сужает круг возможных посетителей. Промежуточных вариантов практически нет. Есть еще одна проблема – в России очень мало действительно грамотных экспертов по безопасности, которые: 1) могут рассказать что-то интересное, 2) имеют время, чтобы поехать на конференцию, 3) умеют увлекательно подать свой доклад.