Forwarded from Ассоциация ФинТех
#Солар и Ассоциация ФинТех назвали победителей премии по безопасной разработке.
Ассоциация ФинТех, группа компания «Солар» и сообщество FinDevSecOps при участии 15 экспертов из крупнейших российских ИТ- и ИБ-компаний определили победителей премии «Security UP: Безопасность начинается с кода».
🗣️ Руководитель управления развития технологий Ассоциации ФинТех Олег Моргун: Сейчас тема безопасной разработки выходит на первый план: такой подход позволяет компаниям эффективно противостоять любым угрозам и успешно решать задачи по достижению технологического суверенитета. Номинированные на премию проекты разнообразны по контексту: от создания ИТ-системы и внедрения процессов безопасной разработки до фреймворка по её построению. Одни проекты реализованы для единственного заказчика, другие компании создали сервис, доступный внешним участникам. Уверен, что победители премии станут хорошим примером для отрасли и зададут тренд на использование лучших DevSecOps-практик, а также вдохновят участников рынка на новые амбициозные проекты.
Победители премии «Security UP: Безопасность начинается с кода»:
✅ «Фундамент безопасности: DevSecOps-революция» − «Почта России»
✅ «Страховой щит: зрелые практики безопасности в страховом бизнесе» − страховая компания «Росгосстрах»
✅ «Региональный импульс: развитие DevSecOps в регионах» − ГКУ МО «Центр информационной безопасности Московской области»
✅ «Открытые горизонты: Open Source в безопасности ПО» − системный интегратор «Инфосистемы Джет»
✅ «Архитекторы безопасности: интеграция DevSecOps» −
компания Faberlic/Эксперт
✅ «Технологический прорыв: новые горизонты
безопасности ПО» − СберТех
✅ Победителем в номинации «Новые герои безопасной
разработки» стала крупнейшая российская частная энергетическая
компания «Т Плюс»
✅ В специальной номинации «Знак качества АФТ» победила компания «Инфосистемы Джет».
Премию в номинации «Знак качества АФТ» вручила Татьяна Билык, директор технологических проектов Ассоциации ФинТех. Она подчеркнула: «Коллеги провели большую работу по анализу существующих методологий и нормативной базы – свели все в единый фреймворк и выложили в открытый доступ (open source). Их решение полностью соответствует целям сообщества FinDevSecOps».
В состав членов жюри премии вошли 15 экспертов в сфере кибербезопасности и безопасной разработки из крупных организаций ИТ- и финансового сектора. В их числе: Максим Кожокарь, начальник Управления прикладных платформ Департамента информационных технологий, Банк России, Денис Макрушин, директор по продуктам безопасной разработки SourceCraft, Яндекс, Виктор Бобыльков, директор по кибербезопасности MTS Web Services, Илья Шмаков, руководитель направления AppSec ЛАНИТ.
Проекты участников премии также получили экспертную оценку со стороны Дмитрия Кузнецова, директора безопасности цифровых решений Альфа-Банка, Сергея Демидова, заместителя председателя правления по ИБ «Московской биржи», Степана Дудника, руководителя центра развития платформенных решений Страхового Дома ВСК. Лучшие проекты по безопасной разработке также определили Татьяна Билык, директор технологических проектов Ассоциации ФинТех, Владимир Высоцкий и Антон Прокофьев, руководители по развитию бизнеса и операционной поддержке ПО Solar appScreener ГК «Солар», Федор Герасимов, эксперт по безопасной разработке ИТ-холдинга Т1, Равиль Зулькарнаев, руководитель отдела безопасной разработки ИТ-холдинга Т1, Анастасия Доронина, специалист по взаимодействию с сообществом РБПО компании «Базальт СПО», Юрий Шабалин, старший директор по развитию ИИ-технологий ГК Swordfish Security, Александр Гадай, руководитель службы консалтинга Swordfish Security.
Ассоциация ФинТех, группа компания «Солар» и сообщество FinDevSecOps при участии 15 экспертов из крупнейших российских ИТ- и ИБ-компаний определили победителей премии «Security UP: Безопасность начинается с кода».
