Пакет Безопасности

28 Oct 2023 17:55

​Всё очень сложно

Сегодня должен был быть пост, посвященный всяким душным терминам, инструментам и фреймворкам для безопасников, но я решил поделиться с вами парой мыслей и одной интересной статьей. Ах да, пост менее душным от этого не стал.

Так вот, в сфере кибербезопасности есть одна очень узкая ниша – хардверный реверс-инжиниринг и обеспечение защиты на уровне железа. Лично я считаю, что это самая сложная специфика во всём ИБ и приклоняю своё колено перед всеми, кто в этом действительно разбирается. На практике всё обычно защищается программными средствами, чтобы не допустить злоумышленников до того самого железа – контроллеров, микропроцессоров и прочих его элементов. Если у вас есть навыки хардверного инжиниринга, то на рынке вас оторвут с руками, причем за очень большие деньги.

Ну а по поводу интересной статьи – ребята из одной немалоизвестной компании (не реклама) сделали небольшое исследование на тему того, что устройства (которые есть уже практически в каждом доме) могут совершенно спокойно нас подслушивать (и не только) даже в выключенном состоянии. Разбор они сделали на примере самого обычного саундбара от компании Yamaha, раскрутив его по болтикам в прямом смысле этого слова. Так что рекомендую к прочтению. Да, там будет очень много непонятных слов, но я в вас верю.

Ну и небольшой вывод – все мы должны понимать, что абсолютно любое техническое устройство в нашем доме может собирать (и передавать) о нас информацию, вне зависимости от того, что производитель клятвенно будет убеждать нас в обратном. Ну а вам я советую не быть параноиками, пользоваться плодами технологической эволюции и принять суровую реальность такой, какая она есть.

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

26 Oct 2023 17:55

​Лабораторная работа по фишингу

Тут произошла одна ироничная и странная ситуация, к которой у меня сразу несколько вопросов. Но начнём с самой ситуации.

Дело было в Кемерово (это недалеко от Новосибирска) – там и живет главное действующее лицо этой новости – преподаватель по кибербезопасности одного технического ВУЗа. Ирония заключается в том, что он попался на фишинг и автоматически стал жертвой злоумышленников, добровольно отдав им 4 000 000 рублей.

Легенда мошенников заключалась в том, что его данные (и всего остального пед-состава университета) были проданы каким-то злоумышленникам, которые позже пытались взять (при помощи этих слитых данных) кредит на имя нашей жертвы, подтверждением чего стал наш любимый звонок из службы безопасности банка. Так вот, только после всего этого наш герой решил отдать деньги мошенникам.

Ну а теперь к моим вопросам и странной причинно-следственной связи. Во-первых, зачем преподаватель отдал деньги мошенникам уже после того, как данные были слиты? Во-вторых, почему нашу жертву так сильно волновал вопрос слитых ПДн? В-третьих, почему преподаватель по кибербезопасности не знает о том, что такое фишинг?

А еще, эта новость изначально была опубликована (внимание!) в официальном Телегам-канале "Главного управления МВД России по Кемеровской области – Кузбассу". Отсюда еще один вопрос – давно ли у таких заведений есть свои тг-каналы? Это конечно хорошо и удобно, просто очень неожиданно. Ах да, еще смутило то, что в этом Телеграм-канале очень уж детально раскрывают подробности этого преступления.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

24 Oct 2023 17:55

​Хакерский кэшбек

Не самая свежая, но интересная новость про то, как хакеров на официальную работу берут. Началось всё с того, что один злоумышленник взломал криптобиржу HTX (Huobi) в конце сентября и выкрал оттуда немаленькую сумму эфиров, а точнее – 5000 ETH (это примерно 8 000 000 долларов или 760 726 395 рублей).

Руководство компании не растерялось и решило сделать хакеру выгодное предложение в виде кэшбека (5%) от украденной суммы и должности советника по безопасности самой криптобиржи. Ну а от злоумышленника требовалось всего лишь вернуть всё украденное (которое он еще не успел потратить). В случае, если бы сделка не состоялась, представительство компании передало бы всю информацию об инциденте в правоохранительные органы.

По итогу предприимчивый хакер согласился на предложенные условия и получил всё обещанное, а именно – ту самую должность и премию в размере 407 000 долларов (или 39 700 000 рублей). Вот такой вот хэппи-энд.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

22 Oct 2023 17:55

Ну что, вот и прошла очередная неделя нашей с вами совместной жизни 🥳

Отметить это отличное событие, как и всегда, предлагаю отличным воскресным дайджестом того, что было на этом канале за последнюю неделю (про открытку тоже не забываем, да) 🥳

⚡️ Неделю начали канонично – с отличного кибермема – ссылка

⚡️ Обсудили пару киберинцидентов, связанных со сферой казино, которая, что логично, является лакомым кусочком для всех хакеров – ссылка

⚡️ Сказ о том, как хакеры автоматизировали и масштабировали взлом тысяч Телеграм-каналов – ссылка

⚡️ Небольшой сторителлинг и исповедь от меня на тему рекламы в канале – ссылка

⚡️ Пранк, которого заслужили все киберпреступники и прочие мошенники – ссылка

⚡️ Сборная солянка из хардскилловых полезностей из мира ИБ – ссылка

Твой Пакет Безопасности

Пакет Безопасности

20 Oct 2023 14:55

​Пранк, который вышел из под контроля

Сегодня предлагаю вам познакомиться с одной очень забавной историей годичной давности, на которую я сам недавно наткнулся.

