Так как киберриск сейчас включает материальные последствия для любого бизнеса, использующего цифровые технологии, независимо от того, регулируется он или нет, все организации должны принять Кодекс практики управления цифровыми активами!

Этот Кодекс разработан Министерством науки, инноваций и технологий Великобритании 🇬🇧 и его предлагается принять всем топ-менеджерам английской экономики. В преамбуле к Кодексу критикуется текущая практика управления киберрисками и предлагается сфокусироваться не на технических, а бизнес-аспектах ИБ, так как в противном случае организации опять погрязнут в мало понятных руководству компаний материях (там и всякие статистические данные 📊 приводятся) вместо того, чтобы заниматься предотвращением реализации катастрофических для бизнеса последствий.

Красной нитью 🚩по предлагаемому Кодексу проходит мысль, что ИБ должна быть результативной. В английском используется более адекватный по смыслу термин "outcome", который на русском по смыслу больше смахивает на "выхлоп от каких-либо действий". Тоже "результат", но лучше применимый к бизнесовой тематике 🤑

Разрабатываемый Кодекс планируется оставаться добровольным, но судя по регулярным отсылкам к новым правилам американской Комиссии по ценным бумагам о "материализации" инцидентов ИБ и обязательном уведомлении ✉️ комиссии о последствиях, измеренных в долларах, англичане тоже думают об аналогичной истории.

Кодекс рекомендует сфокусироваться на 5 критических областях, каждая из которых подразумевает 5 шагов к улучшению текущего состояния ИБ:
1️⃣ Управление рисками
2️⃣ Кибер-стратегия
3️⃣ Люди
4️⃣ Планирование и реагирование на инциденты
5️⃣ Гарантии и надзор.

Читать полностью…

Вот такой значок достался по случаю 😇 Надо еще The Best Positive Blogger ✍️ заполучить

Читать полностью…

Спасибо подписчику, что обратил внимание на сие вопиющее безобразие. На дворе 21-й век, люди на Марс готовятся лететь и чипы в мозг 🧠 внедряют, а некоторые до сих пор пароли в открытом виде по незащищенной электронной почте ✉️ отправляют. А на облачной платформе, где и критические бизнес-системы, и просто виртуалки размещаются MFA по умолчанию не включена.

Вспоминая историю с Litres, который тоже присылал 💌 пароли в открытом виде, можно подумать, что ничего страшного в этом нет. Но увы... Когда мне в открытом виде пароль от личного кабинета присылается форумом DIGITAL KYRGYZSTAN, где я выступаю 28 февраля, мне это не грозит ровным счетом ничем. Вот форум может пострадать, так как можно "угнать" чужой бейдж и пройти на конференцию бесплатно (а если он VIP, то и есть 🍔 за чужой счет). А вот с облачной платформой ситуация совсем иная - там последствия могут быть гораздо сложнее.

Главное, чтобы потом, если вдруг произойдет взлом, не обвинять 🫵 в этом самих пользователей, как сделала 23andMe после взлома и утечки чувствительной информации чуть ли не половины всех ее клиентов.

Читать полностью…

Американская 🇺🇸счетная палата (GAO), которая активно занимается и вопросами ИБ (в отличие от нашей), не видит, чтобы офис директора по национальному кибербезу (ONCD), отвечающему за реализацию стратегии национальной информационной безопасности, занимался результативной ИБ. Именно так и пишет (это не я придумал или пересказал):

neither the strategy nor the implementation plan included outcome-oriented performance measures for the initiatives or for the overall objectives of the strategy to gauge success.

То есть:

ни стратегия, ни план реализации не включают ориентированных на результат показателей эффективности или на достижение измеряемого успеха в реализации общих целей стратегии

ONCD в ответ ✍️ пишет, что разработка ориентированных на результат мер безопасности полезна и ценна, но... нецелесообразна, так как таких мер в природе не существует! Шта?!.. 😮 GAO в ответ замечает, что это, мягко говоря, неправда и такие меры и метрики существуют. Правда, пример они приводят не самый удачный - число сообщений об инцидентах, которые по закону должны отправляться 🤒 в CISA. Да, это измеримый, но нерезультативный показатель. Если уж ссылаться на CISA, то результатом можно назвать срок в 15 дней, в течение которого надо устранять критические уязвимости (у ФСТЭК этот срок составляет 24 часа). Вполне конкретный и измеримый результат одного из процессов ИБ - управления уязвимостями 🛠

GAO ответствует, что без понимания конечного результата и измерения 🧮 его достижимости и движения к нему (или в сторону от него) нельзя оценить эффективность реализации национальной стратегии кибербезопасности. ONCD соглашается с этим тезисом и обещает актуализировать свои подходы в этом вопросе 🤝 Так что ждем внедрения результативного кибербеза и в США. А почему бы и нет?

