Пост Лукацкого

21 декабря 2023 19:02

Картинка из утренней заметки, а то вдруг вы ее пропустили или посчитали неинтересной аннотацию 😊

Пост Лукацкого

21 декабря 2023 16:01

Я тут подумал, что, допустим, у нас есть следующие исходные данные:
1️⃣ Внесенные в парламент законопроекты с указанием их дат и авторов законодательных инициатив
2️⃣ Выступления президента
3️⃣ Выступления депутатов и сенаторов, в том числе и в соцсетях.

Если натравить на все это ML (он же у нас вроде пока не запрещен и даже поощряется его применение), то можно найти много интересных взаимозависимостей и даже учредить множество наград для "избранников" народа, которые работают во благо отрасли ИБ. Я сходу придумал следующие номинации:
1️⃣ "ИБ-лизоблюд года" 🍑 Дается тому избраннику, кто быстрее всех реагировал на выступления президента страны и вносил по их результатам карательные или запрещающие законопроекты
2️⃣ "ИБ-балабол года" 😱 Дается тому избраннику, кто больше всего говорил и писал о важности что-то сделать в области регулирования (не важно, в хорошем или плохом смысле), но так ничего и не сделал, не внес ни одной инициативы
3️⃣ "ИБ-порожняк года" 💻 Дается тому избраннику, кто больше всех говорил на тему кибербезопасности с высокой трибуны, провел много заседаний, поучаствовал в наибольшем числе мероприятий, но все в пустоту
4️⃣ "Пассивный" 🙏 Дается самому незаметному избраннику, работающему по ИТ/ИБ-тематике.

Можно еще было бы предложить номинацию "ИБ-польза года", но боюсь она так и останется вакантной и никем неполученной.

Пост Лукацкого

21 декабря 2023 12:32

Благодаря подписчице (за что ей спасибо) узнал о дискриминации по половому признаку в ИБ. Одна радость была в ванне 🛁 - воспользоваться шампунем (или гелем для душа, фиг поймешь, они же одинаковые) жены и намылить себя всего и везде 🧼 А теперь нет, кодовые замки стали на тюбики ставить. Так, глядь, мыльницы по отпечаткам пальцев начнут открываться...

Пост Лукацкого

21 декабря 2023 05:40

Я уже не раз обращался к теме написания резюме и в последней статье 2 года назад специально сфокусировался на важной моменте при написании резюме ✍️ а именно на фиксации результатов, которые были достигнуты кандидатом на замещение вакантной должности. Ведь на работу берут за то, что сделал человек, а не за то, что он делал. Вроде разница в одну букву, но она колоссальная. Во втором случае речь о процессе, который в худшем случае вырождается в бег на месте; ну или в бег по кругу. А вот в первом случае вы достигли некой цели и получили результат. Попробовал набросать примеров, которые показывают реальный результат в резюме ИБшника.

Пост Лукацкого

20 декабря 2023 12:33

Ну и сами европейские требования по кибербезопасности автомобилей

Пост Лукацкого

20 декабря 2023 08:58

MITRE Engenuity Center for Threat-Informed Defense (Center) анонсировал новый проект SMAP (The Sensor Mappings to ATT&CK Project), который еще больше облегчает специалистам по обнаружению инцидентов ИБ маппинг различных типов событий, регистрируемых различными популярными инструментами, с техниками из MITRE ATT&CK. За счет такого маппинга можно выявлять отдельные события или цепочки событий ИБ.

В настоящий момент в SMAP маппятся следующие инструменты регистрации событий:
1️⃣ Auditd
2️⃣ CloudTrail
3️⃣ OSQuery
4️⃣ Sysmon
5️⃣ WinEvtx
6️⃣ ZEEK (бывшая Bro)

Авторы SMAP считают, что проект поможет ответить на три животрепещущих вопроса, которые волнуют специалистов по ИБ разного уровня:
1️⃣ Какие известные техники могут быть обнаружены моими инструментами (из списка выше)?
2️⃣ Если я добавлю инструмент Х, то как изменятся мои возможности по обнаружению?
3️⃣ Я волнуюсь по поводу выпущенного TI-отчета и хочу убедиться, что в моей сети не было описанных индикаторов.

