Как прокачать свой почтовый сервер и сделать его недоступным для хакеров

🎯 Microsoft Exchange — одна из самых привлекательных мишеней для хакеров. Сервис находится на сетевом периметре, имеет немало уязвимостей с оценкой от 7,0 по шкале CVSS v3, а его взлом дает атакующим много возможностей: от кражи чувствительной информации из писем до получения прав администратора домена Active Directory.

На вебинаре, который состоится 27 ноября в 11:00, наши эксперты расскажут, как превратить свой почтовый сервер в неприступную крепость. Приходите, чтобы узнать:

1️⃣что не так с типовой настройкой Microsoft Exchange 2019, почему сервис часто взламывают и чем это грозит компаниям;

2️⃣ кто в ответе за взлом и защиту и как ИТ-специалисту наладить корректную работу почтового сервиса;

3️⃣ что такое харденинг Microsoft Exchange 2019 и какие у него особенности.

Регистрируйтесь заранее и прокачивайте почту по максимуму!

#PositiveЭксперты
@Positive_Technologies

😑 Что там под капотом MaxPatrol SIEM? Продолжаем.

В новой статье на Хабре из цикла «Оголяемся технологически» рассказали, что такое экспертиза продукта, которую мы так часто упоминаем.

🔬 Разобрали, какие у нее бывают источники, как мы пишем новые правила корреляции и как проверяем их перед развертыванием.

А еще чуть детальнее рассмотрели все этапы создания контента для MaxPatrol SIEM, поговорили о его обновлении и интеграции с другими продуктами для киберзащиты.

Все подробности — в статье.

#MaxPatrolSIEM
@Positive_Technologies

🤔 Чтобы обнаружить хакера, нужно думать как хакер

Ну или хотя бы хорошо знать техники, которыми тот может воспользоваться. Например, чтобы как можно дольше скрывать свое присутствие в сетевой инфраструктуре компании, не попадаясь средствам анализа трафика.

В статье для Positive Research Ксения Наумова, специалист отдела сетевой экспертизы антивирусной лаборатории ESC Positive Technologies, и Мустангер Шапиев, руководитель группы социально-технического тестирования компании «Бастион», рассказывают о разных способах обхода таких анализаторов.

😠 Не для того чтобы дать подсказку злоумышленникам, а затем, чтобы их можно было быстрее обнаружить и обезвредить.

Ищите подробную инструкцию в нашей статье.

#PositiveResearch
@Positive_Technologies

🐦 Повлияйте на развитие нашего нового продукта PT Data Security — станьте «Ранними ПТашками»

В октябре мы представили MVP-версию единого решения для защиты данных. А сегодня открываем прием заявок на участие в программе раннего тестирования PT Data Security.

PT Data Security позволяет в реальном времени и с минимальным участием оператора отслеживать состояние инфраструктуры хранения и обработки данных и выявлять критически значимые элементы, которые содержат наиболее чувствительную для бизнеса информацию, а также анализировать текущую матрицу доступа и обращения к ней.

Предлагаем клиентам, партнерам и специалистам по кибербезопасности выбрать удобный формат участия:

1️⃣ Продуктовые исследования: изучите ранний прототип решения и посоветуйте команде R&D, что в нем можно улучшить.

2️⃣ Глубинные интервью: поделитесь опытом использования решений для защиты данных, их преимуществами и недостатками, рассказав обо всем, что наболело.

3️⃣ Передача опыта: опишите, как организованы базы и системы хранения данных в вашей компании. Эти сведения важны для нас и помогут специалистам Positive Technologies усовершенствовать классификацию данных.

«У нас амбициозная цель — создать продукт, который будет закрывать все вопросы по защите данных и устранит недостатки сразу нескольких классов решений. Без диалога с пользователями и обсуждения реальных проблем — это трудновыполнимая задача», — отметил Виктор Рыжков, руководитель развития бизнеса по защите данных Positive Technologies.

🎁 Участники программы «Ранние ПТашки» получат бесплатный доступ к ранним версиям продукта и улучшенную совместимость с ним, а также скидки на покупку лицензии после выхода коммерческой версии.

