Вот это аудитория! 🔥
Удивили не только сложные технические вопросы, например, про символьное выполнение при реверс инжиниринге или методы обеспечения безопасности цепочки поставок в промышленной разработке. Но и нетривиальные управленческие вопросы, связанные с исследовательской деятельностью. Например:
* как понять, что исследование пора прекращать? Как нащупать тот самый критерий Definition of Done в исследовании?
* если исследователь «упёрся» в проблему и не может сдвинуть с места свой проект - что делать?
Образовалось 100500 нейронных связей, пока отвечал. Вот тебе и аудитория, «кто хочет попасть в кибербез, но не знает, с чего начать» - цитата от Standoff101 😄
Удивили не только сложные технические вопросы, например, про символьное выполнение при реверс инжиниринге или методы обеспечения безопасности цепочки поставок в промышленной разработке. Но и нетривиальные управленческие вопросы, связанные с исследовательской деятельностью. Например:
* как понять, что исследование пора прекращать? Как нащупать тот самый критерий Definition of Done в исследовании?
* если исследователь «упёрся» в проблему и не может сдвинуть с места свой проект - что делать?
Образовалось 100500 нейронных связей, пока отвечал. Вот тебе и аудитория, «кто хочет попасть в кибербез, но не знает, с чего начать» - цитата от Standoff101 😄
🔥29👍5❤2
Media is too big
VIEW IN TELEGRAM
Один день из жизни исследователя угроз: «а что, если…»
* Разрабатываешь продукт. А что, если подключаемая из внешнего источника зависимость скомпрометирована?
* Тестируешь качество. А что, если тестируемая функция принимает на вход не только ожидаемые от пользователя данные, и к юнит-тестам стоит добавить фазз-тесты?
* Продаешь софт. А что, если на самом деле ты не выявил действительную проблему клиента, и для ее решения нужно что-то другое?
Не важно, чем именно ты занимаешься. Задаешь себе вопрос «А что, если..?» и строишь гипотезы - значит, ты исследователь.
* Разрабатываешь продукт. А что, если подключаемая из внешнего источника зависимость скомпрометирована?
* Тестируешь качество. А что, если тестируемая функция принимает на вход не только ожидаемые от пользователя данные, и к юнит-тестам стоит добавить фазз-тесты?
* Продаешь софт. А что, если на самом деле ты не выявил действительную проблему клиента, и для ее решения нужно что-то другое?
Не важно, чем именно ты занимаешься. Задаешь себе вопрос «А что, если..?» и строишь гипотезы - значит, ты исследователь.
👍8🔥8❤1😍1
Точка на глобусе, в которой люди ежедневно помнят о цунами и живут в условиях регулярных землетрясений - Япония.
Летел сюда, чтобы найти и попробовать роллы и суши не из сыра с майонезом, а приготовленные «по классике». А нашел: землетрясение (в первый же день и с таким небрежным покачиванием кровати, от которого хочется выбежать из здания), необычные улицы с необычными фанатами мультиков и компьютерных игр. И конечно же, суши, которые оказались немного пресными на фоне предыдущих впечатлений.
Эта страна потрясла во всех смыслах.
Летел сюда, чтобы найти и попробовать роллы и суши не из сыра с майонезом, а приготовленные «по классике». А нашел: землетрясение (в первый же день и с таким небрежным покачиванием кровати, от которого хочется выбежать из здания), необычные улицы с необычными фанатами мультиков и компьютерных игр. И конечно же, суши, которые оказались немного пресными на фоне предыдущих впечатлений.
Эта страна потрясла во всех смыслах.
🔥27👍6🤯3❤2
Больше воскресных японских фото. Больше!
Места силы:
🦌 - парк Нара
🥷 - улица Акихабара
🏯 - город Осака
Места силы:
🦌 - парк Нара
🥷 - улица Акихабара
🏯 - город Осака
🔥27👍6🤩2
Github RepoJacking: поверхность атаки
С учетом ограничений предыдущих исследований, мы собрали все ссылки на репозитории, которые напрямую подключаются в коде зависимостей, и провели их повторный анализ.
Выполнили три этапа:
1. извлекли все github-ссылки из кода зависимостей в двух наиболее популярных пакетных менеджерах для Python и JavaScript: PyPI и NPM.
2. Убрали дубликаты и просканировали все ссылки на наличие репозитория. Все ссылки, вернувшие ответ «404», пометили как corrupted_links.
3. Все corrupted_links проверили на возможность провести атаку account takeover.
В результате получили статистику по github-репозиториям, которые злоумышленник уже сейчас может захватить и использовать для распространения вредоносного кода в цепочке поставок. Результаты исследования, методику и инструменты представим завтра на мероприятии SOC Tech.
