Пост Лукацкого

22 августа 2023 17:27

Проблемы сбора данных о киберпреступности в США

В июне в качестве рецензента принимал участие в защите работы студента по теме кибербезопасности. Одним из вопросов от комиссии было, в какой стране совершается больше всего киберпреступлений, на что студент в общих словах ответил, что и в России много, и в США, и в ЕС. Членов комиссии это устроило.

Но, наверно, правильный ответ звучал бы так, что точно никто не знает: надёжной глобальной статистики нет, подходов общих нет, значительная часть публично обсуждаемых данных поступают от частных компаний, а не от государств. О каком реальном сравнении можно говорить, если даже внутри государств с данными всё довольно сложно?

Эта долгая подводка была к тому, что у Счётной палаты США (GAO) вышел крайне интересный доклад под заголовком: «Киберпреступность: механизмы отчётности различаются, и ведомства сталкиваются со сложностями при выработке метрик». Документ на 40 страниц, полностью пересказывать не буду, только основные моменты.

За деятельность в сфере борьбы с киберпреступностью в США отвечают по меньшей мере 12 ведомств, у всех своих роли и полномочия. Обобщённо выделяются три направления: выявление преступлений, расследование, уголовное преследование. Фокус ведомства накладывает отпечаток на то, как оно собирает данные о киберпреступности и отчитывается о них. Например, в рамках выявления преступлений IC3 (часть ФБР) собирает жалобы через вебсайт. Другое подразделение ФБР получает данные от правоохранительных органов всех уровней через информационную систему. CISA получает отчёты от объектов критической инфраструктуры.

Наличие разных механизмов сбора данных о киберпреступлениях имеет и плюсы, и минусы. Из недостатков ведомства называют следующие:
— нет общего определения киберпреступности;
— из-за различия механизмов сложно стабильно отслеживать данные;
— данные о киберпреступности не собираются в одной централизованной точке.

При этом ведомствам не так-то просто выработать общие метрики для сбора данных. Выделяются следующие проблемы:
— сложность измерения масштаба и воздействия киберпреступности;
— отсутствие общего определения;
— сложность проведения различия между киберпреступностью и преступлениями, совершёнными с использованием компьютеров (cybercrime и cyber-dependent crime);
— координация между правоохранительными органами.

В США проблема осознаётся, год назад был принят целый закон, призванный улучшить сбор данных о киберпреступности, — Better Cybercrime Metrics Act. Но судя по докладу GAO, поиск решения — непростая задача. Вероятно, похожая ситуация наблюдается и в других крупных странах с большим количеством правоохранительных органов, у каждого из которых есть свой киберкомпонент.

Пост Лукацкого

22 августа 2023 14:01

3 августа исследователи уже упоминаемой сегодня в канале PNNL предложили новый метод обнаружения атак (признанный лучшим на IEEE International Conference on Cyber Security and Resilience), который повышает эффективность детекта больше чем на 90% по сравнению с текущими методами. На самом деле речь идет только о некоторых классах сетевых атак и аномалий, например, DDoS, сканирование и т.п., которые обнаруживаются за счет анализа превышения пороговых значений (многие решения класса NDR/NTA так действуют). PNNL протестировал 10 стандартных алгоритмов, которые идентифицировали в среднем 52% атак; формула PNNL позволяет обнаруживать 99%.

Суть идеи заключается в том, что если обычно средства поиска сетевых аномалий используют энтропию Шеннона, то PNNL взяли за основу энтропию Цаллиса, которая оказалась в сотни раз более чувствительной при обнаружении ложных срабатываний, а также выявлении флеш-событий, то есть легальной активности. Исследование PNNL показывает, что их метод требует меньшего человеческого участия, а также меньшего объема ресурсов, чем, например, машинное обучение, требующего большой обучающей выборки.

