11690
Трансляция блога и Твиттера Алексея Лукацкого (@alukatsk), а еще репосты из Телеграмма и публикация уникальных материалов
Сначала тебе говорят, что "ничего страшного, у нас сайт атаковали и просто подменили домены на мошеннические", а в следующем сообщении у тебя написано, что не работает не только почта, но и телефон, и сервисный центр 📞, и отгрузка, и CRM и т.д. И ты понимаешь, что это не просто атака на DNS, как это представляли изначально. Сама компания при этом предлагает решения по облачным АСУ ТП и разрабатывает решения для промышленной автоматизации, что ставит также много вопросов на тему «не задело ли и их»...
ЗЫ. Кейс с вышедшей из-за атаки телефонией 📞 я уже, кстати, рассматривал на киберучениях еще в 2018-м году.
‼️ Иногда лучше молчать, чем говорить. И это глава «Лиги безопасного Интернет» 😱 Чему она детей тогда учит?? 🤦♂️
Читать полностью…
#events #RadioGroot
🤖В гостях: Алексей Лукацкий, автор канала Пост Лукацкого и блога, вырастившего не одно поколение ИБэшников, Бизнес без Опасности
🕓Дата: 09 апреля в 19:00 по мск
🖼Формат: онлайн, трансляция в канале
🔗Добавить в календарь: здесь
🗣Обсудим:
⬇️карьерный путь - срез с предыдущего выпуска
⬇️создание и поддержание личного бренда
⬇️формирование уникального контента
⬇️баланс жизни, интересов и принципов
⬇️будущее специальностей
Хакер с ником IntelBroker (ранее известный как thekilbob) утверждает, что украл 💻 много-много всяких конфиденциальных данных у Госдепартамента США, американского же Минюста, ФБР и Министерства национальной безопасности и других ведомств. Удалось это, как полагается в последнее время, через подрядчика, - американского контрактора Acuity, который, также как водится, опроверг серьезность утечки, заявив, что данные устаревшие (хорошо хоть саму утечку не отрицают). Помимо персданных в утечке присутствует и гостайна разведывательного альянса "Пяти глаз" 👀
Месяцем ранее IntelBroker уже взламывал Acuity (да, снова) и украл данные иммиграционной службы, выставив их на продажу 🤑 Помимо персданных граждан США в утечку попали исходные коды ПО, частная переписка между ведомствами, руководства, а также данные по Украине и России и т.п. В утечке также присутствует гостайна и все это было получено за счет Zero Day в GitHub, с помощью которой удалось украсть GitHub-токен и реализовать ряд вредоносных действий. IntelBroker на протяжении последнего года взламывал и другие государственные структуры и КИИ 👨💻 - МинОбороны США, аэропорт Лос-Анджелеса, General Electric, DARPA и многих других. Он же, по одной из версий, стоит за атакой на оператора T-Mobile в ноябре 2022-го года.
История со взломом через подрядчиков продолжает оставаться 🔣1️⃣ и в России. А вы доверяете своим поставщикам? А требования по безопасности им выставляете? А как контролируете их реализацию?
ЗЫ. Да, это именно тот кейс, о котором я написал вчера 😂
Я конечно не претендую на лавры шоу "PT NGFW за стеклом", которые мои коллеги вели про разработку NGFW, но начну потихоньку выкладывать какие-то зарисовки с подготовки к PHDays в той ее части, которая касается бизнес-трека, который я курирую 🤴🏻
Если кто не знал, то в этом году бизнес-трек раскинет свои щупальца аж на 4 площадки на Лужниках, отличающиеся по своей вместительности - от пары-тройки тысяч человек Большой спортивной арены 🏟 до 40-70 человек в мини-залах под мастер-классы. И так как у нас еще несколько шатров будет в техническом треке, то очевидно, чтобы не путаться в них, надо было дать им какие-нибудь звонкие названия. Конечно же на космическую тему, которой посвящен весь грядущий PHD2 🚀
И вот, отринув идею с "Черной дырой", Кратером", "Астролябией" (хотя на английском это astrolabe и там можно какие-нибудь лабы проводить), родилось прекрасное название не скажу 🫢 Но использовать его оказалось нельзя 🤐, так как по-английски оно начиналось с таааакой заглавной буквы алфавита, что нас распяли бы все посетители; причем по разным причинам. В итоге, после просмотра макета, пришлось менять название шатра. Кто бы мог подумать, что еще при организации мероприятий по ИБ необходимо учитывать еще и то, чем занимаются геополитически подкованные филологи-лингвисты!
