Пост Лукацкого

28 июня 2023 13:28

У Gartner есть такой класс решений, как CTEM (Continuous Threat Exposure Management), про который я уже как-то писал. Идея заключается в том, чтобы объединить различные способы оценки защищенности в рамках целостной стратегии. Если посмотреть на то, как видит Gartner рост зрелости по применению CTEM, то мы увидим, что самый верхний, оптимальный уровень, очень похож на концепцию результативного кибербеза:
📊 Анализ не всех активов, а только тех, которые задействованы в недопустимых событиях
📊 Не фиксированный список активов, а опираясь на динамически изменяемую ценность для бизнеса
📊 Приоритизация на основе выхлопа для бизнеса (будь-то ущерб или даруемые выгоды)
📊 Подтверждение с помощью Purple Team
📊 Устранение не путем патчинга, а за счет правильной архитектуры и харденинга инфраструктуры (secure-by-design).

Правда, Gartner разродился своим видением только прошлым летом, а результативный кибербез, известный ранее как ИБ 2.0, был представлен еще раньше. Наверное Gartner'у тоже пришла схожая мысль в голову, только спустя какое-то время. Почти как споры об изобретении радио, первенство в котором приписывают в разных странах Попову, Маркони, Лоджу, Герцу, Бранли, Тесле, Наркевичу-Иодко. Но мы-то с вами знаем, кто изобрел радио 🎙

Пост Лукацкого

28 июня 2023 06:40

Александр Леонов предложил отказываться постепенно от иностранных терминов и аббревиатур и придумывать что-то посконное, свое. И вот он придумал СУУ (средства управления уязвимостями), СДУИ, СДУП, САУ и т.п. Ну а Gartner не отстает и придумывает свои варианты аббревиатур для сегментов рынка по анализу защищенности, а именно:
📌 External attack surface management (EASM)
📌 Cyber asset attack surface management (CAASM)
📌 Digital risk protection service (DRPS)
📌 Vulnerability Assessment (VA)
📌 Vulnerability prioritization technology (VPT)
📌 Breach and attack simulation (BAS)
📌 Penetration and testing as a service (PTaaS)
📌 Automated pentesting and red teaming (а тут аббревиатуру пока не придумали)
📌 Continuous Threat Exposure Management (CTEM)

Пост Лукацкого

27 июня 2023 13:31

Интересно, находятся ли те, кто пользуется «гарантированным» получением лицензий ФСБ и ФСТЭК?

Пост Лукацкого

27 июня 2023 06:40

Steve YARA Synapse Miller опубликовал серию постов, которые по его мнению, отвечают на вопрос: "Почему мы ничего не слышим о "западных" государственных хакерских группировках?". Если кратко, то Стив сформулировал 10 тезисов:
1️⃣ Китайские APT гоняются за интеллектуальной собственностью и поэтому с их стороны очень много попыток промышленного шпионажа, спонсируемого государством. А образному Западу это не нужно - у них и так все есть.
2️⃣ На Западе не хватает квалифицированных специалистов, а китайцы имеют "триллион хакеров"
3️⃣ Коммерческие компании платят больше и в государственные хакеры идут только долбанные патриоты (die hard patriot).
4️⃣ Повторное использование кода почти не используется Западом. Когда какой-нибудь Raytheon по контракту с государством пишет какой-нибудь эксплойт или находит уязвимость, этот код больше никем и никогда не используется. А когда код пишется, например, для корейских хакеров, то он живет вечность и многократно переиспользуется.
5️⃣ Запад (под которым Стив понимает "пять глаз", то есть США, Канаду, Великобританию, Австралию и Новую Зеландию) часто использует чужие C2-инфраструктуры и поэтому такая маскировка позволяет неплохо скрывать государственную принадлежность.
6️⃣ Запад не всегда "ломает", то есть занимается классическим хакингом, часто заменяя его OSINT или иными разведывательными операциями, которые "не видны", а также использует другие страны для своего прикрытия.
7️⃣ Большинство TI-отчетов пишется западными корпорациями, которые, очевидно, не проводят расследований в России, Иране, Китае и Северной Корее, представляя однобокий взгляд на проблему.
8️⃣ Западные СМИ скрывают многие новости, которые подчеркивают/доказывают взломы со стороны "своих".

