Держу в курсе

Похоже, что я переоценил свои силы и человеческий ресурс, поэтому решил пока прикрыть лавочку с менторством кибербезопасников на время. Повышение цен не помогло снизить спрос, поэтому настало время притормозить. Думаю, что где-то до февраля (но это не точно). Часовые консультации пока оставляю, поэтому вэлкам.

И да, я всё еще получаю от этого искреннее удовольствие, особенно, когда со стороны менти достаточно огня и осознанности; особенно, когда есть конкретные и реалистичные цели; особенно, когда по итогу мы доходим до желаемого результата в виде оффера или решения какой-то большой проблемы.

Почему пишу об этом тут? Да потому что отсюда и приходит большинство людей, которые хотят решить свою карьерную проблему, попробовать кибербез на вкус или ухватить себе сладкий оффер на рынке.

А еще, я тут осознал, что пропустил через себя уже десятки людей, и у меня накопилось огромное количество лайфхаков, связанных с обучением, полезных приёмов и граблей, о которых лучше узнать заранее. Поэтому, если вам такое интересно, то понатыкайте каких-нибудь реакций под постом, а я пока подумаю, в каком виде это всё можно описать.

P.S. Мог бы сделать предновогодние скидки, набрать много учеников и озолотиться, но закрыл менторство. Просчитался, но где...🤷‍♀️

Всем мир.

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Как сэкономить себе полчаса жизни

Предновогодняя суета – весьма плодотворная пора для того, чтобы нажиться на спешке и невнимательности людей. А это значит, что настало время разобрать очередную мошенническую схему, чтобы вы и ваши близкие не потеряли свои кровно заработанные. Схема не новая, но о ней в канале я еще не говорил, поэтому погнали (или не погнали) 🤕

Пока писал этот пост, решил погуглить, "авось она уже где-то описана" и да, оказалось, что она не такая уж и свежая, но, судя по тому, что уже несколько человек вокруг меня с ней столкнулись, не менее актуальная. Почитать про то, как эту схему проворачивают, можно вот тут – ссылка. Думаю, что нет необходимости в том, чтобы переписывать в формате поста этот алгоритм – проще прочитать его по ссылке выше. Так что в этот раз обойдемся только советами и комментариями.

Во-первых, надеюсь вы понимаете, что суммы списания могут быть абсолютно разные, в том числе и дробные. И касаться эта схема может не только маркетплейсов, но и любых покупок/заказов/услуг в интернетах.

Во-вторых, принцип нулевого доверия должен сохраняться во всем – если вас перекидывает на какую-то универсальную и уже знакомую страницу авторизации или оплаты, то это не значит, что пора расслабиться и можно вводить туда все, что угодно. Всегда проверяйте сертификаты на сайтах, следите за странными надписями или искаженными элементами/картинками на них.

Ну вот и всё. Пересылаем близким и спокойно идем дальше закупаться новогодними подарками 😺

#Кибергигиена

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

А вот и насыщенный воскресный дайджест не только про посты в канале 👇

⚡ Пропустили кибермем, но разыграли проходки на экскурсию по офису VK (подробнее будет ниже) – ссылка

⚡ Пост про нейробабушку, которая защищает клиентов одной компании от телефонных мошенников – ссылка

⚡ История о том, как ФБР свой безопасный мессенджер изобрело – ссылка

⚡ Пакет Поборка с пакетами подборками – ссылка

❤ В Пакете Вакансий было опубликовано сразу несколько предложений в крупнейший медицинский холдинг России – ссылка

❤ В Пакете Знаний тоже не без контента – ссылка

❤ Хочется сказать отдельное спасибо герою, который проводил нам экскурсию по офису VK. Это было просто нечто – за полтора часа мы посмотрели буквально всё: от SOCа и музыкальной комнаты до спортзала и тайных лестниц со смотровыми. И всё это с подробным рассказами. Сама конференция тоже вышла отличной, за что низкий поклон крутым организаторам.

❤ Были опубликованы кейсы финалистов и победителей с последнего Pentest Award от Awillix

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Вы хотели защищенный мессенджер?

Возможно кто-то из вас слышал об операции ФБР под названием ANOM (она же ΛNØM или Operation Ironside). Если нет, то присаживайтесь поудобнее, сейчас расскажу.

Событие это произошло уже достаточно давно, но, как говорил один азиатский философ: "Кто не знает своего прошлого, обречен на его повторение" – (с) Альберт Стетхем. Да и прецедент на самом деле достоин внимания, так что поехали.