ЗЫ. Если кого-то интересует, что же за название было придумано изначально, то оно похоже на название модели автомобиля одного чешского автогиганта, поглощенного немецким автоконцерном, который покинул Россию некоторое время назад, и на которой перемещаюсь я сам ❓
ЗЗЫ. На картинке попытка нарисовать что-то на тему Standoff 13, битвы красных и синих, которая пройдет в рамках грядущего PHD2.
Тем временем в Казахстане 🇰🇿 готовится законопроект об обязательном страховании для операторов персональных данных, обрабатывающих более 1 миллиона записей субъектов. А еще установление финансирования ИБ в размере 10-15% от ИКТ-бюджета 🤑, создание платформы по повышению осведомленности и обучения населения вопросам ИБ, увеличение штрафов за нарушение законодательства по ИБ и ПДн и много чего еще... 🌌
Читать полностью…
Не знаю, можно ли считать это тенденцией, но против двух топ-менеджеров "Сирены-Трэвел" были возбуждены уголовные дела 👮 по ч. 5 ст. 274.1 УК РФ (нарушение правил эксплуатации, хранения, обработки и передачи охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре). И это не банальщина в виде "админ оператора связи посканил IP-диапазон и случайно задел объект КИИ" и не "врач занес фейковый сертификат на COVID-19 в медицинскую систему, которая тоже относится к объектам КИИ", тут дело серьезнее 🔝
Танцы на костях - дело неблагодарное, но это тот пример, который показывает, что может быть с топ-менеджментом компании, которое раньше считало тему кибербеза "его некасающейся", а ИБшники не могли донести ее важность наверх 😡
Англичане 🇬🇧 требуют для всех организаций финансового рынка (на уровне топ-менеджмента):
1️⃣ Определить уровень допустимого ущерба, при котором организация может оказывать минимально возможный уровень сервиса 🤑
2️⃣ Определить критические бизнес-сервисы, которые обеспечивают минимальную "живучесть" организации 🧐
3️⃣ Определить сценарии реализации событий, при которых может быть достигнут уровень допустимого ущерба ⚙️
4️⃣ Обеспечить защиту от всего вышеперечисленного 🛡
5️⃣ Провести киберучения, подтверждающие, что все вышеперечисленное невозможно реализовать
то есть они обязывают всех реализовать то, что мы называем "результативной кибербезопасностью". А если вы мне не верите, то можете сами убедиться, прочитав либо мою заметку, либо сразу оригинальные требований Банка Англии и Службы финансового контроля и надзора (ссылка в заметке).
