Крипта
Криптография это то, что лежит в основе очень многих сфер нашей жизни (да, да, включая ту самую криптовалюту и блокчейн). А еще это одна из ключевых дисциплин на кафедрах по информационной безопасности. И лично у меня, к сожалению, сложился негативный опыт с этим курсом во время обучения. Думаю, что произошло это по двум причинам – во-первых, мне изначально было абсолютно это не интересно (я сразу понял, что это просто инструмент), а во-вторых, подача оставляла желать лучшего.
Позже мне уже самому пришлось изучать криптографию, так как несколько раз она мне пригодилась по работе. По сути, здесь нет абсолютно ничего сложно, а вся крипта строится всего на двух типах шифрования – симметричном и асимметричном. Дальше уже идет разветвление на разные алгоритмы, математические функции (вот тут становится не интересно), их сложность и прочее.
Так вот, к чему это я. Недавно наткнулся на ролик, в котором базу криптографии не просто интересно преподнесли, а еще и ее историю рассказали, а еще и сделали это в виде симпатичной анимации. Думаю, что будет интересно посмотреть далеко не только тем, кто работает в айти или кибербезе. На этом канале кстати это далеко не единственное интересное видео. И да, это не реклама.
Вэлкам – https://youtu.be/7mn4uq4DBJo
#Полезное
Твой Пакет Безопасности
Криптография это то, что лежит в основе очень многих сфер нашей жизни (да, да, включая ту самую криптовалюту и блокчейн). А еще это одна из ключевых дисциплин на кафедрах по информационной безопасности. И лично у меня, к сожалению, сложился негативный опыт с этим курсом во время обучения. Думаю, что произошло это по двум причинам – во-первых, мне изначально было абсолютно это не интересно (я сразу понял, что это просто инструмент), а во-вторых, подача оставляла желать лучшего.
Позже мне уже самому пришлось изучать криптографию, так как несколько раз она мне пригодилась по работе. По сути, здесь нет абсолютно ничего сложно, а вся крипта строится всего на двух типах шифрования – симметричном и асимметричном. Дальше уже идет разветвление на разные алгоритмы, математические функции (вот тут становится не интересно), их сложность и прочее.
Так вот, к чему это я. Недавно наткнулся на ролик, в котором базу криптографии не просто интересно преподнесли, а еще и ее историю рассказали, а еще и сделали это в виде симпатичной анимации. Думаю, что будет интересно посмотреть далеко не только тем, кто работает в айти или кибербезе. На этом канале кстати это далеко не единственное интересное видео. И да, это не реклама.
Вэлкам – https://youtu.be/7mn4uq4DBJo
#Полезное
Твой Пакет Безопасности
👍22❤3❤🔥3⚡2🔥2😁2🤓2👎1👏1🤩1
Нейросети наступают
Мы с вами уже пару раз обсуждали тему того, как ИИ скоро будет использоваться для помощи злоумышленникам или для непосредственного взлома (раз и два). Так вот, этот нейропоезд уже не остановить.
Во-первых, злоумышленники уже во всю генерируют оригинальные фишинговые письма при помощи NLP моделей по типу ChatGPT. Нейронке можно дать все необходимые вводные (возраст, интересы и т.д.), чтобы жертва точно отреагировала на фишинговую рассылку или звонок и попалась на крючок.
Во-вторых, по сырым исходникам и необработанным данным нейронные сети могут определять используемые криптографические функции, и описывать алгоритмы их работы, что может помочь злоумышленникам при реверс-инжиниринге.
В-третьих, тот же ChatGPT умеет анализировать и составлять списки потенциальных уязвимостей безопасности сервисов. Более того, он способен даже сгенерировать огромное множество запросов, с помощью которых эти уязвимости можно попробовать проэксплуатировать.
В четвертых, нейросети уже умеют писать сами эксплойты (вредоносные скрипты), хоть и делают это не всегда удачно и с первой попытки (например, как тут), но всё еще впереди.
Думаю, что в одном из следующих постов мы с вами поговорим о том, как ИИ-сервисы уже можно использовать не для того, чтобы взламывать что-то, а в целях защиты и обеспечения той самой кибербезопасности.
#Мнение
Твой Пакет Безопасности
Мы с вами уже пару раз обсуждали тему того, как ИИ скоро будет использоваться для помощи злоумышленникам или для непосредственного взлома (раз и два). Так вот, этот нейропоезд уже не остановить.
Во-первых, злоумышленники уже во всю генерируют оригинальные фишинговые письма при помощи NLP моделей по типу ChatGPT. Нейронке можно дать все необходимые вводные (возраст, интересы и т.д.), чтобы жертва точно отреагировала на фишинговую рассылку или звонок и попалась на крючок.
Во-вторых, по сырым исходникам и необработанным данным нейронные сети могут определять используемые криптографические функции, и описывать алгоритмы их работы, что может помочь злоумышленникам при реверс-инжиниринге.
В-третьих, тот же ChatGPT умеет анализировать и составлять списки потенциальных уязвимостей безопасности сервисов. Более того, он способен даже сгенерировать огромное множество запросов, с помощью которых эти уязвимости можно попробовать проэксплуатировать.
В четвертых, нейросети уже умеют писать сами эксплойты (вредоносные скрипты), хоть и делают это не всегда удачно и с первой попытки (например, как тут), но всё еще впереди.
Думаю, что в одном из следующих постов мы с вами поговорим о том, как ИИ-сервисы уже можно использовать не для того, чтобы взламывать что-то, а в целях защиты и обеспечения той самой кибербезопасности.
#Мнение
Твой Пакет Безопасности
🔥14👍5⚡3😱2❤🔥1❤1😁1🥴1
Нам есть к чему стремиться
Пока в нашей стране слиты данные только примерно 75% ее жителей, в Австрии этот показатель давно подошёл к отметке в 100%. Население страны колеблется в районе 9 млн человек, и именно такой объем строк уникальных данных содержится в архиве, выложенном в дарк-вебе еще в 2020 году одним нидерладским хакером.
В архиве не самый полный перечень информации – есть только ФИО, пол, адрес и дата рождения, но, с учетом объемов выгрузки, это действительно интересно. Думаю, что бОльшую часть этих данных можно без особых усилий обогатить дополнительной информацией из других сливов, привязав к этим строкам еще и платежные данные, например.
У нас еще все впереди и думаю, что за ближайшую пару лет мы догоним эту страну по сливам. И да, этого 25-ти летнего активиста уже успели найти и задержать.
