Пост Лукацкого

30 августа 2023 20:12

Самые информированные в гостайнах люди те, у кого в руках черный маркер!

Пост Лукацкого

30 августа 2023 13:35

АНБ, CISA и NIST предупреждают о том, что противники США (почему они прямо не называют Китай 🇨🇳?) могут начать использовать квантовые компьютеры для атак на нестойкую к квантовым атакам криптографию. При этом американские спецслужбы дают еще и рекомендации и небольшую дорожную карту по подготовке к квантовым атакам. Конкретики там не очень много, но как направление движения в условиях потенциальной угрозы вполне себе...

Пост Лукацкого

30 августа 2023 06:40

Мы часто опираемся на вердикты, которые нам выдают антивирусы, а в случаях, когда мы им не верим, мы обращаемся к сервису VirusTotal. И если большинство антивирусов не находит вредоносной составляющей 🦠 в загруженном файле, то мы считаем, что все, успех достигнут, файл чист, а мы можем его пустить в нашу инфраструктуру.

Но то, как мы думаем, не секрет для хакеров, которые имеют свои сервисы 💻, которые не только проверяют, но и позволяют обеспечить невидимость файлов разных форматов от средств защиты. Например, вот относительно свеженький сервис, который позволяет скрыть вредоносность DOC, PDF, HTML, LNK и т.п.

Помнится, лет 5 назад я делал презентацию по стратегии защиты от вредоносного кода и подал ее на какую-то конференцию. Меня тогда орги даже спросили, зачем я решил рассказывать про антивирусы 😷. А у меня как раз была более сложная и целостная картинка - там были и средства мониторинга сетевых аномалий (NTA/NDR), и средства мониторинга ПК (EDR), и мониторинг DNS, и защита e-mail, и песочница и много чего еще, вплоть до UEBA и иных ML-решений. И каждое позволяет поймать какой-то один или два этапа жизненного цикла вредоноса. А кто-то до сих пор верит 🙏, что антивирус спасает от современного вредоносного кода 🆘

Пост Лукацкого

29 августа 2023 16:51

ПО Cobra DocGuard, помогающее пользователям защищать приложения, разработанное EsafeNet, которой сейчас владеет китайская ИБ-компания NSFocus, было скомпрометировано в рамках атаки supply chain и помогло группировке Carderbee атаковать ряд гонконгских компаний 🇭🇰 Исследователи не атрибутируют Carderbee, но использованные техники присущи китайцам. В частности, при компрометации использовался вполне легально полученный от Microsoft сертификат цифровой подписи.

Яркий пример того, что даже защитное ПО может пострадать и быть использовано для атаки на организации. Ну и далее классические рекомендации - zero trust, BugBounty для вендоров ИБ, контроль безопасной разработки, тестирование обновлений, контроль доступа со стороны вендоров ПО, контроль коммуникаций любого ПО, даже защитного,… Тем более, что Cobra DocGuard уже не первый раз используется для атак (история их не учит) 🐉

Пост Лукацкого

29 августа 2023 10:02

Несколько интересных цифр из одного отчета, в котором опросили CISO а железным занавесом%
1️⃣Только у 12% CISO з бюджеты растут - у остальных они либо замораживаются или не изменяются, либо и вовсе сокращаются. CISO
2️⃣От продуктов начинают требовать конкретный и измеримый результат - либо доказуемый ROI, либо снижение расходов, либо быстрая демонстрация ценности во время пилотов
3️⃣В список приоритетов не вошла сетевая безопасность, а 2/3 направлений касаются AppSec. К этим цифрам, конечно, надо относиться критически - все-таки от региона к региону ситуация меняется. У нас точно облачная безопасность вряд ли находится на первом месте. А защита данных по исследованию ЦСР и вовсе падает.
4️⃣С точки зрения процессов фокус не только на управление ИБ, но и на управление уязвимостями и мониторинг&реагирование.

