Пост Лукацкого

29 апреля 2024 15:56

Интересное название у очередного шифровальщика - Псоглав 🐺

Иностранные исследователи пишут, что это слово из славянских языков, как бы намекая в очередной раз на Россию. Как по мне, так намек странный, - Псоглав - это слово из сербского (в хорватском или словенском языках окончания немного иные - psoglavac и psoglavec соответственно) и означает чудовище с головой собаки или волка и телом человека 🚶‍♂️

Вроде и «браться-славяне», но точно не Россия, где аналогичного демона в явном виде нет (кроме хоть как-то близкого «Полкана»). Но если написать ✍️ про потенциальное авторство Боснии и Герцеговины или Монтенегро, то это уже не так интересно; они же часть «правильной» Европы. Хорошо что пока не связали с релокацией многих русских в Сербию…

Пост Лукацкого

29 апреля 2024 08:40

АНБ обновило набор национальных криптографических 🤒 стандартов (Commercial National Security Algorithm Suite 2.0, CNSA 2.0), распространив обновления на операторов и владельцев национальной системы безопасности (NSS) и военных (DIB) в обязательном порядке (остальные могут применять их по своему желанию). Изменения связаны с включением в CNSA 2.0 новых, квантово-устойчивых алгоритмов ⚛️

Пост Лукацкого

28 апреля 2024 16:27

Хорошая попытка зафишить спикеров RSA Conference ✉️

Пост Лукацкого

28 апреля 2024 08:40

Возвращаясь к позавчерашней статистике Mandiant, есть и другие цифры; на этот раз от PaloAlto Unit42. У этой компании на первое место в числе причин успешных атак выходит социальный инжиниринг, включая фишинг (42%). На втором месте - использование уязвимостей (31%), на третьем, с 15%, - компрометация учетных данных 🗡

А вот шифровальщики, по данным Unit42, в основном использовали эксплойты (48%) и подбор пароля (20%); последний преимущественный для RDP, который использовался в 40% всех заражений ВПО 🔓 VPN-шлюзы тоже в прицеле - в 50% на смотрящих в Интернет криптошлюзах почему-то отсутствовала многофакторная аутентификация, что вкупе с подбором пароля представляет открытые ворота для злоумышленников 🥅

Уходя на майские праздники, можете ли вы положительно ответить на следующие вопросы:
✔️ Вы уверены, что ваш корпоративный почтовый сервер готов к тому, что когда хакеры постучатся в него "тук-тук" (knock-knock), он сможет противостоять им? PT Knockin вам в помощь.
✔️ Вы уверены, что у вас выстроен процесс поиска и устранения хотя бы публичных торчащих уязвимостей, а также анализа незакрытых портов и сервисов? СКИПА от CybeOK или Censys и Shodan вам в помощь.
✔️ Вы уверены, что отслеживаете утекшие пароли ваших сотрудников. Сервис НКЦКИ вам в помощь.
✔️ Вы уверены, что у вас пропатчен RDP и он пробрасывается через VPN?
✔️ Вы уверены, что у вас включена MFA на доступных извне сервисах доступа внутрь инфраструктуры (VPN, RDP, SSH и т.п.)?

Пост Лукацкого

27 апреля 2024 17:03

Эксперт по OSINT разоблачил видео девушки, которая пишет, что она купается 🏊‍♀️ в 5.30 утра в французской Ницце. Оказалось, что купается она не в 5.30, а в 6.04 утра. Если не придираться к тому, что девушка могла зайти в воду в 5.30, отплыть от берега (а видно, что она далеко от него) и снять видео (и тогда вполне возможно, что время будет таким, какое разоблачает Тревор), то вокруг OSINT ходит много всяких мифов и легенд и используют его часто в каких-то личных задачах - пробить девушку, узнать адрес или реальное имя, доказать фейковость и т.п. 🔍

Но OSINT может применяться не только против отдельных лиц, но и против компаний. И не только для изучения их слабых мест, но и для оценки площади атаки и ее снижения. Кто-то называет это Digital Risk Protection, кто-то корпоративным OSINT, кто-то да как только не называют. Суть не в названии, а в содержании и в том, занимается этим ИБ или нет. Мы, кстати, про это будем говорить на PHD2 и... что оооочень интересно, в дискуссии будет принимать участие ФСТЭК 🏛, которая подготовила проект требований по этой теме. Так что если вам интересно, что вас ждет и как это можно реализовать, то вы знаете, где об этом услышать.

