Протокол Диффи-Хеллмана с использованием суперсингулярной изогении для обмена криптографическими ключами взломали. Для реализации атаки нужен всего час 🤷‍♂️

Интересный ресурс, показывающий географические области, в которых активно блокируется или нарушается работа GPS. Может быть полезно при планировании работы объектов КИИ, в которых используется спутниковая геолокация.

Вокруг Москвы большая зона, в которой немалое количество помех для GPS.

Выложены видеозаписи с SteelCon 2022 (на английском)

Мониторинг ИБ без реагирования на инциденты - все равно, что сурок, укравший урожай у фермера и жрущий его перед камерой видеонаблюдения 😊

«Законодательное» проклятие преследует меня. Ведь начинал как нормальный безопасник - аудиты, обнаружение атак, безопасность Java и ActiveX, и вот это вот все. Потом были метрики, моделирование угроз, дашборды, киберучения... Все солидно.

На все эти темы я читаю курсы, но популярность снискали только дурацкие тренинги и семинары по нормативке ;-( Тренинги по метрикам ИБ, визуализации ИБ, дашбордам ИБ мало кому нужны. А вот узнать про очередной «интеллектуальный» регуляторный апокриф очередь выстраивается... Видимо это будет преследовать меня до конца профессиональной карьеры ;-(

Небольшие впечатления от прошедшей "Киберарены"

На последнем эфире AM Live по российским средствам сетевой безопасности я задавал участникам вопрос - а сами-то они используют свои же средства защиты?

Несмотря на кажущуюся простоту этого вопроса, он гораздо сложнее и тянет за собой многое. Если компания сама не использует свои же решения, она не получает обратной связи от своих же сотрудников и не улучшает продукт. Глухота и слепота к недостаткам своего продукта тянется годами, а пожелания от уже купивших клиентов попадают в бэклог (все равно деньги уже заплачены).

Вот и в этом смешном и нетолерантном (так месяц толерантности уже закончился) ролике, снятом еще 6 лет назад, говорится о том же самом 😊

ЗЫ. Прошу простить дам за некоторую фривольность 🙈

Все разговоры о моратории на проверки оказываются пшиком ;-( Правда, чтобы отменить мораторий тоже понадобится время - аккурат к Новому году и отменят, как раз когда мораторий бы сам и закончился.

Комитет Госдумы попросит отменить мораторий на проверки бизнеса при утечках персональных данных, заявил Александр Хинштейн

Депутат пояснил, что "утечка персональных данных клиентов "Почты России" вскрыла серьёзную проблему: оказывается, у Роскомнадзора сегодня нет полномочий для проверки таких инцидентов".

@interfaxonline

А вы знали, что после длительного нахождения в воде (после бассейна или сауны) подушечки пальцев морщинятся? Наверняка знали. А знаете ли вы, что из-за этого часто не срабатывают системы биометрической идентификации по отпечаткам пальцев, например, TouchID? Вооооот!...

Так что не стоит делать вторым фактором только один - отпечатки пальцев; лучше иметь разнообразие. Ну или в политику ИБ и повышение осведомленности пользователей включать пункт о запрете посещения бани перед работой с активами, требующими доступа к узлам с биометрической аутентификацией.

Ну чтож, первый день на новой работе завершен. О том, куда я вышел, напишу ниже, а пока слова благодарности!

Хочу сказать спасибо всем, кто не побоялся и предложил мне работу в это непростое время. Спасибо тем, кто хотел предложить, но побоялся 😊 Спасибо тем, кто все это время интересовался, куда же я все-таки выйду и даже делал ставки на мое новое место работы. Особое спасибо HR одной российской компании, которая в своем приглашении чуть ли не в первый же день объявления Cisco о приостановлении своей деятельности в России написала "Вызывающе сложные проекты, минимум бюрократии, плоская структура, команда экспертов – вот то, что мы можем вам предложить.
Есть ли у вас желание пообщаться с представителями небольшого, но амбициозного вендора?" И хотя я не смог его принять, это было незабываемо.

И хотя в проведенном мной голосовании большинство (если отбросить мою непредсказуемость и создание своего бизнеса) проголосовало за Касперского, я выбрал Positive Technologies, членом команды которой я и стал. Спасибо команде Позитива, которая пригласила меня и приняла в свои ряды!

Спектр задач еще предстоит финально определить, но основной фокус будет на евангелизации бизнес-ориентированной ИБ. По сути, я возвращаюсь к истокам своего блога "Бизнес без опасности", который и затевался 15 лет назад именно как площадка для размышлений о бизнес-аспектах ИБ. Но 2008-й год спутал все карты и мой путь свернул в сторону security compliance. Но пора вернуться к теме, которую я все равно все эти годы не забрасывал, - обоснованию ИБ на бизнес-языке. Теперь будет больше времени на занятия ею. Но и по остальным темам буду держать руку на пульсе; тем более, что в Positive Technologies с этим будет чуть попроще, чем в международной корпорации с ее правилами игры.

250-й Указ задает много вопросов и один из них касается зама генерального по ИБ. Можно ли его назначать до того, как он обучился? Надо ли согласовывать программу обучения с ФСТЭК и ФСБ? Можно ли обойтись 250 часами или надо 500+? Не знаю! Но вот про то, чему учить и можно ли использовать для этого стандартные программы обучения для получения лицензий регуляторов, порассуждал.

Когда Минцифры заявило, что они хотят ввести в законодательство понятие Bug Bounty (но на юридическом русском языке, конечно), это дало надежду на то, что договора пентестеров, багхантеров и админов "а я просто nmap запустил" станут более детальными и расписывающими все аспекты оказываемых услуг, включая scope и ответственность. Чтобы не получилось вот такой неприятной истории

Ты думаешь, что у тебя настроен надежный VPN-туннель, а на самом деле у тебя организован reverse shell с помощью netcat

Вот были времена, когда мобильные устройства были хорошо заметны, помещались в рюкзак и их вынос за пределы контролируемой зоны можно было легко отследить.

То ли дело сейчас. Не только форм-факторы разные, но и размеры стали гораздо более миниатюрными и устройства хранения информации могут быть спрятаны даже в кольцо или иммобилайзер. А вот сам термин "мобильное устройство" или "машинный носитель" остался неизменным - отсюда путаница с толкованием требованием регуляторов, которые эти термины используют. То ли относить ноутбук к машинным носителям, то ли нет. А стационарный комп, который отдали работнику на время удаленной работы во время пандемии, - это мобильное устройство или нет?

Вопросы, вопросы, вопросы... И только продукция Apple по-прежнему вызывает интерес у пользователей по всему миру...

Вот что имя животворящее делает. Не успел выйти в Позитив, как акции на 5% скакнули вверх 😊

Низкая юзабилити часто сводит на нет все защитные меры. А ведь про юзабилити в средствах защиты еще в 70-х годах были серьезные исследования. Но разработчики часто игнорируют эту часть разработки, фокусируясь только на функциональной проверке и нагрузочной.