Пост Лукацкого

28 августа 2023 16:52

А вы используете Active Directory для управления доступом к вашим средствам защиты? Медианное время захвата и компрометации контроллера домена AD составляет всего 16 часов.

ЗЫ. Интересная метрика - time-to-AD 😊

Пост Лукацкого

28 августа 2023 09:56

Интересные бюджетные стратегии для CISO отмечаются сейчас за железным занавесом. 80% компаний делают ставку на автоматизацию, 70% - на консолидацию бюджета и сокращение дублирующих статей расходов. 43% сокращают свои хотелки в области ИБ, а 23% сокращают персонал. Интересный показатель в 26% CISO, которые начинают активно использовать бесплатные пилоты, которые позволяют перекантоваться в сложные времена.

Пост Лукацкого

27 августа 2023 20:11

Если вдруг вы летите на «конференцию по новым компьютерным технологиям и защите компьютерных программ» и вас не пустили на границе (даже при наличии визы), то возможно это потому, что погранцы анализируют все ваши посты в соцсетях (за годы в ретроспективе) и оценивают их тональность, на основе чего оценивают риск посещения вами страны 👮‍♂️ По крайней мере, в США эта система используется.

Судя по функционалу продукта от Fivecast его и под ИБ можно использовать. Правда, в национальных масштабах только… 👁 Ну или в очень крупных корпорациях и холдингах.

Пост Лукацкого

27 августа 2023 14:47

Можно ли считать отправку простого радиосигнала с компьютера через разблокированную радиостанцию компьютерным взломом, вопрос риторический. FlipperZero тогда тоже не относится к арсеналу хакера, как и вообще все, что связано с атаками на беспроводные решения.

Вопрос в другом. Остановка железнодорожного движения 🚂 зафиксирована? Да. Возможно, в условиях военного времени прекращение, даже на несколько часов, доставки вооружений и боеприпасов 🛤 может рассматриваться как недопустимое событие. И не так уж и важно - был взлом системы централизованного управления транспортом 🚦 или компьютер только управлял проигрышем гимна России.

А второй вопрос 🙋‍♂️- возможно ли повторение такой истории, но уже в России? По крайней мере проукраинские хакеры у себя в чатиках таким вопросом уже задаются 🤔

Пост Лукацкого

27 августа 2023 08:40

Я регулярно спорю с PR-службой 🟥 на тему выпускаемых интервью или пресс-релизов. Я придумал какую-то херню какой-то информационный повод, приношу его в PR, а меня бац по сусалам.
- Леша, где ты взял эти цифры? А откуда эти факты? Где подтверждения во внешних источниках?
- Юля/Юля/Катя/Саша/Женя/Маша, я, так вижу глядь, эксперт, верьте мне на слово!
- Леша, ты сейчас херню непроверяемую ляпнешь, а отвечать нам. А компания мы публичная, акции на бирже котируются, нам надо думать о репутации… 🤬

К чему эта прелюдия? А я тут просто 🏖 прочитал у ТАСС, что коллеги из «Кода безопасности» заявили, что до конца года половина российских компаний перейдет на отечественные же NGFW 😮. А я же тролль 👿 со стажем человек с критическим мышлением; еще и прикладной математик по образованию. Поэтому я начал считать 🧮.

По данным ФНС в первом квартале этого года в стране было 2,770 миллионов коммерческих компаний. Теперь попробуем упростить задачу и представим, что у этих компаний нет филиалов и допофисов, сегментация внутри реализуется не с помощью NGFW, ЦОДы отдельно не защищаются и единственный МСЭ нового поколения (хотя я помню проекты, когда спеки на NGFW в одного заказчика содержали по несколько тысяч устройств) стоит на периметре (и без резервирования в режиме хотя бы Active-Standby). Тогда нам до конца года на всех нужно почти полтора миллиона 😮 NGFW.

