Пост Лукацкого

27 апреля 2024 17:03

Эксперт по OSINT разоблачил видео девушки, которая пишет, что она купается 🏊‍♀️ в 5.30 утра в французской Ницце. Оказалось, что купается она не в 5.30, а в 6.04 утра. Если не придираться к тому, что девушка могла зайти в воду в 5.30, отплыть от берега (а видно, что она далеко от него) и снять видео (и тогда вполне возможно, что время будет таким, какое разоблачает Тревор), то вокруг OSINT ходит много всяких мифов и легенд и используют его часто в каких-то личных задачах - пробить девушку, узнать адрес или реальное имя, доказать фейковость и т.п. 🔍

Но OSINT может применяться не только против отдельных лиц, но и против компаний. И не только для изучения их слабых мест, но и для оценки площади атаки и ее снижения. Кто-то называет это Digital Risk Protection, кто-то корпоративным OSINT, кто-то да как только не называют. Суть не в названии, а в содержании и в том, занимается этим ИБ или нет. Мы, кстати, про это будем говорить на PHD2 и... что оооочень интересно, в дискуссии будет принимать участие ФСТЭК 🏛, которая подготовила проект требований по этой теме. Так что если вам интересно, что вас ждет и как это можно реализовать, то вы знаете, где об этом услышать.

Пост Лукацкого

27 апреля 2024 10:02

Ассоциации компаний по защите и хранению персональных данных неплохо было бы сначала изучить закон о персональных данных и правоприменение по нему. Тогда они разместили бы у себя на сайте хотя бы политику в отношении персональных данных и расписали бы согласие на их обработку чуть более конкретно. Пока это сраный стыд 🤠

Мой предыдущий пост про эту, так сказать, "ассоциацию" был верен 🤮 К слову, напомню, что RPPA появилась задолго до!

Пост Лукацкого

26 апреля 2024 20:22

Когда у сотрудников дубайского офиса 🟥 не только машины красные, но и вход в них по паролю.

И потом не говорите, что вы не знаете, как реализовать многофакторную аутентификацию на автомобиле ☺️ Ключ/брелок - фактор владения, а пароль/PIN - фактор знания! Скоро, глядишь, на бортовом компьютере надо будет пароль вводить или голосовую идентификацию проходить, чтобы двигатель завелся. Пока у многих автопроизводителей голосовые помощники просто используются для удобства 🚗

Пост Лукацкого

26 апреля 2024 13:32

Помните кейс с американской компанией Ring (дочка Amazon), которая через свои системы видеонаблюдения скрытно наблюдала 👀 за женщинами в спальнях и ванных? Федеральная торговая комиссия (FTC) в прошлом году вынесла решение против Ring, заставив ее заплатить пострадавшим компенсацию за утечки персональных данных. И вот на днях FTC заявила, что она выплатила 5,6 миллиона долларов в виде 117 тысяч PayPal-транзакций 📱

Это хороший пример, как можно было бы решить историю с предложением Минцифры по компенсациям за утечки персональных данных. Не перекладывать это на субъекта ПДн, а взять на себя. Сам наказал (через подведомственный РКН), сам получил штраф, сам перевел деньги пострадавшим. Тем более, что сумма не очень большая. В конце концов именно Минцифры отвечает за госполитику в области ПДн в России и кому, как не ему, взять на себя эту функцию 💡 Сами граждане не будут заморачиваться общением с оператором ПДн и истребовать из него мизерную компенсацию (в случае с Ring, примерно, по 40+ долларов на человека). А вот если это делает государство (как FTC в случае с Ring), то схема может и заработать... 😅

Пост Лукацкого

26 апреля 2024 06:40

Positive Technologies подвела итоги года с точки зрения зафиксированных 🟥 в прошлом году киберугроз. Подразделение Mandiant американской Google тоже сделало это, выпустив свой отчет M-Trends 2024. Но они, как это делают почти все ИБ-компании Нового Света, замесили все в один документ, который насчитывает под сотню страниц, что делает непростой задачу его чтения. То ли дело у нас - каждой теме свой отчет - хошь по угрозам за год, хошь по угрозам в ритейле, хошь по APT на Ближнем Востоке (очень хорошо зашло во время GISEC). А скоро будет еще один - про результаты работы наших пентестеров. Тем интереснее сравнивать то, что пишут в Mandiant с тем, что происходит у нас.

