Пост Лукацкого

30 сентября 2024 17:01

Проект Russian APT Tool Matrix содержит список инструментов, которые используются якобы российскими APT-группировками 🎃 Разработан на базе проект Ransomware Tool Matrix, который содержит список инструментов, используемых различными шифровальщиками (кража данных, обход средств защиты, кража учетных записей, поиск жертв, сетевые коммуникации и т.п.) ☁️

ЗЫ. Второй проект интереснее первого.

Пост Лукацкого

30 сентября 2024 13:33

Как говорилось в известном фильме: "Ты определись, ты Игорь Иванович или ты анонимный!.." 🤔 Либо ты настаиваешь и доказываешь, что информация не твоя (но тогда зачем признавать инцидент), либо посыпаешь голову пеплом и устраняешь причины, приведшие к инциденту 🔓

Но вообще объяснение компании, конечно, занятное и лишний раз демонстрирует отличия результативной ИБ от бумажной ✔️ Ну кого волнует, сколько бумажных требований ты выполнил, если у тебя произошел инцидент и хакеры нарушили целостность системы? Тем более, что НКЦКИ про атаки на подрядчиков говорит уже третий год. А уж пассаж "инцидент произошел в выходной день" стоит отдельного занесения в анналы... ✍️

Пост Лукацкого

30 сентября 2024 06:40

И хотя взрывчатку 💥 в ливанских пейджерах у членов Хезболлы вряд ли можно отнести к инцидентам ИБ (чтобы и как бы там не наш МИД), но сам кейс интересен тем, что он меняет модус операнди в мире не только безопасности, но и кибербезопасности в том числе 🛡

Пост Лукацкого

29 сентября 2024 20:31

В Подмосковье объявлен конкурс на «Лучший анонимный телеграм-канал». 

Организаторы конкурса за возможность выиграть приз до 500 тысяч рублей предлагают оставить все свои личные данные — вплоть до серии паспорта и домашнего адреса, а также указать, автором какого из анонимных тг-каналов является участник и подписать согласие на обработку персональных данных.

Количество желающих принять участие в конкурсе на лучший анонимный канал не известно, но сроки подачи заявок кончаются 30 сентября (так что если кому нужно, еще можно успеть).

Вот она - анонимность по Подмосковному 🤪

🚀 Котельники 24
Прислать новость 🐈‍⬛

Пост Лукацкого

29 сентября 2024 12:37

После заявления Дурова, что Telegram 📱 начнет передавать правоохранительным органам контакты владельцев каналов с запрещенным и вредоносным контентом, начался предсказуемый исход из Телеги (я про него недавно в Абу-Даби рассказывал) 🎩

На первой картинке только один из примеров, где хакерская группировка заявила о своем уходе в Даркнет 🥷 А есть те, кто ничего не публикует и ни о чем не предупреждает. На втором скриншоте представитель группировки RCH-SEC, которая еще недавно активно атаковала французские ресурсы за арест Дурова, заявил, что уходит из Black Hat 🎩 из-за изменений в политике Telegram.

ЗЫ. Отслеживать группировки станет гораздо сложнее...

ЗЗЫ. Имеют ли изменения в политике мессенджера и решение о передаче данных правоохранительным органам обратную силу? Будут ли сданы IP всех, кто регистрировал каналы и учетные записи, занимающиеся плохими делами?.. 🤔

Пост Лукацкого

28 сентября 2024 20:25

Meta (запрещена в России) оштрафовали на 91 миллион евро за хранение паролей сотен миллионов пользователей в незащищенном виде. Dr.Web сбросил пароли всем своим пользователям (ничего не произошло, говорите…). SpecOps выпустил отчет об украденных с помощью ВПО 2,1 миллионах паролей к VPN-сервисам и шлюзам. И только Eminem показывает как надо - он рекомендует выбирать всем пароли как у него ☝️

Пост Лукацкого

28 сентября 2024 12:37

В посольствах и консульствах есть определенные регламенты и инструкции на случай захвата 🎖 их врагами, например, уничтожение или сжигание всех важных и секретных документов, уничтожение ключей шифрования и самой шифртехники в определенных случаях 🤯 И вот один из подписчиков подкинул мысль, что на фоне происходящего в Курской области, когда захватываются те или иные населенные пункты со всей ИТ-инфраструктурой, модели угроз специалистов по ИБ такую возможность физического захвата зданий, в которых располагаются защищаемые системы обычно не предусматривают 🤔