Начнем с небольшой вводной. Проблема с телефонным мошенничеством, назойливыми звонками из "службы безопасности" банков и рассылками зараженных писем, как вы наверное догадываетесь, касается не только нашей страны. Сильнее всего эта зараза одолевает граждан США, но злоумышленники при этом работают из страны, где их дешевле всего нанять – из Индии. Там, как и у нас, организованы целые колл-центры и опенспейсы, занимающие по несколько этажей огромных бизнес-центров.

Собственно, именно такие ребята и стали целью одних медийных энтузиастов (в том числе и блогеров-пранкеров), которые решили подпортить жизь тем самым мошенникам. Разоблачить эти подпольные организации было бы слишком просто и скучно, поэтому наши робин-гуды решили сделать из этого целое шоу. Была организована целая операция длиною полтора года, со взломом инфраструктуры мошенников и внедрением своих людей в тыл врага. Финалом этого действа стала серия масштабных пранков с тараками, пищевыми красителями и виагрой. И да, всё это было направлено на тех самых работников "служб безопасности".

По итогу деятельность этих нечестных компаний была парализована на какое-то время (люди просто боялись выходить на работу), а всё это шоу было записано на видео с последующей публикацией. Вот тут можно чуть подробнее почитать про процесс всей этой пранк-операции, но видео (из первой ссылки) тоже советую глянуть.

Вот это я понимаю контент. Я лично обеими руками голосую за то, чтобы такое шоу повторили у нас в стране, тем более, что таких мошенников у нас хватает (если кто-то знает ребят из КЛИККЛАК, то можете передать им идею – успех обеспечен).

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

19 Oct 2023 17:55

Всем привет! 👋

Как вы (возможно) заметили, я недавно нарушил свое обещание, которое давал вот в этом посте. Обещание заключалось в том, что все рекламные посты будут помечаться специальным хэштегом #Реклама. Так вот недавно вышел пост (вот этот – он уже удалён, но не суть), где такой пометки не было. Связано это с новым законом о маркировке рекламы и тем, как сложно это всё теперь оформить, передать куда надо, не ошибиться и не нарушить тот самый закон.

Так что теперь иногда могут попадаться рекламные посты без хэштега или соответствующей пометки. Но я думаю, что вы прекрасно сможете отличить мой сторителлиг от присланного текста. И да, я всё еще бдительно слежу за тем, чтобы реклама была релевантной, полезной и без всяких СКАМов.

А еще, судя по одному из недавних опросов в канале, у нас тут достаточно много новобранцев, которые, скорее всего, не видели сообщений в закрепе. Поэтому рекомендую прочитать одни из первых постов (раз и два), чтобы лучше понять, о чём этот канал (да, фокус немного сместился, но всё же) и кто его автор (это я).

Вот и всё, больше новостей по каналу у меня нет, всем пока и хорошего вечера!

Твой Пакет Безопасности

Пакет Безопасности

17 Oct 2023 17:55

​Случай в казино

Сегодня будет отвлеченный пост на около-робингудскую тему. Так вот, есть теория, что казино всегда в выигрыше. И я думаю, что есть доля истины в этих словах, но вот только не тогда, когда эти казино атакуют хакерские группировки.

Так, например, совсем недавно один гигант из сферы отельного бизнеса (а еще и азартных игр) – MGM Resorts International понёс убытки (по предварительной оценке) на 100 000 000 долларов. А произошло это из-за успешной кибератаки со стороны пары хакерских группировок. Интересно то, что в результате атаки были выведены из строя различные платежные терминалы, игровые автоматы, банкоматы, онлайн-сервисы компании, но прямая выгода для злоумышленников пока не очевидна.

Кажется, что тут есть несколько вариантов – либо эти ребята сильно обиделись на казино после того, как оставили там свои деньги, либо основную пропажу пока не заметили (ну да, как в друзьях Оушена), либо им нужны были вовсе не деньги этой компании, а украденные (в ходе атаки) личные данные клиентов и посетителей этого заведения, что в перспективе может принести им еще больше выгоды.

Ну а месяцем ранее произошло нечто похожее, вот только там компания пошла на сделку с хакерами. Есть одна популярная сеть отелей (с казино, конечно же) Caesars, ее еще во всех голливудских фильмах показывают. Вот их то и взломали. Злоумышленники не только заразили внутренние системы Caesars Entertainment Inc., но еще и вытащили оттуда все личные данные клиентов этой компании.

