Пост Лукацкого

29 декабря 2022 13:55

14 апреля пройдет CISO Forum 2023

Пост Лукацкого

29 декабря 2022 08:10

Недавно вышла 2-я версия фреймворка CSAF (Common Security Advisory Framework), который призван завершить вакханалию с собственными и только человеком читаемыми форматами и структурами описания уязвимостей. CSAF 2.0 позволяет описать машинно-читаемый формат описания уязвимостей для автоматизации управления ими. Поддержка CSAF 2.0, как предполагается, позволит не только автоматизировать сопоставление пришедшей информации об уязвимостях с имеющейся CMDB, но и даже сопоставлять эти данные с базой данных SBOM поставщиков ПО (VEX является одним из профилей CSAF).

Пост Лукацкого

28 декабря 2022 21:42

Наткнулся на картинку, которая советует выбирать в качестве пароля нечто, напоминающее вам о хорошем (первая взаимная любовь или обыгранная дата первой зарплаты или я 😂). Так вы делаете свою жизнь лучше, а окружающий мир добрее!

Интересный взгляд. Но может быть именно сейчас самое время начать думать о хорошем и добром. Хоть в нашей области.

Пост Лукацкого

28 декабря 2022 14:31

Минцифры хочет создать российский CISSP. А у меня и картиночка соответствующая есть :-)

Пост Лукацкого

28 декабря 2022 10:11

Вышла колонка в Коммерсанте про оборотные штрафы за утечку ПДн

Пост Лукацкого

27 декабря 2022 20:25

Сотрудника можно убрать из ФСБ, но не ФСБ из сотрудника 🙂 Уж сколько копий было сломано еще во время подготовки ПП-1119 на тему "сотрудники бывают только в правоохранительных органах и спецслужбах, а в обычных организациях работники или госслужащие", но нет, мы продолжаем наступать на те же грабли :-(

Пост Лукацкого

27 декабря 2022 12:47

Три тенденции, которые не могут предотвратить ИБшники и на которые уже поздно закрывать глаза:
1️⃣установка собственных приложений на устройства сотрудником, в том числе и SaaS-приложения типа Slack, Trello, ClickUp, Office 365 и тп.
2️⃣SaaS-приложения интегрируются между собой, получая доступ к большому объему конфиденциальной информации
3️⃣Личные устройства (в условиях нехватки нормальных на рынке) будут чаще приноситься на работу

Пост Лукацкого

27 декабря 2022 09:33

Instant View 👆глючит и показывает старый календарь. На самом сайте все ок

Пост Лукацкого

27 декабря 2022 05:40

Вечером, составляя новогоднее меню, жена между делом спросила меня, а что делать, если произойдет утечка ПДн наших детей из государственных систем? Я ей, конечно, сказал, что представить такую ситуацию можно только гипотетически; ведь наши ГИС защищены как никогда, а работают там люди, которые обладают чувством собственного достоинства и этикой и никогда не будут скрывать факт утечки, касающийся несовершеннолетних, включая и их собственных детей.

Но что, если?.. А так как именно с этого вопроса начинаются проводимые мной штабные киберучения, то я попробовал сам себе на него и ответить. Оказалось, что в отличие от корпоративных сценариев, в «личных» свободы маневра гораздо меньше. У меня сформировалось всего 5 возможных рекомендаций на случай утечки ПДн моих детей:
📌 Если ваши дети уже закончили школу или садик, то хорошей практикой будет требование к школьной администрации и иным "кружкам", на которые был записан ребенок, по отзыву согласия на обработку ПДн в связи с достижением цели обработки, как того требует федеральный закон "О персональных данных". Сами чиновники по своей воле эти данные не удаляют.
📌 Провести беседу с детьми на тему возможных мошеннических действий со стороны лиц, представляющихся сотрудниками школ, мэрии, госорганов, МЭШ, кружков, поликлиник и т.п., и заставляющих школьника сделать что-то, например, раскрыть свой логин и пароль от различных сервисов, на котором пароль может быть таким же, как и на других сервисах, которыми пользуется ребенок. Если у ребенка уже есть своя кредитная карта, привязанная к собственному счету или счету родителя, то стоит обязательно рассказать, что не стоит называть одноразовые коды, приходящие по SMS, посторонним.
📌 Анализируя большое количество утечек, можно заметить, что многие родители регистрируются в различных сервисах со своими корпоративными или служебными e-mail, которые затем могут быть использованы в различных атаках. Поэтому можно посоветовать сменить в государевых сервисах, а также иных сервисах, используемых в личных целях, e-mail со служебного, на личный, а может быть и на специально для этих целей созданный адрес электронной почты.
📌 И хотя об утечке паролей речь может и не идти, почему бы не сменить свои, и детские, пароли, не только в госсервисах, но и на иных ресурсах, где, возможно, использовался тот же самый или похожий пароль. Прийти в Новый год с новым паролем - значит порадовать не только Деда Мороза, но и сделать свою жизнь безопаснее!
📌 Когда несколько лет назад произошла утечка ПДн 500 миллионов постояльцев Marriott, компания предложила заплатить тем, кто захочет сменить паспорт, чьи номера тоже утекли. В России ждать от государства, что оно поможет тебе поменять утекшие ПДн не приходится. Поэтому стоит самому задуматься о смене номера мобильного (если для вас это критичная история), а на будущее завести eSIM (если телефон позволяет) или второй мобильный номер и на него регистрироваться в различных сервисах.