#Мнение
Твой Пакет Безопасности
Пока в нашей стране слиты данные только примерно 75% ее жителей, в Австрии этот показатель давно подошёл к отметке в 100%. Население страны колеблется в районе 9 млн человек, и именно такой объем строк уникальных данных содержится в архиве, выложенном в дарк-вебе еще в 2020 году одним нидерладским хакером.
В архиве не самый полный перечень информации – есть только ФИО, пол, адрес и дата рождения, но, с учетом объемов выгрузки, это действительно интересно. Думаю, что бОльшую часть этих данных можно без особых усилий обогатить дополнительной информацией из других сливов, привязав к этим строкам еще и платежные данные, например.
У нас еще все впереди и думаю, что за ближайшую пару лет мы догоним эту страну по сливам. И да, этого 25-ти летнего активиста уже успели найти и задержать.
#Мнение
Твой Пакет Безопасности
😱10⚡6👍5❤🔥3👎1🔥1👏1🎉1🥴1
СберУтечки
Думаю, что все из вас уже наслышаны о том, как сразу несколько продуктов Сбера подверглись кибератакам с последующим сливом персональных данных клиентов. Пока что в этом списке СберПраво, СберЛогистика и СберСпасибо. Всё это произошло не без участия хакерской группировки NLB.
Кажется, что это далеко не полный список атакованных и слитых сервисов Сбера, что подтверждают слова самих NLB. На самом деле, это уже не столь важно, так как слита уже критическая масса данных. Остается надеяться только на то, что Сбер бережнее относится к обеспечению безопасности банковских данных своих клиентов.
Хотелось бы посмотреть на достоверные итоги расследования компании касательного произошедших инцидентов, чтобы понимать, в чем именно проблема – в изобретательных сотрудниках или в несовершенстве системы защиты информации.
Вообще, хочется сказать о том, что по мере утечки всё бОльшего количества ПДн и приближения к уровню Австрии, фокус хакерских группировок будет смещаться со сливов ПДн в сторону отказа в обслуживании тех или иных сервисов. Причина банальна – все данные (ну почти) и так уже слиты, и интерес к ним начинает угасать. Так что призываю всех задуматься о надежности и отказоустойчивости своих продуктов и систем.
#Мнение
Твой Пакет Безопасности
Думаю, что все из вас уже наслышаны о том, как сразу несколько продуктов Сбера подверглись кибератакам с последующим сливом персональных данных клиентов. Пока что в этом списке СберПраво, СберЛогистика и СберСпасибо. Всё это произошло не без участия хакерской группировки NLB.
Кажется, что это далеко не полный список атакованных и слитых сервисов Сбера, что подтверждают слова самих NLB. На самом деле, это уже не столь важно, так как слита уже критическая масса данных. Остается надеяться только на то, что Сбер бережнее относится к обеспечению безопасности банковских данных своих клиентов.
Хотелось бы посмотреть на достоверные итоги расследования компании касательного произошедших инцидентов, чтобы понимать, в чем именно проблема – в изобретательных сотрудниках или в несовершенстве системы защиты информации.
Вообще, хочется сказать о том, что по мере утечки всё бОльшего количества ПДн и приближения к уровню Австрии, фокус хакерских группировок будет смещаться со сливов ПДн в сторону отказа в обслуживании тех или иных сервисов. Причина банальна – все данные (ну почти) и так уже слиты, и интерес к ним начинает угасать. Так что призываю всех задуматься о надежности и отказоустойчивости своих продуктов и систем.
#Мнение
Твой Пакет Безопасности
👍14🥴8❤🔥3⚡3🌚3🤣2
Киберразведка
Мы с вами уже поговорили о том, что такое пассивный и активный цифровой след (тут и тут) и даже познакомились с некоторыми инструментами (например, тут), помогающими нам его искажать (и еще не раз поговорим).
А значит, настало время обсудить то, с помощью чего этот самый цифровой след можно выявить и использовать – OSINT. Сразу скажу, что я не буду рассказывать вам о продвинутых методиках OSINTа. Думаю, что кому интересно, тот сможет всё нагуглить сам. Тем более, что использовать их можно далеко не только в благородных целях.
Если коротко (как мы и любим), то при помощи OSINTа мы можем собрать достаточно большой объем информации о человеке, используя данные только из открытых источников (социальные сети, опубликованные утечки, СМИ, сервисы по поиску работы и прочие), то есть, изучив его цифровой след. Думаю очевиден тот факт, что этим инструментом часто пользуются злоумышленники, чтобы изучить свою жертву перед непосредственным взаимодействием с ней (этот этап называется разведкой).
Позже мы с вами еще поговорим и о других этапах кибератаки, а пока можете поиграться с несколькими сервисами OSINTа, "пробив" себя по юзернейму, ФИО или номеру телефона, например.
Начнем с самого банального поиска – по юзернейму в различных социальных сетях и сервисах. Для этого можно воспользоваться вот таким ботом, чтобы не искать вручную. Если же мы хотим узнать информацию, используя данные из утечек, то нам понадобится вот этот бот. По сути, это бесплатный аналог Глаза Бога, внутри которого запрятан целый комбайн из различных источников информации.
Есть и чуть более продвинутые инструменты, такие как Gotanda. Это браузерное расширение содержит в себе несколько десятков встроенных мини-инструментов для проведения полноценного OSINTа. С его помощью можно искать людей в социальных сетях, анализировать домены, сайты и айпишники.
И главное помните, что сбор информации о частной жизни граждан без их согласия незаконен.
#Полезное
Твой Пакет Безопасности
Мы с вами уже поговорили о том, что такое пассивный и активный цифровой след (тут и тут) и даже познакомились с некоторыми инструментами (например, тут), помогающими нам его искажать (и еще не раз поговорим).
А значит, настало время обсудить то, с помощью чего этот самый цифровой след можно выявить и использовать – OSINT. Сразу скажу, что я не буду рассказывать вам о продвинутых методиках OSINTа. Думаю, что кому интересно, тот сможет всё нагуглить сам. Тем более, что использовать их можно далеко не только в благородных целях.
Если коротко (как мы и любим), то при помощи OSINTа мы можем собрать достаточно большой объем информации о человеке, используя данные только из открытых источников (социальные сети, опубликованные утечки, СМИ, сервисы по поиску работы и прочие), то есть, изучив его цифровой след. Думаю очевиден тот факт, что этим инструментом часто пользуются злоумышленники, чтобы изучить свою жертву перед непосредственным взаимодействием с ней (этот этап называется разведкой).
Позже мы с вами еще поговорим и о других этапах кибератаки, а пока можете поиграться с несколькими сервисами OSINTа, "пробив" себя по юзернейму, ФИО или номеру телефона, например.
