В Блечли Парке есть стена славы голубей, которых использовали для передачи секретных сообщений в ситуациях, когда другим средствам коммуникации доверять было нельзя. Мне кажется, что МЧС планирует у нас возродить этот вид связи. Иначе как еще объяснить их запрет на коммуникации с внешним миром по e-mail?

Мне кажется, что МЧС надо быть последовательным и запретить телефоны, так как по ним говорят мошенники, и сотрудников, так как те являются самым слабым звеном. Венцом всей программы повышения защищенности должно стать прекращение деятельности МЧС, так как любая деятельность создает риски, а если ее остановить полностью, то и атаковать будет нечего.

Вот только, если защитник сам отключил полезную функцию из страха, что ее отключит злоумышленник, кто в итоге добился своего? 🤔

ЗЫ. Зато метрика числа инцидентов по email всегда будет равно нулю. Перфекто! 💪

#модельугроз

Когда меня спросили в Старбаксе при покупке Американо, нет ли у меня аллергии, я удивился в первый раз. Когда мне тот же вопрос стали задавать при покупке любой еды на вынос, в Макдональдсе, мишленовском ресторане, уличных забегаловках и пабах, я решил поинтересоваться, откуда взялся этот заученный навык у всех работников английского общепита.

Оказалось, что все дело в так называемом "законе Наташи", вступившем в силу в 21-м году. Так звали 15-тилетнюю британку, которая в 2016-м году умерла от анафилактического шока на борту самолета после того как съела сэндвич с семенами кунжута, на который у нее была сильная аллергия. Ее родители запустили кампанию, которая и завершилась принятием закона, требующего все кафе, рестораны и магазины полностью указывать состав и выделять 14 основных аллергенов жирным шрифтом на любых продуктах, упакованных на месте продажи.

Сейчас готовится более жесткий "закон Оуэна" (по имени умершего от аллергии на молочные продукты юноши), в предверие которого Государственное агентство по пищевым стандартам рекомендует персоналу первыми задавать вопрос об аллергии, так как в противном случае бизнесу грозят:
❌ Многомиллионные судебные иски от пострадавших
❌ Уголовная ответственность для менеджеров и поваров
❌ Моментальное закрытие бизнеса контролирующими органами.

И судя по тому, что у многих продавцов этот вопрос уже доведен до автоматизма, компании реально упоролись, чтобы этот навык был не просто для галочки. Все-таки риск закрытия бизнеса и уголовки для владельцев мотивирует сильнее красивых слов о безопасности и остальное бла-бла-бла.

И подумалось мне "как было бы неплохо, чтобы и в ИБ было так же", что значит вполне можно выработать навыки и по части кибербеза, доведя их до состояния, когда человек не задумываясь пишет в SOC при получении фишинга, не переходит по левым ссылкам, не отвечает на "кружочек" от начальства и т.п. Но, видимо, для этого недостаточно просто усилий ИБ и HR – нужны посадки, штрафы, закрытия бизнеса. Тогда его владельцы задумаются о кибербезе всерьез.

А с другой стороны – заучить фразу "У вас есть аллергия?" и на ответ "Да" запускать соответствующий "плейбук" (а там реально совсем иная процедура готовки пиши инициируется) не так уж и сложно по сравнению с доведением до автоматизма реакции на множество разных методов, используемых мошенниками и хакерами 🤔

#awareness

Что за склеп, перво-наперво подумаете вы, и будете неправы. Это лондонская скамейка, разработанная специально для того, чтобы на ней не спали бездомные, коих в The capital of Great Britain немало. Этакий способ борьбы за чистоту улиц, который, с другой стороны, являет собой и яркий пример так называемой "враждебной архитектуры".

У властей обычно есть два пути решения задач – улучшать жизнь простых граждан (делать лучше для хороших) или бороться с плохим. И часто они выбирают именно второе, так как этот путь проще. Да и плохого в целом меньше и оно более явно, что борьбу с ним делает лучше видимой, чем улучшения и так неплохой жизни.

