При всем богатстве техник и тактик в MITRE ATT&CK комбинаций, которые бы применялись на практике, - ограниченное число 📇 Знание этих комбинаций, или путей/цепочек атак, позволяет ускорить обнаружение инцидентов и реагирование на них. Но где взять такие цепочки? 🔗 Из бюллетеней TI их не составишь, так как обычно там только атомарные техники, которые надо еще уметь составлять в правильные комбинации. Раньше вариантов было только два - выстроить собственное TI-подразделение или опираться на экспертизу в области цепочек в ИБ-продуктах (например, по этому пути развивается MaxPatrol O2) 🛡

🆕 И вот недавно MITRE Engenuity’s Center for Threat-Informed Defense анонсировал проект Technique Inference Engine, который как раз облегчает движение по первому пути. В рамках этого проекта собраны существующие цепочки атак 🔗, что позволяет по одной или нескольким техникам предсказать возможные следующие шаги злоумышленника 🔮 В основе проекта ML-модель, обученная на соответствующих данных из 6236 TI-отчетов от OpenCTI, TRAM (позволяет вытягивать индикаторы из TI-отчетов с помощью LLM ), Adversary Emulation Library, Attacks Flow и других проектов MITRE и MITRE Engenuity 🔓

‼️ Важно ‼️ Не стоит думать, что этот инструмент раз и навсегда решит проблему с предсказанием следующих действий злоумышленников. Я провел простой эксперимент - взял свежее описание по группировке PhaseShifters и загнал техники оттуда в TIE. Нет, в ответ я не получил название группировок 🇷🇺, которые используют схожий набор (для этого можно было бы использовать сервис MITRE CARET). Я получил список из 20 техник, которые могли бы еще быть использованы, так как встречались в других инцидентах вместе с введенными мною. Но что делать с этим списком? Все равно не обойтись без понимания того, что делать с этими техниками, то есть без своего TI вам не обойтись. Но список возможных вариантов TIE сужает, что немало 👨‍💻

ЗЫ. Из интересного - можно самостоятельно и локально поиграться и с моделью и с датасетом с помощью Python Notebook 🧑‍💻 - предоставлены все необходимые ресурсы.

ЗЗЫ. Но цепочки проект все-таки не строит 🤷‍♀️

ЗЗЗЫ. И помните, что не все существующие техники попадают в ATT&CK.

Читать полностью…

Вчера по поселку бегали дети 😀 по домам, "пугали" людей и, следуя традициям Хеллоуина, кричали "Сладость или гадость" 🍭, закрыв тем самым то ли Тыквенный спас, то ли «Ночь таинственных историй», то ли американский праздник, который у нас скоро запретят, как чуждый тонкой и ранимой русской душе.

А я вдруг подумал, что скоро они повзрослеют и начнут просить не конфеты, а цифровые "вкусняшки" - биткойны, стейблкойны и другие элементы современной жизни молодежи. В наше время, когда все за ЗОЖ 💪, а дети с малых лет погружаются в цифру, конфеты просить уже как-то некомильфо.

ЗЫ. Кстати, если кто собирал все таинственные истории по моим соцсетям, то их было 1️⃣🅾️

Читать полностью…

Неожиданный поворот. Вендор в области аутентификации решил, что никому в голову не придет придумывать себе логин длиной больше 52 символов и поэтому не стал включать в тесты этот сценарий. А зря… Оказалось, что при наличии такого логина (более 52 символов) можно было вообще не вводить пароль (если, конечно, не была включена MFA) 🤦‍♂️

Читать полностью…

Вас тоже бесит, когда друзья, пришедшие к вам домой, просят пароль от вайфая, но у них не айфон 📲, а точка доступа, на которой приклеен пароль, у вас где-то на антресолях закопана?..

Читать полностью…

Три интересных новости попались мне относительно искусственного интеллекта. Во-первых, в Японии 🇯🇵 осудили первого человека, которого обвинили в использовании ИИ для разработки вредоносного кода 🦠 Ему дали 3 года и на 4 года отстранен от должности. Однако полиция считает, что никакого вреда обвиняемый своим творением нанести не успел. Но сам факт заслуживает внимания. Тем более, что в сентябре исследователи HP уже писали об обнаружении ими в "дикой природе" вредоноса, предположительно написанного с помощью ИИ. Скоро фишки вредоносов с распознаванием образов (OCR) на базе ИИ на борту (как, например, в случае с Rhadamanthys) покажутся нам детским лепетом.

Вторая новость связана с проектом AI Honeypot 🍯, который должен ответить на вопрос - как активно используется ИИ при проведении атак. Созданная ловушка содержала явные уязвимости, что не могло не привлечь к ней внимание плохих парней, которых по ходу препарировали, пытаясь выяснить, есть ли среди них роботы 🤖 Что интересно, из полутора миллиона атак всего 6 было отнесено к, вероятно, инициированными ИИ-агентами.

