На что Яндекс не поскупился, делая новый раздел по безопасности у себя на сайте, так это на красивый тест в стиле японской хокку 🍱 Хорошие вопросы, красивые иллюстрации... но, глядь, неверный подсчет баллов. Я его прошел дважды - "как считаю нужным" и "как правильно" и получил результат, что я беспечен в отношении своей безопасности. Ага, сщаз... 🌊

Безопасность беспечна -
Правильный путь нашел я,
Тест же подвел, увы!

Читать полностью…

Яндекс пишет о том, что:

в Яндекс ID появился инструмент для простой и удобной настройки уровня безопасности аккаунта. С его помощью пользователи могут проверить, насколько защищён их аккаунт, и настроить дополнительную защиту

Предусмотрено 4 уровня 🛡 - от "защита не настроено" до "максимальная защита", когда у вас включена многофакторная аутентификация или хотя бы двухшаговая верификация через СМС 📲

Не знаю, не знаю. Я когда зашел в свой аккаунт, чтобы возгордиться тем, как Яндекс оценивает мою безопасность, я увидел надпись, что защита у меня не настроена. И это при включенной двухфакторной аутентификации, резервной почте, регулярному контролю активности и подключенных устройств? 😮 И все потому, что у меня ФИО не указаны в аккаунте? Ну, такое себе, если честно. Сбор персональных данных Интернет-компанией - задача понятная, но к безопасности она, увы, отношения не имеет никакого! 🤠

Читать полностью…

Так, видимо пора снова написать то, что написано в описании канала, но этого никто не читает.

‼️ ЭТОТ КАНАЛ ЛИЧНЫЙ И ОТРАЖАЕТ МОЮ ЛИЧНУЮ ТОЧКУ ЗРЕНИЯ. МОЙ РАБОТОДАТЕЛЬ НЕ ВЛИЯЕТ НА ТО, ЧТО ЗДЕСЬ ПИШЕТСЯ ‼️

Да, я нередко упоминаю то, что делает работодатель, но только потому, что я вовлечен в то, что он делает и о чем я пишу. Но я не пишу про все то остальное, что делает работодатель, как бы меня не просили. Я пишу про то, что мне интересно. И про инциденты ИБ тоже. Через мои руки проходит под сотню кейсов в день (со всего мира) и я их получаю не изнутри компании, а за счет собственного мониторинга. Пишу я только про то, что меня заинтересовало. Да, может оказаться так, что инцидент затронул клиентов или партнеров моего работодателя. Да, им не повезло, если я про это написал. Но работодатель не может заставить меня не писать про это или удалить какой-то уже написанный пост. И он меня не заставляет писать про что-то или кого-то; даже если бы он захотел, чего, к счастью, не бывает.

‼️ Я ПИШУ НЕ ПО КОМАНДЕ, А ПО СОБСТВЕННОМУ ЖЕЛАНИЮ. КТО ЭТОГО НЕ ПОНИМАЕТ - ИДИТЕ В ЖОПУ ‼️

Если вас задел мой пост - идите ко мне в личку и давайте там разбираться, что и как. А пытаться заткнуть меня через работодателя - ну такое себе. Лучше ситуация точно не станет, будучи загнанной в тупик конфликта, а не попытки его разрешить.

‼️ КТО ДУМАЕТ, ЧТО МОЮ ЛИЧНУЮ ПОЗИЦИЮ МОЖНО ПОМЕНЯТЬ ЧЕРЕЗ РАБОТОДАТЕЛЯ - МНЕ ВАС ЖАЛЬ; ВИДИМО ДЛЯ ВАС САМИХ ЭТО НОРМА ‼️

ЗЫ. И не надо думать, что шило можно утаить в мешке. Инциденты ИБ всегда становятся известны; особенно если их инициаторы находятся в сопредельном государстве и ими движет не финансовая мотивация. И лучше сработать на опережение и дать свою оценку событий, которую все и будут обсуждать (главное не повторять кейс Snowflake и иже с ними), чем быть в позиции догоняющего и пытающегося замести весь сор под ковер. В Интернете это не очень получается. Будет только хуже.