Пост Лукацкого

26 декабря 2022 17:40

Стоило уйти из компании, как фишеры стали маскироваться под ее сайт и распространять защитное ПО

Пост Лукацкого

26 декабря 2022 11:13

Запись вебинара, посвященного поиску общего между недопустимыми событиями Минцифры, негативными последствиями ФСТЭК и ключевыми рисками Банка России, который прошел в прошлую пятницу

Пост Лукацкого

26 декабря 2022 05:40

На загнивающем Западе инвесторы при принятии решении о том, стоит или нет вкладывать деньги в ИБ-компании, стали смотреть еще и на то, следует ли компания стратегии PLG (product-led growth), то есть какова у нее стратегия роста - через продажи в "коррумпируемого" ужинами CISO, через закупки и других неИБ начальников или через продукт, распространяемый через рядовых ИБшников. Именно последняя стратегия считается более перспективной; как минимум, для стартапов.

Пост Лукацкого

25 декабря 2022 17:40

Наткнулся на картинку, которая советует выбирать в качестве пароля нечто, напоминающее вам о хорошем (первая взаимная любовь или обыгранная дата первой зарплаты или я 😂). Так вы делаете свою жизнь лучше, а окружающий мир добрее!

Интересный взгляд. Но может быть именно сейчас самое время начать думать о хорошем и добром. Хоть в нашей области.

Пост Лукацкого

25 декабря 2022 07:40

У MITRE Engenuity есть бесплатная программа обучения MITRE ATT&CK Defender (MAD), в рамках которой можно пройти изучить аспекты применения ATT&CK для Threat Intel, SecOps, Adversary Emulation, Threat Hunting, Purple Teamig.

Само обучение бесплатное (на Cybrary), а вот если хочется получать бейджи и проходить сертификации, то надо платить (499 долларов для физлиц).

Пост Лукацкого

24 декабря 2022 16:47

Упс. Остановил голосовалку. Хотел сделать множественный выбор и забыл кликнуть в нужную галку. Сейчас переделаю

Пост Лукацкого

29 декабря 2022 11:44

На SecurityMedia вышло мое интервью про геймификацию в ИБ

Пост Лукацкого

29 декабря 2022 05:40

Финальный дайджест законодательных изменений по ИБ из 46 пунктов. Законодатели и регуляторы под Новый год прям актвивизировались

Пост Лукацкого

28 декабря 2022 19:06

Интересный вариант резервирования…

Пост Лукацкого

28 декабря 2022 12:14

Подвел некоторые итоги года, собрав 21 впечатление от того, что было в году уходящем в отечественной отрасли ИБ. Этакий блэкджек получился

Пост Лукацкого

28 декабря 2022 05:40

Я тут новый ML-генератор текста попробовал. Вообще, это был новый редактор текстов с функцией поддержки искусственного интеллекта, который умеет генерить заголовки на основе написанного текста. Кроме того, у него встроенный чат-бот на базе ML, который помогает проводить исследования в процессе написания текста. Ну и вишенка на торте - редактор умеет дописывать текст по первому предложению.

Жаль, что редактор не поддерживает русский, а то я бы стал в блоге писать чаще - литературные негры не справляются уже 🙂 Но если созданные тексты загнать в переводчик на базе ML (а у некоторых и API есть для автоматизации задачи), то перевод получается настолько хорош, что его даже править не придется.

На первой картинке я на своем ломанном английском написал только первое предложение фишингового сообщения о горящей путевке в Тайланд. Все остальное сгенерил редактор на базе GPT-3. На нижней картинке перевод этого текста с помощью ML.

Пост Лукацкого

27 декабря 2022 17:40

А вы знаете, почему операторы ГИС (Госуслуги, МЭШ, mos.ru и т.п.) никогда не уведомляют вас об утечках ваших ПДн из их систем? Они же пекутся о вас, рады были бы помочь, но не могут. А все просто 🖕

Мы им на это согласие не давали ;-( В подписываемом нами согласии на обработку ПДн нет такой цели обработки. А мы же помним, как РКН внимательно следит за фактическим соответствием декларируемой и реальной цели обработки ПДн.