А вот третьему исследованию я уделю больше внимания. В нем проанализировали 243 инцидента, связанных с безопасностью ИИ 🧠 в период с 2015 по 2024 годы. Результаты оказались неожиданными - большинство из них - не специфические для ИИ атаки, а обычные проблемы кибербезопасности, которые затрагивают компании и программное обеспечение, работающие с ИИ:
🔤 Около 89% инцидентов были демонстрациями исследователей или легальными проверками, а не реальными атаками злоумышленников 🔓
🔤 Только 17,7% составляют настоящие атаки, специфические для ИИ
🔤 Инъекция через запросы, включая случай с чат-ботом Chevrolet
🔤 Манипуляция моделями, как в инцидентах с ChatGPT или HuggingFace
🔤 Вмешательство в данные для обучения, как, например, в истории с ByteDance или Protiviti
🔤 Adversarial (ну это известная классика).
🔤 Большая часть (82,3%) инцидентов связана с традиционными уязвимостями в ИИ-программном обеспечении, которые ошибочно называют "уязвимостями ИИ"
🔤 Утечки данных, например, инциденты с Clearview AI и Removal.ai
🔤 Хищение ресурсов, как в случае с Anyscale Ray
🔤 Ошибки конфигурации облаков, которые привели к утечке данных ⛈, как в кейсе Replicate AI
🔤 Проблемы с безопасностью API, как, например, в инцидентах Vanna SQL или Google Coude Vertex AI.

Исследователи сделали три основных вывода:
1️⃣ Доминирование традиционных уязвимостей. Распространенные проблемы включают доступ к файловым системам, уязвимости аутентификации и проблемы с API. Например, инцидент с Anyscale Ray в 2024 году показал, как через незащищенную точку доступа API были скомпрометированы ресурсы на почти один миллиард долларов 💰
2️⃣ Растущее число атак, специфичных для ИИ. Хотя такие атаки пока редки, их количество увеличивается. Примеры включают инъекцию команд (например, случай с чат-ботом Chevrolet в 2024 году) и кражу датасетов и ML-моделей 🤒
3️⃣ Наибольшая угроза — инфраструктурные уязвимости. Сюда входят хищение ресурсов, утечки данных и ошибки конфигурации облаков. Например, в мае 2024 года контейнерный реестр Replicate AI был открыт для загрузки вредоносных файлов 🤒

Обнаружено, что уязвимости в программных фреймворках для разработки ИИ стали частым явлением. Злоумышленники также создают вредоносные модели ИИ, надеясь на их загрузку другими пользователями. Это тенденции этого, 2024 года 🔮

Основной вывод из этих трех новостей можно сделать один - компании могут неправильно ⚠️ распределять свои ресурсы, сосредотачиваясь на экзотических угрозах ИИ, игнорируя базовые проблемы безопасности, связанные с отсутствием процесса управления уязвимостями и безопасной разработки. Это ведет к ложному ощущению новизны и отвлекает от решения фундаментальных проблем 🛡 И хотя специфические атаки на ИИ реальны и их число растет, именно традиционные уязвимости пока остаются основной угрозой для компаний.

Читать полностью…

Оно, конечно, ничего нового, но тут в одной статье вывели 10 ключевых проблем, с которыми сейчас сталкиваются CISO. Не так чтобы там были какие-то откровения, но вдруг вы о чем-то не знали, а для вас это проблема или она станет таковой в ближайшее время:
🔤 Расширяющийся ландшафт угроз. Увеличение количества и сложности атак, а также существенное расширение ИТ/ОТ-инфраструктуры.
8️⃣ Изменяющаяся среда. Необходимость оперативно адаптировать защиту под постоянно изменяющиеся требования бизнеса, поддерживая его развитие и не мешая ему.
🔤 Рост регуляторных требований. Многочисленные и часто конфликтующие требования законодательства.
🔤 Риски третьих сторон. Уязвимости поставщиков и участников цепочек поставок, которых компании не контролируют напрямую.
🔤 Ответственность за результат. Растущая персональная и юридическая ответственность CISO за защиту данных.
🔤 Безопасность ИИ. Необходимость защищать данные и инфраструктуру при использовании и развитии технологий ИИ.
🔤 Угрозы, связанные с ИИ. Использование ИИ злоумышленниками для усиления атак.
🔤 Ограниченные ресурсы. Нехватка кадров и финансов на фоне дефицита специалистов.
🔤 Роль безопасности в организации. Безопасность по-прежнему воспринимается как технический аспект, а не часть бизнеса.
🔤🔤 Операционное совершенство. Поддержание необходимого уровня безопасности и быстрая адаптация к новым угрозам и технологиям.

И хотя эта статья была опубликована в американском издании, эти проблемы актуальны и для нас, даже 6-я.

