#инцидент #расследование
Ничего, в общем-то не предвещало беды. Началось всё с банальных словарей и анализа подозрительных коммуникаций.
Важный контекст: фирма работала в большом бизнес-центре по соседству ещё с сотней других компаний.
У какой-то очень обычной сотрудницы срабатывал словарь сленга и наркотической тематики. При изучении оказалось, что у неё есть «мужчина», недавно освободившийся, в поиске нормальной работы, «вот-вот он найдёт и начнётся правильная жизнь, а пока он дома у неё живёт и по разным местам в поиске работы периодически мотается», а чтобы были деньги водочки вечером выпить от жизни такой и цветочков ей купить от любви истинной – просил он её с собой на работу захватить «посылочки» небольшие, и разным людям в этом же бизнес-центре отдать.

В момент чтения - выглядит, конечно, очень наивно и хочется сказать «чем ты, дура, думала?» … вот такая осовремененная воровская романтика… раньше вещи в ломбард носили, которые он "внезапно" от родственников привозил, теперь – посылочки на работу.

На прошлой неделе участвовал в качестве индустриального эксперта в этапе конкурса по профессиональному мастерству в компетенции «информационная безопасность» в Новосибирске.
Подробнее узнать и разобраться в деталях – можно на сайте https://pro.firpo.ru/ , если у вас ребёнок близок к окончанию 9-го или 11-го класса – настоятельно рекомендую ознакомиться.
Кратко суть – среди колледжей проводятся соревнования по разных профессиональным компетенциям, затем зональные и общероссийские.
Расскажу именно про моё участие и моё впечатление.

Часть про само соревнование.
В каждой секции участвуют ребята с разных колледжей, в комиссии есть эксперты-организаторы, эксперты-научные руководители ребят и несколько индустриальных экспертов - представители компаний у которых профиль деятельности схож с компетенцией, или есть специалисты с такой компетенцией. В нашей секции было 5 участников (да, не много…), в соседнем зале была секция «Искусственный интеллект», там было больше участников; ещё несколько секций были на других этажах – я не успел со всеми ознакомиться.
В течение 5 дней участникам давали разные практические задания. Например, первый день нужно было развернуть в гипервизоре виртуалки, на второй – настроить сеть между ними; ещё день – CTF и ещё всякое прикладное; на пятый день – нужно было сделать мини пентест используя КалиЛинукс. Оценивали не только сами задания, но и «информационнобезопасную гигиену»: заблокирован ли компьютер, если отходил; не разбросаны ли в открытом виде пароли и прочие креды, и т.д.

По пентесту интересное задание было. На вход дали только ISO с кали и IP адрес для исследования; а на выходе нужно было сдать файл с найденными флагами (усё, не было других вводных). Сидеть в тишине и ждать результаты было скучно – я тоже сел за свободный комп, зашёл в браузере на IP … получил отлуп и … почекал нетстатом на каких портах кто-то слушает. На одном порту меня ждали, и на нём браузер уже открыл web-морду которая рассказала историю хакерской атаки и выдала 6 квестов. Дальше я уже сдался т.к. не было идей чем именно дальше работать.

Через полтора часа один участник сказал, что всё сделал. Ещё через полчаса остальные сказали что закончили. По факту оказалось, что нужно было разными тулзами походить по указанным в квестах адресам и портам, где-то поколдовать с кодировками и в ответ получить флаги.
Результат - первый участник нашёл все 5 флагов, ещё двое посовали что-то в порты, но не получили нужных ответов, один – остановился на том же этапе что и я (пятый – не пришёл на последний день). В итоге тот участник, который нашёл флаги, по итогам пяти дней выиграл с отрывом почти в два раза от второго места, второе и третье – почти одинаково, четвёртое и пятое – ещё в два раза отставание.

Часть про колледж… будет позже

Пригрузило работой, пишу большой пост не так быстро, как хотелось бы. А пока, #мем

#лучшиепрактики Давайте поговорим о фейлах при выборе ИБ систем.

15 лет назад я бы из этого списка сделал для себя чеклист✅ что нужно проверить, а затем переделал его в отчёт для СД о моей работе 😋

Этот рассказ-обучение в полном варианте я делал на КодИБ-Профи, и в сокращённом на CISO-Forum. Материала много, буду выкладывать в нескольких частях.

❇️ Блок про выбор системы, вендора, интегратора.

• Не определить цели зачем нужна ИБ система, а сразу начать выбор.
Это «база». Выбор ПО без понимания цели для этого ПО обычно приводит к таким результатам:
- быстрый пилот и очень долгое согласование закупки. Потому что ЛПР или его руководство не понимает выгоды от внедрения и какие «боли» будут «закрыты», и соответственно, не хочет платить денег, а сейл видит, что пилот прошёл быстро и гладко и не понимает почему нет оплаты.
- бесконечный пилот. Потому что требования к системе меняются и появляются в процессе пилотирования; возникают новые вопросы на основании прошлых ответов; пляшут туда-сюда запросы в КП.
- 100500 вопросов и запросов после покупки. С просьбами о доработках и донастройках.
- у заказчика в эксплуатацию попадёт система требоания к котрой будт не из задач бизнеса, а натянутые на возможности системы.
- недовольству руководства, т.к. деньги потратили, а результат может быть «не в фокусе».

Опять же, не забудем другую базу: «Без внятного ТЗ – результат ХЗ». Так что, если не понимать «какую боль» лечим – мы останемся болеть, но, возможно, уже без денег.

• Не определить «папа» и «мама» для ИБ системы.
«Папа» - это бизнес заказчик; тот, кто говорит какие цели нужно достигнуть; тот, кто будет спрашивать метрики.
«Мама» - это подразделение которое будет ответственное, что система «доступна, целостна, конфиденциальна»; тот, кто запросит сколько ресурсов нужно для системы; тот кто будет обслуживать систему; с кого будут спрашивать, если сервис будет недоступен.
В итоге, скорее всего, систему будут стараться не брать на баланс и обслуживание, видя в ней только трату времени. Возможны неожиданные тормоза и зависания системы из-за несогласованности или неверных ресурсов. Очень возможно, не будет целей и метрик для системы.