Хотите попробовать? Оставляйте заявку, чтобы команда PT Data Security подобрала для вас удобное время и формат.

#PTDataSecurity
@Positive_Technologies

🖥 MaxPatrol EDR 7.0: как пользоваться новыми фичами и что они дают

Недавно мы рассказывали, как в новой версии адаптировали наш продукт для крупных организаций с распределенной инфраструктурой. А на вебинаре 28 ноября в 11:00 наши эксперты подробнее разберут все появившиеся возможности и продемонстрируют, как их можно использовать.

Присоединяйтесь, чтобы узнать, как в MaxPatrol EDR:

1️⃣ добавлять свои правила нормализации и корреляции и кастомизировать логику обработки данных;

2️⃣ использовать API для реагирования из внешних систем, например сторонних SOAR-решений;

3️⃣ удобно и быстро выполнять реагирование сразу на группе устройств;

4️⃣ обеспечивать быстрое масштабирование, покрытие новых устройств и целых филиалов — создавать собственные шаблоны настроек и экспортировать их на новые серверы агентов;

5️⃣ кластеризовать сервер управления системы для обеспечения его отказоустойчивости.

Регистрируйтесь заранее и присоединяйтесь, чтобы ничего не пропустить.

#MaxPatrolEDR
@Positive_Technologies

😎 Платформа Standoff Bug Bounty внесена в единый реестр российского программного обеспечения.

Включение в реестр позволит большему числу госучреждений использовать площадку для повышения защищенности своей инфраструктуры от кибератак при помощи программ багбаунти.

Она отнесена к классу ПО «Средства автоматизации процессов информационной безопасности». Это подтверждает надежность платформы, факт разработки исключительно на территории России, а также независимость от иностранных компаний и зарубежного ПО.

😱 В 2024 году команда PT SWARM обнаружила в российском ПО почти в три раза больше уязвимостей, чем за год до этого, 20% из них — критически опасного уровня. Это может привести к реализации недопустимых событий в компаниях из разных отраслей. Самый современный способ устранения таких уязвимостей до того, как их обнаружат злоумышленники, — запуск программ багбаунти.

Теперь эта возможность на Standoff Bug Bounty доступна и для организаций, попадающих под действие Указа Президента России от 30.03.2022 № 166: с начала 2025 года запрещается использовать на значимых объектах критической инфраструктуры иностранное ПО.

«В некоторых случаях в рамках закупок государственные организации предъявляют требование подтвердить место происхождения программного обеспечения. Поэтому компания приняла решение внести Standoff Bug Bounty в единый реестр российского ПО. Этот шаг позволит расширить круг клиентов нашей платформы. В результате еще больше учреждений смогут привлечь тысячи специалистов по ИБ для поиска уязвимостей и обеспечить высокий уровень защищенности своей инфраструктуры», — отметила Юлия Воронова, директор по консалтингу центра компетенции Positive Technologies.

#StandoffBugBounty
@Positive_Technologies

🌏 Да начнется международная кибербитва Standoff 14!

Соревнования в онлайн-формате продлятся до 29 ноября, а победителей ждет призовой фонд на общую сумму 50 000💵.

В Standoff 14 участвуют:

🥷 48 красных команд из Бангладеш, Вьетнама, Египта, Индии, Индонезии, Казахстана, Кении, Китая, Малайзии, Нигерии, Пакистана, Польши, Португалии, Таиланда, Узбекистана, Филиппин, Франции, Эфиопии и Южной Африки.

Им предстоит атаковать инфраструктуру виртуального государства F, где максимально реалистично воссозданы копии ИТ-систем компаний из разных отраслей: энергетики, нефтегаза, финансового сектора и сферы ИТ.

Среди критических инцидентов, которые могут реализовать атакующие, — отключение всех электрических подстанций, изменение маршрута автономного грузового судна, обход двухфакторной аутентификации при оплате товаров через QR-коды и десятки других, которые могут произойти в реальной жизни.

🕵️‍♀️ 14 синих команд из Эфиопии, Индонезии, Малайзии, Вьетнама, Бангладеш и России.

