Пост Лукацкого

03 сентября 2023 12:25

Минэнерго пообещало 9 миллионов небольшим энергетическим компаниям, которые подадутся в конкурс на обеспечение ИБ 🏆

Конкурс раздел на три этапа - на первом надо будет представить в МинЭнерго описание имеющихся у участника ресурсов по ИБ и новых потребностей. На второй и третьей фазах конкурса надо будет реализовать обещанное. Одно но - сумма указана в долларах и платит его американское МинЭнерго ☄️

Пост Лукацкого

02 сентября 2023 20:03

Когда ты решил посканить промышленную сетку в поисках уязвимостей и случайно включил проверку на подверженность DoS-атакам 🫢

Пост Лукацкого

02 сентября 2023 12:21

Не люблю такие СМСки - хрен знает, от кого они прилетают. Вот прилетела тут вчера. Якобы я являюсь участником электронного голосования и могу рассчитывать на призовые баллы. Офигенно, наверное. Только вот я не регистрировался ни на каком электронном голосовании в этом году. И тогда как понимать эту смску? Фишинг 🎣 (там ниже еще и ссылка на сайт есть)? Кто-то за меня зарегистрировался в электронном голосовании? Или просто чей-то косяк?...

ЗЫ. Впору вспомнить последнее предложение моей недавней статьи про безопасность ДЭГ по результатам модерации соответствующего мероприятия: "Да, всегда остаются вопросы доверия к тем, кто все это реализует и какие цели преследуются организаторами голосования. Но тут уж ничего не поделаешь — технологии вряд ли могут решить эти вопросы".

Пост Лукацкого

02 сентября 2023 10:11

👋 Если вдруг вы на ИТ-пикнике Тинькофф 📍 и не знаете, чем заняться 🪑, то загляните в позитивную киберподворотню ⛺ Там будет много интересного. Хоть она и подворотня, но денег отбирать не будут 🤜

Пост Лукацкого

01 сентября 2023 19:45

Так как это не первое фото с аналогичной надписью в туалете 🚽 ресторана/бара, присланное подписчиками (за что им спасибо), то не могу не опубликовать его, попутно отметив, что таким образом бизнес выказывает свое уважение 🚽 законодательным инициативам, которые очень помогают развиваться! 🚽

Пост Лукацкого

01 сентября 2023 13:24

Мы все помним, что Microsoft пообещал не продавать лицензии на свое ПО в России после 30-го сентября. Тут, конечно, вопрос формулировок. Не будет продавать лицензии, не будет обновлять уже проданное ПО или вовсе заблокирует работу ПО на территории России? Последний сценарий самый худший, но он и самый маловероятный, - в России осталось очень много иностранцев, которые вполне правомочны использовать ПО Microsoft. В запрет обновлений в России я тоже не очень верю, да и обходится это на раз-два. Но в любом случае у киберпреступников возникает интересный сценарий, о котором я бы сейчас задумался. Речь идет об атаках supply chain на Visual Studio, который продолжает использоваться большим числом разработчиков России.

Итак, что у нас с атаками на Visual Studio? На днях компания Cyble выпустила отчет, в котором описала свежую атаку, в рамках которой подменялся настоящий инсталлятор VS на фальшивый, содержащий стилер информации в браузере, включая пароли и секреты, к которым обычно имеют доступ разработчики.

В начале года была схожая атака на пользователей MS Visual Studio, только злоумышленники нацелились на расширения к VSCode, которые запускаются с привилегиями пользователя VSCode, без какой-либо дополнительной защиты, проверки в песочнице и т.п. Таким образом, можно подцепить вайпера, стилера, шифровальщика и т.п. Маркетплейсы позволяют многократно использовать производителям те же самые имена и расширения расширений (это, кстати, не тавтология), что и у легальных плагинов, что позволяет относительно легко маскироваться под них.

Иностранцы дают достаточно классический набор рекомендаций, на первом месте которых стоит: "Обходите загрузку ПО с недоверенных источников". У нас же, если заблокируют обновления Microsoft, эту рекомендацию будет сложно выполнить и риски сразу возрастут многократно. А за ними атаки supply chain и все остальное...

