Пост Лукацкого

15 марта 2024 12:33

Очень интересный отчет по результатам расследования взлома английской библиотеки 📚 в октябре прошлого года. Приятный пример открытости компании, пострадавшей от взлома, в результате которого утекло 600 ГБ персональных данных и другой информации. Компания не стала скрывать этот факт, провела расследование 👨‍💻 и опубликовала его результаты. Можно только приветствовать такую открытость.

Структура отчета описывает все ключевые и интересные для аудитории моменты:
➖ резюме
➖ причины и анализ атаки
➖ оценка ущерба
➖ реагирование и восстановление
➖ технологическая инфраструктура
➖ будущая оценка рисков
➖ извлеченные уроки и рекомендации

Пост Лукацкого

15 марта 2024 05:40

Раз уж я начал эту неделю с темы про невозможность оценки вероятности рисков ИБ, то и закончу неделю тоже темой про риски. Но замахнусь на святое и попробую доказать, что сам термин "риск ИБ" не имеет смысла, так как его используют некорректно.

Пост Лукацкого

14 марта 2024 16:02

Счетная палата США 🇺🇸 выпустил отчет о безопасности американской критической инфраструктуры, который можно рассматривать как неплохой такой обзор всех активностей и инициатив, которые реализуются у нашего геополитического соперника 🏭

Перечислены все КИИ, все министерства, вся нормативка, все государственные ИБ-проекты, все продукты и сервисы, предоставляемые CISA для КИИ с их описанием, а также возможные последствия от реализации недопустимых для КИИ событий 💥

Ключевых выводов у Счетной палаты два:
1️⃣ У некоторых "подопечных" негативный опыт использования продуктов и сервисов CISA. Например, бывали случаи, когда между репортингом об уязвимости в средствах промышленной автоматизации до ее опубличивания проходил год и более.
2️⃣ У CISA не хватает квалифицированного персонала в области защиты АСУ ТП персонала. Их всего 9 человек (интересно, сколько в 8-м Управлении ФСТЭК?).
Передовые практики подсказывают, что для устранения этих проблем надо лучше планировать загрузку персонала и заниматься оценкой пользовательского опыта, но CISA этим не занимается 🗑

Знакомая ситуация, не правда ли?..

ЗЫ. А последние примеры недопустимых событий в списке почему-то все связаны с Россией. Почему? Не любят они нас что ли? 😈

Пост Лукацкого

14 марта 2024 12:33

Насколько богат русский язык ✍️ смыслами и нюансами. Вот вроде простое слово "подвержен", но какой смысл 😦 вкладывали в него авторы текста? Речь идет о свершившемся факте? Я бы тогда на их месте использовал более понятное и короткое "подвергся". Или речь о том, что сайт был настолько "хорошо" спроектирован и внедрен, что его архитектура была изначально подвержена DDoS-атаке? А что сейчас? 🥺 Уже не подвержена или все еще подвержена и хакеры могут повторить свой успех?

Пост Лукацкого

14 марта 2024 05:40

Курс "Базовая кибербезопасность: первое погружение", который я записывал, разместили на платформе Альпина.Лаб, что, безусловно, приятно 😇 Теперь в кибербез могут погрузиться все, у кого куплено корпоративное обучение на этой платформе

