در رابطه با خبر باج ۳ میلیون دلاری باید عرض کنم که این تازه شروع ماجراست...
کاری که توسن انجام داده چراغ سبزی برای تمام هکرهای دنیاست که بله، پرداخت می کنیم، میلیون دلاری هم پرداخت می کنیم ....
از همین امروز حساب کنید افزایش حجم حملات بر روی زیرساخت های کشور چقدر افزایش پیدا خواهد کرد.

بنده با این موضوع که پول دادن و از داده های کف خیابون مردم محافظت کردن به اصطلاح مخالفت یا مشکلی ندارم، اما از اونجایی که سطوح مدیریتی چیزی جز پول رو نمی بینن و با چیزی جز پول و عدد و رقم نمیشه  مطلبی رو بهشون حالی کرد، می‌خوام بدونم حالا که میلیون دلاری تو یک ثانیه هزینه می کنید، اون سمت دیگر ماجرا رو هم دیدین؟ ریشه این اتفاقات رو درک کردین؟

زمانیکه شما باج میدی بایستی تمهیداتی در پیش بگیری که مجددا از یک سوراخ دوبار گزیده نشی، اما واقعا همچین تمهیداتی رو در نظر دارین؟ اصلا بهش فکر کردین که مشکل کارتون از کجاست؟

این سه میلیون دلار در واقع اون  هزینه ای بود که شما باید برای جذب و آموزش نیروی متخصص می کردین ، انجام ندادید و حالا بصورت باج پرداخت می کنید. اگرچه این اولیش بود...

نگاه مدیران و صاحبان تصمیم در این کشور در حوزه امنیت سایبر به سمت کمیت رفته و اصلا توجهی به کیفیت دانش نیروها نمیشه.
نه تنها توجهی به دانش نیروها نمیشه! بلکه صرفا یکسری آدم لاگ بخوان درست کردن که از Cyber kill chain حملات هم دانش ندارن. و فقط هر لاگ رو بصورت جداگانه می تونن بخونن و تحلیل کنن.

همانطور که نیروی زمینی متخصص و کارکشته، ستون فقرات امنیت فیزیکی کشور هستش! به همون میزان در حوزه امنیت سایبر، نیروی متخصص و با تجربه ستون فقرات حوزه سایبر رو تشکیل میده...

حالا هی نیروهای Mid-level  رو بخاطر سیاست های حقوقی تون جذب نکنید، Senior  ها رو با پیشنهاد حقوقی کم فراری بدین از این کشور برن و تا می تونین کارآموز جذب کنین.( در نهایت هم عمر این بنده های خدا بخاطر ساختارها و فرآیندهای غلط شما تباه میشه)

متأسفانه مسئله حاد و جدی که من الان دارم تو جامعه سایبری ایران می بینم، فارغ از بحث مدیریتی، نبود نیروی فنی کار بلده، تو حوزه offensive  کماکان نیروی خوب فنی انگشت شمار پیدا میشه ولی تو حوزه Defensive  من نیروی فنی که ده سال کار کرده باشه و عمیق شده باشه رو نمی بینم، اکثرا در حال شوآف کردن و سلبریتی شدن هستن و از اون جایی که موضوع دفاع به شکل درست و صحیحی قابل ارزیابی نیست ، پر شده از آدم های تو خالی پر مدعا.

» صحبت از چهارتا فریم ورک و استاندارد در حوزه دفاع در عمق نیست! بحث بحث نیروی فنی کار بلده.

@OsSecurityResearcher