Пост Лукацкого

27 апреля 2024 10:02

Ассоциации компаний по защите и хранению персональных данных неплохо было бы сначала изучить закон о персональных данных и правоприменение по нему. Тогда они разместили бы у себя на сайте хотя бы политику в отношении персональных данных и расписали бы согласие на их обработку чуть более конкретно. Пока это сраный стыд 🤠

Мой предыдущий пост про эту, так сказать, "ассоциацию" был верен 🤮 К слову, напомню, что RPPA появилась задолго до!

Пост Лукацкого

26 апреля 2024 20:22

Когда у сотрудников дубайского офиса 🟥 не только машины красные, но и вход в них по паролю.

И потом не говорите, что вы не знаете, как реализовать многофакторную аутентификацию на автомобиле ☺️ Ключ/брелок - фактор владения, а пароль/PIN - фактор знания! Скоро, глядишь, на бортовом компьютере надо будет пароль вводить или голосовую идентификацию проходить, чтобы двигатель завелся. Пока у многих автопроизводителей голосовые помощники просто используются для удобства 🚗

Пост Лукацкого

26 апреля 2024 13:32

Помните кейс с американской компанией Ring (дочка Amazon), которая через свои системы видеонаблюдения скрытно наблюдала 👀 за женщинами в спальнях и ванных? Федеральная торговая комиссия (FTC) в прошлом году вынесла решение против Ring, заставив ее заплатить пострадавшим компенсацию за утечки персональных данных. И вот на днях FTC заявила, что она выплатила 5,6 миллиона долларов в виде 117 тысяч PayPal-транзакций 📱

Это хороший пример, как можно было бы решить историю с предложением Минцифры по компенсациям за утечки персональных данных. Не перекладывать это на субъекта ПДн, а взять на себя. Сам наказал (через подведомственный РКН), сам получил штраф, сам перевел деньги пострадавшим. Тем более, что сумма не очень большая. В конце концов именно Минцифры отвечает за госполитику в области ПДн в России и кому, как не ему, взять на себя эту функцию 💡 Сами граждане не будут заморачиваться общением с оператором ПДн и истребовать из него мизерную компенсацию (в случае с Ring, примерно, по 40+ долларов на человека). А вот если это делает государство (как FTC в случае с Ring), то схема может и заработать... 😅

Пост Лукацкого

26 апреля 2024 06:40

Positive Technologies подвела итоги года с точки зрения зафиксированных 🟥 в прошлом году киберугроз. Подразделение Mandiant американской Google тоже сделало это, выпустив свой отчет M-Trends 2024. Но они, как это делают почти все ИБ-компании Нового Света, замесили все в один документ, который насчитывает под сотню страниц, что делает непростой задачу его чтения. То ли дело у нас - каждой теме свой отчет - хошь по угрозам за год, хошь по угрозам в ритейле, хошь по APT на Ближнем Востоке (очень хорошо зашло во время GISEC). А скоро будет еще один - про результаты работы наших пентестеров. Тем интереснее сравнивать то, что пишут в Mandiant с тем, что происходит у нас.

Один из основных показателей в отчете американцев - так называемое dwell time, то есть среднее время, которое есть у хакера, находящегося во внутренней инфраструктуре, пока его не заметит служба ИБ. За год этот показатель снизился с 16 дней до десяти. Что характерно, аналогичные цифры и у 🟥. Также совпадают у нас и показатели работы пентестеров - редтимерам Mandiant удается проникнуть в инфраструктуру за 5-7 дней, а "бойцам" ПТ на это требуется от 1 до 7 дней; минимальное время захвата контроллера домена у нас - 6,5 часов. К слову сказать, чтобы эффективным у службы ИБ время обнаружения и реагирования (TTR) должно быть меньше времени атаки (TTA) - в противном случае APT будут постоянно резвиться у вас в инфраструктуре.

Основной вектор атак по версии Mandiant - эксплойты. Фишинг обосновался на втором месте, третий - компрометация через ранее купленные доступы, затем идут украденные креды, а на пятом месте - подбор пароля. По данным 🟥 пятерка распределяется иначе:
1️⃣ Вредоносное ПО
2️⃣ Социальный инжиниринг, включая и фишинг
3️⃣ Эксплойты
4️⃣ Компрометация учетных данных
5️⃣ DDoS.