Пост Лукацкого

13 марта 2024 12:33

Офис директора национальной разведки США 🇺🇸 выпустил отчет с оценкой угроз оплоту демократии Америке. Документ, не в пример литовскому, получился более адекватным и конкретным (видна школа). На вдвое меньшем количестве страниц американцы четко выделили:
➖ 4 основные источника угроз (тут ничего нового - Китай 🇨🇳, Россия 🇷🇺, Иран 🇮🇷 и Северная Корея 🇰🇵), с описанием основных активностей актора, экономических и технологических драйверов, влияющих на нацбезопасность, вопросов ядерных и обычных вооружений, космических, кибер- и разведопераций. Все предельно конкретно и без воды, как у прибалтов; картинок и фоточек тоже нет.
➖ Про наши кибервозможности пишут, что Россия активно "работает" по Украине, а также нацелена на АСУ ТП и подводные кабеля (а как же хуситы?).
➖ Китай 👲 в киберпространстве активно плющит инфраструктуру некоренных американцев на Гуаме и пытается нарушить коммуникации📡 между Азией и США, проводит кибероперации против критической и военной инфраструктуры первой экономики мира, а также мониторит своих граждан и проводит репрессии против диссидентов, нарушая их права (кто бы говорил).
➖ Тегеран наращивает киберпотенциал и может стать основной угрозой ИБ для США; продолжает активно атаковать инфраструктуры на Ближнем Востоке 🕌, а также пытается сорвать выборы 2024-го года.
➖ Пхеньян стоит за множеством попыток кибершпионажа и многими киберпреступлениями, а также активно атакует США и Южную Корею.
➖ Из конфликтов, которые могут перерасти во что-то большее, что станет угрозой США, называют палестино-израильскую войну, конфликт в Китайском море, конфликт Индии 🇮🇳 и Китая, Индии и Пакистана 🇵🇰, Азербайджана 🇦🇿 и Армении 🇦🇲, а также потенциальные проблемы на Балканах, в Судане 🇸🇩, Эфиопии 🇪🇹, регионе Сахель (это Африка - Мали, Чад, Буркина-Фасо, Нигер и т.п.; помните литовцы про это тоже писали?), Гаити 🇭🇹 и Венесуэле 🇻🇪. У них пупок порвется, если они везде начнут вмешиваться.
➖ Также у угрозам относят искусственный интеллект 🧠, цифровой авторитаризм и транснациональные репрессии.
➖ Из других упомянутых угроз перечислены оружие массового уничтожения 💥 (ядерное, химическое, биологическое), изменения климата, эпидемии 🦠, миграция, организованная преступность, включая киберпреступность 🤒, торговлю людьми, терроризм, а также частные военные компании. Все это с примерами.

ЗЫ. Про ИБ там немного, но есть. Основное предназначение документа - понимать, куда обращен взор одной и сверхдержав, где и кому она будет вставлять палки в колеса.

Пост Лукацкого

13 марта 2024 05:40

Я много раз подступался к теме предсказания кибератак, но последняя заметка подхлестнула мое желание «закрыть гештальт» с этой темой и подсобрать 🫴 воедино все разрозненные заметки и мысли, которые у меня были написаны ✍️ на протяжении последних лет 20 с лишним. Но тему я так и не закрыл и, как мне кажется, даже выпустил джина из бутылки, так как там дофига чего еще всплывает, если начать копать глубже... 🪙

Пост Лукацкого

12 марта 2024 16:05

"Интернет был построен, чтобы объединять, а не защищать" (с) CISO Microsoft

Смелое заявление от компании, которая регулярно попадает на передовицы из-за очередного взлома своих сервисов или ее клиентов, использующих продукты Microsoft.

Пост Лукацкого

12 марта 2024 09:05

Вчера все репостили эту прекрасную картинку, которая была сделана на сайте Муниципального бюджетного общеобразовательного учреждения "Кольцовская школа №5 с углубленным изучением английского языка" (спасибо за ссылку подписчику) 🤡

На самом деле и в названии памятки и в названии файла закралась ошибка и речь в них идет об излечении ребенка от киберзависимости и обеспечении его личной информационной безопасности. И ничего более ☺️

ЗЫ. Но картинка стала вирусной - мне ее раз 10 переслали из разных чатиков. Напомнило вот эту карикатуру, которую я на днях делал.

Пост Лукацкого

12 марта 2024 05:40

Небольшое, семиминутное видео про то, ради чего работает (должен работать) безопасник. Писалось для проекта AM Talk!

Пост Лукацкого

11 марта 2024 16:01

Вот это пароль… 😲 Я со счета сбился, когда считал нажатия. При такой длине, можно и пренебречь отсутствием букв 😮 И как он его запоминает-то?..

Пост Лукацкого

11 марта 2024 09:06

В 1988-м году Роберт Тапан Моррис в целях эксперимента создал одного из первых массовых червей 🪱, активность которого привела к заражению 10% Интернета того времени (сейчас сложно себе представить, что что-то может заразить 10% современной Сети из десятков миллиардов устройств). Спустя 35 лет три исследователя из израильского Университета Технион, компании Intuit и Университета Корнуэлла разработали червя, которого скромно назвали Моррис II 🐛

Данное творение рук человеческих можно отнести к вредоносным самораспространяющимся программам, атакующим системы генеративного искусственного интеллекта 🧠 Этот червь нацелен на ИИ-приложения. Выложенный на GitHub код (да, они его выложили в паблик) демонстрирует атаки на ИИ-помощников, работающих по e-mail в двух сценариях (спам и кража персданных), в двух режимах ("белый" и "черный ящик"), используя два вида входных данных (текст и изображения) против трех ИИ-моделей (ChatGPT 4.0, Gemini Pro и LLaVA) 😧