И тоже самое происходит и в сфере кибербезопасности. Можно заниматься улучшением цифрового опыта, а можно заниматься блокировками и запретами (больше 10 платежных карт, больше 5 SIM, больше 50 ГБ зарубежного трафика, VPN и т.п.) под соусом борьбы с мошенничеством. Оно и понятно – бороться надо с гораздо меньшим числом преступных элементов. А то, что эта борьба делает хуже хорошим людям, это в целом мало кого волнует ("для них же стараются").

Вот на "враждебных" скамейках не только теперь бомжи не спят, но и обычные люди почти не сидят – неудобно. Так и с борьбой с мошенниками, коих на пару порядков меньше обычных граждан. Звонки «со случайных номеров» в качестве аутентификации не проходят, будучи заблокированным и операторами, выход в мировой Интернет сопряжен с танцами с бубном, защита от дронов почему-то решается через блокирование мобильного Интернета… список можно продолжать.

Так что прав был Черчилль: «Политик думает о следующих выборах, а государственный деятель - о следующих поколениях». Власти, в целом, везде одинаковые. Где-то в большей степени, где-то в меньшей. Это к разговору о регуляторике в ИБ, как вы поняли, и тенденциях в ее развитии ☕️

#тенденции #регулирование

🔥 Видео и презентации с сотен ИБ-конференций без регистрации и SMS

Если вы не поехали в этом или прошлом году на Virus Bulletin, SAS, KazHackStan, CCC, или иную ИБ-конференцию, крупную или мелкую — забирайте в закладки этот сайт. Не знаем, кто его поддерживает, но на infocon.org выложены видео и материалы с двух сотен конференций, большей частью за последние годы. Но, например, Virus Bulletin аж с 1991 (тогда видео не снимали, конечно), а HOPE — с 1994.

Есть чем заняться на выходных 😉

@П2Т #видео

Тут у венчурного фонда Андриссен Хоровица интересный материал вышел. И это не просто рассуждение о будущем кибербезопасности; авторы пытаются предсказать, какие шесть новых категорий продуктов могут появиться в ближайшие пять лет, какие существующие рынки они объединят и на чем смогут заработать новые компании. Да, венчур – малость заинтересованная сторона, но от этого их прогнозы не становятся менее интересными. Тут, либо ты предсказываешь, что будет в будущем, либо сам его формируешь и все подстраиваются.

Главный тезис – мы вступаем в эпоху, когда эксплуатация уязвимостей становится практически мгновенной и дешевой благодаря ИИ, а устранение уязвимостей по-прежнему остается медленным, дорогим и зависящим от человека процессом. Поэтому всю архитектуру защиты нужно, ни много, ни мало, пересматривать.

Авторы выделяют четыре подхода в порядке охвата уязвимых систем:
6️⃣ Устранить доступность из Интернета
2️⃣ Сегментировать инфраструктуру
3️⃣ Блокировать эксплуатацию дыр на сетевом уровне
4️⃣ Устранять целые классы уязвимостей.
Хотя что тут нового, не очень понятно, скорее возврат к давно известному.

Ну а дальше авторы предлагают шесть новых категорий продуктов для кибербезопасности:
6️⃣ Fix it live, then fix the code = Пентест + Vulnerability Management + AppSec + Runtime Protection
2️⃣ Detect without rules, respond first = AI SOC + Incident Response + MDR
3️⃣ Judge every request, not every login = Identity + Endpoint Security + Network Access
4️⃣ Prove recovery = Backup + Disaster Recovery + Cyber Insurance
5️⃣ One control at the point of install = Software Supply Chain + CI/CD Security + Developer Endpoint
6️⃣ The long-tail platform = Exposure Management + Secure Remote Access + Segmentation + Operational Resilience.
То есть переупаковка известных концепций.