‼️ ЕЩЕ РАЗ БОЛЬШИМИ БУКВАМИ - ЭТО МОЙ ПЕРСОНАЛЬНЫЙ КАНАЛ ‼️

Читать полностью…

Сложно себе представить, чтобы любой из отечественных регуляторов объединился бы с другим с целью повышения осведомленности граждан в вопросах ИБ. Межведомственное взаимодействие у нас построено из рук вон плохо в таких делах 😠 Минцифры делает что-то свое, РКН свое, ФСБ свое, ЦБ свое… А вот на Украине Нацбанк вместо с ДССТЗИ и Киберполицией замутили кампанию по внедрению MFA для защиты от мошенников ⚠️

Одно смущает меня у украинцев ☝️ - то, что это делается за счет американцев. И дело не в шлейфе темных делишек USAID (например, попытка смены правительства на Кубе 🇨🇺), сколько в самом факте. Нацбанк Украины (да и не только там) является независимой структурой, которая осуществляет расходы только за счет собственных доходов или, в случаях установленных законом, за счет госбюджета страны. А тут кампания за счет бюджета иностранного государства. Такое себе…

Я представил себе, что началось бы, если бы на этом баннере вместо лого USAID вдруг появился логотип Россотрудничества… 👿 А если бы у нас такое появилось на баннерах ЦБ по финансовой грамотности? Тут либо присваивать статус иноагента, либо по 275-й пускать 👮... Хотя последнее вряд ли (это ж иностранцы бы нам помогали, а не мы им) 😦

ЗЫ. Прикольный маскот - хорошо, что не кот 🙀

Читать полностью…

Когда угроза ИБ превращается в игру 🎮 Тинькофф Т-Банк - молодец. Прям прикольная тема. Я бы ее на следующий PHD подтащил в Кибергород 🕹

Читать полностью…

Сервис e-mail-рассылок ✉️ GetResponse взломали, после чего стали ломать их клиентов, отправляя от их имени фишинговые сообщения. Например, так пострадала криптобиржа CoinGeko 💴. Началось все с взлома учетной записи одного из сотрудников GetResponse, ну а дальше по накатанной 🔗

Вновь подтверждается два тезиса - атака на подрядчиков и взлом через креды сотрудников - в топе 🔝 Ну и рекомендации такие же очевидные - внедрение MFA и установление требований по ИБ для подрядчиков с последующих их контролем (правда, возникает вопрос, кто будет контролировать аутсорсинговый SOC, если вы воспользуетесь его услугами?). Для более продвинутых компаний я бы рекомендовал посмотреть в сторону ITDR (Identity Threat Detection & Response), которые обеспечивают не управление идентификационной информацией, а мониторинг ее использования и реагирование в случае инцидентов с кредами сотрудников и подрядчиков 🖥

Я уже писал в начале 2022-го года про проблему взлома именно сервисов рассылок, но не лишним будет и повторить тему. Одно дело проверять защищенность своего почтового сервера и способность его противостоять фишингу и вредоносам 🦠, и совсем другое - проверять защищенность сервиса рассылки этой самой почты в контексте привилегий на отправку сообщений от имени вашей компаний. По опыту могу сказать, что многие ИБ-службы даже не знают, с помощью чего или кого их подразделения маркетинга рассылают свои информационные и рекламные сообщения 😮

PS. GetResponse - не одни такие, Mailchimp в прошлом году тоже взламывали.

Читать полностью…

👋 Вы знали, что в семнадцатом веке компьютеры были живыми, пили чай по утрам и ходили на работу?

А о том, что первые флешки появились пару столетий спустя и использовались для ткацких станков? Или, например, что первым программистом в истории была Ада Лавлейс — дочь лорда и поэта Джорджа Байрона? О том, что идеальная универсальная вычислительная машина придумана Тьюрингом в середине прошлого века, но все еще не может быть построена?

🤩 Наука проделала огромный путь от деревянных счетов до макбуков последней модели. И по этому пути прошло множество замечательных людей, ученых и сподвижников, влюбленных в свое дело, не желающих останавливаться на достигнутом, не боящихся рушить старые теории и выдвигать новые.

В первом выпуске «Комнаты 1337» рассказываем об эволюции вычислительной техники и отце всех компьютеров — Алане Тьюринге.

Смотрите его на нашем YouTube-канале и делитесь с теми, кому тоже интересно.