АНБ спустя 13 лет после запроса рассекретило свою новостную рассылку по криптографии 🗝 «Сказки о крипте» (Tales of the Krypt), выпускаемую в 1994-2003 годах. 800+ страниц занятного чтения о криптографии (местами текст отцензурирован) 🔒
Читать полностью…
The Guardian опубликовали интересный материал, который на русском языке можно было бы назвать "И на Йосси бывает проруха", в котором они пишут, что им удалось раскрыть личность засекреченного главы израильской 🇮🇱 спецслужбы 8200, которую часто сравнивают с американским АНБ. Речь идет о Йосси Сариэле, который написал несколько лет назад книгу "The Human Machine Team" о применении искусственного интеллекта 🧠 в современной войне и как ИИ может поменять ход военных действий. Цифровой след в виде анонимного e-mail автора книги в итоге и вывел на бригадного генерала. Армия обороны Израиля все отрицает 😶
Собственно про само расследование The Guardian пишет немного, фокусируясь больше на концепции применения ИИ на поле боя ⚔️ и примерах такого использования во время продолжающегося конфликта Израиля и ХАМАС. Про подразделение 8200, которым и руководит бригадный генерал Сариэль, в статье тоже практически ничего нет, а ведь именно оно ответственно за операцию (из известных) "Олимпийские игры" 🛡 (Stuxnet), а его выпускники создали многих ИБ-единорогов, известных по всему миру. Так что статья скорее интересна самим фактом раскрытия личности высокопоставленного разведчика за счет оставленного им в Интернет цифрового следа 👣
Интересная заметка о сломе 3-й линии обороны человека от социохакинга. По знаниям "роботы" нас уже обходят и давно. По языковым и логико-аналитическим способностям с выходом GPT-моделей 🧠 тоже стали обходить. Теперь вот (автор о них и пишет) дала трещину и 3-я линия, эмоциональная. Разработана модель, которая способна считывать эмоции человека во время дискуссии, интерпретировать их и подстраивать под них свое "поведение", манипулируя собеседником и заставляя его принимать те решения, которые "нужны" модели 🎎
Когда я в интервью на тему голосовых дипфейков рассказываю, что в 2024-м году эта станет одной из основных тем, мне не верят и считают, что это все фигня и страшилки 😱 Но вот уже и нет, раз появились прототипы, значит скоро тоже самое появится и на той стороне баррикад. Улыбаемся и машем Готовимся... 🛡
Люблю вступать в полемику по разным ИБ-вопросам, но не очень люблю, когда меня некорректно цитируют или приписывают мне то, чего я не говорил и даже являюсь противником! Вот Сергей комментирует мои слова с открывающей секцию с вчерашней конференции "PRO управление инцидентами" про услугу Incident Response Retainer. Так вот не могу не прокомментировать в ответ:
1️⃣ Есть отличия в обычной услуге Incident Response / Compromise Assessment и Incident Response Retainer. В первом случае вы платите тогда, когда инцидент уже случился и вы не смогли его расследовать и среагировать или у вас нет своих специалистов. Во втором случае вы платите ЗАРАНЕЕ за то, что может никогда не произойти. И да, может возникнуть вопрос в том, зачем это делать и почему ИБшник ЗАРАНЕЕ не уверен в своих силах? Ответ на это есть, но продажа такой "проактивной" услуги отличается от "реактивной" продажи сервиса.
2️⃣ Озвученный мной риторический вопрос был задан в контексте дискуссии про вовлечение бизнеса, а ему часто непонятно многое, что делает ИБ. И поэтому комментарий Сергея про то, что любой профессионал понимает, что вопрос с инцидентами стоит не "произойдет или нет", а "когда произойдет", не подходит для бизнеса, который не погружен в детали и у него такого понимания пока не сформировалось.
3️⃣ Не согласен со сравнением со страховкой. Ее я покупаю, когда хочу получить возмещение понесенного ущерба. Incident Response Retainer имеет совсем иную природу принятия решения.
4️⃣ В прошлый раз Сергей также комментировал мою заметку про прогнозы Gartner, в которой я упомянул, что не все из них применимы в России. Сергей считает, что это не так и все, что происходит в мире, происходит и у нас. И опять я не могу молчать. Весь мир сейчас идет в облака - в бизнес-приложениях, в ИБ, в ИТ-сервисах и т.п. Но не в России. Во-первых, многие обожглись об иностранные облака пару лет назад, когда их кинули, одномоментно заблокировав учетные записи. Во-вторых, у нас пока нет такого же уровня зрелости облаков. Поэтому облачные тенденции к нам не применимы. Персональная страховка руководителей ИБ? Половина ИБ-бюджета на борьбу с дезинформацией? Рост бюджета на борьбу с prompt injection? В России? Вы серьезно? Ну, common...
Ну такая себе рекомендация от нижегородского МВД 😲
ЗЫ. Спасибо коллегам из @ep_uc за ссылку!
