Пост Лукацкого

19 октября 2023 17:02

Расследования и анализ киберпреступности в мире

Наши специалисты выпустили новый дайджест, где представили популярные виды хакерских атак, технологии и продукты для борьбы с ними, результаты исследования рынка кадров в этой сфере. А также провели интервью с экспертами компаний «Лаборатория Касперского», Positive Technologies и F.A.C.C.T.

Печатный дайджест можно прочитать на Digital Innopolis Days 2023 в Иннополисе 19—20 октября.

➡️ Онлайн-версия

Пост Лукацкого

19 октября 2023 10:01

Израильские хакеры «We Red Devil» 😈 атаковали и успешно реализовали недопустимое событие уровня страны и отрасли, отключив большую часть электросистемы ⚡️ Ирана, погрузив его во тьму 👹.

Когда вчера я выступал про недопустимые события национального уровня и демонстрировал их на примере возможного отключения энергоснабжения целой страны, то я не думал, что пример так быстро будет продемонстрирован на практике 😈

ЗЫ. Главное, чтобы теперь не стали спрашивать компетентные органы, я об этом знал заранее или просто так совпало 😈

Пост Лукацкого

19 октября 2023 06:40

Мое выступление тут первое в списке…

Пост Лукацкого

18 октября 2023 13:34

31 октября буду выступать в МФТИ с открытой лекцией про взлом атомных электростанций профессию кибербезопасника

Пост Лукацкого

18 октября 2023 06:52

Услышав на закрытой вечеринке о том, что индусы предлагают услуги CIO-as-a-Service, я нетолерантно подумал, что работы у безопасников только прибавится.

Пост Лукацкого

17 октября 2023 17:04

Раз уж написал утром про израильтян, то продолжу. У жителей земли обетованной есть своя, достаточно интересная, стратегия кибербезопасности. Из интересных моментов, на которые я бы обратил внимание:
🔤 Все компании делятся на две категории А и Б, отличающиеся по величине возможного прямого и косвенного ущерба от кибератак. Водораздел проходит по сумме 1,5 миллиона долларов. В доктрину включен простой опросник, который должен подсказать, в какую категорию попадает организация (независимо от ее формы собственности).
🔤 Требования по защите отличаются для компаний разных категорий. Для А все достаточно просто, для Б надо проводить оценку рисков, оценивать риск-аппетит, маппить выявленные риски в защитные меры и т.п.
🔤 Доктрина предлагает огромное количество различных опросников и иных таблиц, которые позволяют легко оценивать своей текущий уровень ИБ, составить модель нарушителя, определить риск-аппетит и т.п.
🔤 Интересно, что доктрина не просто говорит "используйте вот такую-то меру", а предлагает находить баланс между эффективности защитных мер и их стоимостью. Это нечто схожее с принципом экономической целесообразности, заложенным в приказы ФСТЭК и ГОСТ Банка России, но если в первом случае этот принцип просто есть и все, без пояснений и деталей, то во втором он вообще не работает - проверяющие Банка России плюют на все экономические расчеты и просто требуют буквального применения защитных мер из ГОСТ 57580.1.
🔤 Методика оценки рисков достаточно простенькая - на базе светофора (мне такие не очень нравятся в виду их неконкретности). Но зато в доктрине упомянуты достаточно свежие технологии ИБ - BAS, ASM, DRP и т.п.

В общем, рекомендуется, как минимум, к прочтению.

Пост Лукацкого

17 октября 2023 10:01

Жители островного государства Джерси в проливе Ла-Манш на неделю лишились электричества и газа в результате кибератаки.

Официальные власти связывают аварию со сбоем программного обеспечения на заводе Island Energy (IE) St Helier, который вызвал остановку всех систем, включая и резервные.

После чего 7 октября подача газа 4500 клиентам была остановлена и для налоговой гавани (40 % экономики острова Джерси приходится на сектор оказания финансовых услуг) настали темные времена.