Начнем с самого банального поиска – по юзернейму в различных социальных сетях и сервисах. Для этого можно воспользоваться вот таким ботом, чтобы не искать вручную. Если же мы хотим узнать информацию, используя данные из утечек, то нам понадобится вот этот бот. По сути, это бесплатный аналог Глаза Бога, внутри которого запрятан целый комбайн из различных источников информации.
Есть и чуть более продвинутые инструменты, такие как Gotanda. Это браузерное расширение содержит в себе несколько десятков встроенных мини-инструментов для проведения полноценного OSINTа. С его помощью можно искать людей в социальных сетях, анализировать домены, сайты и айпишники.
И главное помните, что сбор информации о частной жизни граждан без их согласия незаконен.
#Полезное
Твой Пакет Безопасности
👍26❤🔥4🔥3⚡2👏2😇1
Англо-айтишные подкасты
В одном из прошлых постов с английскими около-айтишными словами я обмолвился о своем желании собрать айтишные англоязычные подкасты (поверьте, слушать что-то, что вам интересно, на английском намного проще, чем беседы Алисы и Боба из уроков по аудированию ). Так вот, список готов, более того, я добавил туда еще и подкасты по кибербезопасности. Сразу скажу, что не все эти подкасты я лично слушал, про некоторые слышал от знакомых и друзей. Я буду давать ссылки на официальные страницы подкастов, чтобы вы сами могли выбрать удобную для вас стриминговую площадку.
CyberWire – у этих ребят очень много направлений, охватывающих самые различные домены кибербеза, включая социальную инженерию, криминалистику и технологии.
CodeNewbie – формат интервью у ребят из БигТеха и просто интересных личностей.
CISO Series – здесь ведущие обсуждают новости мира ИБ и иногда поднимают интересные темы, связанные с профессией.
Coding Blocks – уже более технический подкаст про технологии, паттерны проектирования, БД и прочие прелести IT. Но бывают и разгрузочные выпуски, например про ChatGPT.
Soft Skills Engineering – тут всё сказано в названии, формат разбора полезных софтовых скиллов, которые пригодятся, к слову, не только в IT.
Darknet Diaries – достаточно интересныq и не тривиальный подкаст про громкие киберинциденты и вообще всё, что так или иначе связано с тёмной стороной интернетов.
Заряжаемся английским – ну и напоследок, подкаст не про IT, но про само изучение языка от одной очень крутой школы английского языка, услугами которой я сам пользуюсь (честно). Упомянул я ее здесь только потому, что готов смело рекомендовать вам это место, если вдруг вы захотите подтянуть свои языковые навыки (вот тут можно получить два урока в подарок).
Чуть позже соберу для вас (ну и для себя заодно) список бесплатных ресурсов для изучения английского. И да, если у вас есть советы по аналогичным подкастам – вэлкам в комментарии.
#Полезное
Твой Пакет Безопасности
В одном из прошлых постов с английскими около-айтишными словами я обмолвился о своем желании собрать айтишные англоязычные подкасты (
CyberWire – у этих ребят очень много направлений, охватывающих самые различные домены кибербеза, включая социальную инженерию, криминалистику и технологии.
CodeNewbie – формат интервью у ребят из БигТеха и просто интересных личностей.
CISO Series – здесь ведущие обсуждают новости мира ИБ и иногда поднимают интересные темы, связанные с профессией.
Coding Blocks – уже более технический подкаст про технологии, паттерны проектирования, БД и прочие прелести IT. Но бывают и разгрузочные выпуски, например про ChatGPT.
Soft Skills Engineering – тут всё сказано в названии, формат разбора полезных софтовых скиллов, которые пригодятся, к слову, не только в IT.
Darknet Diaries – достаточно интересныq и не тривиальный подкаст про громкие киберинциденты и вообще всё, что так или иначе связано с тёмной стороной интернетов.
Заряжаемся английским – ну и напоследок, подкаст не про IT, но про само изучение языка от одной очень крутой школы английского языка, услугами которой я сам пользуюсь (честно). Упомянул я ее здесь только потому, что готов смело рекомендовать вам это место, если вдруг вы захотите подтянуть свои языковые навыки (вот тут можно получить два урока в подарок).
Чуть позже соберу для вас (ну и для себя заодно) список бесплатных ресурсов для изучения английского. И да, если у вас есть советы по аналогичным подкастам – вэлкам в комментарии.
#Полезное
Твой Пакет Безопасности
😍16⚡7🔥7👍4❤🔥3🙏2👏1
Меняем паспорт из-за утечек
Пока наши данные продолжают утекать из СберЛогистики, а ЗдравСити всё еще отрицает слив клиентской базы, СПЧ (Совет по правам человека) предлагает включить в перечень оснований для замены паспорта те самые злополучные утечки данных граждан. По мнению Совета, замена паспорта – это самый эффективный метод противодействию мошенничеству (ниже еще обсудим этот тезис).
Также РКН (Роскомнадзор) закручивает гайки, расширяя закон «О персональных данных». Он пытается заставить компании сообщать об утечках в течении одних суток, а о результатах расследования инцидента в течении трёх суток. К слову, это требование было введено еще в сентябре прошлого года, но на данный момент 75% компаний так и не сочли нужным их выполнить (чую грядут дальнейшие закручивания).
Кстати, в результатах расследования (об утечке данных), по мнению РКН, обязательно должны фигурировать списки виновных в утечке лиц. Здесь стоит упомянуть еще одну инициативу Правительства – введение уголовного наказания за утечку персональных данных.Как будто безопасникам и так не хватало ответственности на работе.
Сюда же можно докинуть еще инициативу от Минцифры о введении оборотных штрафов (в размере 3% от годового оборота компании), о которых мы говорили в одном из прошлых постов.
В общем, утечки уже всем надоели, в том числе и государству. Радует то, что это недовольство не просто существует, а выливается в правильные (хоть и не всегда приятные) инициативы. Осталось только довести их до реальности. Хочется также заметить, что самый эффективный метод противодействию мошенничеству – это не замена паспорта, а недопущение самих утечек информации.
#Мнение
Твой Пакет Безопасности
Пока наши данные продолжают утекать из СберЛогистики, а ЗдравСити всё еще отрицает слив клиентской базы, СПЧ (Совет по правам человека) предлагает включить в перечень оснований для замены паспорта те самые злополучные утечки данных граждан. По мнению Совета, замена паспорта – это самый эффективный метод противодействию мошенничеству (ниже еще обсудим этот тезис).