Все строится на предположении, что здание всегда защищено и является контролируемой зоной ⚔️ Но различные военные операции и террористические акты в разных регионах показывают, что это не так. И при этом информационные системы связаны общими сетями, пароли хранятся в конвертах 🦺 или в файликах на дисках захваченных компьютеров, VPN-шлюзы позволяют удаленное подключение и т.д. То есть захват одного здания может скомпрометировать всю инфраструктуру и в других зданиях и регионах тоже. А вы предусмотрели это в своей модели угроз? 🫡

Пост Лукацкого

27 сентября 2024 20:29

Красивое, но бессмысленное и имеющее такое же отношение к Cybersecurity 101, как слово из трех букв к изучению всего русского языка. Кибербез гораздо многограннее 🤠

Пост Лукацкого

27 сентября 2024 13:37

Хакерская группа NullBulge заявила, что похитила 1,1 ТБ данных из внутренних Slack-каналов компании Disney 🧜‍♀️, после чего компания приняла решение отказаться от использования Slack и искать альтернативные платформы для внутренних коммуникаций (как будто они лучше?) 🕊 Утечка включала в себя сообщения сотрудников, финансовую информацию и код различных разработок. NullBulge мотивировала свои действия протестом 👎 против использования Disney технологий искусственного интеллекта для создания контента (ну хорошо хоть не против роста выбросов CO2 из-за интенсивной обработки графики).

Но это не так интересно (постоянно всех ломают и крадут данные, прикрываясь красивыми лозунгами). А вот то, как произошел взлом, заставляет задуматься 🤔 Расследование показало, что злоумышленники скомпрометировали ноутбук разработчика Disney через установку видеоигры с бэкдором 👨‍💻 Комментаторы на форумах спрашивают: «Почему сотрудник мог войти в систему с личного и неуправляемого компанией устройства? Почему в Slack не было входа по MFA?» 🔠 Да, пофигу если честно. MFA не защищает от заражения, а если оно произошло, то не важно, сколько у вас факторов аутентификации. Все, хакеры имеют полный доступ над компьютером 🍑 Был бы там VPN-клиент - хакер бы или вредонос "пошли" бы по туннелю, как легитимное приложение. Как только вредоносное ПО попало на оконечное устройство, оно дало полный доступ ко всем данным, и даже MFA не может ничем помочь. И переход с Slack на любую другую систему, хоть VK Team или Mattermost не поможет 👎

А вот если бы там стоял EDR, то хакер бы ничего не мог сделать... Так можно подумать, но... 👎 EDR там стоял, судя по всему. В кейсе с CrowdStrike (а они совпали примерно по времени с взломом Disney) звучало, что анимационная студия была клиентом CrowdStrike и использовала ее ПО Falcon, которое, судя по всему, не смогло задетектировать специально подготовленное под конкретную жертву вредоносное ПО 🫢 Я про такое аккурат на днях в Новосибирске на PTD рассказывал.

Отсюда у меня несколько наводящих вопросов возникает: 🤔
1️⃣ А как вы защищаете личные ноутбуки разработчиков?
2️⃣ А личные ноутбуки разработчиков находятся под мониторингом SOC?
3️⃣ А как отделяется сегмент разработки от общекорпоративного сегмента?
4️⃣ А приложения для групповой работы взяты под мониторинг?
5️⃣ А для личных устройств разработчиков включен мониторинг по объему загружаемого и выгружаемого трафика?

А у вас есть ответы на эти вопросы? Я на Positive SOCcon попробую ответить на некоторых из них.

Пост Лукацкого

27 сентября 2024 06:40

Недавно израильская хакерская группа под названием Red Evil (она же We Red Evils) 😈 взяла на себя ответственность за кибератаку на системы водоснабжения в Ливане, которые, по их утверждениям, используются боевиками Хезболлы. Взлом был направлен на SCADA-системы, управляющие 14 объектами, и целью было изменение уровня хлора в воде, что могло нанести ущерб людям, которые бы пили воды из отравленного источника питьевой воды 🚰 Однако, некоторые эксперты подвергают сомнению достоверность этих заявлений, ссылаясь на недостаток доказательств.

