19 апреля AT&T зафиксировал инцидент 💻 и «немедленно активировал процесс реагирования на инциденты». Правда, утечка продолжалась еще 6 дней 🚰, до 25 апреля. У AT&T очень специфическое понимание термина "немедленно". Либо упомянутая облачная платформа (к слову, AT&T числится среди клиентов Snowflake ❄️) просто не делилась с AT&T данными или не смогла вовремя заблокировать факт утечки?

Много вопросов к этому инциденту, если внимательно смотреть на его временные параметры ⏳ Вообще, временные параметры любого публичного инцидента, перенесенные на таймлайн, всегда интересно изучать ⏱ Сразу много вопросов возникает, которые у авторов пресс-релизов обычно не всплывают в процессе подготовки публичных коммуникаций. И сразу становятся видными слабые места и то, что пытаются скрыть 🫥

Читать полностью…

Карьерный рост 😎 перестает быть интересным для аналитиков SOC. Деньги 🤑 хоть и влияют, но не так чтобы очень сильно. А вот интересная работа продолжает быть основным драйвером, заставляющим специалистов по ИБ оставаться у своего работодателя 👨‍💻

Именно поэтому их бывает сложно удержать и они уходят к интеграторам и в аутсорсинговые SOCи. Там обычно более разнообразные кейсы и инциденты, их больше, а значит каждый день есть что-то новое, что и заставляет каждое утро или вечер (зависит от смены) приходить на работу с интересом и удовольствием🚶‍♂️

ЗЫ. Это все тот же отчет SANS по SOCам

Читать полностью…

Думаю, понятно, что картинка выше непросто про EDR, которые на первом месте с точки зрения обнаружения хакерской активности в SOC. В принципе сама идея, что есть какой-то Топ5 сенсоров для мониторинга или "триада технологического стека SOC", - утопична 🤨

Ничего такого нет, так как сильно зависит от тех сценариев (use cases), которые необходимо отслеживать. Условно, если вы мониторите АСУ ТП 🔍, то у вас там EDR может и не входит в Топ5, а на первое место выйдут какие-нибудь МСЭ (даже не NGFW), средства авторизации доступа админов (PAM), средства мониторинга сетевой активности и только потом, что-то, что можно поставить на HMI, SCADA-сервера и т.п. 🏭

В корпоративной среде, да, EDR сейчас становится самым популярным источником данных для обнаружения вредоносной активности на хостах, с которых часто и начинается активное развитие атаки внутри инфраструктуры 🔓 Но вот если у вас строится SOC/ЦПК и вы не знаете, какие сенсоры вам вообще будут нужны, то данная гистограмма может вам подсказать направление движения, а оно одно - начните с use cases.

Читать полностью…

Джет выкатил описание критической ‼️ RCE-уязвимости в Битриксе (CVSS 9.5), которая позволяет скомпрометировать сайт, работающий на этой CMS 🌐 Интересно, что в базе NVD у этой уязвимости был идентификатор CVE-2022-29268, который помечен как «отклоненный» (в прочих базах, включая и БДУ ФСТЭК, идентификаторы также не были присвоены). Судя по описанию, патча нет, есть только компенсационные меры, снижающие вероятность использования дыры 😷

⚠️ Получается, что 2 года назад (уязвимая версия Битрикса появилась в декабре 2021 года) уязвимость отклонили, но ее можно эксплуатировать до сих пор (хотя и при достаточно специфических условиях). По утверждению Джет производитель не считает это уязвимостью 😠

Именно эта уязвимость была использована при взломе сайта Jet CSIRT, как видно из результатов опубликованного расследования. Там все четко - таймлайн, индикаторы, рекомендации... У меня только один вопрос возник по результатам прочтения материалов расследования. Получается, что первый веб-шелл был размещен на сайте Jet еще в 2023-м году 😲 Второй, более функциональный веб-шелл, был размещен на сайте спустя полгода и уже через него был проведен дефейс сайта. Правда, коллеги сами признаются, что недооценили репутационный ущерб от взлома сайта-визитки и поэтому его мониторингом занимались по остаточному принципу. Видимо, поэтому и не замечали полгода ⏳ внедренный веб-шелл.