Надо подождать, когда кто-то реализует этот метод в своем продукте, чтобы понять его реальную эффективность. А то может решения на базе энтропии Хартли или Реньи будут более эффективными? Хотя вряд ли. Последние уже тестировались и не показали себя намного лучше энтропии Шеннона 🧮

ЗЫ. Да, можно и мозги немного размять; не все мемасики смотреть в канале 😊

Пост Лукацкого

22 августа 2023 10:04

С киберполигоном Standoff, который демонстрируется дважды в год, на PHDays и на Standoff, знакомы многие. Американцы на DEFCON решили развить идею (хотя у них полигон гораздо, гораздо скромнее), добавив в полигон дополненную реальность. Pacific Northwest National Laboratory (PNNL) разработала киберфизический иммерсивный тренинг, или CyPhy, который позволяет погрузиться в тот или иной реалистичный сценарий. В этот раз это была возможность посмотреть на управление железной дорогой во время кибератаки.

Пост Лукацкого

21 августа 2023 20:01

Вдогонку тому, что половину бюджета CISO тратят на инструменты класса IAM, не менее интересная информация о ТОП-10 инструментов, на которые ежегодно тратятся CISO.
Как видно, IAM действительно популярен последние два года, а вот endpoint-решениями видимо все уже закупились🙂
p.s. Информация из отчета "Cybersecurity Perspectives 2023".

Пост Лукацкого

21 августа 2023 17:08

Известная карточная ИБ-игра "Backdoors & Breaches" теперь и в онлайне. Ее физический аналог (я о нем писал в блоге) был разработан для проведения штабных киберучений, темой которых является реагирование на инциденты и изучение TTP злоумышленников. 52 уникальных карты, доступные для скачивания шаблоны карт, достаточно простые правила, которые во-многом повторяют то, что я провожу в рамках своих киберучений на тех или иных мероприятий. Теперь ее перенесли и в онлайн, предложив и что-то новое, - теперь там помимо основного варианта игры еще 5 расширений:
🔤Расширение основной игры новыми TTP
🔤Расширение от компании Huntress (там есть интересные новые механизмы защиты)
🔤"Облачное" расширение
🔤Расширение от Red Canary (свой набор карт TTP)
🔤Расширение для промышленной тематики (разработано совместно с Dragos).

Пост Лукацкого

21 августа 2023 10:03

Из наших регуляторов только Центробанк публикует дорожные карты по обеспечению ИБ в рамках своей компетенции. Ни ФСТЭК, ни ФСБ, ни Минцифры, ни РКН этим не "балуются", иногда только рассказывая на пресс-конференциях и мероприятиях о своих краткосрочных планах, но не более. Поэтому приходится изучать планы потенциальных противников, например, стратегический план CISA на 2023-2025 годы.

34-страничный план красивый и содержит 19 целей, которые CISA разбила на 4 направления:
🔤Обеспечение защиты и устойчивости национального киберпространства. Тут вам и управление уязвимостями, и внедрение безопасной разработки, и обнаружение угроз, и управление инцидентами.
🔤Снижение рисков и обеспечение устойчивости критической инфраструктуры. Тут больше про анализ рисков, разработку методологий и развитие аналитических возможностей, защиты системы электронных выборов и т.п.
🔤Операционное взаимодействие с партнерами агентства. Тут про обмен информацией, интеграцию, доступ партнеров к продуктам и сервисам CISA и т.п.
🔤Улучшение функций агентства. Тут про повышение культуры внутри агентства, усиление и улучшение всего и вся внутри, оптимизация операций и т.п.

Пост Лукацкого

20 августа 2023 20:24

"Сфера" в американском Лас-Вегасе все-таки накрылась. Кто-то подумал, что это наконец-то хакеры, приехавшие на Defcon и BlackHat добились своего, но нет... Все просто. В Лас-Вегасе сегодня дождь. Не такой, как в Москве, когда за час выпало 40% месячной нормы осадков. Но для центра пустыни любой дождь - это аномалия (примерно, как для работников ЖКХ снег зимой). И эту аномалию забыли предусмотреть в "модели угроз" "Сферы", так как вероятность такого события мала. Я много раз был в Вегасе и действительно, дождя там не видел ни разу. И это к разговору о том, надо ли закладываться на события, вероятность которых низка?..