ЗЫ. Если вдруг вы захотите скачать себе соответствующие расширения для VSCode - PT AI или VSCode-XP, то не скачивайте их на левых сайтах; во избежание так сказать...

Пост Лукацкого

01 сентября 2023 06:40

Альянс "пяти глаз" (кто-то вообще представлял себе пятерку одноглазых 👁 силовиков прежде чем зафиксировал это название?), объединяющий пять разведок Австралии, Великобритании, Канады, Новой Зеландии и США, разродился вчера отчетом о новой вредоносной компании, ассоциируемой с Sandworm🪱, которая в свою очередь атрибутируется как хакеры на службе российского ГРУ. Новый вредонос, названный "Infamous Chisel" ("бесславное зубило"; кто это придумывает 🤔) ориентирован на мобильные устройства под управлением Android и был обнаружен на территории Украины, на планшетах, используемых военными для планирования и управления военными операциями 🔫.

Авторы считают, что авторы "бесславного зубила" не очень квалифицированы, так как почти не использовали ни обфускацию, ни иных техник скрытия своей активности. При этом они [авторы] рассчитывали, что на планшетах не будет установлено решений класса HIPS (или EDR). Ну такое себе предположение, если честно. Ты атакуешь военных государства, с которым у тебя затяжной конфликт и которое ты уже неоднократно атаковал, и думаешь, что тебя не ждут? Ну такое себе.... При этом авторы [отчета] признают квалификацию разработчиков малвари в части знания C++, так как использовалось две интересных техники, требующих глубокого погружения в этот язык программирования.

ЗЫ. Вопрос атрибуции в отчете обойден вниманием - просто утверждается, что за атакой стоит Sandworm.

Пост Лукацкого

31 августа 2023 19:56

Если бы я умел пользоваться даркнетом и был менее морально устойчив, то я бы подался. А вообще 🔥 тема! Я бы и за $8000 согласился эссе написать, если честно ✍️

Пост Лукацкого

31 августа 2023 10:41

Хакеры REvil возвращаются прокурору

Санкт-Петербургский гарнизонный военный суд вынес постановление о возврате прокурору уголовного дела в отношении бывшего военнослужащего старшего прапорщика запаса Артема Заеца и граждан Малоземова А.В., Бессонова А.С., Головачука М.А., Муромского Р.Г., Коротаева Д.В., Пузыревского Д.Д. и Хансвярова Р.А., обвиняемых в совершении преступления, предусмотренного ч.2 ст.187 УК РФ, последние двое также обвиняются в совершении преступления, предусмотренного ч.2 ст.273 УК РФ.

В предварительном слушании на обсуждение сторон был поставлен вопрос о возвращения данного уголовного дела прокурору в связи с нарушением правил подследственности и это нарушение заключается в том, что Заец обвиняется в совершении преступления, предусмотренного ч.2 ст.187 УК РФ, свершенного им в период прохождения военной службы, однако предварительное следствие по делу проведено следователями МВД РФ, а не следователями СК России, как этого требует п.в ч.2 ст.151 УПК РФ.

Государственный обвинитель считал, что оснований для возвращения уголовного делу прокурору не имеется. По мнению прокурора, уголовное дело в отношении Пузыревского, Заеца и других расследовалось по ст.187 УК РФ и ст.273 УК РФ следователями МВД России, выявившими вмененные обвиняемым противоправные деяния, то есть в соответствии с требованиями ч.5 ст.151 УПК РФ.
Обвиняемые и их защитники, каждый в отдельности, не возражали против возвращения уголовного дела прокурору.

Военный суд разъяснил.
Как следует из поступивших по запросу суда выписок из приказов МО РФ Заец с 1 августа 2018 года зачислен в ВА МТО (приобрел статус военнослужащего) и проходил военную службу в академии, а затем в войсковой части, откуда 12 января 2022 года был уволен и в этот день исключен из списков личного состава (утратил статус военнослужащего). Об обстоятельствах прохождение военной службы Заецом было известно и следствию, поскольку часть из указанных выше приказов приобщены к делу, также об этом давал показания и сам обвиняемый.
Согласно обвинительному заключению, Заец совершал вмененные ему преступления с 6 декабря 2018 года – дня его вхождения в состав организованной Пузыревским группы и до дня его задержания сотрудниками правоохранительных органов, в связи с чем их противоправная деятельность была прекращена, то есть до 13 января 2022 года.
Прохождение Заецом военной службы на момент совершения вменяемых ему, а также иным участникам организованной группы деяний, является в силу подпункта «в» ч.2 ст.151 УПК РФ основанием для проведения предварительного следствия по делу следователями СК России. Однако из материалов уголовного дела усматривается, что предварительное расследование по делу производилось следователями СД МВД России, обвинительное заключение подписано следователем названного управления, согласовано заместителем руководителя следственного органа.

