Ну что за красота

Да, я всё еще слаб на всё красивое. А тут еще и полезное. Если вы вдруг собираетесь строить DevSecOps, пытаетесь в нём разобраться или не уверены, что у вас он полноценный, то беглым взглядом сможете сразу понять, чего не хватает из самого основного.

Тут и про управление секретами и уязвимостями, и про контейнерную безопасность, и про моделирование угроз. В общем, всё самое необходимое, чтобы защитить свои активы и спать спокойно, пока продуктовые команды доносят ценность до пользователей.

Сохраняем, распространяем и радуемся.

UPD: в комментариях есть файл в нормальном качестве 👇

#Полезное

Твой Пакет Безопасности

​Крипта – СКАМ

Про зарплаты и деньги в ИБ поговорили, теперь настало время поболтать и о том, как всё это добро не потерять. Думаю, что многие из вас слышали или смотрели интервью и выступление Паши Дурова на дубайском криптофоруме. Также, наверняка многие из вас слышали или хоть раз, да пользовались встроенным в Телеграм криптокошельком wallet.

Так вот, в последнее время появилось что-то очень много мошеннических схем, связанных с криптой TON (которая якобы никак не связана с основателем Телеграм) и этим встроенным кошельком. Более того, несколько человек из моего окружения даже повелись на такие схемы. Кажется, что всё это также было спровоцированно появлением детища TON – NOT Coin. Да, эта монета и игрушка были призваны популяризировать криптовалюты среди масс, но о побочках, кажется, никто не задумался. Как тыкать на монетку людям объяснили, а вот как свои кошельки защищать – забыли. Так что погнали разбираться, что там за схемы такие. В целом, по классике, никто ничего нового не придумал, просто обернул в свежую оболочку и подогнал под ситуацию.

Первая схема – вам пишут якобы от службы поддержки того самого Wallet с просьбой верифицировать свой профиль, чтобы не потерять свой кошелек и защититься от участившихся взломов. Да, процесс верификации действительно существует в этом сервисе, но вот происходит она обычно немного иначе. Тут же вам просто присылают ссылку, где вам надо ввести одноразовый код из сообщения от Телеграма. Дальше ваш аккаунт успешно угоняется, крипта снимается, юзернейм освобождается. Делается это все за считанные минуты.

Сам Wallet постоянно напоминает своим пользователям, что его поддержка никогда не связывается с пользователями первая. Ну а я вам напоминаю, что единственный официальный юзернейм этого кошелька – @wallet (не реклама). И там внутри вы уже и криптой покрутить сможете, и в поддержку написать, и пароль поставить (обещали скоро завезти эту функцию, возможно уже есть).

Вторая схема связана с тем, что тот самый пресловутый NOT Coin скоро должен появиться на криптовалютных биржах, где им можно будет официально торговать, продавать свои натыканные монетки и вот это вот всё. Во многих чатах, комментариях под постами в каналах (наш канал не исключение) начали появляться сообщения о том, что "ну наконец-то можно продать свои НОТкоины и стать миллионером, скорее переходи по ссылке". Благо тут уж совсем заморачиваться не стали, и схема палится уже по заголовку.

В общем, если залезаете в крипту, то будьте готовы к тому, что этот "анонимный" мир не так уж и безопасен. Думаю, что скоро сделаю еще подробный пост про безопасность в Телеграме с описанием детальной настройки своего аккаунта. Если вам такое надо – можете навалить реакций под пост. Ну и по традиции – пересылайте своим криптодрузьям, чтобы они не лишись своих кровно заработанных деняк.

#Кибергигиена

Твой Пакет Безопасности

А вот и воскресенье

Воскресного дайджеста сегодня не будет. Понимаю – грустно, больно, обидно, канал уже не тот, автор обленился, а вот в наши времена было лучше и вот это вот всё. Ну ничего, всё, что нас не убивает, делает нас слабее сильнее.

Ну а пока я возвращаюсь на родину и жду в гости ребят из Positive Technologies, чтобы нам наконец-то дали PhD-билеты на розыгрыш, расскажу вам немного о том, что скоро будет в канале и вообще в нашей жизни.

Во-первых, скоро уже случится анонс следующего Pentest Awards, куда меня пообещали позвать членом жюри.

