Помните, я предлагал динамическое зарплатообразование в зависимости от уровня защищенности компании? Александр Леонов предлагает схожую историю, но применительно к процессу управления уязвимостями; есть дыры - зарплату не платят, нет - платят 🤑 Это должно по мнению Александра ускорить устранение уязвимостей в компании.

Это интересная идея и я бы проголосовал ✊ за нее всеми руками, но... Во-первых, устранять надо не все уязвимости, а только критичные, которые еще надо выявить. Во-вторых, даже наличие списка приоритизированных уязвимостей еще не означает, что их надо устранять все - многие из них не могут быть использованы по разным причинам или заводят злоумышленников в тупик 🫱 По статистике таких уязвимостей - 75%, а дыр, которые могут привести к компрометации ключевых и целевых систем - от силы 2%. Так что если согласиться с этими ограничениями, то почему бы и нет 🤔

ЗЫ. Фонд Генри Форда не подтверждает легенду про ремонтников, которым платили только за время нахождения в комнате отдыха и поэтому они были заинтересованы в том, что конвейер не ломался 🚗

Читать полностью…

9 утра 7 октября - уже под сотню заявленных взломов израильских компаний и организаций 🇮🇱

Читать полностью…

Когда был молод, вожделел иметь много сертификатов по ИБ 🫴 Успел даже стать сертифицированным инженером Чекпойнта, сертифицированным тренером ISS (первым в стране), сертифицированным <бла-бла> от Brainbench… А потом как отрезало. Учится-учился, а за бумажками уже не гонялся. У меня даже сертификатов Cisco ни одного нет (кроме обязательных внутренних). И вроде и не мешает 🤓

Так что если вы вдруг захотите получить очередные 3-4-5-6 буквы, начинающихся с Certified, то задайте себе простой вопрос - «Накойхер?» или «Чтобы что?» Ну или следуйте методы «Пяти почему», о котором я когда-то писал в блоге 🤔

Читать полностью…

К предыдущему посту ☝️ Но судя по последнему году, атаковать будут не только Израиль, но и его сторонник - США, Саудовскую Аравию (которая не союзник, но «молчит») и др.

Читать полностью…

Недавно заместитель советника по национальной безопасности США 🇺🇸 по вопросам кибербезопасности и новым технологиям, Энн Ньюбергер, которая не работает по субботам, выступила с важным заявлением, касающимся практики страховых компаний в вопросах кибербезопасности 🛡 Она призвала страховые компании прекратить поддержку выплат выкупа в случае атак программ-вымогателей 🤑 Это заявление было сделано на фоне продолжающейся международной борьбы с киберпреступностью, обсуждаемой на ежегодном саммите Международной инициативы по противодействию программам-вымогателям (CRI).

Ньюбергер отметила, что существующая практика, при которой страховые компании возмещают своим клиентам выплаты выкупа, фактически подпитывает криминальные экосистемы 🥷 и стимулирует дальнейшее развитие кибератак. Она подчеркнула, что вместо того чтобы поддерживать выкупы, страховые компании должны играть конструктивную роль в повышении киберустойчивости своих клиентов 🤬 Речь идет о включении требований внедрения и проверки эффективных мер кибербезопасности как условия для заключения страховых полисов. При их отсутствии компании смогут рассчитывать на низкую ставку страховую и высокую премию ⚖️ Ну или они будут подменять страхование на bug bounty.

Кроме того, заместитель советника по национальной безопасности США 🇺🇸 призвала к более строгому контролю над практиками страховых компаний, которые зачастую предлагают возмещение выкупа без оценки альтернативных вариантов. По мнению Ньюбергер, страховой рынок должен активнее внедрять меры, направленные на предотвращение атак, а не только на возмещение последствий. Нам, конечно, до этого еще далеко, но первые шаги в этом направлении делаются и у нас 👣

Эта инициатива поддерживается в рамках более широких усилий международного сообщества по сдерживанию атак вымогателей, которые, согласно данным, значительно возросли в последние годы в разных странах, особенно в США и Великобритании 📈 Международные организации продолжают работать над тем, чтобы уменьшить количество выплат выкупов и усилить ответственность компаний в вопросах кибербезопасности 🤏 Таким образом, акцент смещается с выплаты выкупов на профилактические меры, что может стать важным шагом в борьбе с кибератаками и уменьшении рисков для бизнеса и государства. Хочется надеяться на это 🥺

Читать полностью…

🤔 Дорогая Марья Ивановна, поздравляю вас с Днем учителя, а чтобы он не превратился в день хакера, рассказываю, как злоумышленники могут атаковать образовательные учреждения и системы.