С учетом ограничений предыдущих исследований, мы собрали все ссылки на репозитории, которые напрямую подключаются в коде зависимостей, и провели их повторный анализ.
Выполнили три этапа:
1. извлекли все github-ссылки из кода зависимостей в двух наиболее популярных пакетных менеджерах для Python и JavaScript: PyPI и NPM.
2. Убрали дубликаты и просканировали все ссылки на наличие репозитория. Все ссылки, вернувшие ответ «404», пометили как corrupted_links.
3. Все corrupted_links проверили на возможность провести атаку account takeover.
В результате получили статистику по github-репозиториям, которые злоумышленник уже сейчас может захватить и использовать для распространения вредоносного кода в цепочке поставок. Результаты исследования, методику и инструменты представим завтра на мероприятии SOC Tech.
✍3👍2👏1
Трек из информационной безопасности к CTO
Где-то в кулуарах мероприятия по кибербезопасности мы обсуждали потенциал экспертов, которые приходят на позиции технических директоров не из разработки, а из информационной безопасности. Интересную мысль по этому поводу написал Алексей Канахин. С разрешения автора зафиксирую его сообщение здесь:
У меня нет достаточно данных, чтобы согласиться или не согласиться с этим наблюдением. Зато есть исследование «Как стать CTO», которое провели товарищи из RosExpert совместно с Сергеем Щербининым. В исследовании приняли участие более 30 СТО из ведущих российских и международных компаний. А значит, в этих данных «безопаснику» можно разглядеть инсайты для планирования своего карьерного трека.
Где-то в кулуарах мероприятия по кибербезопасности мы обсуждали потенциал экспертов, которые приходят на позиции технических директоров не из разработки, а из информационной безопасности. Интересную мысль по этому поводу написал Алексей Канахин. С разрешения автора зафиксирую его сообщение здесь:
Я сейчас заметил, что ребята, связанные с безопасностью, лучше всех понимают "святую троицу" в управлении проектами: scope, time, budget. Это связано со спецификой проектов в инфобезе, нигде так много внимания не уделяется этому, ни в софте (где сплошной аджайл), ни в железе (где хоть и waterfall, но time и budget часто уплывает в угоду качеству).
Что я хочу сказать: на пути к CTO трек был выбран абсолютно верный, и на данный момент я считаю, что лучшие технические менеджеры выходят из безопасников.
У меня нет достаточно данных, чтобы согласиться или не согласиться с этим наблюдением. Зато есть исследование «Как стать CTO», которое провели товарищи из RosExpert совместно с Сергеем Щербининым. В исследовании приняли участие более 30 СТО из ведущих российских и международных компаний. А значит, в этих данных «безопаснику» можно разглядеть инсайты для планирования своего карьерного трека.
👍12🔥3🤡1🤷1
Новый сервис в нашем портфеле: Security Awareness
Повышение осведомленности сотрудников в области кибер-безопасности - базовая задача в стратегии обеспечения устойчивости бизнеса. Ни одно защитное решение не будет достаточно эффективным, пока сотрудник кликает на фишинговые письма и сам доставляет имплант в инфраструктуру.
Достаточно ли установить SA-платформу и проводить регулярные тренинги с обучением?
Нет.
Данный сервис не только «про обучение». Он про дополнительную модель оценки защищенности инфраструктуры: скоринг человеческого фактора. Эта модель должна быть интегрирована в Security Operations Center и давать предиктивную аналитику для рабочих станций по атакам на стадии initial access.
А еще есть разработчики, и некоторых из них нужно учить писать безопасный код. Но это другая история.
Повышение осведомленности сотрудников в области кибер-безопасности - базовая задача в стратегии обеспечения устойчивости бизнеса. Ни одно защитное решение не будет достаточно эффективным, пока сотрудник кликает на фишинговые письма и сам доставляет имплант в инфраструктуру.
Достаточно ли установить SA-платформу и проводить регулярные тренинги с обучением?
Нет.
Данный сервис не только «про обучение». Он про дополнительную модель оценки защищенности инфраструктуры: скоринг человеческого фактора. Эта модель должна быть интегрирована в Security Operations Center и давать предиктивную аналитику для рабочих станций по атакам на стадии initial access.
А еще есть разработчики, и некоторых из них нужно учить писать безопасный код. Но это другая история.
Telegram
МТС RED
Мы представили новый сервис Security Awareness от МТС RED, так что самое время заглянуть под капот, а точнее в личный кабинет.