Во-вторых, мы с парочкой админов других ИБшных каналов заказали для вас Flipper Zero и горстку профильных книг для розыгрыша.

В-третьих, скоро опубликую информацию о том, как я решил вписаться в одну благотворительную историю с другими ребятами из мира кибербеза (там будет нечто годное для тех, кто пока не может себе финансово позволить посещать крутые, но платные ИБшные мероприятия).

В общем, жизнь кипит, мы движемся вперед и делаем (конечно же вместе) этот мир только лучше.

Твой Пакет Безопасности

Думаю, тут обойдемся без лишних комментариев.

#КиберМем

Твой Пакет Безопасности

​Больше настроек

Так, настало время тряхнуть стариной и напомнить вам о безопасности в Телеграм. Да, мы говорили с вами об это уже не раз (раз, два, три, четыре), но, во-первых, это было давно, а во-вторых, сейчас мы подробно пройдемся по конкретным настройкам, чтобы сделать всё правильно и с первого раза. Информации много, времени мало, поэтому будет сухо и по пунктам – поехали.

⚡️ Крайне желательно иметь отдельный номер телефона под свой Телеграм-аккаунт (симку можно будет вытащить, но не выбрасывать)
⚡️ Включить двухфакторную аутентификацию (телефон и пароль + приходит смс с одноразовым кодом, если вход был с нового устройства). Настройки –> Конфиденциальность –> Облачный пароль (включаем, записываем и не теряем)
 ⚡️ Включаем код-пароль. Настройки –> Конфиденциальность –> Код-пароль (включаем и не забываем)
 ⚡️ Скрываем свой номер телефона. Настройки –> Конфиденциальность –> Номер телефона (настраиваем так, чтобы его никто не видел)
 ⚡️ Скрываем свои фото. Настройки –> Конфиденциальность –> Фотографии профиля (настраиваем так, чтобы их никто не видел)
 ⚡️ Запрещаем себя добавлять в групповые чаты и каналы. Настройки –> Конфиденциальность –> Приглашения (настраиваем так, чтобы никто не мог приглашать)
 ⚡️ Запрещаем себе звонить. Настройки –> Конфиденциальность –> Звонки. PEER-TO-PEER (анонимные звонки) вообще отключаем, а обычные – по своему усмотрению, но точно не "для всех"
 ⚡️ Ограничиваем доступ из пересылов ваших сообщений. Настройки –> Конфиденциальность –> Пересылка сообщений (делаем так, чтобы при нажатии на ваше имя никто не мог перейти на ваш аккаунт)
 ⚡️ Регулярно проверяем, на каких устройствах активен ваш аккаунт. Настройки –> Устройства (если находим аномалии – сразу удаляем подозрительный сеанс)

Думаю, что на этот пост хватит. Да, это база, да многие из вас о ней знают, но я уверен, что далеко не у всех дошли руки до того, чтобы нормально сесть и протыкать все эти нужные кнопки. Так что настало время это сделать. Ну и по традиции, ставим лайки и рассылаем своим близким, чтобы и они всё сделали правильно и безопасно.

Кстати, наткнулся недавно на статейку с разбором пары фишинговых схем, провёрнутых через Телеграм – ссылка. Там и картиночки, и разбор – так что приятного прочтения, лишним точно не будет.

Ну теперь точно всё. Всем мир.

#Кибергигиена

Твой Пакет Безопасности

​Ну вот и настал тот момент, когда мы нашли с ребятами и Позитивов общий язык, и я смог добыть для вас аж 6 бесплатных билетов на их грядущий Positive Hack Days Fest 2 🥳

Так что, если вы еще не успели купить или выиграть где-то заветный проход на это масштабное кибербезопасное мероприятие, то это ваш звёздный час!

Для того, чтобы забрать свой билет, накидывайте в комментарии ваши интересные истории из мира ИБ, а если их будет больше, чем нужно (ну вдруг), то я просто выберу самые крутые из них. Это могут быть как реальные инциденты из рабочей практики, так и бытовые ситуации из сферы кибергигиены (вдруг вас кто-то хотел развести или обмануть в интернетах, например).

🚨 Итоги подведем в ближайший четверг – 16-го мая.