Читать полностью…

В свежем исследовании "Insights and Current Gaps in Open-Source LLM Vulnerability Scanners: A Comparative Analysis" проводится анализ существующих сканеров уязвимостей в различных LLM 🧠 Было протестировано 15 сканеров - CyberSecEval, HouYi, JailBreakingLLMs, LLMAttacks, Garak, Giskard, Prompt Fuzzer, PromptInject, Prompt-foo, LLMCanary, Agentic security, PyRIT, LLMFuzzer, PromptMap и Vigil-llm и затем из них выбирали тех, кто соответствовал трем критериям: 👉
1️⃣ Качество базы тестов
2️⃣ Частота обновлений
3️⃣ Открытый код с активным комьюнити.

В итоге в финальную выборку вошли всего 4 сканера 🤕 - Garak, Giskard, PyRIT и CyberSecEval, которые тестировали 35 атак, разбитых на 5 категорий, включая джейлбрейк и написание вредоносного кода. Тестировали эти сканеры против 4 LLM - Meta LLaMA 3, Cohere Command-R, OpenAI GPT-4o и Mistral Small 📱

У каждого из 4-х сканеров были выявлены свои преимущества. Например, Garak имеет невысокую кастомизацию, чего не скажешь о PyRIT, который позволяет редактировать все инструкции, но при этом требуют глубоких знаний prompt engineering. Giskard идеален для тестирования в динамичном окружении с минимальным ручным вмешательством. CyberSecEval при этом хорош при тестировании LLM, помогающих в написании кода 🧑‍💻

Если вы развернули у себя в компании собственную LLM, хоть и на базе какой-нибудь LLaMA, то при проведении тестов на проникновение стоит включить в scope и ее. Это подсказывает не только здравый смысл, но и направления развития ИБ-регуляторики в нашей стране 🤔

Читать полностью…

Надо признать, что в среде специалистов так до сих пор и не пришли к единому мнению насчет различий между пентестом и red team... ⚖️ Поэтому одни, реализуют пентест, который выходит за рамки стандартных практик, а другие запустив фишинговую атаку, уже называют это red team'ингом. Но нужен ли тут стандарт, описывающий минимально необходимый набор действий хотя бы при пентесте?.. У меня нет на этот вопрос ответа. Как рекомендации вполне может быть ✍️

Но тогда уж и вообще попробовать четко зафиксировать все варианты оценки защищенности, их предназначение, предполагаемые результаты, области действия и т.п. 😵 А то помимо пентестов и red team'инг, у нас еще есть bug bounty, инструментальная проверка защищенности, аудиты, APT bug bounty и т.п., к которым еще иногда добавляют то слово "непрерывный", то "next generation"... 🤕

Читать полностью…

В Италии 🇮🇹 разразился крупный скандал, связанный с утечкой конфиденциальных данных высокопоставленных политиков, включая президента Серджо Маттарелла и экс-премьера Маттео Ренци. Главный обвиняемый — 44-летний IT-консультант Нунцио Самуэле Калауччи, который ранее заявлял о взломе Пентагона в составе группы Anonymous 🥷

Работая с командой программистов над базами данных для Министерства внутренних дел, он использовал ночное время для кражи приватной информации через уязвимости в серверах 😵 Утром - ты честный и пушистый, а ночью - гроза Интернета. Когда на недавнем интервью для CyberYozh меня спрашивали, много ли известно случаев, когда ИБшники уходят на темную сторону, я сказал, что нет, немного, но они есть. Этот кейс из таких. Как и недавний кейс с индийским CISO, приторговывающим данными своего работодателя 📱

По данным следствия, утечка данных осуществлялась с помощью вируса, позволяющего удаленно контролировать серверы, и при участии инсайдеров 🔺 Калауччо работал на компанию Equalize, возглавляемую бывшим полицейским Кармине Галло 👮‍♂️, который и руководил этой схемой и использовал данные для шантажа и продажи. С 2019 года по март 2024 года группа заработала более €3,1 млн. Тут, конечно, странная сумма звучит. Всего 3 миллиона? За пять лет, которые промышляли преступники? Кто-то что-то недоговаривает 🤐

Скандал вызвал резонанс в политическом мире. Министр иностранных дел Антонио Таяни назвал случившееся "угрозой демократии", а глава Сената Игнацио Ла Русса заявил о своем шоке и негодовании 😱 Политическая оппозиция требует проведения парламентского расследования и объяснений от премьер-министра Джорджи Мелони, так как информация утекла из Министерства внутренних дел 😱

А ведь совсем недавно, свеженазначенный глава всея ИБ Италии Фраттази называл именно Россию главной угрозой кибербезопасности страны. Эвона как получилось неудобно - в своем глазу бревна не увидать... Кроме того, партия "Братья Италии" 🇮🇹 призвала к ужесточению законодательства и повышению наказаний за киберпреступления, а национальное управление по защите данных запустило специальную группу для анализа безопасности баз данных страны. Может еще чего интересного найдут...