ЗЫ. Jet CSIRT перестал почему-то 🤔 публиковать свои дайджесты (последний датирован 1-м апреля).

Читать полностью…

А я врываюсь в новую неделю с очередной заметкой про CISO, а точнее про модель оценки зрелости руководителя по ИБ глазами агентства по подбору топ-менеджеров 🧐, которые с помощью разработанной ими модели CALM (The CISO Assessment Level Maturity) оценивают как действующих CISO (соответствуют ли они компании, в которой работают), так и тех, кого ищут топ-менеджеры для себя 🤔

Читать полностью…

Помните историю с фейковой точкой доступа 👴 в аэропорту Шереметьево? Теперь вот подписчик пишет (за что ему спасибо), что на поездах РЖД 🚂 с этим столкнулся. И это прям интересная история, так как это требует немного иного доступа для злоумышленников. То есть либо проводники в доле, либо монтёры в депо, либо мошенник постоянно ездит на поезде и может снимать полученные данные 🖥 Ну или это ситуативная история, когда повезло задетектить левую точку во время целевой атаки на конкретного пассажира только на одном поезде…

Читать полностью…

Мнимые труженики – проблема, с которой регулярно сталкиваются компании разного размера.

И в большинстве случаев руководители компаний понимают, как важно контролировать эффективность сотрудников. Однако бывает и так, что «аппетит приходит во время еды» и с контролем перегибают. Читая новости про очередное новшество «для блага сотрудников» из корпоративного мира, задаешься вопросом: где та граница, за которой адекватный контроль превращается в не пойми что?

🔗 Собрал несколько технологий на грани фола для контроля за сотрудниками, которые используют работодатели.

🔲 Листайте карточки, чтобы никогда не делать также. Пишите в комментариях примеры, когда желание контролировать работника переходило разумные, на ваш взгляд, границы.

#байки_безопасника
#Алексей_Дрозд

🏠 Подписаться на Кибердом & Бизнес

Читать полностью…

CAASM туда же…

Читать полностью…

Интересно, что несмотря на похолодание 🥶 отношений между Россией и Европой, последняя продолжает следить за происходящем и в нашем регуляторном поле. Вот недавно стокгольмский институт исследования проблем мира 🕊 выпустил исследование, сравнивающее подходы к снижению киберрисков в ЕС, США, Китае и России; с обзором нормативки и вот этого всего... ✌️

Читать полностью…

Мда… Но хорошо хоть не шифрокриптование… 🤦‍♂️ Про «просто» сертифицировать российские СКЗИ в зарубежных центрах сертификации, вообще агонь 🤦‍♂️

Читать полностью…

Oxford Economics по заказу Splunk провел исследование и выпустил отчет "Скрытая цена простоя", в котором попробовал оценить стоимость простоя с разных точек зрения - прямые потери, штрафы от регуляторов, штрафы за нарушение SLA, потери производительности и т.п. 🤑

Одна минута простоя ⏳ по оценкам обходится от 9 тысяч долларов, или 540 тысяч долларов в час. Понятно, что применять эти суммы к российским реалиям некорректно, но вот посмотреть на статьи затрат очень даже полезно.

Кроме того, в отчете описаны временные параметры восстановления после простоев ⏱, примеры влияния на различные бизнес-единицы предприятия (например, маркетинг) и т.п. В целом полезное чтиво с точки зрения бизнеса и оценки влияния на него инцидентов ИБ (56% всех простоев происходит именно по причине кибербеза и только 44% - по причине сбоев в приложениях и инфраструктуре) 🤕

Читать полностью…

Продолжая вчерашнюю тему, немного написал про страхование ответственности CISO за его действия или бездействия. Интересно, что страховые продукты (D&O и E&O) предлагаются и в России.

Читать полностью…

В Европе прошли демократические выборы, в США такие еще только грядут, а мне занятная статья попалась на глаза 👀 Текст начинается с воспоминаний автора о запуске космического шаттла “Челленджер” в его детстве 🚀 Запуск, который ожидали с нетерпением, привел к трагедии через 73 секунды после старта. Это событие стало символом катастрофических последствий группового мышления и проблем с культурой принятия решений внутри NASA 🤦‍♂️ Автор приводит пример с “Челленджером” как аналогию, подчеркивая важность создания меритократии (системы, где продвижение и принятие решений основано на заслугах) в области кибербеза.

