По традиции - первый пост о владельце данного канала!
Ответ на вопрос, почему моему мнению стоит доверять и почему это вообще может быть интересно.
На данный момент я являюсь Архитектором систем ИБ в компании "Гарда Технологии", но моя дорога в Инфобезе началась с крупного DLP-вендора на позиции «Аналитик внедрения». Аналитики – это эксперты, помогающие клиентам в формировании требований к концепции настройки правил безопасности, ведении расследований инцидентов и т.д. Дальше моя карьера прошлась по нескольким вендорам на схожей позиции аналитика, и по итогу могу смело сказать, что у меня за плечами большое количество проанализированных нормативных документов, написанных регулярных выражений, а так же тонны часов в тюнинге настроек правил различных СЗИ и разобранных кейсов (удачных и не очень).
В следствие чего появилась мысль все мои знания и опыт положить на бумагу, но так как бумажки уже давно никто не читает, то выходом стал этот ТГ-канал.

Последнее время всё чаще встаёт вопрос обезличивания данных в Базах Данных, например, при разработке нового приложения или при передачи данных сторонним подрядчикам. Это, как ни странно, так же относится к защите данных.

Недавно ваш покорный слуга написал целую статью на эту тему.

«Гарда Маскирование» для автоматического обезличивания баз данных

Несмотря на то, что компании вкладывают значительные средства в защиту персональных данных, контролируя коммуникации, доступ пользователей, шифруя информацию, — утечки продолжают происходить. Причиной часто становятся ошибки при передаче данных в третьи руки для разного рода тестирований, решения маркетинговых задач и др. Российское законодательство, включая ФЗ-152, обязывает защищать такую информацию, и в этих случаях применяется маскирование, для которого группа компаний «Гарда» предоставляет необходимый инструментарий.

О том, как безопасно передавать базы данных — в новой статье экспертов «Гарды».

Как-то давно я проходил собеседование в одну компанию на позицию "Аналитик DLP". Вот, какие были вопросы:

"1.Менеджер по продажам отправил клиенту в мессенджере доверенность на работника компании, будет ли это нарушением, есть ли в нем злой умысел?
2. Что такое персональные данные?
3. Занимались ли вы ранее контролем каналов утечек информации и расследовали инциденты ИБ с ними связанные?
4. Есть ли у вас опыт работы с системами DLP?
5. Есть ли у вас опыт администрирования ОС Windows/Linux?"


А вы бы ответили? 🏆🏆

Дополнительная мотивация ускорить процесс принятия закона об оборотных штрафах в случае утечек ПДн: Россия возглавила рейтинг стран по количеству объявлений о продаже баз данных компаний в даркнете - 10% от их общего количества за первое полугодие 2024-го.

Саму статью можно прочитать здесь: https://www.rbc.ru/technology_and_media/30/07/2024/66a894cc9a79470efe2b8e2d

А пока мы наблюдаем низкие штрафы за утечки ПДн в России, можно почитать предварительный итог по делу об утечках данных где-то там далеко. 🇬🇧🇬🇧
В октябре 2022 года Advanced заявила, что киберпреступники проникли в её сеть, используя легитимные учетные данные третьей стороны, что также указывало на отсутствие многофакторной аутентификации. Сейчас ICO подтверждает этот факт. ICO заявило, что предварительно налагает штраф в размере £6,09 миллиона (около $7,75 миллиона или 670 млн руб.) за нарушение закона о защите данных, выразившееся в неспособности внедрить адекватные меры безопасности для защиты обрабатываемой личной информации до атаки.
Подробнее: https://www.securitylab.ru/news/550898.php

Интересно, что каждый раз, когда речь заходит о защите данных в корпоративном сегменте, в первую очередь всплывает DLP-система (молодец тот, кто забрал эту аббревиатуру этому классу систем). По моему же скромному мнению, DLP - это именно подход к защите данных (по аналогии с DCAP и DAG, где первое - подход, а второе- класс решений), то есть совокупность организационных и технических мер по предотвращению утечек.
По исследованиям различных агенств за 2023 год основным вектором атаки для получения данных стала сеть, а не инсайдеры (около 2%): скомпрометированые учётные записи, целевые атаки на критичные хранилища данных - базы данных, файловые хранилища, шифровальщики и т.д.
В этом разрезе DLP-система покрывает очень небольшую часть инфраструктуры (только хосты корпоративных пользователей).
И вот именно поэтому защита сети - первоочередная задача: внедрение NTA, EDR, SIEM и только потом уже стоит думать о защите каких-то критичных объектов и уж тем более DLP. Тот же DAM или WAF может быть куда полезнее для большинства отраслей (хотя для каждой компании свой стек продуктов и своя модель угроз)
29 августа как раз пройдёт вебинар, на котором расскажут, как вообще защищаться от подобных атак с помощью связки NDR и DBF. Приходите, "вход" свободный!