Их задача — выявлять и расследовать кибератаки. Одна из команд в специальном режиме реагирования также может отражать и блокировать действия атакующих. Участие в кибербитве позволяет командам надежно защищать свои компании и повышать квалификацию.

👀 Следить за ходом кибербитвы вы можете на нашем сайте и во время ежедневных прямых эфиров из студии аналитики Standoff Insider c 17:30 до 19:00 (напоминание о начале стримов можно подключить там же, на сайте кибербитвы).

#Standoff14
@Positive_Technologies

❓ Как ваша компания управляет активами?

Мы сейчас не о финансах, а обо всех составляющих ИТ-инфраструктуры, подключенных к сети: компьютерах, серверах, сетевом оборудовании и так далее.

Без полных знаний о них не получится эффективно отслеживать и агрегировать события со всех источников, управлять инцидентами, проверять соответствие устройств политикам безопасности, отслеживать уязвимости и оценивать риски 🔍

Считаем, что разрабатывать решения в отрыве от рынка — невозможно и нерационально. Ведь именно эксперты и пользователи, работающие с активами каждый день, больше остальных знают о том, как делать это эффективнее, быстрее и удобнее.

Просим вас поделиться опытом и лайфхаками, пройдя наш опрос (это займет не более 10 минут), и заранее благодарим за помощь ❤️

@Positive_Technologies

8️⃣ Кажется, это было еще вчера... Мы запустили PT ISIM 28 ноября 2016 года, а сегодня празднуем его восьмилетие!

Немного истории

В 2014 году команда пентестеров Positive Technologies нашла в одной из интеллектуальных транспортных систем несколько серьезных багов. Настолько серьезных, что обнаружь их злоумышленники, это могло бы обернуться серией катастроф.

🏭 Клиенты попросили помочь залатать брешь, но так, чтобы не пришлось тестировать и «раскатывать» эти обновления в системе много лет. Так появился PT Industrial Security Incident Manager (PT ISIM) — сторонний «наблюдатель», помогающий отслеживать даже растянутые во времени цепочки атак на автоматизированные системы управления.

🔍 Как терпеливый детектив, он наблюдает за хакерами. Если они, к примеру, в январе отправили первый пакет, подбирая логин, а в июле — следующий, проверяя пароль, в общей картине такая активность может потеряться. Но PT ISIM мониторит все подозрительные события в промышленном трафике (нелегитимные операции, действия злоумышленников, активность ВПО), собирает их в единую цепочку и сигнализирует об опасности.

Что изменилось

🔝 За восемь лет PT ISIM очень подрос. Сейчас он применяется очень широко: в добывающей отрасли, на промышленных предприятиях и объектах КИИ, в системах управления инженерной инфраструктурой, в сетях медицинских учреждений — везде, где нужен контроль безопасности технологических сетей. Продукт всегда в тренде: например, как только появилась необходимость работать под Astra Linux, мы дали пользователям такую возможность.

🔎 Мы существенно расширили экспертизу, добавив в нее поддержку автоматизированных систем управления технологическим процессом (АСУ ТП) от большинства производителей, и постоянно совершенствуем правила, протоколы и базу сигнатур.

PT ISIM последней версии умеет подключать к одной управляющей консоли сенсоры, установленные в нескольких организациях или предприятиях, и разграничивать доступ к ней между аналитиками SOC и ИТ-администраторами. А еще — автоматически скачивать с серверов Positive Technologies и мгновенно распространять на все сенсоры обновления базы экспертных правил.

Мы продолжаем совершенствовать продукт и делать его еще круче! Пишите в комментариях, что бы вы хотели увидеть в следующих обновлениях PT ISIM, а мы обязательно передадим эти пожелания (почти что на день рождения) разработчикам.

#PTISIM
@Positive_Technologies

📑 TaxOff: кажется, у вас… бэкдор

В третьем квартале специалисты TI-департамента экспертного центра безопасности Positive Technologies (PT Expert Security Center, PT ESC) обнаружили серию атак, направленных на государственные структуры России. Связей с уже известными группами, использующими такие же техники, нам установить не удалось.