Однажды, в далекой-далекой галактике появился один безопасный мессенджер (и одновременно устройство) под названием ANOM, который всем своим пользователям обещал тотальную безопасность, шифрование сообщений, и бесконечную анонимность. Почему вы не слышали о нём? Да потому вся пиар-компания была направлена на участников преступных синдикатов. Не было ни билбордов, ни рекламных роликов, ни размещения через таргетированную рекламу – сугубо партизанский маркетинг через слухи и положительный пользовательский опыт коллег по цеху.

Возникает логичный вопрос – а почему всё так странно и никто из нас не слышал про этот волшебный мессенджер в том самом далёком 2018 году? А всё потому, что разработку этого приложения и устройства финансировало ФБР, как и их рекламную кампанию. Псевдоразработчики позиционировали себя достаточно туманно и романтично – мол они делают продукт из даркнета для даркнета. Да, оказывается, участников преступных группировок достаточно легко убедить в таких вопросах.

Очевидно, что ФБР это всё нужно было для того, чтобы собрать всех плохих ребят в одном месте и поймать их одновременно за руку. Достоверно так и не известно, как именно осуществлялась слежка за переписками пользователей – кто-то пишет о том, что там были скрытые контакты/пользователи, которые добавлялись во все чаты и звонки, кто-то говорит, что все ключи шифрования были изначально скомпрометированы, а переписки просто бэкапировались на сервера спецслужб. В общем, было реализовано то, что можно сделать и в любом другом мессенджере или приложении 😃

По итогу, всё так хорошо пошло и поехало, что операция продлилась аж несколько лет, были проанализированы десятки миллионов сообщений, выпущено несколько тысяч устройств (без точных цифр, так как информация разнится в разных источниках), а что самое главное – было арестовано более 800 преступников в 16 странах мира. Вот это я понимаю масштабы.

В общем, операция явно удалась. Вот тут можно глянуть один доклад с DEF CON на эту тему, если вдруг интересно посмотреть на то, как это было с картиночками и голосовым сопровождением. Ну вот и всё, всем мир.

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Подводим итоги розыгрыша 🎉

Вот такой список победителей был отобран исходя из комментариев под постом:
@tembitt
@Vladimir_Ishchuk
@Who_was_that
@apgrakadabra
@danero_03
@malovab
@Hubert_farnswort

Ищите себя и бегом пишите комменты под последним постом в канале ребят!

Ну и собирайтесь на саму конференцию 😄, вас там уже заждались 🤨

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Ну что, мы собрали с вами больше 35 бананов, а это значит, что конкурсу от VK быть 😌

Что разыгрываем: экскурсия по крутому офису 😄

Количество победителей: 7 человек

Что нужно делать: написать в комментариях к этому посту ответ на вопрос "что бы вы хотели узнать о команде информационной безопасности VK?". Победителей мы выберем вместе с ребятами из VK

Подведение итогов: 11.12.2024, прямо в день конференции

Да пребудет с вами сила удача ⌨️

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

А вот и воскресный дайджест!

⚡ Наш традиционный и надеюсь не жизненный кибер(ну почти)мем – ссылка

⚡ Одно интересное исследование про удовлетворенность кибербезопасников – ссылка

⚡ История о том, как ребята из Рамблера опросили десятки тысяч людей по вопросам кибермошенничества и кибергигиены – ссылка

⚡ Знаменательная дата 🎉 дня рождения 🎉 Пакета Безопасности – ссылка

⚡ Конференция, которую мы ждем (как и конкурс по ней, судя по бананам) – ссылка

❤ В Пакете Знаний тоже не без полезных постов – ссылка

Как я и говорил, следующая неделя будет весьма насыщенной – нас ждет и SecurityTech (само собой, не без моего участия), и КИБЕРСЪЕЗД (куда я также постараюсь успеть забежать), и еще пара предновогодних событий от вендоров. Так что возможностей увидеться и пообщаться будет масса, поэтому не сдерживайте себя 👍

Читать полностью…

С днём рождения 🎉

Ну что, дорогие друзья и любимые читатели, сегодня нашему каналу исполняется ровно 2 года!

6 декабря 2022 года я выложил сюда первый пост, когда тут еще не было ни одного подписчика. С этого момента было написано более 700 авторских постов, проведено с десяток различных конкурсов и розыгрышей, разобраны сотни кибербезопасных сервисов и мошеннических схем, а нас с вами стало уже больше 16 000 человек!

Не знаю, что нужно говорить в такие моменты, поэтому просто спасибо вам за доверие, за ваши реакции и комментарии под постами, которые мотивируют и дальше писать сюда то, что рождается в моей голове.