Но тут список у Стива прервался и вместо десятки причин осталось всего 8

Пост Лукацкого

26 июня 2023 16:49

ИБ-компания NortonLifeLock попала в список жертв хакерской группировки CLOP; наряду с PWC и EY. Помимо этого в американской блогосфере активно обсуждают тему дефейса сайта компании Voatz, которая занимается электронным голосованием на базе блокчейна (вы же помните, что осенью пройдут выборы мэра в Москве и тоже на блокчейне). И специалисты задаются вопросы, может ли компания, которая не смогла защитить даже свой сайт, обеспечивать безопасность выборов? И это при том, что Voatz заявляет, что они первая в мире компания в области выборов, которая вышла на Bug Bounty (ценник за криты у них, правда, невысокий) и вот это вот все...

Пост Лукацкого

26 июня 2023 12:32

Но будь я директором НИИ Интеграл, я бы все-таки помимо красивых оранжево-синих (хорошо, что не желто-голубых) диаграмм и графиков еще бы IOCи отдавал по API или выкладывал бы на сайт. Хотя кто-то и говорит, что толку от них немного, но в отдельных случаях, может быть полезным. Ибо указывать просто страны и просто домены, с которых идут фишинговые атаки и в которых размещаются мошеннические ресурсы, большого смысла нет - использовать на практике эти данные невозможно (если только не заявлять в СМИ, что нас чаще всего атакуют Голландия, США и Канада). Ну и картинку с Топ-5 целей я бы переименовал - это не цели атак, это скорее их темы. Но все-таки это первая попытка, скорее всего еще будут доработки.

Пост Лукацкого

26 июня 2023 12:24

Если раньше еженедельную статистику по блокируемым угрозам ИБ публиковал только НКЦКИ, то сейчас это еще и Минцифры будет делать через подведомственный НИИ Интеграл. Так, глядь, и Банк России через ФинЦЕРТ начнет публично рассказывать о своей деятельности на еженедельной, а не ежегодной основе.

Пост Лукацкого

26 июня 2023 06:40

В пятницу европейцы ввели санкции против 🟥, о чем написали чуть ли не все ИБ-каналы и бизнес-СМИ. Но мало кто написал, что под раздачу попала еще несколько ИБ-компаний. Из тех, что на слуху, - НТЦ Вулкан и НПО Эшелон. Окенит, Поиск-ИТ, НИИ Вектор, Итеранет тоже занимаются отдельными аспектами ИБ и тоже имеют лицензии ФСБ, а это, похоже, было основным критерием введения санкций.

ЗЫ. Официально заявляю, что все, что происходило в стране в пятницу вечером и в субботу, никакого отношения к попыткам сместить акценты с санкций на новую повестку не имеет. Батискаф тоже никак не связан с переключением внимания с санкций.

Пост Лукацкого

25 июня 2023 16:52

Больше суток официальный Твиттер-аккаунт ЛДПР взломан и находится в руках неизвестных, постящих всякую антироссийскую шнягу. Интересно почему? Админ отдыхает? Партия не в курсе? Твиттер не реагирует на обращения? А может это нейросеть «Жириновский» шалит?

Пост Лукацкого

25 июня 2023 08:40

Интересный проект, сочетающий в себе виртуальный и физический мир. Pave Bike - первый велосипед, который защищен блокчейном. Именно защищен, то есть с помощью токена NFT, который получает каждый ездок, велосипед блокируется и разблокируется, предотвращая тем самым кражу. А сам ключ доступа в виде NFT-токена хранится в приложении Pave+ на смартфоне (есть и смарткарта на случай утери телефона или отсутствия Интернета).

До этого существовали псевдо-e-bike. Например, Colnago выпускал велики с RFID-метками, в которых был "зашит" также NFT, который позволял убедиться во владении транспортным средством в случае остановки полицией.

Пост Лукацкого

24 июня 2023 16:42

Хочется обратить внимание, что во время контртеррористической операции, в соответствии с законом, временно может отменяться тайна переписки и государство может контролировать телефонные переговоры, телекоммуникационные сети и другие средства связи 📡. Также услуги связи вообще могут быть ограничены частично или полностью ⛔️.