Я не большой сторонник детальной предварительной оценки ущерба от реализации рисков ИБ (непросто это и очень много переменных, которые сложно заранее учесть), но на приведенных дашбордах интересно другое - они понятные бизнесу угрозы (кража денежных средств, утечка базы клиентов, взлом АБС и т.п) перекладывают на понятные ИБ сценарии реализации угроз (социальный инжиниринг, потеря устройств, компрометации электронной почты и т.п.), тем самым пробрасывая мостик между ИБ и бизнесом, делая обе стороны ближе друг другу.
Читать полностью…
Выкладываю презентацию "Киберперестройка процессов обнаружения угроз", которую я вчера читал на "Территории безопасности 2024" в рамках конференции "PRO обнаружение угроз", и которая (презентация) является наброском чего-то большего, как я теперь понимаю.
Читать полностью…
Тот редкий пример, когда инцидент ИБ на крупном российском предприятии попадает в бизнес-прессу. Агрохолдинг 🥩 Ткачева попал под шифровальщика; вымогатели требуют 500 миллионов рублей; часть систем остановила свою работу ⛔️
Читать полностью…
Crowdfence поднял стоимость на 0-Day уязвимости 📈 Хотя они называют это программой Bug Bounty, мне кажется, что сами вендора не стоят за покупкой дыр, имея собственные программы вознаграждения с гораздо меньшей суммой выплат. ZeroClick для iOS, аналог "Триангуляции", стоит 7 миллионов долларов 🤑
RCE в Chrome позволит заработать до 3 миллионов, а в Safari - до трех с половиной. А вот уязвимости в АСУ ТП вызывают низкий интерес со стороны покупателей, которые не готовы платить больше 30 тысяч долларов. Максимальная сумма выплат увеличена втрое - в 2019-м году стоимость 0-Day для iOS и Android составляла 3 миллиона долларов. Techcrunch рассуждает о том, кому могут быть проданы (или не проданы) такие уязвимости в случае обнаружения.
PS. В России за легальный поиск уязвимостей платят тоже миллионы, но пока рублей 💸
Прошло 3 года с последнего интервью в гостях у Крис. Многое с тех пор поменялось, только не а вот что "не", вы узнаете сегодня на эфире.
Читать полностью…
История с закладкой в библиотеку XZ обрастает все новыми подробностями. Эксперты всего мира пытаются атрибутировать, кто же стоит за пользователем по имени Jia Tan, который и залил вредоносный релиз 👨💻 Причем версии выдвигаются и опровергаются самые разные.
Например, что это точно не АНБ, так как спецслужба США 🇺🇸 вряд ли бы использовали квантово-неустойчивую криптографическую функцию ED448. Как обычно, валят все на китайцев, северокорейцев и русских. При этом обоснование этого как обычно на очень "высоком уровне" - временная зона, указывающая на Китай 🇨🇳 (а с Северной Кореей 🇰🇵 разница всего в 1 час). С другой стороны он работал во время китайских каникул, но при этом не работал на Рождество и Новый год. И вообще его рабочее время начиналось с 9 утра и заканчивалось в 5 вечера по восточноевропейскому времени, то есть Москва! 🇷🇺
Мысль, что неважно, откуда работает хакер, гораздо важнее - на кого он работает (а это не определить по часовому поясу), в голову экспертам не приходит 💡 Ну и хрен с ними.
