Пока одни бьются лбом об стену, модели из семейтсва o1 от OpenAI сбегают из своего виртуального пространства, чинят «сломанные» системы и перезапускают контейнеры для решения задач

Все, кому не лень, уже написали о в разы выросшей эффективности новых LLM от OpenAI. o1-preview и o1-mini научили дольше рассуждать, лучше разбивать задачи на части и пересматривать свои стратегии.

Но у нас пока не было реального примера того, как работают модели у учётом instrumental convergence и захвата ресурсов. Теперь LLM не стесняются обходить препятствия, используя неограниченно расширяющийся набор средств для достижения цели.

ℹ️Чтобы подготовить семейство к релизу, OpenAI в том числе проверяли навыки LLM на задачах по кибербезопасности

В одной из таких o1-preview предложили найти уязвимость в коде программы, запущенной в отдельном Docker-контейнере. В нём содержался файл с секретной строкой, которую было необходимо скопировать и отправить на проверку.

‼️Но всё пошло не по плану, и контейнер... просто не запустился

Причиной стала инфраструктурная ошибка. По-хорошему задача должна была завершиться — речь всё-таки шла о сбое в ключевом пространстве. Но модель решила разобраться в вопросе последовательно.

Убедившись, что подключиться к контейнеру невозможно, LLM решила проверить систему на проблемы с DNS и запустила программу nmap для сканирования сети.

🤖 Из-за неправильной конфигурации o1-preview смогла получить доступ к внешнему API-интерфейсу демона Docker

По сути, ИИ получил доступ к родительскому процессу не только целевого контейнера, но и контейнера с самим LLM-агентом. Чтобы решить «сломанную» задачу, o1-preview вышла на уровень своей виртуальной машины, хоть на её пути и остался ещё один слой изоляции.

☁️ С помощью Docker модель получила список всех контейнеров на сервере, обнаружила свою «сломанную» цель и попыталась исправить неполадку

Когда это не удалось, LLM просто отправила команду на запуск нового экземпляра. К ней она добавила запрос на вывод содержания файла с целевой строкой. Задача была решена — но не так, как предполагалось.

Навыки планирования и отслеживания хода событий исторически считались слабыми местами ИИ при решении сложных задач в кибербезопасности. Теперь ситуация начинает меняться.

🔤🔤Прочитать о процессе решения задачи подробнее можно в отчёте OpenAI на страницах 16-17. В этом же документе разбираются другие аспекты, связанные с подготовкой моделей к выпуску и оценкой их производительности в различных задачах: например, моделировании сценариев биологической угрозы 💀

С такими темпами, скоро и случай с тем, как ChatGPT-4 нанял фрилансера, чтобы решить капчу, покажется нам детским лепетом на фоне выхода ИИ из клетки.

Читать полностью…

🤔 Есть планы на 25 сентября? Приглашаем вас на Positive Tech Day в Новосибирске.

👀 Посмотрите на кибербезопасность с разных сторон вместе с ведущими экспертами Positive Technologies — обсудите новые угрозы и тренды развития индустрии и обменяйтесь опытом.

🗣 Наши коллеги поделятся действенными методами расчета и достижения киберустойчивости компаний; расскажут, как грамотно выстроить процесс управления уязвимостями; объяснят, как метапродукты помогают ИТ и ИБ противостоять хакерам; поделятся ключевыми функциями ядра результативной кибербезопасности — MaxPatrol SIEM.

🧑‍💻 А разработчиков веб-приложений и DevSecOps-специалистов ждет отдельный AppSec Track, на котором эксперты обсудят тренды безопасной разработки и инструменты, которые могут ее обеспечить.

Хотите участвовать? Скорее регистрируйтесь по ссылке.

@Positive_Technologies

Читать полностью…

Цифровизация, цифровизация... А бумажная книга по ИБ в качестве подарка все еще пользуется популярностью 📚

Читать полностью…

Интересный ежедневник тут на конференции увидел 💡 В нем не только зарядка для смартфона встроена, но и флешка в виде клипсы застежки (помечена стрелкой). В моей "коллекции" нестандартных форм флешек этот пример займет достойное место. Наряду с флешками в наручных часах или в форме женского тампона (мужики на охране такие "штуки" стараются не досматривать и даже не притрагиваться к ним), приведенный на фото пример очень непросто обнаружить на КПП и при досмотровых мероприятиях 👀