Не пора ли учесть этот сценарий в модели угроз? Отключение обновления средств защиты - вполне себе вероятная история. А вот если из-за этого сценария организация не сможет оказывать сервис в течении доительного времени, то это уже может рассматриваться как недопустимое событие; для бизнеса, не для ИБ 🤨

Пост Лукацкого

24 июня 2023 08:40

Главное, чтобы аббревиатуру XDR в стране не запретили. А то она в кириллической раскладке как ЧВК звучит…

Пост Лукацкого

23 июня 2023 16:55

Какой основной подход используется в американских SOCах при принятии решения о том, какие данные будут собираться в SOCе? У половины решение в лоб - что SIEM собирать умеет, то и анализируем, не задумываясь, нужно оно или нет 🤔 У второй "половины" чуть более здравый подход - ориентируясь на риски, чтобы кто не вкладывал в это понятие. Приоритизацию по ключевым/целевым системам и сценариям используют гораздо реже 😫

Пост Лукацкого

23 июня 2023 10:04

Почти 70% SOCов не измеряют такой показатель, как "cost per record" в используемых SIEM, тем самым не оценивая и не оптимизируя хранилище логов в своих центрах мониторинга.

Чтобы делать это, необходимо ответить себе на ряд вопросов:
1️⃣ Какие источники телеметрии мне нужны?
2️⃣ Какие поля из этих источников мне нужны?
3️⃣ Как долго мне может понадобиться информация из этих источников?
4️⃣ Что я потеряю, если у меня не будет этих источников?

И чтобы не зависнуть на этапе выбора нужных логов, необходимо отталкиваться не от тех источников, которые у нас есть (а их может быть реально до хрена), а от тех сценариев мониторинга (use case), которые выбраны для организации актуальными. А если поднять выше по пищевой цепочке иерархии потребностей и дойти до бизнеса, то мы отталкиваться будем и вовсе от недопустимых событий. Тогда станет понятно, какие use cases могут привести к НС и какие логи нам будут нужны, чтобы это детектить.

Пост Лукацкого

22 июня 2023 22:19

Хорошая иллюстрация. Ничего не скажешь, умеют иностранцы неплохо иллюстрировать различные концепции и модели. На этой мы видим различные риски (недопустимые события) для компании, которые имеют совершенно различную природу и способы их реализации. Немало из этого и через ИТ/ОТ может быть реализовано (я бы сказал, большинство). Это универсальная модель, которая, как часто бывает с универсальными моделями, может либо не учитывать что-то специфическое для вас (например, санкции тут не упомянуты), а что-то для вас, наоборот, неактуально.

Но и способы борьбы с этими рисками тоже различные - далеко не всегда ИБ является тем столпом, на котором все держится. Не нужно строить иллюзий. Да, ИБ важна, но также важны и другие функции - юридическая, ИТ, корпоративные финансы, PR, маркетинг и т.п. Поэтому и борьба с недопустимыми событиями должна вестись сообща. И, обратите внимание, что на картинке показаны именно функции, а не подразделения.

ЗЫ. Удалил по ошибке этот пост - возвращаю 😞

Пост Лукацкого

28 июня 2023 10:04

Конечно, не стране, бомбившей Югославию и развязавшей максимальное количество военных конфликтов за последние 100 лет, учить нас демократии, но… все-таки нам есть чему у США поучиться. Есть у них такая странная конструкция, как Конституция, которая реально является основным законом и реально работает. В Конституции США есть первая поправка (да, они тоже правят основной закон, но не так как у нас), которая превозносит свободу слова, религии, прессы, собраний и права на подачу петиций. И согласно этой поправке в стране запрещена цензура 🤬!

Херасе, скажете вы, вот это «достижение». В России она тоже запрещена. Но всем плевать. А в США на эту тему напрягаются и даже проводят сенатские и иные расследования, обличающие власть придержащих, нарушающих это право каждого свободного человека.

В этот раз это право было нарушено CISA, американским агентством по безопасности критической инфраструктуры, которое тихой сапой стало заниматься и борьбой с дезинформацией, тупо цензурируя все, что шло супротив воли народа американских властей. И вот позавчера был опубликован отчет на эту тему, где CISA прямо обвиняется в борьбе с инакомыслием и нарушении первой, самой главной поправки к Конституции.