🗣️ Руководитель управления развития технологий Ассоциации ФинТех Олег Моргун: Сейчас тема безопасной разработки выходит на первый план: такой подход позволяет компаниям эффективно противостоять любым угрозам и успешно решать задачи по достижению технологического суверенитета. Номинированные на премию проекты разнообразны по контексту: от создания ИТ-системы и внедрения процессов безопасной разработки до фреймворка по её построению. Одни проекты реализованы для единственного заказчика, другие компании создали сервис, доступный внешним участникам. Уверен, что победители премии станут хорошим примером для отрасли и зададут тренд на использование лучших DevSecOps-практик, а также вдохновят участников рынка на новые амбициозные проекты.
Победители премии «Security UP: Безопасность начинается с кода»:
✅ «Фундамент безопасности: DevSecOps-революция» − «Почта России»
✅ «Страховой щит: зрелые практики безопасности в страховом бизнесе» − страховая компания «Росгосстрах»
✅ «Региональный импульс: развитие DevSecOps в регионах» − ГКУ МО «Центр информационной безопасности Московской области»
✅ «Открытые горизонты: Open Source в безопасности ПО» − системный интегратор «Инфосистемы Джет»
✅ «Архитекторы безопасности: интеграция DevSecOps» −
компания Faberlic/Эксперт
✅ «Технологический прорыв: новые горизонты
безопасности ПО» − СберТех
✅ Победителем в номинации «Новые герои безопасной
разработки» стала крупнейшая российская частная энергетическая
компания «Т Плюс»
✅ В специальной номинации «Знак качества АФТ» победила компания «Инфосистемы Джет».
Премию в номинации «Знак качества АФТ» вручила Татьяна Билык, директор технологических проектов Ассоциации ФинТех. Она подчеркнула: «Коллеги провели большую работу по анализу существующих методологий и нормативной базы – свели все в единый фреймворк и выложили в открытый доступ (open source). Их решение полностью соответствует целям сообщества FinDevSecOps».
В состав членов жюри премии вошли 15 экспертов в сфере кибербезопасности и безопасной разработки из крупных организаций ИТ- и финансового сектора. В их числе: Максим Кожокарь, начальник Управления прикладных платформ Департамента информационных технологий, Банк России, Денис Макрушин, директор по продуктам безопасной разработки SourceCraft, Яндекс, Виктор Бобыльков, директор по кибербезопасности MTS Web Services, Илья Шмаков, руководитель направления AppSec ЛАНИТ.
Проекты участников премии также получили экспертную оценку со стороны Дмитрия Кузнецова, директора безопасности цифровых решений Альфа-Банка, Сергея Демидова, заместителя председателя правления по ИБ «Московской биржи», Степана Дудника, руководителя центра развития платформенных решений Страхового Дома ВСК. Лучшие проекты по безопасной разработке также определили Татьяна Билык, директор технологических проектов Ассоциации ФинТех, Владимир Высоцкий и Антон Прокофьев, руководители по развитию бизнеса и операционной поддержке ПО Solar appScreener ГК «Солар», Федор Герасимов, эксперт по безопасной разработке ИТ-холдинга Т1, Равиль Зулькарнаев, руководитель отдела безопасной разработки ИТ-холдинга Т1, Анастасия Доронина, специалист по взаимодействию с сообществом РБПО компании «Базальт СПО», Юрий Шабалин, старший директор по развитию ИИ-технологий ГК Swordfish Security, Александр Гадай, руководитель службы консалтинга Swordfish Security.
🔥7
Forwarded from infosec
• При переходе в сервисы Яндекса с включенным VPN пользователи видят страницу-заглушку, которая не позволяет перейти в сервис. Если посмотреть код данной страницы, то можно найти отсылку к роману-антиутопии Д. Оруэлла "1984". Такие вот забавные пасхалки...
• Кстати, хочу напомнить, что книгу Оруэлла "1984" можно бесплатно скачать в нашей группе, ну или читать онлайн.
#Оруэлл
• Кстати, хочу напомнить, что книгу Оруэлла "1984" можно бесплатно скачать в нашей группе, ну или читать онлайн.