Как позже признался исполнительный директор IE Джо Кокс, завод La Collette был закрыт после того, как вредоносный код вызвал сбои в поставках электроэнергии, подтвердив таким образом успешную атаку на инфраструктуру национальной КИИ.

Расследование продолжается, выводы еще не озвучены. Так что будем посмотреть.

Пост Лукацкого

17 октября 2023 06:40

Надо признать, что текущие события в Израиле 🇮🇱 происходят не только на полях боевых сражений мира физического, но и в виртуального пространстве происходит немало того, что в совсем скором будущем станет предметом изучения. Тут и массированные атаки на АСУ ТП с обеих сторон, и многое другое. Например, еще несколько дней назад в Израиле было доступно более 500 портов MQQT и Modbus, используемых для коммуникаций между MES и SCADA . В Палестине ситуация аналогичная, но число открытых портов меньше - чуть более 50. В большинстве случаев используется оборудование Siemens, хорошо изученное хакерами всех стран, что и приводит к различным негативным, и даже можно сказать, недопустимым событиям. Некоторые хакерские группировки атакую не АСУ ТП, а Интернет-провайдеров 📡. Например, ThreatSec, которая никогда не питала пиетета к Израилю, вдруг встала на его сторону и атаковала одного из крупнейших провайдеров сектора Газа 🇵🇸, Alfanet.

В середине прошлой недели было опубликовано небольшое исследование о том, что в Израиле обнаружено несколько сотен подключенных к Интернет камер и в разы меньше - в Палестине. А вчера израильский директорат по кибербезопасности (INCD) выпустил экстренное уведомление для своих граждан с просьбой обновить ПО и заданные по умолчанию пароли на домашних IP-камерах, которые могут быть взломаны сторонниками ХАМАС и Хезболлы и использованы для шпионажа. В противном случае камеры рекомендовано отключить. Интересно, что еще полтора года назад в Израиле было обнаружено 66 тысяч легко взламываемых камер видеонаблюдения и ICND выпустил подробные рекомендации по повышению защищенности видеокамер. Оно интересно достаточно подробными рекомендациями по защите и ссылками на различные внешние источники, включая сайты некоторых производителей видеокамер (Bosch, Hikvision и др.). Похоже, что эти рекомендации полуторагодовалой давности мало кто читал 😞

ЗЫ. Интересно, что на сайте ICND новости не обновлялись с июня этого года. Последняя новость говорит о расширении сотрудничества Израиля и арабов в области кибербезопасности, что сегодня выглядит несколько неуместно на фоне того конфликта, который происходит между этими двумя нациями.

Пост Лукацкого

16 октября 2023 11:42

Интересная «инсталляция» у бывшего работодателя. Фиксирует посетителей стенда по разомчным срезам. Но меня она заинтересовала функцией детекта эмоций 😐. Подумалось, что этот показатель, вкупе с данными о человеке (если речь идет о сотрудниках в офисе) можно завести на SIEM и, в зависимости от эмоции, усиливать контроль за «недобрыми» людьми, которые могут замыслить что-то нехорошее ;-( Фантастика? Не думаю! Если покрутить эту идею, то может быть интересная интеграция в SOC мира виртуального и физического.

Пост Лукацкого

15 октября 2023 19:58

Запилил небольшую (реально, коротенькую, - всего30 слайдов) презентацию для выступления в Дубае на GITEX.

ЗЫ. Следующую неделю я за пределами Родины и буду достаточно активно погружен в жизнь арабского кибербеза. Не знаю, буду ли я успевать строчить что-то в канал, но буду стараться (вы же не думали, что за меня пишут литературные негры ✍️).

Пост Лукацкого

15 октября 2023 16:18

Надеюсь, депутаты Госдумы, ратующие за введение оборотных штрафов 🤑, изучают материалы всех дел, где операторы ПДн, особенно госорганы, ищут (к счастью не всегда находят) доводы, почему их нельзя штрафовать за допущенные ими утечки ПДн 🍔

Пост Лукацкого

15 октября 2023 08:40

В октябре в США и других странах уже много лет проходит Cybersecurity Awareness Month. Вот так повышают осведомлённость в одной из городских библиотек Вашингтона.