В другом своем сообщении "красные дьяволы" 🇮🇱 сообщают, что вывели из строя систему электроснабжения некоторых районов Бейрута - Дахайя, Сидон, Набатия, Захала и Бека, являющиеся опорными пунктами Хезболлы. Правда, в своих сообщениях они признают, что это оказалось не так разрушительно как предполагалось изначально и сбой продлился всего 2-4 часа. Правда, в условиях, когда многие жители Бейрута 🇱🇧 эвакуировались в Сирию или на север страны, ущерб оказался незначительным 💡

Одновременно с этим американской ИБ-агентство CISA вновь напомнило об угрозах для систем управления критической инфраструктурой, подчеркивая, что даже простые атаки могут быть эффективны против уязвимых объектов 💡 Эти предупреждения подчеркивают растущие риски для критической инфраструктуры, особенно в условиях, когда системы управления часто остаются недостаточно защищенными, а их владельцы не уделяют должного внимания вопросам ИБ (по разным причинам). Неслучайно у нас на днях приняли ПП-1281, которое меняет процедуру категорирования объектов КИИ, делая ее менее зависимой от самого субъекта и больше - от решения госорганов 🏭

Ну а АСУ ТП, которые обеспечивают управление критически важными объектами, такими как водоснабжение, канализация или энергосети 🔋, продолжают оставаться целью для хакеров, что было уже не раз продемонстрировано за прошедший год, когда число атак на АСУ ТП возросло многократно (например, позавчера упомянутый кейс в Арканзасе). Ну а кибератаки на КИИ в конфликте Израиля против Палестины, Ливана, Ирана, Йемена и других сочувствующих обеим сторонам государств только набирают обороты... 💥

Пост Лукацкого

26 сентября 2024 17:04

В недавнем судебном разбирательстве федеральный судья отклонил патентные претензии 🤜 компании BitSight против конкурента Black Kite, касающиеся технологий оценки киберрисков. BitSight утверждала, что Black Kite нарушила её патент, однако суд постановил, что патенты охватывают абстрактные идеи, такие как сбор и анализ данных, и поэтому не подлежат защите 👩🏼‍⚖️ Тем не менее, претензии BitSight относительно ложной рекламы остались в силе, и судебное разбирательство в этой части продолжится. Данное решение является важным для индустрии киберрисков, где патенты и инновации играют ключевую роль в конкурентной борьбе.

Это судебное решение подчеркивает, что в быстро развивающейся сфере кибербезопасности защита интеллектуальной собственности может стать сложной задачей, особенно когда речь идет о методах, которые можно рассматривать как общие для всей индустрии. Для BitSight это решение означает необходимость пересмотра своей патентной стратегии и продолжение юридической борьбы за защиту своих интересов. А Black Kite празднует победу ✌️

Для российского рынка 🇷🇺 такие баталии пока недоступны - у нас мало кто патентует свои технологии, так как игроков достаточно мало, чтобы всерьез конкурировать. Хотя обвинения в краже технологий бывают (я помню около пяти кейсов на эту тему). Так что пока сидим в своей песочнице и смотрим на игры взрослых дядей и тетей со стороны. До поры до времени... ⏳

ЗЫ. Но мысль американского судьи, что в оценке рисков нет ноу-хау и все лежит на поверхности, мне близка 😊

Пост Лукацкого

26 сентября 2024 10:01

Обложили со всех стороны... Уголовное наказание за публичное оскорбление представителя власти в интернете или СМИ может составить до двух лет лишения свободы 😡 Это следует из подготовленного проекта поправок к Уголовному кодексу РФ. Дожили. Про инциденты в ИБ- и ИТ-компаниях не пиши - они обижаются и жалуются на тебя начальству и запрещают выступать на их мероприятиях 😡 Про инциденты в крупных компаниях не пиши - они обижаются и топчут ножками 😭 Теперь еще и про чиновников, всякую чушь порящих и всякую херню принимающих (законопроекты, а не веселящие вещества), тоже писать будет нельзя под страхом уголовного наказания 👊 И куда деваться бедному блогеру?.. Уходить в подполье, развивать эзопов язык или прекращать творить?..