Читать полностью…

Известный на Западе специалист по ИБ Айра Винклер (Ira Winkler) написал открытое письмо руководству ISC2, которая управляет сертификацией CISSP, и которая подверглась критике за неверное представление данных о рынке труда в области кибербезопасности 🤮 Директор ISC2, Дебра Тейлор 🤢, ссылаясь на доклад 2023 Workforce Study, заявила, что миру требуются более 1 миллиона специалистов по кибербезопасности, но анализ данных показал, что этот разрыв не отражает реальные вакансии.

Айра Винклер подробно анализирует ситуацию с ISC2, приводя следующие доказательства:
💀 Несоответствие данных. Ссылаясь на данные из отчета ISC2, автор отмечает, что информация о разрыве в 4,8 миллиона специалистов не отражает реальные вакансии. В документе говорится, что этот разрыв — это оценка потребности в людях, необходимых для защиты организаций, а не фактические вакансии ⚖️
💀 Стагнация на рынке труда. ISC2 сама признала, что прирост специалистов в глобальном масштабе составил всего 0,08% за год, что противоречит заявленному росту спроса 📊
💀 Значительная потеря рабочих мест. В Северной и Латинской Америке, а также в Европе потеряно около 60 000 рабочих мест, что свидетельствует о стагнации или даже снижении спроса на специалистов 📉
💀 Малый шрифт и недосказанность. ISC2 включила дисклеймер о том, что это лишь оценка потребности, а не реальный спрос на специалистов, но специально сделала это мелким шрифтом.
💀 Реакция сообщества. Автор приводит мнения бывших членов совета и сотрудников ISC2, которые поддержали его критику и выразили недоверие к организации.
💀 Риск репутации. Упоминается, что данная ситуация привела к обсуждению возможности коллективного иска, что подтверждает серьёзность проблемы 😱

Эти аргументы показывают, что ISC2 продвигает недостоверные данные о рынке труда, что наносит ущерб её репутации и вводит в заблуждение потенциальных кандидатов. Айра Винклер считает это либо неэтичным поведением, либо некомпетентностью ISC2 и предлагает прекратить вводящую в заблуждение практику ⛔

Читать полностью…

Вампир-вымогатель: плати или останешься в темноте

Он пришел без предупреждения 🧛, заблокировав каждый файл, каждый доступ, словно замок захлопнулся и все ключи потеряны. Рансомвэр-вампир 😈 Его холодное дыхание ощущалось в каждом углу системы. "Плати, или твои данные останутся в темноте навсегда," – шептал он, не оставляя ни малейшего шанса на спасение. Единственная надежда – выкуп, но кто знает, что еще он потребует?.. 👅

Читать полностью…

Кибер-зомби: пароли из прошлого

Они говорили, что слабые пароли давно ушли в прошлое 🙅‍♂️ Но в ночи, среди шорохов старых серверов, снова и снова появлялась тень. Старые, забытые логины, заполненные легкодоступными паролями, вылезали из самых глубоких архивов системы. 123456... password... qwerty… Привычные слова 😮 внезапно превратились в двери для цифровых зомби, которые поднимались из прошлого и безмолвно атаковали. Зомби паролей шли бесконечным потоком, пока не разрушали каждый замок, подчиняя себе всё 📍

Читать полностью…

Интересно, эксперты «в полях» 👨‍💻 и ученые-теоретики 🧑‍🔬 имеют разную оценку того, какие угрозы на базе ИИ наиболее вероятны и опасны. Депутаты Ученые на первое место ставят дипфейки 🎭, а реалисты не включают их даже в десятку 🤔

Читать полностью…

< Какое будущее ждет защитников цифрового мира

В октябре в Дубае прошла крупнейшая IT-выставка Ближнего Востока — GITEX GLOBAL 2024. Свои технологии представляли сотни компаний со всего мира, в том числе и Positive Technologies 😉

Робоголова Йорик, летающие автомобили, китайский и индийский кибербез — о том, что было показано на выставке, специально для Positive Hack Media рассказал Алексей Лукацкий.

🤖 Смотрите экскурсию и узнавайте, к каким киберугрозам нам стоит готовиться в будущем (и, на самом деле, в настоящем)!

@PositiveHackMedia

Читать полностью…

В третьем квартале 2024 года инвестиции в стартапы в области кибербезопасности значительно сократились 📉 Общий объем финансирования составил $2,1 млрд, что на 51% меньше, чем $4,3 млрд во втором квартале. Число сделок также упало до 116, что является самым низким показателем с 2013 года. Отсутствие крупных сделок и сезонные колебания усугубили спад 📉. Инвесторы по-прежнему заинтересованы в отрасли, но рост интереса к ИИ отвлекает внимание от кибербезопасности (а если ИИ в ИБ). Особенно сильно падение коснулось израильских стартапов (удивительно) 🇮🇱 Аналитики ожидают, что инвестиции восстановятся в будущем, но это потребует времени.