Ну а дальше схема была стандартной – хакеры поставили ультиматум, в котором они либо получают вознаграждение, либо сливают все данные в сеть. Ребята из Caesars поверили и выплатили взломщикам 15 000 000 долларов. Данные в сеть пока не слиты (вроде как), но это не мешает злоумышленникам по-тихому их кому-то продать. Ах да, ирония этого случая в том, что вся эта история всплыла не из прямого обращения в СМИ, а через отчет для комиссии по ценным бумагам (той самой SEC, о которой вы наверняка слышали уже не раз).

Как-то так. Теперь вы знаете, что взломы и утечки данных бывают не только в нашей стране. А еще держите мем со звуком.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

15 Oct 2023 17:55

Вот и настало время очередного воскресного дайджеста!

Но сначала я хотел бы похвастаться вот этим – ссылка. Ну всё, я похвастался, погнали читать пост и дальше наслаждаться остатками выходных дней. И да, согласно новой традиции в канале, открытка входит в комплект дайджеста.

⚡️ Сложный и весьма насущный мем от подписчика – ссылка

⚡️ Биометрические утечки слюней – ссылка

⚡️ Разбираемся в самой громкой киберновости этой недели – ссылка

⚡️ Бесплатная юридическая консультация или дайджест свежих законов – ссылка

⚡️ Второй кибермем за неделю, который точно стоит вашего внимания – ссылка

⚡️ Подборка интересной статистики о работе РКН и утечкам – ссылка

Твой Пакет Безопасности

Пакет Безопасности

13 Oct 2023 17:55

У нас тут внеочередной КиберМем, сотканный из Твиттер-треда. Рекомендую к прочтению, так как история и ироничная, и тревожная.

Советую в таких случаях сразу отрубать все интернет-соединения (вплоть до роутера, если потребуется), и только после этого начинать разбираться с ситуацией.

#КиберМем

Твой Пакет Безопасности

Пакет Безопасности

11 Oct 2023 17:55

​​Так блокируем или не блокируем?

Ну что, все СМИ уже взорвались громкими заголовками (раз, два) о том, как наш любимый РКН тоннами закупает оборудование для блокировки всех зарубежных сервисов. Ну а чтобы новость звучала еще громче, её приправили названиями самых востребованных у нас в стране сервисов, таких как Ютуб, Телеграм и Вотсап. Вдобавок к этому, новостные издания упоминают еще и тотальную блокировку всех оставшихся VPN-протоколов, связывающих нас с другими государствами (внутренние затронуть не должны). В общем, описывается это всё, как тот самый тотальный суверенный чебурнет рунет, который мы уже не раз обсуждали.

Ну а теперь давайте попробуем разобраться в том, что произошло, и насколько это похоже на правду. Всё это началось с провокационной статьи на Инсайдере, сотрудники которого (согласно легенде) получили доступ к неким документам по закупке того самого оборудования. Бóльшая часть статьи состоит из хронологии того, как РКН уже пытался блокировать что-то на территории России, а также из предположений авторов касательно будущих глобальных блокировок. Статья очень большая и подробная, вплоть до указания опредленных моделей, стоимости и количества закупаемого железа. Лично у меня такие вещи только вызывают больше подозрений, так как я примерно понимаю, как подобные документы хранятся и в каком виде.

Еще, я конечно не знаю, откуда у этого СМИ появился доступ к таким материалам, но, судя по статье, там явно не пара договоров на закупку, а какие-то пароли, явки полноценные стратегические планы. Ребята даже посчитали, сколько потребуется узлов и единиц блокирующей техники для того, чтобы поднять глухой купол. Ах да, для того, чтобы все нейронные связи точно сошлись в головах читателей, в новостях указывается то, что оборудование для блокировок поставляет китайская компания Huawei (к слову, она правда на такое способна). Это конечно похоже на правду, но как-то непатриотично получается.

Может ли РКН в какой-то момент накопить, закупить, установить и настроить такое количество оборудования, чтобы устроить сетевой блэкаут всей стране? Конечно же может, но нюанс состоит в том, что это колоссальные трудо- и временны́е затраты. Вроде как ни для кого уже не сюрприз, что вероятность тотальной блокировки в какой-то момент станет реальностью, но нужно понимать, что даже если что-то закуплено, то это всё еще нужно развезти по ЦОДам, установить, настроить, протестировать (чтобы вообще всю сеть не положить) и запустить без вреда для необходимых внешних соединений (поверьте, такие есть и будут еще долго). А еще я напомню, что для всех вышеописанных действий нужны люди, причем не самые глупые.

В общем, расслабляемся и живем дальше. Даже если это и правда, то кажется, что ничего нового не произошло.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

10 Oct 2023 15:55

Человеческий фактор — причина множества инцидентов кибербезопасности. При этом компании, которые следят за уровнем киберграмотности сотрудников и проводят мероприятия для его улучшения, могут в разы сократить риски инцидентов. В частности, с помощью учебных курсов и тренировок по информационной безопасности можно снизить количество фишинговых атак внутри организации.