ЗЫ. Кто же этим чудакам всю правду теперь скажет-то?

Пост Лукацкого

25 сентября 2024 20:34

Что-то давно у нас не было недопустимых событий ☺️

Пост Лукацкого

25 сентября 2024 13:32

Назвать это "дорожной картой" у меня язык не повернется, но вот очередной картой компетенций инженера по ИБ, почему бы и нет... 🗺

Пост Лукацкого

25 сентября 2024 06:40

Две новости про злых хакеров, атакующих американскую демократию, а точнее про последствия от этих инцидентов. В первом случае речь идет о медицинской компании из Пенсильвании, которая в прошлом году уже столкнулась с BlackCat 🐈‍⬛, которая украла фотографии пациентов с раком груди и скриншоты с диагнозами и выложила их на своем сайте. Компания согласилась выплатить 65 миллионов долларов штрафа за ущерб, нанесенный 134 тысячам пациентов и работников 🤑 На этом фоне штраф AT&T в 13 миллионов долларов выглядит "смешно".

Как это часто происходит, компания Delta Medix Group 🏥 (часть сети Lehigh Valley Health Network) после инцидента сразу заявила, что никакого ущерба нет, а посему платить выкуп вымогателям она не будет. Ну вот и результат. Согласно предварительному судебному решению (обратите внимание ⚠️ - под кейс был создан отдельный сайт), Lehigh Valley Health Network согласилась выплатить $50 каждому, чьи медицинские записи были украдены, $1000 - чьи записи были выложены в Интернет, $7500 - чьи необнаженные фото были выложены в Даркнете и от 70000 до 80000 долларов США тем, чьи обнаженные фото были опубликованы в даркнете 🩻

Адвокаты, представляющие интересы истцов, получат 21,5 миллион долларов или треть от общей суммы. Считается, что это кейс может стать крупнейшим коллективным иском в истории США. При этом, многие юристы отмечают, что этот кейс может стать первой ласточкой в череде аналогичных историй и такие выплаты станут нормой в юридической практике США 👩🏼‍⚖️

На этом фоне взлом системы водоочистки Арканзаса выглядит достаточно смешно 🚰 Городская администрация пишет, что они столкнулись с инцидентом, никто не пострадал, система работает в штатном режиме, ну а то, что систему перевели в ручной режим работы, так это ничего не значит, все для безопасности граждан 😇 Главное, чтобы через полгода-год не выяснилось, что в реальности все было не так и не администрации не пришлось бы платить кругленькую сумму в качестве судебного урегулирования. Хотя в данном случае они могут быть гораздо меньше - все-таки никакой обнаженки в системе водоочистки быть не должно 🤔

Пост Лукацкого

30 сентября 2024 13:33

Инцидент произошёл в выходной

Министерство труда и социальной защиты России в августе получило административный штраф в размере 100 тысяч рублей за утечку персональных данных. Согласно постановлению, ведомство допустило утечку базы персданных сотрудников на 1400 строк.

Датой нарушения названо 27 ноября 2023 года. Речь, очевидно, идёт о кибератаке и последующем сливе внутренней информации Минтруда, организованных проукраинской группировкой Blackjack. 29 ноября она заявила в своём канале о краже и удалении 50 ТБ данных министерства, опубликовав в подтверждение скриншоты и архив с внутренними документами. Украинские СМИ сообщали тогда, что кибератака якобы была проведена Blackjack с помощью СБУ.

Blackjack — хактивистская группировка, выступающая публично с осени 2023. Согласно отчёту «Лаборатории Касперского», она использует только свободно распространяемое или опен-сорсное ПО и по инструментарию схожа с группировкой Twelve.

Постановление суда примечательно не только тем, что подтверждает прошлогоднюю атаку, но и относительно подробным описанием инцидента со слов представителей защиты. Минтруда было взломано через подрядчика, который имел легитимный доступ к его инфраструктуре. Злоумышленники, получив доступ к подрядчику, через VPN подключились к системам министерства и частично зашифровали серверы и рабочие станции.