😐 Основными целями киберпреступников были шпионаж и закрепление в системе для развития последующих атак. Эту группировку мы назвали TaxOff из-за использования писем на правовые и финансовые темы в качестве приманок. В своих атаках злоумышленники применяли написанный минимум на C++17 бэкдор, который мы назвали Trinper из-за артефакта, используемого при соединении с C2-сервером.

📩 Начальный вектор заражения — фишинговые письма. Мы обнаружили несколько таких: в одном была ссылка на Яндекс Диск с вредоносным содержимым, связанным с «1С», в другом — фальшивый установщик ПО для заполнения справок о доходах и расходах, которые госслужащим необходимо подавать каждый год. И ежегодно это ПО обновляется и становится целью злоумышленников, распространяющих вредоносы под видом обновлений.

Trinper — написанный на C++ многопоточный бэкдор с гибкой конфигурацией, в котором используются шаблонный метод в качестве паттерна проектирования, контейнеры STL, буферный кэш для повышения производительности.

🧐 Подробный анализ бэкдора и действий группировки TaxOff, а также индикаторы компрометации вы можете найти в отчете.

#TI #APT #IOC #Reverse
@ptescalator

🤖 Искусственный интеллект не только идеальный помощник, но и прекрасный сообщник для хакеров

В новом исследовании наши коллеги проанализировали, в каких кибератаках и для чего злоумышленники уже применяют ИИ, а также рассказали о его пока не реализованном потенциале.

❗️ Сегодня такие технологии задействованы в 5% всех техник MITRE ATT&CK, еще для 17% доказана возможность использования искусственного интеллекта. По прогнозу экспертов Positive Technologies, киберпреступники смогут найти ИИ применение во всех тактиках из базы MITRE ATT&CK, а также в 59% техник.

🤖 Что умеет ИИ

Разработчики больших языковых моделей (LLM) закладывают в них правила, не дающие создавать вредоносный контент (например, писать фишинговые тексты или код для ВПО), но хакеры научились обходить эту защиту.

Обращение к LLM помогает начинающим киберпреступникам, не имеющим специальных навыков и ресурсов, найти слабые места в плане проведения атаки, ускорить подготовку к ней и упростить реализацию. А для более опытных такие помощники пишут скрипты и даже частично автоматизируют атаки.

Подробные и очень интересные примеры применения ИИ ищите в исследовании. А тут — коротко о том, что он может делать как помощник киберзлодеев 😈:

⚫️ Собирать данные о жертве из открытых источников и составлять ее профиль.
⚫️ Искать и эксплуатировать простые уязвимости.
⚫️ Массово генерировать фишинговые сообщения и контент для сайтов.
⚫️ Создавать аудио- и видеодипфейки.
⚫️ Автоматизированно поддерживать диалог.
⚫️ Писать и модифицировать вредоносный код.

😨 Стоит ли бояться

«Высокий потенциал искусственного интеллекта в кибератаках не повод для паники, — комментирует ситуацию аналитик исследовательской группы департамента аналитики Positive Technologies Роман Резников. — Нужно реалистично смотреть в будущее, изучать возможности новых технологий и системно заниматься обеспечением результативной кибербезопасности. Логичная контрмера атакующему ИИ — более эффективный ИИ в защите, который поможет преодолеть нехватку специалистов по кибербезопасности через автоматизацию многих процессов».

🎴 Что будет дальше

В ближайшем будущем аналитики ожидают появления отдельных модулей ИИ (какие есть в ряде инструментов ИБ) для решения конкретных задач в уже известных сценариях атак. С течением времени они будут объединяться в кластеры, позволяющие автоматизировать большую часть шагов атаки. Следующая цель после автоматизации — расширение «полномочий» искусственного интеллекта на самостоятельный поиск жертв.

💬 Хотите поговорить об этом?

Ждем вас в 11:00 4 декабря на вебинаре, где можно будет подробнее узнать, какими функциями LLM пользуются злоумышленники, как успешно противостоять таким атакам, и задать вопросы нашим аналитикам.

Регистрируйтесь заранее — и до встречи!

#PositiveЭксперты
@Positive_Technologies