Top Talent - это редкий внутренний грейд сотрудника редкой технологической компании. Обладатель этого грейда является носителем уникальных компетенций, и похожих на него экспертов может быть несколько человек на земном шаре. Поэтому охота за ним ведется непрерывно и глобально.

Оказалось, недостаточно найти и нанять Top Talent. Нужно еще сформировать из этих экспертов команду, которая превратится в непрерывный конвейер инноваций.

После вручения корпоративной награды Innovation of the Year 2021 за разработанный продукт, китайские партнеры попросили рассказать о том, как строить “high-performance team”. Не уверен, что мы тогда знали, как ее строить. Мы вообще-то код писали и как-то сами строились. Только потом прочитал теорию про ISO 9001:2015, симбергетическую систему управления и альтернативные подходы. А в тот момент просто беру и провожу анализ ключевых особенностей команды, которые не менялись со временем и контекстом:

1. Взаимоуважение

Это платформа, на которой строятся стабильные процессы, и на которой стоят остальные принципы командообразования.
Если каждый участник придерживается этого базового принципа, он способен учиться у своей команды: у руководителя, у партнера и у своего сотрудника. И способен обучать. Да, стажер может научить опытного инженера - это нормально.

Как измерить показатель взаимоуважения: количество формальных и неформальных встреч, на которых происходит обмен опытом и генерация инсайтов. А также количество внедренных инсайтов и предложений.

2. Способность к обучению

3. 一丝不苟

🎬 Камера, мотор, кибербез!

Эксперты МТС RED, Денис Макрушин и Алексей Горелкин, побывали в гостях подкаста «поТРЕНДим».

Поговорили про хакеров, уязвимости, соревнования и тренды в кибербезе.

Таймкоды для удобства просмотра можно найти в комментариях к этому посту. Там же можете написать, какие подкасты связанные с ИБ вы слушаете.

Состояния безопасности не существует.

Точнее: оно недостижимо. Как асимптота функции. А вот состояние устойчивости к атакам - реально.

Эту мысль положил на листок и оставил на стратегической сессии подразделений безопасности АФК «Система». Если кто-то найдет этот лист – не выкидывайте. На нем изображены количественные показатели устойчивости бизнес-процесса и примеры действий, которые на них влияют.

Для достижения состояния безопасности мы создаем условия, при которых кибер-атаки будут экономически нецелесообразными (стоимость атаки значительно больше выгоды от ее реализации). Для состояния устойчивости создаем условия, при которых атаки будут экономически незначительными для бизнеса. И одно другому не мешает.

Запустили сервис защиты от DDoS. Управляемый.

DDoS-атаки не люблю особенно:
1. сначала разработал систему нагрузочного тестирования и написал по ней дипломную работу;
2. затем исследовал техники усиления DDoS-атак;
3. посчитал их экономику.

В итоге получил простой инсайт: DDoS является дешевым и эффективным средством остановки бизнеса.

Мы пересобрали и запустили новый сервис Anti-DDoS, добавили к его характеристикам новые свойства:

1. Vendor agnostic. Или независимость от продукта конкретного поставщика услуг. Клиенту не нужно думать, как работают технологии очистки «под капотом», надежный ли продукт и его вендор. Достаточно знать про SLA.
2. Управляемость. Пользователь может сам определить и контролировать уровни очистки трафика, необходимые для его ресурсов в данный момент времени.
3. В облаке: не нужно заниматься размещением и администрированием оборудования. Да, в 2023 году это свойство является базовым, особенно для тех клиентов, кто принимает решение о подключении к сервису, находясь под DDoS-атакой.

Интересное наблюдение от нашего SOC: один из клиентов 50 дней находился под атакой и даже этого не заметил. 50 дней атакующий сжигал свои деньги. Вот она - базовая технология обеспечения устойчивости бизнеса.

Разработчики, объединяйтесь!

Кричал это сегодня коллегам из финансового сектора на мероприятии Ассоциации ФинТех 😄

Рассказал о кейсах атак на разработку. Поделился нашим опытом поиска уязвимостей в SDL. Сделал анонс исследования зависимостей в цепочке поставок от команды МТС RED ART и попросил присоединиться к инициативе.

Разработчик, наша с тобой общая задача: проверить каждую используемую библиотеку и создать репозиторий доверенных зависимостей. Чтобы у тебя и у твоего коллеги был источник библиотек без закладок и прочей нечисти. Инструментами исследования мы поделимся, но нужно твое действие.