Берегите себя и школу, ваш Вовочка

Так могла бы выглядеть открытка ко Дню учителя в недалеком будущем или прямо сейчас. Ведь образование уже несколько лет входит в топ областей, интересных хакерам.

Все потому, что в школах и вузах хранится очень много полезной злоумышленникам информации: от персональных данных детей и родителей до оценок и записей, кто и где проводит каникулы. Все эти сведения можно использовать в мошеннических схемах или продать.

⚡️ Узнали о самых ярких и громких случаях «образовательных» атак последних лет у Алексея Лукацкого, бизнес-консультанта по информационной безопасности Positive Technologies, и разместили их на карточках.

Мы поздравляем преподавателей школ и вузов с их праздником. А тем из них, кому интересно учить своих подопечных основам цифровой грамотности, напоминаем, что скоро стартует наша школа преподавателей кибербезопасности. Вы еще успеваете подать заявку (это, кстати, бесплатно) и присоединиться к сообществу амбассадоров ИБ.

@Positive_Technologies

Читать полностью…

Еще пара образчиков мира по ту сторону баррикад ☁️ Обыватель слушает новости про хакеров, про взломы, про суммы выкупа... Но не всегда думает, а как хакеры прокачивают свои навыки, где и как они учатся ✈️ А ответ прост - так же, как и все остальные. Хакерские курсы, учебные центры, университеты. Минимум теории, максимум практики ⚡

И никакого вам УМО по информационной безопасности, лицензирования образовательной деятельности, калькуляции числа писсуаров исходя из пропускной способности учебных классов... А потом мы удивляемся, почему выпускники ИБшных специальностей ничего кроме нормативки не знают 🤦‍♂️

ЗЫ. С днем учителя!

Читать полностью…

Хоть и работаем мы по разные стороны баррикад океана, но шуточки у ИБшников все равно одинаковые... 🤤

Читать полностью…

На SOCtech или SOCcon будут говорить преимущественно про технологии. А что если вы хотите погрузиться в менеджерские темы? 👨‍💻 Это, конечно, не полноценное руководство SOC Manager 👑, но как шпаргалка вполне себе 🧐 Ну а если вам хочется еще прокачать и свой английский и послушать о том, что болит в американских SOCах, то можно посетить SOC Analyst Appreciation Day 16 октября 🧑‍💻

Читать полностью…

Прикольная попытка рассказать про кибербез от CISO-отца своим детям 👶

Читать полностью…

Славное название "пентест" взято хакерской группировкой, которая в публичном поле появилась совсем недавно и которая специализируется на атаках на АСУ ТП 🏭 Группировка взяла на себя ответственность за взлом систем водоснабжения в Арканзасе, о котором много писали в западной прессе 🚰

Про остальные кейсы беглый поиск результатов не дал, но сам факт атаки на пищевое производство вполне распространен 👨‍💻 Например, на днях вышло интервью про атаку и месячный (!) простой в одном из северозападных российских агрокомплексов. Также известны атаки на пищевые предприятия на юге страны, о них тоже писали в СМИ. Из непубличного я слышал про взлом системы управлениям рецептурой на одном из отечественных производств с последующим отравлением людей некачественной пищей 🤮

Взломы систем водоснабжения и водоочистки тоже не редкость в последнее время. Так что все возможно... 🤷‍♀️

Читать полностью…

MITRE расширила свою модель угроз EMB3D, добавив ключевые защитные меры по нейтрализации угроз для встраиваемых устройств, которые используются в критической инфраструктуре 🏭 Модель помогает компаниям и производителям средств промышленной автоматизации выявлять угрозы и внедрять соответствующие механизмы защиты 🛡

Эти меры сгруппированы в три категории: базовые, промежуточные и расширенные, что позволяет организациям приоритизировать свои стратегии безопасности. Все меры соотносятся с международным стандартом ISA/IEC 62443-4-2 для автоматизации и управления промышленными системами 🛡