12 октября в 11:00 приходите на вебинар от провайдера облачных и AI-технологий Cloud․ru и узнайте, как улучшить кибергигиену в компании и тщательнее отслеживать атаки с применением социальной инженерии с помощью Security Awareness на базе решения от BI․ZONE.

В прямом эфире эксперты расскажут:
😶‍🌫 как снизить эффективность атак и повысить устойчивость сотрудников к фишингу в 9 раз;
😶‍🌫 как выявить подозрительное поведение сотрудников;
😶‍🌫 как повысить лояльность между HR- и ИБ-командами с помощью обучения;
😶‍🌫 как оптимизировать ресурсы компании благодаря учебной системе Security Awareness.

Для всех зарегистрированных участников будет доступна запись эфира и презентация спикеров.

✅ Зарегистрироваться на вебинар: https://sc.link/1NTP

Пакет Безопасности

08 Oct 2023 17:55

Всех с очередным воскресеньем!

Я тут осознал, что каждый раз, при публикации этих недельных дайджестов, я вас обделяю мемами. Событий в этом посте описывается много, поэтому мем тут подобрать будет сложно. Но я придумал кое-что получше!

Так что ловите отличнейший воскресный дайджест с обновленным оформлением 🤩

⚡️ Как и всегда, неделя началась с кибермема на злободневную тему – ссылка

⚡️ Оборотные штрафы и компенсация для граждан за утечки их данных (которые еще нужно будет постараться получить) – ссылка

⚡️ Душный кибербезовский пост про построение моделей угроз на все случаи жизни – ссылка

⚡️ Новая фаза борьбы с VPN в стране, и что с этим делать – ссылка

⚡️ Истории в Телеграме, "бусты" и СКАМ на ровном месте – ссылка

⚡️ Сказ о том, как нейросети в нашу жизнь продолжают проникать, и как это влияет на нашу безопасность – ссылка

Твой Пакет Безопасности

Пакет Безопасности

07 Oct 2023 15:55

🔐 Key Management Service — сервис для управления ключами шифрования от Yandex Cloud

Используйте ключи, чтобы защитить секреты, личные данные и другую конфиденциальную информацию, которую вы храните в облаке.

Теперь в сервисе стала доступна асимметричная криптография и подпись данных. Подробнее читайте в нашей статье.

Реклама ООО "Яндекс.Облако" ИНН 7704458262

Пакет Безопасности

05 Oct 2023 17:55

​Как в стране с VPN-ом боролись

Ну что, дамы и господа, запасайтесь VPN-приложениями впрок, потому что у нас тут подъехала новая инициатива, связанная с удалением из магазинов (AppStore, Play Market, само собой RuStore и прочих) всех VPN-клиентов. Думаю, что ребята сначала вычистят всё, что содержит в своем названии или описании те самые три заветные буквы, а потом уже будут дочищать остатки. Начнется всё это 1 марта 2024 года.

И да, судя по всему, блокировка VPN-протоколов уже выкручена на максимум, поэтому мы потихоньку переходим к следующей фазе. После этого, скорее всего, подобные меры коснутся не только мобильных устройств, но и ПК, браузеров (а точнее их плагинов) и вообще всего, до чего сможет дотянутся РКН.

Само собой, инициатива подаётся под соусом недопуска граждан к экстремистским приложениям (ну вы сами поняли, о каком из них идет речь). Ну а мы с вами уже научены опытом с санкицями и банковскими приложениями, поэтому вы знаете, что делать.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

04 Oct 2023 14:55

Что я понял за 10 лет разработки игр?

Первое - это то, что создать игры может любой. Я три раза оставался на второй год в восьмом классе и не закончил школу, ну и соответственно не закончил ни универ ни колледж.

А также я не знал английского. А с математикой вообще беда была.
Но это не помешало мне стать разработчиком игр, поработать в США в компании Dusk Games а сейчас являться владельцем свой студии разработки игр.

Мог ли кто-то 10 лет назад поставить деньги что у меня всё это получится? Конечно нет.

Второе - это то, что чтобы стать разработчиком игр не нужны деньги. Десятки школ сейчас продают за кучу денег то, что в интернете бесплатно. Я начинал бесплатно и за 10 лет собрал лучший материал который хочу вам подарить.

Вы спросите, зачем я это делаю?

Я против плохих школ программирования а ещё я так пиарюсь, честный обмен, вам детальная инструкция как стать программистом с нуля без денег, а с вам подписка.