Читать полностью…

Европол 👮🏻 выпустил небольшой документ, описывающий фреймворк по компетенциям в области борьбы с киберпреступлениям 🤒. Описаны 11 профессий, 10 компетенций, 3 уровня глубины погружения в каждую из них, а также маппинг между ними 🤒

Читать полностью…

Код Ivanti, которую американская CISA потребовала не просто пропатчить, а отключить во всех федеральных структурах, подсказывает, почему было принято такое решение 💻 И тут впору вспомнить, почему та же ФСТЭК так активно требует от российских производителей средств защиты (а также субъектов КИИ) выполнения требований по безопасной разработке и доказательств их реализации в процессе сертификационных испытаний 👨‍💻

Читать полностью…

Китайская ИБ-компания Ци Аньсинь (если я правильно ее называю) выпустила отчет по APT-группировкам, атакующим Китай 🇨🇳. Ряд описанных кампаний ранее известны не были

Читать полностью…

В контексте новости выше ☝️ посмотрите на интересное исследование роли подводных кабелей на кибербез. Оно было выпущено летом прошлого года, когда Дмитрий Медведев заявил, что Россия может оборвать такие кабеля с помощью подводных лодок 🤿

По мере изоляции Рунета снаружи и изнутри страны для нас это становится чуть менее актуально и критично, но и забывать про эту угрозу тоже не стоит.

Читать полностью…

На этом проекте, окутанном тайной, я узнал, что термин "Балканизация" (в контексте разделения Интернета и технологического развития на географические и геополитические анклавы) может происходит от слова "балкон", а не "Балканы". И это пока все, что я могу сказать о том, где я только что поучаствовал. Ждите анонсов 😇

ЗЫ. Там же я делился и некоторыми из своих личных страхов, связанных с профессиональной деятельностью 😱

ЗЗЫ. Спасибо Руслану за приглашение и команде 🤐 за профессиональную съемку!!!

Читать полностью…

Немецкая ж/д компания ищет админа, знающего Windows 3.11. На удаленку 😲

ФСТЭК на них нет. А то, ишь, в КИИ использовать ПО без действующей техподдержки… 😮

Читать полностью…

Занятнейшая история. Полиция 👮 наняла неоднократно судимую сурдопереводчицу-мошенницу, которая не знала жестового языка и просто случайно махала руками. Это мне напомнило частый кейс, когда компания нанимает ИБшника, но не имеет возможностей проверить его компетенции 🤔

И вот как это сделать?

Читать полностью…

#cybersecurity

И снова просто, но уже о логах от Ministry of Security

Читать полностью…

Инфосистемы Джет выпустили свои итоги за прошлый год, в котором, помимо Топ10 техник по MITRE ATT&CK, дали интересные, но достаточно печальные цифры:
1️⃣ У 41% компаний код в публичных репозиториях содержит учетные записи в открытом виде
2️⃣ 96% компаний используют на внешнем периметре ПО, имеющее уязвимости уровня «Critical» и «High», для которых существуют публично доступные эксплойты 🔓
3️⃣В топ10 сервисов, в которых сотрудники оставляют свои корпоративные учетные данные, входят сервисы знакомств 🔞

ЗЫ. А еще я так и не вкурил фразу на втором скриншоте. Там явно не хватает то ли названия компании (но его по идее и не должно быть в отчете), то ли с падежами и склонениями что-то не то 😮

Читать полностью…

👩‍🎓 Positive Technologies и Тинькофф объединяют усилия и запускают совместные образовательные программы для восполнения кадрового дефицита в отрасли

💬 «Мы понимаем, что будущее не только кибербезопасности, но и всей сферы IT зависит от тех, кто приходит в нее сейчас, и у нас есть уникальная возможность повлиять на развитие отрасли», — отметил Денис Баранов, генеральный директор Positive Technologies.