#Оруэлл
🔥5
Forwarded from Sachok
⚡️ AppSec врывается в топ: код – новая линия обороны! ⚡️
"Солар", Ассоциация Финтех и сообщество FinDevSecOps подвели итоги премии “Security UP: Безопасность начинается с кода”. И знаете что? Похоже, до всех дошло: теперь безопасность кода – это не просто модное слово, а реальная экономия времени и денег.
Тут дело не только в compliance, хотя регуляторы внимательно следят. Просто уязвимости в проде бьют по бюджету так, что мало не покажется. Поэтому фокус смещается на превентивные меры – компании вшивают безопасность в код ещё на этапе разработки.
По делу:
Около 40 проектов от ритейла и энергетики до страховых компаний и госструктур. Показательно, что тема важна для всех.
Кто судил: Эксперты из Банка России, Яндекса, Ланита, Мосбиржи, MWS Cloud. Ребята, понимающие в вопросе.
Сколько сэкономили: По данным “Солара”, проекты с серьёзным подходом к AppSec сэкономили более 10 млрд рублей, предотвратив гораздо больше проблем. Это вам не шутки!
Победители (лучшие в своём деле):
* “Почта России”: За комплексный подход к созданию масштабируемой DevSecOps-инфраструктуры.
* “Росгосстрах”: За создание платформы управления безопасностью релизов
* “Инфосистемы Джет”: За инициативы в области Open Source решений для безопасности контейнеризации и вклад в развитие open-source фреймворка. Open Source — это карма +10.
* ГКУ МО «Центр информационной безопасности Московской области»: за значительный прогресс в развитии DevSecOps в регионах
* Faberlic: за внедрение принципов Security-by-Design при разработке ПО.
* СберТех: за систему непрерывного мониторинга уязвимостей
* Т Плюс: победитель в номинации “Новые герои безопасной разработки” за проект по трансформации AppSec.
Что ещё интересно: победители смогут протестировать ИИ-плагин в составе Solar appScreener. Искусственный интеллект в мире AppSec – это перспективно. Будем наблюдать за развитием.
В сухом остатке: DevSecOps – это не просто тренд. Это эффективный способ снизить риски и сохранить деньги. Учитесь, внедряйте, будьте в курсе, и да пребудет с вами безопасный код! 🛡️
"Солар", Ассоциация Финтех и сообщество FinDevSecOps подвели итоги премии “Security UP: Безопасность начинается с кода”. И знаете что? Похоже, до всех дошло: теперь безопасность кода – это не просто модное слово, а реальная экономия времени и денег.
Тут дело не только в compliance, хотя регуляторы внимательно следят. Просто уязвимости в проде бьют по бюджету так, что мало не покажется. Поэтому фокус смещается на превентивные меры – компании вшивают безопасность в код ещё на этапе разработки.
По делу:
Около 40 проектов от ритейла и энергетики до страховых компаний и госструктур. Показательно, что тема важна для всех.
Кто судил: Эксперты из Банка России, Яндекса, Ланита, Мосбиржи, MWS Cloud. Ребята, понимающие в вопросе.
Сколько сэкономили: По данным “Солара”, проекты с серьёзным подходом к AppSec сэкономили более 10 млрд рублей, предотвратив гораздо больше проблем. Это вам не шутки!
Победители (лучшие в своём деле):
* “Почта России”: За комплексный подход к созданию масштабируемой DevSecOps-инфраструктуры.
* “Росгосстрах”: За создание платформы управления безопасностью релизов
* “Инфосистемы Джет”: За инициативы в области Open Source решений для безопасности контейнеризации и вклад в развитие open-source фреймворка. Open Source — это карма +10.
* ГКУ МО «Центр информационной безопасности Московской области»: за значительный прогресс в развитии DevSecOps в регионах
* Faberlic: за внедрение принципов Security-by-Design при разработке ПО.
* СберТех: за систему непрерывного мониторинга уязвимостей
* Т Плюс: победитель в номинации “Новые герои безопасной разработки” за проект по трансформации AppSec.
Что ещё интересно: победители смогут протестировать ИИ-плагин в составе Solar appScreener. Искусственный интеллект в мире AppSec – это перспективно. Будем наблюдать за развитием.