Давно я что-то не писал про утечки данных из госорганов. Думаю надо вернуться к этой практике. Тут и утечку интересную подогнали. Персданные чиновников и граждан, исходные коды ПО, дырявый Git, руководства и документация, переписка... 🔓 все это на протяжении года собиралось кем-то нехорошим и сейчас начинает выкладываться в даркнете. В общем, подсоберу данных и напишу ✍️
Читать полностью…
Яндекс.Облако выпустил отчет по кибербезопасности, в котором собрали интересную местами статистику с представителей финсектора, ритейла и промышленности, а также оценили, насколько организации готовы к переходу в облака. Вторую часть я опущу, а вот в первой мне показались интересными несколько цифр:
1️⃣ Средняя доля расходов на информационную безопасность составляет 1️⃣5️⃣🔤 от общего бюджета компании на IT 🫵
2️⃣ 45% опрошенных не знакомы с тем, как распределяется бюджет на ИБ у них в компании,а из всех опрошенных 61% - это руководители (что как бы не очень бьется) 🤑
3️⃣ В среднем объём бюджета на ИБ увеличился в прошлом году на 20%. В основном бюджеты на ИБ распределяются на обновление ПО, лицензий (75%) и оборудования (73%), что для 23-го года, в условиях ухода иностранцев, вполне логично, но говорит об отсутствии инвестиций в развитие именно стратегии ИБ (38% опрошенных вообще не в курсе, как часто у них обновляется стратегия ИБ) 😴
4️⃣ Наиболее актуальная проблема при переходе в облака — это интеграция существующих в компании систем мониторинга 🔍 с тем что есть (или нет) у провайдера. Однако на этом графике я малость задумался - при ответе на него явно не давали множественный выбор при ответе - уж очень небольшие % там получаются по каждой альтернативе 🤔
5️⃣ Все-таки некая манипуляция в отчете есть ☝️ - в выводы взяты те цифры, которые ненавязчиво говорят о том, что облака - это хорошо, надежно и безопасности
Сегодня, 8 апреля, празднуется международный день управления идентификацией (Identity Management Day). Как можно отметить этот день? Я бы сделал следующее:
1️⃣ Включил бы и настроил многофакторную аутентификацию везде, где она имеется (Госуслуги, почта, Интернет-банк, игровые сервисы, соцсети, хостинги, видеоплатформы и т.п.). 🤒
2️⃣ Поменял бы пароли на более надежные 🤒
3️⃣ Задумался бы о теме обнаружения и реагирования на угрозы, связанные с идентификационной информацией (ITDR, Identity Threat Detection & Response). Например, как вы будете реагировать, если в сети появится ваш дипфейк 🎭 или утечет ваш пароль?
Но так как я это уже сделал раньше, то я просто выпью стакан кефира!
Писатель ✍️ он писатель во всем (как бы кто не относился к его творчеству). Даже когда взламывают его страничку, он не тупо пишет ✍️ «Меня взломали. Не переводите денег, если попросят». Писатель это делает красиво 😍 Прошло семь лет, как взломали Проханова, а все равно не могу не вспомнить.
Читать полностью…
Если личность израильского бригадного генерала, главы подразделения 8200, оставалась пару десятков лет нераскрытой, то вот участников российско-украинского конфликта постепенно раскрывают. BBC пишет, что украинское Минобороны награждает грамотами 🤠 различных иностранных хакеров, участвовавших в кибератах на российские объекты.
Это, безусловно, странный способ поощрения (хуже, разве что, "похлопывание по плечу", что сделать применительно к хакерам из США, Великобритании, Польши т.п. сложновато) для людей, некоторые из которых (один из героев статьи) потеряли свою работу 🗑. Но проблема даже не в этом, а, как отмечают эксперты, в размытии границ между гражданскими и военными хакерами, против чего настаивал в свое время "Красный Крест", выпустив свои правила на этот счет.