ЗЫ. А в другом отчете написано, что многие публичные ИБ-компании отказываются от своей публичности и переходят в разряд частных компаний, что дает им больше возможностей по развитию и меньше контроля извне. Но и меньше заемных денег на развитие. Так что тоже непростой вопрос... ❓

Читать полностью…

Когда ко мне пришли в личку один раз с вопросом: «Мне 35/43/51 — хочу перейти в ИБ из другой профессии», я ответил, как смог в рамках Telegram-канала 📱 Когда пришли второй раз — я тоже ответил в личке. Но когда идентичных вопросов стало больше трех, я решил, что надо вынести мой ответ в паблик, разбив его на части... ❓

Читать полностью…

Благая весть о кибербезе в святом месте, в храме 🥺 Заучить как «Отче наш»!

Читать полностью…

Александр подкинул ссылку на интересное исследование Gartner, в котором они ставят под сомнение текущие практики повышения осведомленности, основанные на персональном опыте и обучении 👨‍🏫 Согласно американским аналитикам существует проблема восприятия киберрисков - несмотря на усилия, направленные на повышение осведомленности о киберрисках, поведение пользователей зачастую остается небезопасным 💅 Поэтому многие мероприятия по изменению корпоративной культуры, чтобы ИБ воспринималась более серьезно и побуждала к действиям, оказываются неэффктивными.

А все потому, что пользователи часто не ощущают прямых последствий своих действий, что позволяет им принимать решения, не уделяя должного внимания безопасности 👋 Зачастую инцидент влияет не на них напрямую, а на компанию и то, опосредованно. Это требует внедрения новых подходов, которые будут создавать у сотрудников ощущение личной ответственности за их действия 🤔

Gartner рекомендует менять стиль коммуникации, чтобы акцентировать на личных последствиях от реализации инцидентов ИБ и использовать подход Gartner PIPE (practices, influences, platforms and enablers) для создания программы по укреплению культуры безопасного поведения 😛 При этом рекомендуется "давить" не персонально на каждого сотрудника, а через социальные группы, которые своим примером должны показывать "как правильно" 😠

Несколько тактик коммуникаций для привлечения внимания к кибербезу от Gartner:
1️⃣ Связь действий с последствиями. Донесение до сотрудников четкой связи между их действиями и результатами. Пример: "Если клиенты доверяют нам свои данные, мы получаем больше заказчиков, а вы получаете зарплату и премии/бонусы" или "Атака шифровальщика стала причиной того, что мы не достигли бизнес-показателей и мы не сможем получить премию" 🤑
2️⃣ Использование корпоративных ценностей. Соотнесение сообщений о безопасности с уже существующими корпоративными ценностями, такими как безопасность, качество или финансовая стабильность 🧐
3️⃣ Социальное давление. Использование сообщений, которые акцентируют внимание на том, что риск может затронуть других людей, что побуждает к более ответственному поведению. Например, "Утечка персональных данных может разрушить жизнь вашего коллеги" 🫵
4️⃣ Персонализация. Демонстрация возможных последствий для самих сотрудников или их близких. Пример: "После кражи моей цифровой личности я чувствовал себя беспомощным" 👨‍👩‍👧‍👦
5️⃣ Фан и запоминаемость. Использование юмора и узнаваемых мемов для того, чтобы сообщения лучше запоминались. Пример: "Смешной цифровой двойник бывает только в фильме "Приключения Электроника", в реальной жизни это может кончиться гораздо хуже" (про Электроника это уже моя придумка) 🖕
6️⃣ Изменение культуры обхода правил. Часто сотрудники применяют обходные пути для упрощения работы, что подрывает безопасность. Необходимо менять культуру, чтобы сотрудники видели ценность в соблюдении мер безопасности, и минимизировать трения в работе с системами безопасности ❤️

Читать полностью…

В одной иностранной организации были следующие KPI для оценки уровня ИБ на уровне всей организации:
1️⃣ % топ-менеджеров, у которых в персональных целях (MBO/OKR/KPI) были определены и задокументированы цели в области кибербезопасности, за достижение которых бонус платился, а за недостижение - нет
2️⃣ % соблюдения политик безопасности (отсутствие нарушений, все исключения одобрены и т.п.)
3️⃣ Количество инцидентов
4️⃣ Разница между планируемыми и фактическими показателями при выполнении мероприятий по ИБ, а также инвестиций в кибербез
5️⃣ % сотрудников, прошедших соответствующую оценку для определения эффективности пройденного ими обучения (то есть оценивается не факт обучения, а что оно дало пользу)
6️⃣ Количество проведенных киберучений
7️⃣ Сотрудничество с ФБР и государственными агентствами и службами (специфическая метрика)
8️⃣ Наличие разработанных планов обеспечения непрерывности ведения деятельности (COOP/ОНВД)

Первая - прям хорошая метрика, которая с одной стороны вовлекает топов в ИБ, а с другой - мотивирует их достигать результата. А если у топа от выполнения целей ИБ зависит бонус, он точно напряжет всех, чтобы ИБ выполнялась. Главное, цели выбирать правильно и установить контроль, чтобы не было очковтирательства.