На основании изложенного суд пришел к выводу, что при расследовании данного уголовного дела нарушены правила подследственности и это нарушение закона неустранимо в ходе рассмотрения дела по существу в суде.

Санкт-Петербургский гарнизонный военный суд вернул уголовное дело Генеральному прокурору Российской Федерации для устранения препятствий его рассмотрения судом.

Срок ранее избранной меры пресечения в виде заключения под стражей обвиняемым продлен до 14 ноября 2023 года.

#СПбГВС #военныесуды #опсспб #уголовныедела #хакеры #revil #273УКРФ #187УКРФ

Пост Лукацкого

31 августа 2023 06:40

Продолжим историю с цветами. В прошлой жизни я участвовал в проектах по созданию и аудиту SOCов и в рамках одного из этапов мы занимались тем, что формировали требования для помещений, в которых должны были сидеть аналитики. Риверберация, теплота освещения и блики, шумопоглощение, отражение звука, теплообразование, влажность, кондиционирование, восприятие информации в зависимости от ряда, в котором сидит аналитик... Вот только некоторая часть вопросов, которые учитывались при проектировании помещений для SOCа.

Цветовая гамма стен также важны в этом вопросе. Например, есть цветовые сочетания, которые могут повысить производительность труда и облегчить работу, а есть те, которые угнетают психику и нервную систему, заставляя пропускать атаки и иные события безопасности. Например, красный, желтый и оранжевый цвета тонизируют, но кратковременно. А вот синий, зеленый, голубой, наоборот, позволяют разумно расходовать ресурсы организма и дольше сохранять работоспособность. И это только небольшая часть вопросов, касающаяся применения цвета при проектировании SOCов. А еще, если вы делаете большие панели визуализации, то вам придется разбираться в цифровой субдискретизации и чем отличается 4:4:4 от 4:2:0, но это уже отдельная тема 📺

ЗЫ. Кстати, самым неприятным цветом для человека считается 448C по Pantone, который похож на что-то среднее между фекалиями и болотной жижей ("цвет детской неожиданности"). И еще. Вы никогда не встретите в SOC цвет паука, замышляющего преступление, и цвет последнего вздоха жако (все это реальные названия цветов). Теперь мучайтесь, что это за цвета 🌸

ЗЗЫ. И еще. Этот этап, проектирование помещения SOC, в России и странах СНГ никто и никогда не заказывал, считая его не первостепенным по сравнению с архитектурой SOC, выбором технических решений, разработкой плейбуков и системой оценки эффективности SOC.

Пост Лукацкого

30 августа 2023 17:12

Главное нашим это не показывать, а то тема прям офигенная ✈️ - тут и инновации, и повышение осведомленности, и нацбезопасность, и защита граждан, но, боюсь, бабла потратят дофига, а в последний момент все отменят из-за антитеррористических требований. И это вполне реальное предположение, помня подготовку к PHD, где тоже планировалось что-то похожее на шоу дронов, но нахождение площадки PHD напротив МинОбороны в последний момент сломало все планы 😔

ЗЫ. Спасибо подписчику за присланную ссылку!

Пост Лукацкого

30 августа 2023 10:09

На английском проходим психологию цвета и я после стал копать тему применительно к ИБ (оказалось, это целый океан информации). Про влияние цвета на наши чувства и ощущения, думаю, знают многие. Но, что интересно, в 2006-м году институт изучения цвета опубликовал результаты большого исследования, которое утверждает, что люди принимают решение о том, нравится им какой-либо продукт или нет в первые 90 секунд и от 62% до 90% этой оценки базируется на восприятии цвета 🌈. То есть от того, какой цвет у вашего NGFW (если он аппаратный) зависит количество его продаж! Как вам такое?