Активная защита от киберугроз
раскрываем потенциал DBF и NDR
вебинар | 29 августа в 12:00

Как выстроить эшелонированную систему защиты информационных ресурсов и предотвратить колоссальные убытки от действий злоумышленников? Какие решения есть на рынке? Что выбрать? Вместе с экспертом Росбанка Александром Кондратенко будем разбираться, как уберечь информационные активы компании от современных киберугроз.

‣ Обзор современных инструментов для борьбы с киберугрозами.
‣ Реальный кейс по предотвращению инцидентов на примере Brute Ratel.
‣ Защита данных в безопасной среде СУБД с DataBase Firewall («Гарда DBF»).
‣ «Гарда DBF» и «Гарда NDR» — больше, чем сумма двух слагаемых. Вы узнаете:
• Как интегрировать решения с имеющейся инфраструктурой.
• Как максимизировать эффект от внедрения и эксплуатировать системы с наибольшей отдачей.

Приглашаем всех желающих,
регистрируйтесь на нашем сайте!

Тренды 2024-2025 года можно обсуждать бесконечно. Если коротко:
1. IAM, чтобы не давать неаутентифицированным пользователям доступ к данным.
2. ИИ в кибербезе - нужны живые и рабочие модели.
3. Защита облачных хранилищ (это прямо отдельная ветка обсуждения).
Я бы сюда добавил ещё применительно к российскому рынку вопрос развития: моделей SaaS, обезличивание данных, озеро данных и DDP (Data discovery platform).

Подробнее в статье:
https://www.securitylab.ru/news/550990.php

Часто слышу вопрос - а как правильно защищать сами данные? Есть много различных взглядов на этот счёт.
Кто-то считает, что, мол, защитились от утечек с помощью DLP, разгребли "завалы" в файловых хранилищах DCAPом и вот оно - счастье. Только дело в том, что основная доля краж данных производится по сети: подрядчиками; злоумышленниками через скомпрометированные учётные записи, сидящими в инфраструктуре годами; просто инсайдерами, и в довольно редких случаях - через активные вторжения (эти дела самые громкие).
На самом деле нет какой-то единой позиции по защите данных. В идеальном мире у каждой компании есть модель угроз, и на неё накладываются организационно-технические меры, но увы, в реальности это далеко не так.
Для маркетплейса AntiDDoS, WAF и DBF (DAM) может послужить куда более преоритетной связкой, чем, например DLP или DCAP, поскольку падение самого сайта или манипуляции с базой данных позволят или поломать сервис, простой которого будет считаться деньгами, или выгрузить важную информацию о пользователях, учётных записях, заказах и т.д.
Всё-таки есть основные принципы построения защиты.
Первое, с чего вообще стоит начать - это во всех сегментах инфраструктуры начать использовать лицензионное ПО, желательно, обновлённое до последней версии. Это позволит закрыть некоторые старые уязвимости. Далее следует навести порядок в правах доступа к критичным сегментам данных, удалить УЗ уволившихся сотрудников, "отрезать" доступ неавторизованным пользователям (или ввести двухфакторку).
Если же говорить про базовый набор именно средств защиты, то я бы их проранжировал следующим образом: антивирус, межсетевой экран (или NGFW), NDR, SIEM, PAM, IAM, Anti-DDoS, WAF.
Далее можно переходить к защите основных бизнес-критикал сегментов с данными, поскольку это задача уже более "зрелых" систем безопасности. При этом сами решения выполняют какую-то узкую специализированную задачу:
DBF - мониторинг выгружаемого контента из БД,
DLP - защита от утечек в классическом понимании: флешки, отправка по почте, скриншоты, мессенджеры и т.д.,
DCAP - управление правами и поиск файлов на файловых хранилищах, начиная от самых простых smb-хранилищ, заканчивая Jira, confluence и др.,
Маскирование - тут скорее речь о безопасной разработке, но тем не менее, данные можно изначально передавать в обезличенном виде (например, подрядчику, оставляя только то что ему необходимо на самом деле).
Далее можно выстраивать эшелонированную защиту, подкрепляя первый пункт: песочница, Deception, IRP, SOAR и т.д.
С организационной стороны так же не стоит забывать о регулярных "учениях" для сотрудников. Если не прошёл проверку, то вперёд проходить тесты по кибербезопасности (на моей практике сами сотрудники ИБ не всегда проходят эту проверку, заигрываясь в "я всё знаю, меня не проведут").