Один из основных показателей в отчете американцев - так называемое dwell time, то есть среднее время, которое есть у хакера, находящегося во внутренней инфраструктуре, пока его не заметит служба ИБ. За год этот показатель снизился с 16 дней до десяти. Что характерно, аналогичные цифры и у 🟥. Также совпадают у нас и показатели работы пентестеров - редтимерам Mandiant удается проникнуть в инфраструктуру за 5-7 дней, а "бойцам" ПТ на это требуется от 1 до 7 дней; минимальное время захвата контроллера домена у нас - 6,5 часов. К слову сказать, чтобы эффективным у службы ИБ время обнаружения и реагирования (TTR) должно быть меньше времени атаки (TTA) - в противном случае APT будут постоянно резвиться у вас в инфраструктуре.

Основной вектор атак по версии Mandiant - эксплойты. Фишинг обосновался на втором месте, третий - компрометация через ранее купленные доступы, затем идут украденные креды, а на пятом месте - подбор пароля. По данным 🟥 пятерка распределяется иначе:
1️⃣ Вредоносное ПО
2️⃣ Социальный инжиниринг, включая и фишинг
3️⃣ Эксплойты
4️⃣ Компрометация учетных данных
5️⃣ DDoS.

Кстати, именно через скопрометированные учетные записи от приложений, позволяющие персоналу удаленно подключаться к сервисам, и была взломана UnitedHealth Group, заявившая об инциденте стоимостью около 2 миллиардов долларов.

Из других тенденций, о которых пишет подразделение Google, которое взламывали в январе 2024-го года и которое троллили LockBit в 2022-м якобы имевшей место утечкой, можно назвать:
1️⃣ Фишинг эволюционирует и хакеры начинают использовать такие каналы как соцсети и мессенджеры (мы про это тоже писали)
2️⃣ Рост кейсов с обходом многофакторной аутентификации
3️⃣ Рост числа атак на облачные инфраструктуры
4️⃣ Использование ИИ в деятельности красных и фиолетовых команд (как по мне, так этот "тренд" - просто дань моде)
5️⃣ В 2023-м появилось 719 новых APT, которые отслеживает Mandiant. На мой взгляд это дурацкая метрика, так как сегодня каждый хакер создает новую "армию", один раз кого-нибудь дидоснет и затихает. А уж число группировок, появившихся в отчет на конфликт Израиля и ХАМАС, и вовсе зашкаливает. Так что не показатель, но общее число отслеживаемых группировок в 4000 штук выглядит солидно.

Вообще в отчете Mandiant много всяких циферок, так что есть в чем залипнуть 👇, пока не подоспела новая аналитика от 🟥

Пост Лукацкого

25 апреля 2024 17:04

Интересные плакаты на автобусных 🚌 остановках в Москве стали вешать. Похвально, что на эту проблему стали обращать внимание рядовых граждан, активно пользующихся общественным транспортом и часто и становящихся жертвами мошенников.

Меня в данном случае заинтересовала рекомендация позвонить в 112. У операторов 📞 "Службы 112" реально есть плейбук на действия при таких звонках? Они знают, что спрашивать у граждан, которые звонят с заявками на мошенников? И они знают, что делать потом, как сообщать в систему "Антифрод"? Вот прям интересно 🤔

Пост Лукацкого

25 апреля 2024 10:02

Потихоньку осваиваем зарубежные СМИ, несем свет знаний в локальные массы 😊 А местами и сам узнаешь что-то новое. Например, комментируя вопросы журналиста из Dark Reading, узнал, что в Гане 🇬🇭 (это в Африке, если что) есть требование лицензирования специалистов по ИБ. Да-да, именно лицензирования, а не сертификации, и именно специалистов, а не ИБ-компаний. Это свежий закон, который заработал с прошлого года. По сути речь все равно идет об аналоге сертификации (проверка знаний и опыта), но с получением соответствующей аккредитации и занесением в реестр.

В 2009-м году в США готовилась схожая инициатива, но не прошла проверку здравым смыслом, так как было непонятно, как поддерживать уровень знаний специалистов на должном уровне 👨‍🎓 и постоянно его актуализировать? А без этого, идея лицензирования превращается в профанацию и еще одно "бумажное" требование. Но Гана - страна поменьше (при этом входит в тройку африканских стран с максимальным т.н. индексом ИБ) и может быть там эта идея и приживется.

ЗЫ. На фото выше ☝️ еще одна статья в зарубежном СМИ "имени меня"...

