​Поднять паруса

Ребятам из Group-IB, похоже, стало скучно (без негатива), и они решили проанализировать рынок пиратского кинематографа. Анализировали они фильмы, имеющие наибольшее количество нелегальных копий (которые были доступны в Рунете в январе 2023 года). Как нам извлечь пользу из этой информации – не очень понятно, но не пропадать же исследованию.

Ну а вот и тот самый ТОП-10 самых популярных фильмов (у российских пиратов) за январь:
1. Аватар: Путь воды
2. Чебурашка
3. Пришелец из будущего
4. Меню
5. Операция «Фортуна»: Искусство побеждать
6. Всевидящее око
7. Достать ножи: Стеклянная луковица
8. Отзвуки прошлого
9. Самоирония судьбы
10. Крушение

#НовостьДня

Твой Пакет Безопасности

​Митинги 21-го века

Кажется, что гос-аппарату при принятии любых решений теперь нужно опираться не только на реакцию политических оппонентов или больших игроков рынка, но и на мнение общественности. Раньше, для того, чтобы высказать свою позицию или показать своё недовольство, обычным гражданам приходилось выходить на площади с плакатами и участвовать в митингах. Но мир не стоит на месте.

Так, например, не так давно пророссийские хакерские группировки (KILLNET и Infinity) организовали массовые кибератаки на банки, аэропорты и гос-структуры Германии. Причиной тому стало политическое решение правительства Германии касательно поставок вооружения другой стране.

Несколькими днями позже турецкие хакеры (Turk Hack Team) провели кибератаку на гос-органы Швеции, параллельно зацепив банки, телеком, сайты медицинских служб и даже метро. Причиной этих атак стал провокационный инцидент, совершенный лидером шведской ультраправой партии.

И да, учитывать теперь нужно мнение граждан не только своей страны, но и всех остальных, ведь атаковать другие страны хакерам намного проще, чем свои. Надеюсь, что это научит человечество заботиться о мире (в значении состояния отсутствия вражды) и учитывать мнение всех жителей нашей планеты, вне зависимости от их достатка и статуса.

#Мнение

Твой Пакет Безопасности

​​А за тобой большой брат следит?

В одном из прошлых постов мы с вами говорили о том, как скоро нас всех будут отслеживать через наш любимый мессенджер. Но знаете ли вы о том, что некоторые компании уже следят за вами? Более того, информация обо всех ваших передвижениях записывается и сохраняется на серверах компании. Думаю, наивно будет полагать, что эта информация никак не используется для более точного таргетинга, рекламы и прочих нужд компаний.

Так вот, начнем с Google. Эта корпорация зла компания, а точнее, ее сервис Maps/Карты записывает информацию о ваших маршрутах и местах, в которых вы побывали. Вы можете отключить эту функцию (здесь), но учтите, что данные о ваших передвижениях могут продолжить записывать и сохранять через сторонние сервисы компании, такие как Поиск, или же, эти данные могут собираться из ваших фотографий, если это разрешено в настройках камеры.

Но Гугл такой не один, в Apple тоже посчитали нужным отслеживать и сохранять подобные данные. Запрятали это меню явно лучше, чем Google, поэтому придется поискать (вот тут небольшая инструкция). В айфонах эта опция включена по-умолчанию, поэтому, если она вам не нужна, то стоит ее отключить.

Вот и всё на сегодня, так что скорее бегите проверять, кто из IT-гигантов знает, где вы чаще всего обедаете, и отключайте эти функции отслеживания, если лично вам они не нужны. Рассылайте всем неравнодушным к собственной приватности и берегите себя.

#Кибергигиена

Твой Пакет Безопасности

​DevSec или SecOps?

Наверяка, некоторые из вас знают, кто такой DevSecOps-инженер (если нет, то можете почитать тут, на рекламу можете не обращать внимания, нам нужна только специфика роли). Если кратко, то это такой человек, который берет на себя ответственность за автоматизацию и обеспечение безопасности разрабатываемых и эксплуатируемых сервисов. Он выстраивает безопасный CI/CD конвейер, внедряет в него сканеры уязвимостей (SAST, DAST, SCA и прочие), следит за безопасность и надёжностью сервисов в продакшене.