Причина катастрофы была связана с отказом уплотнительных колец в твердотопливных ускорителях. NASA и производитель ускорителей Morton Thiokol знали о дефекте с 1977 года, но не предприняли никаких мер по его устранению 🤐 Менеджеры NASA игнорировали предупреждения нижестоящих инженеров о запуске при низких температурах и не сообщали о технических проблемах своим начальникам. Это привело к катастрофе, в которой погибли семь человек ⚰️

Автор считает, что безопасность должна строиться по принципу меритократии, то есть "власти достойных". Он предлагает пять способов, которые помогут создать такую культуру в командах по ИБ:
1️⃣ Оценка по действиям. Оценивать людей надо по их действиям, а не по словам ("звиздить, не мешки ворочать"). Идеи и решения должны быть проверены на практике, а не только выглядеть хорошо на бумаге 🫢
2️⃣ Исключение политики. Политика разъединяет людей. В обсуждениях по безопасности политика не должна упоминаться. Важно сосредоточиться на стратегических, оперативных и тактических вопросах, а не поптыках удовлетворить хотелки очередного начальника или его любовницы 😍
3️⃣ Избегание группового мышления. Групповое мышление приводит к предвзятым и неверным решениям, за последствия которых еще никто и не отвечает. Решения должны основываться на данных, логике и разуме 🧠
4️⃣ Игнорирование “блестящих” объектов. Новые идеи должны оцениваться по их реальной ценности, а не по тому, насколько они популярны или личного того, кто их продвигает. Необходимо объективное тестирование идей перед внедрением.
5️⃣ Поощрение правильной культуры. Сотрудники должны чувствовать себя комфортно, предлагая новые идеи и подходы. Критика и насмешки должны отсутствовать, чтобы не упустить ценные предложения 🏖

Культура влияет на эффективность и успех любой организации, включая команды по кибербезу. Создание внутри служб ИБ (да и в системе госуправления ИБ) меритократии помогает избежать группового мышления и предвзятости, помогая достигать лучших результатов и улучшая общее состояние ИБ в компании, в отрасли, в стране. Когда люди чувствуют себя уверенно, выражая свои идеи и подходы, понимая, что их не поднимут на смех и не заткнут "выскочек", выигрывают все 🏆

Читать полностью…

Можно пытаться защищаться от атак, выстраивая систему обнаружения 🔍 и реагирования, стараясь сделать это быстрее, чем хакеры достигнут своих целей. А можно попробовать усложнить жизнь хакерам и их продвижение по инфраструктуре, начиная с закрытия открытых извне портов, отключения сервисов, сегментации сети и т.п. 🛡

Ровно тоже самое делают корабли, идущие через Красное море в Суэцкий канал 🚢 Их не страхуют, они не всегда могут защитить себя и поэтому они делают это подручными средствами, существенно усложняя жизнь пиратам, пытающимся проникнуть на корабль... 🏴‍☠️

Читать полностью…

Лень 🦥 - это не только двигатель прогресса, но и двигатель для хакерских находок. Зачем, например, в уличный гриль 🥩 встраивать Wi-Fi-контроллер? А чтобы удаленно контролировать его через смартфон, поднимать и понижать температуру, заливать свои прошивки, и т.п. Ну и, конечно же, нашлись те, кто решил проверить такой гриль от компании Traeger "на вшивость", то есть на уязвимость 🥷 Исследователи из BishopFox нашли пару дыр в контроллере, одна из которых имела достаточно высокий CVSS - 7.1.

У меня, конечно, есть парочка комментариев к этой истории:
1️⃣ Не покупайте устройства с Интернетом (IoT) только ради забавы. Вы наиграетесь в них и забудете, а хакеры нет и через них могут сделать всякое 👴
2️⃣ Если уж покупаете, то перед покупкой уточните, какие механизмы защиты используются в устройстве. У гриля вся авторизация была построена на 48-битном идентификаторе, который легко перехватывался во время связывания устройств (гриля и смартфона).
3️⃣ Как по мне, так CVSS 7.1 для массово неэксплуатируемой уязвимости в консьюмерском IoT, - это как-то слишком.