Ну и еще несколько интересных мыслей о будущем кибербеза (да, с фокусом на американцев, но все-таки):
➡️ Авторы предлагают отказаться от декларации "у нас есть резервное копирование" в пользу доказательного подхода: "мы действительно восстановили конкретную систему из вчерашней копии за четыре часа".
➡️ Если организация не может защищаться самостоятельно, она будет вынуждена спрятаться за защитой крупного провайдера либо максимально выводить уязвимую инфраструктуру из публичного доступа.
➡️ По прогнозу авторов, мы будем двигаться от обычных уведомлений владельцев уязвимых устройств к карантину, а затем и к принудительному вмешательству со стороны государства.
➡️ ИИ-агенты начинают менять фундаментальные предположения, на которых десятилетиями строилась ИБ. Например, что учетная запись принадлежит человеку, что сетевое соединение можно однозначно связать с пользователем, что программный компонент устанавливает сотрудник, а не автономный агент.
➡️ Верификация защиты начинает превращаться из периодической услуги в постоянную функцию продукта. Не просто найти недостаток, а подтвердить его эксплуатируемость, устранить возможность эксплуатации и проверить результат.

Такие вот дела...

#тенденции

Хуанг, который Дженсен, признался в измене с Хуанг, которая Элис, и которую американская разведка подозревает в шпионаже в пользу Китая (а она всего лишь была посредницей по продаже чипов в Поднебесную). Ну а я не могу не вспомнить, что в Блечли Парке, в музее криптографии, есть и такой раздел как «Романические отношения во время войны».

Несмотря на всю секретность, разные смены, разные здания в разных частях парка, место романтике все же находилось. Я почему-то сразу подумал о 8-м Центре… А как там обстояли дела с романтическими отношениями между коллегами? Допускались или пресекались?

Но одно можно сказать точно - секс в Блечли Парке был; это вам не СССР ⛺️ Ждем развития истории. Станет ли для главы NVIDIA эта история цугцвангом для Хуанга?!

#история #криптография

На российском рынке новый фетиш - AI Firewall. Я слышал уже о десятке проектов, но кто-то пишет, что их уже двадцать. Урок NGFW никого не учит 🍿

#ии #тенденции #средствазащиты

https://terminal2shell.com - новая уязвимость в терминале на macOS, Linux, Windows, рутерах и вообще везде, где есть шелл. Существует с 1971-го года - 55, мать его, лет! Уровень по десятибалльной шкале - 11! 😲

#уязвимость

Тут Позитив получил лицензию на образовательные услуги, что заставило меня задуматься о том, чему и как мы можем учить по направлению кибербеза. Тем более, что и другой повод появился, а именно, что меня в Лондоне чуть не сбила машина на пешеходном переходе. И тому есть вполне понятное объяснение, имеющее отношение и к кибербезопасности.

В меня, как и в миллионы ежегодно приезжающих в Англию туристов, очень долго вбивали "перед переходом посмотрите налево, потом направо". Вбили. Реально на уровне автоматизма. И что же, в Англии этот навык дает сбой, так как тут правостороннее движение. И да, на уровне знаний я знаю, что надо теперь "Look right", но мозгу привили совсем другое. Это я к чему?.. 📖

Во-первых, к пониманию разницы между знанием "как бороться с угрозами" и навыком это уметь делать, но это вроде и так понятно. А во-вторых, и это и есть самое главное, есть навыки, которые долго формируются и так же долго работают (есть и те, что быстро формируются, но долго работают, как в случае с "есть ли у вас аллергия"). Но есть и те, причины возникновения которых могут изменяться, а значит и сами навыки тоже должна адаптироваться. И вот именно про это я и попробовал порассуждать в блоге.

А когда вы в последний раз задумывались о том, чтобы оттучиться от каких-то навыков?.. 🤔

#обучение #awareness

Чтобы наглядно показать важность фактора времени применительно к кейсу с Beget. По официальной версии обнаружение произошло в течение 10 минут после запуска вредоноса (MTTD = 10 мин). Полная сетевая изоляция была выполнена еще через пятнадцать минут (MTTC = 15 мин). Но к этому моменту значительная часть данных уже была уничтожена! При этом система до сих пор не восстановлена – я к своим сервакам до сих пор не имею доступа.

Это все к разговору о том, что можно, конечно, упираться в то, что "у нас MTTD равен 5 минутам", а "локализуем инциденты за 15 минут", но если основной ущерб наносится в первые полчаса, то уже не так уж и важно, насколько быстро SOC что-то там увидел, завел тикет и запустил процедуру реагирования.