Пост Лукацкого

14 октября 2023 16:28

CIO Джонсон & Джонсон как-то сказал: "Нет такой вещи как ИТ-проект. Есть бизнес-инициатива с ИТ-компонентой". Если применить это к ИБ, то сразу станет понятно, что на «проекты», не имеющие отношения к бизнесу, последний ресурсов не выделит 🤑, так как не понимает, зачем.

Выполнение ФЗ? Зачем это бизнесу!? Закупка NGFW? Зачем это бизнесу? Заказ пентеста? Зачем это бизнесу? 🤔 Есть эта связка? Бизнес готов разговаривать. Нет ее, бизнес будет относиться к ИБ по остаточному принципу. Даже на compliance бизнес смотрит с точки зрения выгод/потерь. Тратить бабки только потому, что где-то написано, что надо вести журнал учета СКЗИ? 😂 Ну такое себе.

Пост Лукацкого

14 октября 2023 12:39

🤔В Кемерове преподаватель по кибербезопасности одного из технических вузов города перевел мошенникам около 4 млн рублей

🚨В отдел полиции «Южный» УМВД России по г. Кемерово обратился 51-летний местный житель, работающий преподавателем по кибербезопасности одного из технических вузов. Он сообщил, что неизвестные обманным способом похитили у него крупную сумму денежных средств.

📱Полицейские выяснили, что потерпевшему позвонил мужчина, который представился сотрудником правоохранительных органов. Он сообщил, будто в учебном заведении, работником которого тот является, злоумышленники продают мошенникам персональные данные преподавателей.

👩‍💻Вскоре горожанину позвонила якобы специалист банка, которая пояснила, что кемеровчанину следует «понизить кредитный потенциал», чтобы информацией не могли воспользоваться злоумышленники - для этого нужно взять несколько займов в различных банках, после чего перевести денежные средства на «безопасный» счет.

💳В течение четырех дней потерпевший оформил 4 кредита, а также продал свой автомобиль «Рено Логан». Собранные денежные средства в размере около 4 млн рублей он 20 переводами перечислил на указанные счета. Только после этого потерпевший осознал, что стал жертвой аферистов, и обратился в полицию.

❗Сейчас сотрудники уголовного розыска устанавливают подозреваемых. Следователем отдела полиции «Южный» УМВД России по г. Кемерово возбуждено уголовное дело по признакам преступления, предусмотренного ч. 4 ст. 159 УК РФ «Мошенничество», которая предусматривает до 10 лет лишения свободы.

Пост Лукацкого

14 октября 2023 08:40

23-го октября на конференции "Защита данных" буду модерировать секцию "То, о чем никто не хочет думать, занимаясь защитой данных", на которой не хочется говорить о всяких DLP, DCAP, DAG и тому подобных аббревиатурах, а поговорить об опыте заказчиков в иных областях, имеющих отношение к защите данных. Будем говорить про незакрытые порты на периметре, выставленные базы данных, защиту подрядчиков, классификацию данных, мониторинг DNS для контроля утечек, privacy bug bounty и т.п. От коллег будет два выступления:
🔤"Про что могут забыть даже самые внимательные котики". Анастасия Гайнетдинова, IT Secutity Analyst, Whoosh 🛴
🔤"То, чем стоило заняться вчера: защита данных, когда их стало слишком много". Глеб Марченко, Руководитель направления DataSecurity, Тинькофф 🏦

Ну и на правах ведущего секции тоже расскажу что-нибудь интересное. Уже и название придумал - "Биздата. О защите бизнес-данных нетрадиционными мерами, которые реализованы у всех" 👨‍💻.

