#КиберМем

Твой Пакет Безопасности

​Мхом поросло, а значит можно обсуждать

Что-то в этот раз я сильно затянул, но руки никак не доходили высказаться на эту тему. Речь про последнюю презентацию Apple (нет, я не техноблоггер), их партнерство с OpenAI, крики Илона Маска, карьеру генерала армии США и безопасность всей этой истории.

Собственно, началось всё с того, что яблочные ребята, помимо новых операционных систем, представили на своём последнем мероприятии еще и их коллаборацию с OpenAI (те самые, которые создали ChatGPT). Нужна она им для того, чтобы лаконично интегрировать нейрофункции в свои ОС и стандартные приложения.

Выглядят все эти новые интеллектуальные функции просто замечательно – вот именно так, как я и видел интеграцию ИИ в нашу жизнь (а не просто некое окно для ввода текста, куда ты вписываешь свой запрос) – всё нативно, без лишних заморочек и телодвижений. Но, как и всегда, всё не так просто. Вместо того, чтобы разработать и обучить свою нейросетевую модель (а примеров и референсов уже достаточное количество), в Apple решили переиспользовать технологии и опыт OpenAI с их ChatGPT (что на самом деле показательно).

А это значит, что из-за всех этих глубоких интеграций в ОС, в сторону OpenAI будут регулярно улетать все наши бесценные данные, начиная с личных фотографий, заканчивая телефонными звонками (которые ИИ будет также распознавать). С точки зрения безопасности это просто провал. Ну а первым, кто решил не проходить мимо и высказаться на этот счет, оказался наш старый-добрый Илон Маск. Понятно, что у него свои мотивы, но в этот раз его пост в Твиттере был чем-то больше, чем очередным приступом эпатажа. Он сказал, что если Эппл внедрит ChatGPT на уровне операционной системы, то он запретит сотрудникам своих компаний пользоваться устройствами Apple (похоже зря он уже 5 раз свой штат сокращал, ибо угроза выглядит весьма комично).

Следующим этапом во всей этой истории стало вступление в совет директоров OpenAI генерала армии США (хоть и в отставке) Пола Накасоне. Казалось бы, вступил и вступил, но нет, он там теперь будет не только сидеть и за всеми следить, но еще и руководить кибербезопасностью всех продуктов компании. Конечно же было не сложно догадаться о том, что этот новоиспеченный американский гигант сотрудничает с АНБ и Пентагоном, но зачем же так явно об это всем говорить.

Собственно, после этого события не стал молчать и Эдвард Сноуден, который решил резко осудить назначение такого высокопоставленного чина в руководство компании, которая с невероятным отрывом от конкурентов лидирует в сфере ИИ на нашей планете. В общем, события Терминатора стали еще ближе, так как у нас появился актер на роль Роберта Брустера (тот самый генерал-лейтенант из 3-го фильма).

Возвращаясь к теме безопасности интеграции ChatGPT на уровень iOS (и ее собратьев) – конечно же это абсолютно небезопасная история. Проблема даже не столько в том, что эти данные будут летать между вашим устройством, серверами Apple и серверами OpenAI, а в том, что ИИ будет обучаться на наших с вами данных, будет иметь к ним прямой доступ и всё это практически никак нельзя сделать анонимно без привязки к конкретным пользователям.

То есть, с момента начала внедрения этих функций на ваше устройство, на вас начнет собираться самый мощный компромат в вашей жизни. Там будет абсолютно всё – фото ваших родных, пароли соцсетей, скриншоты, голос ваших друзей, волнующие вас темы, ключевые события вашей жизни, интриги из переписок, будущие планы, тайны и даже состояние вашего здоровья. И теперь, если кому-то (например, генералу США) понадобится найти рычаг для вас, сделать это не составит никакого труда. Ну или в жизнь воплотятся события фильма "На крючке", что еще страшнее.

В общем, так и живём.

#Мнение

Твой Пакет Безопасности

И так каждый раз.

#КиберМем

Твой Пакет Безопасности

​А как ты обсуждаешь ЗП? (эпизод второй)

Ну а мы возвращаемся к той самой теме, которую не добили на прошлой неделе – как грамотно вести зарплатные переговоры при смене работы/компании и про что не стоит забывать, чтобы потом не было больно. Погнали.