Также РКН (Роскомнадзор) закручивает гайки, расширяя закон «О персональных данных». Он пытается заставить компании сообщать об утечках в течении одних суток, а о результатах расследования инцидента в течении трёх суток. К слову, это требование было введено еще в сентябре прошлого года, но на данный момент 75% компаний так и не сочли нужным их выполнить (чую грядут дальнейшие закручивания).
Кстати, в результатах расследования (об утечке данных), по мнению РКН, обязательно должны фигурировать списки виновных в утечке лиц. Здесь стоит упомянуть еще одну инициативу Правительства – введение уголовного наказания за утечку персональных данных.
В общем, утечки уже всем надоели, в том числе и государству. Радует то, что это недовольство не просто существует, а выливается в правильные (хоть и не всегда приятные) инициативы. Осталось только довести их до реальности. Хочется также заметить, что самый эффективный метод противодействию мошенничеству – это не замена паспорта, а недопущение самих утечек информации.
#Мнение
Твой Пакет Безопасности
❤16👍9🔥5🤣4⚡2
Очередные потуги мошенников
Давно мы с вами не затрагивали тему мошенничества, но зло не дремлет, поэтому, поехали по-порядку разбираться, какие новые схемы придумали наши креативные злоумышленники.
Во-первых, QR-коды. Оболочка – новая, концепция – старая. Фишинговые QR-коды начали размещать в публичных местах (стены домов, парковки, автобусные остановки и т.д.). Приманка может быть разной, но, чаще всего, всё сводится к получению бесплатных социальных выплат/льгот. Само собой, после перехода по ссылке из QR-кода нужно будет ввести свои персональные данные. Куда дальше отправятся ваши данные, думаю, очевидно (не в службу социальных выплат). К слову, об этой схеме предупредил сам заместитель председателя ЦБ – похвально.
Во-вторых, мошенническое трудоустройство. Схема не самая новая, но, как оказалось, снова популярная. При поиске новой работы можно много на что нарваться (про некоторые случаи можно почитать тут, но в целом, в гугле еще полно разборов), но, в этот раз мошенники что-то совсем обленились. Суть схемы в том, что соискателю (после успешных постановочных собеседований) дают заполнить зарплатную анкету, после чего списывают деньги с его карты (ведь он сам сообщает им код подтверждения из СМС). Комментировать такое, конечно, сложно.
В-третьих, звонки через мессенджеры. Новые цены на тарифы мобильной связи не щадят никого, тем более, что часть платёжеспособного населения уехала из страны. Теперь сотрудник службы безопасности вашего банка с бОльшей вероятностью позвонит вам через Телеграм или Вотсап (есть даже аналитика на этот счет). Также звонок может поступить от иностранного номера. К слову, в Телеграме можно гибко настроить опцию звонков от незнакомых номеров, чтобы оградить себя от лишних рисков.
#Кибергигиена
Твой Пакет Безопасности
Давно мы с вами не затрагивали тему мошенничества, но зло не дремлет, поэтому, поехали по-порядку разбираться, какие новые схемы придумали наши креативные злоумышленники.
Во-первых, QR-коды. Оболочка – новая, концепция – старая. Фишинговые QR-коды начали размещать в публичных местах (стены домов, парковки, автобусные остановки и т.д.). Приманка может быть разной, но, чаще всего, всё сводится к получению бесплатных социальных выплат/льгот. Само собой, после перехода по ссылке из QR-кода нужно будет ввести свои персональные данные. Куда дальше отправятся ваши данные, думаю, очевидно (не в службу социальных выплат). К слову, об этой схеме предупредил сам заместитель председателя ЦБ – похвально.
Во-вторых, мошенническое трудоустройство. Схема не самая новая, но, как оказалось, снова популярная. При поиске новой работы можно много на что нарваться (про некоторые случаи можно почитать тут, но в целом, в гугле еще полно разборов), но, в этот раз мошенники что-то совсем обленились. Суть схемы в том, что соискателю (после успешных постановочных собеседований) дают заполнить зарплатную анкету, после чего списывают деньги с его карты (ведь он сам сообщает им код подтверждения из СМС). Комментировать такое, конечно, сложно.
В-третьих, звонки через мессенджеры. Новые цены на тарифы мобильной связи не щадят никого, тем более, что часть платёжеспособного населения уехала из страны. Теперь сотрудник службы безопасности вашего банка с бОльшей вероятностью позвонит вам через Телеграм или Вотсап (есть даже аналитика на этот счет). Также звонок может поступить от иностранного номера. К слову, в Телеграме можно гибко настроить опцию звонков от незнакомых номеров, чтобы оградить себя от лишних рисков.
#Кибергигиена
Твой Пакет Безопасности
👍12⚡11❤7🔥1😁1🤣1
Любишь JDM?
Нет, я не о тюнингованных японских тачках с отрицательным развалом. Есть такой сервис JDM с более прозаичной расшифровкой "Just Delete Me". Он создан для того, чтобы можно было удобно и централизованно удалять свои аккаунты из различных сайтов, сервисов и систем. Тем, кто его сделал – низкий поклон.
В этом сервисе есть поиск по сайтам/сервисам и даже есть маркировка уровня сложности удаления своего аккаунта из того или иного источника. Плюс к этому, есть ссылки на удаление и краткое описание алгоритма, чтобы вы не запутались. Если вдруг надумаете почистить свой цифровой след, то вэлкам (да, интернет всё помнит, но не совсем).
#Полезное
Твой Пакет Безопасности
Нет, я не о тюнингованных японских тачках с отрицательным развалом. Есть такой сервис JDM с более прозаичной расшифровкой "Just Delete Me". Он создан для того, чтобы можно было удобно и централизованно удалять свои аккаунты из различных сайтов, сервисов и систем. Тем, кто его сделал – низкий поклон.
В этом сервисе есть поиск по сайтам/сервисам и даже есть маркировка уровня сложности удаления своего аккаунта из того или иного источника. Плюс к этому, есть ссылки на удаление и краткое описание алгоритма, чтобы вы не запутались. Если вдруг надумаете почистить свой цифровой след, то вэлкам (да, интернет всё помнит, но не совсем).
#Полезное
Твой Пакет Безопасности
❤14👍6❤🔥4🔥2⚡1👏1
Северокорейский хакинг
Одна хакерская группировка из Северной Кореи (UNC2970) подумала и решила, что самое слабое звено в безопасности компании – сами кибербезопасники. Заявление сильное и они его проверили (спойлер – у них получилось ). Сначала эти ребята баловались фишинговыми почтовыми рассылками, но потом решили прибегнуть к более экспериментальному методу – фишинг через LinkedIn.
