Вам НЕ нужен пентест

Нет, вы не ошиблись, это не опечатка и не сбой в матрице ⚙️

Несмотря на требования регулятора и общие тренды, пентест нужен далеко не всем и вы, скорее всего, не исключение 🕵‍♂️

Почему?

Закройте глаза, сделайте глубокий вдох-выдох... и ответьте себе на простой вопрос:

А что я буду делать с отчётом о пентесте?

Варианты ответов:
а. Гордо положу в шкаф, буду готов к проверкам регуляторов, но вряд ли задумаюсь о реальном уровне защищенности;
б. Передам безопасникам (команде разработки, сисадминам, etc), но продолжу всё контролировать и неистово переживать.

Или даже такой вопрос:

А достаточный ли у нас уровень внутренней экспертизы и вообще – есть ли у нас ресурс на работу с отчётами?

📄

Если у вас не развиты процессы, бэклог задач расписан на квартал вперёд, а единственный специалист совмещает задачи по администрированию, информационной безопасности и разработке 👉🏻 тогда результаты тестирования на проникновение принесут больше вреда, чем пользы, и произойдет самый настоящий «отказ в обслуживании» (и, возможно, распределённый) ‼️

Если бюджет ограничен, выгоднее развивать собственную экспертизу внутри команды. Да, медленно, шаг за шагом, но попадая в границы бюджета 🌄

Большинство угроз безопасности – это низко висящие фрукты, которые собираются ботами/сканерами/скрипт-кидди.

Бывают ли более продвинутые нарушители? Конечно бывают! Но бывают они преимущественно на том уровне, где больше денег и как следствие бюджетов на ИБ*

Поэтому ваш админ/безопасник/разработчик должен уметь видеть свои периметр/инфраструктуру/активы глазами злоумышленника, т.е. того, кто ищет «самое слабое звено» 🔗

Пентест не заменяет базовую гигиену безопасности, а гигиену можно и нужно делать самим!

И вот с чего начать 🖋

Важно пролить свет на shadow IT и, наконец, провести инвентаризацию:

⚪ IP-адресов,
⚪ портов,
⚪ версий сервисов,
⚪ лишних прав.

И всё это можно сделать своими силами, своими руками и в своём темпе, доступными open source утилитами 🤝

*Если это ваш случай – немедленно звоните/пишите, мы знаем как эти бюджеты грамотно реализовать 🤝

8 (804) 700-79-96, inbox@radcop.online

Делитесь в комментариях: хотите продолжение про то, как делать инвентаризацию своими руками? 🎙

9 вопросов, на которые вы (или ваш ИБ-специалист) должны знать ответ 🕵‍♂️

Как мы уже обсудили, внешний периметр – первое, что видит злоумышленник.

Как обстоят дела у вас и что доступно атакующим пока вы читаете этот пост?

🖇 Краткий чек-лист для самопроверки:

1. Какие IP-адреса и домены принадлежат нашей компании? Есть ли «забытые» активы?
2. Какие сервисы доступны из интернета? Все ли они актуальны и защищены?
3. Как часто вы проверяете SSL/TLS-сертификаты на слабые алгоритмы или просрочку?
4. Отслеживаете ли вы упоминания вашей инфраструктуры в агрегатора Shodan/Censys/Fofa?
5. Где хранятся учетные данные разработчиков? Проверяли ли вы утечки в GitHub/GitLab?
6. Проводите ли вы анализ настроек межсетевого экранирования?
7. Следите ли вы за обновлениями ПО/прошивок ваших активов?
8. Следите ли за утечками почтовых адресов и паролей ваших сотрудников?

✅ Что означают результаты:

⚪ Если вы ответили «да» на 0-3 вопроса – критический уровень неосведомленности!

Периметр открыт для автоматизированных сканеров.

Действие: срочно – инвентаризация IP/доменов + закрытие лишних портов.

⚪ Если вы ответили «да» на 4-6 вопросов – средний риск.

База есть, но есть пробелы в мониторинге/патчинге.

Действие: приоритизировать инвентаризацию.

⚪ Если вы ответили «да» на 7-8 вопросов – хороший уровень.

Осведомленность поддерживается.

Действие: автоматизировать мониторинг (Shodan alerts, автоматически проводить OSINT).

_________________________________

Самопроверка занимает всего пару минут, но этого достаточно, чтобы нарисовать картину вашей реальной защищённости не прибегая к пентесту.

Очень надеемся, что ваша картина получилась не слишком тревожной 🌄

Сколько «да» у вас – пишите цифру в комментах 🎙

inbox@radcop.online 🕸
radcop.online 🌐

#МАТЧАСТЬ_товарищ

Марксизм и предпринимательство

На рубеже 2019-2020 годов то, что потом стало РАД КОПом 🤝, развивалось из опыта нашего председателя, который столкнувшись с несправедливостью отношений найма и будучи знаком с марксистскими категориями отчуждения и эксплуатации, решил в июне 2020, что его собственная практика создания организации не наступит на грабли капитализма (подробнее про наш генез можно послушать у нас на канале и тут).

