Исследование года или как мы доканали сотню этичных хакеров своими вопросами.

Уже не первый год в СМИ/Госдуме/на форумах говорят про закон о белых хакерах – при этом самих хакеров никто не спросил, максимум – единичные мнения инфлюенсеров.

Ну а нам (команде Пакета Безопасности и Культа Безопасности) захотелось узнать, что об этом думают все остальные – те, кто этичным хакингом зарабатывает себе на хлеб и платежи по ипотеке.

Вот так мы и собрались с силами, составили опросник (не без помощи тех самых хантеров и пентестеров) и провели опрос среди 102 этичных хакеров о том, что они вообще обо всем этом думают, чего хотят, а чего боятся. К слову, спасибо вам всем огромное за то, что отозвались, потратили свое время и даже оставили свои комментарии.

Одна из наших изначальных гипотез заключалась в том, что практики взаимодействия между исследователями и бизнесом уже сложились, они защищают все стороны и дополнительных законопроектов просто не нужно.

Также появилось ощущение, что хакеры-старожилы испытывают меньше тревог и переживаний по поводу нового закона. Молодежь же прибывает в определенных фрустрациях, особенно по поводу создания реестра белых хакеров.

А другие выводы и наблюдения вы можете найти в выпуске журнала Information Security #6.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

#КиберМем

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Как сказал Михаил Жванецкий – «Копаться в мусоре не стыдно, мальчик. Стыдно быть от этого счастливым.»

#КиберМем

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

А вы знали, как работает антиспам в почте?

Мы привыкли ругать почту за то, что “опять письмо улетело в спам”. Но редко задумываемся, что этот же фильтр, возможно, не раз спасал нас от очень дорогих ошибок. Собственно, настало время разобраться в том, как почтовый ящик отсортировывает “мусорные письма” и почему он все-таки пропускает фишинговые сообщения.

Начнем с того, что спам-фильтр не читает письма как человек. Он оценивает риски. Каждое входящее сообщение проходит через цепочку проверок, и на выходе получается простой ответ: это похоже на нормальную переписку или на попытку вас обмануть. В банках и схожих организациях подобные процедуры называются скорингом.

Первое, на что смотрит почта, кто вообще написал. Откуда это письмо, с какого IP, с какого домена, и чем этот отправитель занимался раньше (ну условно). Если IP уже попал в чёрные списки, светился в рассылках или домен молодой, не подтверждены базовые вещи вроде SPF, DKIM и DMARC (это такие специфичные протоколы аутентификации электронной почты), письмо начинает путь с минуса.

Дальше начинается разбор содержимого. Алгоритм не просто ищет стоп-слова вроде “выигрыш” или “срочно”, он считает их плотность, сочетания и контекст. Семантический анализ, да. Странная вёрстка, картинка вместо текста, ссылки с маскировкой, вложения непонятного формата – всё это не по отдельности, а в сумме повышает вероятность, что письмо небезопасно. Само собой, тут тоже есть своя гонка вооружений и авторы фишинга постоянно работают над тем, чтобы мимикрировать под нормальные письма и обойти алгоритмы/фильтры.

Но тут в игру вступает самая интересная механика. Почтовый сервис внимательно смотрит, что делают пользователи. Если письма от этого отправителя массово удаляют, не открывая, или помечают как спам, репутация у этого адресата падает очень быстро. Если по ссылкам никто не переходит или, наоборот, переходят и сразу жалуются – это тоже сигнал. 

Именно обучение на коллективном поведении помогает спам-фильтрам эффективно защищать нас от фишинга. Даже если письмо выглядит правдоподобно и имитирует банк, доставку или коллегу, оно часто ломается на одном из уровней: домен не тот, шаблон уже где-то встречался, есть признаки манипуляции или призыва в тексте. Поэтому многие атаки не доходят до пользователя вовсе – их ловят ещё до того, как у вас появится шанс кликнуть не туда.