Всем мир 🫰

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Время приключений исследований

Тут ребята из одного сервиса по подбору вакансий поделились со мной результатами своего достаточно подробного исследования на тему бенефитов, мотивации и удерживающего фактора для специалистов в сфере кибербезопасности.

Там и про зарплаты, и про офферы, и про нематериальные бенефиты, и про онбординг, и про work-life balance, и про наш любимый стресс. В общем, отчет мне зашел, советую полистать – может натолкнуть на интересные мысли или темы для обсуждения с руководством.

🧠 Твой Пакет Знаний

Читать полностью…

Ну все, розыгрыш призов подошел к концу, а это значит, что можно и дайджест воскресный почитать. Что же было интересного за последнее время в каналах 👇

⚡ Уже каноничный кибермем – ссылка

⚡ Пост про деньги и выгорание в мире кибербезопасности – ссылка

⚡ Мотивация, целеполагание, дисциплина и прочие цитаты Джейсона Стетхема – ссылка

⚡ Как мы в одном крутом подкасте засветились – ссылка

❤ В Пакете Вакансий вышла целая пачка крутых объявлений – ссылка

❤ В Пакете Мероприятий календарь также продолжает пополняться интересными событиями – ссылка

Ну вот все, всем хорошего вечера, а я пошел связываться с победителями и упаковывать подарочки для отправки. Кстати, в ближайшие пару месяцев вас ждет еще пара розыгрышей, так что готовимся морально.

P.S. Если у вас есть идеи или пожелания того, что и как можно разыграть – вэлкам с предложениями в комментарии или сразу в наш чат 👇

Читать полностью…

Такое мы слушаем

Помню как-то раз я советовал вам годные подкасты по теме ИБ и IT, где на первом месте были ребята из Касперского, которые записывают "Смени пароль!". К ним на подкаст я напроситься пока так и не сумел ☔, но смог закинуть вопрос на обсуждение, засветив наш канал – ссылка

На самом деле, ребятам низкий поклон – они записали уже 4 сезона, а их всё еще интересно слушать. И кажется, что это из-за того, что они все еще пытаются разговаривать на нормальном человеческом языке (чтобы их понимали не только кибербезопасники), разгоняя каждый раз интересные темы.

В общем, приятного прослушивания.

Твой Пакет Безопасности

Читать полностью…

erid: LjN8KVHPV

🚀 Одна служба каталогов – хорошо, а две – лучше!

Встречайте наше семейство служб каталогов, Avanpost DS Public и Avanpost DS Pro!

Новое решение, Avanpost DS Public – бесплатная российская служба каталогов для комфортной замены Microsoft Active Directory и управления Linux инфраструктурами.

Подробнее о продукте тут 👈

#реклама
О рекламодателе

Читать полностью…

#IT #ИБ

😂 Твой Пакет Мемов

Читать полностью…

Просто положи трубку

В этом канале мы уже разобрали десятки различных мошеннических схем, нацеленных на то, чтобы украсть наши с вами данные, деньги или спокойствие. Как вы уже поняли, под разными обличиями зачастую скрываются одни и те же механизмы, которые приводят либо к угону аккаунта от Госуслуг, либо к переводу ваших денег на чужой банковский счет, либо к удаленному доступу к вашему устройству со всеми вытекающими.

Мы с вами уже даже разобрали факторы и эмоции, которые используют плохие ребята, чтобы надавить на нас в нужный момент. Ну а сегодня настало время пройтись по конкретным действиям (и фактам) в случае, когда ваша интуиция подсказывает вам об опасности 🐱

🤙 Как только у вас появляется хоть малейшая мысль о том, что с вами разговаривает мошенник, представившийся сотрудником службы безопасности, почты, колл-центра или органов – попробуйте предложить завершить разговор и перезвонить в то место, откуда вам звонят, самостоятельно. Объясните, что переживаете за за свою безопасность и хотите перестраховаться.

Настоящий сотрудник скорее всего не будет сопротивляться и просто объяснит вам, как вы сможете связаться именно с ним (назовет свой код сотрудника или скажет добавочный), когда будете перезванивать. Мошенник же вас так легко не отпустит – он либо будет удерживать вас всеми правдами и неправдами, применяя методы давления и манипуляций.

⏲ Главное знайте – практически не существует реальных ситуаций, где вам нельзя класть трубку и необходимо принять какое-то ключевое решение здесь и сейчас, ведь до вас могли банально не дозвониться. Как только вы понимаете, что вас удерживают насильно – сразу кладите трубку.

📁 Также помните, что мы живем в достаточно оцифрованной стране, где большинство бюрократических процедур уже можно сделать через Госуслуги, сайты или мобильные приложения различных ведомств и компаний. Так что, если от вас потребуются какие-то действительно важные действия, вы всегда сможете узнать об этом через все эти альтернативные сервисы, а не по телефону.