Они создали в этой социальной сети (предназначенной именно для карьерного нетворкинга) профили HR-специалистов и рекрутеров. С этих аккаунтов они и писали своим жертвам с выгодными предложениями о работе. Проталкивать малвари через эту социальную сеть достаточно дискомфортно (как и пользоваться их ужасным чатом), поэтому они переводили русло беседы в мессенджеры или электронную почту.
Далее отрабатывался стандартный сценарий с доставкой вредоносного ПО на рабочие устройства жертв, с которых злоумышленники и забирали необходимые доступы, данные и прочие ценности. Подробнее почитать про то, какие именно там были малвари можно тут.
Сотрудники ИБ были выбраны в роли жертвы, судя по всему, по банальной причине – у них открыто достаточное количество доступов к наиболее чувствительным ресурсам компании. Так и живём.
#НовостьДня
Твой Пакет Безопасности
Одна хакерская группировка из Северной Кореи (UNC2970) подумала и решила, что самое слабое звено в безопасности компании – сами кибербезопасники. Заявление сильное и они его проверили (
Они создали в этой социальной сети (предназначенной именно для карьерного нетворкинга) профили HR-специалистов и рекрутеров. С этих аккаунтов они и писали своим жертвам с выгодными предложениями о работе. Проталкивать малвари через эту социальную сеть достаточно дискомфортно (как и пользоваться их ужасным чатом), поэтому они переводили русло беседы в мессенджеры или электронную почту.
Далее отрабатывался стандартный сценарий с доставкой вредоносного ПО на рабочие устройства жертв, с которых злоумышленники и забирали необходимые доступы, данные и прочие ценности. Подробнее почитать про то, какие именно там были малвари можно тут.
Сотрудники ИБ были выбраны в роли жертвы, судя по всему, по банальной причине – у них открыто достаточное количество доступов к наиболее чувствительным ресурсам компании. Так и живём.
#НовостьДня
Твой Пакет Безопасности
👍31🔥10⚡4❤2👏2🌚2
Крипторазведка
В одном из прошлых постов мы с вами поговорили о том, что такое OSINT и какие сервисы можно использовать для эффективного поиска той или иной информации. Сегодня предлагаю поговорить о том, почему блокчейн и крипта не такие уж и анонимные. О существовании продвинутых инструментов криминалистики в мире блокчейна вы уже знаете, но они либо платные, либо доступны ограниченному числу лиц, а это уже никак не бьется с концепцией OSINTа.
Мы же рассмотрим доступные инструменты для поиска по открытым источникам информации. Начнем с BitRef, который покажет нам баланс любого биткоин-кошелька. У него есть аналоги и для других криптосетей.
Далее перейдем к сервису Block Explorer, который некоторым из вас может быть уже знаком, если вы использовали криптовалюту для оплаты, например. С помощью этого сервиса мы можем отслеживать связи и денежные потоки с одного криптокошелька на другой. Искать можно и по адресам, и по хэшам, и по самим блокам. У него также есть аналоги, например, Etherscan.
Но что, если интересующая нас транзакция еще не была совершена? Да, сидеть и обновлять страницу не нужно, ведь есть Cryptocurrency Alerting, в котором можно гибко настроить оповещения на почту или в виде пуша при изменении баланса кошелька (есть даже настройка параметра с определенным балансом).
Если вы любите потреблять информацию более наглядно, то вэлкам в Bitnodes, который можно развернуть и докрутить у себя, так как ребята опенсорсные. К слову, они далеко не единственные, кто задумался о визуализации криптотранзакций, есть и аналоги.
На сладкое – настоящий комбайн в мире крипторазведки – Intelligence X. Этот сервис умеет искать информацию по огромному количеству параметров, даже по адресу электронной почты.
Ну и напоследок, можете посмотреть на забавную визуализацию того, как работает блокчейн в режиме реального времени в TxStreet.
#Полезное
Твой Пакет Безопасности
В одном из прошлых постов мы с вами поговорили о том, что такое OSINT и какие сервисы можно использовать для эффективного поиска той или иной информации. Сегодня предлагаю поговорить о том, почему блокчейн и крипта не такие уж и анонимные. О существовании продвинутых инструментов криминалистики в мире блокчейна вы уже знаете, но они либо платные, либо доступны ограниченному числу лиц, а это уже никак не бьется с концепцией OSINTа.
Мы же рассмотрим доступные инструменты для поиска по открытым источникам информации. Начнем с BitRef, который покажет нам баланс любого биткоин-кошелька. У него есть аналоги и для других криптосетей.
Далее перейдем к сервису Block Explorer, который некоторым из вас может быть уже знаком, если вы использовали криптовалюту для оплаты, например. С помощью этого сервиса мы можем отслеживать связи и денежные потоки с одного криптокошелька на другой. Искать можно и по адресам, и по хэшам, и по самим блокам. У него также есть аналоги, например, Etherscan.
Но что, если интересующая нас транзакция еще не была совершена? Да, сидеть и обновлять страницу не нужно, ведь есть Cryptocurrency Alerting, в котором можно гибко настроить оповещения на почту или в виде пуша при изменении баланса кошелька (есть даже настройка параметра с определенным балансом).
Если вы любите потреблять информацию более наглядно, то вэлкам в Bitnodes, который можно развернуть и докрутить у себя, так как ребята опенсорсные. К слову, они далеко не единственные, кто задумался о визуализации криптотранзакций, есть и аналоги.
На сладкое – настоящий комбайн в мире крипторазведки – Intelligence X. Этот сервис умеет искать информацию по огромному количеству параметров, даже по адресу электронной почты.
Ну и напоследок, можете посмотреть на забавную визуализацию того, как работает блокчейн в режиме реального времени в TxStreet.
#Полезное
Твой Пакет Безопасности
❤9👍7🤓7⚡2
Цифровой крипторубль
На пост меня натолкнула новость о новой схеме мошенничества с "российской государственной криптовалютой". Если коротко, то злоумышленники на этот раз заманивают своих жертв инвестировать в "новый продукт от Павла Дурова". Схема носит массовый характер, так что будьте осторожны, это развод. Так вот, эта новость напомнила мне про наш цифровой рубль, на тему которого я давно хотел написать пост.
Наша страна изо всех сил пытается идти в ногу со временем. Это касается и сферы блокчейна/криптовалют. Центральный Банк России уже давно анонсировал выход цифровой формы российской национальной валюты под названием “Цифровой рубль”. Анонс есть, а рубля еще нет.