Какой цвет у кибербезопасности 🌈? Если вы введете это в поисковой системе, то вы увидите, что преимущественно это синий 🔮. Потому что синий - это цвет доверия (а вы думали, почему IBM выбрала голубой цвет?)! И этот цвет стал доминировать в дизайне и визуализации ИБ, что неосознанно привело к тому, что все теперь требуют синего цвета, а все "нестандартные" цвета отметаются. И только смелые креативщики идут поперек течения, навязывая свою цветовую гамму (правда, это недешевое удовольствие, навязывать свою точку зрения в синем океане посредственности).

ЗЫ. 4 года назад был даже организован специальный конкурс Cybersecurity Visual Challenge, который должен был помочь разработать новый язык визуализации ИБ. Но судя по продолжающемуся преобладанию синего в поисковой выдаче Google, а также исчезновению сайта конкурса, что-то пошло не так ❓

Пост Лукацкого

29 августа 2023 19:56

Взломано 400 субъектов КИИ, уверяют проукраинские хакеры (откуда там магазины непонятно). Хотя вряд ли они знакомы с ФЗ-187 и тем, как у нас определяются КИИ. Украдено 6ТБ данных на всех (по 150 гигов в среднем у каждого). Ждем-с деталей...

Пост Лукацкого

29 августа 2023 13:22

Ты весь такой бравый, отличник, заканчиваешь ВУЗ по ИБ-специальности с красным дипломом, устраиваешься в солидную и известную компанию на престижную работу инженера по ИБ и через две недели узнаешь, что 👆 Так кончается детство и наступает зрелость 🌱

ЗЫ. Интересно, у него под звездочками "ucke" или "rustrate"?

Пост Лукацкого

29 августа 2023 06:40

🤔 Хотите стать системным аналитиком и присоединиться к команде Positive Technologies? Сейчас расскажем, как это можно сделать (причем совершенно бесплатно!).

Мы открываем Школу системного анализа. Ее преподаватели, эксперты команды PT Analytics, помогут вам подтянуть теорию, а главное, вместе с ними вы разберете множество практических задач.

Лучшие выпускники после окончания обучения получат предложение о работе в нашей компании и все без исключения — спецификацию, которая будет отлично смотреться в портфолио.

🤓 Кто может попасть в школу

Ждем заявок от студентов старших курсов бакалавриата, специалитета и магистратуры любых факультетов и вузов России, а также людей с опытом в IT. Честно предупреждаем, что базовые представления об инструментах системного анализа будут преимуществом. Можно попробовать учиться с нуля, но тогда вам придется самостоятельно заполнять пробелы в знаниях.

✏️ Как это сделать

В первую очередь нам важно качество образования, а не число выпускников, поэтому готовьтесь к конкурсному отбору (мы проверили, там ничего страшного). Чтобы участвовать в нем, до 19 сентября заполните анкету с небольшим рассказом о себе и решите тестовое, состоящее из трех задач.

👨‍🏫 Сколько и как учиться

Занятия начнутся уже 26 сентября и будут проходить онлайн. Курс короткий, всего четыре месяца, но очень интенсивный. Встречи — два раза в неделю по два часа, плюс нужно выделить время на выполнение домашней работы, которую обязательно проверят.

Если вам подходит такой режим, смело подавайте заявку! И поспешите: количество мест ограничено.

@Positive_Technologies

Пост Лукацкого

03 сентября 2023 08:40

Группировка Turla, известная также как Venomous Bear, WhiteBear, Snake, Uroburos, Group 88, Waterbug, Krypton, Makersmark, Iron Hunter, UNC4210, ATK13 и Pacifier APT признана самой опасной мировой киберугрозой 🥇

Правда, кем признана и когда, непонятно. А национальность автора статьи предполагает некоторую предвзятость, но в любом случае это успех. Если бы я был участником Turla, я бы это заявление распечатпл, в рамочку и повесил на стену, над рабочим местом. И гордился бы втихаря; а то и прибавки бы к жалованью попросил. Самый опасный чувак в виртуальном мире, шутка ли 🥷

Пост Лукацкого

02 сентября 2023 16:11

Август - тяжелый месяц у разработчиков шпионского ПО 🕵️‍♂️. Бразильский 🇧🇷 вендор ПО для слежки WebDetetive был взломан и все данные по 77000 контролируемых/взломанных мобильных устройств на базе Android были стерты с серверов компании. В начале месяца другой производитель шпионского ПО, польская 🇵🇱 LetMeSpy после своего взлома и удаления всех данных прекратила свое существование (число банкротств компаний в результате инцидента ИБ уже превышает несколько десятков). Аналогичная судьба парой лет ранее постигла и другого производителя шпионского ПО - компанию Support King, выпускавшую ПО SpyTrac.