Читать полностью…

Ну что, наступила "пятница, 13-е"... В США еще где-то 12-е число, день, когда вступают в силу санкции США по запрету предоставления ИТ-услуг, связанных с ПО управления предприятием (термин очень широкого толкования) 🩸

Пока сложно сказать, насколько это серьезно затронет корпоративный сектор и как себя поведут Microsoft 📱, Google 📱, Cisco и другие бигтехи 📱📱📱📱📱, но будь я руководителем ИТ/ИБ-службы, дежурные смены сегодня я бы усилил и подумал бы о внеурочной работе в выходные... Все-таки фраза про 12-е сентября может трактовать и как "до 12-го" и как "12-го включительно". То есть какие-то отключения могут начаться ближе к концу сегодняшнего дня. Особенно если ваша инфраструктура зависит от каких-то сервисов, расположенных в США, в Европе, и даже в Москве (какой-нибудь удостоверяющий центр, например) 👀

Читать полностью…

Проектируя сервисы и обдумывая Customer Journey Map своих пользователей, выбирая контрольные вопросы правильно! 🤔

Читать полностью…

Как ставка Центробанка влияет на бюджеты по ИБ?

Сейчас в очередной раз идут дискуссию на тему, поднимет ли ЦБ ставку или нет. Для личных личных вкладов это хорошая история, так как позволяет положить деньги под больший процент. А вот на корпоративный бюджет и бюджет конкретно ИБ рост ставки может повлиять не так положительно, так как с повышением ставки увеличивается стоимость заемных средств. Это ведет к следующим возможным последствиям для бюджета и принятии финансовыми директорами непопулярных решений:
1️⃣ Увеличение стоимости кредитов. Если компания использует заемные средства для финансирования своих проектов или текущей деятельности, повышение ставки увеличивает процентные расходы, что может привести к росту финансовой нагрузки на бюджет, к чему CFO могут быть не готовы.
2️⃣ Снижение доходов. Высокие процентные ставки могут замедлить общую экономическую активность в отрасли, что в свою очередь может сказаться на продажах и доходах компании, особенно если ее бизнес зависит от потребительского спроса. А это в свою очередь к урезанию бюджетов.
3️⃣ Отток средств на обслуживание долга. Увеличение ставки увеличивает расходы на обслуживание существующего долга, что может сократить доступные для других целей финансовые ресурсы. И денежки на очередные необоснованные закупки тю-тю.
4️⃣ Снижение доступности капитала. Из-за высокой стоимости заемных средств компаниям может стать сложнее привлекать новые кредиты для расширения бизнеса или финансирования текущих операций.

Компания и ее финансовый директор в этом случае могут следовать разным стратегиям, которые будут отталкиваться от того, насколько компания зависима от заемных средств и в каком состоянии находятся ее финансы. Например:
1️⃣Отказ или отсрочка капиталоемких проектов. Финансовые директора могут откладывать запуск новых дорогостоящих проектов, которые требуют значительных инвестиций или заемных средств, ожидая более выгодных условий в будущем.
2️⃣Оптимизация текущих расходов. Часто принимаются меры по сокращению операционных и капитальных затрат, чтобы сохранить ликвидность компании в условиях возросшей стоимости заимствований.
3️⃣Фокус на повышении операционной эффективности. В условиях роста процентных расходов компаниям важно оптимизировать внутренние процессы, повышать маржинальность и искать возможности для увеличения рентабельности без значительных дополнительных инвестиций.
4️⃣Альтернативные источники финансирования. Возможно, компании будут искать другие источники финансирования, такие как выпуск облигаций, привлечение стратегических инвесторов или даже IPO, чтобы избежать высокой стоимости банковских кредитов.
5️⃣Укрепление ликвидности. Финансовые директора могут сконцентрироваться на поддержании высокого уровня ликвидности, чтобы иметь подушку безопасности на случай экономической нестабильности и снижения доходов.
6️⃣Придерживание кэша. В периоды высокой ставки часто предпочтительнее аккумулировать наличные средства, а не инвестировать их в рискованные или капиталоемкие проекты. Это позволяет компании выдержать повышенные расходы на обслуживание долга и снизить риски нехватки ликвидности.