Добавлю, что в моей прошлой жизни, во время аудитов SOCов и анализа их возможностей, мы делали тоже самое в ручную с помощью ATT&CK Navigator. SMAP ускоряет эту работу, но пока только для описанных типов сенсоров для Windows, Linux, облаков AWS и сетевого трафика.

Пост Лукацкого

19 декабря 2023 19:11

Несмотря на все заявления русскоязычной группировки ALPHV, что ее сайт имел проблемы с "железом", оказалось, что это были совсем иные проблемы, а именно действия спецслужб. Правда, ALPHV уже переехали на новую площадку. Это к разговору об эффективности блокировки доменов и ведения черных списков, за которые РКН и его ГРЧЦ получили на днях премию Рунета...

Когда блокировки и черные списки работают? Я вижу несколько условий для этого:
🔤 Закрытый от внешнего мира сегмент Интернет
🔤 Контроль всех хостеров и регистраторов
🔤 Блокировка VPN
🔤 Контроль всех коммуникаций за пределы России
🔤 Блокировка P2P-технологий типа Тора и т.п.

Как мы видим из действия награжденного за развитие Рунета РКН'овского ГРЧЦ и направления регулирования, мы активно движемся по этому списку и, возможно, в 2024-м году они будут реализованы полностью.

ЗЫ. Группировка ALPHV через 15 минут после захвата домена заявляет, что это ее старый домен. Через 2 часа Минюст США выпускает заявление, что они все-таки захватили сервера ALPHV. Через 2.5 часа хакерская группировка опровергает захват домена и угрожает американцам возмездием. Продолжаем наблюдать...

Пост Лукацкого

19 декабря 2023 12:31

Кучно пошло. Продажа Информзащиты, санкции против Бизона, Инфотекса и Информзащиты (интересно, как бы цена компании упала, если бы покупатели знали о санкциях?), интерес регулятора к FACCT/Group-IB… Вся прогрессивная ИБ-общественность интересуется сакраментальным вопросом - почему Каспера обходят все санкции?.. ❓

Пост Лукацкого

19 декабря 2023 05:40

Банки, конечно, подзасрали мозги 🧠 своим ограниченным набором секретных слов, большинство которых крутится вокруг «девичья фамилия матери», вопроса, который гуглится по соцсетям на раз-два. Мы так привыкли к этому варианту, что даже если у нас есть свобода выбора, используем все равно его.

Если уж и использовать секретные слова, то подходить надо креативно ☝️Особенно слова с негативной коннотацией хороши. Вы вряд ли пишите везде то, что вам не нравится или с чем у вас связаны негативные воспоминания. Например, имя девочки в школе, которая вам отказала в танце на выпускном 🤐

ЗЫ. Новая фамилия вашей бывшей жены (мужа) тоже легко гуглится, но в остальном, есть достойные примеры 😂

Пост Лукацкого

18 декабря 2023 20:13

Если подходить к задаче про шифровальный диск ☝️формально, то у нее есть три правильных ответа, так как этот диск принадлежал Enigma I и точно не мог принадлежать остальным шифровальным машинам, которые использовали буквы вместо чисел на диске. Но для этого вы должны были либо иметь коллекционное издание Музея криптографии, либо быть фанатом его экспозиции. А вот ответ про "Фиалку" скорее рассчитан на вашу логику.