Ну а WebDetetive тоже не первый производитель шпионского ПО, который был взломан. Они просто пополнили список, который уже включал в себя TheTruthSpy, Xnspy, KidsGuard, mSpy (взломана была дважды), Xnore, Family Orbit, Spy Master Pro, Mobistealth, FlexiSpy. И это все только за последние 5-6 лет 🫠

Пост Лукацкого

02 сентября 2023 10:11

🤭 О чем будут говорить наши эксперты на IT-пикнике? Отмечайте интересные пункты и не опаздывайте.

Начнем с общей программы. В 17:00 Денис Кораблев, управляющий директор, директор по продуктам Positive Technologies, примет участие в дискуссии «ИБ против IT».

С 12:30 до 18:00 заглядывайте в наш научпоп-лекторий.

12:30–13:00 «Как создавать продукты, делающие компании неуязвимыми к кибератакам»
Михаил Козлов, руководитель продукта MaxPatrol VM

13:00–13:30 «Зачем айтишнику личный бренд»
Александр Цыпкин, известный писатель, драматург, публицист, эксперт по стратегическим коммуникациям

13:30–14:00 «Как поймать хакера с помощью искусственного интеллекта»
Александра Мурзина, руководитель отдела перспективных технологий

14:00–14:30 «Как устроен мир вокруг нас: реверс-инжиниринг embedded-устройств»
Алексей Усанов, руководитель направления исследований безопасности аппаратных решений

14:30–15:00 «Кибербезопасные инвестиции: позитивная история роста»
Юрий Мариничев, директор по связям с инвесторами

15:00–15:30 «Преступления в open source: расследуем трояны в Python Package Index»
Станислав Раковский, старший специалист отдела исследования угроз ИБ

15:30–16:00 «Как потерять годовой бюджет компании из-за одной ошибки в коде»
Антон Володченко, руководитель продукта PT Application Inspector
Светлана Газизова, руководитель направления аудита безопасной разработки, Swordfish Security

16:00–16:30 «Пароль: N4G0R5HK3S!D1TK0R0L. Что хакерам известно о паролях»
Николай Анисеня, руководитель отдела перспективных технологий

16:30–17:00 «Как заработать на ипотеку, или Вкатываемся в bug bounty»
Анатолий Иванов, руководитель платформы Standoff 365 Bug Bounty

17:00–17:30 «Нейросети в атаке и на защите Web3»
Андрей Безрядин, эксперт в сфере IT и блокчейн, территориальный представитель стриминга Emanate

17:30–18:00 «Как мы создавали фиджитал-мерч для айтишников»
Арсен Валиев, основатель фиджитал-бренда 6OG (создатель крутого мерча для PHDays 12)

@Positive_Technologies

Пост Лукацкого

02 сентября 2023 08:40

🎬 Помните, мы обещали вам опубликовать вторую часть подборки фильмов с недопустимыми событиями в сюжете?

Держим слово. Если знаете похожее кино, делитесь названиями в комментариях — возможно, наберем еще на один пост 😉

📝 Мы не забыли, что вы просили рассказать еще и про сериалы. Уже начали составлять список того, что посмотреть в ближайшие выходные.

