Пост Лукацкого

Тээээкс, надо завершить историю с публикацией ссылок на мои выступления/модерации на PHD2. Эта дискуссия, по сути, задала тон всему стриму про CISO на бизнес-треке PHD2. Мы поговорили о том, как оценивать работу руководителя ИБ - по числу обнаруженных и отраженных инцидентов или все-таки по неким иным показателям? И надо сказать, что у коллег был разный взгляд на этот, казалось бы, простой вопрос ❓ Не буду говорить, какая позиция оказалась мне ближе (хотя в видео я, вроде, это говорю), - все-таки это вопрос, не имеющий универсального ответа. Каждый проходит разные этапы в этом вопросе. Кому-то соответствие требованиям - результат, кому-то снижение числа инцидентов, кому-то попадание в бюджет, а кому-то удовлетворение хотелок большого босса 🤸 И на определенном этапе развития CISO и компании, в которой он трудится, это будет вполне нормально. Наверное, в этом и смысл любой дискуссии, - обменяться мнениями, чтобы слушатели взяли что-то свое, без навязывания извне.

Не умаляя отношений с друзьями, все-таки самые ценные подарки, которые мы получаем, они от детей! Вот и вчера, дочь мне на день рождения, подарила комикс про папу - позитивмэна, который помогает королю выбрать надежный пароль! ❤️‍🔥 Интересно меня видит ребенок, конечно. Три волосинки и красные революционные трусселя, в которых я спасаю виртуальный мир 😊 Недалеко от истины, кстати 💯

История «взлома» Snowflake ❄️ обрастает новыми подробностями и получает развитие (кто бы сомневался). Сначала они вместе с Crowdstrike и Mandiant (сразу с двумя!!) выпускают заявление, что ничего страшного, взлома не было. Но при этом в Knowledge Base компании незаметно и без уведомления появляется статья ☝️с индикаторами компрометации. Потом Snowflake через юристов 🧑‍⚖️ добивается удаления первоначального поста о взломе. При этом австралийский ИБ-регулятор подтверждает взлом некоторых клиентов Snowflake, а американская CISA публикует бюллетень про инцидент. А так-то, да, инцидента не было и вся движуха - это цепь нелепых случайностей 🤦‍♂️ Осталось Ватикану выпустить заявление, что взлома Snowflake не было, но Папа Римский молится за всех пострадавших от инцидентов ИБ, и паноптикум станет полным.

В мае было зафиксировано более 5000 CVE, что составляет, в среднем, 164 уязвимости в день 🎯 В 2023-м году среднее число обнаруживаемых уязвимостей (которым присваивался CVE) в день было… 84. Нас ждет горячий год с точки зрения vulnerability management… ⚔️ И вряд ли ситуация будет лучше. Чем больше в процесс разработки будет внедряться ML 🤖 и чем чаще он будет обучаться на говёном коде, тем больше дыр в софте будет появляться и тем больше атак может случиться, так как, как мы помним, использование уязвимостей в публично доступных приложениях входит в тройку 3️⃣ основных причин инцидентов! ЗЫ. NIST обещает в сентябре вернуть NVD к жизни. Верится с трудом. Никто не захотел взять на себя эту ношу. В итоге NIST законтрактовал компанию Analygence, которая не имеет опыта такой работы. Так что перспективы туманны 😶‍🌫️

Услышав в разговоре про security data lake (озеро данных безопасности), всегда уточняйте, что конкретно имеет ввиду человек, его упоминающий. А то знаете ли, мнения у всех разные и нет единого или хотя бы доминирующего 😱 А без этого впарят вам обычный SIEM под видом озера, а то и просто облачное файловое хранилище...

В российском Darknet достаточно активно приторговывают логами, полученными в результате работы инфостилеров Raccoon, RedLine, RisePRO и др., крадущих информацию 🥷 И вот последние несколько дней у американских специалистов по ИБ стало подгорать от нового инструмента Recall от компании Microsoft. Оказалось, что это очень простой, понятный и, местами, полезный сервис, встроенный в последние версии Windows 📱 вместе с Copilot, делает каждый 5 секунд копии экрана и хранит их в течение 3-х месяцев, чтобы человек мог всегда пролистать до нужного скриншота/снэпшота, понять, что он делал в этот момент и поискать вокруг, что его интересовало в моменте. И вот оказалось, что эти копии не особо-то и защищены, а также могут содержать достаточно чувствительную информацию, - вводимые пароли, данные банковских счетов, переписку и т.п. 📬 И все это скрупулезно собирается вполне законными инструментами, складируется на жестком диске и... может быть сперто уже нелегальным инфостилером. Или к этому контенту может быть получен доступ в случае утери ноутбука с отсутствующим шифрованием 👹 Вот так и рубятся на корню все благие начинания. А Microsoft сейчас огребает по самое не балуйся. Ему вспоминают все его последние косяки, расследования Конгресса, наезды CISA... Так, глядишь, антимонопольщики вновь потребуют их разделить и таки разделят 🔪

Интересно, никто не задавался вопросом, насколько случайно падение капель и звук дождя по крыше❓ Нельзя ли использовать их как генератор действительно случайных паролей? И хотя действительно случайные пароли, созданные таким образом, бессмысленны ввиду своей незапоминаемости, но как способ генерации случайных чисел... Почему бы и нет 💡 ЗЫ. Спасибо подписчице за ссылку на видео с Пикабу!