Обучение будет проходить на базе Центрального университета — первого STEM-вуза в России. В программах примут участие эксперты из разных технологических компаний, чтобы слушатели смогли получить максимально широкий спектр практических навыков.

🤌 Первым в серии образовательных программ стартует курс по подготовке специалистов SOC. Он начнется 16 февраля и продлится шесть месяцев.

• Обучение рассчитано на студентов последних курсов направлений IT и ИБ, которые проходили стажировки или имеют небольшой опыт работы в сфере ИБ.

• Кроме того, курс будет полезен аналитикам первой линии SOC, желающим прокачать свои навыки в области анализа и поиска угроз.

• Подать заявку на обучение можно до 10 февраля на сайте программы.

Выпускники получат диплом о профессиональной переподготовке от Центрального университета и возможность претендовать на вакансии в крупнейших компаниях России.

🤫 Небольшой спойлер: в этом году совместно с Тинькофф мы также планируем запустить магистратуру по ИБ. Но об этом расскажем позднее.

Да пребудут с нами знания!

#PositiveEducation
@Positive_Technologies

Читать полностью…

🔜 Грядет очередная, уже 26-я РусКрипто, чуть ли не старейшая, но "одна из" точно, ИБ-конференция новой России. Пройдет она меньше чем через неделю после выборов президента страны, 19-22 марта в Солнечном Park Hotel & SPA, что, конечно же, не станет главной темой конференции, которая традиционно посвящена будет криптографии. Программа там еще формируется и пока сложно сказать, что будет на ней интересного, но лично мне хотелось бы услышать:
🔤 разбор вчерашнего инцидента с DNSSEC (с анализом причин произошедшего),
🔤 текущий статус по квантовому шифрованию (может и недавно изданной у нас книжкой по этой теме разживусь это я не намекаю, если что),
🔤 какие-нибудь детали по работе НТЦ цифровой криптографии, а не просто сухой пресс-релиз Минцифры
🔤 когда же отменят/заменят 152-ю инструкцию ФАПСИ
🔤 про прикладные аспекты применения криптографии (типа уже реализованного гомоморфного шифрования в московских выборах)
🔤 текущие оценки появления квантовых компьютеров и что предлагается в РФ для пост-квантовой криптографии
🔤 размышления на тему результативности криптографии (мы ее часто рассматриваем как нечто подразумевающееся по умолчанию, но так ли это?)
Ну и просто пообщаться с коллегами и друзьями, которых часто только на РусКрипто и увидишь.

Ну а я по традиции готовлю на РусКрипто интеллектуальный квиз "Игра в имитацию" с вопросами про криптографию и вокруг криптографии.

Читать полностью…

По приглашению Минцифры Нижегородской области выступил на конференции с рассказом про тенденции атак и хакеров, недопустимые события, взгляд на ИБ с точки зрения бизнеса госуправления и вот это вот все. Презентацию своего выступления прилагаю 👇

Читать полностью…

Кстати, о 23andMe. Компания потеряла в стоимости акций уже 74% и продолжает свое стремительное падение 📉 Эксперты бьют тревогу, считая, что компания может скоро пойти с молотка и тогда генетический материал американцев попадет в чужие руки, а это угроза нацбезопасности. Такова цена инцидента ИБ, провала в его освещении и попытки свалить всю вину на своих же клиентов 😡

Читать полностью…

О, а я говорил, дипфейки 🎭 приходят в реальный мир. Сотрудник перевел 25 миллионов долларов 🤑 мошенникам, которые использовали realtime-дипфейки в процессе видео-переговоров, выдав себя за представителей партнеров.

Читать полностью…

В фильме "Место встречи изменить нельзя" есть фрагмент, когда за столом два главных героя общаются с Зиновием Гердтом, упоминающим эру милосердия, когда должна скоро настать. Именно так, "Эра милосердия", назывался сам роман братьев Вайнеров, который был выпущен в обход существовавшей в середине 70-х годов цензуры пресс-бюро КГБ, МВД, Прокуратуры, а также Главлита. Цензура не должна была пропустить роман с очень ярким, но все-таки антигероем, которого в фильме сыграл Высоцкий, но "Воениздат", где и был опубликован роман, интересовало только отсутствие в романе военных тайн, а не моральный облик героев

Так вот, мы сейчас семимильными шагами вступаем в эру страха, когда даже слова "проститутка", "хрен" и "мандула раздвижная" попадают под запрет и не проходят цензуру. А еще упоминание шифровальщика Wagner, фишинга в канун президентских выборов, кибервойны, инцидентов в крупных компаниях и много чего еще.