А еще я вам напоминаю про другую благотворительную активность, связанную с PhD, которую мы затеяли с крутыми ребятами из ИБшного комьюнити – ссылка. Мы договорились немного расширить (или даже упростить) условия участия, и теперь вы можете отправлять не только описание интересных багов с багбаунти, но и реализованные векторы на CTF и собственные ресерчи во всех направлениях ИБ 🔥

В общем, всем удачи и мира во всём мире 🫡

Твой Пакет Безопасности

Да, мем не первой свежести, но он явно стоит публикации в канале.

#КиберМем

Твой Пакет Безопасности

​Ну всё, теперь я знаю, где ты

Думаю, что многие из вас уже слышали про этот инфоповод, а шумиха вокруг уже улеглась. Так что, по традиции, предлагаю переходить к отложенному разбору того, что же произошло, как нам с этим жить и что будет дальше.

Речь идет о том самом инструменте для отслеживания вашего местоположения по одному только никнейму в Телеграме – Close-Circuit Telegram Vision. Коротко о главном – некий Иван Глинкин (ох его теперь работодатели на части наверное разрывают), который позиционирует себя как этичный хакер, опубликовал информацию об инструменте (и его исходники), который позволяет найти на карте всех пользователей мессенджера Telegram.

Я так и не понял, почему все так резко перевозбудились (будто переживать больше не о чем), ведь этот парень просто научился агрегировать в одном месте данные, которые пользователи и так добровольно отдают, активируя функцию "Найти людей рядом". Точность местоположения пользователей тоже не фонтан – около 800 метров.

А еще, я позволю себе напомнить о том, что больше года назад я уже говорил о том, что ведется разработка подобной штуки (Я ЖЕ ГОВОРИЛ) – вот тут. Да, я понимаю, что этот инструмент можно использовать во зло, отслеживая местоположение своих жертв, например. Но у этой проблемы уже есть решение – эту функцию можно отключить (по-умолчанию она выключена, кстати) в настройках мессенджера. А еще я напомню вам о том, что у Телеграма уже порядка 1 млрд живых пользователей, что немного усложняет работу плохим ребятам.

А так да, злоумышленники теперь могут просто скачать себе этот интрумент, допилить в нём пару фич – такие как отслеживание траекторий и построение прогнозов, и смело заходить в дома жертв, которые часто и за много денег заказывали себе еду из одного желтого сервиса доставки (отсылка к одной большой утечке персональных данных, произошедшей пару лет назад). Но не уверен, что они будут с этим заморачиваться, если честно.

В общем, так и живем. И да, функцию эту отключить не забудьте.

#Мнение

Твой Пакет Безопасности

​А про вас снимали фильм?

Я тут глянул на днях (наконец-то) наш сериал "Русские хакеры: Начало" и был приятно удивлен тем, как там ведется повествование, как раскрываются герои, и вообще тем, что это документальный формат. Съемка и сами истории тоже порадовали, так что смело рекомендую к просмотру.

Я как-то уже делал пару постов на тему того, что стоит посмотреть из кинематографа для погружения в мир кибербеза (например, тут). Так что я решил, что надо повторить и накидал вам еще пару произведений помимо вышеупомянутого сериала. Ну погнали.

🎬 Во-первых, это "Химера" – тот самый художественный сериал про биржу наркотиков в даркнете. Сам я пока не успел посмотреть, но многие советуют.

🎬 Далее – "Глубокая паутина". Еще одна качественная документалка, но уже про знаменитый Silk Road и его историю.

🎬 Ну и раз мы заговорили про Шелковый путь, то следом можно глянуть уже художественный фильм (с гениальным названием) про него же – "Асоциальная сеть". Да, не "Мстители: Финал", но уровня актерской игры хватает, чтобы можно было досмотреть кино до конца.

🎬 Еще многие советуются глянуть фильм "Хакер" (где-то он датируется 2014-м годом, а где-то 2016-м, но думаю, что вы найдете). Произведение художественное, сюжет не самый продуманный, а актерская игра не самая сногсшибательная, но говорят, что снято на реальных событиях. В общем, если прям очень хочется познать еще один хакерский сюжет, то можно глянуть на фоне.

Ну а если у вас есть что еще посоветовать из того, что тут не упоминалось – вэлкам в комментарии.

#Мнение

Твой Пакет Безопасности

А вот и результаты второго благотворительного конкурса 😌