ЗЫ. Оставлять гриль без присмотра вообще не рекомендуется! 🔥 Как и турку на газовой плите ☕️

Читать полностью…

В VirusTotal добавили функцию анализа и объяснения загружаемого кода, скриптов и т.п. 🔬 Вы можете спросить, а как так, если в отчете SANS говорится, что интерес к ИИ в мониторинге ИБ поугас? А я вам отвечу. Все просто. ИИ в ИБ обычно применяется в двух вариантах - проактивный и реактивный. В первом случае, вы с помощью ИИ пытаетесь обнаруживать атаки. Во втором - ИИ помогает вам объяснить обнаруженное (ассистенты и ко-пилоты). Так вот SANS говорит про первое, а VirusTotal внедрил второе 🧠

Читать полностью…

Еще одна история про влияние ИБ на руководство компании. Федеральная торговая комиссия США наказала генерального директора 🧐 алкогольного маркетплейса Drizly Джеймса Кори Релласа за утечку данных 2,5 миллионов клиентов. Помимо требования удаления собранных персданных клиентов, не требуемых для оказания услуг 🥃, FTC потребовала от гендиректора Drizly построить систему ИБ на предприятии.

Но интересно другое требование. От Джеймса Релласа также потребовали, чтобы он обязательно реализовывал систему ИБ 🛡 во всех новых компаниях, в которые Реллас перешел бы или создал бы в будущем, или в которых он стал бы топ-менеджером, несущим ответственность за кибербезопасность 😮 Кого-то наказывает лишением права занимать руководящие позиции, а кого-то обязывают заниматься ИБ на всех будущих местах работы 💡

Читать полностью…

Список технологий ИБ (по популярности), которые используются в качестве источников событий ИБ в SOCах, согласно отчета SANS по SOC 🔍 Если не брать в расчет SIEM, как средство анализа, то в Топ5 защитных средств входят:
1️⃣ Сенсоры для защиты оконечных устройств (EPP и EDR)
2️⃣ VPN (учитывая постоянные продажи доступов к VPN Fortinet, Check Point, Cisco, это вполне понятно)
3️⃣ Средства для защиты e-mail (SWG/SEG)
4️⃣ Межсетевые экраны следующего поколения (NGFW)
5️⃣ Средства защиты от вредоносного кода (песочницы и пока еще чудом где-то оставшиеся антивирусы).

Читать полностью…

SANS провел ежегодный опрос по SOCам. Из интересного в нем:
1️⃣ Типичный размер SOCа - 2-10 человек.
2️⃣ Основные две проблемы - нехватка автоматизации и персонала
3️⃣ Основной источник событий для обнаружения - EDR/XDR
4️⃣ Типичная архитектура SOC - на основе облака
5️⃣ В отличие от прошлых лет, когда использовалось несколько SOCов, в этом году обычно используется один центральный SOC
6️⃣ С точки зрения технологий у владельцев SOC чувствуется снижение удовлетворенности от применения ИИ/ML
7️⃣ Большинство (80%) SOCов работает в режиме 24х7
8️⃣ В 76% SOCов персонал работает удаленно
9️⃣ TI чаще используется при расследовании инцидентов и поиске угроз (Threat Hunting)
1️⃣0️⃣ Число тех, кто измеряет свою эффективность, немного снизилось - с 76% в прошлом году до 67% в этом
1️⃣1️⃣ Основная метрика остается той же - число инцидентов,

ЗЫ. Опрос проводился во многих странах мира (в России нет), но все-таки 2/3 респондентов из США.

Читать полностью…

Пока Snowflake ❄️ обещает внедрить обязательную многофакторную аутентификацию и продолжает обвинять «тупых клиентов» в том, что это все они сами виноваты, прослушайте песню про Snowflake ❄️ "Happy Little Cyber Incident", созданную ИИ 🎶

Читать полностью…

Заходит в McDonalds "Вкусно и точка" 🍔 чувак, вскрывает аппарат, ставит устройства для удаленного доступа и несанкционированного доступа к информации и уходит. И хоть бы какая сволочь какой сотрудник спросил его "А ты, собственно, кто такой и чего в нутрях копаешься?" 🍔 К счастью чувака и подельников все-таки взяли, а видео среди прочего послужило доказательством противоправной деятельности 🇷🇺

Читать полностью…

Вы же в курсе, что 13 июля - международный день головоломок? 🤯 В любом случае, теперь в курсе. Ну а так как сегодня еще и выходной, то будет вам несколько квизов в канале 💡 чтобы и мозги потренировать и отдохнуть!