ЗЫ. Почему-то часто вопрос с частицей «не» многие читают так, как будто «не» нет 🤷

Пост Лукацкого

18 декабря 2023 12:36

Если вернуться к начальному кейсу с моделью атрибуции, то она там базируется на том, что кто-то уже поставил метку семплу на VirusTotal или в AlienVault. Но с таким подходом есть два нюанса:
1️⃣ Мы предполагаем, что кто-то проставил изначальную метку корректно и не сделал при этом ошибки. Но сами же авторы пишут, что в ряде семплов метки иногда указывают на совсем разные группировки, что уже заставляет задуматься в точности первичной идентификации.
2️⃣ В условиях, когда основные TI-платформы находятся в руках США, по версии которых основные кибер-угрозы исходят из Китая, России, Северной Кореи и Ирана, то о какой непредвзятости можно говорить?
3️⃣ Наконец, для огромного числа семплов метки вообще никто не проставлял. Например, возьмем песочницу/TI-платформу Cisco Secure Malware Analytics; там метки у загруженных семплов - огромная редкость (посмотрите на колонку Tag на скриншоте).

Вот и получается, что при наличии огромных баз семплов (тот же vx-underground продает свою коллекцию вредоносов на почти 30 миллионов семплов) большая их часть никак не маркирована и поэтому строить ML-аналитику на такой основе непросто.

Пост Лукацкого

18 декабря 2023 10:10

ФСТЭК стукнул сегодня полтинник 5️⃣0️⃣! Ура! 🎆

Пост Лукацкого

18 декабря 2023 05:40

На европейском BlackHat был интересный доклад от австрияков про применение ИИ для атрибуции хакерских группировок и кампаний. Авторы предложили метод ADAPT (Attribution of Diverse APT Samples), который базируется на достаточно очевидной, хотя и не без греха, идее. Они взяли 6455 семплов с VirusTotal и у AllienVault, которые приписывались 172 группировкам, проанализировали метки, используемые для маркировки APT, вытащили с помощью различных статических анализаторов типа FLOSS, Yara, OLEtools, LIEF и т.п. признаки, преобразовали их и затем кластеризовали.

Точность атрибуции кампаний составила от 91% и выше, а группировок - от 84%. Пока модель тестировалась на известных APT и кампаниях, но авторы трудятся сейчас на ADAPT 2.0, которая будет базироваться на живых данных реального мира.

Пост Лукацкого

17 декабря 2023 15:11

А на Авито компании с лицензиями ФСБ на гостайну тоже продаются 😎

Какое-то гнездо разврата странное место. Сертифицированные СКЗИ продаются. Грамоты с подписью директора ФСБ или начальника 8-го Центра продаются. Компании с гостайной продаются. Может там и гостайна заодно продается?

Куда смотрит милиция? (с)

Пост Лукацкого

17 декабря 2023 07:40

Странная продажа бизнеса Информзащиты (лицензиата ФСБ и ФСТЭК на минуточку) неизвестной (по крайней мере мне) управляющей компании, которая занимается закрытыми паевыми фондами 😱 Может у нас свой Thoma Bravo объявился?

ЗЫ. Кстати наличие лицензии ФСБ на деятельность в области шифрования делает предприятие стратегическим для целей нацбезопасности 😕 и инвестиции в него (как и смена владельцев, продажи долей и т.п.) - процедура непростая и может требовать согласования 🧐

ЗЗЫ. Это не ФГУП НПП Гамма.

Пост Лукацкого

21 декабря 2023 17:26

Грядет очередной картель команд шифровальщиков... LockBit и ALPHV

Пост Лукацкого

21 декабря 2023 12:32

Производитель косметики EOS выпустил кодовый замок для своего лосьона, чтобы мужчины не могли пользоваться им.

Насадка также подойдёт для шампуней и девушки в сети уже празднуют победу — теперь можно покупать дорогие средства для волос и не переживать, что их не будут использовать не по назначению

Прямой эфир - подписаться

Пост Лукацкого

21 декабря 2023 09:05

Вроде как обновилась Вики по APT-группировкам. Странный формат, когда все на одной странице и сложно отслеживать изменения, ну да ладно...