Читать полностью…

Ну что, тема ИБ идет в массы. Вот и на Минаев Live теперь ▶️ Да, не Дудь, не Бузова и не иные популярные блогеры и тиктокерши, но уже движение в правильном направлении ➡️

Читать полностью…

🔄 Вышла новая версия ATT&CK v16, в которой MITRE сосредоточила свои усилия на создании баланса 🎮 между интересами разных категорий специалистов по ИБ. Обновлений сделано достаточно много и среди них:
1️⃣ Обновления для облачных сред. В новой версии реанимирована облачная ⛅ матрица, включающая теперь четыре платформы - IaaS, SaaS, Identity Provider и Office Suite (Azure, AD, Google Workspace и Office 365 были удалены), что обеспечивает ясное различие функций, например, Azure AD теперь входит в Identity Provider. Это помогает улучшить навигацию и обеспечить практическое применение для специалистов по мониторингу 👀

2️⃣ Нововведения в техниках. Добавлены новые техники, такие как T1496.004, где злоумышленники могут использовать скомпрометированные приложения SaaS для отправки спама ❗️ и истощения ресурсов. Также появилась техника T1666, описывающая изменение иерархии облачных ресурсов, чтобы уклониться от защитных механизмов 💭 Помимо них добавлены T1546.017: Event Triggered Execution: Udev Rules и T1558.005: Steal or Forge Kerberos Tickets: Ccache Files, а также T1557.004: Adversary-in-the-Middle: Evil Twin, T1213.004: Data from Information Repositories: Customer Relationship Management Software и T1213:Data from Information Repositories: Messaging Applications. Всего было добавлено 19 новых техник (только в Enterprise), внесены изменения в более чем 100 техник.

3️⃣ Обнаружение и защита. В v16 добавлено более 200 примеров псевдокода, помогающего обнаруживать 🔍 многие из описанных техник - для выполнения (85 примеров), доступа к учетным данным (120 примеров псевдокода) и работы с облаком (26 примеров). Также внедрен скрипт на Python для быстрого извлечения псевдокода обнаружения 🔎

4️⃣ Новая защитная мера. Out of Band Communication для обеспечения безопасности в случае компрометации сети 🕊

5️⃣ Киберразведка. Обновлены данные о 6 кампаниях и об 11 группах 🇷🇺 В раздел Software добавлено описание 33 новых инструментов, используемых злоумышленниками. Теперь в матрицу включено описание 844 инструментов, 186 групп и 42 кампаний 🇺🇸

6️⃣ Инфраструктура и инструменты. Представлен новый сервер TAXII 2.1, который позволяет пользователям развернуть его в своих организациях. TAXII 2.0 будет закрыт в декабре, и пользователи должны будут перейти на новую версию для получения актуальных данных.

Читать полностью…

Издание Politico продолжает подбрасывать дровишки в разгорающийся хакерский скандал, о котором я написал вчера и который, по всей видимости, выходит далеко за пределы страны 🇮🇹 и затрагивает такие государства, как Израиль, Ватикан, Великобританию и Литву. По данным утечек из полицейских прослушек 📞, миланская фирма Equalize, занимающаяся частными расследованиями, использовалась для взлома государственных баз данных и получения конфиденциальной информации о финансовых операциях и следственных делах. Среди клиентов компании оказались израильские спецслужбы и Ватикан, что подтверждается записями телефонных разговоров, попавшими в руки итальянских СМИ 📰

Основным фигурантом дела является IT-консультант Нунцио Самуэле Калауччи, который, по утверждению следователей, управлял этой операцией. В феврале 2023 года он встречался с двумя израильскими 🇮🇱 агентами в офисе компании в Милане для обсуждения задания на сумму в €1 миллион. Целью операции был взлом 🔓 данных ряда российских целей, включая близкого соратника президента Путина, а также отслеживание финансовых потоков, связанных с ЧВК Вагнер. Итоговые данные предполагалось передать Ватикану 🇻🇦

❗️Сюр какой-то. Евреи нанимали хакера, ломавшего Пентагон в составе Anonymous, для взлома соратника Путина и ЧВК Вагнер для передачи этих данных Ватикану?!!...❗️

