Блог CISO

Иногда я выхожу из кабинета и смотрю на вас, коллеги. Кто-то правит конфиги в проде, кто-то ставит непроверенные библиотеки с GitHub-а, кто-то рисует схемы архитектуры на салфетке. И я понимаю, что наша лучшая защита — это то, что даже мы сами не понимаем, как это всё толком работает. Злоумышленники надеюсь тоже. С пятницей.

Коллеги, вот смотрю я на дашборд в grafana и вижу красивую ровную линию CPU на всех серверах. И тишину в чате инцидентов. И меня охватывает тихая паника. Потому что я знаю: это не идеальная работа инфраструктуры. Это значит, что агенты мониторинга легли, а где-то в тишине уже пылает RAID-массив, молча посылая нам последний предсмертный сигнал. Разберитесь!

Коллеги, объявляется конкурс на самый безопасный способ передачи кредов. Слава из поддержки, который кричал пароль через всё открытое пространство офиса, дисквалифицирован. Принимаются новые предложения. Вариант «написать маркером на лбу корпоративного кота» уже рассмотрен и отклонён. Кот сбежал в соседний бизнес-центр к конкурентам.

Коллеги, сегодня на моих глазах Лариса Ивановна подсела к бедному Петру из отдела финансов, начала заговаривать ему зубы, нервно качая ногой из стороны в сторону, и, как бы «случайно», нажала длинным носом своей туфли кнопку питания его компьютера. Пока Пётр в шоке проверял, сохранились ли его эксельные таблички, эта мышь побежала в свой кабинет сверкая пятками, зашла в свою учётку и украла его лицензию 1С. Оказалось, это древний ритуал запуска 1С при лимите программных лицензий, который она унаследовала ещё от предыдущего главбуха. Право, я никогда не встречал людей страшнее и безжалостнее бухгалтерии.

Коллеги, добрый день! Хочу поделиться первыми успехами нашего нового курса «Кибергигиена для людей с низким IQ». Занятия проходят в переговорке «Альфа», так как там нет розеток в зоне досягаемости слушателей. Итак, первые результаты: 1. Модуль «Пароли». Усвоили, что «12345» — это плохо. Перешли на «123456!». Прогресс налицо. Артём предложил каждый квартал при смене пароля добавлять очередную цифру текущего года. Коллеги были впечатлены и предложили его кандидатуру на должность ведущего архитектора ИБ. 2. Модуль «Фишинг». После объяснения, что почтовый ящик support@wilbderries[.]ru надо рассматривать, как поддельный, выяснилось, что Лариса Ивановна не видит разницы между «b» и «d». Мы пересматриваем программу. Добавляем модуль «Буквы: сходства и различия». 3. Практическое занятие «Подозрительная ссылка». 100% слушателей (выборка: 5 человек) успешно прошли тест, кликнув на баннер «ВЫ ВЫИГРАЛИ АЙФОН!». 4. Вопрос от аудитории: «А если я получу письмо от гендира с просьбой срочно купить Apple Gift Card и переслать ему код, это тоже мошенники?». Я не ответил, вышел покурить. Наш гендир и правда просил её купить, чтобы установить «Как достать соседа» себе на айфон…

Коллеги, с Днём программиста! 🎉 Желаю, чтобы переменные были предсказуемыми, а требования заказчиков — постоянными. Пусть ваш стек технологий не устаревает, как шаблонные шутки про PHP, а pull request’ы принимаются без комментариев «нужно переписать всё». Отмечайте ответственно — без деплоя в прод после третьего тоста.

Коллеги, доброй пятницы! Предупреждаю, баги, найденые после 15:00 считаются фичами до понедельника.

Коллеги, с понедельника запускаем курс «Кибергигиена для людей с низким IQ». Объясняем, почему действительно нельзя подключать к рабочему ноутбуку USB-флешку с надписью «Не открывать». После курса выдаётся сертификат — его можно отдать в отдел кадров, подшить к диплому о высшем образовании. Пожалуйста, расскажите коллегам, которым тяжело читать сообщения без картинок. Верю в вас!

Коллеги, провайдер прислал уведомление, что наши серверы участвуют в DDoS-атаке на какой-то корпоративный сайт. Я всё прояснил, это не DDoS, а Олег узнал про ДМС.

Коллеги, наш IDS начал детектировать подозрительную активность в VLAN бухгалтерии. Оказалось, Лариса Ивановна установила «Ускоритель сети. Бесплатно» из рекламы в интернете. Софт туннелировал трафик через серверы экзотической юрисдикции и параллельно майнил крипту. Лариса смогла смотреть рецепты безглютеновых пирогов на ютубе, а в её системном блоке можно было этот пирог испечь. Ещё одна такая выходка — и бухгалтерия будет переведена на калькуляторы.

Коллеги, я как-то уже затрагивал интеллектуальные кружочки нашего отдела аналитики внутренних коммуникаций, хотелось бы чуть подробнее раскрыть тему. Каждый понедельник они обновляют дашборды на основе данных из Kafka, которые должны «раскрывать потенциал бизнеса». На практике это выглядит примерно так: — График №1: «Динамика потребления кофе в разрезе отделов». Оказалось, что разработка пьёт в 3 раза больше нормы, а бухгалтерия предпочитает чай — разбирают риски для продуктивности. — График №2: «Корреляция между дедлайнами на день и количеством опечаток в чате». Пик ошибок приходится на 16:00 — видимо, именно в это время мозг сотрудников начинает превращаться в фарш. — График №3: «Тепловая карта передвижений гендира по офису». Теперь мы знаем, что он 5 раз в день заходит в комнату переговоров — предположительно, чтобы спокойно полистать мемы. Но за всем этим видом бурной деятельности, аналитики забыли настроить права доступа к дашбордам, и теперь любой стажёр может увидеть, что гендир гуглил в два часа ночи. Подсказка: это не «стратегии роста бизнеса». Дашборд экстренно отключен, с аналитиками проведена беседа на тему «Как не показывать всему миру, что начальство тоже люди, а вы идиоты».