В своей работе "исследователи" продемонстрировали, как злоумышленник может вставить специально подготовленную подсказку для генеративных ИИ таким образом, чтобы ИИ реплицировал подсказку без участия человека и вставил в выходные данные нечто опасное (от персданных до вредоносного кода), как это происходит в атаках SQL Injection или переполнение буфера ❗️ При этом ИИ может отправить соответствующую подсказку другим ИИ-агентам, которые также будут генерить свои подсказки, тем самым червь начнет распространяться самостоятельно, без участия человека 🔄

Цель исследования, по словам его авторов, - продемонстрировать создание ИИ-червя, чтобы предотвратить тем самым его создание (логика явно не сильная сторона авторов Morris II). Ну а чтобы доказать свое намерение три исследователя, не получив ответа от Google и OpenAI, решили предоставить доступ к исходникам всем желающим 🤦‍♂️

Пост Лукацкого

10 марта 2024 19:21

Процесс приема на работу ИБ-джуна без указания вилок зарплаты ☹️

Если бы в конце эту «вилку» не показали, то довольны были бы все - и джун, радующийся монетке, и HR, сэкономивший деньги 🫰 А так джун может уйти с чувством, что его обманули. А с другой стороны это урок!

Пост Лукацкого

10 марта 2024 11:44

Центр MITRE Engenuity обновил базу знаний 🤒 по внутренним угрозам, выпустив версию 2.0. Цель этого проекта - создать аналог матрицы MITRE ATT&CK с техниками и тактиками, но применительно только к внутренним нарушителям 🤒, которые используют далеко не все TTP из ATT&CK в своей деятельности. Основой для проекта служат данные, которые компании сами загружают в него, что создает определенные сложности с полным охватом всех возможных действий со стороны внутреннего врага (авторы это признают и особо отмечают в разделе "ограничения проекта") 🤐

В v2 таких TTP только 22% (против 16% в v1), что связано и с меньшим числом целей инсайдеров (в Insider Threat TTP Knowledge Base v2.0.0 фокус пока только на утечках данных и мошенничестве), и с меньшим числом технических ухищрений, которые нужно проводить "крысам" для достижения своих задач 🐀 Например, повышение привилегий используется достаточно редко, - проще создать новую учетку или получить несанкционированный доступ к чужой учетной записи, а также провести манипуляции с данными и собирать их из различных источников, баз данных, репозиториев и т.п. 👨‍💻

В новой версии базы знаний также обновлены разделы "Меры защиты" и "Источники данных", которые позволяют выстроить систему обнаружения и реагирования на выявляемые TTP 🛡

Пост Лукацкого

09 марта 2024 19:26

Прекрасное... Песня CISO, принявшего все риски ИБ и не парившегося об этом 😦 а также о том, почему никто не любит ИБ-рисковиков и ИБ-аудиторов 😂

Пост Лукацкого

15 марта 2024 08:59

Сама по себе история не так чтобы и интересна и уникальна - 9 грабителей в американской Миннесоте подозреваются в том, что выводили из строя беспроводные камеры видеонаблюдения 👀 за счет подавителей сигнала Wi-Fi (джаммеров), после чего обкрадывали дома своих жертв. Но автор вынес в заголовок очень мудрую мысль - технологии становятся дешевле и проще для приобретения 💯

Этот вывод можно распространить не только на подавителей сигнала (и не только Wi-Fi, но и GPS/ГЛОНАСС), но и на многие другие направления, которые раньше казались недосягаемыми - спутники, банкоматы, беспилотный транспорт и т.п. Их можно без труда приобрести на Интернет-аукционах и маркетплейсах и потом использовать (не) по назначению. А значит то, что еще раньше казалось невозможным или очень дорогостоящим и потому считалось неактуальным, сегодня или уже завтра может стать вполне себе реальной проблемой 🔜 Так что стоит регулярно пересматривать свою модель угроз на предмет реалистичности сделанных оценок относительно возможностей нарушителя!! 👨‍💻

Пост Лукацкого

14 марта 2024 19:22

Совершенствуется CAPTCHA... Все для защиты от пронырливых роботов 🤖 Скоро для решения таких задачек понадобятся свои программы и сервисы, для доступа к которым нужны будут тоже свои CAPTCHA... 🤖

Пост Лукацкого

14 марта 2024 14:29

Для апологетов американской системы летоисчисления, когда дата начинается с месяца, а не дня, напоминаю, что сегодня празднуется «день Пи» с чем вас и поздравляю! ✨