Фрагмент с более детальным описанием прикрепляю в виде скриншота. На мой взгляд, он заслуживает изучения всеми, кто занимается обеспечением информационной безопасности организаций. Особенно в части оправданий (этой теме я посвятил несколько постов, а также выступление на PHDays).

Сразу обращает на себя внимание тезис о том, что «инцидент, в результате которого в отношении Министерства составлен протокол об административном правонарушении произошел в выходной день». С таким аргументом в постановлениях по административным делам я сталкиваюсь впервые, даже не знаю, сочувствовать или нет. Увы, у вас и злоумышленников может быть разный график работы.

Аргумент о том, что в организации «в полном объеме выполняется комплекс работ и организационно-технических мероприятий по обеспечению безопасности персональных данных» хорош до тех пор, пока ваши данные не оказываются в канале хакерской группировки.

Подрядчик действительно должен «обеспечивать соблюдение требований информационной безопасности при подключении к [инфраструктуре министерства], а также обеспечивать защиту своей инфраструктуры от возможности подключения к ней третьих лиц». Но имеет смысл проверить, а делает ли он всё это, а также быть готовым к худшему сценарию, особенно в условиях, когда число атак через подрядчиков растёт в разы.

Наконец, ещё отмечу такой момент: «не доказано, что обрабатываемая информация относилась к инфраструктуре [Минтруда], поскольку информационные системы Министерства не содержат той совокупности персональных данных , которые были размещены в Telegram-канале».

Действительно, согласно постановлению, судья принимал решение на основе протокола Роскомнадзора, двух уведомлений от Минтруда, скриншотов из телеграм-канала и др. материалов — но выездная проверка, в ходе которой специалисты Роскомнадзора сопоставляли бы данные из утечки с данными из информационных систем ведомства, похоже, не проводилась. В 2022 году Роскомнадзор регулярно проводил такие проверки, но их число сократилось, когда операторов персданных обязали направлять уведомления об инцидентах. После этого Роскомнадзор чаще всего ориентируется только на уведомления.

Тут и правда могут возникнуть проблемы: например, если организация уведомляет об утечке только на основании публикации в канале хакеров, а не собственного расследования, Роскомнадзор может составить протокол на основе этого уведомления и скриншотов, то есть не проверив, была ли утечка. Правда, в случае Минтруда, поскольку взлом действительно был, выездная проверка вряд ли была бы в его пользу.

В конце хочу сказать отдельное спасибо судье, не согласившегося с просьбой представителей министерства не публиковать судебный акт «в целях безопасности». Наоборот: это очень полезное чтиво в целях безопасности.

Пост Лукацкого

30 сентября 2024 10:01

Смотрю на очередной рейтинг лидеров мирового SIEMостроения без позитива 🏆 Все эти квадраты, волны, радары… теряют смысл, так как там или все лидеры или вот-вот станут ими. А если ты аутсайдер, то ты и не захочешь попадать в рейтинг, ссылаясь на то, что тебе не надо. И вот зачем тогда это все? 🤔

А самое главное, как этот рейтинг 🏆 отвечает на вопрос: "Подойдет ли мне SIEM из списка?" Почему критерии, которыми пользовалась IDC, должны совпадать с моими собственными? А насколько безопасен сам продукт? 🤔 Рейтинги, аналогичные IDCшному, обычно проверяют только функционал продукта или возможности самого производителя, но не его способность к реальной ИБ, так как это требует либо собственной команды пентестеров, либо привлечения внешних. Но это совсем другой уровень тестирования и оценки... 🪜

Я вот представил, что IDC говорит участникам своего обзора: «А теперь мы будем проверять вашу реальную ИБ с помощью пентеста!» 🤕 Как вы думаете, многие ли останутся на финишной прямой? Вот почему, например, не все российские разработчики WAF участвовали в независимом тестировании с участием пентестеров?