Читать полностью…

Если посмотреть на список трендовых и активно эксплуатируемых уязвимостей (KEV), который ведет CISA, мы увидим, что первое место (🥇) занимает как раз компания Ivanti с 16-тью дырами. Остальные два места в тройке лидеров у Fortinet (11 активно эксплуатируемых уязвимостей) и TrendMicro (10 уязвимостей).

Стоит отметить, что продукция Fortinet продолжает очень активно применяться и в российских госорганах 🏛, которые не только не ушли с нее, но и продолжают закупать ее и получать обновления по параллельному импорту. И помогают им в этом некоторые лицензиаты (обоих регуляторов - ФСТЭК и ФСБ).

Такая ситуация как бы намекает нам, что не так уж все хорошо у нас с импортозамещением в ИБ (а может эти госорганы ждут NGFW от 🟥?) и что регуляторам, которые требуют и перехода на отечественное, и наличия техподдержки, и выстроенного процесса управления уязвимостями 🛠, приходится закрывать глаза на такие нарушения, так как несмотря на наличие почти 30 вендоров, заявляющих, что они имеют или пишут NGFW, альтернатив-то иностранцам до сих пор нет 😭

ЗЫ. Подписчики пишут, за что им спасибо, что продукция Ivanti у нас все-таки встречается и даже на объектах КИИ. Правда, не те, что Ivanti получила в результате покупки Pulse Secure, в продукции которой, преимущественно, и находят критические уязвимости.

Читать полностью…

Редкая рекомендация от ИБ-регулятора - не просто пропатчить средство защиты, а не позже полуночи пятницы отключить 🔌 его и провести поиск угроз на всех устройствах, подключенных или недавно подключенных к скомпрометированному средству защиты. Под руку американского 🇺🇸 регулятора попала компания Ivanti, которой в последнее время не очень везет с точки зрения нахождения в ее коде серьезных уязвимостей, приводящих к потенциальным проблемам.

Из других рекомендаций CISA:
1️⃣ Изолировать устройства от корпоративной сети настолько серьезно, насколько это возможно. Там так и написано - "the greatest degree possible".
2️⃣ Сбросить до заводских настроек, предварительно сохранив конфиги.
3️⃣ Отозвать и перевыпустить все сертификаты, ключи шифрования и поменять пароли.
4️⃣ Аннулировать все тикеты Kerberos, а также токены для корпоративного и облачного окружения
5️⃣ На все давалось 2 дня (для тикетов Kerberos и токенов - месяц).

В США нехилый шухер поднялся из-за Ivanti. Судя по рекомендациям, похоже кого-то сильно подломали, вплоть до компрометации доменных учетных записей.

ЗЫ. У нас в регионе я что-то не встречал продукцию Ivanti.

Читать полностью…

Компания Palo Alto проиграла суд 😡 и выплатит 151 миллион долларов за использование 4 патентов, принадлежащих существующей с 2009 года американской компании Centripetal. Согласно вердикту суда 👩🏼‍⚖️, Palo Alto нарушила чужие патенты в таких своих продуктах как NGFW, Cortex XDR, XSOAR и XSIAM, и за нарушение каждого из них обязана будет выплатить компенсацию возмещения ущерба 🤑 в размере 37 миллионов 875 тысяч долларов.

Читать полностью…

Хуситы угрожают перерезать 🔪 подводные Интернет-кабели, если американцы будут опять бомбить Йемен 🇾🇪. Одни эксперты считают, что это создаст угрозу экономике (на подводные кабеля приходится до 10 триллионов долларов транзакций ежедневно), национальной и информационной безопасности. Другие говорят, что ничего страшного не будет, так как таких кабелей больше одного. А вы знаете, как ваше предприятие подключено к Интернет 🌐 и что будет, если канал до вас будет разрушен?