В сухом остатке: DevSecOps – это не просто тренд. Это эффективный способ снизить риски и сохранить деньги. Учитесь, внедряйте, будьте в курсе, и да пребудет с вами безопасный код! 🛡️
🔥5
Forwarded from DevSecOps Talks
Фреймворки DAF и JCSF победили в премии Security UP: «Безопасность начинается с кода»!
Привет, друзья! Спешим похвастаться: наши фреймворки оценили на премии Security UP: «Безопасность начинается с кода», организованной ГК "Солар", Ассоциацией ФинТех и сообществом FinDevSecOps:
🦴Фреймворк оценки зрелости безопасности контейнерной инфраструктуры Jet Container Security Framework (JCSF) победил в номинации «Открытые горизонты: Open Source в безопасности ПО»
🦴Фреймворк оценки зрелости процессов безопасной разработки DevSecOps Assessment Framework (DAF) получил знак качества Ассоциации ФинТех.
Мы очень рады, что наш вклад в open source оценили столь уважаемые эксперты в области DevSecOps! Это очень вдохновляет нас и, надеемся, вас тоже на развитие безопасной разработки и DevSecOps в наших компаниях и во всем мире. Make DevSecOps great again!
Привет, друзья! Спешим похвастаться: наши фреймворки оценили на премии Security UP: «Безопасность начинается с кода», организованной ГК "Солар", Ассоциацией ФинТех и сообществом FinDevSecOps:
🦴Фреймворк оценки зрелости безопасности контейнерной инфраструктуры Jet Container Security Framework (JCSF) победил в номинации «Открытые горизонты: Open Source в безопасности ПО»
🦴Фреймворк оценки зрелости процессов безопасной разработки DevSecOps Assessment Framework (DAF) получил знак качества Ассоциации ФинТех.
Мы очень рады, что наш вклад в open source оценили столь уважаемые эксперты в области DevSecOps! Это очень вдохновляет нас и, надеемся, вас тоже на развитие безопасной разработки и DevSecOps в наших компаниях и во всем мире. Make DevSecOps great again!
🔥4
А пока я готовлю материалы по вчерашнему митапу, хочу поделиться приятностью и милотой от коллег 😅🫡🙃
#meetup #paper #appsec #devsecops #specialty #toolchain #conf #compliance #gost
#meetup #paper #appsec #devsecops #specialty #toolchain #conf #compliance #gost
🔥5
Forwarded from SecuriXy.kz
🚧 GitHub releases - попал под «железный зановес»?
С казахстанских IP не качаются бинарники из GitHub Releases. Сам
Проверил на свежем релизе:
Попросил коллег из разных городов и провайдеров РК - картина одинаковая.
🔍 Технически это выглядит как точечная DPI-блокировка поддомена objects.githubusercontent.com (Azure Blob CDN, куда редиректят все релизы) по SNI. Сам
Так то побоку, но ломает установку тулз через go install / pip с VCS, скачивание бинарей.
Снова "технические работы у оператора" или уже тестируем новую итерацию железного занавеса? Если у кого-то в РК качается без VPN - напишите, соберу статистику по провайдерам.
#network #infosec #kazakhstan #github
С казахстанских IP не качаются бинарники из GitHub Releases. Сам
github.com открывается, страницы листаются, а ссылки /releases/download/* виснут или рвутся. Через VPN - скачивается нормально.Проверил на свежем релизе:
https://github.com/r3nzsec/irflow-timeline/releases/download/v1.0.5/IRFlow.Timeline-1.0.5-universal-mac.zipПопросил коллег из разных городов и провайдеров РК - картина одинаковая.
🔍 Технически это выглядит как точечная DPI-блокировка поддомена objects.githubusercontent.com (Azure Blob CDN, куда редиректят все релизы) по SNI. Сам
github.com на Fastly - живой, для видимости. В той же РФ ровно такое поведение ловят с 2024 года…Так то побоку, но ломает установку тулз через go install / pip с VCS, скачивание бинарей.
Снова "технические работы у оператора" или уже тестируем новую итерацию железного занавеса? Если у кого-то в РК качается без VPN - напишите, соберу статистику по провайдерам.
#network #infosec #kazakhstan #github
🔥5
🏆 Security UP: премия за DevSecOps «по-взрослому»
Салюты,
Забегался, замотался, но наконец то переварил, давай разберем, что же было на митапе.