Причины участия Ватикана 🛐 и израильских спецслужб остаются неясными, но их присутствие значительно расширяет масштаб расследования. Израильское посольство в Риме отказалось от комментариев, а Ватикан 💒 не ответил на запрос журналистов Politico. Я бы тоже, если честно, на такую пургу не ответил бы. Ну нахрена Израилю нанимать частника в Италии? У них же своих квалифицированных ребят немало 🥷

Также интересно, что израильские представители предлагали обмен информацией, включая оригинальные документы по скандалу с подкупами в Европарламенте, известному как Qatargate 🇪🇺 Кроме того, они предлагали данные, которые могли бы помочь компании Eni в защите ее интересов, связанных с контрабандой иранского газа 🇮🇷

❗️Сюр номер два. Ладно, найм хакера за деньги. Это я еще могу понять. Но когда израильские спецслужбы предлагают обмен секретными документами с частником?!.. Это вообще как? ❗️

Политики Италии выразили серьезное беспокойство по поводу международного масштаба скандала 💥 Сенатор Иван Скалфаротто заявил, что вовлеченность иностранных акторов добавляет стратегические риски для страны. Министр иностранных дел Антонио Таяни 😱 назвал произошедшее "недопустимым" и приказал создать рабочую группу для защиты министерства и посольств Италии. Следствие также расширяется на Великобританию и Литву - в материалах упоминаются сервера в этих странах и потенциальные действия хакеров из английского Колчестера 🇬🇧

ЗЫ. Если первая статья в Politico вызвала у меня удивление, но в целом она укладывалась в мою картину мира, то нынешний журналистский опус ✍️ как-то уже выходит за рамки очевидного и вероятного. Слишком уж неправдоподобно все это звучит. Но внимание явно притягивает. И, возможно, уводит его от чего-то другого, что хотят скрыть в Италии... 🤔

Читать полностью…

Я достаточно давно выступаю на позиции, что рынок киберпреступности 🥷 - это такой же рынок, как и все остальные, и живет он по обычным экономическим законам. Он перенимает все самое лучшее из мира легального, отбрасывает все неудобное и неэффективное, выкристализовывая только то, что позволяет зарабатывать деньги 🌐 А деньги можно зарабатывать либо путем привлечения все новых и новых клиентов, либо удержанием старых, которым надо показывать какую-то ценность, формировать доверие к себе. И на нелегальные и преступные продукты и сервисы это тоже распространяется 🎩

И вот новый пример - черный рынок 👺 (правда, наркотиков, не киберпреступности) вводит механизм "тайного покупателя", которые будут следить за качеством предлагаемых "продуктов" и "хорошие" продавцы будут помечаться в даркнете соответствующей иконкой 💰, подтверждающей качество продукции, которой можно "доверять". Думаю, что такая история может быстро перетечь и на рынок киберпреступности, где продавцы также борются за покупателя 🟦

Читать полностью…

29 октября хакерская группа Ukrainian Cyber Alliance заявила о взломе и уничтожении инфраструктуры Тверской администрации 🔓 Помимо всего прочего пострадала и система взимания оплаты за парковку 🅿️, которая не работала с 29-го по 31 октября. Если попробовать перевести потери бюджета от простоя парковок в деньги, то получится следующая арифметика:

1500 парковок (я округлил, в феврале этого года было 1387) по 30 рублей в час, то есть чуть больше 2-х миллионов рублей при полной круглосуточной загрузке. И хотя более половины сборов в бюджет от платных парковок – это штрафы за неуплату, это не сильно изменит сумму потерь 💰

С другой стороны, для жителей такая атака носит скорее положительный характер, так как они могут парковаться, не затрачивая на это никаких денежных средств, что даже при не очень высокой стоимости парковки (особенно по московским меркам) все равно деньги 💳

Это я к тому, что оценивая ущерб от любого инцидента надо смотреть на него с разных сторон ⚖️ И инцидент, может помимо негатива приносить и какой-то позитив. Вон в кейсе с Delta и CrowdStrike простой самолетов привел к экономии топлива на 50 миллионов долларов, а это, на секундочку, половина бюджета Твери на 2024 год. Это я все к тому, что инцидент, как и риск, имеет дуалистичную природу и не учитывать это было бы неправильно 🤔

Читать полностью…

Фишинг с глубокого озера

Говорят, что в глубинах цифрового озера обитают опасные существа 😱 Их зов трудно услышать, но они пленяют тех, кто оказался неосторожен. Эти сирены фишинга шлют заманчивые письма, притворяясь надёжными коллегами или давно потерянными друзьями. Их слова – словно песня, обещающая доступ к сокровенным данным, безмятежный доступ к скрытым файлам 😘

Ты видишь письмо, думаешь, что это просто запрос или уведомление. Но как только нажимаешь на ссылку, цифровая сирена 🤔 хватает тебя, утягивая в тёмные воды, из которых уже нет выхода. Она впивается в твою информацию, вытягивая всё, что было сокрыто, и оставляя после себя только пустоту. Лишь эхо её зловещей мелодии, шёпот слов, которые предостерегают: "Не все данные стоят твоей доверчивости…" 👋