Поэтому получается, что это не госорганы плохие, что молчат об утечках, а мы с вами, что не разрешили им с нами о наших утечках коммуницировать. Поэтому нечего госуху ругать. Они мягкие и пушистые 🥺

Пост Лукацкого

27 декабря 2022 12:10

Теперь публично - Росатом объявил о покупке "Кода безопасности"...

Пост Лукацкого

27 декабря 2022 08:45

Обновил календарь крупных ИБ-мероприятий на 2023-й год. Пока не все есть - даты мероприятий второй половины годы еще не определены. Появилось парочка новых имен - "Магнитка" разделилась на два мероприятия. Ну и как обычно - есть, что упустил, пишите, внесу в список.

Пост Лукацкого

26 декабря 2022 20:52

Раньше календари были с юмором. Не то, что в нынешнее время 🤔 Понятно, не до шуток!

Пост Лукацкого

26 декабря 2022 14:29

Выложили презентацию (и там видео) с вебинара по недопустимым событиям, негативным последствиям и ключевым рискам. Там же выложили ответы на вопросы, на которые мы не успели ответить во время вебинара.

Пост Лукацкого

26 декабря 2022 07:49

Хорошо, когда на входе в офис 🟥 тебя встречают с тапочками…

ЗЫ. Они не белые 😂
ЗЗЫ. Нет, это не Сбербанк
ЗЗЗЫ. Да, у нас можно ходить в тапочках

Пост Лукацкого

25 декабря 2022 20:22

Вы же уже начали обновлять все свои пароли (если пользовались LastPass)?

Пост Лукацкого

25 декабря 2022 15:10

"Европа не видела такого уровня киберактивности со времен Второй мировой войны"... Задумался 🤔 Иногда журналисты в погоне за аналогиями и сопоставлениями с чем-то известным и понятным уходят совсем не туда...

Пост Лукацкого

24 декабря 2022 21:33

Некоторые отечественные средства защиты называют по названиям доспехов - панцирь, кольчуга, броня… Почему еще никто не назвал свое средство защиты «Хуяг» или «Хуяк» (зависит от транскрипции)?

Пост Лукацкого

24 декабря 2022 12:04

На эфире "итоги года без купюр" у меня родилась аналогия, что служба ИБ обычно проходит три состояния, когда она сталкивается с инцидентом ИБ:
1️⃣бздит
2️⃣звиздит
3️⃣бдит

Про первые два статуса мы как раз говорили на эфире, а примером третьего является Яндекс, который со своей утечкой из Яндекс.Еды в начале года стал притчей во языцех для многих. Их кто только не склонял и не ругал на все лады, обвиняя в том, что они отделались штрафом в 60 тысяч рублей. Однако на мой взгляд, как раз Яндекс-то повел себя лучше многих в ситуации с утечкой данных. Они это признали, они провели расследование, они извлекли уроки, они сделали инструмент по удалению ПДн из своих сервисов, у них действует программа Bug Bounty и т.п. На днях вышел интересный эфир про утечку Яндекс.Еду и про то, как Яндекс повел себя в этой ситуации.

Очень хороший пример, как себя вести в ситуации, которая может случиться с каждым. Одни прячут голову в песок, другие открыто обсуждают случившееся. Хотя на том же итоговом эфире Сергей Голованов высказал мысль, что бизнес смотрит на утечки совсем иначе, чем обыватель, чьи данные утекли (кто бы сомневался), и поэтому он вполне осознанно может принять решение "уходим в несознанку" и это не будет спонтанным решением или стремлением спрятать голову в песок. Тут, конечно, есть о чем подумать. Примерно в том же ключе мы говорили относительно выплат вымогателям. С точки зрения ИБшника платить нельзя, а бизнес смотрит на это совсем иначе и точно не с точки зрения "ой, как плохо стимулировать развитие нашим выкупом киберпреступность".

Вообще, как только начинаешь смотреть на ИБ с точки зрения бизнеса, многие вроде как очевидные действия, шаги и активности, таковыми быть перестают. Платить вымогателям? Можно, если бизнесу это проще, чем потерять все данные. Не выполнять требования ФЗ-152? А почему нет, если штраф на два порядка меньше стоимости проекта приведения себя в соответствие. Не назначать замгендира по ИБ согласно 250-му Указу? Да, если отсутствует наказание за это. Не бороться с инцидентами? Да, если они не несут за собой значимых потерь (кто сказал недопустимые события?). ИБ с точки зрения бизнеса - это совсем не то, чему учат в институте...