В жюри — 15 человек из топовых игроков рынка: Банк России, Яндекс (SourceCraft), МТС, Альфа‑Банк, Московская биржа, ЛАНИТ, ВСК, Т1, «Базальт СПО», Swordfish Security и др. То есть не «формальная комиссия», а люди, которые сами строят AppSec/DevSecOps у себя.
Мы собрали около 40 заявок, из них только самые подходящие дошли до защиты. Оценивали по нескольким критериям: зрелость DevSecOps‑подхода, техническая глубина, измеримый эффект для бизнеса и возможность масштабирования практик на другие команды и отрасли. Над этими проектами работало 70+ AppSec‑инженеров.
Кто победил?
Посмотри видосики, они какие то залипательные 😁
#meetup #paper #appsec #devsecops #specialty #toolchain #conf #compliance #gost
Салюты,
Забегался, замотался, но наконец то переварил, давай разберем, что же было на митапе.
Ассоциация ФинТех, ГК «Солар» и сообщество FinDevSecOps подвели итоги первой премии «Security UP: Безопасность начинается с кода». Награждали компании, которые не просто «ставят сканеры», а реально встроили безопасную разработку в процессы за 2024–2025 годы. Вот тут почитай инфоповод, а я пока дам кратко выжимку.
В жюри — 15 человек из топовых игроков рынка: Банк России, Яндекс (SourceCraft), МТС, Альфа‑Банк, Московская биржа, ЛАНИТ, ВСК, Т1, «Базальт СПО», Swordfish Security и др. То есть не «формальная комиссия», а люди, которые сами строят AppSec/DevSecOps у себя.
Мы собрали около 40 заявок, из них только самые подходящие дошли до защиты. Оценивали по нескольким критериям: зрелость DevSecOps‑подхода, техническая глубина, измеримый эффект для бизнеса и возможность масштабирования практик на другие команды и отрасли. Над этими проектами работало 70+ AppSec‑инженеров.
Кто победил?
• «Фундамент безопасности: DevSecOps‑революция» — Почта России. Ну если серьозно, тут ребята ушли от своего текущего состояния, потому что большая программа трансформации разработки: единая нормативка, роль ответственных за безопасность ПО, охват DevSecOps‑подходом всего жизненного цикла сотен сервисов и миллионов строк кода
• «Страховой щит: зрелые практики безопасности в страховом бизнесе» — Росгосстрах: DevSecOps‑платформа и модель управления безопасностью релизов
• «Региональный импульс: развитие DevSecOps в регионах» — Центр ИБ Московской области: внедрение практик безопасной разработки в госорганах Подмосковья с упором на масштабируемость подхода для других регионов
• «Открытые горизонты: Open Source в безопасности ПО» — Инфосистемы Джет: open‑source фреймворки для безопасности сред контейнеризации и DevSecOps‑процессов, выложенные в открытый доступ, плюс спецприз «Знак качества АФТ» за методологию
• «Архитекторы безопасности: интеграция DevSecOps» — Faberlic: Security‑by‑Design в разработке, как проект по внедрению безопасной архитектуры и процессов на уровне компании
• «Технологический прорыв: новые горизонты безопасности ПО» — СберТех: Система непрерывного мониторинга и устранения уязвимостей в продуктах, рассчитанная на масштабирование внутри финсектора.
• «Новые герои безопасной разработки» — Т Плюс: трансформация AppSec в крупной частной энергетической компании, как автоматизация и повышение эффективности процессов безопасной разработки
Посмотри видосики, они какие то залипательные 😁
#meetup #paper #appsec #devsecops #specialty #toolchain #conf #compliance #gost
🔥4
🤔 Segregation-of-Duties как контроль привилегированного пользователя
Салют,
Часто упоминаю этот механизм, думаю, что стоит сделать ссылку на ее описание, но перед тем как говорить про нее, надо договориться о том, что это такое?
