Вышло крутое интервью от Екатерины Шевченко!

https://weproject.media/articles/detail/ya-etichnyy-khaker-pervaya-devushka-v-tsentralnoy-azii-s-mezhdunarodnym-sertifikatom-oscp-o-svoey-ra/

Недавно в Facebook, бывший вице-министр здравоохранения – Олжас Абишев (На текущий момент находится под домашним арестом), опубликовал пост, в котором он высказался касательно деятельности ЦАРКА и давлении на него со стороны.

1) В апреле 2020 года ЦАРКА не подавала никаких предложений в Министерство здравоохранения РК. Поэтому, если господин Абишев имеет доказательства того, что мы действительно отправляли предложение в апреле 2020 года, то просим его предоставить или привести доказательства, что на него оказывалось какое-либо давление. В противном случае вынуждены будем подать в суд о клевете.

2) ЦАРКА, как ассоциация по кибербезопасности, вовлекает исследователей в выявление уязвимостей в информационных системах для уведомления владельцев (программа Bug Bounty).

Действительно, ЦАРКА направляла в Министерство здравоохранения РК письмо о том, что исследователи нашли утечку данных в системе в «Системе контроля качества в сфере здравоохранения».

Утечка была довольно критична и затрагивала голосовые переговоры пациентов. Данное письмо было направлено в Министерство по причине того, что оно является контролирующим органом над всей деятельностью в сфере здравоохранения в Казахстане.

Устранить ее должны были не мы, а подрядчик данной системы. Поэтому коммерческие предложения мы давать не могли.

3) Агентство по финансовому мониторингу РК привлекало специалистов ЦАРКА для проведении независимой экспертизы по функционированию "Платформа информатизации и интероперабельности информационных систем здравоохранения".

Работа по экспертизе заключалась в сличении Технической спецификации и закупленой за $17.8 млн платформы хорватской фирмы Ericsson Nikola Tesla.

В отчете было указано, что фактический функционал Платформы не полностью соответствует технической спецификации. Соответственно, данное замечание было отмечено в отчете.

4) Напомним, что бывшего вице-министра Олжаса Абишева обвиняют в нанесение ущерба государству не менее 1.5 млрд тенге. В 2015 году Минздрав заключил контракт с Хорватской фирмой Ericsson Nikola Tesla на поставку «Платформа информатизации и интероперабельности информационных систем здравоохранения" за 17,8 млн долларов. Предполагалось, что платформа будет единым хранилищем данных, а также соединит все информационные системы здравоохранения.

Следовательно, заявления господина Абишева являются некорректными и будут расцениваться нашей ассоциацией как клевета.

Данная система должна была показать свою эффективность во время пандемии, но, к сожалению, этого не случилось. Мы подозреваем, что все это является поводом для затягивания следствия, по которому обвиняют господина Абишева и в недоумении, как человек, находящийся под следствием, вводит граждан в заблуждение .

Интересуешься кибербезопасностью?

У нас есть для тебя шикарная новость - 26 февраля TSARKA Cyber School открывает свои двери для детей и подростков в Астане.
На наших уроках мы расскажем тебе о школе, познакомим с миром кибербезопасности и ответим на все твои вопросы о стоимости курса, графике и программе обучения.

Нельзя не упомянуть, что нашими партнерами являются Kaspersky, TSARKA и KazHackStan - лидеры в области информационных технологий и кибербезопасности, которые охотно делятся с нами своими разработками, навыками и материалами.

Отметим, что школа ориентирована на детей и подростков в возрасте от 13 до 18 лет, с целью дальнейшей проф ориентации. Более того, TSARKA имеет договоренности с мировой площадкой TryHackMe о выпуске совместных сертификатов для наших обучающихся!

Для того чтобы принять участие просим пройти онлайн регистрацию ЗДЕСЬ: https://school.cert.kz/open-day

Сама информация о кибершколе: https://school.cert.kz/

Будет весело и информативно 😉

Запуск программы BugBounty в Кыргызстане.

ЦАРКА, "Лаборатория Касперского" и ГКНБ Кыргызстана договорились о сотрудничестве и запуске программы по выявлению уязвимостей BugBounty.

Цель соглашения — совместные действия для защиты информационных ресурсов и более гибкого реагирования на угрозы в финансовой сфере Кыргызстана, а в перспективе — и во всей Центральной Азии.

Напомним, что Казахстан запустил национальную BugBounty платформу в 2020 году. За время работы данная инициатива стала одним из ключевых проектов в области кибербезопасности страны, которая выявила более 1100 уязвимостей в критично-важной инфраструктуре и на которой уже зарегистрировано 1000 исследователей со всего мира. На данный момент платформа является единственной полноценно работающей платформой в ЕАЭС. Оператором является ЦАРКА - лидер в области кибербезопасности в ЦА.