Забирайте инструкцию здесь - /channel/sakutin_guides_bot?start=TelegaIn_0310

Реклама. ООО "Я-ЮНИОР". ИНН 7810949248. erid: LjN8KMUie

Пакет Безопасности

27 Oct 2023 17:55

​Заповеди, которые мы заслужили

Казалось бы, как можно урегулировать деятельность хакеров или попробовать загнать их действия в какие-то гуманные рамки. А вот ребята из Красного Креста (это такое международное гуманитарное движение) попытались. Они опубликовали аж 8 правил, которым должны следовать все гражданские (что бы это не значило) хакеры при ведении любой кибервойны. По сути, это преимущественно запреты на всё негуманное и аморальное, а тончее:

Запрет на:
⛔️ осуществление кибератак на гражданские объекты;
⛔️ использование вредоносного ПО (вирусы, шифровальщики и прочие), которые бесконтрольно наносят всем ущерб;
⛔️ проведение кибератак против медицинских и гуманитарных объектов;
⛔️ проведение кибератак против объектов, необходимых для выживания гражданского населения;
⛔️ подстрекательство к нарушению любых норм международного гуманитарного права;

Ну и плюс к этому:
⛔️ избегание ущерба для гражданских лиц при проведении атак;
⛔️ непринятие любых угроз насилия в отношении гражданского населения;
⛔️ соблюдение вышеупомянутых правил даже если их игнорирует противник.

Судя по всему, под гражданскими хакерами ребята из Красного Креста подразумевают любых граждан, которые самостоятельно решили перейти на тёмную сторону и ввязаться в кибербой. И да, само собой, это заявление гуманитарной организации сразу вызвало бурления среди многих хакерских группировок. Бурления основаны на том, что эти правила банально ослабят ту сторону, которая первая им подчинится. Вот так мы и регулируем киберпространство.

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

25 Oct 2023 17:55

​Безопасности пост

У нас тут всё-таки Пакет Безопасности, поэтому пора вспомнить былое базовые принципы для защиты своего аккаунта в нашем любимом мессенджере – Телеграме. Да, мы уже обсуждали с вами эту тему раньше (например, раз, два, три), и я помню даже, как делал подборку постов по кибегигиене в тг (раз, два), но в последнее время что-то участились взломы и угоны аккаунтов, поэтому пора освежить информацию и быстро пробежаться по самому важному и основному.

В первую очередь помните, что самый важный для вас раздел в приложении называется "Конфиденциальность" (найти его можно на экране настроек). Рекомендую туда зайти хоть раз и пробежаться по всем пунктам, может найдете для себя что-то интересное и новое. Второй по важности раздел – "Устройства". Именно туда надо бежать со всех ног, если у вас возникли подозрения, что ваша сессия взломана и кто-то прямо сейчас что-то делает с вашего аккаунта.

Так вот, вернемся к настройкам "Конфиденциальности". Тут сразу рекоменду настроить "Облачный пароль" – это тот самый второй фактор для авторизации на новых устройствах. Да, некоторые его умельцы уже научились обходить, но он действительно может спасти вас, так что лишним не будет. Пароль надо будет запомнить и сохранить в укромном месте.

Если вы пользуетесь новой встроенной функцией "Кошелек" (бывший wallet) для криптовалютных операций или иными платёжными ботами, то рекомендую также настроить "Код-пароль" в том же разделе "Конфиденциальности". Там есть и альтернатива в виде удобного Face ID. Данная функция по-умолчанию активирована на всех ваших мобильных банках, так что тут сомнений в ее необходимости быть не должно. К слову, встроенный криптокошелек рекомендую освоить – крайне удобная вещь и даже замена криптобиржам.

Ну и регулярно проверяйте раздел "Устройства", не ведитесь на те самые конкурсы детских рисунков и не заходите ни на каких сайтах через ваш тг-аккаунт. Все ссылки, которые я приложил выше, рекомендую также протыкать и почитать. Само собой, не стесняйтесь делиться этой памяткой с вашими родными и близкими. Всем мир.

#КиберГигиена

Твой Пакет Безопасности

Пакет Безопасности

23 Oct 2023 17:55

А вот и мем от одного из читателей на тему, которую мы с вами когда-то обсуждали тут и тут.

#КиберМем

Твой Пакет Безопасности

Пакет Безопасности

21 Oct 2023 17:55

​Видел кто форточку?

Почти 2 недели у нас тут не было душно-технических постов на тему кибербеза и IT, поэтому налетайте (или вдыхайте). Понасобирал для вас за это время немного полезного добра.

Начнем с события от одного крутого проекта – Paralelní Polis (эти ребята двигают европейский кибербез вперед). Так вот, у них не так давно завершилось одно мероприятие, посвященное информационной безопасности (HCPP23), запись которого уже можно глянуть на их канале (вот тут). Если будет сложно с переводом, то новая нейронка от Яндекса в помощь.

Далее ловите интересный пост от одного (то ли индийского, то ли тунисского) коллеги из кибербеза, который бережно собрал для нас список полезных ресурсов на тему Red-тима. Там есть и техники, и фреймворки, и бесплатные инструменты, которые будут также полезны ребятам из синей команды. Пост выложен на линкедине, поэтому для просмотра может понадобиться рабочий впн.

