Пост Лукацкого

02 октября 2023 20:11

В нормальных SOCах учебниками для CISSP двери подпирают 😂

Пост Лукацкого

02 октября 2023 13:32

Если вдруг вам не хватало красивой инфографики по актуальным угрозам, их есть у меня ✍️

Пост Лукацкого

02 октября 2023 09:13

Лень заниматься приоритизацией? Хочет сразу иметь перечень уязвимостей, которые точно стоило бы устранить?
Тогда вот ежечасно обновляемый перечень наиболее опасных и эксплуатируемых уязвимостей😉
Список формируется из нескольких источников:
➡️CISA KEV
➡️Rapid 7 Metasploit Modules
➡️Project Discovery Nuclei Templates
➡️EPSS
На текущий момент чуть более 2000 уязвимостей получается🙂
Подробнее о проекте ➡️Patchthis.app

Пост Лукацкого

02 октября 2023 06:40

Вообще странная история. На киберучениях на Сахалине один из кейсов был связан с летним бюллетенем НКЦКИ о компрометации инфраструктуры через легитимные инструменты 🥁, включая Kaspersky Security Center.

То есть хакер, получивший доступ 💻 к центру управления средством защиты получал полный доступ к инфраструктуре 🥳 Тоже самое применимо ко многим схожим инструментам, но НКЦКИ писал именно про Каспера.

И вот я обыгрывал этот кейс. Оказалось, что многие даже представить себе такое не могли и для специалистов по кибербезу это оказалось открытием и сюрпризом 🤔 В Минске на Positive SOCcon тоже у многих удивление было, услышав про данный кейс. Из чего я сделал вывод, что сайт НКЦКИ многие не читают, на канал в Телеграм не подписаны. А зря, сюрпризов 😳 было бы меньше.

Пост Лукацкого

01 октября 2023 17:02

Джен Эстерли, глава американской CISA, внесенная в список российских санкций, поставила амбициозную цель 🎯 - довести число женщин в ИБ (видимо, в американской) до 🚺 50% от общего числа к 2030-му году👮 Кстати, на последней конфе Women in Cyber Security, где Эстерли и озвучила свою цель, собралось аж 1700 делегатов. Или делегаток? Все время путаюсь с феминитивами 👵

ЗЫ. Интересно, на регулярных встречах российского женсовета по ИБ такие же цели ставят? Если что, мужская часть российской ИБ может помочь с достижением этой цели!

Пост Лукацкого

01 октября 2023 08:40

HDMI-адаптер для iPhone, который собирает данные о вашем местоположении, истории серфинга в Интернет, ваши фоточки и видео, трекает ваши закладки и инсталлированные приложения.

А вы проверяете, что вы суете в свои смартфоны?

Пост Лукацкого

30 сентября 2023 17:07

Многие пишут (а уж на Западе все как с цепи сорвались) о том, что некая российская платформа по скупке Zero Day с доменом, срок оплаты которого истекает в октябре этого года, в виду ажиотажного спроса на рынке решила поднять цену на зеродеи определенного типа для iOS и Android с 200 тысяч долларов аж до 20 миллионов (в 100 раз) 🌡. Это, предсказуемо, вызвало ажиотаж. Меня и журналисты, и некоторые каналы стали просить комментарии на эту тему. А я не даю 🤐, так как анекдот, который я бы мог рассказать в тему, вряд ли опубликуют. Но у себя в канале почему бы и нет:

Старый Мойша на приеме у сексопатолога:
— Доктор, у меня больше 3-х раз в неделю с моей Сарочкой уже не получается.
— Мойша, а лет вам сколько?
— 85.
— Мойша, ну это же превосходно!
— Да? А сосед мой Рабинович говорит, что у него с женой ежедневно, а ему 95!
— Ну так и вы говорите!

Есть еще анекдот про мешки, которые ворочат, но его даже я у себя не опубликую, а то доблестный РКН за мат канал прикроет и придется уходить в виртуальное подполье.

ЗЫ. Чего хакер на картинке, закрыв глаза, правой рукой под столом делает? Нейросетке Сбера явно надо датасет для обучения менять.

Пост Лукацкого

30 сентября 2023 10:23

Дерзкое согласие на обработку cookies.
18+

Пост Лукацкого

30 сентября 2023 08:40

Еще большим числом утечек?! Возьмем на себя повышенные обязательства?! Догоним и перегоним?!

Как же задолбали эти лозунги и подсчеты 🧮 количества утекших записей и самих утечек. Как будто это важно и именно это определяет результативность.

Все больше скатываемся в советские времена победных реляций, ничем неподкрепленных заявлений, дурацкой статистики, словоблудия «свадебных генералов» в пленарках и вот этого всего. Осталось только переименовать это все в съезд, на сцене вручать грамоты лучшим дояркам, комбайнерам и трактористам операторам SOC, багхантерам и настройщикам пианино NGFW, а также целоваться долго и взасос с председателем оргкомитета! 🤮

Пост Лукацкого

29 сентября 2023 16:59

Американцы выпустили предупреждение ⚠️ о взломе сетевого оборудования Cisco со стороны китайских хакеров 🇨🇳. Причем те действуют достаточно изощренно и подменяют прошивку маршрутизатора, что позволяет оставаться им в инфраструктуре даже после перезагрузки устройства.