Чтобы заранее обезопасить себя от надоедливых и потенциально опасных звонков можно воспользоваться сервисами по распознаванию номеров (здесь могла быть ваша реклама), о чем я уже говорил вот тут. Если же номер не определился, а вы переживаете за то, что пропустили (или бросили трубку) важный звонок, большинство номеров уже спокойно пробиваются в поисковиках – просто вводите "номер" с подписью "кто звонил" и смотрите, что пишут об этом в интернетах.

💬 Будьте аккуратны и с СМС, которые приходят вам на телефон. Всегда вчитывайтесь в текст и ссылки, которые там написаны. Подменить в базе подпись истотчника сообщения на "900" или "Название нужной компании/сервиса" не так уж сложно. По ссылкам из сообщений лучше не переходить, а самим загуглить нужный сайт и зайти там в личный кабинет, чтобы сделать свои дела. Напоминаю, что все подозрительные ссылки вы можете проверить через VirusTotal или 2ip.

Если вам в какой-то момент начинают массово сыпаться СМС с восстановлением доступа из разных сервисов, то, скорее всего, ваш номер просто взяли под перебор. В этом нет ничего страшного, но зайти в эти сервисы и поменять пароли лишним не будет.

Ну вот и все. Рассылаем своим родным, дорогим и близким людям, чтобы они тоже поменьше нервничали и спокойно продолжали жить свою лучшую жизнь. Всем мир 🐶

#Кибергигиена

Твой Пакет Безопасности

Читать полностью…

Продолжаем ловить рыбу

Много раз уже с вами обсуждали всевозможные способы угона ваших телеграм-аккаунтов через поддельные сайты, приложения и сервисы (раз, два, три, четыре, пять), и то, как этого избежать. Но задумывались ли вы когда-нибудь о том, насколько сложно им создавать эти фишинговые ресурсы, которые позволяют перехватить доступ к вашему аккаунту сразу, как только вы попадаете на крючок?

В обычном мире IT есть такая штука, как веб-панель – это инструмент для комфортного администрирования серверов и любых ресурсов (например, сайтов), которые на них размещаются. Там всё удобно, красиво, с графиками, разноцветными кнопочками и картинками. Созданы веб-панели были для тех, кто особо не разбирается в разработке и обслуживании сайтов, чтобы упростить им жизнь и избавить от необходимости платить разработчикам или администраторам.

Так вот, злоумышленникам такая концепция тоже понравилась и они построили на ней полноценные платформы по созданию фишинговых ресурсов (да-да, тех самых, с помощью которых у вас и угоняют потом всё, что только можно). Там есть всё, что только можно придумать: шаблоны, инструменты для управления ботами, сбор статистики по угонам и переходам, редактор компонентов. И одни ребята из мира кибербезопасности сделали очень подробное исследование (нет, это не реклама) на тему таких аморальных веб-панелей – ссылка.

Я вам решил об этом рассказать не для того, чтобы вы пошли этими вещами пользоваться, а для того, чтобы вы понимали, что создать фишинговый ресурс для них практически ничего не стоит, они могут плодить их тысячами за очень короткие промежутки времени, копируя что угодно.

Но из-за того, что эта часть автоматизирована, а мошенники чаще всего не особо смышленые ребята, на этих фишинговых клонах можно найти очень много несостыковок, ошибок и того, что на настоящем сайте быть не должно: битых/нерабочих ссылок, кривых картинок, поехавших шрифтов, странных формулировок и прочих аномалий. Именно это и может спасти вас и ваших родных даже в том случае, если вы перешли по поддельной ссылке.

Так что будьте внимательны и бдительны, даже если заходите на какой-то сайт из поисковика (да, иногда они вкладываются деньгами в то, чтобы их сайт поднялся в поисковой выдаче).

Твой Пакет Безопасности

Читать полностью…

Цепочки поставок

Я уже несколько раз упоминал в канале странную штуку под названием Supply Chain или цепочка поставок (например, тут или здесь). Собственно, настало время немного подушнить разобраться в том, что же это такое. Вдыхаем и погнали.

Лично у меня, когда я только столкнулся с этим термином и типом атак, возникли трудности с осознанием самой концепции цепочки поставок (да, я не самый одаренный безопасник), поэтому я попытаюсь разобрать то, как это работает, максимально просто и "на пальцах".