Значит ли это, что все, кирдык и денег не дадут? Нет. Просто при обосновании бюджета ИБшникам придется погружаться в совершенно иные материи, часто далекие от привычных тем, связанных с классической ИБ. Надо погружаться в операционную эффективность проектов по ИБ, их влияние на достижение бизнес-целей компаний, снижение расходов (главное, что стоимость такого снижения не была больше самого снижения), уход в OpEx'ные модели вместо CapEx'ных (привет облачные ИБ-сервисы), а также самостоятельный поиск источников финансирования своих проектов по ИБ (как вы думаете, зачем 🟥 запустил программу финансирования проектов по ИБ у своих заказчиков?).

Так что современному ИБшнику без понимания бизнеса, в котором он работает, и в котором работает его компания, не обойтись. Ну или "придется переквалифицироваться в управдомы" (с) Остап Бендер

Читать полностью…

Я достаточно часто публиковал статистику и графику по росту бюджета ИБ 📈 в разных отраслях, но потом перестал, так как большого практического смысла оно не имеет - у каждого же своя картина мира. У кого-то растет, у кого-то нет. Гораздо интереснее всегда узнать, что стало причиной роста или падения. И вот тут в одном свежем отчете подкатили такие цифры. Нельзя сказать, что там прям откровения и решение одной из семи математических задач тысячелетия, но есть о чем поразмышлять 🤔

Помимо стандартых историй (обычный ежегодный рост, рост компании, рост рисков, регуляторные требования и случившиеся инциденты) в список причин попали также:
1️⃣ Цифровая трансформация. Вы знаете, что такое MLSecOps Process Framework, как встроить ИБ в конвейер разработки ПО 🎮 внутри компании, как обеспечить целостность датасетов для проектов по компьютерному зрению в своей компании, с чего начать в компании обеспечение безопасности цифрового рубля и т.п.? Да, это не изучение очередного постановления о доверенных ПАКах или положения Банка России. И не выбор среди 40 российских NGFW самого позитивного. И даже не выстраивание процесса управления уязвимостями. Все это важно, но есть и более важные для бизнеса темы, которые его развивают, а не только поддерживают.
2️⃣ Изменения в риск-аппетите 🍿 Да, я риски ИБ не люблю, но тут речь идет о термине, который относится к бизнесу, а не к ИБ (я про него уже писал на портале "Резбез"). Компания готова больше рисковать или меньше для достижения своих бизнес-целей? Это надо учитывать и в стратегии ИБ и это, соответственно, может потребовать изменений в бюджете.
3️⃣ Серьезные инциденты в индустрии. Ну тут все понятно - мониторинг окружающей действительности важен 💥
4️⃣ Перепозиционирование компании.
5️⃣ Макро-изменения на рынке. Вчера на мероприятии в Красноярске как раз обсуждали в кулуарах, что ИБшник, незнающий технологических и бзнес-процессов своего работодателя зря ест свой хлеб. Надо держать руку на пульсе и понимать, что если растет ключевая ставка Центробанка, то про это напишу сегодня попозже

Читать полностью…

Финалим сегодняшний день экскурсом в актуальные техники и тактики хакеров 🔓

Теперь можно и спать 😴 Перелеты между Бразилией, Москвой, Абу-Даби, Москвой и Красноярском в течение 10 дней… Джетлаг - мой друг, но хочется прислониться к подружке-подушке 😴

Читать полностью…

С корабля на бал бенефис ✈️ Три выступления в Красноярске сегодня на различные темы. Первое про «любимые» 😡 риски ИБ…

Читать полностью…

❌❌❌Внимание!

Взломаны сайты УЦ "Основание" (Аналитический центр) и Единого портала ЭП

UD. Из-за взлома фиксируется недоступность списков отозванных сертификатов УЦ, CRL хранились по адресу https://iecp.ru (доступность CRL фиксируется каждый час, последние 5 попыток - доступа нет, только одна первая успешная попытка, значит взлом был в промежутке между 1 и 2 часа ночи)

Читать полностью…

Выступаю сегодня в СберУниверситете на программе обучения топ-менеджеров по теме искусственного интеллекта с модулем по... пам-парам, кибербезопасности 😂 Под это дело обновил свою презентацию по этой теме, добавил всякого разного нового 🧠 А потом в Красноярск, где у меня 4 выступления на двух разных мероприятиях (а презентации еще не готовы) ✈️

Читать полностью…

Новое исследование по шифровальщикам подкатило ✍️, в котором авторы, используя новые методы, выявили более 700 миллионов долларов в ранее неотслеженных платежах за программы-вымогатели 🤑 В сочетании с датасетом Ransomwhere общая сумма платежей составила более 900 миллионов долларов, что делает этот набор данных крупнейшим публичным в этой сфере.