@Positive_Technologies

Пост Лукацкого

01 сентября 2023 16:34

Вслед за индусами, запретившими поставщикам закупать китайские комплектующие при разработке систем вооружения для целей МинОбороны Индии, Иран обнаружил, что внутренние враги пытались сорвать ракетную программу, поставляя вредоносные компоненты для ракет, которые должны были в определенный момент взрываться, что приводило бы к срыву старта баллистических ракет 🚀

Тема с электронными компонентами в контексте ИБ все чаще попадает в область внимания безопасников, начиная от закладок в сетевом оборудовании, серверах и банкоматах и заканчивая вот такими вот историями

Пост Лукацкого

01 сентября 2023 10:02

Альянсы - великая вещь. В одиночку ты хоть что-то, но обязан делать, а вот в составе группы можно и сачкануть. Хотя бывают и исключения, когда альянс только усиливает синергетический эффект. Вот тут, пять хакерских групп создали свой альянс "пяти семей". Вероятнее всего это аллюзия на "пять семей" Нью-Йорка - пять самых крупных и влиятельных "семей" итало-американской мафии. Интересно, кто тогда из них Боннано, Гамбино, Дженовезе, Коломбо и Луккезе? В "Крестном отце", кстати, 🎥 в Нью-Йорке тоже было пять семей, но с другими фамилиями - Корлеоне, Татталья, Барзини, Кунео и Страччи.

ЗЫ. Хотя может это ассоциация с альянсом "пяти глаз". А может они фанаты "Хоббита" и тамошней битвы пяти воинств? Все-таки, скорее всего, это связано с мафией.

Пост Лукацкого

31 августа 2023 19:56

Ваша учительница литературы видела в вас талант, но после школы вы пошли работать кардером? Не спешите себя хоронить! Ваш литературный талант оценят на крупнейших русских хакерских форумах Exploit и XSS, которые уже больше десяти лет проводят конкурсы по написанию эссе.

На самом деле это больше похоже на конференции по кибербезу, нежели на «Новое литературное обозрение». На выбор обычно даются темы, посвященные фишингу, правилам использования криптовалюты, отмыву и методам социальной инженерии.

Согласно правилам, статья должна быть до тысячи слов объемом, включать куски кода и при этом пройти проверку на антиплагиат. За нарушение правил — дисквалификация.

Победителя выбирают пользователи форума. Например, сейчас идет конкурс с призовым фондом в $80 000. Эксперты отмечают, что конкурсы нужны не только для повышения вовлеченности, но и для обмена лучшими практиками, чтобы знать, какие у ваших коллег-преступников лучшие наработки (одна из заявок описывала пошаговую атаку на один из юнитов Microsoft).

Однако некоторые в нашей редакции полны скепсиса по поводу конкурсов эссе и считают, что порядочные люди столько денег за писанину платить не будут. Но возможно нас просто никогда в $80 000 не оценивали.

Пост Лукацкого

31 августа 2023 16:58

А на английском это звучало бы неоднозначно, учитывая, что крыса - это rat 🐀, а RAT - это еще и remote access tool и применительно к выборам это актуально вдвойне. Вдруг, кто залезет и поменяет голоса?.. 👍 Хотя в случае с выборами даже залезать не нужно - достаточно просто заявить в каком-нибудь канале и представить хоть какие доказательства (например, из ранее утекших баз). И все, инфоповод сгенерен, СМИ его подхватят сразу же. Надеюсь, в ЦИК готовы не только ловить левые бюллетени, карусели избирателей, но и к такому сценарию…

ЗЫ. Кстати, система дистанционного электронного голосования была выставлена на платформу Bug Bounty. Правда, всего на 3 дня. Видимо, перед выборами уже не успевали...

Пост Лукацкого

31 августа 2023 10:01

Тут народ задается вопросом, почему в реестр ФСТЭК внезапно вернулись сертификаты на иностранные средства защиты? Ну, во-первых, это не сегодня и не вчера произошло, несколько дней как. А объяснение на мой взгляд простое (если отбросить случайное восстановление из годовалой давности бэкапа) - госы накупили много таких средств защиты и выбросить их до окончания срока амортизации никто не даст, нецелевое расходование средств и статья. А применять несертифицированное они тоже не могут. И денег не так чтобы много на выбрасывание старого и одномоментную покупку нового и отечественного.

Поэтому, возможно, и появилось соломоново решение в виде восстановления сертификатов на иностранные средства защиты. Питать иллюзий в сторону послаблений не стоит все равно ⚖️ Вот только как уязвимости устраняются в иностранных решениях? Без этого сертификат как бы теряет смысл 🆒

ЗЫ. Если же это случайно восстановилось, то и удалят также быстро 🍸

Пост Лукацкого

30 августа 2023 20:12

Самые информированные в гостайнах люди те, у кого в руках черный маркер!