Крайне рекомендую заранее обсуждать и премиальные условия – как часто, в каком размере и от чего зависит коэффициент. Вам будут рассказывать, что всё зависит от выручки компании, ваших KPI, успехов отдела и парада планет. Но важно как можно жестче зафиксировать хотя бы минимальный размер бонуса, чтобы потом не остаться у разбитого корыта, потому что "сейчас тяжелые времена, надо затянуть пояса".

Ну и не забывайте обращать внимание на то, в каком формате вам указывают вашу будущую ЗП – gross (до вычета налога) или net (чистыми на руки). Бывает кстати еще и такое, что рекрутер, обсуждаю с вами будущую ЗП, почему-то закладывает в нее еще и премии, что в итоге выливается в весьма симпатичную сумму, а после получения оффера или первой ЗП – в разочарования.

Если у вас возникает вопрос "а какую же сумму вообще просить", то тут дело вкуса, вашей самоуверенности и навыка самопрезентации/продаж. Могу лишь сказать, что нормой при обычном повышении (без смены работодателя) считается 20-30% в год. А это значит, что вам точно нужно просить больше 30%, раз вы решились на переход в другую компанию. Кто-то берет +50%, кто-то делает х2. Но учитывайте еще и то, что нужно отталкиваться не только от текущей зарплаты, но и от перспективной – той, которую вам могут дать на текущем месте работы через пару месяцев, например. Может оказаться так, что овчинка просто не будет стоить выделки.

Если у вас спрашивают про ваш текущий доход, то можете не стесняться, не выдумывать и никого не обманывать – его очень легко узнать, имея связи, ну или банально дойдя до этапа сбора ваших документов. Поэтому если вы решите что-то приукрасить, то это потом может выйти вам боком. Вы конечно же можете сослаться на NDA, из-за которого вам запрещается говорить о вашей ЗП, но открою вам один секрет – можно.

Ну и напоследок – не забудьте обязательно обсудить ваши перспективы в новой компании, как часто там происходят повышения и в каком формате. Хорошая зарплата на старте это конечно хорошо, но еще лучше, когда вам не нужно каждые полгода менять работу (а это не всегда приятно) или ссориться с вашим руководителем в попытках доказать то, что цены растут, и вам хочется увеличивать свой уровень жизни.

В общем, как-то так. Если у вас есть что добавить – вэлкам в комментарии. Ну и делитесь с теми, кто также хочет эффективно строить свою карьеру, делать это правильно и без лишних (моих) граблей.

#Карьера

Твой Пакет Безопасности

​Дешевая пародия или неповторимый оригинал?

Тут в альфа-релиз вышел один забавный инструмент от британских ученых кибербезопансиков, которым было нечем заняться, и они решили сделать антивирус, который вас не защищает. Пока звучит весьма абсурдно, но давайте попробуем разобраться.

Имя ему – Scarecrow и основная его миссия состоит в том, чтобы отпугивать. Но не ворон, а различные вирусы, червей, шифровальщиков и прочее вредоносное ПО, которое может попасть на ваше устройство. Грубо говоря, Scarecrow имитирует работу обычного антивируса при помощи специфичных фоновых процессов и конфигурационных файлов.

В своей легенде авторы этого детища делают упор на то, что вредоносное ПО, прежде чем заразить устройство жертвы, проверяет, есть ли на нём какая-нибудь защита в виде антивируса, и, если есть, то пугается, разворачивается и уходит туда, откуда пришло. И делает оно это не из-за того, что атака будет остановлена, а по причине того, что, в случае обнаружения, этот вирус изучат и добавят в антивирусные базы. Реально ли так работает? Да нет конечно. Большинство вредоносов глупенькие и слепенькие, заражают всё без какой-либо проверки или подготовки, а распространяются они миллиардами бесконтрольных копий.

Само собой, когда подготавливается какая-то целевая кибератака на какую-то конкретную жертву (государство, компанию, завод или Илона Маска), там есть свои вирусы-разведчики, которые действительно сначала прощупывают почву, так как если промахнуться с первого раза, то жертва может это заметить, что очень сильно усложнит дальнейшую работу.