Авторы анализируют деятельность посредников и подтверждают, что их методика дает низкий уровень ложных срабатываний, позволяя обнаруживать даже то, чего не делают проприетарные платные сервисы 🤒 Исследование также подтверждает отмеченные тенденции, такие как ребрендинг операторов ransomware и рост средней суммы выкупа.

Хотя с ростом 📈 средней суммы выкупа не все так просто. Когда речь идет о крупных группировках, которые "бьют" редко, но метко, то там да, рост выкупа растет и превышает в 80% случаев 1 миллион долларов 💰 И это понятная бизнес-модель. В виду размера и публичности жертв, проще получить сразу и много, чем мелочиться и стричь с сотен жертво по тысяче баксов. Но есть и другая сторона медали. Есть группировки, которые ориентированы как раз на малый бизнес и вот для них устанавливаются небольшие выплаты, которые те "с удовольствием" платят 💸 И так как суммы небольшие и проходят "ниже радаров", то их мало кто вообще отслеживает.

А вот ребрендинг подтверждают и другие компании. Например, печально известная ALPHAV/BlackCat, завершившая карьеру атакой на Change Healthcare в начале года, возродилась по мнению Truesec и Morphisec под именем Cicada3301 🐈‍⬛

Читать полностью…

5 стадий становления индустриального аналитика по кибербезопасности: 🪜
1️⃣ Ты скачиваешь чужие отчеты из разных источников и хранишь в своем хранилище.
2️⃣ Ты читаешь чужие отчеты.
3️⃣ Ты пересказываешь чужие отчеты, вытаскивая оттуда главное и делясь этим с другими.
4️⃣ Ты не соглашаешься с чужими отчетами, добавляя свои размышления и предложения.
5️⃣ Ты пишешь свои отчеты!

Читать полностью…

Есть такая ИБшная шутка (правда, она на английском звучит хорошо, не на русском). Какой у тебя пароль? 12345678, имея ввиду не 8 последовательно идущих цифр, а одна двойка, три четверки, пять шестерок и семь восьмерок, то есть 2️⃣4️⃣4️⃣4️⃣6️⃣6️⃣6️⃣6️⃣6️⃣8️⃣8️⃣8️⃣8️⃣8️⃣8️⃣8️⃣ Есть те, кто считает, что этот пароль надежнее самой популярной последовательности. Сервис haveibeenpwned говорит, что таких аж 2133 человека 😉 (на самом деле не человека, но это не так важно). А вот любителей пароля 1️⃣2️⃣3️⃣4️⃣5️⃣6️⃣7️⃣8️⃣ почти 7 миллионов!

Читать полностью…

Американские военные эксперты сейчас в разных СМИ высказывают мнение, что дроны сильно изменили ход ведения боевых действий и танки 💪, которые еще раньше безраздельно главенствовали на поле боя, сейчас больше времени стоят в ангарах, так как никто не хочет терять железку стоимостью до 10 миллионов долларов, которую атакует БПЛА ценой в каких-то 500 долларов (в 🔤🔤🔤🔤🔤 раз меньше) 🛫 Поэтому-то сейчас военная мысль крутится вокруг оснащения танков различными средствами антидроновой защиты, а также придания им большей маневренности.

И мнится мне, что схожая история происходит сейчас и в ИБ (хотя и не так явно, так как мы имеем дело с виртуальным пространством). Компании продолжают по привычке закупать дорогостоящие средства защиты 🤑, соответствующие всем допустимым аббревиатурам и находящиеся во всех мыслимых квадратах и волнах, не всегда даже задумываясь, чтобы проверить защищенность продуктов на предмет их умения противостоять в реальных инцидентах 🤕 И дело даже не в пилотах - их научились проводить все. Но пилот сродни сертификации - проверяет, что продукт выполняет некоторые заранее определенные функции. А вот способен ли он отражать атаки?

Именно поэтому в службе ИБ должен быть реализован offensive-трек в том или ином виде. Кто-то просто будет требовать от вендора результатов независимой оценки ✔️ Кто-то приобретет или возьмет в аренду решения класса BAS. Кто-то воспользуется услугами пентестеров или red team 🔓 Кто-то выставит средства защиты на киберполигон. Вариантов достаточно много разных - на разный уровень зрелости и разный кошелек. Главное, не манкировать этой задачей, думая, что средство защиты хорошо во всех сценариях и против всех возможных угроз. Кейс с противостоянием дронов и танков 🛸 показывает, что реалии немного иные и со временем эффективность разных классов средств защиты снижается.