Учитывая, что Cisco до сих пор полно и в России, а китайцы 🐉 нам не друзья, а всего лишь ситуативные союзники и российские предприятия они ломают несмотря на "дружбу Пу и Си", я бы обратил внимание на эту проблему. И хотя Cisco уже много лет не выпускает оборудование без SecureBoot, Trust Anchor и других технологий защиты от аппаратных и программных закладок, есть немало компаний, использующих устаревшие, но все еще работающие сетевые устройства. Поэтому посмотрите на рекомендации Cisco по защите их оборудования. Это не сложно и бесплатно.

Пост Лукацкого

29 сентября 2023 10:02

Одна из старейших частных логистических компаний Великобритании KPN Logistics Group прекращает свое существование 😮после июньской атаки шифровальщика. 730 сотрудников потеряли свою работу 😭

Невозможно? Недопустимо! ☹️

Пост Лукацкого

28 сентября 2023 20:04

Квантовая запутанность кибербеза в компании. Отношение к ИБ постоянно меняется. Думаю, что если слово "кибербез" заменить на "CISO", то смысл картинки тоже не пострадает

Пост Лукацкого

28 сентября 2023 17:12

Не знаю, можно ли ориентироваться на Яндекс с точки зрения размера инвестиций в ИБ, а с другой стороны, почему бы и нет. В зависимости от позиции ("Хочу как Яндекс" или "Но мы же не Яндекс") можно эту цифру взять за точку отсчета.

ЗЫ. Это про Яндекс.Облако, если что...

Пост Лукацкого

28 сентября 2023 13:31

В общем, проблемы с уведомлениями об инцидентах у всех одинаковые. Но кто-то пытается решить проблему, а кто-то наращивает число уведомлений 🤦‍♂️

Пост Лукацкого

28 сентября 2023 06:40

Сколько бы штабных киберучений я не проводил, почти всегда вижу одно и тоже, - отсутствие реального плана реагирования на инциденты в организациях. Знакомые и типовые ситуации отрабатываются достаточно неплохо - достаточно просто иметь общие знания в ИБ. А стоит копнуть чуть глубже, выйти за рамки типичных и массовых историй, а то и вовсе дать на вход нестандартный кейс, и все, пиши пропало. Иногда еще можно выехать на практическом опыте, но далеко не всегда. Ведь чем план отличается от обычной рутины? Четкое следование процедуре "1-2-3" - никаких шагов в сторону. И вот этого не хватает.

Пост Лукацкого

02 октября 2023 17:06

У вас нет EDR и даже хостовых логов и есть только прокся на периметре? Из ее логов тоже можно извлечь немало полезного для обнаружения угроз

Пост Лукацкого

02 октября 2023 11:15

Круто, когда для включения двухфакторной аутентификации на сайте надо принимать целое Постановление Правительства! Я вот у себя на сайте, хочу - включаю, не хочу - отключаю ее (хотя я всегда хочу). А тут, наверное, целое совещание собирают, министры, оторванные от важных государственных дел, приходят, часа два совещаются, надо ли включать на сайте 2FA. А от них наверняка вопросы поступают, а чем 2FA отличается от MFA? А можно ли перехватить одноразовый код в СМС (да, можно)? А чем двухшаговая верификация отличается от двухфакторной аутентификации?

А министр цифрового развития на все эти вопросы уверенно отвечает и министры единогласно голосуют за это постановление, которое потом уходит в администрацию и юристы долго обсуждают, какой термин использовать в нормативно-правовом акте - многофакторная аутентификация или двухфакторная (а это же большая разница с юридической точки зрения, так как два - это не "много", а "много" - это не два).

ЗЫ. А вообще, все правильно. 2SV/2FA на портале "Госуслуг" давно пора вводить в обязаловку.

Пост Лукацкого

02 октября 2023 09:13

Очередная попытка найти способ приоритизации уязвимостей 👉 На этот раз предлагают ежечасно (!) обновляемый список критических уязвимостей. Автоматизация через файлик CSV... Не знаю, кто такое потянет 🤷

Пост Лукацкого

01 октября 2023 20:02

Октябрь - месяц ИБ во многих странах мира. В США он, в частности, будет посвящен 4 темам:
1️⃣Включение многофакторной аутентификации
2️⃣Использование надежных паролей и парольных менеджеров
3️⃣Обновление программного обеспечения
4️⃣Распознавание и уведомление о фишинге

Пост Лукацкого

01 октября 2023 12:57

Патчиться надо было
Сказал мне Dark River на ухо
Подкравшись к локалке моей

почти Басё (с)

Пост Лукацкого

30 сентября 2023 20:17

Задорнов был прав, когда говорил, что «американцы тупые» (не все, конечно). Гораздо безопаснее с точки зрения последствий красть пачки денег 💵 (если они не помечены), чем новенькие iPhone 📱, имеющие уникальный идентификатор и элементарно отслеживаемые по местоположению вплоть до пары метров.