И да, так как этот человек отвечает за разработку, за эксплуатацию ПО в проде, за оптимизацию и надежность, за безопасность и автоматизацию, то и получает он зачастую больше, чем любой другой член продуктовой команды. Лично я знаю случаи, когда зарплата девсекопса была больше зарплаты продакта. И это вполне нормально, так как на этом человеке держится очень много процессов. Хорошие синьорные DevSecOps-ы стоят порядка 500 000 рублей в РФ.

Ну а наш бизнес очень любит экономить, поэтому из одного дорогого девсекопса родились сразу две новые роли подешевле – DevSec и SecOps. Дело в том, что не всем компаниям нужен такой рэмбо, который умеет и в разработку, и в сопровождение, поэтому кому-то, например, будет вполне достаточно нанять одного SecOps. Разделение обязанностей между этими ролями кроется в их названии. DevSec отвечает за всю безопасность вплоть до выкатки сервиса в продакшен, а SecOps никак не затрагивает разработку ПО, но обеспечивает его надежность и безопасность уже в проде.

Востребованы ли эти профессии? Да, причем каждая из них и очень сильно. На рынке ИБ, особенно в РФ, сейчас очень сильный дефицит кадров и не только в разрезе DevSecOps ролей, но и во всех остальных.

#Мнение

Твой Пакет Безопасности

​Очередной инфоповод от Илона Маска

На этот раз новоиспеченный и эпатажный руководитель Твиттера решил увеличить продажи платной подписки Blue на свой сервис. Но, как всегда, сделал это максимально эпично – отключив у пользователей без подписки двухфакторную аутентификацию по СМС.

Это может стать ударом по безопасности не только каждого из пользователей без подписки, но и всей системы в целом. Думаю, что в ближайшее время злоумышленники могут активизироваться на почве этой новости и налечь на взлом и подбор паролей всех бесплатных аккаунтов этой социальной сети. Возможно, с точки зрения экономики, это и верный шаг, но явно не с точки зрения безопасности и лояльности пользователей. И да, инфоповод немного подраздут СМИ, но с этим уже ничего не сделаешь.

К слову, очень грустно, что всего лишь 2,6% пользователей Twitter, судя по заявлениям компании, пользуются двухфакторной аутентификацией. К счастью, помимо СМС, есть еще и генераторы одноразовых кодов, по типу Google Authenticator.

В одном из следующих постов обязательно расскажу о пользе 2FA (двухфакторная аутентификация) и почему вам надо обязательно ее включить во всех ваших сервисах.

#НовостьДня

Твой Пакет Безопасности

​Сегодня в меню: мобилизация, уклонисты и личный сорт Faridaily

Судя по всему, у военкоматов скоро появится свой собственный глаз бога сервис, который будет агрегировать в себе информацию о гражданах из таких источников, как МВД, ФНС, Минцифры и прочих ведомств (думаю, что в списке источников есть и Госуслуги, разрабатываемые под эгидой Минцифры). И имя ему Faridaily.

Данные, которые содержатся в этой системе действительно исчерпывающие – актуальные адреса регистрации, номера телефонов и адреса электронной почты, а также сведения о работе, доходах, семье, недвижимости, транспортных средствах, состоянии здоровья и всех предыдущих отсрочках от мобилизации.

Список поистине шокирующий и явно избыточный для подобных целей. Не хватает только информации о текущем местоположении. Согласно заявлениям, с помощью новой базы властям будет проще закрыть «уклонистам» выезд из страны и найти их по городским камерам. Судя по всему, тестовая версия системы уже запущена.

Ах да, злоумышленникам теперь не нужно тратить свое время на взлом баз данных ФНС и МВД или ждать сливов Минцифры и Госуслуг. Ведь теперь можно просто взломать одну Faridaily и вытащить из нее всю необходимую информацию о любом гражданине РФ.