Читать полностью…

Тут на одной онлайн-платформе по подготовке аналитиков SOC ввели персонажей, которые помогают пользователям с лабораторками. Первый такой персонаж - это оммаж на мою главную аватарку 😇 Прикольно получилось 😎

Читать полностью…

Не забывайте, что риск - это не только и не столько угроза, то есть что-то отрицательное. Это, и в первую очередь, возможности, то есть что-то положительное 💡 Да, вы можете потерять, но вы можете приобрести. Задача - не просто найти баланс, а сделать так, чтобы возможностей было больше, а не только, чтобы угроз было меньше. Подумайте, на чем вы больше сконцентрированы? Бизнес от вас ждет фокуса на возможностях, а не на угрозах! 💡

Читать полностью…

Близится 1 января 2025 года... Растет число мероприятий по импортозамещению в преддверие сроков, указанных в 250-м Указе Президента. Но чуда не происходит 😱 На мероприятиях, на которых мне доводится бывать и где у меня есть возможность спрашивать о том, насколько далеко продвинулись люди в замене иностранцев на российское, они не так оптимистичны, как наши депутаты или иные чиновники, рапортующие о 90% замене ушедших компаний на отечественные продукты.

В реальности картина иная 😦 Полный переход осуществили 3-7%, процентов 20 перевели на бумаге, продолжая пользоваться привычными решениями. Треть живет по принципу "пока гром не грянет" (ответственности-то никакой не предусмотрено за отказ от импортозамещения). Остальные находятся в позе Ван Дамма между двумя грузовиками... Ждем-с...

Читать полностью…

6 лет назад я выступал с темой культуры ИБ на одном мероприятии ✊ Сегодня я секцию на эту тему модерирую. На Кибертехе. Так что если вы будете на этом мероприятии, то приглашаю в 15.00 в зал "Атом" ⚛️ Поговорим про то, можно ли культуру ИБ навязать или внедрить? 👊 Какие успешные примеры есть и участников сессии и какова роль в формировании культуры ИБ у государства, бизнеса и профессиональных сообществ? Будут, как и всегда, и провокационные вопросы. Приходите, скучно не будет! 😎

ЗЫ. Чеклист на слайде вы можете посмотреть в блоге ✔️

Читать полностью…

Прошло 6 лет с моего выступления с темой «L1 в SOC не нужен» и я подумал, что можно вновь вернуться к теме разделения аналитиков SOC на уровни L1-L3. Оно преподносится как частая модель работы аналитиков в Security Operations Center (SOC), но это не так. Это анахронизм, который давно пора выбросить на свалку, заменив грамотно выстроенным процессом detection engineering.

Читать полностью…

Недавно ФБР провело обыски в офисах крупного подрядчика по IT и кибербезопасности Carahsoft, который работает с правительственными учреждениями США 🇺🇸 Спецслужбы подозревают ИБ-компанию в возможных нарушениях в области поставок и контрактов в рамках государственных тендеров.

Это событие стало значимым для тамошнего рынка, так как Carahsoft — один из ключевых поставщиков решений по IT и кибербезопасности для государственных структур 🎩 Пока не раскрыты детали расследования, но оно может оказать значительное влияние на весь сектор, подчеркивая важность прозрачности и безопасности в отношениях между частными подрядчиками и государством (ха-ха) 🤝

Читать полностью…

7 октября годовщина начала операции «Буря Аль-Акса», в рамках которой ХАМАС вторгся в Израиль 🇮🇱 Это положило начало не только непрекращающейся военной операции на Ближнем Востоке 🕌, но и активизации хакеров в виртуальном пространстве в этом регионе. Судя по заявлениям различных группировок, завтра планируются массированные атаки на израильские объекты 🤕

Читать полностью…

Посмотрел тут свежий онлайн-курс "История защиты информации" (бесплатно) 🍿 Если честно, не зашло. Часть по криптографии (а она превалирует в курсе) в одноименном музее гораздо интереснее. Часть именно по защите информации, как по мне, недостаточно раскрыта 🤷‍♀️ Форма подачи излишне академична и местами скучновата - ни интересных историй, ни юмора. Визуал тоже страдает - по сути используется обычная презентация (даже без анимации) 😔 С другой стороны, если надо получить быстрый экскурс в историю, не читая книги по ней... Почему бы и нет 🤔 Тем более, что сегодня день учителя!