ЗЗЫ. Товарищ майор, если вы меня читаете, то знайте, что никаких секретов супостатским спецслужбам не раскрывал, к 275-й не приближался ни на йоту! 🫡

Пост Лукацкого

24 апреля 2024 20:33

А вот сейчас обидно было... Когда ты не эмигрант, не релокант, не иноагент, а всего лишь временно покинувший пределы родного Отечества гражданин, волею пославшей его работы, выехавший в дружественные к нам ОАЭ 🇦🇪 И тебе блокируют доступ извне к государственным ресурсам и ты не можешь не только получить госуслугу, но и даже получить доступ к сайту госоргана для уточнения контактной информации. И ведь даже VPN не поднимал...

Пост Лукацкого

24 апреля 2024 13:32

В 1981-м году профессор Роджер Фишер, специализирующийся на теме переговоров 🤝 и управлении конфликтами в Гарвардском университете, занимался среди прочего и тематикой ядерной войны, включая и тему предотвращения случайного нажатия ядерной кнопки. Согласно предложенной им идеи 💡, пароли доступа от красной кнопки, которая находилась в ядерном чемоданчике Президента США, должны были храниться в капсуле, которая вшивалась в грудь офицера, сопровождавшего президента страны. При этом носитель чемоданчика с кнопкой ▶️, должен был также носить с собой и большой мясницкий нож, которым американский президент должен был сначала убить носителя капсулы, вынуть ее из бездыханного тела, вскрыть ее, вынуть оттуда пароли доступа, после чего уже ввести их для запуска ядерных ракет 🚀

Пентагон отказался от этой идеи, посчитав, что требование убить человека может повлиять на решение 🧐 президента нажать красную кнопку. С другой стороны ее нажатие приведет к смерти не одного, не ста и даже не миллиона, а сотен миллионов человек, что заставит человека десять раз подумать 😦 и, возможно, не допустить ядерного апокалипсиса. Прежде чем убить миллионы тех, кто где-то далеко, сначала надо было убить своими руками одного, того кто рядом. Это реальная история, но интересна она тем, что это очень интересный способ хранения одноразовых паролей, открывающих доступ к несказанно критическим системам, воздействие на которые могло бы привести к настолько катастрофическим последствиям, что я даже не знаю, можно ли такое событие называть недопустимым или ему надо придумывать свой собственный термин 🫡

Пост Лукацкого

24 апреля 2024 06:40

В 1996-м году, когда Интернета в России еще почти не было и олдскульные ИТшники пользовались FIDOnet для обмена информацией, я столкнулся с первым в моей жизни примером атаки 📌 на цепочку поставок. В одной из эхоконференций (сейчас бы ее назвали каналом), которые распространяли обновления для антивируса Dr.Web 🕸, выложили фейковое обновление антивирусной базы, установка и запуск которой приводили к форматированию жесткого диска 🤦‍♂️ Прошло 30 лет, а антивирусные компании так и не делают выводы о том, что механизм распределения обновлений должен быть защищен!!!

Индийский 🇮🇳 антивирусный вендор eScan использовал для обновления обычный HTTP, без всякого шифрования (HTTPS), чем не преминули воспользоваться злые северокорейские 🇰🇵 хакеры, предположительно Kimsuky, которые засунули в обновления бэкдор и майнер криптовалют. Avast, нашедшая эту кампанию, назвала ее GuptiMiner. По ссылке "многабукаф", но ключевая идея уже описана - уязвимость в архитектуре обновления и все, амба 🔓

Чтобы у вас не создавалось ложных иллюзий напомню, что в 2017-м году от той же самой фигни пострадала и сама Avast, когда через ее сайт распространяли зараженное ПО CCleaner, которое успело скачать, по разным оценкам, от полумиллиона до миллиона пользователей Интернет 😮 А до этого, в феврале 2008 года, сайт индийского антивирусного разработчика AvSoft Technologies был взломан и на него был инсталлирован вредоносный код, заражающий компьютеры посетителей 😈 В феврале 2004 года, антивирусная компания F-Secure разослала своим подписчикам 👎 в Великобритании письмо с вирусом Netsky.B, а в ноябре 2002 года аналогичным образом отличилась Лаборатория Касперского, список рассылки которой был взломан и тысячи подписчиков получили копии червя Braid 🪱

У меня нет цели показывать пальцем 🫵 и кричать "сапожник без сапог" (все-таки и на старуху бывает проруха), просто отмечу два важных факта:
1️⃣ Сегодня архитекторы ИБ на вес золота 🏗, так как этому нигде не учат, а знания у людей этой специальности обычно выходят за рамки традиционных менеджеров по продуктам или даже разработчиков. Архитектор - это высшая каста ИБшников, которые знают все слабые места системы и могут путем изменения исходного проекта/архитектуры нивелировать потенциальные проблемы, которые потом могут дорого обойтись (по данным Forrester, устранение проблемы на этапе проектирования обходится в 30 раз дешевле 🤑, чем на этапе промышленной эксплуатации).
2️⃣ ZeroTrust придумали не просто так. И если отбросить в сторону маркетинговый булшит, когда вендора рассказывают, что они полностью реализовали ZT в своих продуктах, то важна сама идея, что нельзя никому безоговорочно доверять 🧐 и надо регулярно (в идеале постоянно) проверять любые соединения, попытки доступа, поведение, действия, трафик и т.п. "Доверяй, но проверяй" - это про ZeroTrust!