Читать полностью…

Слово «ransomware» было добавлено в Оксфордский словарь английского языка в 2018 году. Не знаю, много ли еще новых слов, которые столько «стоят» для мировой экономики? Разве что COVID, и то, не уверен…

Читать полностью…

Когда ТАСС, по ошибке или реально записав 📝 слова министра цифрового развития о том, что на Госуслугах будет использоваться ChatGPT, опубликовало свою новость, которую очень быстро растиражировали все, Минцифры быстро выпустило ✏️ опровержение, что имелась ввиду GPT, а не американская ChatGPT.

Когда СМИ стали распространять новости с упоминанием хранения на Госуслугах биометрических 🎭 персданных, Минцифры оперативно выпустило ✍️ опровержение (хотя для большинства граждан ЕБС, ЕСИА и Госуслуги - это части одной системы).

А вот новость о том, что от имени Минцифры ведется фейковая фишинговая 😱 кампания, пока никак министерством не прокомментирована ⁉️

Читать полностью…

Индусы из Ministry of Security всякие прикольные картинки про ИБ для чайников рисуют 🎨

Читать полностью…

Коммерсант пишет, что устройства умного дома в многоквартирных домах 🏡 по всей стране должны соответствовать разрабатываемым стандартам ИБ 🛡

У меня эта инициатива вызывает смешанные чувства. Вроде и благое дело, но с другой стороны есть и более приоритетные 🔤🔤 задачи ИБ. Попахивает распилом 🪚 денег при том количестве многоквартирных домов, что построено в стране.

Помню историю, когда ко мне пришел за советом производитель умных счетчиков и стал жаловаться, что внедрение требований того же 31-го приказа ФСТЭК и 378-го приказа ФСБ (а без этого его не подпускали к конкурсам на поставку в одном оооочень крупном городе) увеличивает себестоимость умного счетчика в 4 раза и его тогда никто не купит ☹️

Так что инициатива в целом правильная, но вот ее реализация... Я бы начал с выработки сначала рекомендаций по защите умных домов, обкатал бы их на каком-нибудь экспериментальном городском районе, а уж потом что-то кого-то обязывал делать 🏠 А то требование-то выпустят, а потом в 30-тиградусные морозы все накроется медным тазом, а управляющая компания выйдет с заявлением "несовершенство программного обеспечения, используемого при создании ключей шифрования" 😂

Читать полностью…

Чешская Avast тоже решила хлопнуть дверью и официально заявила, что "уходит" 🚶‍♂️ из России и ее продукты, из которых наиболее известный - антивирус Avast, не будут работать на территории России и Беларуси. Уж не знаю, кто еще пользовался Avast после того компанию уличили в продаже персональных данных пользователей крупному бизнесу типа Google, IBM, Microsoft и т.п., но таков путь 🏃 Кстати, не помню, чтобы Роскомнадзор возбуждался на эту новость, которая датируется еще 2020-м годом, когда и трава была зеленее, и мир глобальнее, и границы открытее. Видимо, политической воли не было 🔪

Читать полностью…

Полиция Таиланда советует фанатам «Ливерпуля» не поддаваться на уловки онлайн-мошенников, выдающих себя за Хаби Алонсо

Еще раз.

Местные менты официально предупреждают своих сограждан, что если им в инсте напишет тренер «Байера» и попросит подкинуть деньжат на дорогу, то это скам. Ну, скорее всего.

Полицейскому управлению пришлось пойти на такой шаг из-за шквала жалоб от местных фанов Ливерпуля, которых в Тае просто немерено.

Оно и понятно. Когда тебе в директ падает сообщение:

«Я Хаби Алонсо, я буду руководить "Ливерпулем" в следующем сезоне, но сейчас у меня не хватает денег на авиабилеты в Англию. Можете мне одолжить 300 бат?»

неужели ты откажешь легенде? Вот и добрые тайцы не могут сказать ему «ไม่».

Жаль, конечно, этих добряков, но если человека не смущает, что Алонсо пишет ему на чистом тайском языке, то какие вообще вопросы к кому-либо, кроме себя.

@nocrime

Читать полностью…

«Приглашаем Вас на встречу, которая пройдет в здании, в котором в конце 19 века располагалась конюшня любовницы Саввы Морозова…» и «Приглашаем Вас на встречу, которая пройдет в здании, в котором во время Великой отечественной войны располагался грозный СМЕРШ…».

Факт один, а окраска и восприятие совсем разные. ИБ-регулятор, сидящий в этом здании 🏛, кстати, тоже один и тот же.

Читать полностью…