Читать полностью…

Крипто-вампир: он высосет все твои средства

Глубокой ночью, когда город погружался во мрак, он 🧛‍♂️ подкрадывался к тем, кто доверил свои средства виртуальному миру. Крипто-вампир 🧛‍♀️ В одно мгновение ты видел все свои активы в кошельке, но следующее нажатие – и твои средства начинали истекать, словно кровь под клыками вампира 🧛 Один за другим токены исчезали, пока вампир не насытился. И на экране появилась надпись: "Твои средства – теперь мои…" 🦇

Читать полностью…

Призрак утечки данных

В темноте тихого офиса, когда все сотрудники уже ушли домой, в воздухе повисла странная тишина 😄 Серверная комната, обычно наполненная ровным гулом техники, вдруг замерла. Охранник, проверяющий помещения, уже собирался выключить свет, как вдруг заметил мерцающее свечение, словно тени данных ожили 👻

Тихо, будто сквозь сеть, возник силуэт – нечто прозрачное и зловещее 👻 Это был Призрак утечки данных. Он скользил между серверами, касаясь экранов холодными, невидимыми руками, и в его призрачных пальцах появлялись странные символы – пароли, документы, личные переписки. Он тащил эти фрагменты данных за собой, будто нити паутины, оставляя за собой цифровые следы, едва видимые глазу ☠️

"Что ты хочешь?!" – крикнул охранник, дрожащим голосом наблюдая, как файлы буквально утекают сквозь призрака, исчезая в цифровом небытие 👻

Но Призрак утечки данных не ответил 👻 – он был занят. Его безликое лицо озарила жуткая улыбка, пока он скрывался в темноте, оставляя за собой пустые экраны и полное отсутствие конфиденциальности. Только пустое эхо его зловещего шепота: "Никакие пароли тебя не спасут…" 👻

PS. Госдума тут решила провести ребрендинг Хеллоуина, переименовав его в "Ночь таинственных историй". Тот редкий случай, когда идея депутатов навела меня на что-то положительное. Решил написать несколько таинственных историй, разделив их между своим Telegram (/channel/alukatsky), VK (https://vk.com/id95181438), Instagram (https://www.instagram.com/alexeylukatsky/) и Facebook (https://www.facebook.com/alexey.lukatsky). Кто соберет их все?

Читать полностью…

Из моих виртуальных дневников. 9 лет назад. Хорошая ведь идея 💡 Но тогда к ней никто не был готов. А сейчас, после WAF-дня в Кибердоме (независимого тестирования WAF без предварительного согласования результатов с вендорами 🤬), можно было бы и попробовать. Дать на вход набор кода и вперед 👉

Читать полностью…

А мы тут прикольную визуализацию по защите инфраструктуры замутили 🛡 Кто придет на минский Positive SOCcon в первых рядах (тираж, как обычно, ограничен), тот получит физическое воплощение этой визуализации 💎

Читать полностью…

Как и планировалось, Delta 🛩 подала иск к CrowdStrike за сбой, связанный с неудачным обновлением ПО ИБ-компании 👨‍💻, и понесенными потерями в полмиллиарда долларов, которые получились в результате отмены 7000 рейсов с 19 по 24 июля, которая затронула 1,3 миллиона пассажиров ✈️

Авиакомпания официально насчитала, что она недосчиталась 380 миллионов долларов за возврат средств клиентам 🤑 за отмененные рейсы и еще 170 миллионов было потрачено на восстановление. 50 миллионов долларов было сэкономлено за счет простоя самолетов ✈️ При этом против Delta сейчас начато расследование, а также предъявлено несколько исков, например, вот. Так что потери на круг могут быть еще больше 💸

При этом CrowdStrike считает, что они несут ответственность не более, чем за 10 миллионов. И вообще, это Delta сама виновата 🖕, что отказалась от помощи CrowdStrike. И понять CrowdStrike можно - против них сейчас много исков возбуждено, например, раз, два, три. И если каждому платить запрошенное, то можно прикрывать лавочку ⛔

Но кейс интересен не суммой, а тем, что при любом исходе он может последствия на ИБ-отрасль. Если CrowdStrike 🦃 будет признана виновной, то этот прецедент поднимет вопрос об ответственности всех ИБ- и ИТ-компаний при похожих инцидентах. А вот если суд встанет на сторону CrowdStrike, то у клиентов может начаться отторжение к ИБ-продукции. Так что будем посмотреть 🤔

ЗЫ. Обратите внимание, что Delta посчитала не только потери, но и выгоды от инцидента (в виде экономии на топливе). Это хорошо иллюстрирует, что любой инцидент несет не только негативный окрас, но может иметь и положительные последствия.

Читать полностью…