🕵‍♂️ Так получился кооператив РАД КОП – одновременно и капиталистическое предприятие, оказывающее услуги на внешнем рынке и продающее труд своих консультантов нашим партнерам и конечным заказчикам, и сообщество, в котором происходит снятие отчуждения труда за счет соучастия людей в выработке управленческих решений, стратегии развития, совместном развитии продукта, разделении выручки и прибыли, а не простого получения заработной платы и премий «сверху».

📕 У нас нельзя просто уволить человека. У нас нельзя просто отдать приказ. У нас даже «кухарка» оказывается вовлечена в сократические диалоги и может влиять на обоснование справедливости того или иного управленческого решения. Но при этом существуют строгие правила и дисциплина, нужно уметь работать через «не хочу» и «не могу», а общая атмосфера коопа, особенно в силу специфики отрасли (информационная безопасность), часто напоминает армейские подразделения или спортивные команды с соответствующей вербальной культурой и структурой обратной связи.

✅ Отсюда наш необычный для фирмы в области кибербеза интерес к марксизму.

Отсюда и предлагаемый вашему вниманию подкаст.

— Что думает о марксизме и справедливости современная экономика?
— Чем может быть полезен или вреден дедушка Маркс с точки зрения людей с опытом в бизнесе, организации науки и инноваций?
— Есть ли какие-то точки сопряжения классики с наступающим будущим и эпохой искусственного интеллекта и тотальной автоматизации?

Об этом и многом другом беседуем в очередном подкасте с венчурным инвестором и футурологом Евгением Кузнецовым, и системным аналитиком и ноомарксистом Евгением Парфеновым. Духовным и интеллектуальным спонсором выпуска выступил прикладной футуролог и специалист по усилению интеллекта Данила Медведев, который незримо присутствовал над кадром на протяжении всей записи подкаста 🤝

Посмотреть:

📺 YouTube
📺 VK

Открыты к вашей обратной связи в комментариях ❤️

inbox@radcop.online 🕸
radcop.online 🌐

#Кооперация #Подкаст

Представьте: ваш принтер тихо стоит в углу офиса, печатает отчеты, а параллельно хакер через него вытягивает учетки сотрудников и заходит в корпоративную сеть

Не очень приятно, правда?

Яков Зубов, специалист по анализу защищенности РАД КОП, решил уберечь вас от подобных неприятностей и разобрал, почему устройства печати становятся удобной точкой входа для злоумышленников: стандартные пароли, утечки учётных данных через SNMP, Pass-back атаки.

В материале – реальные CVE, скриншот атак и практические мер защиты.

🖋 Читать статью

Посмотреть:
📺 YouTube
📺 VK

Отправляйте пост своему товарищу-кибербезопаснику :)

И тайное послание: Проверьте свою инфраструктуру, пока это не сделали за вас.

#МАТЧАСТЬ_товарищ

На ваш телефон пришло важное сообщение:
АНОНС ВЕБИНАРА 🤝

Если у вас мало времени – все подробности и ссылка на регистрацию во второй половине поста.

Здесь немного предыстории 👇🏻

Ранее мы уже поднимали тему гигиены безопасности, которую можно и нужно проводить самостоятельно и на регулярной основе, а также публиковали составленный экспертами чек-лист для самопроверки и понимания, что доступно атакующим на вашем внешнем периметре уже сейчас ⚙️

Теперь мы предлагаем перейти от слов к делу и встретиться с нашими специалистами для более глубокого погружения в тему на вебинаре «Техническая разведка: как самостоятельно собрать информацию о своей внешней инфраструктуре».

________________________________

⏳ Когда:
5 марта, 16.00

🕵‍♂️ Спикер:
— Филимонов Кирилл (CuriV ) – специалист по анализу защищенности, тимлид круга пентестеров ПК «РАД КОП».

🖥 На вебинаре:
— 10 техник пассивной разведки;
— Кейс: живой разбор на примере ресурсов РАД КОП;
— Практические рекомендации и чек-лист для каждого участника 🖇

🤝 Будет особенно полезно для:
— Технических специалистов;
— Руководителей ИТ / ИБ-отделов;
— Топ-менеджеров;
— Всех, кому не безразлична информационная безопасность своих компаний!

⚪Регистрируйтесь уже сейчас ❤️

Не пропустите техники, которые помогут увидеть вашу внешнюю инфраструктуру глазами атакующего.