Недавно мне направили скриншот из онлайн-игры, и я сразу вспомнил одну историю.
Когда-то давно был у меня опыт игры в популярную корейскую ММО. Уже в то время многие донатили реальные деньги для того, чтобы быть лучше других игроков: покупали игровые предметы, платили другим игрокам за прокачку и т.д.С годами таких "вложений" становилось всё больше, и в конечном итоге появилось несколько человек, игровой аккаунт которых оценивался десятками миллионов рублей. Можно сказать, что такой аккаунт - это актив, такой же, как счёт в банке, квартира и машина.
Однажды у одного такого "шейха" аккаунт украли, распродав всё "имущество". Классический фишинг: злоумышленник представился гейм-мастером и попросил совершить ряд действий. После того, как аккаунт перешёл под контроль, игровые вещи быстро распродали. Частая практика, когда к таким аккаунтам привязаны банковские карты (тогда был QIWI-кошелек), что позволяет выйти злоумышленнику за рамки самой игры. Администрация, конечно, возвращает аккаунт, а вот игровые предметы - нет, т.к. они уже в пользовании другого игрока, который честно их купил (или не очень честно).На данном скриншоте используется та же схема. Некий игрок создал персонажа с ником, похожим на компанию-производителя игры (оригинал - Близзард, фейк- Бииззард), далее в чат отправил сообщение с припиской, с которой идут все официальные обращения от самой игры:"[Blizzard Entertainment] ГМ", и добавил ссылку на фишинговый сайт. Оригинальный сайт - eu.shop.battle.net, фейковый - www.ru-battle.com. В целом похоже.

К чему это я? Не стоит относится к безопасности легкомысленно. Подключите второй фактор, отвяжите банковские карты или включите обязательные пуш-уведомления при покупке и будьте всегда начеку!
Делитесь своими историями в комментариях :)

🗞 Дайджест статей и новостей. Об интересном за неделю:

— Мир за неделю: КИИ под угрозой

— Мобильная связь и интернет в Белгородской области доступны бесплатно до конца ЧС

— ГК «Солар» дарит клиентам Tele2 сканер утечек ПДн

— Минцифры: Подделать электронную подпись в «Госключе» невозможно

— «Информзащита»: Банкиры не успевают импортозаместиться до конца года

— Google полностью отключила россиянам монетизацию на YouTube

— Статья «Что творит искусственный разум? Генеративный ИИ (GenAI) лишь первый штрих в большой архитектуре Large Language Model. И возможно, ошибочный…»

— Россияне рвут договоры с операторами из-за YouTube, а Apple удаляет RuTube

— Microsoft правит свою корпоративную политику, делая ИБ главным приоритетом

— Темпы закупки софта российскими компаниями снизились вдвое

— «Базальт СПО» разрабатывает свою мобильную операционную систему

— Positive Technologies и Минцифры России запустили международную ИБ-программу

— Статья: «Большие языковые модели — всё ещё статистические аппроксиматоры или уже почти настоящий интеллект?»

— Miro уходит из России и Беларуси

— Цвет шляпы неважен. На DEF CON 2024 ибэшникам и хакерам дали общую цель

— InfoWatch: Российская картина утечек информации зеркальна мировой

— Статья «Технологический суверенитет России: от БЛА и видеокамер до ИИ-технологий»

— Cisco скоро проведёт вторую в этом году волну сокращений и сфокусируется на ИИ-технологиях и кибербезопасности

— В американском Council on Foreign Relations (CFR) призвали подключить спецслужбы и Open-source-разработчиков для изучения успехов импортозамещения в России


— Статья «Пространство доверия: промышленная эксплуатация. О доказуемости эквивалентности (по существу) уровней надёжности электронных подписей при их трансграничном взаимном признании»

На тему различных сервисов для проверки утечки данных.
Где-то полгода назад национальный координационный центр по компьютерным инцидентам (НКЦКИ) запустил новый онлайн-сервис «Утекли ли Ваши данные? Проверьте!», предназначенный для проверки утечки личных данных (преимущественно параметров логина) пользователей России. Довольно удобный инструмент, чтобы верхнеуровнего оценить, сливали ваши данные или нет.