Плюс к этому алгоритмы дообучаются, следят за инфополем (порой не без помощи TI) и актуальными фишинговыми кампаниями. А еще много где уже встроены ИИшки, которые нормально отрабатывают и иногда даже помогают выявлять новые вектора атак.

Но не стоит расслабляться и доверять проверкам на 100%. Если хакеры проводят целенаправленную атаку с "чистого" адреса (например, со взломанной почты), то распознать фишинг защитным системам будет крайне сложно.

Думаю, что вы и сами не раз видели, как в основной ящик просачивается что-то из серии акционных предложений от магазинов или прощальные письма от дядюшки из Нигерии. Так что наличие спам-фильтров не отменяет необходимость быть внимательным и использовать критическое мышление. Это всего лишь первая линия обороны, которая останавливает львиную долю мусора и мошенничества ещё до того, как оно доберётся до вас. Как-то так.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

Гореть, но не выгорать

Вы тоже заметили, что вдруг стало так много задолбавшихся ИБшников? А я сейчас расскажу почему. Как и в многие другие профессии, ты приходишь в ИБ, потому что хочешь что-то изменить, сделать лучше, надёжнее и безопаснее. А в итоге чаще всего живёшь в мире, где твои идеи вежливо откладывают «на потом», советы слушают, но не выполняют, а самого тебя начинают воспринимать как человека, который всё запрещает и мешает работать. Ты не партнёр – ты потенциальный источник проблем. И чем лучше ты делаешь свою работу, тем менее удобным становишься для окружающих.

Небольшое лирическое отступление – Да, в какой-то момент ты осознаешь, что надо заходить чаще всего с другой стороны, что мир полон компромиссов, а с теми же разработчиками и бизнесом нужно разговаривать на их языке и оперировать именно их ценностями. Но до этого момента нужно еще дойти. Возвращаемся.

При этом от ИБ-специалиста ждут универсальности уровня швейцарского ножа. Ты должен понимать, что происходит на уровне кода, разбираться в вебе, сетях, уязвимостях, процессах, людях и регуляторке. Поэтому тебе приходится постоянно учиться, читать про новые атаки, методики и эксплойты, и при этом объяснять всё это на человеческом языке тем, кому это неинтересно. А потом спокойно принимать тот факт, что тебе скажут: “Да, мы поняли риск, но делать ничего не будем”.

Самая болезненная часть – ощущение бессилия, появляется раздражение, что твоя работа никому не нужна, а тебя самого не уважают и воспринимают как помеху. Ты видишь проблему заранее, иногда за месяцы, но не можешь заставить менеджмент компании/бизнес принять нужное решение. Максимум – зафиксировать риски, предупредить о последствиях и сохранить переписку “на всякий случай”. А когда инцидент всё-таки происходит, внезапно оказывается, что отвечаешь за него тоже ты. В этот момент многие ИБшники ломаются: кто-то выгорает и спивается  увольняется, кто-то сдается и начинает работать на автомате.

Безопасники, которые давно в сфере, почти все через это проходили. И многие успешно справляются с растущим напряжением, меняя угол зрения. Перестают воспринимать каждый отказ как личное поражение и находят положительные эмоции в другом: кто-то уходит глубже в технику, кто-то – в архитектуру, кто-то – в менеджмент, а кто-то больше времени уделяет своим хобби и друзьям. Почти все сходятся в одном: ИБ не должна съедать тебя целиком.

В какой-то момент приходит понимание, что это работа в среде, где компромиссы – норма, а идеальных решений не существует, где нужно быть не героем-одиночкой и нерушимой стеной, а командным игроком в сборной, где ты не выбирал, с кем играть этот матч. И если ты идешь в эту профессию, к этому нужно быть готовым. Гореть – да. Эмпатировать – да. Но выгорать насовсем и ненавидеть то, что когда-то любил, – совсем не обязательный сценарий. Это просто часть реальности ИБ, а не её приговор.