Ну а корпоративным ИБшникам я бы посоветовал при работе со своими вендорами по ИБ:
1️⃣ Узнать, есть ли в компании архитектор (не по должности, а по сути) и пообщаться с ним, чтобы он рассказал вам про архитектуру предлагаемого решения, а не просто зачитал маркетинговую листовку 🙏
2️⃣ Уточнить, как происходит обновление ваших продуктов; не важно, идет ли речь о сигнатурах, правилах, фидах TI, или об обновлении самого ПО 🆕
3️⃣ Разработать плейбук в расчете на то, что именно через обновление доверенного поставщика к вам прилетит бяка (посмотрите рекомендации ФСТЭК по обновлению ПО, там есть здравые мысли о том, как проверять все апдейты).

ЗЫ. Кстати, на PHD2 у нас будет целый Evasion-трек про обход средств защиты информации и что с этим делать...

Пост Лукацкого

23 апреля 2024 17:01

Сначала вы говорите, что в QR-кодах может скрываться угроза и ни при каких условиях не надо сканировать их, если вы на 101% не уверены в чистоте кода 🤓 А потом вы делаете QR частью Passkeys и призываете всех сканировать QR. И все это за пару лет 😈 Такая вот динамическая ИБ в стиле Agile...

Пост Лукацкого

23 апреля 2024 10:02

Еврокомиссия выпустила рекомендации по разработке дорожной карты по переходу на постквантовую криптографию 🤒 Ничего интересного в документе нет - одни разговоры о приверженности защите цифровой Европы, необходимости переходить на постквантовую криптографию, необходимости выбора стойкого и устраивающего все государства ЕС алгоритма и бла-бла-бла. Сама дорожная карта 🗺 должна быть разработана в течение ближайших двух лет, до 11 апреля 2026 года.

Пост Лукацкого

22 апреля 2024 20:20

Комикс про независимого расследователя по киберстрахованию. Создает чувак в свободное время, на свои деньги, реализуя детскую мечту… 🤤 В третьей части он выкрадывает оператора русской ransomware-группировки и оставляет его перед офисом ФБР 👮‍♂️ Сказочник 😂

Пост Лукацкого

22 апреля 2024 13:33

Часто публикуемые исследования показывают, как обойти, заблокировать или удалить агенты EDR 📌 с рабочих мест, а то, что было представлено на BlackHat Asia в докладе "The Dark Side of EDR: Repurpose EDR as an Offensive Tool" показывает, как превратить PaloAlto Cortex XDR в скрытое и эффективное средство нападения, сильно напоминающее вредоносный код. Исследователи обошли все защитные модули - машинного обучения, поведенческий, контроля целостности и т.п. 🔫

В итоге авторам исследования удалось закрепиться на атакуемой системе, красть пользовательские креды, шифровать данные на компе, дампить память (LSASS), скрывать уведомления о вредоносной активности, обходить механизмы обнаружения и действовать у XDR под носом. Исследователь говорит, что другие EDR он может обойти схожим способом... 🔓

ЗЫ. Презу пока не выложили, а другие можно глянуть тут

Пост Лукацкого

22 апреля 2024 06:40

EdgeScan выпустил отчет с интересной статистикой по уязвимостям, который интересен своими цифрами. Пусть он и за прошлый год, но не думаю, что ситуация сильно меняется. Из ключевых тезисов:
1️⃣ 3 из 100 активов в корпоративных сетях имеют не менее одной уязвимости с вероятностью эксплуатации выше 70%
2️⃣ 2 из 100 активов в корпоративных сетях имеют не менее десяти уязвимостей с вероятностью эксплуатации не менее 70%
3️⃣ 3,42% всех активов имеют не менее одной уязвимости с EPSS > 0,7
4️⃣ В Топ10 чаще всего атакуемых портов (49,8% всех портов), доступных извне, входят 443 (TLS/HTTPS), 80 (HTTP), 161 (SNMP), 1720 (H.323), 500 (IKE), 22 (SSH), 5060 (SIP), 2000 (SSCP), 8443 (HTTPS) и 541 (Fortinet). Особенно последний член десятки заставляет задуматься 🤬
5️⃣ 45% непатченных уязвимостей имеют возраст от 1 до 4 лет