То есть суть в том, что Role‑Based Access Control (RBAC) опирается на два принципа: наименьшие привилегии, то есть каждый получает только то, что нужно для работы и segregation of duties — разделение конфликтующих полномочий между разными ролями, чтобы один и тот же человек не мог сам себе создать доступ, провести операцию и её согласовать
База
Отмечу, что формально и общему принципу требований ИБ, сам SoD есть почти везде: ИБ‑политики, у аудиторов, в ISO 27001. На практике это нередко выглядит так: «у нас один админ всё делает, но он хороший». Контроль есть на бумаге, но не в процессах.
Основа SoD в том, чтобы ни один человек не мог в одиночку провернуть всю чувствительную операцию: от создания до утверждения и изменения правил, - фактически просто реализация несанкционнированного доступа и повышения привелегий, где дальше можно бомбить инфра и сам бизнес
Конфликтующие истории (пример)
Что делать?
Итого:
#devsecops #pmi #humanres #term #paper
Салют,
Часто упоминаю этот механизм, думаю, что стоит сделать ссылку на ее описание, но перед тем как говорить про нее, надо договориться о том, что это такое?
Ролевая модель доступа — это когда мы управляем не правами конкретных людей, а ролями, привязанными к задачам и зонам их ответственности, где под каждую роль чётко определено: что можно, а что нельзя
То есть суть в том, что Role‑Based Access Control (RBAC) опирается на два принципа: наименьшие привилегии, то есть каждый получает только то, что нужно для работы и segregation of duties — разделение конфликтующих полномочий между разными ролями, чтобы один и тот же человек не мог сам себе создать доступ, провести операцию и её согласовать
База
Segregation-of-Duties используется в разделении конфликтующих полномочий между разными ролями, чтобы один человек не мог сам себе придумать доступ, провести операцию и её же согласовать
Отмечу, что формально и общему принципу требований ИБ, сам SoD есть почти везде: ИБ‑политики, у аудиторов, в ISO 27001. На практике это нередко выглядит так: «у нас один админ всё делает, но он хороший». Контроль есть на бумаге, но не в процессах.
Основа SoD в том, чтобы ни один человек не мог в одиночку провернуть всю чувствительную операцию: от создания до утверждения и изменения правил, - фактически просто реализация несанкционнированного доступа и повышения привелегий, где дальше можно бомбить инфра и сам бизнес
Конфликтующие истории (пример)
• Тот, кто заводит контрагента, не проводит по нему платежи
• Тот, кто выдаёт доступы, не утверждает свои же заявки
• Тот, кто меняет правила сетевой безопасности, не согласовывает их в одиночку
• Разработчик не ходит напрямую в продуктивную БД и т.д.
Что делать?
• Вместе с бизнесом описываем роли и ключевые процессы
• Ищем точки, где один человек может «инициировать, согласовать и выполнить» — это и есть SoD‑конфликты
• Оформляем всё в SoD‑матрицу: какие комбинации ролей и прав запрещены
• Заводим эти правила в IAM и сервисы доступа, чтобы система просто не давала собрать «токсичный» набор привилегий
• Регулярно прогоняем отчёты по SoD‑нарушениям и чистим исключения, а не копим их годами
Итого:
Смысл Segregation-of-Duties в том, что бы она стала частью архитектуры. То есть нам важно уметь не просто выдавать доступы, права и разделять обязанности, а именно предотвращать конфликты, что бы равномерность покрытия правами была достигнута со всех сторон. Нам надо все-таки уметь оркестрировать и правильно разделять полномочия людей.
#devsecops #pmi #humanres #term #paper
🔥5
🙃 Атака на Grinex
Ох, смотри, тут ко мне пришли и попросили мое видение по данной атаке и я хотел бы с тобой самым первым поделиться мыслями, но сначала давай справку закину:
Красивое
Инцидент с Grinex хорошо показывает тенденцию описанную выше, где по сообщениям самого бизнеса, атака привела к выводу порядка 1 млрд рублей (около 13 млн долларов) с десятков криптокошельков, а затем средства были быстро конвертированы и разведены по другим адресам в TRON и Ethereum (альткоины). Это требует как серьёзной технической подготовки, так и заранее отстроенной инфраструктуры для отмывания средств.
В таком формате всегда не получается правильно реализовать механизм AML и какие то kill-switch механизмы, которые бы позволили контролировать эти потоки, потому что владельцы обычно считают себя в безопасности до инцидента.