Ваша ссылка для доступа к вебинару появится на следующей странице после заполнения формы. Сохраните ее, а лучше сразу добавьте в календарь, чтобы не потерять. Дополнительно информация будет направлена по указанной вами электронной почте в течение суток с момента регистрации.

inbox@radcop.online 🕸
radcop.online 🌐

#Вебинар

«Эта конструкция сделала ядро нашего коллектива невыкупаемым» 🕵‍♂️

Больше контекста – в видеоролике, а мы перейдем к сути 👇🏻

В среду 4 марта Рустам Гусейнов, председатель нашего кооператива, проведет встречу сообщества «Живые бизнес-системы».

«Кооператив показался мне идеальным способом сочетать неформальное сообщество с предприятием, где есть структура и экономика»

Кооперативы как незакрытый гештальт российского бизнеса:

⚪ История кооперативов и контекст их возникновения
⚪ Текущее состояние этой формы
⚪ Архитектура, технология и культура
⚪ Кейсы, актуальный опыт
⚪ Вопросы применимости и ограничения

Подробности: https://livesyst.com/community#future

⏳ Дата: 4 марта (среда)
Сбор участников и неформальное общение: с 18.30
Практикум: с 19.00 до 22.00

Адрес: г. Москва, м. Павелецкая, ул. Кожевнический проезд, д.3, 5 этаж, Центр психологической поддержки Хронос, зал «Интеграция».
Как добраться: https://hronos-center.ru/kontakty/

‼️ Для участников из других городов и стран возможно участие по zoom.

Заявки присылайте Ольге Власовой

ТГ – @owlasowa
Почта – info@livesyst.com
Телефон: +7 (499) 322-06-01.

Приходите в среду – будем общаться и обсуждать про культуру, про доверие, про то, как действительно создать такой коллектив, перед которым ты не будешь бояться, ножа в спину ❤️

inbox@radcop.online 🕸
radcop.online 🌐

#Место_встречи #Кооперация

ВЕБИНАР уже завтра! 🤝

5 марта в 16:00

Почему стоит прийти:
— Разберём 10 техник пассивной разведки;
— Покажем на живом примере (инфраструктура РАД КОП), что видит атакующий до того, как вы заметите вторжение;
— Отдадим чек-лист для самостоятельной проверки периметра;
— Ответим на вопросы в прямом эфире 📺

🕵‍♂️ Спикер:
— Филимонов Кирилл (CuriV), тимлид круга пентестеров ПК «РАД КОП»

🤝 Для кого:
— Технические специалисты;
— Руководители ИТ/ИБ;
— Все, кто хочет понять реальный уровень защищённости своей компании ⚙️
____________________

Напоминаем контекст 🖋

На прошлой неделе мы обсудили:
— Почему вам (возможно) не нужен пентест;
— 9 вопросов для самопроверки.

Теперь переходим к практике – зарегистрироваться 🔗

Ваша ссылка для доступа к вебинару появится на следующей странице после заполнения формы. Сохраните ее, а лучше сразу добавьте в календарь, чтобы не потерять. Дополнительно информация будет направлена по указанной вами электронной почте в течение суток с момента регистрации.

До встречи завтра! 🤝

inbox@radcop.online 🕸
radcop.online 🌐

#Вебинар

Всем привет! На связи Кирилл Филимонов, тимлид круга пентестеров РАД КОП 🤝

До встречи сегодня в 16.00 по Мск на вебинаре по Технической разведке!

Регистрируйтесь, если еще не успели ❤️

Вы ждали: запись вебинара доступна для просмотра 🕵‍♂️

5 марта мы провели вебинар на тему «Техническая разведка: как самостоятельно собрать информацию о внешней инфраструктуре». Публикуем его запись 🖥

Посмотреть:

📺 VK
📺 YouTube

Хотите получить чек-лист по всем собранным техникам, про которые мы говорили на вебинаре? Напишите «+» в комментариях 🎙

В комментариях можно задать вопросы специалистам по теме, поделиться обратной связью, а также написать, какие темы вебинаров вам были бы интересны в будущем ❤️

*Аудио-версия появится завтра.

inbox@radcop.online 🕸
radcop.online 🌐

#Вебинар

Добрый вечер, товарищи!

По вашим просьбам и для вашего удобства делимся аудиоверсией вебинара по технической разведке 🖥

Если вы не знали, чем заняться этим вечером – это знак!

#Вебинар

Постепенно продолжаем публикацию докладов CoopDays IV 🕵‍♂️

Будем краткими, для вечернего просмотра предлагаем:

— Выпуск с Евгением Парфёновым, «Навигация для тех, кто бежит в будущее»
📺 YouTube
📺 VK

— Выпуск с Егором Зайцевым, «Физическое тестирование безопасности в контуре заказчика»
📺 YouTube
📺 VK

Делитесь впечатлениями в комментариях под видео и под этим постом 🤝

Хорошего вечера!

inbox@radcop.online 🕸
radcop.online 🌐

#CoopDays