@PositiveHackMedia

Читать полностью…

В Даркнете в продаже появилась утечка 🚰 с данными клиентов, партнеров и сотрудников Cylance, ИБ-компании, выпускающей EDR и купленной BlackBerry. Вот такие дела… 🖥

Читать полностью…

Представьте, вам платят зарплату 🤑, динамически ее вычисляя в зависимости от уровня реальной защищенности компании 📈 Стали продавать доступ в вашу инфраструктуру, ваша зарплата упала до стоимости доступа (понимаю, что для многих 2500 долларов, это не падение, а рост). Исчезли из Даркнета 🥷 предложения доступов, баз с утечками... Значит можно вернуться к предложению из исходного оффера. Согласитесь, это щекочет "фаберже" и делает работу ИБшника более осмысленной, так как доход напрямую зависит от результатов работы, а не среднего размера зарплаты на hh[.]ru 💡

Читать полностью…

Помните, я 3-го июня упоминал про дырявый Checkpoint? Так вот уязвимость CVE-2024-24919 обнаружена на 13754 железках израильской компании, торчащих наружу. Как видно на карте от Censys, по данным на 3 июня, такие устройства есть и на территории России. Примите меры! 🤬

ЗЫ. Надеюсь, «Сканер» от РКН или Rooster от CyberOK позволят скоро такие же исследования всем делать 🙄

Читать полностью…

Пинкоды

Чем больше банковских карт становится в кармане, тем сложнее запоминать от них пинкоды.

Даже если карт мало, они часто меняются - то потеряешь, то проебешь, то погнешь. И надо делать новую.

Есть очень простой способ придумывать и запоминать пинкоды от кредиток. Главное - придумать какой-либо принцип.

У всех карт есть 16 цифр, которые состоят из 4 наборов по 4 цифры. Достаточно выбрать способ запоминания цифр. Например: брать каждую первую цифру из каждого блока. Или каждую последнюю. или четыре цифры из середины. Или четыре последних. Или первую из первого, вторую из второго и пр.

И тогда не нужно будет запоминать пинкоды, потому что они всегда будут какие нужно и всегда разные. Главное - никому не говорить про свой принцип.

Читать полностью…

Если вдруг у вас, как и у меня, возникал вопрос, как проводить сканирование прошивок на предмет уязвимостей, то вот американцы подогнали коротенький отчетик по этой теме 🔍

Читать полностью…

Мы много болтаем ерунды про "уклонение от потерь", "ущерб репутации", "ROSI", "требования законодательства" и т.п. мантры, которыми ИБшники затуманивают мозг бизнесу. Но все это не работает. Нужно фокусироваться на другом - не на ИБ, на важном для бизнеса, показывать реальную и крупную экономию, улучшать и измерять пользовательский опыт.

Так пишет в своем блоге CISO Google 📱 При этом во втором блоке рекомендаций он использует до боли знакомую концепцию. Экзистенциальные риски (это когда совсем жопа)? Вовлечение топ-менеджмента? Стресс-тесты для доказательства, что мы защищены? Почему бы просто не называть вещи своими именами - недопустимые события и результивный кибербез? 😎

Шутки шутками, но мысль, что определять то, с чем надо бороться, должны топы, которые еще и хотят получить реальное подтверждение, что все сделано как надо, все больше занимает умы ИБшников, которые, следуя заветам старика Эйнштейна, понимают, что если делать все так же, как и раньше, тупо ждать, что что-то изменится и результат будет иным. Да и нельзя решать проблему на том же уровне, на котором она создана 💡

ЗЫ. А вообще «экзистенциальный риск» - это прям 🔥 термин

Читать полностью…

Не умаляя отношений с друзьями, все-таки самые ценные подарки, которые мы получаем, они от детей! Вот и вчера, дочь мне на день рождения, подарила комикс про папу - позитивмэна, который помогает королю выбрать надежный пароль! ❤️‍🔥 Интересно меня видит ребенок, конечно. Три волосинки и красные революционные трусселя, в которых я спасаю виртуальный мир 😊 Недалеко от истины, кстати 💯

Читать полностью…

В мае было зафиксировано более 5000 CVE, что составляет, в среднем, 164 уязвимости в день 🎯 В 2023-м году среднее число обнаруживаемых уязвимостей (которым присваивался CVE) в день было… 84. Нас ждет горячий год с точки зрения vulnerability management… ⚔️

И вряд ли ситуация будет лучше. Чем больше в процесс разработки будет внедряться ML 🤖 и чем чаще он будет обучаться на говёном коде, тем больше дыр в софте будет появляться и тем больше атак может случиться, так как, как мы помним, использование уязвимостей в публично доступных приложениях входит в тройку 3️⃣ основных причин инцидентов!