Пост Лукацкого

14 марта 2024 09:08

🆕 BlackCat/ALPHV ушли в туман, LockBit потерял свою инфраструктуру, но есть жизнь вымогательская и после них. В феврале было зафиксировано 32 новых семейства шифровальщиков 🤒, нападающих на организации (даже LockBit 4.0, о котором я писал в списке уже есть). Там где есть деньги, всегда кто-то будет крутиться 🤑

Пост Лукацкого

13 марта 2024 16:06

В новом отчете Recorded Future интересен не только список потенциальных жертв из совершенно разных стран, по части из которых задаешься вопросом "а нахрена этих-то атаковать?" (Ангола, Ботсвана, Монголия, Тринидад и Тобаго и т.д.) 🏝 И не то, что целевыми устройствами для обнаруженного ВПО является смартфоны. И даже не способами атак на них через уязвимости в Whatsapp и iMessage 📱

Отчет показывает, что обнаруживать такие кампании можно и не имея средств защиты на оконечных мобильных устройствах 📞 Компенсировать их отсутствие можно за счет анализа сетевого трафика, который по любому будет, если ВПО захочет коммуницировать с C2-инфраструктурой. И анализировать его можно за счет применения решений класса NTA/NDR 💡 или DNS Firewall/NGFW/SASE, то есть того инструментария, который есть в нашем распоряжении. Главное 🤔, не забывать их правильным образом настраивать.

Пост Лукацкого

13 марта 2024 09:02

Если вдруг у вас случится казус с непатченными Fortinet'ами, в которых нашли зеродей, 🤬 то у вас есть возможность протестировать новый сайт ГосСОПКИ и через него сообщить об инциденте 📞 Ну и вообще поглядывайте за ним наряду с safe-surf.ru

Пост Лукацкого

12 марта 2024 19:27

Что объединяет основного антагониста главного героя романа "Гарри Поттер" 😈 и средства, используемые для обхода блокировок, введенных Роскомнадзором? То, что их нельзя называть! 🤐 Одного - на протяжении всех романов Джоан Роулинг, второе - с 1-го марта 2024 года. В связи с этим предлагаю ввести в оборот новую аббревиатуру - ССКНП, то есть "средства и сервисы, которые нельзя пропагандировать" (сокращенно, "ссука"; не путать с СуКИИ)!

Пост Лукацкого

12 марта 2024 12:31

Интересный кейс тут услышал. Банк 🏦 решил бороться с мошенничеством при переводе денежных средств, а поскольку денег особо не было (банк не из первой сотни даже), то кредитная организация стала внедрять самописный и достаточно простой в реализации антифрод 💰:
➖контроль IP-адресов и блокировка по геолокации, что отсекало всех "иностранцев", включая и клиентов банков, работающих из-за рубежа ⛔️
➖ контроль "черных" и "белых" списков счетов, в том числе опираясь на межбанковский обмен с коллегами и фиды от Банка России
➖ установление и контроль пороговых значений сумм платежей 🌡
➖ контроль определенных параметров платежных поручений (назначение платежа, сумма, ИНН, КПП и т.п.)
➖ контроль и блокирование новых, ранее не встречавшихся у клиентов получателей денежных средств 🆕

То есть служба ИБ банка отработала "на ура", но вот бизнес такого рвения не оценил, потому что:
➖ число жалоб клиентов возросло многократно 📈
➖ нагрузка на call center банка и его сотрудников возросла многократно
➖ в Интернете вырос негативный фон относительно финансового организации 🤠
➖ у банка снизилось число проданных банковских продуктов.
Зато уровень мошенничества снизился почти до нуля. Только вот кому это оказалось нужно? Не о таком результате думал бизнес, когда ставил задачи безопасникам.

Аналогичная ситуация происходит и в управлении инцидентами, управлении уязвимостями и многих других процессах ИБ, где целью ставится доведения ключевого показателя деятельности до нуля (ноль дыр, ноль угроз, ноль утечек, ноль еще чего-нибудь). На достижение этого "результата" уходят избыточные ресурсы, но бизнес от этого только страдает! Поэтому выбирая результат работы ИБ, к которому служба стремится, нужно искать баланс (точного ответа, какой он, - не существует)! 🟰

Пост Лукацкого

12 марта 2024 07:24

⚠️ Зеродей CVE-2024-21762 в устройствах Fortinet, которому подвержено около 150 тысяч торчащих в Интернет железок, начинает эксплуатироваться по миру. Я не знаю зачем это пишу 🆘, ведь вы же не используете NGFW покинувшей страну компании с отозванным сертификатом и непонятно откуда получаемыми обновлениями?.. Или как? 🤬

Пост Лукацкого

11 марта 2024 19:15

Проводя киберучения (не штабные), лучший результат достигается тогда, когда участники используют привычный им инструментарий 🛠, а не навязанный организаторами (а с их точки зрения лучше как раз наоборот). С другой стороны лучше так, чем вообще никаких киберучений.