Пост Лукацкого

20 августа 2023 13:01

Да, среди стратегий защиты существует и такая - «увеличь стоимость атаки для хакера, делая ее невыгодной для него». Возможно, раньше она и работала, но при нынешних ценах на разработку вредоносов, организацию DDoS-атак, готовые фишинговые киты и др., говорить об этом уже не приходится 🤷

Пост Лукацкого

19 августа 2023 20:03

Вот сейчас неожиданно было. Более 50% своего годового бюджета CISO тратят на решению по управлению идентификацией и аутентификацией…

Пост Лукацкого

19 августа 2023 12:31

Только читая такие сообщения, начинаешь задумываться о том, а как получить доступ к ноутбуку/компьютеру/смартфону умерших близких 🪦 и готовы ли мы к такому сценарию? ⚰️

Пост Лукацкого

18 августа 2023 17:09

Между делом Cyentia Institute выпустил уже девятое исследование на тему приоритезации устранения уязвимостей и, в целом, по сложным вопросам управления уязвимостями.

В последнем отчете понравилось сравнение различных стратегий устранения уязвимостей по критериям покрытия и эффективности как в случае использования по отдельности, так и в случаях комбинирования методов (и источников информации).

Все выпуски отчетов серии "Prioritization to Prediction" можно почитать тут.

Пост Лукацкого

18 августа 2023 13:36

FAIR Institute, известный своим стандартом количественной оценки рисков FAIR и разных методик и стандартов на его основе, выпустил новый стандарт - FAIR Materiality Assessment Model (FAIR-MAM), задача которого, в стиле MITRE ATT&CK, описать различные формы потерь/ущерба от инцидентов ИБ (параметр "Loss Magnitude" в стандарте FAIR).💰Все потери делятся на 10 крупных блоков (прерывание бизнеса, мошенничество, ущерб репутации и т.п.), а так как это открытая модель, то она может быть адаптирована под любую организацию, которая еще не дозрела до недопустимых событий, но при этом ее уже не устраивает светофор при оценке рисков и хочется некой количественной оценки.

Пост Лукацкого

18 августа 2023 06:40

Почему вендора, делающие вклад в развитие CVSS, сами его не используют, стараясь придумать что-то свое? Таких систем приоритизации уязвимостей сегодня уже под десяток от разных компаний, организаций и регуляторов. И это, конечно, сильно мешает установлению некоего единого языка общения между специалистами. Каждый считает своим долгом обругать CVSS (хотя там и правда есть свои косяки) и предложить что-то свое на его базе, а то и вообще отдельное.

Пост Лукацкого

17 августа 2023 16:58

Достаточно частая практика - нанимать на L1 в SOC джунов и иногда даже «без опыта работы» 👦🏼. Но вот можно ли брать на первую линию тех, кто не способен отличить изощренную атаку от фолса и скорее всего закроет тикет, так в нем не разобравшись и не эскалировав выше, опасаясь «насмешек» от старших товарищей с L2? 👶

ЗЫ. Кстати, во внутреннем SOC Cisco в какой-то момент времени отказались от вертикальной иерархии L1-L3, используя совсем иное "деление".

Пост Лукацкого

17 августа 2023 06:40

У одной американской ассоциации, объединяющей энергетиков 🪫 (нет, это не NERC), есть интересная схема эскалации инцидентов в зависимости от их критичности. Интересно, что тут взаимоувязаны инциденты уровня компании, штата/отрасли и всей страны. И очень хорошо показано, что не надо обо всем сообщать сразу в ФБР или Нацгвардию; иногда достаточно просто сообщить на уровень своего локального МЧС (да, там МЧС еще и в вопросы ИБ вовлечено). Ну и, конечно, нашлось место и отраслевым CERTам (в США они называются ISAC, Information Sharing & Analysis Center) ⚡️

Пост Лукацкого

22 августа 2023 17:27

Знакомая история... У нас есть МВД, ФСБ, ЦБ, Минцифры, РКН, СК...