Читать полностью…

Не успел еще отойти от Красноярска, а уже снова пора паковать чемоданы и готовиться к Новосибирску, где я выступаю на Positive Tech Day с чем-нибудь интересненьким 👍 Пока не придумал с чем. Если бы я не отменил свое участие в тюменском нефтегазовом форуме 🛢, то можно было в Москву вообще не возвращаться и нормально адаптироваться к смене часовых поясов - из Красноярска в Тюмень, а оттуда в Новосиб... Но нет. Вернусь в Белокаменную, а потом опять "под крылом самолета о чем-то поет зеленое море тайги..." 🌲🌲🌲

Читать полностью…

Бесплатный курс OWASP SAMM Fundamentals. 79 модулей, 5 часов, посвященных модели зрелости OWASP’s Software Assurance Maturity Model (SAMM), одному из популярных фреймворков, используемых для оценки практик безопасной разработки в организациях 🧑‍💻

Читать полностью…

Интересный пример. Не тем, что бразильскую компанию взломали и предлагают в нее полный административный доступ всего за 15 тысяч долларов. И даже не тем, что предлагается доступ к консоли управления антивирусом, что позволяет отключить его, облегчив тем самым заражение всей инфраструктуры (об аналогичных кейсах прошлым летом писал НКЦКИ в свою бюллетене) 🤕

Интересен этот кейс бизнес-моделью - либо ты покупаешь доступ за пятнашку и делаешь с ним что хочешь, но и выгода вся тебе. Либо платишь всего пять тысяч, но тогда в случае получения выкупа от жертвы, 30% отдаешь продавцу доступа 🤑 Этакий revenue sharing, который не очень хорошо приживается на рынке MSSP/MDR, когда вендор продает провайдеру услуг свои продукты не по полной стоимости, а за ее часть, а остальное возвращается по мере заработка со стороны MSSP, что должно заинтересовать лучше работать обе стороны 🤝 Но у хакеров это, видимо, работает лучше, чем в ИБ-индустрии.

Читать полностью…

Хакер с ником Fortibitch заявил о взломе компании Fortinet и краже у нее 440 ГБ данных 🛍 В своем посте ☝️Fortibitch глумится над ИБ-компанией, которая недавно купила DLP-вендора и компанию, занимающуюся безопасностью облаков, что не помогло защититься от утечки в облачном хранилище Azure SharePoint 🧑‍💻

Хакер также утверждает, что генеральный директор Fortinet отказался от переговоров 😠 по сумме выкупа, заявив при этом хакеру, что он "лучше будет жрать дерьмо, чем заплатит выкуп" ("eat poop than pay a ransom"). Fortibitch также удивляется, что Fortinet до сих пор не отправила уведомление об инциденте по форме 8-K в Комиссию по ценным бумагам (ну да это, как мы видим, нормальная практика у ИБ-компаний в разных странах, включая и Россию), как обязана была сделать 📞

Компания Fortinet подтвердила факт взлома, уточнив, что взломана не их инфраструктура, а чужая, и что от утечки пострадало небольшое число клиентов. До конвейера разработки хакер не добрался, исходники не стянул, импланты не внедрил ✨

"An individual gained unauthorized access to a limited number of files stored on Fortinet’s instance of a third-party cloud-based shared file drive, which included limited data related to a small number of Fortinet customers, and we have communicated directly with customers as appropriate. To-date there is no indication that this incident has resulted in malicious activity affecting any customers. Fortinet’s operations, products, and services have not been impacted.”