Архитектурно система состоит из трёх элементов:
1️⃣ Модуль обучения — собственная LMS для прохождения пользователями курсов.…
Архитектурно система состоит из трёх элементов:
1️⃣ Модуль обучения — собственная LMS для прохождения пользователями курсов.…
🔥6👍2✍1
Forwarded from RED Security
На SOC Tech наша команда МТС RED ART презентовала исследование > 4,7 млн уникальных публичных репозиториев программного кода и выявила 986 уязвимых аккаунтов с репозиториями.
🤔 Почему это так важно? Сейчас мало кто сам пишет код от начала до конца, обычно используются подключаемые библиотеки или программные пакеты.
И знаете, что бывает, если библиотека каждый раз используется из внешнего источника, например GitHub, а её разработчик перенёс, удалил или продал свою учётную запись? Появляется риск захвата этого аккаунта злоумышленником. Он может разместить по старой ссылке на репозиторий вредоносный код и незаметно собирать данные пользователей или даже контролировать их устройства 🤯
Команда МТС RED ART проверила 4,7 млн уникальных репозиториев. 7820 оказались с пустым содержимым, а 986 акаунтов, под которыми заводились репозитории, уже свободны для перерегистрации.
Мы разработали инструкцию 📝, которая поможет проверить безопасность ссылок на используемые внешние репозитории.
В общем, на репозиторий надейся, а сам не плошай ☝️
🤔 Почему это так важно? Сейчас мало кто сам пишет код от начала до конца, обычно используются подключаемые библиотеки или программные пакеты.
И знаете, что бывает, если библиотека каждый раз используется из внешнего источника, например GitHub, а её разработчик перенёс, удалил или продал свою учётную запись? Появляется риск захвата этого аккаунта злоумышленником. Он может разместить по старой ссылке на репозиторий вредоносный код и незаметно собирать данные пользователей или даже контролировать их устройства 🤯
Команда МТС RED ART проверила 4,7 млн уникальных репозиториев. 7820 оказались с пустым содержимым, а 986 акаунтов, под которыми заводились репозитории, уже свободны для перерегистрации.
Мы разработали инструкцию 📝, которая поможет проверить безопасность ссылок на используемые внешние репозитории.
В общем, на репозиторий надейся, а сам не плошай ☝️
🔥11👍5❤1👏1
Media is too big
VIEW IN TELEGRAM
Мы выпустили платформу безопасной разработки МТС RED ASOC
В условиях роста числа атак и стоимости устранения уязвимостей в программном обеспечении, платформа ASOC (Application Security Orchestration and Correlation) решает ряд задач для создания устойчивого процесса разработки:
1. централизованно управляет встроенными и сторонними инструментами анализа защищённости ПО;
2. обеспечивает сопоставление данных из разных инструментов безопасности в едином формате представления;
3. повышает эффективность обработки уязвимостей.
Страница продукта с подробностями.
В условиях роста числа атак и стоимости устранения уязвимостей в программном обеспечении, платформа ASOC (Application Security Orchestration and Correlation) решает ряд задач для создания устойчивого процесса разработки:
1. централизованно управляет встроенными и сторонними инструментами анализа защищённости ПО;
2. обеспечивает сопоставление данных из разных инструментов безопасности в едином формате представления;
3. повышает эффективность обработки уязвимостей.
Страница продукта с подробностями.
👍12🔥11👎1
CyberSation в каждую компанию!
Под ритм breakbeat вместе с партнерами и клиентами мы подвели итоги года и на нашем мероприятии “CyberSation”анонсировали новые продукты и сервисы кибербезопасности.
Посчитаем:
* 44843 угрозы в 2023 году обнаружил и предотвратил наш Security Operations Center
* 968 уязвимых github-аккаунтов, которые подключаются в зависимостях разработчиков, обнаружила команда ART
* 8 сервисов кибербезопасности и 3 продукта в портфеле обеспечат устойчивость компаний в 2024 году.
А чтобы передать ощущение от прошедшего мероприятия - прикрепляю фотку.
Под ритм breakbeat вместе с партнерами и клиентами мы подвели итоги года и на нашем мероприятии “CyberSation”анонсировали новые продукты и сервисы кибербезопасности.
Посчитаем:
* 44843 угрозы в 2023 году обнаружил и предотвратил наш Security Operations Center
* 968 уязвимых github-аккаунтов, которые подключаются в зависимостях разработчиков, обнаружила команда ART
* 8 сервисов кибербезопасности и 3 продукта в портфеле обеспечат устойчивость компаний в 2024 году.
А чтобы передать ощущение от прошедшего мероприятия - прикрепляю фотку.
🔥9👍4