Ну и на десерт – комплексный гайд для тех, кто хочет разобраться с обеспечением и тестированием безопасности нанотехнологий всего, что связано с web3 – ссылка. Тому, кто это собрал и структурировал – низкий поклон.

Ну вот и всё, идём изучать всё это добро и выдыхаем.

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

20 Oct 2023 12:55

О безопасности цепочки поставки за 7 минут

В новом выпуске Security Small Talk эксперты продолжат тему атак на модели доверительных отношений и расскажут о компрометации цепочки поставок программного обеспечения.

Смотрите, чтобы узнать:
🔹Что такое безопасность цепочки поставки ПО с примерами атак
🔹Какие угрозы возможны
🔹На что обращать внимание при обеспечении безопасности цепочки поставки ПО

Все видео Security Small Talk можно найти здесь

Реклама. АО "ИНФОСИСТЕМЫ ДЖЕТ". ИНН 7729058675. erid: LjN8KKmnm

Пакет Безопасности

18 Oct 2023 17:55

​Зачем свой тг-канал, если можно одолжить чужой?

Возможно вы лично заметили (а может, как и я, не заметили), прошлой ночью были взломано больше тысячи Телеграм-каналов (с суммарной аудиторией порядка 19 000 000 пользователей) с последующей публикацией в них своих постов. Во взломе принимала участие проукраинская хакерская группировка NLB, поэтому содержание постов вполне предсказуемое – информация об очередном взломе очередной отечественной компании. Приправлено всё это было частичными плодами взлома, а именно, ссылками на файлы, содержащими в себе персональные данные 100 000 клиентов компании-жертвы (DIKIDI).

Теорий о том, как именно был осуществлен массовый взлом Телеграм-каналов много, но наиболее правдоподобная из них та, что связана с ботом-отложкой. Это такие тг-боты, в которые можно загрузить заранее написанные посты для своего канала и настроить их отложенную публикацию, например, на неделю вперед. Так вот один из таких сервисов, а именно SmmBox, и был взломан, а через него уже были выложены подобные посты.

Ну а в виде бонуса для тех, кто решит скачать эти файлы с ПДн по ссылкам, в них был зашит вредонос. Поэтому, еще раз всем напоминаю, что даже если вы где-то увидите ссылки или файлы с подобным контентом, взаимодействовать с ними крайне не рекомендуется.

Судя по всему, это такая своеобразная месть участников хакерской группировки за то, что их личный канал в Телеграме был заблокирован. Да-да, у таких ребят зачастую есть свои каналы, где они и публикуют результаты своей незаконной деятельности. В общем, лично мой уровень тревожности чуть поднялся, так как я тоже пользуюсь подобным ботом. Так и живем.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

16 Oct 2023 17:55

На заметку ☝️

#КиберМем

Твой Пакет Безопасности

Пакет Безопасности

14 Oct 2023 17:55

​Статистики пост

Роскомнадзор тут подвёл полугодовые итоги по блокировкам всего и вся в интернетах. За последнее время РКН наделили немалым количеством полномочий (и продолжают наделять), поэтому они научились блокировать то, что раньше не умели и не пробовали (те же впн-протоколы). Помимо этого, рукавицы закона также продолжают сжиматься, поэтому за последние полгода РКН преуспел в этом виде спорта и заблокировал более (!) 850 000 сайтов, что на 85% больше, чем год назад. Думаю, что за следующее полугодие статистика еще подрастет, особенно с учетом того, что теперь им нужно блокировать все интернет-ресурсы, которые так или иначе рассказывают о способах обхода блокировок. Так что "то ли еще будет".

А еще я тут наткнулся на статистику по утечкам, которую РКН подвел пару месяцев назад. Судя по ней, за последние 2 года количество утечек чувствительной информации у нас в стране возросло аж в 40 раз. Судя по этой статье, в 2021 году было всего 4 (!) утечки персональных данных. Там есть еще парочка полезных статистических выводов (кроме капитанского умозаключения про то, что виноваты не только операторы данных, но и хакеры) и цифр, поэтому советую почитать на досуге.

Мем я этот уже использовал, но лучше я найти не смог, извиняйте.

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

12 Oct 2023 17:55

​Юридическая консультация

Как я и говорил ранее, юриспруденция и безопасность неразрывно связаны. Особенно во времена, когда каждую неделю появляется всё новые инициативы и законы. Так что сегодня предлагаю посмотреть, что из новинок уже вступило в силу с этого октября (и не только), и как это связано с нами.

Начнем со сливок – разглашение персональных данных и информации о рекомендательных алгоритмах. Теперь практически любые сайты и интернет-ресурсы обязаны раскрывать информацию о своих пользователях и о том, как работают их механизмы рекомендаций.

Следующий лот – двухфакторная аутентификация. На Госуслугах она стала теперь обязательным атрибутом входа на платформу. Такое мы одобряем. Думаю, что скоро выйдет закон, который будет все сайты перетягивать на подобную схему. Такое мы одобряем.