Ну а выше показаны средние сроки устранения уязвимостей для web-приложений, а также сетевых устройств, доступных и недоступных извне. Тоже показательная история 😭

Пост Лукацкого

27 апреля 2024 13:37

В рамках сдачи экзамена на CISSP, среди множества доменов, которые надо изучать, есть и такой - физическая безопасность. Однако, нередко, ИБшники его игнорируют, считая, что это тема для специалистов служб обычной безопасности, которым и надо заморачиваться охраной, решетками на окнах, обходом периметра и т.п. 🚪 Но на мой взгляд недооценка вопросов физической безопасности может привести к достаточно печальным последствиям, например, таким как в недавней истории с "Вкусно и точка" или более древним кейсом с NASA, в сети которой было обнаружено также устройство на базе Raspberry PI, которое перехватывало и передавало наружу конфиденциальную информацию 🤬

Поэтому стоит обращать внимание на следующие моменты (самостоятельно или делегируя их в другие подразделения с соответствующим обучением):
1️⃣ Реализация требований той же ФСБ к защите помещений (но без фанатизма и выполнения невыполнимого)
2️⃣ Ежедневный осмотр офисного пространства на предмет посторонних устройств (можно поручить уборщицам)
3️⃣ Блокирование перемещения по физическому пространству офиса за счет наличие кодовых замков на этажах и между ними 🏠
4️⃣ Контроль доступа в облачные среды и арендуемые ЦОДы
5️⃣ Контроль IoT-устройств (термостаты, СКУДы, видеонаблюдение, СмартТВ и т.п.)
6️⃣ Контроль наклеенных стикеров с паролями
7️⃣ Запирание/приковывание устройств в удаленных локациях или у мобильных сотрудников 🤒
8️⃣ Интеграция СКУД с системами контроля доступа в инфраструктуру
9️⃣ Защита систем видеонаблюдения и их данных, чтобы не повторилась история с немецким миллиардером Хаубом
1️⃣0️⃣ Готовность системы видеонаблюдения для проведения расследований инцидентов ИБ

Пост Лукацкого

27 апреля 2024 06:40

🆕 Мы к вам с новостями. Во-первых, впереди четыре выходных (хоть суббота и рабочая). Во-вторых, новый выпуск подкаста «КиберДуршлаг» такой интересный — не оторваться. А в-третьих, команда, которая его делает, уходит на каникулы до сентября (не скучайте, скоро вернемся с новыми интересными выпусками).

Гостем финального выпуска первого сезона стал Алексей Лукацкий, бизнес-консультант по информационной безопасности Positive Technologies.

Обсудили с ним тренды управления уязвимостями, влияние развития искусственного интеллекта на кибербезопасность, введение оборотных штрафов за утечки данных, а также опасности, которыми нам грозят баги в роботах-пылесосах и кардиостимуляторах.

Смотрите на YouTube и слушайте на любой удобной аудиоплатформе.

🍂 До встречи осенью!

#КиберДуршлаг
@Positive_Technologies

Пост Лукацкого

26 апреля 2024 17:06

На GISEC разговорился с одним человеком, который высказал мысль, с которой я не могу согласиться. Он считает, что если система скомпрометирована и есть подозрение на нахождение внутри злоумышленника 👿, немедленный патчинг внешних уязвимостей должен помочь в данной ситуации. Я же считаю, что патчинг скомпрометированных систем в принципе не может спасти ситуацию и, скорее, ее усугубляет, создавая иллюзию защищенности! 😈

Если хакер сидит внутри инфраструктуры, надо локализовывать его, не давая развивать наступление 💻 и расширять плацдарм, затем выносить из инфраструктуры, потом определить точку входу и причину успешной компрометации, и только потом устранять ее, в том числе и за счет установки патчей и выстраивания процесса управления активами и уязвимостями. Но просто установка патчей, увы, не спасет! 🕳

На GISEC, на одном из стендов, увидел слоган компании, которая занималась борьбой с утечками, - "Надо защищать данные, а не периметр!" Если не фокусироваться на первой части, то слоган очень хорошо 🤔 описывает ситуацию, когда мы дофига ресурсов тратим на защиту внешних границ, а когда компанию пробивают тем или иным способом, то специалисты по ИБ разводят руками, а то и вовсе не верят в это, считая свои бастионы неприступными. Но нет... 😯