Одна из проблем заключается в том, что помимо обычных киберрисков, которым подвержены безналичные расчеты с использованием банковских счетов и карт, на цифровой рубль накладываются еще и криптовалютные риски.
Вторая проблема заключается в том, что архитектура всей этой новой платформы от ЦБ окутана тайной. Поэтому те же самые риски и векторы атак оценивать крайне сложно. Доподлинно известно только то, что согласно концепции цифрового рубля, счет клиента не будет привязан ни к одному из банков, за счет чего и будет создан некий эффект децентрализации новой валюты (к сожалению, только эффект).
Отсюда вытекает один из возможных рисков – взлом личного кошелька пользователя платформы. Сможет ли это повлечь за собой взлом цепочки транзакций или же ЦБ защитилась от подобных атак – вопрос пока остается открытым.
Здесь же срабатывает и угроза самого слабого звена. Платформа нового рубля будет растянута на все банки в РФ, но далеко не во всех их них кибербезопасность находится на достаточном уровне зрелости. Поэтому появляется риск компрометации всей системы в случае заражения хотя бы одной из ФинТех-организаций.
Очень хочется верить в то, что ЦБ сможет сделать действительно прозрачную и безопасную платежную платформу нового поколения, ну а пока мы с вами и без этого можем гордиться одним из лучших ФинТехов в мире.
#Мнение
Твой Пакет Безопасности
На пост меня натолкнула новость о новой схеме мошенничества с "российской государственной криптовалютой". Если коротко, то злоумышленники на этот раз заманивают своих жертв инвестировать в "новый продукт от Павла Дурова". Схема носит массовый характер, так что будьте осторожны, это развод. Так вот, эта новость напомнила мне про наш цифровой рубль, на тему которого я давно хотел написать пост.
Наша страна изо всех сил пытается идти в ногу со временем. Это касается и сферы блокчейна/криптовалют. Центральный Банк России уже давно анонсировал выход цифровой формы российской национальной валюты под названием “Цифровой рубль”. Анонс есть, а рубля еще нет.
Одна из проблем заключается в том, что помимо обычных киберрисков, которым подвержены безналичные расчеты с использованием банковских счетов и карт, на цифровой рубль накладываются еще и криптовалютные риски.
Вторая проблема заключается в том, что архитектура всей этой новой платформы от ЦБ окутана тайной. Поэтому те же самые риски и векторы атак оценивать крайне сложно. Доподлинно известно только то, что согласно концепции цифрового рубля, счет клиента не будет привязан ни к одному из банков, за счет чего и будет создан некий эффект децентрализации новой валюты (к сожалению, только эффект).
Отсюда вытекает один из возможных рисков – взлом личного кошелька пользователя платформы. Сможет ли это повлечь за собой взлом цепочки транзакций или же ЦБ защитилась от подобных атак – вопрос пока остается открытым.
Здесь же срабатывает и угроза самого слабого звена. Платформа нового рубля будет растянута на все банки в РФ, но далеко не во всех их них кибербезопасность находится на достаточном уровне зрелости. Поэтому появляется риск компрометации всей системы в случае заражения хотя бы одной из ФинТех-организаций.
Очень хочется верить в то, что ЦБ сможет сделать действительно прозрачную и безопасную платежную платформу нового поколения, ну а пока мы с вами и без этого можем гордиться одним из лучших ФинТехов в мире.
#Мнение
Твой Пакет Безопасности
👍19🤣9❤6⚡2🔥2👏1🤬1
Бесплатный сыр английский
В одном из прошлых постов с айтишными подкастами я обещал собрать бесплатные ресурсы для изучения английского языка. Этот день настал. Так что скорее налетайте и рассылайте всем, кто сейчас усиленно пытается покорить языковые вершины.
DeepL – переводчик, построенный на нейронках. Порой он даже умеет обогащать текст англоязычными крылатыми/устойчивыми выражениями.
Context – отличный сервис для того, чтобы узнать как переводится то или иное слово/выражение в разных контекстах. Вместе с переводом вы увидите еще и примеры из реальных книг/статей/цитат.
Quizlet – удобный сервис для изучения новых слов. Есть даже мобильное приложение.
Wonderopolis – сервис для тренировки чтения, аудирования + есть встроенные механики для проверки закрепленного материала. Также рекомендую погуглить "адаптированные книги на английском языке" именно для вашего вашего уровня.
BBC Learning English – здесь можно натренировать аудирование и произношение на базе коротких подкастов.
Write & Improve – правописание. Сервис оценит то, как вы пишете и формулируете предложения, и укажет вам на ошибки. Также есть оценка в соответствии с IELTS/FCE.
А так, советую иногда почитывать что-то на английском языке по той тематике, в которой вы, например, работаете. Зная специфику темы вам будет намного проще погрузиться в контекст и органично обогатить ваш словарный запас. И не стесняйтесь читать вслух, чтобы ваш организм привык к новым звукам, и вам не было стыдно потом 🥸
#Полезное
Твой Пакет Безопасности
В одном из прошлых постов с айтишными подкастами я обещал собрать бесплатные ресурсы для изучения английского языка. Этот день настал. Так что скорее налетайте и рассылайте всем, кто сейчас усиленно пытается покорить языковые вершины.
DeepL – переводчик, построенный на нейронках. Порой он даже умеет обогащать текст англоязычными крылатыми/устойчивыми выражениями.
Context – отличный сервис для того, чтобы узнать как переводится то или иное слово/выражение в разных контекстах. Вместе с переводом вы увидите еще и примеры из реальных книг/статей/цитат.
Quizlet – удобный сервис для изучения новых слов. Есть даже мобильное приложение.
Wonderopolis – сервис для тренировки чтения, аудирования + есть встроенные механики для проверки закрепленного материала. Также рекомендую погуглить "адаптированные книги на английском языке" именно для вашего вашего уровня.
BBC Learning English – здесь можно натренировать аудирование и произношение на базе коротких подкастов.
Write & Improve – правописание. Сервис оценит то, как вы пишете и формулируете предложения, и укажет вам на ошибки. Также есть оценка в соответствии с IELTS/FCE.
А так, советую иногда почитывать что-то на английском языке по той тематике, в которой вы, например, работаете. Зная специфику темы вам будет намного проще погрузиться в контекст и органично обогатить ваш словарный запас. И не стесняйтесь читать вслух, чтобы ваш организм привык к новым звукам, и вам не было стыдно потом 🥸
#Полезное
Твой Пакет Безопасности
⚡11🔥6❤🔥4👍3❤2👏2😁2🥰1
Взлом Телеграма
Думаю, что многие из вас будут сильно расстроены, если ваш телеграм-аккаунт взломают и угонят. Чтобы этого не допустить или не попасться на очередную мошенническую схему, нужно знать, как это вообще возможно реализовать. Об этом сегодня и поговорим.