В общем, на бумаге эта штука выглядит действительно интересно, но если задуматься, то скорее всего лучше просто взять и поставить себе обычный антивирус. Так и живем.

#Мнение

Твой Пакет Безопасности

​Настало время

Вчера в сеть (на одном из хакерских форумов) вылилась самая большая база паролей, а именно, 9 948 575 739 уникальных записей. Выкладывать ее сюда я не буду, но проверить, есть ли там ваш пароль можно у этих ребят – ссылка.

Нужно ли проверять – не думаю. Лучше просто возьмите и поменяйте ваши пароли хотя бы в самых важных сервисах, сайтах, социальных сетях и приложениях. Ну и про двухфакторную аутентификацию не забывайте (через смс, почту или сервисы одноразовых кодов).

К чему приведет эта утечка? Да в целом, ни к чему такому, так как раньше у плохих ребят и так была достаточно большая (порядка 8 млрд) база наших паролей, добытая ими еще в 2021 году. Просто теперь у них есть более свежий и большой список для перебора при взломе наших аккаунтов.

В общем, так и живем.

#НовостьДня

Твой Пакет Безопасности

#КиберМем

Твой Пакет Безопасности

Я смотрю многим из вас зашли посты про зарплатные переговоры, да и тема дисбаланса на рынке труда в ИБ тоже витает в воздухе уже давно.

Собственно поэтому мы ребятами из КиберМедиа решили размять наши голосовые связки и обсудить чуть подробнее, как вся эта ситуация выглядит со стороны самих кибербезопасников, какие это порождает риски и возможности, чем нас завлекают и удерживают в компаниях, а что наоборот нас отталкивает. И самое главное – стоит ли сейчас идти в ИБ или уже поздно.

Ну а почитать эту годноту можно вот тут – ссылка

Твой Пакет Безопасности

​Больше кибергигиены

Добавил себе в "Смотреть позже" на ютубе достаточно большое количество выступлений с последнего PhD, так как на самой конференции было особо не до этого. Так вот, делюсь с вами годным выступлением, посвященным мошенническим схемам – ссылка.

Решил не переписывать всю эту информацию в пост – там ни поста не хватит, ни моего терпения. В выступлении очень много всего интересного – и про обман через Госуслуги, и про фиктивные кредиты, и про обновление данных абонентов по симкам, и даже подробная статистика и аналитика по всем этим схемам. И всё это уместилось в какие-то полчаса.

И да, не забудьте поделиться этим видео со своими родными и близкими, будет точно полезно.

#Кибергигиена

Твой Пакет Безопасности

👾

В общем, после того самого голосования, делить канал на два разных я не стал, но у меня родилось еще несколько идей для контента, которым я не хотел бы засорять нашу основную берлогу.

Про первый (достаточно душный) канал – Пакет Знаний вы уже знаете. Но, похоже, что у нас еще одно пополнение в семье пакетах – Пакет Мероприятий. Этот канал был изначально создан сугубо для того, чтобы я не забывал про митапы и конференции, на которые я планировал зарегистрироваться и сходить. Дальше я поделился им со своими знакомыми безопасниками, ну а теперь настало время познакомить с ним и вас.

Устроено там всё банально и просто – как только мне на глаза попадается что-то годное (и чаще всего оффлайновое), я сразу закидываю ссылку в этот канал, а затем добавляю это мероприятие в календарь (он же в закрепе), под который вывел отдельный пост, чтобы нагляднее было ориентироваться по датам 👇

В планах у меня начать писать (если вам это будет интересно) какие-то вводные по каждому из мероприятий, которые я там публикую – почему оно стоит посещения, что там будет интересного и прочие подробности.