Пост Лукацкого

30 августа 2023 13:35

АНБ, CISA и NIST предупреждают о том, что противники США (почему они прямо не называют Китай 🇨🇳?) могут начать использовать квантовые компьютеры для атак на нестойкую к квантовым атакам криптографию. При этом американские спецслужбы дают еще и рекомендации и небольшую дорожную карту по подготовке к квантовым атакам. Конкретики там не очень много, но как направление движения в условиях потенциальной угрозы вполне себе...

Пост Лукацкого

30 августа 2023 06:40

Мы часто опираемся на вердикты, которые нам выдают антивирусы, а в случаях, когда мы им не верим, мы обращаемся к сервису VirusTotal. И если большинство антивирусов не находит вредоносной составляющей 🦠 в загруженном файле, то мы считаем, что все, успех достигнут, файл чист, а мы можем его пустить в нашу инфраструктуру.

Но то, как мы думаем, не секрет для хакеров, которые имеют свои сервисы 💻, которые не только проверяют, но и позволяют обеспечить невидимость файлов разных форматов от средств защиты. Например, вот относительно свеженький сервис, который позволяет скрыть вредоносность DOC, PDF, HTML, LNK и т.п.

Помнится, лет 5 назад я делал презентацию по стратегии защиты от вредоносного кода и подал ее на какую-то конференцию. Меня тогда орги даже спросили, зачем я решил рассказывать про антивирусы 😷. А у меня как раз была более сложная и целостная картинка - там были и средства мониторинга сетевых аномалий (NTA/NDR), и средства мониторинга ПК (EDR), и мониторинг DNS, и защита e-mail, и песочница и много чего еще, вплоть до UEBA и иных ML-решений. И каждое позволяет поймать какой-то один или два этапа жизненного цикла вредоноса. А кто-то до сих пор верит 🙏, что антивирус спасает от современного вредоносного кода 🆘

Пост Лукацкого

29 августа 2023 16:51

ПО Cobra DocGuard, помогающее пользователям защищать приложения, разработанное EsafeNet, которой сейчас владеет китайская ИБ-компания NSFocus, было скомпрометировано в рамках атаки supply chain и помогло группировке Carderbee атаковать ряд гонконгских компаний 🇭🇰 Исследователи не атрибутируют Carderbee, но использованные техники присущи китайцам. В частности, при компрометации использовался вполне легально полученный от Microsoft сертификат цифровой подписи.

Яркий пример того, что даже защитное ПО может пострадать и быть использовано для атаки на организации. Ну и далее классические рекомендации - zero trust, BugBounty для вендоров ИБ, контроль безопасной разработки, тестирование обновлений, контроль доступа со стороны вендоров ПО, контроль коммуникаций любого ПО, даже защитного,… Тем более, что Cobra DocGuard уже не первый раз используется для атак (история их не учит) 🐉

Пост Лукацкого

29 августа 2023 10:02

Несколько интересных цифр из одного отчета, в котором опросили CISO а железным занавесом%
1️⃣Только у 12% CISO з бюджеты растут - у остальных они либо замораживаются или не изменяются, либо и вовсе сокращаются. CISO
2️⃣От продуктов начинают требовать конкретный и измеримый результат - либо доказуемый ROI, либо снижение расходов, либо быстрая демонстрация ценности во время пилотов
3️⃣В список приоритетов не вошла сетевая безопасность, а 2/3 направлений касаются AppSec. К этим цифрам, конечно, надо относиться критически - все-таки от региона к региону ситуация меняется. У нас точно облачная безопасность вряд ли находится на первом месте. А защита данных по исследованию ЦСР и вовсе падает.
4️⃣С точки зрения процессов фокус не только на управление ИБ, но и на управление уязвимостями и мониторинг&реагирование.

Пост Лукацкого

28 августа 2023 16:52

А вы используете Active Directory для управления доступом к вашим средствам защиты? Медианное время захвата и компрометации контроллера домена AD составляет всего 16 часов.

ЗЫ. Интересная метрика - time-to-AD 😊