#НовостьДня

Твой Пакет Безопасности

​Анонимность в сети

В одном из прошлых постов мы обсудили, что в сеть слиты персональные данные уже 75% россиян. Думаю всем очевидно, что это значение будет только расти. Именно поэтому важно следить за тем, какие данные вы оставляете в сети.

Чаще всего взламывают не крупные корпорации, а небольшие компании, продукты и сервисы. Всё банально и просто – они просто не могут выделить достаточное количество средств на построение зрелой внутренней культуры ИБ. Само собой, о взломах небольших компаний мы ничего не слышим из СМИ, так как никому не интересны киберинциденты ноунейм-компаний и сервисов.

Так вот, к чему это всё. Если вам нужно будет зарегистрироваться на каком-то сайте (чтобы получить бесплатный шаблон презентации или открыть доступ к материалам) и заполнить при этом свои персональные данные, то рекомендую не оставлять реальную информацию о себе, если в этом нет крайней необходимости. Совет максимально банальный, но очень многие люди, почему-то, о нем все равно забывают.

Ну а если вам лень каждый раз придумывать себе новое альтер эго, то можете поставить себе такое расширение для Хрома. Там одной кнопкой можно сгенерировать и сразу заполнить все поля с личными данными на странице. Более того, это штука вам еще и временный почтовый ящик создаст для подтверждения аккаунта.

Думаю, что в будущих постах будем и дальше погружаться в тему анонимности в сети, если вам это интересно.

#Кибергигиена

Твой Пакет Безопасности

​Райское наслаждение

Сегодня поговорим про культуру Bug Bounty. Это такой подход к обеспечению безопасности продукта, основанный на выплате разового вознаграждения за нахождение уязвимостей в системе.

Зачастую это выглядит так, что любой желающий может попытать удачу и найти уязвимости в продукте компании, которая объявила об открытии Bug Bounty. Через специальную платформу он отправляет результаты своих поисков, подробно описывает, как их воспроизвести и ждёт подтверждения о том, что уязвимость действительно существует. Затем счастливый получает свое вознаграждение и идет искать новые уязвимости. Людей, которые занимаются этим на постоянной основе принято называть багхантерами.

Размер вознаграждения зависит от щедрости компании и от уровня критичности найденной уязвимости. Все эти подробности всегда публикуются при официальном старте Баг Баунти.

Очень радует то, что в последнее время подобные программы начали часто появляться в крупных российских IT-компаниях. Так, например, Минцифры готово заплатить до 1 млн рублей за уязвимость (правда она должны быть критической, но это нюансы). В нашей стране эту культуру хорошо продвигают компании из сегмента кибербезопасности, такие как BI.ZONE или Positive Technologies, предоставляя своим клиентам целые платформы, разработанные специально под Bug Bounty, за что им огромный респект.

И да, любой из вас может на этих платформах зарегистрироваться и попробовать свои силы.

#Мнение

Твой Пакет Безопасности

​А что ваш браузер знает о вас?

Продолжаем тему анонимности в сети и в этот раз частично поговорим про ваш цифровой след (digital footprint). Цифровой след – это совокупность всей информации, которую вы оставляете о себе в сети. Это могут быть ваши посты в социальных сетях, ваш адрес доставки из онлайн-магазина, посещаемые ваши сайты или вообще положение вашего курсора в момент нахождения на любом из сайтов.

Поверьте, ежесекундно отслеживается очень много ваших действий и собираются все оставляемые вами данные, пока вы взаимодействуете с различными сайтами и сервисами в сети. Есть даже одна наглядная браузерная игра/тренажер, которая показывает, какие действия или информация о вас были собраны.

Или, например, сервис Whoer покажет вам, где вы сейчас находитесь (с точностью до города), какой у вас интернет-провайдер, браузер, операционная система и даже какой язык у вас установлен на устройстве.