Коллеги, я постоянно напоминал вам о важности блокировки рабочих устройств, когда вы куда-либо отходите. Забудьте. Я таким образом узнал, что Артём ведет авторский блог со своими мыслями. Кто-то скажет, что они примитивны и не уникальны, но среди тысячи однотипных постов, типа «если жить, то красиво» в день, когда его взяли на полную ставку или «не бойся драться с теми, кто сильнее» в день, когда он поставил клоуна на мое сообщение в чате, я нашёл настоящее золото, как: 🐺 «Нет бэкапа — нет жалости, умрешь в проде — хоронить будут в корзине»; 🐺 «Патчи пишут для того, чтобы твою дыру не проэксплуатировали»; 🐺 «Аудит — это как поход к зубному. Больно, но потом год жить можно без страха». В общем, пацаны и пацанессы, запомните — путь юного джуна не для слабаков. Кто запомнит, тот пусть не забудет.

В продолжение предыдущей истории.

Коллеги, новый ИИ-ассистент для код-ревью начал слишком серьёзно относиться к своей работе. Внедряли мы его с благой целью — чтобы автоматически находить уязвимости, стилистические косяки и код, написанный в 4 утра под влиянием чрезмерного количества виски. В шутку прозвали его «сраным цензором», а он, как выяснилось, обид не прощает. Этот подонок самостоятельно научился анализировать комментарии в коде. Теперь если вы напишете «// TODO: переписать это когда-нибудь», он ответит: «Когда-нибудь наступило». А если обнаружит «// это костыль, но работает», то заводит тикет с пометкой «Архитектурный кризис — требуется интервенция». Самое страшное: он интегрировался с SIEM, проанализировал логи наших прошлых инцидентов и заявил: «Если бы меня слушали раньше, не пришлось бы восстанавливать данные из бекапов 2018 года». Вот думаем, научитя ли он писать заявления на увольнение до конца квартала.

Коллеги, проект по миграции в облако завершился тем, что мы перенесли туда всё, кроме здравого смысла. Наши виртуальные машины в облаке работают медленнее, чем старый сервер в подсобке, потому что архитектор выбрал тариф «для экономных стартапов», а мы — не стартап, и экономность наша закончилась на тестовых серваках. Самое забавное, что наш локальный сервер, который мы должны были выключить, до сих пор работает — потому что никто не знает, как его безопасно отключить: на нём висит тот самый скрипт на Perl, автор которого уже давно делит последний банан с мартышками на Бали. Финансовый директор уже прислал мне три панических письма с просьбой провести расследование и объяснить, почему счёт за «воздух» превысит годовую зарплату всего ИТ-департамента.

Коллеги, какой-то говнюк поставил клоуна на радостную весть о том, что я принимаю сообщения от вас. Человек, имя которого начинается на «А» и заканчивается на «ртём», тебе лучше признаться самостоятельно, пока я не начал расследование.

Коллеги, Марго прочитала статью о человеческом факторе и решила, что лучший способ повысить осведомлённость сотрудников — это устроить конкурс на самый креативный пароль. Приз — фирменная кружка с надписью «Хахакинг». Она создала Google-форму, где каждый должен был написать свой пароль в открытом виде и объяснить, почему он отражает вашу личность. Шутка оказалась серьёзной: 30% сотрудников (включая Артёма) отправили свои реальные пароли с чувственным описанием их природы. Марго пришлось изолировать от киберпсихологии, но мы вручили ей ту самую кружку.

Дорогие коллеги! Поздравляю всех с Днём знаний! 🎓 Хоть ваши головы не самые ценные устройства в компании, желаю все же не забывать регулярно обновлять в них софт! P.S.:Все, кто опоздал на работу из-за школьной линейки — имеют право показывать фото своих убитых горем детей на сегодняшних планерках. Похихикаем вместе, выберем лучшее.

— Пап, а тяжело быть директором по информационной безопасности? — Нет, сынок, это то же самое, что стоять посреди ада с огнетушителем, пытаясь потушить инженеров на горящих велосипедах, при этом крича им: «Не останавливайтесь, крутите педали — это наш основной бизнес-процесс!». В это время начальник их отдела из бочки с говном орёт, что огонь в аду — это нештатная ситуация по вине ИБ. Рядом стоит технический директор, небрежно разливает бензин с целью превратить велосипеды в мотоциклы и требует снизить затраты на огнетушители.

Коллеги, вынужден поднять болезненную тему нашего скрипта на Perl, написанного ещё во времена, когда Wi-Fi был роскошью. Этот шедевр, который его автор скромно назвал «temp_fix.pl», не только пережил шесть миграций серверов, но и тайно управляет payroll-системой, пока основной микросервис отдыхает. Он даже обрабатывает больше транзакций, делая это через Excel-файл с макросами, который все боятся открывать, чтобы не сломать магию. Мы провели аудит, и оказалось, что 80% бизнеса держится на этом скрипте, а оставшиеся 20% — на вере, что он никогда не упадёт. Если вы называете «костылём» то, что работает уже 9 лет — возможно, это не костыль, а ваш основной бизнес-процесс.