Пост Лукацкого

20 декабря 2023 19:06

Уж не знаю, кто ходит в день чекиста на сайт АНБ знакомиться с их ежегодным отчетом о проделанной работе; поэтому я вам этот отчет скачал, что бы вы не светили там свои IP-адреса (а мне уже терять все равно нечего 🤘). Ничего сверхестественного и секретного там нет - просто добротно сваяный документ про все хорошее, против всего плохого. Америка спасает кибермир, АНБ на острие и все должны быть ему обязаны и благодарны. Но мы-то знаем, кто отмечает свой полтинник и стошестилетие и кому мы действительно обязаны 🤓

Пост Лукацкого

20 декабря 2023 12:32

На фоне сложностей с российско-китайским автопромом, многие автолюбители особо не смотрят на то, что происходит в Европе или Америке, которые запретили поставки своих авто в Россию. А там происходят занятные вещи. Например, Porsche перестает в 2024-м году продавать автомобили Macan в Европе из-за... проблем с кибербезом.

В Европе есть свои требования по кибербезу к автомобилям (почитайте их на русском языке 👇). Там интересно все - и знак маркировки на авто, и сертификаты соответствия, и модель угроз, и меры смягчения негативных последствий от реализации кибератак. Отказ от продаж Macan связан с тем, что его разрабатывали до появления требований и вносить правки будет слишком дорого. И это несмотря на то, что Macan был бестселлером Porsche в Европе (даже Cayenne был на втором месте по числу продаж).

ЗЫ. Другие модели VW Group, а именно VW e-Up, VW Transporter T6.1, Audi TT и R8 также подпадают под новые европейские требования, но они вроде соблюдены в этих автомобилях. По крайней мере, пока VW Group не объявляла о прекращении продаж.

Пост Лукацкого

20 декабря 2023 05:40

Поздравляя сегодня по смс, соцсети, телефону, мессенджеру и другим средствам коммуникаций своих бывших|действующих коллег с праздником, который обычно празднуют 20-го декабря, 🫡 помните, что тем самым вы раскрываете их контакту врагу, который по одной только фразе "Поздравляю" 🫡 может понять принадлежность абонентов/пользователей к ВЧК|ГПУ|НКВД|НКГБ|ОГПУ|МГБ|КГБ|АФБ|МБВД|МБ|ФСК|ФСБ (хотя, думаю, представителей первых органов госбезопасности уже и не осталось) 🫡 Так что поздравляю за всех 🫡

Пост Лукацкого

19 декабря 2023 12:31

ФСТЭК может ограничить использование софта бывшей Group-IB
https://www.vedomosti.ru/technology/articles/2023/12/19/1011732-fstek-mozhet-ogranichit-ispolzovanie-softa-bivshei-group-ib

Программные комплексы от Group-IB (с июля 2022 г. – FACCT) могут попасть под запрет, в них усмотрели угрозу безопасности субъектов критической информационной инфраструктуры (КИИ). Об этом рассказали «Ведомостям» два источника в компаниях в сфере кибербезопасности. Представитель FACCT уточнил, что действие сертификата ФСТЭК, который необходим для использования на объектах КИИ, было приостановлено.

Согласно реестру ФСТЭК, в отношении юрлица «Группа Айби ТДС» (F.A.C.C.T.) с 22 апреля 2016 г. действует лицензия на деятельность по технической защите конфиденциальной информации.

Но по продуктам этой компании Bot-Trek TDS и Group-IB Threat Hunting Framework (используются для выявления ботнетов и реагирования на киберинциденты) действие сертификатов средств защиты информации приостановлено 24 мая 2023 года.

По предположению представителя FACCT, запрос ФСТЭК к субъектам КИИ может быть связан с «текущей проверкой Bot-Trek TDS и Group-IB Threat Hunting Framework в рамках возобновления действия лицензии», что является «стандартной процедурой регулятора». Он также не исключил, что сама проверка ФСТЭК может быть вызвана уходом Group-IB из России.