Пост Лукацкого

19 октября 2023 13:34

Пока я в очередной раз показывал нерезультативность арабского полигона, заставив сойти поезд с рельсов 🚂 (он реально падает с путей; жаль не успел заснять видео), мне вручили награду как глобальному первопроходимцу (шучу, первопроходцу) за продвижение результативного кибербеза 🏆. Как уже писал вчера, тема интересна для зарубежной аудитории. 🟥 тоже получил награду за развитие этой темы.

Пока работал в компании зарубежной, награды давали в России 🎖. Стал работать в отечественной компании, стали давать награды за рубежом. Диалектика-с…

Пост Лукацкого

19 октября 2023 06:40

💬 В конце сентября мы впервые провели в Минске конференцию Positive SOCcon, собравшую более 400 топ-менеджеров, представителей регулятора, руководителей и специалистов из сфер IT и ИБ ведущих компаний Республики Беларусь.

Наши эксперты вместе со специалистами из сферы кибербезопасности обсудили, как сделать киберзащиту результативной, эффективной и измеримой, поделились опытом построения SOC и успешного противостояния актуальным киберугрозам.

Кроме того, рассмотрели требования Указа Президента Республики Беларусь от 14.02.2023 № 40 «О кибербезопасности» и совместно с регулятором дали рекомендации по его исполнению.

Мы опубликовали на нашем YouTube-канале дискуссии, доклады и обсуждения с мероприятия. Смотрите, слушайте и вспоминайте (или узнавайте), как это было.

👨‍💻 Можно включить плейлист целиком или выбрать интересные вам выступления:

•‎ Рост киберугроз: что заставляет нас думать о централизованном мониторинге и реагировании

•‎ От SOC к центрам обеспечения кибербезопасности — фокусируемся на главном

•‎ Как мы строили SOC: где лежат грабли

•‎ Разъяснение требований Указа № 40

•‎ Возможен ли SOC «из коробки»? PT Platform 40!

•‎ Панельная дискуссия «Что мешает кибербезопасности стать результативной»

•‎ Анализ активов и площади атаки — залог успеха в построении ЦПК

•‎ Средства детектирования SOC: сетевые и хостовые сенсоры для эффективного мониторинга

•‎ Анализ событий безопасности. Какой SIEM вам нужен?

•‎ Может ли ИБ быть на автопилоте? Как реагировать на угрозы при нехватке персонала

Вишенка на торте — видеорепортаж с мероприятия, который мы добавили к этой публикации 😉

#PositiveЭксперты

Пост Лукацкого

18 октября 2023 16:55

Ну что ж, про результативный кибербез и недопустимые события в Дубае рассказал. Многих тема цепанула, так как все сталкиваются со сложностью общения с топами, которые, услышав про риски и киберугрозы, посылают всех, «идите вон к тем парням, где-то там внизу, они у нас занимаются ИБ». А тут вполне себе история, позволяющая зайти с правильным посылом.

ЗЫ. Только в Дубае, заходя в туалет, меня спрашивали «How are you?» и «Where are you from?», в местном метро мне уступают место, а подходящие на стенд девушки приглашают keynote-спикером то в Москву, то в Иран 🇮🇷

Пост Лукацкого

18 октября 2023 10:05

По поводу описанного вчера арабского полигона. Я его все-таки хакнул ;-) Это было непросто очень просто.

Пригласили арабов на ноябрьскую Moscow Hacking Week, чтобы они увидели реальный фиджитал-полигон и как его ломают реальные пацаны, а не обычные бизнес-консультанты 😂

Пост Лукацкого

17 октября 2023 17:04

Сама израильская доктрина ИБ и список ее защитных мер

Пост Лукацкого

17 октября 2023 13:34

У арабов тоже есть свой полигон, но без приставки кибер, так как это просто красивый макет «из детства». Красивые объекты, мигающие лампочки, иногда что-то ездит, но ломать его по аналогии со Standoff нельзя 🤹‍♂️ Но чтобы хоть как-то приблизить эту историю к ИБ, у каждой зоны полигона свой экранчик с описание недопустимых событий, которые могут быть реализованы - в аэропорту, в центра управления космическими полетами, на ж/д 🚂, на конвейере, на электростанции и т.п.