Если предположить, что у кого-то эти решения уже стояли и были отечественного производства, то по оценкам заказчикам до конца года должно быть поставлено около 500-700 тысяч устройств 😮 Если предположить 🤔, что средний ценник на NGFW у нас порядка 200 тысяч рублей, то до конца года будет продано железок на 100-140 миллиардов рублей, что составляет больше половины всего рынка ИБ в 2023-м году по оценкам ЦСР. А ведь у ЦСР на всю сетевую ИБ приходится всего 40% рынка. А это далеко не только NGFW, но и NTA, песочницы, VPN и т.д. В общем не сходится у меня паззл 🧐

Пост Лукацкого

26 августа 2023 12:34

Мы еще не смогли успели посмотреть «Оппенгеймера», но на фоне популярности картины Нолана на прошлой неделе рассказали, какие инциденты на атомных электростанциях могли бы быть признаны недопустимыми событиями.

А потом задумались: какие недопустимые события придумывали киносценаристы? Вспомнили, пересмотрели фильмы и подготовили подборку, которая получилась настолько большой, что мы не смогли уместить все в один пост. Так что ждем ваших лайков и репостов — вторую часть опубликуем через неделю 😉

P. S. Пишите и свои варианты в комментариях 👀

@Positive_Technologies

Пост Лукацкого

25 августа 2023 20:45

Спустя 20 дней Литрес сообщил об утечке моего пароля. Если это, конечно, не новый кейс, но это хрен поймешь, они же не пишут, когда мой пароль был раскрыт 🔓

Но есть и польза - для книги по измерениям появился пример метрики и конкретного ее значения (<21 дня на уведомление об инциденте). Можно поспорить с тем, насколько этот показателен верен, но это хоть что-то. От этой точки отсчета можно теперь отталкиваться. Теперь при следующей утечке можно будет сравнить значения и увидеть динамику!

Пост Лукацкого

25 августа 2023 13:51

Вот о таком примере я упомянул в конце прошлой заметки. Австралийская финансовая компания Latitude подтвердила в своем полугодовом финансовом отчете величину ущерба от атаки шифровальщика. 76 миллионов австралийских (это около 50 американских) долларов 🤑

Там в отчете еще есть интересный пассаж, согласно которому одно из подразделений, заработавшее 637 миллионов долларов за отчетный период, получило на 19% меньше прошлогодних показателей и причина этого - инцидент ИБ с шифровальщиком. То есть там еще где-то сотка миллионов недополучена из-за инцидента. Интересно, что в явные потери эта сумма вряд ли попадет (ведь она не потеряна, а недополучена, то есть это вероятностное событие, а не прямо потраченные средства). Это такой лайфхак у многих компаний - они в P&L включают только прямые потери, а не недополученную прибыль. Вон и FAIR в своем новом стандарте FAIR-MAM их не учитывает, а зря...

Пост Лукацкого

25 августа 2023 10:09

Нечастое явление - в годовом отчете крупной корпорации неоднократно упоминается кибербезопасность. Речь о "Почте России" 📬 и ее отчете за 2022 год. Например, в списке 13 основных рисков два касается недопустимых событий угроз ИБ - выход из строя информационных систем и необеспечение безопасности КИИ. Хотя странно, что утечка персональных данных не указана ни среди основных рисков (допускаю, что ущерба от этого для монополиста нет), ни среди киберрисков.

Целая страница посвящена описанию системы кибербезопасности "Почты России", которая больше не "бумажная". Но на фразе "основной причиной инцидентов являются новые требования регуляторов" я завис. Вот как так открыто можно? А в остальном прям приятно читать красиво оформленный отчет, в котором нашлось место и кибербезу! Так, глядишь, и другие годовые отчеты подтянутся, а в отчетах о прибылях и убытках (P&L) будут подробно раскрываться детали по инцидентам ИБ, включая финансовые и иные потери.

Пост Лукацкого

24 августа 2023 20:18

Ээээ, долго думал, но так и не понял, это они так прикалываются, просто попутали слова "шифры" и "шрифты" или реально думают, что криптографы и дизайнеры шрифтов - это одни и те же люди?