Ах да, возможно вы зададитесь вопросом – а почему сейчас все вокруг в ИБ выгорают а раньше такого не наблюдалось? А потому что ИБшники прошого поколения – чаще всего выходцы из силовых структур, где они закалялись в Свартальвхеймских кузницах наравне с копьем Одина и молотом Тора. Эти ребята приходили запрещать и ни на какую дружбу и комфортные условия даже не надеялись. Это мы с вами зачастую – либо выходцы из лавандового IT/околоIT, либо сразу приходим в мир кибербеза еще со студенческой скамьи, мотивированные романтикой Мистера Робота или книжек про хакеров. А такое ломается быстро.

Ну вот и все, что я хотел вам сказать. Берегите себя, свою психику и ментальное здоровье. Жизнь одна – кайфуйте.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT

ИИ момент

Был на днях на одном мероприятии (чуть позже расскажу), где мельком поднялась тема новомодного консьерж-ИИ-агента – Clawdbot (он же Moltbot). Собственно, у меня зачесалось что-то внутри и я решил выговориться на эту тему, а то так и не успею, а оно загнётся.

По поводу самого Молтбота – если коротко, то это следующая ступень эволюции ИИ-агентов. Если все правильно сделать (развернуть сервис у себя локально на компе) и настроить (дать доступ ко всем своим социальным сетям, аккаунтам в банках, мессенджерам, браузерам, операционке), то эта штука сможет стать для вас полноценным ассистентом и консьерж-сервисом в одном лице.

Молтбот будет раскидывать вам встречи в календари, покупать билеты на самолеты (да напишите уже мне, Ави****лс!), бронировать столики в ресторанах и даже отвечать на сообщения вашим родным при необходимости. Круто? Круто. Страшно? Очень!

Даже если отбросить раннее творчество Джеймса Кэмерона, то это все равно не кажется нормальным. Допустим, что сам сервис, его код и компоненты абсолютно безопасны, и там нет никаких бэкдоров и дыр (что точно не так). Допустим, что создатель этого сервиса никак не заинтересован в том, чтобы завладеть жизнью пользователя и всеми его ценностями (вполне реально). Все равно остается очень много вопросов к этой технологии.

Даже если вас не будут атаковать изнутри (создатели этого агента), то вас точно пробьют снаружи. А пробивать вас будут и умышленно, и неумышленно. Напоминаю, что для поиска необходимой информации ИИшки перебирают, вычитывают и анализируют тысячи сайтов и прочих веб-ресурсов. Будет ли среди них несколько фишинговых или вредоносных? Да вполне. А если у бота будет доступ, то он вам по дороге еще скачает пару вирусов на ваше устройство и их же запустит. Да что уж там, в какой-то момент ваш Молтбот может повестись на слишком красиво и продающе-вылизанный лендинг очередного инфоцыгана, и вот, в тот же момент с вашей карты списывается 40 тысяч рублей, а вы становитесь обладателем эксклюзивного курса по построению идеальной жизни сугубо на раскрытии чакры и вашего кошелька.

Ну а если серьезно, то поверхность атаки тут просто безграничная. Будет ли бот вестись на фишинг в Телеграме? Сможет ли он распознать атаку через промт с одного из сайтов, которые он анализирует для поиска самой дешевой кухонной плиты? Сможет ли он распознать, что между ним и очередным коннектором (сервисом, к которому вы его подключите, чтобы он им управлял) нет кого-то посередине? Думаю, что просто нет.

Многим кажется, что тот факт, что сервис разворачивается вашими руками и на вашем же устройстве под вашим же контролем – решает абсолютно все проблемы. И если бы эта штука не имела доступ в интернеты, то, наверное, так и было бы. Но это не так.

Я вообще не против ассистентов, автоматизации, "второго мозга", нейронок и вот этого всего. Просто порой человечество бывает не готово к тем технологиям, которые упрощают его жизнь. И кажется, что это тот самый момент.

⚡ ПБ | 😎 Чат | 🛍 Проекты | 📹 YT