Идем дальше. С 21 октября ЦБ сможет напрямую контактировать с МВД в части подозрительных денежных переводов, ну а сами банки, через которые эти переводы были сделаны, смогут временно замораживать подобные транзакции. Надеюсь, что это поможет бороться с мошенниками, а не с оплатой овощей на рынке.

Ну и на финал я приберег для вас инициативу от ФСБ, согласно которой скоро будет расширен перечень информации о пользователях/клиентах, которую сайты и прочие интернет-сервисы (то есть операторы ПДн) должны собирать и хранить. Делать они это должны будут не просто так, а для того, чтобы ведомство смогло оперативно получить доступ к этим данным в случае чего. Ну а хранить надо будет всего-то данные о геолокации и о платежных средствах человека (это в дополнение к перепискам, аудио-сообщениям и прочей информации). В общем, утечки наших данных теперь будут еще критичнее. Так и живем.

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

10 Oct 2023 17:55

​Аж слюнки потекли

Обычными утечками сегодня уже никого не удивишь, поэтому хакерам приходится идти на крайние меры. Небольшая вводная – есть такой сервис 23andMe, который предоставляет услуги по получению информации о вашей родословной, генеалогическому древу и генетике в целом. Делают они это на основе полученных образцов вашей слюны.

Ну а сама новость заключается в том, что злоумышленники взломали этот сервис и получили доступ к данным миллионов пользователей. И это не просто ироничная история с очередным взломом, так как данные, которые содержатся на этой платформе крайне критичные и личные – информация о состоянии здоровья, фенотипе, генетических связях, фотографии и так далее.

Более того, даже в даркнете не все форумы готовы размещать у себя подобную информацию (слитые логины и пароли пользователей) по разным соображениям. Компания же отрицает инцидент и, судя по всему, не собирается вести переговоры со злоумышленниками. Винить их в этом сложно, а вот во взломе (если он был) – вполне. Ждём, когда протечет еще какая-нибудь биометрия.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

09 Oct 2023 17:55

А вот и жизненный мем от одного хорошего человека на насущную тему.

#КиберМем

Твой Пакет Безопасности

Пакет Безопасности

07 Oct 2023 17:55

​Сгенерированный заголовок

Сегодняший пост предлагаю посвятить теvе угасающего хайпа искусственного интеллекта. Ажиотаж вокруг этой темы начинает спадать, но, тем не менее, ИИ успел запустить свои щупальца во многие сферы нашей жизни, и, более того, продолжает это потихоньку делать. Так что настало время обсудить, что там нового придумали эти кожаные мерзавцы.

Начнем с японцев, которые продолжают жить в своем 3023 году. Там полицейские начали использовать ИИ для предотвращения преступлений (про Окулус помните?) в интернетах. В целом, ничего сложного, теперь им просто проще будет выявлять провокационные и заведомо опасные фрагменты текста с учетом контекста, на что раньше уходило слишком много времени и ресурсов. Видимо, японские ребята думают, что об анонсах кибератак часто пишут на сайтах и открытых форумах, но, к сожалению, это не так. Но вообще, думаю, что подобные системы предотвращения преступлении на базе нейронок будут усовершенствовать и когда-то мы можем дойти до уровня "Особого мнения" (если кто не смотрел этот фильм, то советую).

Еще, я тут пока изучал нейросетевые инфоповоды, наткнулся на немного запылившуюся новость о том, что (внимание) администрация Байдена-Харрис скоро запустит киберсоревнования с искусственным интеллектом (AI Cyber Challenge) для защиты критически важного программного обеспечения. Курировать это мероприятие будут большие дяди, такие как Google, Microsoft и OpenAI. Лично я не могу не порадоваться за то, что в кибербез (а точнее, в AppSec) будет вложено столько сил и денег, что привлечет к сфере еще больше внимания. В общем, радуюсь и надеюсь, что у нас тоже что-то такое когда-нибудь устроят.

Ну и напоследок – новость про то, что Bing (это тот самый поисковик от Microsoft со встроенным ИИ) не ограничивает себя в том, чтобы в своих сгенерированных ответах на вопросы пользователей отображать ссылки на зараженные сайты, файлы и прочие интернет-ресурсы. В общем, доверчивые пользователи могут запросто перейти на вредоносный сайт в поисках ответов на свои вопросы, а Bing будет не против. В целом, ничего нового (что-то подобное мы уже обсуждали тут), нужно просто всегда держать в голове, что в интернетах доверять нельзя даже искусственному интеллекту, который может обучаться на тех же вредоносных данных.

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

06 Oct 2023 17:55

​Как тг-админов СКАМят

Если среди нас есть владельцы Телеграм-каналов или их админы, то этот пост для вас. Ну а всем остальным думаю тоже будет полезно узнать, что проблемы с интернет-мошенничеством касаются далеко не только подписчиков тг-каналов и участников аналогичных чатов.