Возможно, авторы имели ввиду древнюю историю Руси, когда авторы первой славянской азбуки использовали ее в качестве тайнописи (вы же знаете, что такое монокондил?). В те времена грамотность была редким явлением и любой написанный текст уже считался чем-то непонятным и закрытым. Да, были и другие примеры, в которых именно написание разных букв использовалось для сокрытия смысла и содержания текстов (азбука Филарета, азбука копцева, флопяцевская азбука и т.п.), но те времена давно канули в Лету. Сегодня криптограф и дизайнер шрифтов - это совсем разные люди и занимаются они разными вещами... 🔤🔤🔤 🔤🔤🔤🔤

ЗЫ. И спасибо подписчику, приславшему этот прекрасный образчик проникновения ИБ в массы.

Пост Лукацкого

30 августа 2023 17:12

Главное нашим это не показывать, а то тема прям офигенная ✈️ - тут и инновации, и повышение осведомленности, и нацбезопасность, и защита граждан, но, боюсь, бабла потратят дофига, а в последний момент все отменят из-за антитеррористических требований. И это вполне реальное предположение, помня подготовку к PHD, где тоже планировалось что-то похожее на шоу дронов, но нахождение площадки PHD напротив МинОбороны в последний момент сломало все планы 😔

ЗЫ. Спасибо подписчику за присланную ссылку!

Пост Лукацкого

30 августа 2023 10:09

На английском проходим психологию цвета и я после стал копать тему применительно к ИБ (оказалось, это целый океан информации). Про влияние цвета на наши чувства и ощущения, думаю, знают многие. Но, что интересно, в 2006-м году институт изучения цвета опубликовал результаты большого исследования, которое утверждает, что люди принимают решение о том, нравится им какой-либо продукт или нет в первые 90 секунд и от 62% до 90% этой оценки базируется на восприятии цвета 🌈. То есть от того, какой цвет у вашего NGFW (если он аппаратный) зависит количество его продаж! Как вам такое?

Какой цвет у кибербезопасности 🌈? Если вы введете это в поисковой системе, то вы увидите, что преимущественно это синий 🔮. Потому что синий - это цвет доверия (а вы думали, почему IBM выбрала голубой цвет?)! И этот цвет стал доминировать в дизайне и визуализации ИБ, что неосознанно привело к тому, что все теперь требуют синего цвета, а все "нестандартные" цвета отметаются. И только смелые креативщики идут поперек течения, навязывая свою цветовую гамму (правда, это недешевое удовольствие, навязывать свою точку зрения в синем океане посредственности).

ЗЫ. 4 года назад был даже организован специальный конкурс Cybersecurity Visual Challenge, который должен был помочь разработать новый язык визуализации ИБ. Но судя по продолжающемуся преобладанию синего в поисковой выдаче Google, а также исчезновению сайта конкурса, что-то пошло не так ❓

Пост Лукацкого

29 августа 2023 19:56

Взломано 400 субъектов КИИ, уверяют проукраинские хакеры (откуда там магазины непонятно). Хотя вряд ли они знакомы с ФЗ-187 и тем, как у нас определяются КИИ. Украдено 6ТБ данных на всех (по 150 гигов в среднем у каждого). Ждем-с деталей...

Пост Лукацкого

29 августа 2023 13:22

Ты весь такой бравый, отличник, заканчиваешь ВУЗ по ИБ-специальности с красным дипломом, устраиваешься в солидную и известную компанию на престижную работу инженера по ИБ и через две недели узнаешь, что 👆 Так кончается детство и наступает зрелость 🌱

ЗЫ. Интересно, у него под звездочками "ucke" или "rustrate"?

Пост Лукацкого

29 августа 2023 06:40

🤔 Хотите стать системным аналитиком и присоединиться к команде Positive Technologies? Сейчас расскажем, как это можно сделать (причем совершенно бесплатно!).

Мы открываем Школу системного анализа. Ее преподаватели, эксперты команды PT Analytics, помогут вам подтянуть теорию, а главное, вместе с ними вы разберете множество практических задач.