Представил, что у нас кто-то решил обвинить ХХХ в цензуре и запрете высказывать свое мнение… И даже не сразу осознал, как бредово это звучит ;-) А вот где-то это работает. А вы говорите, не может быть 🙄

Пост Лукацкого

27 июня 2023 16:54

💰 В конце мая мы поделились с вами примерами кибератак, которые привели к банкротству компаний — одному из самых значимых недопустимых событий.

Вы думаете, что это все примеры и больше такого не было? Увы, вынуждены вас разочаровать, — цифровизация компаний растет, а значит, открывается и простор для негативного воздействия на их ИТ-инфраструктуры и сервисы.

Делимся еще одной небольшой подборкой.

@Positive_Technologies

Пост Лукацкого

27 июня 2023 10:06

Встретил тут в одной инструкции ограничение на длину пароля - в 255 символов. Я бы посмотрел на тех людей, кто способен ввести пароль хотя бы на 50 символов 💻 Все-таки, когда пишешь какие-либо инструкции и вводишь запреты, надо думать об их реалистичности, а не только о возможных технических ограничениях 🙏

Пост Лукацкого

26 июня 2023 19:55

Вспоминая Высоцкого:

Проникновенье наше по планете
Особенно заметно вдалеке:
В общественном парижском туалете
Есть надписи на русском языке!

В АНБ тоже есть ;-)

Пост Лукацкого

26 июня 2023 14:24

У большинства американских SOCов (in-house) от 11 до 25 сотрудников!

Пост Лукацкого

26 июня 2023 12:24

📊 В 2022 году в целях противодействия вредоносной киберактивности внутри нашей страны на базе ФГБУ «НИИ «Интеграл» была развернута информационная система мониторинга фишинговых сайтов и утечек персональных данных.
С начала 2023 года специалисты «Интеграла» заблокировали уже более 14 тысяч подозрительных интернет-страниц.

В рамках инициативы по повышению осведомленности и уровня защищенности мы будем еженедельно публиковать официальную статистику обнаруженных вредоносных фишинговых ресурсов по странам и секторам.

Пост Лукацкого

26 июня 2023 10:26

⚡️Отраслевой центр информационной безопасности цифровой экономики

В целях ускорения массового внедрения доверенных отечественных ИТ-технологий с интегрированными механизмами информационной безопасности, в том числе с применением криптографических алгоритмов ‎и протоколов защиты информации, при создании и развитии цифровых сервисов и информационных систем, а также при внедрении механизмов цифровой идентификации и аутентификации, формировании цифрового пространства доверия и использовании технологий электронной подписи Правительство РФ планирует создать отраслевой центр информационной безопасности цифровой экономики, функции которого будет выполнять «Национальный технологический центр цифровой криптографии».

Основные функции Отраслевого центра ИБ:
🔹осуществление научной деятельности в области ОИБ, в том числе ‎с использованием перспективных механизмов криптографической защиты информации
🔹участие в разработке и реализация государственной политики ‎в области ОИБ Российской Федерации
🔹предоставление услуг в сферах исследования механизмов ОИБ
🔹создание, эксплуатация и поддержание в актуальном состоянии научно-технической, вычислительной, информационно-телекоммуникационной и экспериментальной инфраструктуры
🔹сбор и анализ потребностей госорганов органов в области ОИБ, выявление и анализ факторов и барьеров, препятствующих внедрению отечественных решений по обеспечению информационной безопасности, в том числе с встроенными отечественными криптографическими механизмами
🔹осуществление функций секретариата Технического комитета ‎по стандартизации «Криптографическая защита информации» (ТК 26).

🚀Об ЭП и УЦ

Пост Лукацкого

25 июня 2023 20:12

Мне тут позвонили журналисты и попросили прокомментировать грядущие "выборы мэра Москвы, Сергея Семеновича Собянина", которые пройдут в дистанционном электронном формате. Мол, как я оцениваю безопасность этих будущих выборов через ДЭГ? А я не стал ничего комментировать. Раз уж и имя выбранного мэра уже известно, то можно заранее утверждать, что выборы прошли успешно и безопасно 😱

ЗЫ. Но некоторые журналисты, конечно, совсем незамутненные.