Весь мир давно осознал, что создавать что-то с нуля и своими силами очень сложно и затратно. Именно поэтому вы покупаете автомобили, а не собираете их у себя в гараже, конечно же если вы не Доминик Торетто или владелец авто VAG-группы. По той же причине многие разработчики не пишут код с нуля, а переиспользуют уже готовые библиотеки и прочие компоненты, которые за них уже кто-то когда-то создал. Многие компании точно также не делают с нуля свои базы данных или какие-то сервисы, которые можно легко купить на рынке и поставить себе, особенно, если у сотрудников уже есть опыт работы с ними.

Ну а теперь пример. Представьте, что есть на рынке компания "Борщемания", которая готовит очень вкусные борщи, которые можно заказать прямо себе на дом. А теперь представьте себе очень плохих ребят, которые задумали напакостить жильцам какого-то конкретного района, например, того, куда доставляет наша "Борщемания". Что им нужно сделать? Все верно, что-то подмешать в блюда, которые готовятся на кухне этой компании. Звучит просто, но реализовать сложно – компания заботится о своей безопасности, поэтому на кухню посторонних не пускают, везде стоят камеры, а продукты заказываются у одних и тех же проверенных поставщиков. Заметили слабость? Поставщики. Если плохие ребята смогут выяснить, у кого "Борщемания" закупает морковку или специи, то можно будет атаковать цели уже через них – поставщики то давно проверены.

По итогу мы имеем полноценную атаку на цепочку поставок: злоумышленники находят самое слабое и легкодоступное звено, например, поставщика специй. Подсыпают в эти специи, которые они поставляют разным компаниям, что-то плохое, например, слабительное. Ну а дальше уже дело техники – партия зараженного испорченного товара уходит в "Борщеманию", там их добавляют в блюда во время готовки, а потом курьеры развозят то, что получилось по своим клиентам, которые ничего не подозревают. В итоге, проблема может коснуться еще и коммунальщиков. Более того, задеть может еще и побочные цели, которые также купили те самые специи у нашего поставщика.

Вот примерно так и работает атака на цепочки поставок, только в мире кибербезопасности и IT это касается уже не специй, а коробочного ПО, библиотек, образов и прочих компонентов, которые кто-то решает не писать с нуля своими силами, а купить уже готовое. Ну а заражается это всё не слабительным, а вредоносным кодом, например. В итоге взлому подвергаются все клиенты и потребители такого испорченного ПО или его компонентов.

Да, это уже не самый актуальный тип атак – шумиха вокруг него отгремела несколько лет назад, но мир все еще не научился полноценно защищаться от подобных угроз. Если в случае с компаниями, мобильными приложениями или чем-то виртуальным атака на цепочки поставок не кажется особо опасной, то представьте себе реализацию этой атаки на чем-то физическом и связанным с обыденной жизнью.

Напоминаю, что мы все еще пользуемся мобильными телефонами и автомобилями, внутри которых может быть что-угодно. Человечество все еще пытается нацепить на себя всё больше сложной техники по типу VR-очков, а некоторые уже сейчас готовы и хотят попробовать тот самый Neuralink от Илоны Маска. А что насчет людей, которым просто необходимо жить с микроэлектроникой внутри своего организма – с теми же кардиостимуляторами? В общем, есть о чем подумать на досуге.

Ну а для тех, кто уже знал, что такое Supply Chain Attack и прекрасно понимает его опасность, держите интересный факт, чтобы не зря время потратили: глаз страуса больше, чем его мозг.

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Иногда таланты даны от природы.

#КиберМем

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Всем подборкам подборка

В канале было уже несколько полезных подборок, которые не хотелось бы терять. Так что настало зафиксировать их в истории и в закрепленном посте, чтобы потом долго не искать 🤪

🎙 Подборка подкастов – ссылка

📼 Подборка фильмов № 1 – ссылка

📼 Подборка фильмов № 2 – ссылка

📼 Подборка сериалов – ссылка

📖 Подборка книг – ссылка

#Полезное

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Как сделать почтовую систему неуязвимой для кибератак? 

Разберемся на онлайн-митапе «Дизайн и харденинг почтовых систем: новогодний подарок для ИБ» от К2Тех. Он пройдет 17 декабря в 16:00.

Эксперты расскажут о значении харденинг подхода для комплексной защиты ИТ-инфраструктуры, а также поделятся рабочими технологиями для повышения безопасности периметра корпоративной почты.

На встрече вы узнаете: 
Как внедрить почтовую систему с применением харденинг подхода?Какие эффективные практики и инструменты харденинга используются на рынке?Как работает правило Парето на примере защиты почтовых систем?
Регистрируйтесь на митап по ссылке

Реклама. АО "К2 ИНТЕГРАЦИЯ". ИНН 7701829110.