Пост Лукацкого

17 октября 2023 10:01

Вот это прям реальное недопустимое событие без всяких "если"...

Пост Лукацкого

16 октября 2023 15:46

У России на GITEX свой стенд, на котором, что характерно, представлены два отечественных DLP-вендора и один производитель СОРМ. Россия экспортирует технологии слежки мониторинга контента 🙈

У 🟥 свой отдельный стенд, который пока еще не больше других по площади (Standoff мы не вывозили в этот раз), но выше других, это точно 💯

Пост Лукацкого

16 октября 2023 08:07

5 SIEMов в SOCе. Кто больше?

ЗЫ. Скоро должен быть шестой ;-)

Пост Лукацкого

15 октября 2023 16:18

Как госорганы оправдываются за утечки данных

Что делают госорганы, допустившие утечку данных? Ищут способ избежать наказания в 60 тысяч рублей. Как именно, посмотрим на примере Минпросвещения и Федеральной таможенной службы.

Минпросвещения привлекли к ответственности за июньскую утечку базы данных образовательной платформы «Российская электронная школа». Утекли данные более 9 млн пользователей, включая ФИО, email, хэшированный пароль, пол, дата рождения, для некоторых пользователей — телефон и идентификатор в Госуслугах.

Оправдания министерства в суде:

— Мы не являемся оператором данных: «Министерство просвещения Российской Федерации не является оператором персональных данных сайта "Российская электронная школа", так как ответственность за обеспечение функционирование данной платформы возложена приказом Минобрнауки на подведомственное Министерству ФГАУ ГНИИ ИТТ "Информатика"», — из материалов дела следует, что оператором было всё-таки именно-министерство;
— У нас не было возможности обновить ПО: «Министерство не имело возможности принять меры к предотвращению взлома базы данных из-за отсутствия обновлений программного обеспечения», — это можно не комментировать.

Федеральная таможенная служба привлечена к ответственности за утечку, которая произошла в апреле во время атаки на системы ведомства. Была слита база на 78 тысяч строк с персданными сотрудников ФТС, в том числе ФИО, email, паспортные данные, адрес, сведения о трудовой деятельности, должность, звание, департамент, награды и пр.

Оправдания таможни в суде:

— Утечка не доказана, потому что Роскомнадзор указал дату публикации данных, а не дату их похищения: «Если предположить, что утрата имела место быть, то данное событие, в том числе могло произойти за пределами срока давности привлечения к административной ответственности, что является обстоятельством, исключающим производство по делу об административном правонарушении», — операторы персданных, допустившие утечку, привлекаются к ответственности по статье 13.11 ч.1. КоАП, по смыслу которой дата утраты принципиальной роли не играет, поскольку для правонарушения достаточно самого факта, что данные доступны не тем людям, то есть слиты в телеграм-канале, например;
— Роскомнадзор не исследовал обстоятельства утраты данных: «Обстоятельства утраты или передачи персональных данных третьим лицам Управлением Роскомнадзора по ЦФО не исследовались и не устанавливались. Материалы по делу об административном правонарушении также не содержат фактических обстоятельств, свидетельствующих об утрате госорганом персональных данных», — опять же по нынешнему законодательству это особой роли не играет;
— Вы не привлекли к делу тех, чьи данные утекли: «Субъекты персональных данных в рамках производства по делу об административном правонарушении не опрашивались, обстоятельства наличия возможного согласия на обработку персональных сданных, а также возможной утечки персональных данных со стороны должностных лиц ФТС России не устанавливались», — опять же какая разница? Другое дело, что субъектов персданных действительно надо информировать, но вряд ли ФТС была бы рада, если бы все затронутые сотрудники получили полное представление о том, почему и в каком объёме утекли их данные. Кстати, интересно, уведомляли ли сотрудников после утечки?
— А также разные процессуальные моменты. Например: «В Протоколе имеется отсылка на нарушение ФТС России "ч. 1 ст. 6, ст. 7, ст. 10.1 Закона", при этом отсутствуют полные реквизиты данного нормативного правового акта», — суд, естественно, счёл это технической ошибкой, а не основанием избавлять ФТС от ответственности.