Пост Лукацкого

29 сентября 2024 21:42

Ээээ??? 🤔

Пост Лукацкого

29 сентября 2024 16:46

Неожиданно… Кто бы мог подумать, что Accenture - лидер по объему продаж в ИБ в мире 🤔, обойдя всех "чисто ИБ" игроков. Интересно, это на чистом консалтинге они столько зарабатывают или еще перепродажей ИБ-решений тоже занимаются?.. 🤔

Пост Лукацкого

29 сентября 2024 08:40

После моего выступления на Positive Tech Day меня спросили, почему я большинство примеров показывал применительно к Windows 🪟 и совсем не описывал кейсы с Linux, особенно с Астрой 😁 Я решил ответить не сам, а попросил в зале поднять руку тех, кто перешел на Astra Linux. Из трех сотен участников поднялось всего 3-4 руки 🤘, что можно считать ответом и на вопрос ко мне и вообще не вопрос об уровне импортозамещения в стране (я такие же вопросы часто задаю и в других городах - везде схожая история).

Поэтому тема безопасности Windows 📱 еще долго не перестанет быть актуальной для российских пользователей. Тем интереснее посмотреть на новый документ "Detecting and Mitigating Active Directory Compromises" от альянса "Пяти глаз", выпущенного на днях. В нем спецслужбы Австралии, Великобритании, Канады, Новой Зеландии и США, описывают 17 распространенных техник атак на Active Directory и способы их нейтрализации 🛡

На этом фоне не могу не напомнить. что на портале "Резбез" выложено 3 документа, посвященных безопасности Active Directory:
1️⃣ Рекомендации по защите службы каталогов Active Directory от типовых атак (на портале и в TG-канале)
2️⃣ Защита от основных типов атак в среде Active Directory (на портале и в TG-канале)
3️⃣ Встроенные средства защиты Active Directory (на портале и в карточках на TG-канале)

Пост Лукацкого

28 сентября 2024 16:47

На прошедшем Positive Tech Day в Новосибирске (все презентации уже выложены на сайте) довелось модерировать финальную дискуссию "Как донести до топ-менеджмента важность кибербезопасности" 🤔 И один из участников дискуссии, Молдалиев Тимур, начальник управления ИБ Нефтехимсервис, рассказал свой лайфхак.

Как капитан "красной" команды Codeby, которая уже несколько лет побеждает на соревнованиях Standoff 🤜, он просто демонстрирует руководству, как можно сломать ту или иную систему в своей компании. Эта наглядная демонстрация помогает легко объяснить собственнику, что произойдет, если не инвестировать в ИБ 🤑

Не все могут сделать тоже самое, но это хороший пример, который ускоряет процесс погружения в ИБ руководителей 🏊‍♂️ На внешние пентесты все-таки надо еще получить деньги 💰 (хотя на дискуссии звучало, что иногда тесты делаются бесплатно в качестве помощи заказчикам и в надежде на будущие инвестиции), а тут все под ругой - сам сломал, сам защитил. Деньги на сторону не уходят - экономия налицо 🤑 Еще один довод в пользу "растить своих пентестеров и прокачивать их навыки на киберполигонах".

Пост Лукацкого

28 сентября 2024 08:40

Все, что вы не знали о хакерах и защите от них 👀

Гость второго выпуска «Думай как» — Алексей Лукацкий, один из лучших специалистов по кибербезопасности с 30-летним стажем.

Почему в России такие сильные айтишники? Какими были первые хакеры? Как устроен мир черных и белых хакеров? Можно ли раз и навсегда избавиться от киберпреступности? Правда ли, что взломать чужой мозг будет так же просто, как смартфон? Как защититься от очередной кибератаки?

Ответы на эти и другие вопросы — в нашем интервью.