Кстати, именно через скопрометированные учетные записи от приложений, позволяющие персоналу удаленно подключаться к сервисам, и была взломана UnitedHealth Group, заявившая об инциденте стоимостью около 2 миллиардов долларов.

Из других тенденций, о которых пишет подразделение Google, которое взламывали в январе 2024-го года и которое троллили LockBit в 2022-м якобы имевшей место утечкой, можно назвать:
1️⃣ Фишинг эволюционирует и хакеры начинают использовать такие каналы как соцсети и мессенджеры (мы про это тоже писали)
2️⃣ Рост кейсов с обходом многофакторной аутентификации
3️⃣ Рост числа атак на облачные инфраструктуры
4️⃣ Использование ИИ в деятельности красных и фиолетовых команд (как по мне, так этот "тренд" - просто дань моде)
5️⃣ В 2023-м появилось 719 новых APT, которые отслеживает Mandiant. На мой взгляд это дурацкая метрика, так как сегодня каждый хакер создает новую "армию", один раз кого-нибудь дидоснет и затихает. А уж число группировок, появившихся в отчет на конфликт Израиля и ХАМАС, и вовсе зашкаливает. Так что не показатель, но общее число отслеживаемых группировок в 4000 штук выглядит солидно.

Вообще в отчете Mandiant много всяких циферок, так что есть в чем залипнуть 👇, пока не подоспела новая аналитика от 🟥

Пост Лукацкого

25 апреля 2024 17:04

Интересные плакаты на автобусных 🚌 остановках в Москве стали вешать. Похвально, что на эту проблему стали обращать внимание рядовых граждан, активно пользующихся общественным транспортом и часто и становящихся жертвами мошенников.

Меня в данном случае заинтересовала рекомендация позвонить в 112. У операторов 📞 "Службы 112" реально есть плейбук на действия при таких звонках? Они знают, что спрашивать у граждан, которые звонят с заявками на мошенников? И они знают, что делать потом, как сообщать в систему "Антифрод"? Вот прям интересно 🤔

Пост Лукацкого

25 апреля 2024 10:02

Потихоньку осваиваем зарубежные СМИ, несем свет знаний в локальные массы 😊 А местами и сам узнаешь что-то новое. Например, комментируя вопросы журналиста из Dark Reading, узнал, что в Гане 🇬🇭 (это в Африке, если что) есть требование лицензирования специалистов по ИБ. Да-да, именно лицензирования, а не сертификации, и именно специалистов, а не ИБ-компаний. Это свежий закон, который заработал с прошлого года. По сути речь все равно идет об аналоге сертификации (проверка знаний и опыта), но с получением соответствующей аккредитации и занесением в реестр.

В 2009-м году в США готовилась схожая инициатива, но не прошла проверку здравым смыслом, так как было непонятно, как поддерживать уровень знаний специалистов на должном уровне 👨‍🎓 и постоянно его актуализировать? А без этого, идея лицензирования превращается в профанацию и еще одно "бумажное" требование. Но Гана - страна поменьше (при этом входит в тройку африканских стран с максимальным т.н. индексом ИБ) и может быть там эта идея и приживется.

ЗЫ. На фото выше ☝️ еще одна статья в зарубежном СМИ "имени меня"...

ЗЗЫ. Товарищ майор, если вы меня читаете, то знайте, что никаких секретов супостатским спецслужбам не раскрывал, к 275-й не приближался ни на йоту! 🫡

Пост Лукацкого

24 апреля 2024 20:33

А вот сейчас обидно было... Когда ты не эмигрант, не релокант, не иноагент, а всего лишь временно покинувший пределы родного Отечества гражданин, волею пославшей его работы, выехавший в дружественные к нам ОАЭ 🇦🇪 И тебе блокируют доступ извне к государственным ресурсам и ты не можешь не только получить госуслугу, но и даже получить доступ к сайту госоргана для уточнения контактной информации. И ведь даже VPN не поднимал...