Читать полностью…

Old Money Scam

Один британский оператор связи "О2" решил залететь сразу во все современные тренды и запустил нейросетевого секретаря, который перехватывает подозрительные звонки своих абонентов и начинает безустанно тратить их драгоценное время. В общем, меня решили заменить 😡

Имя этому творению dAIsy. Оно имитирует голос, интонацию и поведение пожилого человека, который, судя по рекламным материалам, ведет себя достаточно органично. По сути, это следующая ступень развития виртуальных помощников от наших операторов связи, которые также умеют перехватывать потенциальных мошенников (к сожалению, далеко не всегда удачно), но делают это все еще не очень "натурально", поэтому подобные разговоры с роботами достаточно быстро заканчиваются.

Маркетинг О2 заявляет, что dAIsy может протянуть в таком противостоянии аж 40 минут, запутывая злоумышленников, называя случайные данные, путаясь в мыслях и показаниях, ссылаясь на возраст и плохую память. Так вот, ради чего мы развиваем нейросетевые технологии ⌨

Мне интересно вот что – а может ли dAIsy случайно сгенерировать такую последовательность персональных (ну или других) данных, которая совпадет с настоящими (код восстановления доступа к сервисам, номер страхования и т.д.), что подставит пользователя, а злоумышленнику даст то, за чем он и пришел?

Ну что, ждем нейроСКАМщика со стороны злоумышленников?

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Как защитить API от угроз?// Как защитить API и сэкономить миллионы?

13 декабря в 11.00 приглашаем на бесплатный вебинар СберТеха «Атаки на API в 2024 году: примеры и способы защиты».

Вы узнаете:
• API как цель и универсальный вектор кибератаки
• Почему WAF не решает задачу безопасности API.
• Какие атаки на API произошли в 2024 году: анатомия взлома, аналитика и последствия.
• Как надежно защитить API и решить задачу безопасной интеграции систем (на примере решения Platform V SOWA).

Вебинар будет полезен CIO, CISO, архитекторам кибербезопасности, корпоративным архитекторам и ИТ-архитекторам.

Регистрация по ссылке!

Читать полностью…

Следующая неделька обещает быть очень жаркой по мероприятиям, но сегодня хочется упомянуть именно Security Confab Ultra Pro Max от VK.
 
Во-первых, мы с ними заинфопартнёрились 🥳
 
Во-вторых, как человек, который регулярно шляется по всевозможным конференциям и митапам, могу однозначно умозаключить, что если эти ребята что-то организуют, то делают это действительно качественно. Это касается всего: от площадки и программы до кейтеринга и активностей.
 
В-третьих, нас, судя по анонсу, ждет сочная программа: будут доклады и про нюансы безопасности облаков (аж 2 штуки), и много чего про алертинг, события и SIEM, и про тренды в мире киберуязвимостей. В общем, послушать что-то интересное точно будет возможность.

В-четвертых, зарегистрироваться на само мероприятие можно вот здесь – ссылка
 
Ну и в-пятых, у нас с ребятами есть одна идея – сделать для вас конкурс, призом в котором будет возможность посетить экскурсию по крутому офису VK. Что думаете – делаем или не делаем?
 
🍌 – делаем
👨‍💻 – не делаем

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Цифры, которые мы заслужили

Ребята из Rambler&Co тут провели исследование на тему кибермошенничества и решили пропиарить свой новый сериал под этим соусом.

Осуждать мы никого не будем, поэтому лучше посмотрим на результаты: подавляющее большинство (70%) так или иначе сталкивались с кибербулингом кибермошенниками, которые пытались получить доступ к их финансовым реквизитам (39%), логинам/паролям/кодам (34%), личным устройствам (16%) или паспортным данным (11%).

Грустно то, что всего 12% опрошенных используют двухфакторную аутентификацию, 5% используют антивирусы, и только 2% следят за своевременными обновлениями своих приложений и операционных систем 🤪

По заявлениям ребят в опросе приняло участие около 40 000 человек (что очень много для добровольной активности). Очень жаль, что исследование живет только в рамках этого новостного поста на сайте ТАСС, а не в виде отчета, где можно было бы удобно посмотреть подробности по выборкам. Иронично то, что позже на самом Рамблере все начинают просто ссылаться на источник в ТАСС 🏌️

Кстати, забавно то, что больше половины опрошенных заявляют, что их почти невозможно развести через мошеннические схемы 😬

Так и живем.

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

Ну да, не совсем в тему кибербезопасности (хотя прям рядом), но очень же смешно.