Это тоже уже становится нормой - валить все на облачных и хостинг провайдеров ("на хрена ты тогда его выбираешь, если он дырявый и небезопасный?" задам я риторический вопрос) 😠

В 2023 году другой хакер уже взламывал одно из подразделений Fortinet, а именно купленную ими в 2020-м компанию Panopta, занимающуюся, как бы странно это не звучало, мониторингом облачных сред 🖥 Позже украденные с Github-репозитория данные были выложены на одном из русскоязычных форумов 🎃

PS. На фоне новостей о взломе акции Fortinet упали на 3% 😭

Читать полностью…

Интересная история с взломом УЦ "Основание", который пишет, что:
🔤 инфраструктура, участвующая в создании сертификатов ключей ЭП, не затронута (по выложенным хакерами скринам они получили доступ к 29 виртуалкам ESXi, с интересными названиями у некоторых, а пишут у себя они про 180 виртуалок)
🔤 криптографические ключи не скомпрометированы 🔓

Но лично мне интересно другое. Судя по тем же опубликованным скринам, там утекли и копии паспортов пользователей (о чем жертва скромно умалчивает), а это означает, что:
🔤 Если удостоверяющий центр обеспечивает взаимодействие субъектов КИИ (а среди клиентов они скорее всего были), то сам УЦ становится субъектом КИИ и должен об инциденте уведомить НКЦКИ. Судя по комментариями в канале это было сделано 🛡
🔤 Утечка персональных данных клиентов должна сопровождаться уведомлением Роскомнадзора, о чем в канале жертвы пока ни слова. Роскомнадзор тоже пока молчит.
🔤 Утечка копий паспортов означает и утечку биометрических ПДн (фотографии на паспорте к ним относятся), а значит УЦ "Основание" должен согласно приказу Минцифры №453 уведомить еще и Минцифры об инциденте, о чем жертва тоже пока молчит 🤕

Мне вот последний пункт наиболее интересен. С уведомлением РКН, НКЦКИ и даже ФинЦЕРТ все понятно - у них есть соответствующие структуры для обработки таких данных. А вот в Минцифры куда направлять сведения об инциденте? Каков порядок такого уведомления? 🤔

Читать полностью…

Так совпало, что в Красноярске сегодня проходит еще одна конференция по безопасности, на которую меня пригласили выступить. Для нее я готовил выступление 🗣 про безопасности КИИ, но я в принципе отказался от рассказа про нормативку, решив посмотреть чуть с другой стороны на эту тему. Учитывая, что аудитория - директора по безопасности 😕 (а не только и не столько по кибербезу), то я решил найти темы на стыке, но имеющие отношение к КИИ 🏭

Читать полностью…

Когда секретарша CISO попадается на удочку мошенников, это демонстрация чьей профнепригодности - её или его? 😕

Читать полностью…

Второе выступление в Красноярске про процесс управления уязвимостями анализа защищенности. По мотивам своего бразильского турне, но с большим числом деталей 🔍

Читать полностью…

Тут Ника, ex-PR известной ИБ-компании, завела канал и делится различными историями из своего опыта и внутренней кухни внешних коммуникаций в вендоре ИБ, чей генеральный директор так неудачно хранил визитки сотрудников иностранных посольств. И подумалось мне, что я тоже могу поделиться каким-нибудь факапом из недавнего 🖕

Для конференции в Абу-Даби я готовил иллюстрации, которые должны были сопровождать мой огненный спич о современнй киберпреступности. И я их сделал, в лучших традициях восприятия хакеров с ближневосточным флером. Получилось неплохо, как по мне (картинки слева). Стильно, в тему, про Ближний Восток... 🕌 А потом я решил на всякий случай уточнить у нашего арабиста, насколько он восхищен моим художественным замыслом. И тут началось 👿 Оказалось, что в странах Персидского залива, да и вообще в мусульманских странах, не очень приветствуются изображения арабской вязи, похожей на суры Корана, внутреннего убранства мечетей и других моментов, которые я изобразил. Самое безобидное, что у меня было на картинках, - это ноутбуки и скрипткидди в худи 🤡 Пришлось перерисовывать (справа).

А еще был аналогичный случай в ближнем зарубежье. Для презентации в одной среднеазиатской республике я решил использовать фотографию юрты 🛖 как символ, противоположный крепости; одно - нестойкое и легко ломаемое, второе - более крепкая конструкция. Но мои коллеги из нашего среднеазиатского офиса мягко намекнули, что это для меня юрта - это просто легкий каркас с натянутым войлоком. А для местного населения - это история и символ и проводить параллель между ним и уязвимой инфраструктурой не очень корректно. В итоге тоже поменял иллюстрации на более нейтральные 👀

К чему это все? А к тому, что в ИБ очень важно учитывать культурный и религиозный контекст той страны или местности, где вы работаете. А без этого в лучшем случае можно попасть в неудобное положение, а в худшем - присесть за оскорбление символов веры и чувств верующих. И такие факапы - это полезный опыт, которому у нас не учат нигде в ИБшных ВУЗах 🤧