Пост Лукацкого

24 апреля 2024 13:32

В 1981-м году профессор Роджер Фишер, специализирующийся на теме переговоров 🤝 и управлении конфликтами в Гарвардском университете, занимался среди прочего и тематикой ядерной войны, включая и тему предотвращения случайного нажатия ядерной кнопки. Согласно предложенной им идеи 💡, пароли доступа от красной кнопки, которая находилась в ядерном чемоданчике Президента США, должны были храниться в капсуле, которая вшивалась в грудь офицера, сопровождавшего президента страны. При этом носитель чемоданчика с кнопкой ▶️, должен был также носить с собой и большой мясницкий нож, которым американский президент должен был сначала убить носителя капсулы, вынуть ее из бездыханного тела, вскрыть ее, вынуть оттуда пароли доступа, после чего уже ввести их для запуска ядерных ракет 🚀

Пентагон отказался от этой идеи, посчитав, что требование убить человека может повлиять на решение 🧐 президента нажать красную кнопку. С другой стороны ее нажатие приведет к смерти не одного, не ста и даже не миллиона, а сотен миллионов человек, что заставит человека десять раз подумать 😦 и, возможно, не допустить ядерного апокалипсиса. Прежде чем убить миллионы тех, кто где-то далеко, сначала надо было убить своими руками одного, того кто рядом. Это реальная история, но интересна она тем, что это очень интересный способ хранения одноразовых паролей, открывающих доступ к несказанно критическим системам, воздействие на которые могло бы привести к настолько катастрофическим последствиям, что я даже не знаю, можно ли такое событие называть недопустимым или ему надо придумывать свой собственный термин 🫡

Пост Лукацкого

24 апреля 2024 06:40

В 1996-м году, когда Интернета в России еще почти не было и олдскульные ИТшники пользовались FIDOnet для обмена информацией, я столкнулся с первым в моей жизни примером атаки 📌 на цепочку поставок. В одной из эхоконференций (сейчас бы ее назвали каналом), которые распространяли обновления для антивируса Dr.Web 🕸, выложили фейковое обновление антивирусной базы, установка и запуск которой приводили к форматированию жесткого диска 🤦‍♂️ Прошло 30 лет, а антивирусные компании так и не делают выводы о том, что механизм распределения обновлений должен быть защищен!!!

Индийский 🇮🇳 антивирусный вендор eScan использовал для обновления обычный HTTP, без всякого шифрования (HTTPS), чем не преминули воспользоваться злые северокорейские 🇰🇵 хакеры, предположительно Kimsuky, которые засунули в обновления бэкдор и майнер криптовалют. Avast, нашедшая эту кампанию, назвала ее GuptiMiner. По ссылке "многабукаф", но ключевая идея уже описана - уязвимость в архитектуре обновления и все, амба 🔓

Чтобы у вас не создавалось ложных иллюзий напомню, что в 2017-м году от той же самой фигни пострадала и сама Avast, когда через ее сайт распространяли зараженное ПО CCleaner, которое успело скачать, по разным оценкам, от полумиллиона до миллиона пользователей Интернет 😮 А до этого, в феврале 2008 года, сайт индийского антивирусного разработчика AvSoft Technologies был взломан и на него был инсталлирован вредоносный код, заражающий компьютеры посетителей 😈 В феврале 2004 года, антивирусная компания F-Secure разослала своим подписчикам 👎 в Великобритании письмо с вирусом Netsky.B, а в ноябре 2002 года аналогичным образом отличилась Лаборатория Касперского, список рассылки которой был взломан и тысячи подписчиков получили копии червя Braid 🪱

У меня нет цели показывать пальцем 🫵 и кричать "сапожник без сапог" (все-таки и на старуху бывает проруха), просто отмечу два важных факта:
1️⃣ Сегодня архитекторы ИБ на вес золота 🏗, так как этому нигде не учат, а знания у людей этой специальности обычно выходят за рамки традиционных менеджеров по продуктам или даже разработчиков. Архитектор - это высшая каста ИБшников, которые знают все слабые места системы и могут путем изменения исходного проекта/архитектуры нивелировать потенциальные проблемы, которые потом могут дорого обойтись (по данным Forrester, устранение проблемы на этапе проектирования обходится в 30 раз дешевле 🤑, чем на этапе промышленной эксплуатации).
2️⃣ ZeroTrust придумали не просто так. И если отбросить в сторону маркетинговый булшит, когда вендора рассказывают, что они полностью реализовали ZT в своих продуктах, то важна сама идея, что нельзя никому безоговорочно доверять 🧐 и надо регулярно (в идеале постоянно) проверять любые соединения, попытки доступа, поведение, действия, трафик и т.п. "Доверяй, но проверяй" - это про ZeroTrust!