Следите за новостями, скоро появится очень много банков =)

Сайт: tumar.one
Казахстан: bugbounty.kz
Кыргызстан: bugbounty.kg
Подключение к площадке: info@bugbounty.kz

15 марта в @khs.hub состоится дружеская встреча ISACA Chapter Nur-Sutan.

✔️ Расскажем о не ограниченных возможностях ассоциации ISACA
✔️ Поговорим об угрозах кибербезопасности и цифровизации железнодорожной отрасли

Приглашенные спикеры:

🔺Салтанат Маширова, Президент ISACA Chapter Nur-Sutan
🔺Руслан Исламгулов, Вице-Президент ISACA Chapter Nur-Sutan
🔺Балыкбаева Улбосын, Заместитель начальника управления кибербезопасности и защиты ИС Департамента безопасности НБРК
🔺Руслан Султангазин, Ответственный в АО "Транстелеком" за внедрение цифровых услуг, инфраструктурных решений и мобильных приложений, и других проектов
—
Ждём всех, кто в теме!

✅ Места ограничены. Ссылка на регистрацию: https://bit.ly/37m7CJr

🕐 15 марта 2022. Сбор гостей в 18.30, начало в 19.00.
📍KHS HUB, пр. Улы Дала, 5/2

В новом выпуске Forbes журналист Батырхан Тогайбаев поговорил с Олжасом Сатиевым - основателем Центра анализа и расследований кибератак.

ЦАРКА является частной организацией, цель которой — популяризация сферы информационной безопасности в Казахстане. Команда ЦАРКА занимала первые места на международных соревнованиях среди топовых мировых хакерских команд. Один из их проектов - WebTotem (сервис по мониторингу и анализу веб-ресурсов на информационные угрозы) - стал одним из перспективных стартапов в области кибербезопасности по версии TechCrunch Disrupt 2020 (USA).

Как происходит война между украинскими и российскими хакерами? Почему от санкций на Россию может пострадать IT-инфраструктура Казахстана?

Об этом и многом другом в новом выпуске по адресу: https://www.youtube.com/watch?v=I9YABcoyHwk

Mail.Kz - небезопасный портал электронной почты.

Мы всецело поддерживаем наши отечественные разработки. Мы понимаем как сложно создавать свой продукт или сервис. Поэтому помогаем отечественным компаниям повышать свою безопасность.

Однако, мы понимаем, что предоставляя услуги сотням тысяч или миллионам пользователей, граждан Казахстана, владелец сервиса несёт ответственность за информационную безопасность своих клиентов в рамках действующего законодательства.

К сожалению, не все разработки имеют должный уровень защиты конфиденциальных данных и что важнее, не все владельцы реагируют на сообщения о найденных уязвимостях в принципе. Ведь каждую из них можно быстро устранить, если этого желает владелец сервиса.

В рамках функционирования национальной площадки BugBounty.kz специалистом @ptswarm Игорем Сак-Саковским была выявлена критическая XSS уязвимость на национальном портале электронного сервиса «Mail.kz», приводящая к полной компрометации почты пользователей почтового сервиса и возможность захвата аккаунта сервисов, которые используют данную почту для авторизации.

Одним из способов эксплуатации уязвимости является компрометация всех почтовых сообщений, к тому же он дает возможность отправлять сообщения от имени жертвы-пользователя.

Используя эту уязвимость, злоумышленник может перехватить конфиденциальные рабочие переписки жертвы, содержащие критическую информацию.

Под критичными данными подразумевается письма содержащие материалы по расследованиям, содержащим персональные медицинские данные, финансовая документация организаций, инсайдерская информация касательно потенциальных сделок, которые нанесут существенный финансовый и репутационный урон жертве.

Уязвимость в особенности критична, учитывая, что данным почтовым сервисом пользуются не только рядовые граждане Казахстана, но и государственные органы, как МВД, МинЗдрав, МинОбразования, МинСельХоз, ряд областных, городских, районных больниц, клиник и поликлиник по всему Казахстану, а также районные акиматы по всему Казахстану.

Информация о данной критичной уязвимости известна владельцам платформы минимум с ноября 2021 года (!), но при этом, обратная связь не была получена, и данная уязвимость не устранена по сей день, поэтому угроза сохранности данных до сих пор остается актуальной.

Ситуация с наличием данной уязвимости в особенности критична, учитывая нестабильную обстановку в соседних странах и постоянно растущее количество кибератак, как на частные сервисы, так и на государственные.