Еще немножко про AppSec

В мире еще столько всего, что вы не видели — например, наше новое видео курса «Профессии в ИБ»

Тезисы прошедшей встречи с Игорем Андреевичем Простовым:
• «Чтобы успешно заниматься безопасностью приложений, нужно, в первую очередь, понимать, как устроены процессы разработки приложений и как работают сами разработчики»

• «В AppSec множество направлений, в которые можно глубоко погружаться как в отдельности, так и комплексно, в зависимости от того, в какой организации вы решили работать — в вендоре ИБ-решений, интеграторе или же в профильном отделе в компании-разработчике ПО»

• «Ключевой навык не только в безопасности приложений, но и в ИБ в целом — умение разрабатывать платформы СЗИ самостоятельно или на основе Open Source решений, «подгоняя» их под свои нужды»

Увидимся на следующей лекции 24 октября в 18:00🔜

AppSec-архитектор передает эстафету Data Scientist’у в ИБ

Иван Капунин - следующий гость курса «Профессии в ИБ». Иван уже проводил открытую лекцию «Безопасность алгоритмов машинного обучения», а теперь расскажет про область «Data Science в кибербезопасности».

Что будет на лекции?

* Познакомимся с фундаментальной идеей Adversarial Machine Learning
* Рассмотрим виды атак и особенности их применения в разных сферах
* Вместе проведем свою атаку на классификатор изображений
* Помучаем Ивана вопросами о его опыте применения ML в разработке и исследовательских задачах.

Для тех, кто хочет еще больше практики, разберем несколько дополнительных кейсов атак и сделаем выводы о методах и средствах защиты.

Видео-запись опубликуем.

Социальные сети не напомнили, но напомнили старые друзья. Мероприятие INTERPOL Digital Security Challenge было посвящено рискам, связанным с использованием «интернета вещей» (IoT) в бизнесе.

43 исследователя-криминалиста попрактиковались в расследовании кибер-атак на финансовый сектор, в ходе которых использовались скомпрометированные IoT-устройства. И вот, спустя 5 лет, участники применяют свой опыт в крупнейших отраслях и в 23 странах.

Небольшой семинар с большим вкладом.

Захват репозитория для массового заражения зависимостей

Repository hijacking (или RepoJacking) - атака на репозиторий, которая позволяет получить полный контроль над его кодовой базой. В результате, атакующий может выполнить произвольный код в том контексте, где подключается этот репозиторий.

Условия для реализации атаки:
1. если разработчик в своем коде напрямую подключает сторонний код из чужого репозитория,
2. и если автор этого репозитория удалил/перенес/продал свой аккаунт,
3. то любой может повторно зарегистрировать этот аккаунт и разместить в нем вредоносный код,
4. и все приложения, которые подключают код из этого репозитория, оказываются вредоносными.

Легкая победа, для тех, кто преследует цель массового заражения зависимостей. Поэтому, разработчик, опереди атакующего и проведи четыре простых действия:

1. Извлеки все ссылки на git, которые используются в твоем коде.
2. Проверь актуальность этих ссылок и убедись, что ни одна из них не возвращает ответ «404». Для этого использую сканер nuclei с шаблоном для обнаружения атак типа subdomain takeover (да, атаки RepoJacking являются их подвидом).
3. Все репозитории, которые возвращают ответ «404», исключи из своей кодовой базы.
4. Повтори пункты 1-3 в своем следующем релизе.

Посвящается всем студентам и выпускникам МГТУ им. Баумана.

МТС RED + Ассоциация Финансовых Технологий = устойчивый финтех

Ассоциация ФинТех вместе с Мосбиржей создали отраслевой центр компетенций по безопасной разработке, пригласили в него ключевых участников финансового сектора и провели первый митап. И запустили рабочую группу. Цель: определить и внедрить наиболее эффективные методы и средства SSDL.

Спасибо Александру Товстолип и Карапету Минасяну за организацию сообщества и приглашение в состав рабочей группы.

Начало нового личного года - повод что-нибудь посчитать. Например, штампы в паспорте.

Нет, не на страницах с семейным положением или пропиской. Отметки в старом загране. 😄

37 стран. В каждой остались друзья, и почти в каждой стране были представлены результаты исследований. Дальше - больше.

Больше исследований, больше открытий и больше друзей в новом году. Ура! 🥳🎉

Продолжаем спасать мир и узнавать об этом благодаря нашему замечательному выпускнику, преподавателю и по совместительству имениннику — Денису Николаевичу Макрушину!

Дорогой Денис Николаевич, желаем Вам продолжать бить все рекорды, исследовать, определять, замечать, заряжать, рассказывать, выступать и всегда быть с нами!

🌊А нашим читателям крайне рекомендуем заглянуть в авторскую колонку на ][акере

#преподаватели42

“30+: Киберполицейский”

Интервью, подготовленное шесть лет назад, теперь точно можно опубликовать, потому что тема соответствует факту: 30+ 😄

Видео записано в период работы в глобальном центре исследований и анализа угроз Kaspersky GReAT, и в нем много диалогов про IT, еще больше про кибербезопасность и чуть-чуть личного про вдохновение и музыку.