Ну а корпоративным ИБшникам я бы посоветовал при работе со своими вендорами по ИБ:
1️⃣ Узнать, есть ли в компании архитектор (не по должности, а по сути) и пообщаться с ним, чтобы он рассказал вам про архитектуру предлагаемого решения, а не просто зачитал маркетинговую листовку 🙏
2️⃣ Уточнить, как происходит обновление ваших продуктов; не важно, идет ли речь о сигнатурах, правилах, фидах TI, или об обновлении самого ПО 🆕
3️⃣ Разработать плейбук в расчете на то, что именно через обновление доверенного поставщика к вам прилетит бяка (посмотрите рекомендации ФСТЭК по обновлению ПО, там есть здравые мысли о том, как проверять все апдейты).

ЗЫ. Кстати, на PHD2 у нас будет целый Evasion-трек про обход средств защиты информации и что с этим делать...

Пост Лукацкого

23 апреля 2024 17:01

Сначала вы говорите, что в QR-кодах может скрываться угроза и ни при каких условиях не надо сканировать их, если вы на 101% не уверены в чистоте кода 🤓 А потом вы делаете QR частью Passkeys и призываете всех сканировать QR. И все это за пару лет 😈 Такая вот динамическая ИБ в стиле Agile...

Пост Лукацкого

29 апреля 2024 12:23

В России аббревиатура CISO часто звучит как «ЦИ-СО» или «СИ-СО». Интересно, что в ОАЭ 🇦🇪 это звучит как «СИ-ЗО».

Пост Лукацкого

28 апреля 2024 20:21

Можно было бы опять написать про выбор правильной модели нарушителя, а можно и про правильную настройку 🛠пороговых значений у средств мониторинга… А можно просто радоваться жизни 😂 и продолжать готовиться к PHD2

Пост Лукацкого

28 апреля 2024 12:28

Странные люди в этой Okta работают. Их ломали 4 раза уже 🔓, но при этом они выкладывают в паблик презентации с пометкой CONFIDENTIAL. Но не забывают запилить целый слайд мелким шрифтом с отказом от ответственности и остальным бла-бла-бла... Какое-то странное отношение к кибербезопасности 😠

Пост Лукацкого

27 апреля 2024 20:55

Помните, в ФЗ-152, в ст.19, есть требование, что ПДн должны быть защищены от несанкционированного уничтожения, модификации, распространения, доступа и т.п. И все защитные меры, описанные в ПП-1119 и в 21-м приказе, не делают большой разницы между ними. А вот согласно исследованию CrashPlan и SANS, эта разница существует:
1️⃣ В случае утечки данных основной риск (в широком смысле) является репутационным для почти всех типов защищаемых данных, не только персональных (финансовых, интеллектуальной собственности, технических и т.п.)
2️⃣ Операционный риск является основным при уничтожении или модификации данных.
3️⃣ Риск нарушения законодательства во всех случаях играет несущественную роль.

Последний вывод, наверное, самый важный. Я не призываю нарушать законодательство, но оно точно играет самую последнюю роль при принятии решений в отношении защиты ценной для организации информации.

Пост Лукацкого

27 апреля 2024 13:37

В рамках сдачи экзамена на CISSP, среди множества доменов, которые надо изучать, есть и такой - физическая безопасность. Однако, нередко, ИБшники его игнорируют, считая, что это тема для специалистов служб обычной безопасности, которым и надо заморачиваться охраной, решетками на окнах, обходом периметра и т.п. 🚪 Но на мой взгляд недооценка вопросов физической безопасности может привести к достаточно печальным последствиям, например, таким как в недавней истории с "Вкусно и точка" или более древним кейсом с NASA, в сети которой было обнаружено также устройство на базе Raspberry PI, которое перехватывало и передавало наружу конфиденциальную информацию 🤬

Поэтому стоит обращать внимание на следующие моменты (самостоятельно или делегируя их в другие подразделения с соответствующим обучением):
1️⃣ Реализация требований той же ФСБ к защите помещений (но без фанатизма и выполнения невыполнимого)
2️⃣ Ежедневный осмотр офисного пространства на предмет посторонних устройств (можно поручить уборщицам)
3️⃣ Блокирование перемещения по физическому пространству офиса за счет наличие кодовых замков на этажах и между ними 🏠
4️⃣ Контроль доступа в облачные среды и арендуемые ЦОДы
5️⃣ Контроль IoT-устройств (термостаты, СКУДы, видеонаблюдение, СмартТВ и т.п.)
6️⃣ Контроль наклеенных стикеров с паролями
7️⃣ Запирание/приковывание устройств в удаленных локациях или у мобильных сотрудников 🤒
8️⃣ Интеграция СКУД с системами контроля доступа в инфраструктуру
9️⃣ Защита систем видеонаблюдения и их данных, чтобы не повторилась история с немецким миллиардером Хаубом
1️⃣0️⃣ Готовность системы видеонаблюдения для проведения расследований инцидентов ИБ