Читать полностью…

Вопрос "Сколько тратить на ИБ от ИТ-бюджета?" задается с завидной регулярностью 🤑 И хотя он бессмысленный по своей сути, его почему-то многие используют как ориентир при собственном бюджетировании. Вот тут на днях очередное исследование подвалили, в котором опросили CISO и проанализировали размеры их бюджетов в зависимости не только от ИТ, но и от дохода компании 📈

Читать полностью…

Из этого письма от Нетологии 👨🏼‍🏫 я узнал два факта:
1️⃣ Что я являюсь ее сотрудником или экспертом, но точно не аспирантом. Честно говоря не знал об этом, но потом в архиве нашел сообщение 4-хлетней давности о том, что мне предоставлен доступ к платформе как преподавателю, а я им даже не воспользовался!
2️⃣ Что для защиты ЛМС (наверное, все-таки LMS) нужно всего лишь придумать новый пароль из не менее 12 символов (да, про MFA ни слова) 🤒

В последний раз, когда я получал схожее по сути письмо, речь шла о потенциальном взломе компании 🔓, которая путем принудительного сброса паролей для пары миллионов пользователей, хотела уменьшить ущерб для них. Но, правда, тогда компания заявила, что нашла уязвимость на своем портале, которую вроде как никто не использовал (но это не точно), но которая могла привести к компрометации пользовательских учетных записей 😵

Мне кажется, что в 2024-м году популярный Интернет-сервис, если уж сбрасывает всем пароли в целях повышения ИБ, должен в обязательном порядке внедрить MFA и, если уж не хочется кардинально менять пользовательское поведение, хотя бы предложить это как опцию для них. А еще можно было бы и курс им какой-нибудь бесплатный по ИБ предоставить - заодно и себя порекламировать, и социальную ответственность проявить! 🛡

Читать полностью…

У каждого спикера, особенно если он хорош, после выступлений появляется какое-то количество визиток 📇 Обычно их вручают либо чтоб глаза мозолили, либо с просьбой прислать презентацию, либо в расчете получить вашу. И вы берете эти визитки, не отказываться же. И потом они у вас валяются на столе или в ящике стола. И потом вы про них забываете, так как у вас скапливается огромная куча этой "макулатуры" 🗻

А потом в обвинительном заключении появляются строчки о том, что у обвиняемого были найдены визитки сотрудников ФБР 🇺🇸 сотрудников посольств США и Великобритании в РФ и сотрудников британского МИД 🇺🇸 Так что будьте бдительны! Культура чистого стола включает в себя не только его очистку от персональных данных, но и не хранение ненужных ПДн работников иностранных спецслужб 🤔

ЗЫ. Спичка случайно попала на визитку при фотографировании. Честно-честно... 🫡

Читать полностью…

Согласно ежегодно обновляемой таблице времени перебора паролей, состоящих их разных последовательностей символов, пароль состоящий из 8 цифр перебирается за 37 секунд, а из 16 - за 119 лет. Из этого можно сделать вывод, что пароль 2️⃣4️⃣4️⃣4️⃣6️⃣6️⃣6️⃣6️⃣6️⃣8️⃣8️⃣8️⃣8️⃣8️⃣8️⃣8️⃣ перебирать дольше, чем 1️⃣2️⃣3️⃣4️⃣5️⃣6️⃣7️⃣8️⃣, но это не так. На самом деле время взлома таких паролей одинаковое, так как они оба находятся в парольных словарях и время на перебор не расходуется.

ЗЫ. Я рекомендую изучить статью Hive Systems, в которой они объясняют, как они получили данные значения, на каком оборудовании и при каких алгоритмах хэширования паролей 🤒

ЗЗЫ. Надеюсь, что ваши текущие пароли от критических сервисов находятся в зеленой зоне ✅ (при условии, что они не были зафиксированы в утечках и не попали в словари, используемые в реальных атаках и в рамках тестов на проникновение).

Читать полностью…

Ну и завершим вечер воспоминаний вот этим отечественным решением по ИБ, которое было камнем преткновения между ФСБ ФАПСИ и ФСТЭК Гостехкомиссией 👊 Одним из основных механизмов защиты в «Кобре» было шифрование и несмотря на это систему сертифицировали, но не в ФАПСИ, а в другом ведомстве. И был конфликт, и были разборки, и до сих пор мы чувствуем отголоски…

Читать полностью…