Пост Лукацкого

19 декабря 2023 09:07

В 11-ю статью европейского 🇪🇺 закона Cyber Resilience Act (CRA) хотят внести требование раскрытия вендорами госорганам в течении 24-х часов после начала использования в атаках непатченных уязвимостей.

ИБ-эксперты выступают против, считая, что государство будет использовать эти сведения для слежки или проведения разведки против неугодных.

Пост Лукацкого

18 декабря 2023 20:43

В 12-й пакет европейских санкций включено несколько ИБ-компаний:
1️⃣ Бизон
2️⃣ Информзащита
3️⃣ Инфотекс

Пост Лукацкого

18 декабря 2023 19:09

Если почитать описание Премии Рунета, то это «общенациональная награда в области высоких технологий и интернета. Поощряет выдающиеся заслуги компаний-лидеров и отдельных деятелей, внесших значительный вклад в развитие российского сегмента сети Интернет (Рунета)» и, как по мне, так ключевыми там являются слова «выдающиеся заслуги» и «значительный вклад» 🏆

Так вот к номинации «Информационная безопасность» 🛡 в этом году у меня есть вопросы с этой точки зрения. Там половина номинантов с трудом тянет на выдающийся и значительный вклад, как по мне. Часть вообще обычные продавцы продуктов и сервисов ИБ 🤷 А ведь есть те, кто всерьез достоин был приза, но не подался или их не подали. А жаль 😭

ЗЫ. В других номинациях было еще хуже. Как можно было наградить за развитие Рунета ГРЧЦ, который только и делает, что блокирует всех и вся?.. 🤠

Пост Лукацкого

18 декабря 2023 10:10

Ура, день не пройдет зря, так как сегодня празднуется день основания Гостехкомиссии СССР (ФСТЭК является ее правопреемницей) (1973)

Пост Лукацкого

18 декабря 2023 09:06

Судя по направлению исследований бойцов из последней заметки, они достаточно активно занимаются атрибуцией хакерских группировок и кампаний, - за последние 8 лет достаточно интересные темы выступления на разных ИБ-конференциях. Но судя по тому, что они до сих пор копают одну и ту же тему с разных сторон, явных прорывов у них все-таки нет.

Пост Лукацкого

17 декабря 2023 19:12

Джо Салливан, бывший CISO Uber, выступая на прошлой неделе на BlackHat Europe, опираясь на свой опыт, предложил каждому CISO подготовить свой персональный план реагирования на инциденты, связанный с тем, что ваша деятельность на благо компании может быть повернута против вас. Ключевые положения плана отражены на слайде!

Пост Лукацкого

17 декабря 2023 11:23

MongoDB взломали. Пока говорят только об утечке некоторых данных по клиентам. Про ее облачную базу данных Atlas пока свидетельств никаких нет - расследование идет. Россиянам ничего не грозит, так как с начала СВО MongoDB прекратила обслуживать соотечественников и удалила все их данные из Atlas 🖕 Про возможную компрометацию конвейера разработки вообще не упоминают 👨‍💻

Пост Лукацкого

16 декабря 2023 18:46

Сейчас какой-то вал мошенничеств, базирующихся на очень простой схеме:
1️⃣ Фейковый начальник сообщает вам, что с вами свяжется сотрудник ФСБ или МВД и ему надо оказать содействие.
2️⃣ Фейковый сотрудник ФСБ, присылая вам свое фото с удостоверением в качестве "доказательства", просит помочь в поимке преступников с поличным и просит перевести деньги (иногда разными траншами и даже в разные банки).
3️⃣ Жертва под давлением "руководителя" и "сотрудника ФСБ", как зомби, выполняет все, что ей говорят, даже не усомнившись в том, что ее разводят.

Такое происходит сейчас везде - в госкомпаниях, частном бизнесе, промышленности, ИБ-компаниях, госорганах... Просто везде. Стоит включить такой сценарий в повышение осведомленности для сотрудников. И лучше не затягивать этот момент!