Пост Лукацкого

30 сентября 2023 12:50

Толерантненькая реклама от CISA про необходимость думать 🤔 о кибербезопасности своих близких. Если CISA завтра уйдет в неоплачиваемый отпуск, то хотя дело их в виде рекламы будет жить 👌

Пост Лукацкого

30 сентября 2023 10:23

Блииин, а я у себя постеснялся такое согласие делать 😂

Пост Лукацкого

29 сентября 2023 20:02

Иногда, в погоде за инновациями и красивостью авторы забывают о приватности пользователей 😶‍🌫️ Пора уже вводить при приеме на работу разработчиков ПО, сайтов и т.п. тест на отношение к приватности и защите персданных. И если проходящий тест получает невысокий балл, то на работу его не брать 💡 Ну или прогонять вот через такой вот туалет 🚽, установленный специально для таких целей. Мне кажется, один раз в таком креативном месте и вопросы о необходимости учитывать вопросы privacy отпадут сами собой.

Пост Лукацкого

29 сентября 2023 13:36

Крупный производитель решений по промышленной автоматизации Johnson Control подвергся атаке шифровальщика группировки Dark Angels. Судя по длительности инцидента, сумме выкупа в 50+ миллионов долларов и абсолютно беспомощному уведомлению в Комиссию по ценным бумагам США у вендора все плохо.

Как можно не заметить утечку 27 терабайт (!) данных? Ладно у вас NTA/NDR наверное нет. Но хотя бы traffic quote настроить на периметровом межсетевом экране можно было?.. ⛔️

Пост Лукацкого

29 сентября 2023 06:40

Если до 1 октября Конгресс США 🇺🇸 не договорится о финансировании 🤑 правительственных структур (с 01.10 начинается новый финансовый год), CISA вынуждена будет отправить до 80% своих служащих в отпуск. А это значит, что многие проекты по ИБ, включая оперативный мониторинг угроз (а-ля ГосСОПКА), распространение IOCов и т.п. будут остановлены.

И это касается не только CISA, а всех федеральных госорганов США. ИБшников отправят в неоплачиваемый отпуск. Атакуй, не хочу 👨‍💻

А у вас в модели угроз такая есть?

Пост Лукацкого

28 сентября 2023 17:12

Хороший пример для сравнения бюджетов по ИБ для облачных платформ.
#yandexscale

Пост Лукацкого

28 сентября 2023 13:31

Гармонизация уведомлений о киберинцидентах в США

На прошлой неделе американское Министерство внутренней безопасности (DHS) представило Конгрессу доклад о гармонизации уведомлений федерального правительства о киберинцидентах. В 2022 году в США был принят закон об уведомлениях (reporting) о киберинцидентах для критической инфраструктуры (CIRCIA), в соответствии с которым был учреждён специальный совет под эгидой DHS, включающий 33 ведомства, для согласования требований различных госорганов по уведомлению о киберинцидентах. Доклад стал результатом этой работы и должен лечь в основу того, как организации будут отчитываться об инцидентах CISA.

В докладе проанализированы 52 (!) требования по уведомлению об инцидентах, действующих и предложенных, от разных ведомств, включая Минюст, FCC, FTC, Минздрав и пр. (в докладе табличка с 53 страницы). Везде разные условия, сроки, термины и т.д. Задача была посмотреть, нет ли дублирования требований, и понять, как можно их совместить, какие есть препятствия.

Рекомендации доклада:

1. принять везде, где это возможно, модельное определение киберинцидента, подлежащего уведомлению (определение на стр. 26-27);
2. принять модельные сроки и условия уведомления об инцидентах (в течение 72 часов в общем случае и в более короткий срок, если из-за инцидента нарушаются критические или жизненно важные функции);
3. отложить оповещение затронутых лиц, если это может быть сопряжено с риском для КИ, национальной безопасности или текущих расследований;
4. принять модельную форму уведомления об инцидентах;
5. оптимизировать процедуры приёма уведомлений и обмена информацией об инцидентах — возможно, с созданием единого портала;
6. предусмотреть возможность получения дополнительных уведомлений и обновлений, если появляется дополнительная информация;
7. принять общую терминологию, связанную с уведомлением о киберинцидентах;
8. усовершенствовать процессы взаимодействия с организациями после направления ими уведомлений.

Пост Лукацкого

28 сентября 2023 10:02

Сегодня я в Минске, на Positive SOCcon, рассказываю про факторы, влияющие на необходимость построения SOC в организации. Небольшое введение в проблематику перед выступлениями позитивных коллег, которые будут погружаться уже в тему более глубоко - автопилот в SOC, типовые ошибки, разные типы центров (SOC/CERT/ЦПК/ЦКО), необходимые технологии, выбор фидов, нюансы развертывания SIEM, анализ поверхности атаки, архитектура и т.д.

Пост Лукацкого

27 сентября 2023 20:05

А чо, мы округлили просто! 🤦‍♂️