Как вы все уже успели заметить, в Телегаме появилась новая функция публикации историй (как в одной другой популярной социальной сети). Ну а мы с вами уже уяснили одно правило, что любая новая функция влечет за собой новые схемы мошенничества. Так вот, публиковать истории можно только в том случае, если канал собрал необходимое количество "бустов" от своих премиум-подписчиков. Все каналы тут же начали просить отдать эти "бусты" по специальным ссылкам, но большим каналам набрать этот минимум оказалось не так уж и просто (даже после балансировки процента "бустов"). Это и вызвало появление опции накрутки голосов за счет ботов с оплаченной премиум-подпиской.

Деятельно эта не совсем легальная, а значит никак и ничем не регулируется. По итогу некоторые поставщики этой нелегальной услуги начали банально продавать воздух, получая деньги от отчаявшихся админов. Делают они всё по-умному – через однодневных ботов, либо через подставные тг-аккаунты. Владельцев каналов просят либо ввести данные карты в специальных формах, либо сделать денежный перевод на необходимую сумму. Итог, как и всегда, очевиден – деньги потрачены, услуга не оказана, а пожаловаться-то и некому.

К слову, я пока даже не разбирался, где эту ссылку для сбора "бустов" брать. Ну и да, что публиковать в историях канала я тоже пока не придумал, поэтому, если у вас будут идеи, то накидывайте в комментарии. Всем добра.

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

04 Oct 2023 17:55

​Ты мне угрожаешь?

Судя по количеству репостов прошлого душного поста про трушный кибербез (вот этого), безопасников тут всё еще много, и такой контент пользуется популярностью (аж 118 репостов!). Поэтому предлагаю вдохнуть всем, кто пришел почитать что-то бытовое и задержать дыхание буквально на один пост. Потом можно будет выдохнуть.

Про то, как защищать облака и строить безопасную архитектуру мы с вами недавно уже поговорили, поэтому сегодня обсудим то, с чего всё и должно начинаться. А точнее, с модели угроз. Это именно то, на базе чего и нужно формулировать и выдвигать требования, а не делать это вслепую, с пенного рта доказывая бизнесу, что "ну просто так надо, так делают все". В общем, вы всё поняли, поехали.

Здесь можно почитать про методологии – раз, два

Вот тут можно найти подсказки для создания модели угроз для мобильных приложений – раз, два

Вот тут аналогичная штука, но уже для облаков – ссылка

Тут можно наглядно посмотреть, как модель угроз буквально отрисовывается в формате Майнд-мапа (удобно и красиво) – ссылка

А вот тут вообще целый альманах полезных ресурсов для построения и улучшения вашей модели угроз – ссылка

Ну и на финал – бонус в виде готового плейбука по созданию модели угроз – ссылка

Всё, выдыхайте. А кибербезопасники и айтишники – скорее бегите репостить это своим друзьям, коллегам и интересующимся. Нам надо бить рекорды!

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

03 Oct 2023 17:55

​История длиною в 2,5 месяца

Около недели назад вышла очередная новость по поводу тех самых оборотных штрафов (которые мы не раз обсуждали, например тут) за утечких наших с вами персональных данных. Не стал сразу писать пост на эту тему, так как думал, что внесут еще какие-то правки из-за возмущения масс, но нет, ничего не произошло, поэтому поехали разбираться.

Как и обсуждалось ранее, для компаний, которые слили наши данные, будут сразу введены льготные условия по штрафам за это деяние. Если компания компенсирует ущерб своим жертвам (всем или какому-то проценту – не ясно), то к ней будут применены льготные условия. Из интересного – сам алгоритм этой компенсации и сроки, в которые эту выплату можно таки получить.

- Сначала компания сама должна будет уведомлять жертву об утечке ее чувствительных данных (срока нет).
- Затем, если жертва захочет получить компенсацию (ну а вдруг нет), то она должна будет подать соответствующую заявку через Госуслуги (15 рабочих дней).
- После этого (начнется стадия торга) компания рассмотри ваше заявление и предложить свой размер (общий для всех пострадавших) компенсации (20 рабочих дней).
- Потом вы либо принимаете, либо отклоняете это предложение (20 рабочих дней).
- И финал – если подавляющее большинство согласится с размером компенсации, то компания её всем выплатит (5 рабочих дней).

Итого, у нас получается 60 рабочих дней, не считая того периода, который пройдет между самой утечкой и моментом уведомления жертвы о ней. На минуточку – это около 2,5 месяцев ожидания, торга и подач заявлений на Госуслугах. И да, это может быть спойлером, но у меня есть предчувствие, что все будут соглашаться с размером предложенной компенсации, ибо, в противном случае, жертвы вообще ничего не получат, а компания просто заплатит большой штраф не в их пользу.

Плюс к этому надо помнить, что утекли уже почти все наши данные, поэтому доказывать вред от новых утечек будет крайне сложно (но возможно). Но если мыслить позитивно, то хоть какая-то компенсация лучше, чем её отсутствие. Так и живем.

#НовостьДня

Твой Пакет Безопасности