ЗЫ. NIST обещает в сентябре вернуть NVD к жизни. Верится с трудом. Никто не захотел взять на себя эту ношу. В итоге NIST законтрактовал компанию Analygence, которая не имеет опыта такой работы. Так что перспективы туманны 😶‍🌫️

Читать полностью…

Завтра Госдума планирует рассмотреть законопроект 2020-го года, в котором, среди прочего, устанавливается требование уничтожения персданных не абы как, а только с помощью сертифицированных ФСБ или ФСТЭК средств защиты информации, в которых реализована специальная функция уничтожения 🔫

Пока закон не приняли, пойду удалю со СмартТВ учетку ребенка, а то я не знаю, какие сертифицированные средства защиты есть для AndroidTV, и боюсь, что нарушу закон, если уничтожу ПДн без SecretNet, ViPNet и иных "аналоговнет" с сертификатом и голограммой 🗑

Читать полностью…

Wired пишет, что российские киберпреступники 🎃 практически недосягаемы для западных правоохранительных органов ввиду попустительства отечественных правоохранителей, которые не замечают деятельности хакеров, направленных против зарубежных держав.

Чтобы ослабить их деятельность, западные спецслужбы 🇺🇸 и органы правопорядка начали применять психологические меры, направленные на подрыв доверия среди хакеров. Например, операция Cronos, в ходе которой была "взломана" группа LockBit 💻 Публикация внутренних данных и личных сообщений хакеров создала недоверие к ним и подорвала репутацию группы. Эти психологические операции (psyops) усиливают раскол среди киберпреступников, снижая их эффективность и уменьшая их активность 😦

Интересно, что теперь противопоставят этим psyops русские хакеры? ❓

Читать полностью…

На ПМЭФ опять рекордную DDoS-атаку поймали и отшлепали отразили. Прям есть чем гордиться ☺️ Такое впечатление, что задачей было не дело делать, а обязательно какой-нибудь рекорд поставить и всем про это рассказать. Или хоть что-нибудь найти и рассказать - пресс-конференция была же собрана заранее, место оплачено, с двух заветрившихся тарталеток сняли целлофан; чего добру пропадать 🤐

Что-то маркетинга стало многовато в ИБ... Такое впечатление, что именно он правит балом, а не реальные технологии, процессы, результаты, специалисты... И ладно бы маркетинг был мудрый или забавный и смешной, но нет. Надо будет сдуть пыль с блога из-за погружения в ПХД и что-нибудь написать этакое, недоброе 😈

Читать полностью…

Предсказуемо, Snowflake ❄️ попалась на вранье, - хакеры выкладывают украденные данные клиентов Snowflake или требуют от них выкуп 🤒 А меня эта история навела на две мысли. Во-первых, атаки на подрядчиков продолжают оставаться одной из главных проблем и пользователи таких поставщиков разных, преимущественно ИТ, решений просто обязаны включать в договора разделы про кибербез и возможность проверки того, как он выстроен на стороне подрядчика ✔️ В идеале бы и самим подрядчикам пойти чуть дальше получения бумажек SOC2 на свои облака в сторону вывода систем на BugBounty или опубличивания отчетов пентестеров, которые должны раз в квартал проверять системы ИТ-подрядчиков на вшивость защищенность 🤕

Вторая мысль иного плана. Все жертвы хакеров настолько привыкли начинать свои пресс-релизы и заявления с "мы не видим следов несанкционированной активности в нашей инфраструктуре" и "атака коснулась только тестового окружения", а потом это оказывается откровенной ложью 🤠, что теперь, даже если какая-либо компания и вправду не увидит следов атак у себя в сети, а это будет только "развод" со стороны хакеров, им все равно уже никто не поверит. Все будут думать, что они такие же как Snowflake, Microsoft, ***банк, Московский институт психоанализа и т.д., которые уже дискредитировали нормальный PR во время инцидентов ИБ 👊

Читать полностью…

CAPTCHA становится все сложнее и сложнее. Не всегда поймешь, что от тебя хотят, а когда понимаешь, еще и ошибаешься и тебе надо начинать проходить квест из трех заданий заново.