Мы на GISEC в течение трех дней давали всем желающим проверить защищенность своего периметра с помощью сервиса PT Knockin 👊, который просто отправляет e-mail с обеззараженным вредоносом на корпоративную почту. Каково же было удивление многих ИБшников, которые, считая, что их почта защищена от проникновения, получали прошедшее через все преграды письмо ✉️ "с приветом". А если бы оно было не обеззаражено? Поэтому периметр периметром, но стоит думать и о том, что делать, если все-таки инфраструктура скомпрометирована. Вы же в курсе, что делать? 💪

Пост Лукацкого

26 апреля 2024 10:02

Был у меня как-то кейс, который привел к кардинальной смене мной и используемой техники, и отношения к хранению данных. У меня накрылся SDD на ноутбуке 💻; причем достаточно серьезно, без возможности восстановления. Диск был зашифрован и никто не смог помочь мне восстановить данные. Система резервного копирования на Винде у меня была установлена компанией, но из-за ее тормозов в процессе индексации и синхронизации данных, я ее в какой-то момент отключил и получил ценный урок 💡

В результате я поменял ноут с виндой на макбук, в котором Time Machine - это просто верх удобства резервирования данных. Действительно "настроил и забыл". Но страх потерять данные все-таки остался и я стал пользоваться правилом, которое, как я позже узнал, называется "3️⃣➖2️⃣➖1️⃣". Это стратегия, предложенная фотографом Питером Крогом, который так спасал свои фотографии от потерь (саму концепцию он взял у ИТшников):
3️⃣ - столько должно быть копий данных (например, ПК, облако, флешка) 💻
2️⃣ - столько должно быть различных носителей данных (например, жесткий диск ПК и внешний HDD или облако) 🌩
1️⃣ - столько должно быть копий в удаленном месте, вне офиса или дома; в зависимости от основного места вашей работы, (например, в облаке или NAS).

В корпоративной среде такое правило тоже применимо, но только для самых ценных данных (поэтому так важна классификация информации в компании). При этом стоит помнить о ряде важных нюансов:
1️⃣ Это поможет и для защиты от шифровальщиков в том числе!
2️⃣ Резервируя данные, не допустите, чтобы и бэкапы были тоже зашифрованы.
3️⃣ Не забывайте регулярно проверять, что вы можете получить доступ к бэкапам и, если вы используете специфический формат или шифрование, восстановить данные.
4️⃣ Храня данные в облаке, уточните, кто будет считаться их владельцем и что облачный провайдер с ними может делать (например, обучать свой ИИ)? Ну и про санкции не забудьте...

Тут, конечно, можно еще накрутить "цифр", например, учитывая хранение данных в стране нахождения и за ее пределами, но это уже для иноагентов параноиков.

Пост Лукацкого

25 апреля 2024 20:22

Пример того, как компания реагирует на инцидент, поворачиваясь лицом к клиентам и партнерам, а не засовывая голову в песок. UnitedHealth Group, которая прогнозирует почти 2 миллиарда потерь от кибератаки, запустила отдельный сайт для пострадавших.

Пост Лукацкого

25 апреля 2024 13:32

SIEM с ИИ, багбаунти с ИИ, пентесты с ИИ, обучение с ИИ, threat hunting с ИИ, управление сертификатами с ИИ, GRC с ИИ… 🧠 Если у вас у продукта или сервиса нет приставки AI-driven, AI Empowered или Supercharged by AI, то вас просто не пустят на порог в приличную арабскую компанию или на выставку 🇦🇪

А еще на GISEC, на каждом стенде свой SOAR, SIEM или XDR. И так как всем хочется выделиться, то все начинают создавать новые классы продуктов, добавляя буквы X (eXtended) или N (New). XSIEM, NXDR (это вообще странная конструкция)… Но самый беспроигрышный вариант - добавить в начало или конец AI. aiSIEM, aiXDR, aiBULLSHIT… 😂

Пост Лукацкого

25 апреля 2024 06:40

Ну что, вот и с межсетевыми экранами Cisco тоже беда. Не успела PaloAlto отчитаться о 10-тибалльной уязвимости, как в МСЭ Cisco ASA и Cisco Firepower нашли несколько уязвимостей с CVSS 8.6 (еще у двух CVSS 6.0), которые позволяют имплантировать в средства сетевой безопасности вредоносный код 👨‍💻, выполнять команды, потенциально перехватывать и передавать куда надо трафик, проходящий через устройство и даже использовать МСЭ как плацдарм для развития дальнейшей атаки 🧑‍💻 Кампания ArcaneDoor, за которой стоит прогосударственная группировка UAT4356 (или STORM-1849 по именованию Microsoft), началась еще прошлым летом, но с первыми признаками атак клиенты столкнулись в этом январе 🧑‍💻