#КиберМем

🔒 Пакет Безопасности | 💬 Чат | ⚡ Другие каналы

Читать полностью…

🎉 Результаты розыгрыша:

Победители:
1. ㅤ (@Montilop)
2. Eroshin
3. #₽ (@Sampolai)
4. Serg (@SergV)
5. Work (@thepythonsofter)
6. Карасятина (@Zloy_Karas1)

Проверить результаты

Читать полностью…

Философский пост

В общем, тут недавно в чате канала (да, он существует) один человек затронул тему мотивации, поэтому я решил немного пораспинаться на эту тему, так как когда-то потратил на изучение всего этого много времени и совершил достаточно ошибок, от чего вас явно нужно уберечь. У меня нет какого-то своего отдельного канала под лайфстайл-контент, поэтому придется эксплуатировать под это дело основной. Так что погнали, и начнем мы с самого вопроса 👇

Вопрос не по теме, но все же наверное важнейший... кто как поддерживает мотивацию в изучении? Книг, курсов, и htb или аналогов хватает... как поддерживать мотивейшон? Ваши рекомендации...

Там же в чате можно найти и мой короткий ответ, но тему явно стоит раскрыть. Так вот, как мне кажется, когда человек начинает переживать за свою мотивацию (или задумываться о ее существовании), ему точно стоит обратить внимание на две вещи: свои цели и свою дисциплину. Разберемся по порядку.

В самом начале я бы обратил внимание на цель, ради которой вы вообще что-то делаете. Тут человечество за нас уже много чего придумало и назвало этот раздел мудрых знаний целеполаганием. Если коротко, то чтобы нормально поставить себе цель и ее декомпозировать (раздробить на этапы/подцели), нужно тоже постараться. И это очень важный этап, который станет вашим фундаментом для построения дома мечты.

Я не буду рассказывать, как это делать, так как там аж несколько полноценных методик придется расписать. Лично моя формула заключается в том, что цель однозначно должна вас зажигать (не быть навязанной обществом, например), она должна быть измеримой (чтобы вы могли однозначно понять, что она достигнута), она должна быть где-то зафиксирована (запишите ее, чтобы потом она не искажалась временем) и она должна быть достижима (мы же не хотим порваться на полпути). Если на этом этапе всё сделано верно, то ваша будущая жизнь может стать намного проще, и задумываться о мотивации вы не будете еще очень долго.

Идём дальше и переходим к дисциплине. Намерение, дисциплина, привычка, системность и еще куча аналогов из цитат и рилсов про качалку – как бы это ни было смешно, но сколько же там истины. Как показывает лично мой опыт, дисциплина всегда побеждает музу, вдохновение, эмоции, веяние мотивации и вот это вот всё. Касается это не только похода в зал, это связано с учебой, бытом, работой и даже отношениями. Вам нужно как можно раньше понять, как этот механизм работает именно у вас (да, универсальной формулы нет, увы), чтобы внедрять дисциплину там, где она вам может пригодиться (вот тут можно почитать чуть подробнее).

Ну и финальным аккордом я упомяну, пожалуй, то, что нужно учиться получать удовольствие не только от цели и взятия вершины. Учитесь кайфовать от самого процесса достижения этой цели, от вашей жизни и от тех моментов, из которых она состоит. Пытайтесь найти положительное даже в том, что, как вам кажется, превращается в рутину, будь то работой, бытом или учебой – вам это очень поможет, когда силы будут заканчиваться.

В общем, получился не пост, а цитатник оптимистичного Стэтхема, поэтому жду психологов, коучей и мудрецов в комментариях, чтобы развалить каждую букву в этом посте.

Всем мир.

Твой Пакет Безопасности

Читать полностью…

Деньги не пахнут

Или все-таки пахнут? Давно хотел как-то зацепить тему недавнего исследования зарплат айтишников и всё никак не мог найти подходящий повод. Источник, конечно, не самый репрезентативный (кто-то в IT ищет себе там работу вообще?), но что уж тут выпендриваться, цифры есть цифры.

Так вот, согласно результатам этого исследования, у рядовых кибербезопасников зарплата выросла на 16,7% за год и на 90,9% за 5 последних лет (не забываем про инфляцию и курс рубля). По этой статистике мы ощутимо обгоняем всех остальных айтишников, но есть одно "но": если посмотреть именно на размеры этих зарплат, то мир начнёт бледнеть, а в глазах начнёт темнеть. Само собой, нюансов много – не все светят ЗП в вакансиях, маленькая выборка, узкий рынок. Но 350к – далеко не максимальная зарплата в ИБ, как и 210 – маловероятно, что медианная.