Читать полностью…

Специалистов, занимающихся обучением систем кибербезопасности с движками на базе AI/ML, тоже с праздником, с Днем учителя! 🤖

Читать полностью…

Подписчик прислал, за что ему спасибо, образчик современной детско-молодежной музыки, которая прям про кибербез 🎶 Спросил дочь, знает ли она автора сего опуса с 16 миллионами просмотров на Youtube, но она, к счастью, не знакома с этим творчеством 🎷 Текст на двойку, поет тоже не Орфей... 🎼 Да и суть не то, чтобы позитивная... Но что мы с подписчиком будем вдвоем знать об этом певце - теперь и вы знаете 🎼

Я другом твоим хочу стать
Дай побольше о тебе узнать
Будем вместе мы играть
То, что в письме - лучше не знать...
Задаю тебе вопросы:
"Зима, лето или осень?
Твоя любимая еда?
Какое имя у зверька?"
Доверься мне, мы же друзья
И ты со мною до конца
Я всё узнаю про тебя
От меня не скроешься
В моих руках твои друзья
Ты их забудешь навсегда
Ведь у тебя есть только я
И только я, и только я
Бесконечное веселье!
Только лишь для нас двоих
С тобой найдём мы увлеченье
О проблемах позабыв
(С возвращением, друг!)
Кажется был завершён сеанс
Но ты не бойся, коли вдруг
Смогу восстановить баланс
Осталось сделать одну вещь
В админ состав меня вовлечь
В командную строку набрать:
Давай-давай, пиши!
Комп мне свой уступи!
Я НЕ ВИРУС!!
Я НЕ ВИРУС!!
Бесконечное веселье!
Только лишь для нас двоих
С тобой найдём мы увлеченье
О проблемах позабыв
Бесконечное веселье!
Только лишь для нас двоих
Нам не скучно - это правда
Разве не согласен ты? (А теперь…)
Дай мне доступ
Мы же друзья!
Скажи, ну хоть раз
Подвёл я тебя?!
Целый мир, здесь я и ты
Места нет для скукоты
Всё подстроил под тебя
Теперь системой правлю я!
(Теперь системой правлю я!)

Читать полностью…

Нужно что-нибудь техническое по SOCам? 🛠 А вот вам руководство по развертыванию SOC в домашней лабе (на базе AWS). Это, конечно, еще не SOC, но все равно... Показывает, что для самостоятельного изучения не обязательно иметь кучу серверов с набором дорогого ПО - все можно сделать попроще, но все равно достигнуть результата и прокачать навыки. Было бы желание 😘

Читать полностью…

Сегодня выступаю на программе "Цифровая трансформация бизнеса" для руководителей компаний, где буду рассказывать про кибербез (ну а про что мне еще рассказывать) 🛡 Построил презу с точки зрения CJM при разработке продукта и месте ИБ на всех этапах этого процесса - от архитектуры и DevOps до сопровождения и маркетинга 😵 Все с примерами, ущербом, недопустимыми событиями (как мы любим) 👉

Читать полностью…

В продолжение истории про наличие в модели угроз реальной опасности захвата здания. Подписчик, за что ему спасибо, прислал фотографию. "О времена, о нравы..." ⚔️

Интересно, можно ли это рассматривать как средство гарантированного уничтожения информации? 🤔 Думаю, результат зависит от размера серверной 😊

Читать полностью…

Австралия 🇦🇺, Великобритания 🇬🇧, Германия 🇩🇪, Канада 🇨🇦, Корея 🇰🇷, Новая Зеландия 🇳🇿, США 🇺🇸 и Япония 🇯🇵 выпустили руководство по безопасности АСУ ТП 🏭 Эти рекомендации содержат шесть ключевых принципов для обеспечения безопасности систем промышленной автоматизации: соблюдение безопасности, понимание ценности данных АСУ ТП, сегментация сетей, защита цепочек поставок и важность человеческого фактора 🤓 Ждать много от этого руководства не стоит - это все-таки принципы, то есть ответ на вопрос "ЧТО", а не детальное описание "КАК". Но как точка отсчета вполне себе...