Как пишет Cisco, обновления можно скачать в рамках действующего контракта на техподдержку, а для тех, у кого контракта нет, обратиться 📞 к представителю Cisco или в службу поддержки Cisco TAC за получением ссылки на обновление. Российским заказчикам это все сейчас недоступно. Так что делаем выводы, чтобы не попасть впросак, как ряд российских организаций, которые использовали МСЭ Fortinet, но не смогли вовремя их пропатчить 👨‍💻 и были взломаны через трендовые уязвимости, которые хакеры начали эксплуатировать очень быстро 😂

Техники, тактики и индикаторы описаны в блоге Talos, но конкретных рекомендаций, кроме как поставить патч, не дано. И не факт, что они есть в такой ситуации. Но в любом случае присмотритесь к рекомендациям вендорам по защите своих межсетевых экранов. В данном кейсе это не поможет, но на будущее (если вы не стремитесь перейти на PT NGFW, конечно, 😎) стоит их учесть.

Пост Лукацкого

24 апреля 2024 17:06

Есть в криптографии такое понятие - "одноразовый блокнот". Его идея заключается в том, что при шифровании текста криптографический ключ 🗝 равен длине шифруемого текста, ключ случаен и используется в качестве гаммы ("накладывается" на открытый/закрытый текст), а также ключ используется только один раз! 1️⃣

В основе идеи одноразовых блокнотов 🗒 лежит шифр Вернама, для которого Клод Шеннон в 1949-м году доказал абсолютную криптографическую стойкость. Но использование таких шифров сопряжено с рядом неудобств - основным из которых является необходимость использования ключа с длиной, равной шифруемому сообщению, который используется только один раз. То есть вам нужно выстроить непростую инфраструктуру генерации, хранения и уничтожения ключевого материала 🗝

На видео (за что спасибо подписчику) вы видите пример простого принтера AMRRON DARK LABS- OTP, который как раз и пытается решать все эти задачи. Генеря одноразовые блокноты на 250/500/1000 символов, вы можете надежно защитить свою переписку в мессенджерах (не спрашивайте, 🤐 как вы будете переносить коды из блокнота в ПО для шифрования). Исходники ПО, включая и генератор случайных чисел, также выложены на сайте производителя. Так что если вы криптоанархист и фанат зашифрованной переписки, то этот принтер для вас! Даешь гражданскую криптографию в массы!!! 🤘

Пост Лукацкого

24 апреля 2024 10:02

Первый день GISEC завершился позитивно 🤘 Яркие краски, теплая атмосфера, куча встреч, глубокие инсайты, новые идеи, старые друзья, много проектов... Люблю такую движуху, когда ты не выходишь из зоны комфорта, а расширяешь ее, получая новый опыт, который можно применить с пользой для всех.

ЗЫ. Стенд у нас в этот раз еще круче прошлогоднего и затмевает всех соседей, даже именитых 🤘

Пост Лукацкого

23 апреля 2024 20:32

Согласно статистике ShadowServer Foundation в России имеется 44 устройства Palo Alto, уязвимых к CVE-2024-3400 (CVSS 10.0), о которой подробно написал Александр Леонов. В Казахстане таких устройств 58, в Узбекистане 7, в Кыргызстане, Беларуси и Таджикистане по 2, в Туркменистане 3, а в Азербайджане аж 88. В Южной Осетии и Грузии по 15, а в Армении - 14 уязвимых устройств. Больше всего в США - почти 10 тысяч непатченных еще железок.

Пост Лукацкого

23 апреля 2024 13:39

Приехал я на выставку-конференцию по ИБ GISEC и, на фоне буквально еще не высохшего после небывалого ливня и последующего наводнения Дубая, вдруг вспомнил о том, что столь катастрофические последствия, с которыми столкнулся крупнейший город ОАЭ 🇦🇪, могли бы произойти и по причине кибератаки. Тем более, что за последнее время было уже несколько кейсов, которые могли закончиться плохо.

Три небольших техасских города пострадали в этом январе от рук хакеров, которые попытались вывести из строя местные системы водоснабжения. В Панхендле (2000 жителей) хакеры 37000 раз за 4 дня пытались проникнуть за межсетевой экран 🤬, защищающий локальную критическую инфраструктуру. По словам муниципальных властей "атака была неуспешна, так как город отключил систему водоснабжения и управлял ею вручную". Как по мне, так это не то, чтобы неуспешная атака, а с другой стороны цели хакеры не достигли. В соседнем Мулшу (5000 жителей) атака была более успешной - система водоснабжения ⛲️ была переполнена прежде чем ее отключили и перевели в ручной режим работы. Аналогичные атаки наблюдались и в соседнем Локни (1500 жителей).