Переключение контекста: от выходных к обзору RepoJacking-исследований

Переключение контекста - базовый навык в любой деятельности. От управления проектами до проведения исследования. Особый скилл: качественное переключение между разными событиями в рамках одного дня. Или переключение между отпуском и первым рабочим днем: кому-то на «раскачку» требуется целый день, а кто-то заходит в него лунной походкой.

Запрыгиваем в контекст рабочей недели обзором repojacking-исследований.

* GitHub Dataset Research Reveals Millions Potentially Vulnerable to RepoJacking (июнь 2023)

Свежее исследование. Результатом анализа стал список имен неактивных github-репозиториев, которые могут быть захвачены злоумышленником. Github активно борется с repojackin, но делает это выборочно и исключительно для тех репозиториев, которые были популярны до переименования.

Ограничение этого исследования заключается в использованном датасете: набор данных со списком всех репозиториев взят с уже неработающего проекта GHtorrent и был актуальным на июнь 2019 года.

Итог: из 125 млн проанализированных репозиториев 36983 (или 2.95% от всех) оказались уязвимы.

* Repo Jacking: Exploiting the Dependency Supply Chain (октябрь 2020)

Аналогичный метод исследования, но датасет взят из нескольких источников:

1) официального источника Google Cloud Platform (GCP), в котором Github публикует свои данные;

2) открытого проекта libraries.io, который собирает информацию из популярных пакетных менеджеров.

Ограничение: статистика, полученная в результате исследования, уже неактуальна. Датасет из GCP актуален на февраль 2023.

* Attacking the Software Supply Chain with a Simple Rename (октябрь 2022)

Результатом исследования стала цифра 100000 пакетов, в которых используются уязвимые github-ссылки. Авторы не дают информации об используемом датасете.

Атаки на машинное обучение

На лекции Ивана Капунина мы усиленно вспоминали математику и зафиксировали основные тезисы:

* Интерес к вопросам безопасности МО продолжает активно расти, это видно на примере увеличивающегося числа публикаций за последние 2 года

* Любые модели МО, начиная с простых линейных классификаторов и заканчивая LLM и Transformer'ами, подвержены атакам

* Подбор архитектуры или гиперпараметров модели не будет давать полноценной защиты от adversarial examples

* Чтобы модель в действительности стала устойчива к возмущениям, придется пожертвовать или временем обучения, или ресурсами для дополнительного анализа входных данных. Но чаще и тем, и тем

* Мы практически всегда будем иметь дело с ограниченным знанием об устройстве целевой модели, что существенно усложняет эксплуатацию, но никогда полностью не исключает ее.

Дорога к SOC следующего поколения

В основе Security Operations Center находятся три компонента: люди, процессы и технологии. И по теории ограничений, на общую эффективность системы влияют не только ее отдельные элементы, но и связь между ними.

За последние 5 лет были какие-то существенные изменения в SOC-технологиях? Да, были. Например, развитие автоматизации, внедрение машинного обучения и появление security copilot.

Совершенствовались люди и процессы? Да, компетенции аналитиков и специалистов центров мониторинга - растет (делаю вывод на своей выборке), а появление практик Red, Purple и Blue teaming постоянно совершенствует процессы.

Стал ли результативнее SOC? Не уверен.

Будем разбираться в этом вопросе вместе с докладчиками секции «SOC-технологии: новые тренды» на мероприятии SOC-Форум. И возможно, сформулируем требования для перехода к Next-Gen SOC.

Data Scientist передает эстафету Руководителю Проекта

Следующий гость курса «Профессии в ИБ» - Александр Колесников, руководитель группы специальных и маркетинговых проектов в Яндекс 360. И мой наставник, под присмотром которого я создавал продукт Threat Deception в Kaspersky.

Мы постепенно подобрались к управленческой профессии. Узнаем и обсудим:

* что такое проект и чем все-таки занимаются руководители проектов;
* что нужно для создания качественного продукта;
* какую роль играет руководитель на этапах от планирования и разработки до мониторинга и поддержки;
* чем отличается проект в ИБ от других проектов.

Время и место: МИФИ, 18-00, сегодня. Видео-запись опубликуем.

Один день из жизни исследователя угроз.

Исследователь информационной безопасности — это эксперт, который разрабатывает алгоритмы выявления киберугроз. Он проверяет гипотезы в условиях неопределённости, когда не знает, найдёт угрозу и уязвимость или нет. И вокруг этого строится весь его рабочий день.

🤔 Например, какие существуют угрозы для системы 6G? Не слышали о таких? А где-то прямо сейчас исследователь выстраивает архитектуру системы защиты, которая в будущем будет активно использоваться.

Такой человек двигает отрасль вперёд и своей экспертизой помогает разработчикам ИБ-решений развивать продукты.

Технический директор МТС RED Денис Макрушин и сам когда-то занимался этим (список на картинке взяли из его личного архива) и уже завтра на конференции Standoff 101 расскажет подробнее об этой профессии и о том, как справляться с её вызовами.