Читать полностью…

Вчера, в Нижнем Новгороде, на конференции Олег Седов, в дискуссии про руководителей ИБ, сославшись на коллег из лондонского KPMG, привел три уровня зрелости CISO, которые, как мне кажется, очень неплохо, в одно слово, показывают отличия в восприятии своей роли и бизнес-ориентированности 🧐
1️⃣-й уровень. Ответ на вопрос "🔤🔤🔤". На этом уровне специалист по ИБ, он даже еще вряд ли руководитель, просто делает то, что ему говорят регуляторы, ИТ, начальство... Особо не задумываясь о том, нужно это или нет.
2️⃣-й уровень. Ответ на вопрос "🔤🔤🔤". На этом уровне специалист начинает задумываться, как реализовать то или иное требование. Например, защита web-приложений, которую можно реализовать как через on-prem Web Application Firewall, так и через облачный WAF. Та же история с мониторингом и реагированием, которые можно реализовать за счет собственного или аутсорсингового SOC;
3️⃣-й уровень. Ответ на вопрос "🔤🔤🔤🔤🔤". На верхнем уровне важно не ЧТО и не КАК, а ЗАЧЕМ это все надо. Может оказаться, что оно и не надо или что дешевле не делать, приняв риски или заложив оплату штрафа за невыполнение в бюджет.

Как и любая модель, эти три уровня, конечно, позволяют взглянуть на роль руководителя ИБ достаточно упрощенно, но при этом подсветив ключевые задачи и отличия 🤔

Читать полностью…

Неудобно получилось с просраченным сертификатом… 🤔

Читать полностью…

Технологии искусственного интеллекта, особенно deepfake, стремительно развиваются и представляют как возможности, так и угрозы для различных отраслей 🎭 Deepfake — это гиперреалистичный, синтетический и искаженный аудио, видео и цифровой контент, который сложно отличить от реальности, что создает как положительные, так и негативные последствия для людей, бизнеса и государства 🔪 Среди рисков:
1️⃣ Мошенничество с идентификацией
2️⃣ Несогласованные манипуляции с личными данными
3️⃣ Распространение дезинформации.

Обычно все рассматривают негативные стороны дипфейков, но их можно использовать в различных сферах, таких как маркетинг, развлечение, образование и медицина с благими намерениями 😇 Предлагаемое руководство описывает как правильно и этично создавать дипфейки, а также как распознавать их рядовым пользователям. Например, разработчикам deepfake рекомендуется: 👨‍💻
1️⃣ Защищать данные пользователей
2️⃣ Получать согласие на использование их персональных, часто биометрических, данных
3️⃣ Обеспечивать прозрачность создания deepfake
4️⃣ Внедрять системы контроля с помощью человека.

От пользователей ждут: 🪞
1️⃣ Проверки источников цифрового контента
2️⃣ Анализа аудиовизуальных элементов на наличие несоответствий
3️⃣ Использования ИИ-инструментов для выявления признаков манипуляции.
Как по мне, так неработающие советы на практике.

Следуя описанным в руководстве рекомендациям, местами высокоуровневым, можно с пользой использовать потенциал deepfake, минимизируя его риски. Не могу сказать, что руководство отвечает на все вопросы, но то, что кто-то озаботился созданием такого документа, это прям хорошо. Не все только описывать, как бороться с дипфейками.

Читать полностью…

На октябрь у меня запланировано почти полтора десятка выступлений. Но особо я бы хотел отметить два, которые пройдут на Positive Security Day 10-го октября (регистрация открыта). Точнее, речь идет о модерации двух секции, посвященных безопасной разработке и искусственному интеллекту 🧠

В первой я вернусь почти к истокам, ведь я начинал карьеру в ИБ именно как программист средств шифрования 👨‍💻 Но 30 лет назад никто о DevSecOps в привычном сейчас виде не думал - максимум, это военпреды, принимающие работы перед сдачей их заказчику в погонах. Во второй дискуссии мы будем говорить не об ИИ в ИБ, а наоборот - об ИБ для ИИ. Ведь часто компании внедряют ИИ-проекты, даже не думая о безопасности и доверии к моделям и используемым датасетам 🙌

Эти две темы не так часто находятся на повестке специалистов по ИБ и хочется немного изменить эту ситуацию 🤠 К обеим подготовил недурные, как мне кажется вопросы, местами провокационные, чтобы заставить участников из 🟥 и со стороны заказчиков и партнеров поерзать на своих креслах 💺

Читать полностью…