Ну да ладно, настало время перейти к главному блюду – второму исследованию. Тут уже изучались не только зарплаты, но еще и уровень стресса кибербезопасников, а сделали это всё (внимание!) британские ученые. Ну и, соответственно, тут под прицелом был именно британский рынок, что не совсем одно и то же, что наш, но, как и подмечается в самом конце статьи, наши рынки весьма похожи (жаль, что не по финансам).

Зарплаты там у безопасников примерно в 2 раза выше, чем средние по стране, то есть получают они около 1 млн рублей в месяц. При этом, за последние 7 лет зарплата ИБшников выросла в среднем на 29%, а фунты – валюта постабильнее нашей.

Но интересно в этом исследовании не это. Интереснее то, как с этим связан уровень стресса кибербезопасников – согласно исследованию, 55% специалистов страдают от бессонницы, а 39% боятся, что у и них случится инфаркт 😬

Кажется, что не зря я не так давно распинался (раз и два) на тему выгорания в ИБ, но я надеюсь, что у нас в стране ситуация с этой статистикой получше. Насколько я понял, британские ученые в итоге выявили явную зависимость уровня зарплат от уровня стресса работяг.

А вы готовы пожертвовать своим здоровьем ради денег?
❤️ – здоровье
🍌 – деньги

Твой Пакет Безопасности

Читать полностью…

Настало время большого розыгрыша!

Мы тут собрались с крутыми ребятами и решили сделать очень приятно своим читателям и подписчикам 😌

Что же мы разыгрываем?
⚡ Годовая подписка на журнал "Хакер"
⚡ Кардхолдер с защитой от RFID
⚡ GPS-трекер
⚡ Книга "Контролируемый взлом. Библия социальной инженерии" – Ю. Другач
⚡ Книга "Компьютерные сети: принципы, технологии и протоколы" – В. Олифер, Н. Олифер
⚡ Книга "Современные операционные системы" – Э. Таненбаум

Всего будет 6 призовых мест, а итоги подведем 1-го декабря (в 18:55 по московскому времени) с помощью бота, который рандомно выберет победителя.

Для участия нужно:

1. Быть подписанным на канал: Пакет Безопасности;
2. Подписаться на каналы этих крутых и щедрых ребят: Белый хакер и Лаборатория хакера;
3. Нажать на кнопку «Участвовать»;
4. Ждать результатов розыгрыша

Не сдерживайте себя и не стесняйтесь звать своих друзей и коллег по цеху, чтобы они тоже получили шанс выиграть что-то полезное 👍

Бот может немного подвиснуть — не переживайте! В таком случае просто нажмите еще раз на кнопку «Участвовать».

Да пребудет с вами удача 🤔

Читать полностью…

🔒 Бизнес хочет недорого бороться с угрозами. CISO — выстроить максимально надёжный периметр. На бумаге можно спроектировать любую сложную систему защиты. Но найти на неё бюджет — целое искусство.

Учиться ему будем 22 ноября в 12:00 на вебинаре от MTC Web Services!

➡️ Зарегистрироваться ⬅️

В прямом эфире Виктор Бобыльков, CISO MTC Web Services, и Лев Палей, CISO «Вебмониторэкс», обсудят:

🔴Фреймворки по обоснованию затрат на кибербезопасность
🔴Как грамотно распределить бюджет на ИБ
🔴Какие альтернативы решению WAF есть в вашем распоряжении

Вы узнаете:
🟡Какие противоречия возникают между бизнесом и ИБ
🟡Какие затраты заложить на типовую архитектуру защиты веб-приложений
🟡Если бюджет порезали: на чём можно и нельзя экономить

🎁 Готовьте свои вопросы для экспертов: за лучший из них по традиции будет подарок от команды.

Приходите!

Читать полностью…

Компоненты AD Kerberos, Microsoft SQL Server и центр сертификации — как их взломать?
Научим на курсе “Атака на Active Directory". Авторы: HackerRalf (Михаил Порываев) и BlackRabbit (Павел Никитин), 5-кратные победители the Standoff

Старт: 16 декабря. Успейте приобрести курс по старой цене до конца ноября!*

Содержание курса:
- Архитектура AD и ее базис
- Харденинг в AD, добыча критичной информации, развитие по инфраструктуре
- Как закрепиться внутри? Техники и эксплоиты

На 100% прикладной курс:
практическая лаборатория AD содержит 16 виртуальных машин, позволяя участникам отточить свои навыки на практике в 100+ рабочих тасках

🏆 Сертификат / удостоверение о повышении квалификации 

*С декабря стоимость курсов увеличится на 15%

@Codeby_Academy
Подробнее о курсе

Читать полностью…