❗️❗️ Верните пожарные гидранты и пешеходные переходы!!! Тьюринг, о котором я писал утром, в бешенстве!

ЗЫ. Другие примеры капчи - тут, тут, тут и тут.

Читать полностью…

Взлом Cylance, которой в России почти и не было, не так интересен. А вот взлом новосибирской компании по ИБ, если, конечно, верить заявлениям хакеров, которая предоставляет широкий перечень услуг по ИБ, включая пентесты и аудиты объектов КИИ 🤜, а также имеет собственный SOC и мониторит с него средства защиты своих заказчиков, это уже горячее... и неприятнее. И судя по выложенным "доказательствам" там результаты обследований ИБ заказчиков из сферы энергетики (КИИ в полный рост) 🏭

Внутри 🟥 - это одно из четырех недопустимым событий, так как проблема не в том, что взломали тебя, а в том, что через тебя могут теперь взломать твоих же клиентов. И если ты сам еще в состоянии быстро отреагировать, то вот твои клиенты, особенно крупные национальные компании, достаточно неповоротливы 😞, чтобы быстро начать действовать, да еще и в выходные, да еще и когда твое начальство на ПМЭФ или летит с него.

Ну а я в очередной раз задам сакраментальный вопрос - что является доказательством качества 5️⃣ предоставляемых услуг и реальной защищенности компании по ИБ? Лицензия регулятора? Свидетельства о прохождении обучения на 512 часов? Благодарственные письма от заказчиков? Или все-таки что-то иное? Например, приглашение других ИБ-компаний к взаимопроникновению 🤜 с опубликованием результатов, выход на Bug Bounty, участие в открытых кибериспытаниях?.. Вопрос риторический...

ЗЫ. Имен не будет. Регуляторы в курсе.

Читать полностью…

А мы тут запустили свое небольшое онлайн-медиа 📣 (да, плюс к SecurityLab и Positive Research), в котором будет всякое разное для более широкой аудитории, чем просто специалисты по ИБ. И какие-то фильмы я даже немного поконсультировал (скоро выйдет на канале). Продолжаем нести свет знаний в массы 🚨

Читать полностью…

Авиакомпания «Россия», приветствуя своих пассажиров, утверждает, что они «крупнейший эксплуатант самолетов российского производства» ✈️ Прям гордость берет за «Россию» 🇷🇺 Почему никто еще не взял на знамя статус «крупнейшего в мире эксплуатанта средств защиты информации, произведенных в России»? 🏆 Маркетологи зря едят свой хлеб 🍿

Читать полностью…

Каждый год мы с друзьями выступаем в плавках на мероприятиях по ИБ... Так хотелось бы начать рассказ о финальной дискуссии финального дня PHD2, которая подводила итог всему бизнес-треку. А все потому, что начав на прошлогодней Магнитке, мы решили вновь пошалить и выйти на сцену Лужников в пляжном и с коктейлем в руках поговорить за русский кибербез и то, что нужно вендорам и потребителям. Я благодарен коллегам, которые не побоялись прийти и поговорить в воскресенье вечером на злободневную тему. Получилось задорно и с правильными мыслями.

ЗЫ. И это последнее видео с моим участием с PHD2!

Читать полностью…

Этой дискуссией мы завершали день CISO на PHD2. В отличие от всех предыдущих, где вопросы готовились заранее, здесь был полный экспромт - вопросы задавались слушателями в зале и в онлайне. Получилось неплохо, а я вновь не буду выделять что-то конкретное в ответах коллег, так как у каждого это "конкретное" будет своим.

Читать полностью…

Взгляд обывателя на то, как надо запоминать пин-коды 🤯 Все хорошо в этом совете, но когда кто-то, особенно известный, озвучивает какую-либо схему, именно ее и будут использовать читатели. И в любом случае, вариантов описанной схемы не так много, а значит они все легко подбираются и оцифровываются.