Старый-добрый фишинг. Он может быть замаскирован как-угодно, но механика всегда примерно одна. Скорее всего вам надо будет перейти на какой-то сайт и авторизоваться через Телеграм. В последнее время чаще всего проворачивают угон через «уведомления» о входе с нового устройства. Для вашей же защиты вам предложат перейти на сайт со схожим интерфейсом, как у Telegram. Итог очевиден. Распознать мошенников можно либо по фейковому аккаунту бота, от которого пришло уведомление (у настоящего должен быть статус «служебные уведомления», а не «был недавно»), либо самостоятельно проверив активные сессии своего профиля.
В ту же копилку можно добавить еще и подменные клиенты Telegram. Используйте только официальные клиенты и веб-интерфейсы, ссылки на которые всегда можно найти на официальном сайте telegram.org.
Взлом через заражение. Помните о том, что нужно с осторожностью относится к любым файлам, которые вам присылают (и не только в Телеграме). Расширение файла может быть любым, начиная с .xlsx и заканчивая обычным .jpg,, но внутри может быть запаковано вредоносное приложение, которое даст злоумышленнику необходимую информацию или вообще контроль над вашим устройством (а соответственно, и аккаунтом). Не скачивайте подозрительные файлы, не запускайте их на своих устройствам и, на всякий случай, можете отключить автозагрузку.
Ну и на сладкое – перехват СМС. На этот фактор вы повлиять, к сожалению, практически никак не можете, но о нём все равно стоит рассказать. Если коротко, то дело в супер-уязвимой архитектуре протокола SS7, который и используют операторы связи для обмена СМС (подробнее можно почитать тут). Как вариант решения – предлагается отключить функцию международного роуминга на своем устройстве, но это всё равно не обеспечивает полную защиту от подобного взлома.
Ну и само собой, не забывайте про активацию двухфакторной авторизации и о криптостойких паролях (как от тг, так и от вашей почты).
#Кибергигиена
Твой Пакет Безопасности
Думаю, что многие из вас будут сильно расстроены, если ваш телеграм-аккаунт взломают и угонят. Чтобы этого не допустить или не попасться на очередную мошенническую схему, нужно знать, как это вообще возможно реализовать. Об этом сегодня и поговорим.
Старый-добрый фишинг. Он может быть замаскирован как-угодно, но механика всегда примерно одна. Скорее всего вам надо будет перейти на какой-то сайт и авторизоваться через Телеграм. В последнее время чаще всего проворачивают угон через «уведомления» о входе с нового устройства. Для вашей же защиты вам предложат перейти на сайт со схожим интерфейсом, как у Telegram. Итог очевиден. Распознать мошенников можно либо по фейковому аккаунту бота, от которого пришло уведомление (у настоящего должен быть статус «служебные уведомления», а не «был недавно»), либо самостоятельно проверив активные сессии своего профиля.
В ту же копилку можно добавить еще и подменные клиенты Telegram. Используйте только официальные клиенты и веб-интерфейсы, ссылки на которые всегда можно найти на официальном сайте telegram.org.
Взлом через заражение. Помните о том, что нужно с осторожностью относится к любым файлам, которые вам присылают (и не только в Телеграме). Расширение файла может быть любым, начиная с .xlsx и заканчивая обычным .jpg,, но внутри может быть запаковано вредоносное приложение, которое даст злоумышленнику необходимую информацию или вообще контроль над вашим устройством (а соответственно, и аккаунтом). Не скачивайте подозрительные файлы, не запускайте их на своих устройствам и, на всякий случай, можете отключить автозагрузку.
Ну и на сладкое – перехват СМС. На этот фактор вы повлиять, к сожалению, практически никак не можете, но о нём все равно стоит рассказать. Если коротко, то дело в супер-уязвимой архитектуре протокола SS7, который и используют операторы связи для обмена СМС (подробнее можно почитать тут). Как вариант решения – предлагается отключить функцию международного роуминга на своем устройстве, но это всё равно не обеспечивает полную защиту от подобного взлома.
Ну и само собой, не забывайте про активацию двухфакторной авторизации и о криптостойких паролях (как от тг, так и от вашей почты).
#Кибергигиена
Твой Пакет Безопасности
👍14⚡13❤6❤🔥3🔥3👏2
Систем дизайн
Моя любимая секция на собеседованиях – System Design Interview. На этом этапе кандидату дают задачу по проектированию полноценной системы или продукта. Самые банальные примеры – спроектировать Твиттер или любую другую известную социальную сеть. Но бывают задачи и по-интереснее, когда просят изобрести что-то, чего еще нет на рынке или добавить к уже существующей системе какую-то необычную функцию.
Суть в том, что после того, как вам поставили задачу, перед вами оказывается пустой лист, на котором вам нужно изобразить ключевые компоненты системы, попутно объясняя, зачем они нужны. Изначально это различные БД, менеджеры очередей, балансировщики, контейнеры, API и т.д. Далее вас могут попросить углубить уровень детализации, чтобы понять особенно взаимодействия этих компонентов или специфику функционирования тех или иных сервисов.
Само собой, вы можете и должны задавать уточняющие вопросы, которые нужны вам для выбора тех или иных паттернов и компонентов. Базово у вас есть несколько ключевых целей – функциональность (соответствие заданию интервьюера), надежность, отказоустойчивость, масштабируемость и безопасность.
Подобные интервью очень полезны для понимания того, как мыслит кандидат, насколько у него качественный технический бэкграунд и понимание того, как на самом деле функционируют реальные системы. Полезно это не только разработчикам, но и аналитикам, архитекторам, и кибербезопасникам (например, DevSecOps-ам или Архитекторам ИБ).
К сожалению, такие секции редко попадаются при собеседованиях в кибербезопасность, но и на нашей улице бывает праздник. Из полезного, вы можете посмотреть ролики на юутбе (например, раз и два) или почитать статьи (три).
#Мнение
Твой Пакет Безопасности
Моя любимая секция на собеседованиях – System Design Interview. На этом этапе кандидату дают задачу по проектированию полноценной системы или продукта. Самые банальные примеры – спроектировать Твиттер или любую другую известную социальную сеть. Но бывают задачи и по-интереснее, когда просят изобрести что-то, чего еще нет на рынке или добавить к уже существующей системе какую-то необычную функцию.