ЗЫ. К сожалению, более сложные варианты Телега не поддерживает 🤷‍♀️

Читать полностью…

Депутат Хинштейн пишет ✍️, что Youtube сам себе стреляет в ногу, блокируя каналы российских СМИ и политических деятелей. Поэтому он, депутат, а не Youtube, предлагает всей прогрессивной отечественной ИТ-индустрии самим уйти с Youtube 📱 в сторону VK и Rutube, а жалкой американской "копии" наших видеосервисов готовиться к возможным блокировкам в России.

Я свой видео-контент 📹 пытался как-то заливать на Rutube, который, по словам Хинштейна, никакой цензуры не вводил и гораздо лучше американских аналогов... Ну что могу сказать, в Госдуме видимо какой-то свой Rutube, быстрый, без цензуры, с оперативной заливкой контента (а не с ожиданием 2-3 дня на модерацию)... У меня не зашло 🤠

Ну а поскольку в деле стрельбы себе в ногу 🤦‍♂️ в области Интернет с нашими депутатами сравниться никто не может, то я не исключаю, что такое может произойти к очередным, осенним, выборам (в сентябре 2024 года). И кого волнует, что обучающим контентом на Youtube пользуется почти 100 млн граждан нашей страны. Поэтому, пока еще не заблокировали, посмотрите видео с PHD2, отсортированные по трекам 👀

Читать полностью…

Помните, на чем мы остановились?👀 🔑
Мы возобновляем рубрику #алфавит_исследователя!

Наверняка вы замечали, что при входе в зал «Криптография в цифровую эпоху» вас встречает проход в виде замочной скважины. А где же ключ? Какую роль он играет в криптографии? Что это вообще такое?

Рассказывает Егор Ефремов, научный сотрудник Музея криптографии.

Читать полностью…

В 2023-м году было зарегистрировано 28902 CVE. А только за первое полугодие 2024-го года в CVE внесено уже 2️⃣0️⃣9️⃣1️⃣0️⃣ записей. Это 115 CVE в день (только зарегистрированных). Ежегодный рост - 36.45%!!! 📈 Не буду в очередной раз писать о важности управления уязвимостями 🧐

Читать полностью…

Страховой брокер Хауден (Howden) выпустил отчет, в котором, среди прочего, отметил падение стоимости 📉 страхования киберрисков, что связано с улучшением уровня ИБ организаций; хотя число успешных атак шифровальшиков и растет. При этом рынок киберстрахования растет стремительно 📈 и если в этом году он составляет 15 миллиардов долларов, то к 2030-му году он вырастет до 43 миллиардов 🤑 Такой рост будет достигнут за счет активного выхода страховых продуктов за пределы США и обращение к ним малого и среднего бизнеса. Думаю, и толика российского рынка страхования в этом росте есть. По крайней мере интерес к этому методу снижения потерь от реализации недопустимых событий появляется и у нас в стране и понемногу растет.

Читать полностью…

Летом 2023 года Clorox, неизвестная в России компания из США, занимающаяся средствами для ухода за животными, коммерческого клининга и т.п., столкнулась с атакой, которая обошлась компании недешево - потеря дохода в размере 500 миллионов долларов и снижение оценки компании на 3 миллиарда 🤑 Но вместо того, чтобы извлечь уроки и начать улучшения ИБ, компания сделала своим “козлом отпущения” директора по информационной безопасности (CISO) Эми Богач, которая покинула свой пост во время кризиса, в то время как совет директоров и генеральный директор Линда Рэндл получили вознаграждения 💰