И да, дело не в том, что SOC плохой, а в том, что для бизнеса (в том числе и клиентов провайдера) важно как сработала вся цепочка, было ли резервирование (не только файловое), было ли протестировано восстановление и как общались с клиентами (я вот до сих пор от Beget никакого сообщения не получил о судьбе моих серверов и денег, которые за них уплачены).

ЗЫ. А тем временем французский регулятор CNIL наказал 10 операторов персональных данных за несоблюдение мер защиты, а именно за следующие недостатки:
❌ отсутствие MFA у администраторов
❌ постоянный доступ внешних подрядчиков без индивидуальной авторизации
❌ общие учетные записи сотрудников поставщиков
❌ неэффективное использование журналов безопасности
❌ слабое сегментирование сетей
❌ устаревшие серверные ОС
❌ небезопасное хранение паролей.

ИБ не может работать в отрыве от всего остального!

#время #soc #управлениеинцидентами #ответственность #персональныеданные #антикризис

Если свободных ресурсов не окажется, операторам придется отключать менее приоритетных клиентов.

Так пишут Ведомости со слов министра цифрового уже вряд ли развития по поводу Указа о 10% резервных мощностей коммерческих ЦОД под нужды государства.

А у меня сразу вопрос - а что на эту тему думает ГК РФ? На каком основании провайдер планирует прекратить оказание услуг по моему контракту? Форс-мажор в виде действий государства? Как по мне, так указ Президента РФ №802 действительно обязывает частные ЦОДы резервировать 10% площадей и мощностей, но сам по себе не предоставляет им безусловного права отключать действующих клиентов и не устанавливает автоматического освобождения от ответственности перед ними (и Минцифры не может это право провайдерам дать).

Здесь возникает принципиальное противоречие между публично-правовой обязанностью оператора выполнить распоряжение государства (ст.417 ГК РФ) и его гражданско-правовой обязанностью оказать уже оплаченную клиентом услугу (ст.310 ГК РФ). Вся эта схема со статьей 417 ГК может заработать (с оговорками) при условии, что государственный нормативный акт должен быть обязательным, действительным и изданным компетентным органом в пределах своих полномочий. А где вы видели в последнее время соблюдение всех этих условий?

Если государство в публичных интересах требует перераспределить уже оплаченные частными клиентами ресурсы, то должен существовать прозрачный механизм распределения возникающих убытков. Это если действовать по уму и в интересах граждан и бизнеса. Ну а так как на это рассчитывать особо не приходится, то я на месте менее приоритетных клиентов (а это все, кто не госы и не госкорпорации и не стратегические предприятия и не КИИ; именно в такой последовательности) готовился бы задать вопрос своему провайдеру: было ли отключение именно его системы необходимым, законным и соразмерным способом исполнения государственного требования?

Ну и коротенько алгоритм действий (не обязательно все делать последовательно):
6️⃣ Потребовать юридическое основание отключения
2️⃣ Потребовать сохранения данных и обеспечения миграции
3️⃣ Проверить договор и обоснованность выбора клиента
4️⃣ Потребовать перерасчета и рассчитать убытки
5️⃣ Выбрать способ правовой защиты.

ЗЫ. Кстати, кто и по каким критериям определяет приоритетность клиентов? По размеру бизнеса? По отношению к государству? По включению в "белый список"? А кто будет оценивать критичность не только отдельного клиента, но и всей цепочки, в которой этот "неприоритетный клиент" может быть ключевым звеном?

ЗЗЫ. Доверие к государственной цифровизации как-то очень быстро стало деградировать в последнее время. Уж не знаю, кто там принимает решения о выпуске таких нормативных актов и разъяснений, но в антикризисный PR и просчет долговременных последствий они точно не умеют.

ЗЗЗЫ. Ну а я пока пойду вновь искать зарубежных хостеров, у которых и рисков поменьше (хотя есть и другие), и услуги покачественнее, и цена ниже.

#регулирование #resilience #тенденции