Пост Лукацкого

27 апреля 2024 06:40

🆕 Мы к вам с новостями. Во-первых, впереди четыре выходных (хоть суббота и рабочая). Во-вторых, новый выпуск подкаста «КиберДуршлаг» такой интересный — не оторваться. А в-третьих, команда, которая его делает, уходит на каникулы до сентября (не скучайте, скоро вернемся с новыми интересными выпусками).

Гостем финального выпуска первого сезона стал Алексей Лукацкий, бизнес-консультант по информационной безопасности Positive Technologies.

Обсудили с ним тренды управления уязвимостями, влияние развития искусственного интеллекта на кибербезопасность, введение оборотных штрафов за утечки данных, а также опасности, которыми нам грозят баги в роботах-пылесосах и кардиостимуляторах.

Смотрите на YouTube и слушайте на любой удобной аудиоплатформе.

🍂 До встречи осенью!

#КиберДуршлаг
@Positive_Technologies

Пост Лукацкого

26 апреля 2024 17:06

На GISEC разговорился с одним человеком, который высказал мысль, с которой я не могу согласиться. Он считает, что если система скомпрометирована и есть подозрение на нахождение внутри злоумышленника 👿, немедленный патчинг внешних уязвимостей должен помочь в данной ситуации. Я же считаю, что патчинг скомпрометированных систем в принципе не может спасти ситуацию и, скорее, ее усугубляет, создавая иллюзию защищенности! 😈

Если хакер сидит внутри инфраструктуры, надо локализовывать его, не давая развивать наступление 💻 и расширять плацдарм, затем выносить из инфраструктуры, потом определить точку входу и причину успешной компрометации, и только потом устранять ее, в том числе и за счет установки патчей и выстраивания процесса управления активами и уязвимостями. Но просто установка патчей, увы, не спасет! 🕳

На GISEC, на одном из стендов, увидел слоган компании, которая занималась борьбой с утечками, - "Надо защищать данные, а не периметр!" Если не фокусироваться на первой части, то слоган очень хорошо 🤔 описывает ситуацию, когда мы дофига ресурсов тратим на защиту внешних границ, а когда компанию пробивают тем или иным способом, то специалисты по ИБ разводят руками, а то и вовсе не верят в это, считая свои бастионы неприступными. Но нет... 😯

Мы на GISEC в течение трех дней давали всем желающим проверить защищенность своего периметра с помощью сервиса PT Knockin 👊, который просто отправляет e-mail с обеззараженным вредоносом на корпоративную почту. Каково же было удивление многих ИБшников, которые, считая, что их почта защищена от проникновения, получали прошедшее через все преграды письмо ✉️ "с приветом". А если бы оно было не обеззаражено? Поэтому периметр периметром, но стоит думать и о том, что делать, если все-таки инфраструктура скомпрометирована. Вы же в курсе, что делать? 💪

Пост Лукацкого

26 апреля 2024 10:02

Был у меня как-то кейс, который привел к кардинальной смене мной и используемой техники, и отношения к хранению данных. У меня накрылся SDD на ноутбуке 💻; причем достаточно серьезно, без возможности восстановления. Диск был зашифрован и никто не смог помочь мне восстановить данные. Система резервного копирования на Винде у меня была установлена компанией, но из-за ее тормозов в процессе индексации и синхронизации данных, я ее в какой-то момент отключил и получил ценный урок 💡

В результате я поменял ноут с виндой на макбук, в котором Time Machine - это просто верх удобства резервирования данных. Действительно "настроил и забыл". Но страх потерять данные все-таки остался и я стал пользоваться правилом, которое, как я позже узнал, называется "3️⃣➖2️⃣➖1️⃣". Это стратегия, предложенная фотографом Питером Крогом, который так спасал свои фотографии от потерь (саму концепцию он взял у ИТшников):
3️⃣ - столько должно быть копий данных (например, ПК, облако, флешка) 💻
2️⃣ - столько должно быть различных носителей данных (например, жесткий диск ПК и внешний HDD или облако) 🌩
1️⃣ - столько должно быть копий в удаленном месте, вне офиса или дома; в зависимости от основного места вашей работы, (например, в облаке или NAS).