Всё это называется пассивным цифровым следом и он, хоть и не самая интересная, но достаточно важная часть вашей цифровой личности, которую злоумышленники исследуют при OSINTе (само собой, о нем и об активном цифровом отпечатке мы еще поговорим в следующих постах). К слову, эти же данные используют и многие компании, социальные сети и интернет магазины, чтобы лучше таргетировать на вас свои услуги, например.

Берегите себя и оставляйте поменьше следов.

#Кибергигиена

Твой Пакет Безопасности

​​Стонкс

Есть такая компания – Chainalysis. Она занимается анализом всего, что связано с блокчейн-технологиями. Казалось бы, к чему упоминать ее в канале по кибербезу. Но дело в том, что Chainalysis очень сильно помогает миру киберкриминалистики, потому что при помощи ее инструментов (нашпигованных нейронками и машинным обучением) можно легко выявлять связи между адресами крипто-кошельков и деанонимизировать их.

Эти инструменты помогают криминалистам расследовать кибер-преступления в дарк-вебе, так как подавляющее число транзакций там проводятся именно в крипте.

Так вот, не так давно Chainalysis выпустила своё свежее исследование, согласно которому в 2022 году доход дарксторов уменьшился более, чем в 2 раза. Если быть точным, то продавцы заработали в даркнете всего $1,5 млрд, при том, что в 2021 году их заработок составил $3,1 млрд. Возможно, это связано с закрытием одного из крупнейших дарксторов – Гидры, но это не точно.

#НовостьДня

Твой Пакет Безопасности

​Все готовы к патриотичному VPN?

Ну нет, так нет. В том самом законопроекте, который инициировался для ограничения работы удалённых (то есть уехавших из страны) айтишников (а в особенности ИБшников), государство собирается добавить еще одно нововведение – национальный VPN. Смысл его заключается в том, чтобы люди, находящиеся за рубежом могли пользоваться сервисами, доступными только на территории РФ.

Возник ли у вас диссонанс, из-за того, что в одном и том же законопроекте вводятся противоречащие друг другу формулировки? Если да, то это вполне справедливое ощущение. Пока что сложно понять, что происходит, но направление более менее понятно.

Национальный VPN может пригодиться еще и на более поздних стадиях, когда будет возведён национальный фаервол вокруг суверенного чебурнета рунета. Думаю, что полной изоляции периметра всё равно не будет, так как в ней нет смысла. Да и доступ к внутренним сервисам из отпуска получать надо будет.

Проблема, как и всегда, заключается в том, что этот национальный VPN (как и любой другой VPN) будет иметь полный доступ ко всем данным, которые сквозь него проходят. Боитесь ли вы, что ваши данные будут доступны государству или злоумышленникам, которые этот VPN могут взломать – решать вам.

#НовостьДня

Твой Пакет Безопасности

ДевСекОпс, который мы заслужили

Ловите самую лучшую, полную и красивую визуализацию конвейера DevSecOps, которую я только видел. Да, здесь есть не всё, но основные средства защиты информации и инструменты DevOps на месте.

Можете использовать как шпаргалку, чтобы ничего не забыть, когда будете строить безопасные процессы с нуля или перестраивать доставшееся наследие.

#Полезное

Твой Пакет Безопасности

​Крипто или кибер-взлом?

Многие думают, что крипто-кошелек или крипто-биржа надежнее обычной банковской карты или ячейки. А мнение о том, что крипто-мир анонимный и безопасный достаточно распространенное, хоть и ложное.

Судя по статистике, в 2022 году хакерами были украдены 3 800 000 000 долларов с крипто-кошельков, крипто-бирж и прочих крипто-хранилищ.

Больше всех отличилась северокорейская хакерская группировка Lazarus Group, они откусили аж 1 700 000 000 долларов, поставив свой собственный рекорд

Кстати, если здесь кто-то интересуется крипто-индустрией, то знайте, больше всего уязвимостей сейчас продается для DeFi (процветающий сегмент криптовалютного сектора), на который приходилось более 82% криптовалюты, украденной в 2022 году.