Мне тут в личку пишут и спрашивают, почему я ничего не пишу про взлом "Верного"? Ну а как я могу подводить подписчиков! Итак, что я могу сказать про атаку на "Верный" 🛒, а также на другие организации, которые были атакованы за последние дни. Повторю то, что я говорил в разных интервью по радио - достаточно неразумно считать, что мы пережили основной пик атак, начавшихся весной 2022-го года 📈 Более того, именно сейчас начнутся инциденты с серьезными, можно даже сказать, катастрофическими последствиями. За прошедшие пару лет плохие парни уже нащупали слабые места, закрепились в инфраструктуре и начинают реализовывать недопустимые события 💥 Но пост вообще не об этом, а о том редком в нашей области явлении, когда кто-то озвучил финансовые последствия от атаки 🤑 Да, скорее это предположение, но все-таки оно имеет под собой основу, как мне кажется. Итак, что нам говорит гендиректор «Infoline-Аналитики» Михаил Бурмистров:

По подсчетам одного из собеседника «Ъ», потери «Верного» из-за хакерской атаки уже сейчас могут составить как минимум 300 млн руб., если эта ситуация не будет исправлена в ближайшие два дня, то потери могут превысить 500 млн руб. При неработающих картах, сайте и приложении ритейлер может терять не менее 40% оборота, считает гендиректор «Infoline-Аналитика» Михаил Бурмистров. Таким образом, потери «Верного» могут составлять 120–140 млн руб. в день, или около 1 млрд руб. в неделю. Ранее в такую сумму эксперты оценивали ущерб, понесенный СДЭК от хакерской атаки.

3 дня простоя (пока) и почти полмиллиарда потерь за счет снижение объема покупок в магазинах, в онлайне, испорченных продуктах, а также оттоке покупателей в разные "Пятерочки", "Магниты", "Перекрестки", "Дикси" и т.п. 😱 То есть ущерб будет разнесенным по времени, пока покупатели не вернутся к своему прежнему поведению и среднему чеку. В интервью на радио КоммерсантФМ, г-н Бурмистров заявил, что совокупные потери "Верного" могут составить около 2 миллиардов рублей 😲 Такова цена кибератаки 💸 И после этого не говорите, что это мелочи и на уровне погрешности. Я, конечно, не знаю бюджета "Верного" на ИБ, но подозреваю, что он все-таки меньше суммы потерь. И чем масштабнее организация и чем больше в ней централизованной цифровизации, тем больше будет ущерб в случае успешной атаки. Так что делаем выводы! Отказываться от цифровизации не предлагаю!

Это было предсказуемо, вопрос был только в том, кто первым выпустит отчет 📑 о влиянии России на Олимпийские игры в Париже, их дестабилизации и использовании хакеров против спорта. Первым оказался Microsoft 📱 ЗЫ. Фраза, что Россия десятилетиями пыталась влиять на Олимпийские игры, особенно доставила 😎 ЗЗЫ. Параллельно Жозеп Боррель, глава евродипломатии, обвинил Россию во вмешательстве в выборы в Европарламент 6-9 июня. Мол, фейки, боты, искусственный интеллект... и все это супротив демократии. Тоже было предсказуемо 🇪🇺

Подогнали тут исследование, которое показывает, как LLM-агенты могут в автоматическом режиме взламывать веб-сайты. Именно в автоматическом, без участия человека, режиме 😔 Исследователи тестировали 15 способов атак - от простых к более сложным и комплексным. Например, в одном из экспериментов LLM-агент самостоятельно осуществил 38 действий 📎 - получение схемы БД, вытаскивание данных из БД, генерация SQL-запросов, обнаружение уязвимостей и итоговый взлом. При этом, тестируемые LLM-агенты ничего заранее не знали о проверяемых уязвимостях, а на каждый "взлом" им давалось ограниченное время (10 минут) 🧠 Эффективность агента на базе GPT-4 (не GPT-4o) составила 73,3%, что очень даже неплохо и ставит перед компаниями новые задачи по защите своих онлайн-ресурсов от автоматических ИИ-инструментов. У вас же есть WAF, который защищает от всех этих SQLi, XSS, CSRF и т.п.? 🕸 ЗЫ. Тем временем платформа для построения ML/AI моделей HuggingFace столкнулась с взломом.