Для примера у Gmail, Mail.Ru, Yandex и других мировых крупных почтовых систем существуют выстроенные механизмы работы с получением уязвимостей от независимых экспертов и регламент по их устранению. Они привлекают Bug Bounty платформы с тысячами исследователей для более эффективного выявления различных уязвимостей и дальнейшего регулирования их исправлений.

Мы раскрываем публично данную уязвимость, так как "достучаться" до владельца сервиса за 4 месяца не получилось.

ЦАРКА предупреждает, что использование платформы Mail.kz на сегодняшний день влечет критические риски для текущих ее пользователей.

Технические детали:

Причиной наличия уязвимости является использование уязвимой версии клиента Zimbra и способ реализации отправки сообщений. Перехватив запрос на отправку сообщения, в теле можно заметить передачу HTML-кода через параметр "_content", замена которого приведет к исполнению JavaScript кода на стороне получателя. Технические подробности прикладываем в видео. Код эксплоита был замазан.

Update: Уязвимость исправлена

Демонстрация уязвимости на Mail.kz

TSARKA Академия объявляет о наборе обучающихся на курс - «Практические основы пентеста»!

Курс специально разработан для разработчиков, администраторов и devops-инженеров, начинающих специалистов информационной безопасности и тех, кто хочет развиваться как профессиональный пентестер. Курс даст вам ключевые знания в области этичного хакинга и позволит освоить практические навыки пентеста под менторством опытных специалистов.

Авторы курса – 4 лучших пентестера в TSARKA дают реальные практические навыки по выявлению уязвимостей, делятся актуальными способами их устранения, а также покажут и обучат лучшим практикам.

Помимо авторских лекций, учащиеся смогут сразу применять полученные знания и практиковаться в ходе обучения. Курс построен по методу «минимум теории, максимум практики».

Старт курса - 24 мая 2022 года

Подробная информация по программе, формату обучения, стоимости на сайте: http://academy.cert.kz/

Компания TengriLab – партнер дочки СБЕРа – недобросовестно конкурирует на госзакупках в Казахстане?

Миссия ЦАРКА – развитие и защита отечественного рынка кибербезопасности. Но эта задача неисполнима в условиях, когда рынок ломают, используя сомнительные документы российских гигантов.

Компания BI.ZONE «дочка» российской группы СБЕР для победы в тендере своих партнёров использует неподтвержденные документы. Либо местный партнер жестко и глупо подставляет своих компаньонов.

В начале т.г. дочка МинФина объявила конкурс на закуп услуг кибербезопасности, одним из требований было подключение объекта к независимой площадке по выявлению уязвимости BugBounty.

ТОО «Tengri Lab» победил конкурс приложив Договор от 28.02.2022г. №22-06/02 с компанией BI.ZONE на Платформу «BI.ZONE Bug Bounty». Согласно договору BI.ZONE предоставил партнеру доступ к своей площадке. Договор приложен и доступен на портале ГЗ.

При тщательном изучении документов заметно, что отсутствуют подписи обеих сторон во всех приложениях и отсутствует подписание акта приема-передачи лицензии.

Также имеется официальное подтверждение от компании Bi.Zone датированное 11 марта 2022 года, о наличии площадки и партнерстве с ТОО «Tengri Lab» (Письмо прилагается).

Вот тут и начинается самое интересное.

Месяц спустя BI.ZONE официально 04.04.2022г публикует материал о том, что Платформа Bug Bounty в разработке и будет готова только летом 2022 года.

Если говорить простыми словами:
1) Про платформу BugBounty BI.ZONE на рынке СНГ нет публичной информации до апреля текущего года.
2) Платформы в свободном доступе для регистрации исследователей и компании нет.
3) Согласно официальному анонсу самой компании BI.ZONE релиз платформы запланирован на лето этого года и предрегистрация для компании и багхантеров еще не открылась.

То есть, TengriLab и дочка СБЕРа пытаются продать государству разрабатываемую платформу как действующую.

Налицо попытка продать государству нерабочую платформу.

Возникает ощущение дежавю...

Кана Бейсекеев выпустил документалку про IT-экосистему Казахстана

Известный казахстанский режиссер-документалист презентовал документальный фильм, посвященный становлению и развитию экосистемы стартапов, IT-компаний, мира акселерации и инвестиций Казахстана.

https://youtu.be/VGBf8rqERNw

Women in Cyber Security Kazakhstan приглашает всех специалистов в ИТ/ИБ/Кибербезопасности на первую оффлайн встречу, 21 апреля 19.00 в KHS Hub, Нур-Султан.
Места ограничены. Ссылка на регистрацию: https://lnkd.in/g-grJfuF

Рубрика: Назначения в отрасли IT.

Дархан Ахмедиев назначен цифровым вице-министром обороны Казахстана.

Выпускник КарГТУ, обладатель стипендии "Болашак" (King's London college).