В корпоративной среде такое правило тоже применимо, но только для самых ценных данных (поэтому так важна классификация информации в компании). При этом стоит помнить о ряде важных нюансов:
1️⃣ Это поможет и для защиты от шифровальщиков в том числе!
2️⃣ Резервируя данные, не допустите, чтобы и бэкапы были тоже зашифрованы.
3️⃣ Не забывайте регулярно проверять, что вы можете получить доступ к бэкапам и, если вы используете специфический формат или шифрование, восстановить данные.
4️⃣ Храня данные в облаке, уточните, кто будет считаться их владельцем и что облачный провайдер с ними может делать (например, обучать свой ИИ)? Ну и про санкции не забудьте...

Тут, конечно, можно еще накрутить "цифр", например, учитывая хранение данных в стране нахождения и за ее пределами, но это уже для иноагентов параноиков.

Пост Лукацкого

25 апреля 2024 20:22

Пример того, как компания реагирует на инцидент, поворачиваясь лицом к клиентам и партнерам, а не засовывая голову в песок. UnitedHealth Group, которая прогнозирует почти 2 миллиарда потерь от кибератаки, запустила отдельный сайт для пострадавших.

Пост Лукацкого

25 апреля 2024 13:32

SIEM с ИИ, багбаунти с ИИ, пентесты с ИИ, обучение с ИИ, threat hunting с ИИ, управление сертификатами с ИИ, GRC с ИИ… 🧠 Если у вас у продукта или сервиса нет приставки AI-driven, AI Empowered или Supercharged by AI, то вас просто не пустят на порог в приличную арабскую компанию или на выставку 🇦🇪

А еще на GISEC, на каждом стенде свой SOAR, SIEM или XDR. И так как всем хочется выделиться, то все начинают создавать новые классы продуктов, добавляя буквы X (eXtended) или N (New). XSIEM, NXDR (это вообще странная конструкция)… Но самый беспроигрышный вариант - добавить в начало или конец AI. aiSIEM, aiXDR, aiBULLSHIT… 😂

Пост Лукацкого

25 апреля 2024 06:40

Ну что, вот и с межсетевыми экранами Cisco тоже беда. Не успела PaloAlto отчитаться о 10-тибалльной уязвимости, как в МСЭ Cisco ASA и Cisco Firepower нашли несколько уязвимостей с CVSS 8.6 (еще у двух CVSS 6.0), которые позволяют имплантировать в средства сетевой безопасности вредоносный код 👨‍💻, выполнять команды, потенциально перехватывать и передавать куда надо трафик, проходящий через устройство и даже использовать МСЭ как плацдарм для развития дальнейшей атаки 🧑‍💻 Кампания ArcaneDoor, за которой стоит прогосударственная группировка UAT4356 (или STORM-1849 по именованию Microsoft), началась еще прошлым летом, но с первыми признаками атак клиенты столкнулись в этом январе 🧑‍💻

Как пишет Cisco, обновления можно скачать в рамках действующего контракта на техподдержку, а для тех, у кого контракта нет, обратиться 📞 к представителю Cisco или в службу поддержки Cisco TAC за получением ссылки на обновление. Российским заказчикам это все сейчас недоступно. Так что делаем выводы, чтобы не попасть впросак, как ряд российских организаций, которые использовали МСЭ Fortinet, но не смогли вовремя их пропатчить 👨‍💻 и были взломаны через трендовые уязвимости, которые хакеры начали эксплуатировать очень быстро 😂

Техники, тактики и индикаторы описаны в блоге Talos, но конкретных рекомендаций, кроме как поставить патч, не дано. И не факт, что они есть в такой ситуации. Но в любом случае присмотритесь к рекомендациям вендорам по защите своих межсетевых экранов. В данном кейсе это не поможет, но на будущее (если вы не стремитесь перейти на PT NGFW, конечно, 😎) стоит их учесть.