ЗЗЫ. А вообще, в эти выходные тема выборов мэра Москвы, конечно, является очень актуальной 😂 Других, более актуальных тем у нас просто нет 🔫

Пост Лукацкого

25 июня 2023 12:54

На фоне всего произошедшего вспомнилось вдруг, что несколько лет назад в определенных коридорах власти ходила идея запрета всех частных команд по реагированию на инциденты. Мол, эта деятельность подпадала под оперативно-разыскные мероприятия, а ими могут заниматься только спецслужбы и правоохранительные органы.

К счастью, тогда эту идею так и не реализовали, а то мы могли бы получить историю ЧВК Вагнера, но в виртуальном пространстве. С одной стороны наемничество прямо запрещено законом, а с другой - все закрывают глаза и даже превозносят частные военные компании. А тут команды по расследованию инцидентов ИБ, которые вроде могли бы быть вне закона, но их бы привлекали по мере необходимости, но всегда держали бы на крючке. Незавидная судьба... могла бы быть. Хорошо, что все обошлось.

ЗЫ. На видео фрагмент из сатирического киножурнала "Фитиль" (1992), который показывает, что за 30 лет так ничего и не поменялось 😊

Пост Лукацкого

24 июня 2023 20:19

Интересно нейросети видят хакеров будущего и ИБшников будущего. В первом случае искусственный интеллект, роботизация и вот это вот все. Во втором - бронежилеты, каски, плохое зрение... 😰

Пост Лукацкого

24 июня 2023 12:49

Распределение методов удержания персонала в американских SOCах. Патриотизма и «отобрали паспорт» в списке нет 😀

Пост Лукацкого

23 июня 2023 20:16

Согласно свежему исследованию 600+ североамериканских SOCов к трем основным метрикам, используемым ими для оценки своей эффективности, относятся:
1️⃣ Число инцидентов
2️⃣ Время от обнаружения инцидента до устранения причин, приведших к нему
3️⃣ Соотношение инцидентов, в которых использовались известные/неизвестные уязвимости.

Пост Лукацкого

23 июня 2023 13:25

Три основных технологии/инструмента, которые оцениваются при приеме на работу кандидатов в американских SOCах, это:
1️⃣ EDR / XDR
2️⃣ SIEM
3️⃣➖4️⃣ Устранение уязвимостей на хостах и мониторинг сетевого трафика.

Причем первые две с большим отрывом от всего остального. Меньше всего интересуют фильтрация трафика, инспекция SSL/TLS и анализ Netflow.

Пост Лукацкого

23 июня 2023 06:40

Топ 5 уже внедренных или планируемых к внедрению в американских организациях технологий защиты:
1️⃣ EDR / XDR
2️⃣ Фильтрация e-mail
3️⃣ Регистрация событий на хостах
4️⃣ NGFW
5️⃣ VPN

А пять самых редких технологий:
1️⃣ Full PCAP
2️⃣ Обманные технологии
3️⃣ Сетевой анализ пакетов
4️⃣ Анализ сетевого трафика / аномалий
5️⃣ Машинное обучение / ИИ

Пост Лукацкого

22 июня 2023 16:48

Хорошая иллюстрация. Ничего не скажешь, умеют иностранцы неплохо иллюстрировать различные концепции и модели. На этой мы видим различные риски (недопустимые события) для компании, которые имеют совершенно различную природу и способы их реализации. Немало из этого и через ИТ/ОТ может быть реализовано (я бы сказал, большинство). Это универсальная модель, которая, как часто бывает с универсальными моделями, может либо не учитывать что-то специфическое для вас (например, санкции тут не упомянуты), а что-то для вас, наоборот, неактуально.

Но и способы борьбы с этими рисками тоже различные - далеко не всегда ИБ является тем столпом, на котором все держится. Не нужно строить иллюзий. Да, ИБ важна, но также важны и другие функции - юридическая, ИТ, корпоративные финансы, PR, маркетинг и т.п. Поэтому и борьба с недопустимыми событиями должна вестись сообща. И, обратите внимание, что на картинке показаны именно функции, а не подразделения.