Трудовую деятельность начал в 2012 году в качестве аналитика АО "НИТ". В 2013-2015 годах работал экспертом в МЧС РК и в Комитете по чрезвычайным ситуациям МВД РК. В последующем был принят на должность главного эксперта Агентства РК по делам государственной службы и противодействию коррупции.

С 2017 по 2019 годы работал руководителем управления Министерства оборонной и аэрокосмической промышленности РК.

В 2019 году приступил к обязанностям заместителя директора Департамента развития электронной промышленности МЦРИАП РК.

В 2020 году назначен директором Департамента развития ІТ Министерства цифрового развития, инноваций и аэрокосмической промышленности РК.

В последнее время было очень много нападок на Холдинг Зерде, с 2020 года который возглавляет выходец из ЦАРКА - Арман Абдрасилов.
В Facebook появился развернутый ответ по текущей ситуации.
---------
Как вы знаете, я возглавляю Холдинг Зерде с августа 2020 года. В эти дни меня часто спрашивают: почему холдинг про который никто не вспоминал 15-лет, вдруг оказывается в центре общего внимания? Чтобы не отвечать каждому отдельно отвечу публично.
1. Полностью согласен с выводами Счетного комитета в котором говорится о катастрофической неэффективности цифровизации в период с 2013-2020 годы. Выводы сделаны из результатов аудита предыдущей госпрограммы Цифровой Казахстан. Вложенные в цифровизацию деньги были потрачены неэффективно, а цели не достигнуты. Исправить эту неэффективность было моей основной целью прихода в Зерде.

2. Деятельность направленную на исполнение поручения Президента о необходимости реформирования Зерде мы начали реализовывать с сентября 2020 года.
В первый год основной целью было искоренение коррупции. Мы сформировали комплаенс службу и инициативно попросили прикомандировать в эту службу работника специальных органов борьбы с коррупцией с правом доступа ко всем документам.
Коррупция искоренялась очень просто, приглашали поставщиков и в присутствии службы комплаенс говорили "вам не нужно платить откаты, просто дайте максимальные скидки, мы гарантируем прозрачность процедур". Очень быстро набежало экономии на несколько миллиардов тенге (!). Всего за 1.5 года мы смогли в 5 раз (!) увеличить экономию Холдинга. При том, что скорость каналов связи между дата-центрами была увеличина в 20 раз (!), а до конца этого года будет увеличена в 200 раз (!). Это часть нашего плана модернизации 90 Мб/с сети в 400 Гб/с на фоне экономии.
Повышение результатов с меньшими затратами мы называем эффективностью.
Это те самые невероятные 500% роста прибыли, о которых писал в предыдущем посте. Настолько невероятен был масштаб коррупции.

3. Служба внутреннего аудита документально обосновала порядка 5 млрд тг ежегодного вывода денег из группы компаний Холдинга за 2018-2020 годы. В совокупности аудит указал на 16.5 млрд тенге выведенных денеженых средств, с подозрением на коррупцию (!).
Однако, не смотря на очевидную необходимость передачи дел в следственные органы мне не дают этого сделать с ноября 2021 года. Каждый раз когда на совет директоров выносится вопрос, он отклоняется под разными предлогами. Последней причиной было "не успели изучить материалы, нужно еще время". Если такие подоходы по искоренению коррупции востребованы, то эту практику можно тиражировать во многих гос организациях.

4. Зачем государственной компании нужна такая экономия? Как вы знаете, существует дефицит гос бюджета в том числе и на финансирование задач развития ИКТ инфраструктуры, а её необходимо поддерживать и развивать в любом случае. Именно для возможности решать такие государственные задачи, вовлекая ресурсы отечественного IT-рынка, Холдинг планирует использовать полученную экономию. Это должно многократно ускорить решение государственных задач благодаря ресурсам локального ИТ-рынка.

5. Как мы видим реформирование холдинга?
Так как цели холдинга на сегодняшний день заключаются в модернизации Электронного правительства (eGov) для повышении его надежности, развертывания облачной платформы АО "НИТ", а также трансформация процессов государственных органов для беспристрастной цифровизации - мы планируем это делать с самым широким привлечением IT-рынка к таким работам. За счет рыночной конкуренции мы ожидаем лучшее соотношение цены/качества/сроков - то есть эффективность, о которой говорит Президент.

Для ускорения реформирования Холдинга я открыт к предложениям от ИТ руководителей государственных органов, подведомственных организаций и участников ИТ рынка. Готов взяться за реализацию тех из них, которые дадут лучшую эффективность для нашей страны в рамках открытого обсуждения.

P.S. Если такая эффективность не нужна госаппарату, я готов написать заявление и вернуться в бизнес и открытый рынок, где она ценится.