Пост Лукацкого

24 апреля 2024 17:06

Есть в криптографии такое понятие - "одноразовый блокнот". Его идея заключается в том, что при шифровании текста криптографический ключ 🗝 равен длине шифруемого текста, ключ случаен и используется в качестве гаммы ("накладывается" на открытый/закрытый текст), а также ключ используется только один раз! 1️⃣

В основе идеи одноразовых блокнотов 🗒 лежит шифр Вернама, для которого Клод Шеннон в 1949-м году доказал абсолютную криптографическую стойкость. Но использование таких шифров сопряжено с рядом неудобств - основным из которых является необходимость использования ключа с длиной, равной шифруемому сообщению, который используется только один раз. То есть вам нужно выстроить непростую инфраструктуру генерации, хранения и уничтожения ключевого материала 🗝

На видео (за что спасибо подписчику) вы видите пример простого принтера AMRRON DARK LABS- OTP, который как раз и пытается решать все эти задачи. Генеря одноразовые блокноты на 250/500/1000 символов, вы можете надежно защитить свою переписку в мессенджерах (не спрашивайте, 🤐 как вы будете переносить коды из блокнота в ПО для шифрования). Исходники ПО, включая и генератор случайных чисел, также выложены на сайте производителя. Так что если вы криптоанархист и фанат зашифрованной переписки, то этот принтер для вас! Даешь гражданскую криптографию в массы!!! 🤘

Пост Лукацкого

24 апреля 2024 10:02

Первый день GISEC завершился позитивно 🤘 Яркие краски, теплая атмосфера, куча встреч, глубокие инсайты, новые идеи, старые друзья, много проектов... Люблю такую движуху, когда ты не выходишь из зоны комфорта, а расширяешь ее, получая новый опыт, который можно применить с пользой для всех.

ЗЫ. Стенд у нас в этот раз еще круче прошлогоднего и затмевает всех соседей, даже именитых 🤘

Пост Лукацкого

23 апреля 2024 20:32

Согласно статистике ShadowServer Foundation в России имеется 44 устройства Palo Alto, уязвимых к CVE-2024-3400 (CVSS 10.0), о которой подробно написал Александр Леонов. В Казахстане таких устройств 58, в Узбекистане 7, в Кыргызстане, Беларуси и Таджикистане по 2, в Туркменистане 3, а в Азербайджане аж 88. В Южной Осетии и Грузии по 15, а в Армении - 14 уязвимых устройств. Больше всего в США - почти 10 тысяч непатченных еще железок.

Пост Лукацкого

23 апреля 2024 13:39

Приехал я на выставку-конференцию по ИБ GISEC и, на фоне буквально еще не высохшего после небывалого ливня и последующего наводнения Дубая, вдруг вспомнил о том, что столь катастрофические последствия, с которыми столкнулся крупнейший город ОАЭ 🇦🇪, могли бы произойти и по причине кибератаки. Тем более, что за последнее время было уже несколько кейсов, которые могли закончиться плохо.

Три небольших техасских города пострадали в этом январе от рук хакеров, которые попытались вывести из строя местные системы водоснабжения. В Панхендле (2000 жителей) хакеры 37000 раз за 4 дня пытались проникнуть за межсетевой экран 🤬, защищающий локальную критическую инфраструктуру. По словам муниципальных властей "атака была неуспешна, так как город отключил систему водоснабжения и управлял ею вручную". Как по мне, так это не то, чтобы неуспешная атака, а с другой стороны цели хакеры не достигли. В соседнем Мулшу (5000 жителей) атака была более успешной - система водоснабжения ⛲️ была переполнена прежде чем ее отключили и перевели в ручной режим работы. Аналогичные атаки наблюдались и в соседнем Локни (1500 жителей).

Ответственность за атаки взяла на себя группировка CyberArmyofRussia_Reborn, которая помимо американских систем водоснабжения в январе атаковала схожие объекты КИИ и в Польше. Но атакуют системы водоснабжения 🚰 не только они. В прошлом ноябре CISA выпустила предупреждение об атаках на такие системы со стороны иранских хакеров, а уже в марте советник по нацбезопасности Джек Салливан и администратор агентства по защите окружающей среды разослали письмо с предупреждением о росте числа атак на водоснабжение со стороны еще и китайских хакеров 👲

В Израиле тоже имело место инциденты с системами водоснабжения. А потом у нас были атаки на "Московский коллектор" со стороны проукраинской группировки. Число таких атак растет и только Нептун знает, когда количество перейдет в качество и на улицы хлынут потоки воды, сточных вод, фекалий и т.п. Хорошо бы никогда, но это уже маловероятно.