Лучшие выпускники после окончания обучения получат предложение о работе в нашей компании и все без исключения — спецификацию, которая будет отлично смотреться в портфолио.

🤓 Кто может попасть в школу

Ждем заявок от студентов старших курсов бакалавриата, специалитета и магистратуры любых факультетов и вузов России, а также людей с опытом в IT. Честно предупреждаем, что базовые представления об инструментах системного анализа будут преимуществом. Можно попробовать учиться с нуля, но тогда вам придется самостоятельно заполнять пробелы в знаниях.

✏️ Как это сделать

В первую очередь нам важно качество образования, а не число выпускников, поэтому готовьтесь к конкурсному отбору (мы проверили, там ничего страшного). Чтобы участвовать в нем, до 19 сентября заполните анкету с небольшим рассказом о себе и решите тестовое, состоящее из трех задач.

👨‍🏫 Сколько и как учиться

Занятия начнутся уже 26 сентября и будут проходить онлайн. Курс короткий, всего четыре месяца, но очень интенсивный. Встречи — два раза в неделю по два часа, плюс нужно выделить время на выполнение домашней работы, которую обязательно проверят.

Если вам подходит такой режим, смело подавайте заявку! И поспешите: количество мест ограничено.

@Positive_Technologies

Пост Лукацкого

28 августа 2023 13:24

Криптовалютный стартап Prime Trust объявил о своем банкротстве после того, как забыл пароль к криптокошельку 👛, содержащему активов на 38+ миллионов долларов 🤑

ЗЫ. Думаю Центробанку надо будет к инструкции по пользованию цифровым рублем прикладывать рецепт на лекарство 💊 от забывчивости паролей

ЗЗЫ. Похоже в судебный лексикон вводится новый термин «Wallet Event»

Пост Лукацкого

28 августа 2023 06:40

Англичане хотят ввести запрет не только на шифрование «точка-точка», активно используемое в мессенджерах, но и на выпуск вендорами патчей к уязвимостям, так как это может помешать программам слежки 🔎

Следующим шагом будет требование внедрять закладки в свои продукты для облегчения борьбы с терроризмом, экстремизмом и защиты детей 😎 Наверное...

Пост Лукацкого

27 августа 2023 17:50

0day продают. Всего за 1 миллион долларов 💵

Пост Лукацкого

27 августа 2023 09:06

И вообще, видя результаты пентестов, я бы с точки зрения продуктов фокусировался не на NGFW, а на тех же NDR, EDR, WAF и VM. Они ловят и предотвращают то, что NGFW в принципе не видит.

Пост Лукацкого

26 августа 2023 20:17

Неожиданное решение для тех, кто постоянно забывает пароли. Нет, это не парольный менеджер 💊

Но вообще, если задуматься, интересно получается. Это явно распространенная проблема, если ее сделали заглавной темой рекламы. А значит и решение пора искать адекватное. Не пора ли подумать о беспарольной аутентификации?..

Пост Лукацкого

25 августа 2023 22:01

Нигерийский спам - II. Уже на всех мониторах страны 😱 Нигерийские спамеры вышли на тропу войны 👉

Пост Лукацкого

25 августа 2023 16:58

Выручка этих компаний измеряется миллиардами долларов, а доступ к их инфраструктуре оценивается в смешную десятку тысяч. А обошлась продавцу она еще дешевле… И какой смысл после этого говорить об увеличении стоимости атаки? Да хоть в 10 раз увеличь ее, все равно это меньше стоимости системы защиты. Нужна иная стратегия, подразумевающая, что проникновение все-таки возможно, но должно занимать времени больше, чем время на его обнаружение и реагирование.

Пост Лукацкого

25 августа 2023 12:16

Мошенники взломали в запрещённой соцсети сразу несколько аккаунтов фэшн-брендов - вчера Belle you, сегодня Yulia Wave. С января этого года не функционирует аккаунт бренда 2Mood, который так и не удалось вернуть. Была создана резервная страница марки.