Посмотреть его можно и на других платформах:

📺 YouTube | 📺 Rutube | 📺 VK Видео


😮 Таймкоды:

00:44 — «Дедпул и Фиксики»: какие фильмы смотрит наш гость
01:34 — чем занимается Алексей Лукацкий
01:57 — в чем схож российский балет и отечественная IT-индустрия
04:03 — первые хакеры: какими они были
06:52 — почему Адама можно назвать первым хакером
07:47 — про запуск «Спутника-1» и зарождение интернета
10:22 — Роберт Моррис и его сетевой червь
12:50 — как появились киберпреступники и кто такие фрикеры
15:43 — чем отличается шпион от разведчика, а белый хакер от черного
17:15 — главные технологические открытия 90-х
19:11 — люди, которые внесли вклад в развитие отрасли кибербезопасности
23:00 — как развивается кибербезопасность в России
28:11 — ОПГ и APT: что общего у этих аббревиатур
34:18 — как действуют хакерские группировки и почему это пока только «ягодки»
39:02 — наши бабушки становятся хакерами
40:46 — когда нас ждет «Черное зеркало»
44:22 — почему деньги уже не единственный мотив для хакеров
48:05 — можно ли будет взломать мысли человека
50:08 — простые правила, которые помогут защититься от кибератак
52:31 — «Кому мы должны?»

@PositiveHackMedia

Пост Лукацкого

27 сентября 2024 17:02

NIST обновляет свое руководство по цифровой идентификации и аутентификации (NIST SP 800-63 Digital Identity Guidelines), в котором есть ооооочень интересные изменения 🤠 В частности, NIST вновь подтверждает, что хватит уже требовать от пользователей менять пароли через регулярные интервалы времени, так как это не имеет никакого смысла, так как пользователи все равно не сильно напрягаются при смене пароля и просто увеличивают на единицу цифру в конце пароля 😓

Поэтому пароли надо менять только в двух случаях - при компрометации и при запросе самого пользователя. Это требование было сформулировано еще в версии руководства 2020-го года, а теперь его расширили новыми интересными пунктами. В частности, при вводе пароля необходимо разрешать использование пробела, 👨‍💻 так как это естественно для пользователя, а для компьютера - это просто еще один символ. Нельзя навязывать смешение в пароле различных символов (разные регистры, цифры и буквы), а также сохранять парольные подсказки, доступные неаутентифицированным субъектам ☹️ И, тадам, нельзя пользователям использовать подсказки или секретные вопросы, базирующиеся на легко узнаваемом знании (имя вашего первого питомца, девичья фамилия матери и т.п.).

Дело за малым - выбросить старые рекомендации, которыми уже все засрали мозг, и начать жить в удобном и безопасном мире! ✊

Пост Лукацкого

27 сентября 2024 10:01

Моя презентации с Positive Tech Day в Новосибирске

Пост Лукацкого

26 сентября 2024 20:34

Вот были же времена... 10 лет назад менеджер паролей считался лже-наукой 🤥, как и системы анализа уязвимостей, защищенные среды исполнения и другие защитные решения 🤥

Пост Лукацкого

26 сентября 2024 13:33

🙂 Как построить безопасную разработку в любой компании?

Выпустили вам в помощь наш первый общедоступный фреймворк — AppSec Table Top, который можно скачать на нашем сайте.

📖 Внутри — набор принципов и подходов, которые помогут выстроить AppSec-процессы с учетом интересов бизнеса, требований регуляторов и потребностей команд. Эффективно и безболезненно.

🤔 Зачем нам это?

Индустрия безопасной разработки в России еще относительно молода, а западные подходы не всегда применимы в реалиях отечественного бизнеса. Поэтому мы создали собственную методологию. В ней учтена передовая экспертиза Positive Technologies в области application security, а также лучшие российские практики и зарубежные наработки.

«Описанные в методологии практики и пути их реализации помогают бизнесу выстроить процессы безопасной разработки так, чтобы уязвимостей было меньше, их обнаруживали раньше, а исправление стоило дешевле и было проще. Компания может выполнить любой из этапов как полностью своими силами, так и с нашей помощью, чтобы гарантированно и максимально безболезненно для команды получить хороший результат», — рассказал Евгений Иляхин, архитектор процессов безопасной разработки Positive Technologies.