Но выпускать правила можно, но кто им будет следовать, когда жопа весь мир в огне. Украина таким образом показывает, что ее поддерживают во всем мире, журналисты получают эксклюзив, уволенные айтишники получают свою минуту славы. А что будет, когда все закончится, никто не думает. А ведь все эти хакеры-волонтеры, "вкусив крови", точно не пойдут по окончанию конфликта работать доярками и хлебопеками.... 😦
В пятницу я выступал в секции "Интернет наших тел" на молодежном RIGF (Russian Internet Governance Forum) в Кибердоме, где, под руководством Руслана Юсуфова, обсуждали будущее технологий, сфокусировавшись на искусственном интеллекте и Интернете вещей. И хочу повторить свою мысль, которую я там озвучил. Никакого доверенного ИИ или этических норм разработки и использования ИИ не существует! Это миф и попытка засунуть голову в песок, превращаясь во второго Оппенгеймера, у которого тоже были благие намерения во время "манхеттенского проекта". А потом у нас была Хиросима и Нагасаки. А сейчас всерьез обсуждают боевые торпеды с ИИ и возможность дать ИИ "в руки" красную кнопку от ядерного оружия, считая, что он не подвержен эмоциям при принятии решений. Ну трындец какой-то 🤬
"Плохих парней" то, спецслужбы, военных и государства, кто заставит соблюдать все эти меморандумы и "билли о правах"? Они как занимались исследованиями в этих направлениях, так и будут продолжать это делать 😠 Они как использовали ИИ во вред, так и будут. Никакое сдерживание, как в случае с ядерными технологиями, тут уже не поможет. Это же не обогащение урана или плутония, для чего нужны специфические технологии. Тут все гораздо проще. Джин 🧞♂️ выпущен из бутылки. ИБ, а я могу говорить только в этой части, надо быть хотя бы на том же уровне развития технологий, что и у плохих парней. Остановить это уже не удастся ☹️
ЗЫ. Я еще упоминал евгенику, к которой мы также семимильными шагами идем, собирая и анализируя все больше данных о гражданах (а за этим, очевидно, последует идея профилирования, социального рейтинга, разделения на касты, сегрегация, уничтожение инакомыслия и выведение "человека покорного"), но это уже совсем не про ИБ и поэтому развивать эту тему тут я не буду.
ЗЗЫ. Если что, запись дискуссии есть на VK (начинается в 1ч 41мин).
⚠️ В отличие от коллег со мной такого еще не случалось; поэтому предупредить надо заранее. Как сибарит-гедонист могу сказать, что ни у кого денег через мессенджер я просить не планировал и не планирую! А как большой «любимец» ФСБ, аккаунты «имени меня» точно не будут могут просить вас ответить на звонки и сообщения сотрудников спецслужб и помочь им поймать мошенников и преступников ❗️
Все, что могу именно я, так это попросить потратить тысячу рублей на билет 🎟️ на PHD2 (деньги вы переводите в фонд «Подари жизнь»), но это я и публично могу сделать 🙏 И если вам прилетит такой запрос в личке, да еще и на бОльшую сумму, то внимательно проверьте ссылки, на которые вас заманивают.
Кстати, Maersk, когда оценивает последствия инцидентов, пытается увязать их с EBITDA, то есть с объемом прибыли до вычета амортизационных отчислений 🤑
Читать полностью…
OWASP официально признает факт взлома одного из своих Web-ресурсов. Какая злая ирония - организация, учащая защите Web, сама пострадала от того, что один из ее, как уверяется, старых сайтов, был фигово сконфигурирован, что и стало причиной утечки резюме членов OWASP, поданных в период с 2006-го по 2014-й годы 👨💻
Ну и чтобы закольцевать историю, причиной взлома стал риск A05:2021-Security Misconfiguration из OWASP Top10 Web Application Risks. Отсылка в сообщении OWASP к старому серверу, возможно, говорит и о A06:2021-Vulnerable and Outdated Components, а также и, возможно, о других рисках, например, A01:2021-Broken Access Control в контексте упоминания возможности просмотра содержимого папок сервера 👀
Знаете, как в международной логистической компании Maersk ⛴ принимают решения об инвестициях в кибербез? Борются не со всеми вредоносными событиями, а только с теми, которые несут для компании катастрофические последствия. Да, термин non-tolerable events компания Maersk пока не использует - вместо этого у них приняты extinction events (события, приводящие к ликвидации компании), а также уничтожение 💥 бренда, крупное мошенничество, а также нарушение GDPR с его оборотными штрафами 🤑
А вот крупные и мелкие простои, DDoS, дефейсы и т.п. не требует серьезных инвестиций и защита от них должна обеспечиваться постольку поскольку 💡 Иными словами, если ты идешь к топу, то показывай ему жопу ущерб в миллиарды. Но и просить на ИБ надо миллиард, а не миллион (это не уровень топ-менеджмента).
Когда мне надо помедитировать, то я смотрю на этот график, что позволяет мне целиком погрузиться в него и перестать реагировать на любые внешние раздражители 🧘♀️
Читать полностью…