#НовостьДня

Твой Пакет Безопасности

​Наследил, так наследил

В одном из прошлых постов мы с вами узнали, что такое пассивный цифровой след. Настало время поговорить про активный цифровой след, который мы регулярно оставляем за собой в сети.

Это определение включает в себя те данные, которыми вы намеренно делитесь с сайтами, приложениями и сервисами. Это касается тех самых публикаций и комментариев в социальных сетях, ваших публичных отзывов на товары и услуги, ваших подписок, а также личных данных, которые вы заполняете в профилях интернет-магазинов или иных онлайн-сервисов (в том случае, если позже они были слиты). А еще не стоит забывать про те самые пресловутые файлы cookie, которые вас постоянно просят включить различные сайты.

На самом деле, ваш активный цифровой след, с учетом регулярных сливов данных, остаётся буквально везде (данные фитнес-трекеров, фотографии в облачных хранилищах, открытие счета кредитной карты), и этот факт нужно просто принять. Но это не означает, что мы ничего не можем с этим сделать (главное не становиться параноиками).

В следующих постах мы разберем, как мы можем влиять на свой цифровой след и личность, а пока вы можете сами посмотреть, какого мнения о вас Google реклама и что будет, если поискать ваше ФИО или никнейм в Гугле или Яндексе.

#Кибергигиена

Твой Пакет Безопасности

​Безопасна ли мобильная разработка?

Ловите пару полезных доков по безопасности мобильных приложений – раз и два.

Первый файл – небольшой чеклист по аудиту приложений на Android и iOS. Я бы не сказал, что он полный, но основные вещи там есть, так что вполне может пригодиться как самим мобильным разработчикам и QA, так и ИТ-аудиторам с кибербезопасниками (в широком смысле этого слова).

Второй файл – хардкорный гайд по аудиту безопасности и пентесту мобильных приложений. Судя по картинке, гайд застрял где-то в 2010, но некоторые вещи оттуда всё еще актуальны.

В общем, пользуйтесь на здоровье. Если вдруг будете натыкаться на подобные полезные материалы по кибербезу (или у вас уже они есть) – обязательно присылайте.

#Полезное

Твой Пакет Безопасности

​Будешь бесплатную пиццу?

Сегодня в вашей любимой рубрике будут телеграм-каналы (на которые я сам подписан) с анонсами мероприятий из мира IT и ИБ. Речь идет о конференциях, митапах, вебинарах и прочих активностях.

Лично я просто обожаю ходить на оффлайн-мероприятия, как минимум ради разнообразия и смены обстановки, а как максимум – ради нетворкинга, заведения полезных знакомств, обсуждения актуальных тем и т.д. Ну и само собой, кто не любит бесплатную пиццу, напитки и кучу различного мерча? 😉

Ну а вот и те самые тг-каналы:
👉 Мероприятия по кибербезу тут и тут
👉 IT-мероприятия тут

Думаю, что подобных каналов намного больше, но лично мне хватает и этих. И да, митапы и прочие активности по ИБ зачастую душноватые (мало кому нравится слушать часами про новые поправки в регуляторке), но лучики света бывают и здесь.

#Полезное

Твой Пакет Безопасности

​​Телеграм мутирует в даркнет?

Согласно результатам исследования Лаборатории Касперского, в 2022 году стало модно публиковать базы утечек персональных данных в мессенджере Telegram. Если быть точным, то 37% объявлений хакеров о распространении украденных баз данных было опубликовано в Телеграме.

Более того, многие хакерские группировки ведут здесь свои каналы и даже развивают чаты, в которых они общаются с последователями и всеми неравнодушными. Там же они организовываются для проведения целевых DDoS-атак и по кусочкам собирают ботнеты. Кстати, происходит это из-за другого явления – популяризации хактивизма, согласно философии которого украденное должно раздаваться бесплатно, а не продаваться за деньги.

Всё это формирует не очень хорошую тенденцию, из-за которой по душу мессенджера скоро могут прийти спецслужбы (и по сути они будут правы), чтобы взять под контроль распространение подобной информации.

#Мнение

Твой Пакет Безопасности