Ответственность за атаки взяла на себя группировка CyberArmyofRussia_Reborn, которая помимо американских систем водоснабжения в январе атаковала схожие объекты КИИ и в Польше. Но атакуют системы водоснабжения 🚰 не только они. В прошлом ноябре CISA выпустила предупреждение об атаках на такие системы со стороны иранских хакеров, а уже в марте советник по нацбезопасности Джек Салливан и администратор агентства по защите окружающей среды разослали письмо с предупреждением о росте числа атак на водоснабжение со стороны еще и китайских хакеров 👲

В Израиле тоже имело место инциденты с системами водоснабжения. А потом у нас были атаки на "Московский коллектор" со стороны проукраинской группировки. Число таких атак растет и только Нептун знает, когда количество перейдет в качество и на улицы хлынут потоки воды, сточных вод, фекалий и т.п. Хорошо бы никогда, но это уже маловероятно.

Пост Лукацкого

23 апреля 2024 06:40

Медицинский центр в французских Каннах (CHC-SV) объявил о кибератаке, которая привела к тому, что госпиталю 🏥 пришлось прекратить проведение многих врачебных операций из-за недоступности медицинских систем. Часть процедур выполняется вручную. Пока никаких требований выкупа не поступало, расследование продолжается 🕵🏻‍♀️

Интересно читать заявление больницы между строк. С одной стороны они пишут, что риск кибератаки для них был одним из приоритетных 🔝 и они даже проводили киберучения по его отражению, но при этом недопустимое все-таки произошло и они ничего не смогли сделать, кроме как очень быстро принять решение об отключении медицинских систем. С другой стороны, у них выделены ключевые и целевые системы, которые завязаны на обследования пациентов и ведение электронных медицинских записей) и они в первую очередь фокусируют свое внимание на них, а не на всех системах больницы 🤹‍♂️

В конце они пишут, что по опыту других больниц, подвергшихся кибератаке 🔓, восстановление может быть очень долгим и займет немало времени, тем самым давая себе пути для отступления и не гарантируя скорейшего возвращения всех медицинских систем в строй 🧑🏼‍⚕️

ЗЫ. Все попытки разграничить военные и гражданские объекты в киберпространстве, распространить на больницы и другие схожие организации положения Женевской и Гаагской конвенций, разработать маркировку для защиты от кибератак, - это как мертвому припарки. Джин 🧞‍♀️ выпущен из бутылки и никто правила соблюдать не будет. И если за прошедшие годы от шифровальщиков, атаковавших медучреждения в США, погибло "всего" около 60 человек, то это число может существенно вырасти, если не начать предпринимать серьезные усилия по результативному кибербезу в здравоохранении, а не реализации тупой бумажной ИБ.

Пост Лукацкого

22 апреля 2024 17:04

Интересные какие курсы на GISEC (завтра начинается) в Дубае 🇦🇪 Создание своего кибероружия... ⚔️ Раньше такие темы на публичных конференциях особо не поднимали 😮 Видимо, напряженность нарастает и в киберпространстве, раз становятся доступными такие мероприятия.

ЗЫ. С завтрашнего дня буду на GISEC и пока не знаю, как получиться постить что-то, но точно будут какие-то наблюдения с того, как видится ближневосточный рынок ИБ ☪️

Пост Лукацкого

22 апреля 2024 10:03

Synopsys выпустил очередной ежегодный отчет по безопасности и анализу рисков open source (OSSRA) 👨‍💻 Достаточно пессимистичный взгляд на проблему, особенно после истории с имплантом XZ Utils. Ключевые выводы исследования показаны на картинке, а я хочу в целом отметить только одно - разговоры про то, что open source более защищен, потому что его "могут смотреть тысячи глаз" 🧑‍💻 - это все полная фигня. Не важно сколько глаз может смотреть на код, важнее - сколько реально смотрит и какова вообще их мотивация смотреть куда-то. Если процесс безопасной разработки не реализован, а используемый чужой код не проходит многоступенчатую проверку, то все это только создает иллюзию защищенности, которая дорого обходится 💻

Пост Лукацкого

21 апреля 2024 20:23

На этом фрагменте из статьи 2021-го года я взоржал 😂 Сингапур 🇸🇬 - первая страна, установившая требования по лицензированию ИБ-компаний?.. Это они про закон 2022-го года. Ага, щаз...