ЗЫ. У чувака на видео, кстати, то ли большой опыт кидания шлепок, то ли шлепки с правильной аэродинамикой. Я попробовал покидать свои и они так четко не летят в цель, как у араба 🤕 Сразу вспоминаются старые китайские фильмы про боевые искусства, где в качестве оружия использовалось все, что под руку попадется - от расчесок до палочек для еды 🥢

Пост Лукацкого

11 марта 2024 12:38

За последний месяц на рынок (не российский) было выброшено 3 LLM API Gateway/Firewall ⛔️ А как вы защищаете обращения к внешним LLM (неважно, зарубежным или российским)? 😦

Пост Лукацкого

11 марта 2024 05:40

Порассуждал про то, почему формула "риск = вероятность * ущерб" ущербна по своей сути, так как она не учитывает теорию перспектив, которая, в отличие от матожидания формулы риска, объясняет иррациональность поведения человека при принятии решений в области рисков ИБ в том числе (правда, не дает их считать) 0️⃣

Пост Лукацкого

10 марта 2024 16:03

В начале февраля американское CISA выдало рекомендации об отключении уязвимых средств защиты Ivanti от инфраструктуры госорганов США. А сейчас становится понятно, почему была дана такая рекомендация. Решения Ivanti использовались в самой CISA и через имеющиеся уязвимости американское агентство по кибербезу успешно взломали 🔓 По словам CISA действия хакеров затронули 2 системы и не имели операционного эффекта (а что насчет стратегического?). Представитель CISA не стал отвечать на вопрос, кто стоял за атакой, к каким данным был получен доступ, были ли данные украдены и т.п.

Согласно источникам, две затронутые системы, - это Infrastructure Protection Gateway, который содержит информацию о взаимодействии критических инфраструктур США, и Chemical Security Assessment Tool (CSAT), в которой размещаются планы безопасности частных химических 👩🏼‍🔬 предприятий, включая данные об оценке их защищенности.

Пост Лукацкого

10 марта 2024 07:40

АНБ выпустило набор из 10 документов под общим названием "10 стратегий по защите облаков"; 6 из них совместно с CISA:
1️⃣ Модель разделения ответственности в облаках
2️⃣ Практики управления доступом и идентификацией в облаках
3️⃣ Защищенное управление ключами в облаках
4️⃣ Реализация шифрования и сетевой сегментации в облачных средах
5️⃣ Защита данных в облаках
6️⃣ Безопасность конвейера CI/CD в облаках
7️⃣ Практика автоматизированного деплоймента в облаках с помощью Infrastructure-as-a-Code
8️⃣ Сложность использования гибридных и мульти-облачных окружений
9️⃣ Управление рисками взаимодействия с MSP в облачном окружении
1️⃣0️⃣ Управление облачными логами для эффективного поиска угроз (threat hunting)

Пост Лукацкого

09 марта 2024 16:01

Подписчик прислал ссылку (спасибо ему), которую я тоже хотел прокомомментировать. История напоминает разработанный учеными из университета Джорджии прототип вредоносного ПО для промышленных контроллеров, который опаснее чем Stuxnet. Вот и тут некий Луис Венус с "синдромом Оппенгеймера" решил, что надо попробовать создать дрона, который будет летать 🛸 за конкретной "жертвой". Потратив всего несколько часов чувак вместе со своим товарищем инженером, внедрил в дрона две модели - распознающую по лицу конкретного человека (на расстоянии до 10 метров) и позволяющую летать за ним на максимальной скорости 🤕

Этот не очень умный изобретатель, фанат open source, который всегда выкладывает свои творения в паблик, сразу же предложил сценарий использования своего детища - снабжать дрона взрывчаткой и тогда можно адресно убивать "нужных" людей 💥 При этом этот Луис прокомментировал свое изобретение словами, что сейчас с этим невозможно бороться. Ну и вот и зачем он это сделал?

А ведь вместо взрывчатки на дрон можно повесить камеру слежения, устройство для прослушки и много каких еще устройств, вторгающихся в персональную кибербезопасность. Для слежки за бизнесом дроны уже используются (вот история про Хуавей 👲), теперь и за отдельными физлицами будут. Задергивайте шторы!