Есть мнение, что мошенники часто используют информацию бывших или нынешних сотрудников, имевших доступ к паролям и прочей конфиденциальной информации.

Пост Лукацкого

25 августа 2023 06:40

Сбер опубликовал подборку рекомендаций для операторов ПДн. Я давно похоронил для себя тему с ПДн ⚰️, но не их техническую защиту. Поэтому я посмотрел два документа из представленных - по защите ПДн и по уведомлению об инцидентах с ними, и могу кое-что по ним сказать. Как по мне, так в рекомендациях много теории, - на практике, половина из описанного в вводной части не реализуется, а то, что написано на оставшихся слайдах требует пояснений и комментариев, так как на практике там огромное количество нюансов. Но в любом случае, я в одном чатике по прайваси это расписал, повторю и у себя:
1⃣ Нарушена последовательность при оценке актуальных угроз. Сначала упоминается необязательная методика ФСТЭК, носящая рекомендательный характер для всех, кроме госов, а определение актуальных угроз по ПП-1119 указано только после. Хотя логика при разработке ПП-1119 была иная. Сначала вы определяете уровень защищенности, от которого будут зависеть защитные меры в базовом наборе. Если для вас актуальны какие-то особые угрозы или вы не хотите базовый уровень защиты, то тогда вам надо уже идти в сторону методики ФСТЭК и углубляться в детали. Хотя сама методика сегодня нерабочая с практической точки зрения.
2⃣ Уровень защищенности определяется не по результатам сбора и анализа исходных данных, указанных в отчете об обследовании. Это избыточно. ПП-1119 прямолинейно и требует всего 4 показателей - чьи ПДн, сколько их, какие они и какой тип угрозы. Все. Для этого нет смысла городить отдельное обследование, которое в крупных организациях к моменту завершения уже становится неактуальным (если следовать странице 8). Ну и 13-я страница это подтверждает.
3⃣ Список видов оценки соответствия неполный. Декларирование соответствия в ИБ отсутствует, добровольная оценка не работает (таких систем на практике уже не существует). Не упомянуто, что сертификация не является обязательной для защиты ПДн (даже с учетом ПП-330).
4⃣ Не упомянута такая прекрасная норма 21-го приказа, что базовый набор защитных мер - это не тоже самое, что минимальный и список защитных мер можно и нужно подстраивать под себя; и что можно даже из базового набора исключать какие-то меры.
5⃣ Не упомянуто, что именно для госов сертификация средств защиты является обязательной, но тогда и сама защиты должна быть по 17-му, а не 21-му приказу. 524-й приказ ФСБ по защите ГИС вообще не упомянут.
6⃣ Оценка соответствия для госов - это всегда аттестация; для коммерсов - в любой форме, например, аудит. Но самое главное, что не упомянуты практические мероприятия по оценке защищенности, например, тесты на проникновения. А они обязательны для тех же госов (а сейчас Минцифры и вовсе уже на BugBounty засматривается).
7⃣ Отличия в информировании ФСБ России (НКЦКИ) зависят не от того, были компании присоединены к ГосСОПКЕ до 01.03.2023 или нет, а являются они субъектами КИИ или не являются.
8⃣ Часть из требований упомянутых НПА вообще не реализуема на практике и даже их авторы не реализуют их.
9⃣ Не хватает раздела о правоприменении в области защиты информации и описании ответственности за невыполнение описанных мер, чтобы все встало на свои места. Я не призываю не выполнять требования законодательства, но это в теории нет разницы между практикой и теорией, а на практике она есть.

Пост Лукацкого

24 августа 2023 17:01

Если уж ты проводишь форум про комплексную кибербезопасность, то зачем 🤦 ты берешь название, домен для которого с 2001-го уже занят и используется для совершенно иных целей? Да, речь о http://www.socforum.ru/ (попробуйте сходить по ссылке) ❓