Поинты
Итого:
#paper #specialty #reco #кулуарка #podster
Ох, смотри, тут ко мне пришли и попросили мое видение по данной атаке и я хотел бы с тобой самым первым поделиться мыслями, но сначала давай справку закину:
Ведущая крипторублевая биржа Grinex, обеспечивающая расчеты между российскими бизнесами и гражданами в цифровых активах, подверглась масштабной кибератаке с признаками участия зарубежных спецслужб.
В результате взлома похищены средства российских пользователей на сумму более 1 млрд рублей. Цифровые следы и характер атаки свидетельствуют о беспрецедентном уровне ресурсов и технологий, доступных исключительно структурам недружественных государств.
В связи с атакой биржа Grinex вынуждена приостановить работу. Вся доступная информация передана в правоохранительные органы. По месту нахождения инфраструктуры подано заявление для возбуждения уголовного дела.
Красивое
Атаки на финансовую инфраструктуру являются наиболее распространенными с целью получения двойной выгоды как от самой атаки, так и от владельцев бизнеса. Такие типы атак под группировки готовятся профессиональными людьми, которые либо разочаровались в профессии и знают как действует бизнес, либо преследовали исследовательские цели изначально, но далее это переросло в группы с ресурсами, где багбаунти программы уже не в состоянии удовлетворять запросы.
Обычно исследователи выкладывают эксплойты после неудачной попытки договориться с владельцем бизнеса, но на базе практики все чаще, когда утечки попадают напрямую в сеть и продаются группам атакующих, поэтому у них есть доступ к 0‑day уязвимостям, высокому уровню операционной безопасности и возможности длительное время оставаться незамеченными в инфраструктуре жертвы.
Инцидент с Grinex хорошо показывает тенденцию описанную выше, где по сообщениям самого бизнеса, атака привела к выводу порядка 1 млрд рублей (около 13 млн долларов) с десятков криптокошельков, а затем средства были быстро конвертированы и разведены по другим адресам в TRON и Ethereum (альткоины). Это требует как серьёзной технической подготовки, так и заранее отстроенной инфраструктуры для отмывания средств.
В таком формате всегда не получается правильно реализовать механизм AML и какие то kill-switch механизмы, которые бы позволили контролировать эти потоки, потому что владельцы обычно считают себя в безопасности до инцидента.
Поинты
- Жёсткое управление ключами и кошельками: аппаратные HSM, мультиподписные схемы (multisig и желательно использование схем 3/5 подписи), разделение горячих кошельков, строгие процедуры вывода средств. Это не столько снижает вероятность взлома, сколько ограничивает возможный ущерб при компрометации отдельного узла или аккаунта, естественно подразумевая, что ноды хранения должны быть распределенными
- Важно воспринимать атаки на инфраструктуру не только как технический, но и как геополитический фактор. Если бизнес работает с чувствительными категориями клиентов, обходит санкционные ограничения или является частью критической финансовой экосистемы, то уровень потенциального противника нужно автоматически поднимать до учета всех возможных атакующих и учитывать заинтересованность не только с целью мошенничества
- Segregation of duties и ролевые модели доступа. Один человек не должен иметь возможность и инициировать крупную операцию, и согласовать её, и технически провести. Это касается как финансовых транзакций, так и управления кошельками, ключами, конфигурациями боевых систем
Итого:
Cреди крупных финансовых организаций и наиболее зрелых криптоплатформ такие меры уже стали де‑факто стандартом. Но если смотреть на рынок в целом, особенно на быстро растущие сервисы, часть игроков ограничивается базовым набором средств защиты, не успевая перестроить архитектуру и процессы под новый уровень угроз. Именно в этом “разрыве зрелости” и возникают подобные инциденты. Аналогично учитываем модели зрелости на базе нехватки компетенций
#paper #specialty #reco #кулуарка #podster
🔥4
Кстати, в тему поста, вот тут, еще в бородатом 2021-2022 типовое смотрели 🙃
Application Security & DevSecOps
MultiSig — мультиподпись и безопасность | Курс AppSec - Application Security & DevSecOps
Мультиподпись в криптографии: схемы M-of-N подписей для защиты транзакций, протоколы Bitcoin multisig и практические примеры.
🔥3