Это скорее пример awareness для обывателя 😊 Я давно предлагал, что надо, чтобы про ИБ рассказывали Бузова, Гутенморген и другие "инстасамки". И вот пример охвата...📣

А еще можно вместо публичных и унизительных извинений за носок 🧦 на члене и другие проявления «голых вечеринок», вменять общественные публичные работы в онлайне. Сфакапил - иди отрабатывай, запиши пяток роликов про MFA на Госуслугах, обновление браузера, выбор паролей и т.п. Или по радио с тем же выступи, или проведи бабушку через дорогу в собесе лекцию . Так насадим всем правильный кибербез! 😂

Читать полностью…

Есть такой стартап BforeAI, который использует ИИ 🧠, запатентовал алгоритмы обнаружения атак, имеет уровень ложных срабатываний на уровне 0,05% и вот это вот маркетинговое бла-бла-бла. Но... они тут на днях, вместе со страховой компанией Munich Re, анонсировали, что гарантируют защиту и в случае, если клиент все-таки пострадает от атаки 😷, то он получит возмещение ущерба в десятикратном размере от суммы контракта. Да, не от понесенного ущерба, но даже от суммы контракта, - это смело. Текста условий страхования я не нашел и там скорее всего есть ограничения, но в любом случае это достаточно интересный анонс и схожих историй становится все больше (я в прошлом июне делал обзор таких компаний) 📈

У нас в стране пока таких анонсов нет. Есть разговоры о выплатах в пределах суммы по договору 🤑, если будет доказано и бла-бла-бла, другие отмазки. Есть разговоры о скидках. Есть существенные выплаты за взлом инфраструктуры и внедрение закладки в код продуктов 🟥, что характеризует качество безопасной разработки продуктов и уровень собственной защиты компании. А вот так чтобы выложить свои Фаберже на стол и сказать - если наши продукты вас не защитят, то мы заплатим вам миллион долларов 🦺 или хотя бы двукратную сумму контракта... Увы. Пока наш рынок не готов к таким заявлениям. Ну что ж подождем...

Читать полностью…

Тээээкс, надо завершить историю с публикацией ссылок на мои выступления/модерации на PHD2. Эта дискуссия, по сути, задала тон всему стриму про CISO на бизнес-треке PHD2. Мы поговорили о том, как оценивать работу руководителя ИБ - по числу обнаруженных и отраженных инцидентов или все-таки по неким иным показателям? И надо сказать, что у коллег был разный взгляд на этот, казалось бы, простой вопрос ❓

Не буду говорить, какая позиция оказалась мне ближе (хотя в видео я, вроде, это говорю), - все-таки это вопрос, не имеющий универсального ответа. Каждый проходит разные этапы в этом вопросе. Кому-то соответствие требованиям - результат, кому-то снижение числа инцидентов, кому-то попадание в бюджет, а кому-то удовлетворение хотелок большого босса 🤸 И на определенном этапе развития CISO и компании, в которой он трудится, это будет вполне нормально. Наверное, в этом и смысл любой дискуссии, - обменяться мнениями, чтобы слушатели взяли что-то свое, без навязывания извне.

Читать полностью…

История «взлома» Snowflake ❄️ обрастает новыми подробностями и получает развитие (кто бы сомневался). Сначала они вместе с Crowdstrike и Mandiant (сразу с двумя!!) выпускают заявление, что ничего страшного, взлома не было. Но при этом в Knowledge Base компании незаметно и без уведомления появляется статья ☝️с индикаторами компрометации. Потом Snowflake через юристов 🧑‍⚖️ добивается удаления первоначального поста о взломе. При этом австралийский ИБ-регулятор подтверждает взлом некоторых клиентов Snowflake, а американская CISA публикует бюллетень про инцидент.

А так-то, да, инцидента не было и вся движуха - это цепь нелепых случайностей 🤦‍♂️ Осталось Ватикану выпустить заявление, что взлома Snowflake не было, но Папа Римский молится за всех пострадавших от инцидентов ИБ, и паноптикум станет полным.

Читать полностью…

Услышав в разговоре про security data lake (озеро данных безопасности), всегда уточняйте, что конкретно имеет ввиду человек, его упоминающий. А то знаете ли, мнения у всех разные и нет единого или хотя бы доминирующего 😱 А без этого впарят вам обычный SIEM под видом озера, а то и просто облачное файловое хранилище...

Читать полностью…