Пост Лукацкого

22 августа 2023 10:33

Раньше у PNNL тренинги были направлены на атомный кибербез и CyPhy проверял поведение персонала в следующем сценарии - кража бейджа для допуска на АЭС, проход на территорию, отключение видеокамер наблюдения, саботаж. Интересная история, но лично у меня весь опыт использования VR/AR в ИБ заканчивался как-то не очень. При наличии обычных очков это всегда требует особой настройки и после продолжительной работы в очках VR/AR начинают болеть голова и глаза. Возможно, в будущем технологии станут более доступными и менее болезненными.

Пост Лукацкого

22 августа 2023 06:40

Сначала ты отменяешь фокусировку мероприятия и оно теперь про "комплексную кибербезопасность". Потом ты начинаешь накручивать цифры участников на 30+%, хотя за 1 минуту гуглятся твои же пресс-релизы сразу после мероприятия, где указаны реальные значения. А потом ты и вовсе начинаешь продвигать мероприятие, организуемое ФСТЭК и ФСБ, с адресов на Gmail... Так держать! 🤢

Пост Лукацкого

21 августа 2023 20:01

Относиться к таким отчетам, конечно, надо всегда с определенным скепсисом, но общую температуру по больнице они показывают. Из интересного, это появление новой статьи затрат в бюджете на автоматизацию ИБ, что понятно, - людей не хватает, защищаемый ландшафт расширяется, число угроз растет. А второе - постепенный рост инвестиций в решения класса attack surface management, которые позволяют окинуть внешним взглядом безопасность организации, включая и периметр, и облака, и подрядчиков, и иные ресурсы.

Пост Лукацкого

21 августа 2023 13:31

Когда все достали, психанул и решил сделать надежный пароль к беспроводке ;-)

Пост Лукацкого

21 августа 2023 06:40

WAF Testing Dataset

Всем привет!

Защита приложений не заканчивается в момент разработки и/или тестирования. Защита ПО в режиме runtime – штука крайне важная и про нее забывать не следует. А Web Application Firewall (WAF) – одна из наиболее часто используемых технологий для защиты web-приложений.

При выборе решений практически всегда встает вопрос – какое из них лучше и какое нужно выбрать? Вариантов решения задачи множество – от «аналитических таблиц», до проведения пилотных проектов.

Но что может быть лучше, чем проверить WAF «нагрузив его, как следует»? Ничего! Но есть нюанс: где взять те самые данные для проведения «нагрузочного тестирования»?
Ответом может стать проект «Web Application Firewall (WAF) Comparison Project» от open-appsec (CheckPoint).

Внутри можно найти 973,964 различных http-запросов, сгруппированных по 12 категориям. Дополнительно в набор входит 73,924 вредоносные нагрузки (malicious payload), в которых представлены: SQL Injection, XSS, XXE, Path Traversal, Command execution, Log4Shell и Shellshock.

А если не хочется тестировать самому, но любопытны результаты – то есть вот такая статья, в которой сравнили Microsoft Azure WAFv2, AWS WAF, F5 Nginx App Protect WAF и CloudGuard AppSec. Результаты, аналитика, таблицы и много-много-много данных.

Пост Лукацкого

20 августа 2023 17:08

Много лет назад уже был инцидент с вмешательством хакеров в работу канала коммуникаций "Земля - МКС", но деталей, как и по многим инцидентам середины-конца 90-х осталось маловато. И вот новая история. Я не очень верю в то, что проукраинская группировка смогла это сделать, хотя, если посмотреть на новости даже только у меня в канале, кейсы про атаки на спутники упоминаются на протяжении последних пяти лет 🛰

Из свежего, американцы проводили конкурс по взлому на последней Defcon, а Positive Technologies и RUVDS проводили аналогичный CTF в России. Американцы при этом еще и нормативку хотят выпустить по защите спутниковых группировок и систем от хакеров. То есть тема вполне себе живая. Но вот в контексте "Луны-25" 🌒 я что-то больше верю в "явную лажу", чем в "тайную ложу". Хотя свалить все на проукраинских хакеров?.. Что может быть лучше в текущих условиях...