Пост Лукацкого

26 сентября 2024 06:40

В сеть утекла запись разговора 📞 предположительно Владислава Бакальчука с «хакером», которого он нанял для взлома базы данных пользователей Wildberries 👨‍💻 Если верить записи телефонных переговоров человек, похожий на г-на Бакальчука, планировал отдать украденные данные на Украину и дестабилизировать работу крупнейшего маркетплейса страны 🛒

Как это должно было дестабилизировать работу маркетплейса лично мне не очень понятно, но вера во всемогущество хакеров, которые "могут все", даже поставить на колени самую богатую женщину страны, владеющую бизнесом в сотни миллиардов рублей, вызывает уважение 🫡 Стремление вернуть бизнес любыми средствами тоже 😈

Пост Лукацкого

25 сентября 2024 17:02

Так выглядела презентация OpenAI перед запуском новой модели GPT-4o! 🧠 Вспомните этот слайд, когда в следующий раз вы будете мучаться над дизайном собственной презентации для выступления на совете директоров, на инвестиционном комитете или просто перед генеральным директором 😈 и просить ресурсы на ИБ.

Важно не то, какого размера кегль и сколько цветов спектра вы используете, а то, что будет написано на слайдах. В данном примере, "в 2 раза быстрее и на 50% дешевле" не нуждаются в пояснениях - цифры говорят сами за себя 👉

А в деятельности ИБ есть такие цифры, которые бы говорили сами за себя и были понятны неИБшной аудитории? Предотвратили хищений на ярд? Сократили lead time на 25% и ускорили time to market на 14%? Снизили время простоя на 37%? 🤏 Хороший контент в приукрашивании не нуждается (хотя и пренебрегать правилами подготовки презентации тоже не стоит, конечно)! 🎨

Пост Лукацкого

25 сентября 2024 10:02

Я давно уже не пишу про различные слияния и поглощения на рынке ИБ 🤑 И про различные раунды инвестиций тоже. Все-таки в мире около 8000 тысяч компаний по ИБ и если писать про каждую, никакого блога не хватит. Но этот кейс я решил все-таки осветить, но немного в ином контексте. Речь о компании BlackCloak, основанной бывшим лидером по приватности (CPO) Королевского Банка Шотландии.

Они привлекли очередной раунд инвестиций для предоставления услуги моделирования угроз и защиты от дипфейков для топ-менеджеров компаний и советов директоров 🧐 По сути речь идет о сервисе киберконсьержей, о которых я уже писал, и в которых поверили инвесторы. Помимо упомянутых двух сервисов, BlackCloack также будет предлагать услугу реагирования на инциденты для высокопоставленных менеджеров 👨‍💻

Компания называет себя пионером в этой области, хотя это не совсем так. Но суть не в этом, а в том, что это достаточно новый и интересный сегмент рынка ИБ, который только развивается на Западе и совсем не развит у нас 😕 И это достаточно интересная карьерная возможность для развития CISO, которые чувствуют, что достигли своего потолка. Услуга эта не очень масштабируемая на мой взгляд, а значит всем найдется место под солнцем ☀️

Пост Лукацкого

24 сентября 2024 20:29

Ассоциация менеджеров России и ИД "Коммерсант" опубликовали рейтинг Топ-1000 менеджеров, уже 25-й по счету. Появилась там и категория директоров по кибербезопасности!!! 😕

К рейтингам относиться можно по-разному - любить их или ненавидеть, повесить медаль на грудь или убрать в дальний ящик стола и идти продолжать работать. В данном рейтинге интересно другое - сам факт выделения CISO, как отдельной номинации. Это в первый раз когда директоров по ИБ оценивают 🧐 публично (разные конкурсы CISO среди CISO я не беру в расчет). А это говорит о том, что эта роль становится все более значимой в жизни многих предприятий. Да, как видно, пока не во всех отраслях даже тройку CISO удалось найти, но даже этот список из 25 человек достаточно интересен.

Так что поздравим коллег и пожелаем им не зазнаваться. А тем, кто пока в этот список не попал, есть куда стремиться (если, конечно, есть такое желание) 🎆

ЗЫ. Некоторые участники этого Топ25 у меня лично вызвали вопросы, так как они ну никак не могут быть отнесены к CISO. Ну да ладно.

ЗЗЫ. От 🟥 в Топ-1000 попало 5 человек - в категориях "генеральный директор", "коммерческий директор", "PR-директор", "директор по связи с инвесторами" и "директор по кибербезопасности" 💪🥂

ЗЗЗЫ. Еще меня занимает вопрос - куда делся 4-й номер в списке CISO в ИТ-компаниях?.. 🤔