Несмотря на кризис, Clorox переизбрала всех двенадцать директоров и не создала отдельный комитет по технологиям или кибербезопасности, оставив ответственность за кибербезопасность аудиторскому комитету, в котором не было членов с соответствующим опытом в ИТ или ИБ 😍 "Прокси-заявление" включало план обеспечения кибербеза из семи пунктов, но он в значительной степени повторял планы предыдущих лет, что свидетельствует об отсутствии значительных изменений или улучшений в ответ на инцидент ИБ с катастрофическими последствиями 🤦‍♂️

Эта ситуация подчеркивает более широкую проблему с корпоративным управлением кибербезопасностью, где советы директоров часто не предпринимают существенных шагов для повышения уровня своей защищенности, вместо этого выбирая минимальное соблюдение требований и сохранение руководящих позиций и компенсационных пакетов. Фу быть такими 🤠

Читать полностью…

А сегодня у нас будет что-нибудь позитивное, про то, как CISO не сесть в тюрьму за инциденты ИБ 👮 Правда, на основе опыта супостатных заокеанских 🇺🇸 коллег

Читать полностью…

Mandiant, войдя в состав Google, стала прям строчить различные отчеты и исследования по хакерским группировкам. Вчера вот они перед саммитом НАТО 🇺🇸 в Вашингтоне запостили перечень группировок, которые нацелились на Североатлантический альянс (преимущественно российские и китайские). Там и "Ледяная фуражка" (ICECAP, она же APT29), и "Замерзший Баренц" 🥶 (FROZENBARENTZ, она же APT44, она же Sandworm), и "Холодная река" (COLDRIVER), и "Писатель-призрак" (GHOSTWRITER), и другие.

А в конце июня они выпустили другой отчет про рост роли хактивистов 🥷 (например, KillNet, Anonymous, NoName, CyberAv3ngers, Gonjeshke Darande и т.п.) в ИБ-сфере и необходимости более пристально обращать внимание на их деятельность и учитывать в своей стратегии ИБ 🎩

Атрибуция там уровня "бог", но для изучения техник вполне себе источник 🇷🇺

ЗЫ. Но как они от "песочного червя" перешли к "замерзшему Баренцу"?..

Читать полностью…

Тут некоторые российские специализированные СМИ выпустили новость под заголовком "Технологии Passkey бессильны перед атаками Adversary-in-the-Middle" 😷 В оригинале заголовки зарубежных СМИ звучали не так безапелляционно - "Passkeys aren’t attack-proof, not until properly implemented", то есть "Технологии Passkey не защищены от атак, пока не будут должным образом внедрены". Согласитесь, немного другие интонации. Исходное же исследование, на которое ссылаются все, звучало и вовсе в иной коннотации - "Securing Passkeys: Thwarting Authentication Method Redaction Attacks" 🤒

Идея исследования очень проста - Passkey, беспарольная технология аутентификации пользователей, несмотря на свою популярность, может быть уязвим для атак “adversary-in-the-middle” (AitM) 🥷 Некорректная реализация Passkey, например, предоставление менее защищенных методов резервной аутентификации, может позволить AitM обойти процесс аутентификации 😲 путем изменения отображаемых пользователю запросов. Используя open source решения для атак AitM, например, Evilginx, можно обмануть пользователей популярных сервисов, таких как GitHub, Microsoft и Google, захватив их токены аутентификации и сессионные cookies 😮

Большинство методов резервной аутентификации, такие как пароли, контрольные вопросы, push-уведомления на доверенные устройства, коды по SMS и email, подвержены атакам AitM 👨‍💻 Единственным надежным по мнению авторов исследования методом является использование второго Passkey или аппаратного ключа FIDO2, защищенного PIN-кодом 🤒 Использование нескольких Passkey, один из которых является аппаратным ключом, считается наиболее безопасным методом 👍 Для восстановления аккаунта при потере Passkey или аппаратного ключа, наименее уязвимым методом является использование магической ссылки по заранее определенному email или номеру SMS.

Вывод простой - не все так страшно, если думать головой и правильно внедрять Passkey. А если не думать, то создается иллюзия защищенности. И кое-кто про это уже arkenoi/whats-wrong-with-passkeys-advocacy-e3b6806b3277">писал (и это не я).

ЗЫ. Тем временем, Microsoft 📱 планирует запретить своим сотрудникам в Китае пользоваться смартфонами на базе Android 📱

Читать полностью…