Так что вэлкам, если тоже не хотите забывать про важные ИБшные мероприятия и держать их всегда под рукой – ссылка

Да-да, пакет с пакетами

Календарь

Июнь 2024
⚡️ 18 июня – Positive Tech Day (Самара) – ссылка
⚡️ 19 июня – Ozon CyberSec Meetup (мск) – ссылка
⚡️ 20 июня – Global CIO (мск) – ссылка
⚡️ 20 июня – Т–Киберчетверг: инфра ИБ (мск) – ссылка
⚡️ 25 июня – Строим DevSecOps в баре (мск – ссылка
⚡️ 26 июня – Yet another security meetup (мск) – ссылка
⚡️ 26 июня – Кибермитап от Alfa Digital – ссылка
⚡️ 27 июня – GigaConf 2024 (мск) – ссылка

Июль 2024
⚡️ 4 июля – KuberConf (мск) – ссылка
⚡️ 26 июля – пляжный TrueTech Camp (мск) – ссылка

Август 2024
⚡️ 17 августа – ИТ-пикник (мск) – ссылка
⚡️ 22-23 августа – OFFZONE (мск) – ссылка

Сентябрь 2024
⚡️ 11-13 сентября – KazHackStan (Алматы) – ссылка
⚡️ 25-27 сентября – Kaspersky Cybersecurity Conference (Сочи) – ссылка

#КиберМем

Твой Пакет Безопасности

Да когда он уже перестанет писать свои статьи?

Я тут собрался с силами и, совместно с ребятами из Бастиона, накатал статью на тему того, как мы перестраивали кибербез в одной красной компании.

Она не то, чтобы сильно душная, поэтому прочитать и понять ее смогут многие, вопрос лишь в том, будет ли вам эта тема интересна.

Ну а почитать эту годноту можно тут – ссылка

Твой Пакет Безопасности

Такое мы сохраняем

Я тут наткнулся на одну интересную картинку в сохраненках – она про то, какие приёмы и наши эмоции используют злоумышленники для того, чтобы выведать что-то полезное для себя и добраться до наших чувствительных/секретных данных, взломать наши аккаунты, Госуслуги и понабрать на нас микрозаймы.

В общем, отличная шпаргалка для вас и родных (особенно в возрасте), с помощью которой можно очень быстро и однозначно понять, что вас сейчас пытаются развести.

#Кибергигиена

Твой Пакет Безопасности

​А тебя прослушивают?

Кажется настало время поговорить о том, подслушивает ли за нами кто-то через наши смартфоны, ноутбуки, умные часы и прочую технику, в которую встроены микрофоны.

Утверждать на все 100% я не могу, но лично мне кажется (с учетом опыта, насмотренности и каких-то познаний), что если бы звуковая информация, собираемая со всех наших микрофонов, куда-то писалась, то размеры хранилища всего этого добра должны были бы уже давно превысить все допустимые нормы.

Собственно, нагуглив алгоритмы сжатия аудио и прикинув примерное количество электроники с микрофонами на нашей планете, можно даже примерно посчитать, сколько потребуется памяти и серверов на то, чтобы все эти данные хранить. Считать мы это конечно же не будем, но я уверен, что даже у Гугла не хватит серверов на то, чтобы хранить такие объемы хотя бы за сутки.

Тогда может быть есть какой-то механизм, который не хранит всё аудио, а расшифровывет потоковое аудио в текст, выцепляет нужные фрагменты "на лету" и на основе этого выдает нам какую-то рекламу или отсылает письма в спецслужбы? Звучит конечно уже поинтереснее, но тоже маловероятно. Чтобы такое провернуть, нужно колоссальное количество вычислительных ресурсов для распознавания всех звуковых потоков.

У больших корпораций есть достаточное количество инструментов для того, чтобы впарить нам в нужный момент то, без чего мы могли бы жить совершенно спокойно. Тот же цифровой отпечаток, о котором мы говорили уже не раз вот тут, тут или здесь.

Аудио (про видео вообще молчу) – слишком тяжелый формат, на основе которого можно было бы что-то придумать для глобальной слежки. Но, всё вышесказанное отлично может работать в каких-то точечных случаях, когда объектом слежки является конкретное высокопоставленное лицо или влиятельный человек. Вот тут уже есть где развернуться и пособирать бигдату на конкретных людей. Но опять же – эти случаи скорее исключения.

И да, хакерам, которые заражают ваши устройства различными вирусами, тоже зачастую лень заниматься такими вещами, если только они заранее не провели пассивную разведку и не убедились в том, что вы регулярно рассказываете уморительные анекдоты.

#Мнение

Твой Пакет Безопасности