ЗЫ. А с другой стороны, атаки спутников за последние полтора года происходят сплошь и рядом. То пророссийские группировки выведут из строя вещание в Украине или европейских странах, то проукраинские группы начнут по российскому ТВ гнать фейковые сообщения об экстренной и всеобщей мобилизации. Так что фиг знает... 📡

ЗЗЫ. Ну а насчет внесения изменений в координаты и сход с орбиты, достаточно вспомнить историю с первым стартом французской Ariane 5 4-го июня 1996 года.

Пост Лукацкого

20 августа 2023 08:40

Авторы вредоноса анонсируют конкурс по взлому своего детища, чтобы продемонстрировать качество своего ПО и найти слабые места в нем, если есть. Вознаграждение вполне себе на уровне и даже выше многих Bug Bounty программ.

Вендора по ИБ, ау! А почему вы не объявляете вознаграждение за легальный взлом ваших продуктов? Где ответственность за результат?

Пост Лукацкого

19 августа 2023 16:12

Забытая тема… COVID-19… 🦠 Немало человек пишут, что либо заразились на DEFCON и BlackHat, либо уже там были зараженными и могли заразить кого-нибудь 🤒 Предлагают всем контактерам пройти тестирование… Ответственные люди! 🤒

ЗЫ. Судя по опросу, DEFCON/BlackHat собрали неплохой урожай заразившихся… 😷

Пост Лукацкого

19 августа 2023 08:40

Вроде как сегодня группировка Cl0p должна выложить данные, украденные у двух ИБ-компаний - NortonLifeLock и Netscout. Последняя до сих не подтвердила свой взлом, что объяснимо, - иметь в своем портфолио решение класса NDR и не задетектить шифровальщика?.. Все-таки попадание ransomware, взаимодействие с внешними C2 и, самое главное, расширение плацдарма и распространение по внутренней инфраструктуре - это один из типовых сценариев для NDR. Либо они сапожник без сапог и не используют у себя свои продукты?

ЗЫ. NetScout также владеет и Arbor...

Пост Лукацкого

18 августа 2023 14:44

А потом, из FAIR-MAM могут получаться вот такие отчеты с финансовой оценкой ущерба

Пост Лукацкого

18 августа 2023 10:08

Мне кажется пора уже переставать называть отечественные продукты NGFW. Есть же требования ФСТЭК к многофункциональным межсетевым экранам уровня сети, то есть МФМСЭУС! Долой наследие Гартнера! Даешь русский язык в российскую ИБ!!! "Российский МФМСЭУС" - это звучит гордо!

Пост Лукацкого

17 августа 2023 20:08

Тот случай, когда джун в L1 SOC 🚼 прекрасно умеет разбирать вполне конкретные кейсы, укладываясь во все возможные метрики оценки эффективности, но не способен выйти за их рамки 🥅

Пост Лукацкого

17 августа 2023 13:31

У АНБ блокнотики красивые, а у НКЦКИ удобные. Не знаю, что выбрать 🤷 Хотя с первыми на встречах стремно появляться в наше непростое время. Не так поймут; настучат, объясняйся потом.

Может вообще розыгрыш в канале устроить? Иностранные блокнотики и в лучшие-то годы было сложно достать, а уж в нынешнее-то время и подавно. Раритет почти.

ЗЫ. Надо только повод придумать 🤔 Может в ноябре, на 71-ю годовщину с основания американской спецслужбы?..

Пост Лукацкого

16 августа 2023 20:08

Иногда смотришь на вакансии в АНБ и диву даешься… Вот и сейчас, криогенного инженера ищут. Но не для замораживания людей, а для постройки системы охлаждения высокопроизводительных систем 😮 Нашего «Кузнечика» 🦗 сломать хотят?!..