В обоих случаях довольно убедительно доказывается, что утечки действительно произошли, а не были выдуманы. И обе организации были оштрафован на 60 тысяч. На мой взгляд, размер штрафа вполне сопоставим с убедительностью оправданий.

Пост Лукацкого

15 октября 2023 12:29

Интересное исследование тут нашел, в котором опрашивали CISO по разным темам и вопросам. И вот один из них касался тех проблем, с которыми сталкиваются руководители ИБ и которые не имеют адекватного или достаточного количества решений сегодня на рынке. Управление рисками взаимодействия с третьими лицами (1️⃣) и борьба с внутренним человеческим фактором (2️⃣) - конечно топчик и уже не первый и даже не второй год. По мнению НКЦКИ атаки через подрядчиков, особенно ИТ и ИБ, - сегодня прямо бич какой-то. Безопасность искусственного интеллекта (3️⃣) относительно новая, но тоже понятная проблема. Одно дело применять ИБ в ИИ и совсем другое обеспечивать ИБ в ИИ 🧠

Замыкает "великолепную семерку":
4️⃣ Дашборды для руководства по вопросам ИБ
5️⃣ Оптимизация затрат на SecOps
6️⃣ Безопасность open source
7️⃣ SOCи следующего поколения.

Так что если вы решили ворваться на рынок кибербеза или развить свой портфель решений по ИБ, то вам точно не надо пилить свой NGFW, NTA, WAF, VM или SIEM...

Пост Лукацкого

14 октября 2023 20:12

Навеяло большим количеством мероприятий по искуственному интеллекту 🤯 за последнее время...

в условиях нехватки данных
сием придумывает сам
энэс атаки инциденты
и индикаторы врагов

ЗЫ. Хотя на этапе тестирования решения применение синтетических данных, созданных с помощью ML, вполне себе тема...

Пост Лукацкого

14 октября 2023 13:12

Подписчики пишут (спасибо им за это) про последнюю историю с попавшим на удочку преподавателем 👨🏼‍🏫 кибербеза, что высока вероятность, что перед тем, как ему позвонили сотрудники правоохранительных органов 👮🏻‍♀️, ему якобы написал его руководитель, что с ним свяжется куратор по линии МинОбрНауки из ФСБ, которому надо оказать содействие. Ну а дальше все, как в новости... Достаточно популярная схема сейчас, многоходовая, но действенная 🙏

Пост Лукацкого

14 октября 2023 12:39

С одной стороны, по опыту могу сказать, что на грамотный фишинг 🎣 (почтовый, голосовой и тд) ловятся все, даже специалисты по ИБ 🎣 Только уровень попадания ниже, чем у рядовых пользователей. А с другой стороны, это, конечно, залёт. 4 дня не понимать, что ты жертва популярной мошеннической схемы?.. Нууу, такое себе.

ЗЫ. Хотя первый шаг в этой схеме заставляет задаться вопросом - не целенаправленная ли это была атака и не знали ли мошенники, кому они звонят? Может преподаватель реально считал, что он участвовал в спецоперации по поимке торговцев живым товаром персданными?

Пост Лукацкого

13 октября 2023 20:01

​​🔊 ГОСТы по КИИ

На сайте ФСТЭК России можно ознакомиться с проектами предварительных национальных стандартов, касающихся обеспечения безопасности КИИ, разработанные техническим комитетом по стандартизации «Программно-аппаратные комплексы для критической информационной инфраструктуры» (ТК 167):

• «Инфраструктура критическая информационная. Термины и определения».

• «Инфраструктура критическая информационная. Доверенные интегральные микросхемы и модули. Общие положения».

• «Инфраструктура критическая информационная. Доверенные программно-аппаратные комплексы. Общие положения».