Суть в том, что после того, как вам поставили задачу, перед вами оказывается пустой лист, на котором вам нужно изобразить ключевые компоненты системы, попутно объясняя, зачем они нужны. Изначально это различные БД, менеджеры очередей, балансировщики, контейнеры, API и т.д. Далее вас могут попросить углубить уровень детализации, чтобы понять особенно взаимодействия этих компонентов или специфику функционирования тех или иных сервисов.
Само собой, вы можете и должны задавать уточняющие вопросы, которые нужны вам для выбора тех или иных паттернов и компонентов. Базово у вас есть несколько ключевых целей – функциональность (соответствие заданию интервьюера), надежность, отказоустойчивость, масштабируемость и безопасность.
Подобные интервью очень полезны для понимания того, как мыслит кандидат, насколько у него качественный технический бэкграунд и понимание того, как на самом деле функционируют реальные системы. Полезно это не только разработчикам, но и аналитикам, архитекторам, и кибербезопасникам (например, DevSecOps-ам или Архитекторам ИБ).
К сожалению, такие секции редко попадаются при собеседованиях в кибербезопасность, но и на нашей улице бывает праздник. Из полезного, вы можете посмотреть ролики на юутбе (например, раз и два) или почитать статьи (три).
#Мнение
Твой Пакет Безопасности
👍15❤🔥5❤2😁2⚡1👏1
Минутка безопасных сервисов
Во-первых, безопасные торренты. Да, звучит дико и не совсем правдиво, но, так как люди всё равно продолжают пользоваться торрентами, в наших силах лишь попробовать сделать этот процесс чуть более безопасным. Повлиять на сам контент мы не сможем, но можем использовать новомодный (хоть и старый как мир) "анонимный" торрент-клиент – Tribler.
Фишка его в том, что он теперь умеет перенаправлять трафик через встроенную луковую сеть анонимайзеров типа Tor. И, само собой, ребята умеют в опенсорс. В общем, если боитесь, что вас отследят/хакнут через торрент или просто хотите быть модными – вэлкам.
Во-вторых, безопасные ссылки. Мы уже говорили про великолепный VirusTotal, но есть один сервис, который его отлично дополняет – CheckShortURL. Вообще его суть заключается в том, чтобы выяснить, куда всё таки ведут эти короткие ссылки по типу goo.gl, bit.ly и прочие (некоторые их них кстати умеет расковыривать и VirusTotal).
Но килер-фичей, лично для меня, является то, что он еще и показывает (прямо скриншотом), куда эта ссылка действительно вас приведет. К слову, проверки безопасности там тоже есть, хоть и не такие мощные как у ВирусТотала. В общем, добавляйте в закладки, рассылайте друзьям иешьте кашу берегите себя.
#Кибергигиена
Твой Пакет Безопасности
Во-первых, безопасные торренты. Да, звучит дико и не совсем правдиво, но, так как люди всё равно продолжают пользоваться торрентами, в наших силах лишь попробовать сделать этот процесс чуть более безопасным. Повлиять на сам контент мы не сможем, но можем использовать новомодный (хоть и старый как мир) "анонимный" торрент-клиент – Tribler.
Фишка его в том, что он теперь умеет перенаправлять трафик через встроенную луковую сеть анонимайзеров типа Tor. И, само собой, ребята умеют в опенсорс. В общем, если боитесь, что вас отследят/хакнут через торрент или просто хотите быть модными – вэлкам.
Во-вторых, безопасные ссылки. Мы уже говорили про великолепный VirusTotal, но есть один сервис, который его отлично дополняет – CheckShortURL. Вообще его суть заключается в том, чтобы выяснить, куда всё таки ведут эти короткие ссылки по типу goo.gl, bit.ly и прочие (некоторые их них кстати умеет расковыривать и VirusTotal).
Но килер-фичей, лично для меня, является то, что он еще и показывает (прямо скриншотом), куда эта ссылка действительно вас приведет. К слову, проверки безопасности там тоже есть, хоть и не такие мощные как у ВирусТотала. В общем, добавляйте в закладки, рассылайте друзьям и
#Кибергигиена
Твой Пакет Безопасности
👍32❤7⚡4🔥4👏1
Сегодня в рубрике полезного у нас сервис с роадмапами (дорожными картами) по освоению различных айтишных профессий – roadmap.sh. Я не проверял все из них, но в домене по кибербезопасности точно исчерпывающий альманах с основными технологиями, сущностями и даже инструментами.
Материал там достаточно свежий и, насколько я понял, он регулярно обновляется и дополняется сообществом. Штука очень полезная, чтобы выявить свои серые зоны и понять, что еще можно изучить в той или иной области кибербеза.
Роадмап по кибербезу – тут.
#Полезное
Твой Пакет Безопасности
Материал там достаточно свежий и, насколько я понял, он регулярно обновляется и дополняется сообществом. Штука очень полезная, чтобы выявить свои серые зоны и понять, что еще можно изучить в той или иной области кибербеза.
Роадмап по кибербезу – тут.
#Полезное
Твой Пакет Безопасности
👍12😍5❤4🔥3⚡2
А ты сдал биометрию?
В одном из прошлых постов мы с вами уже обсуждали биометрию, то, как ее повсеместно собирают и тот самый закон, согласно которому теперь нельзя никого принуждать к сдаче своих биометрических данных.
Но что, если нас никто и не будет спрашивать? Доступ к муниципальным и частным камерам видеонаблюдения в столице имеют не только государственные службы, но и частные компании, которые собирают и обрабатывают наши данные без нашего на то согласия. Например, Ntechlab, которая де-юро является дочкой Ростеха, насколько я понял.
Интересен и тот факт, что алгоритмы распознавания личностей, которые и разрабатывают и предоставляют эти частные компании, под капотом имеют полноценные OSINT-системы, которые ищут и сопоставляют информацию не только по базам государственных ведомств, но и по данным из социальных сетей и прочих интернетов.
Как всегда, хочется надеяться на то, что все эти компании вкладывают достаточно ресурсов в кибербезопасность, и доступ к этим системам и данным не получит никто из посторонних, ведь подобные платформы являются самым настоящим лакомым кусочком на киберкухне.
#Мнение
Твой Пакет Безопасности
В одном из прошлых постов мы с вами уже обсуждали биометрию, то, как ее повсеместно собирают и тот самый закон, согласно которому теперь нельзя никого принуждать к сдаче своих биометрических данных.
Но что, если нас никто и не будет спрашивать? Доступ к муниципальным и частным камерам видеонаблюдения в столице имеют не только государственные службы, но и частные компании, которые собирают и обрабатывают наши данные без нашего на то согласия. Например, Ntechlab, которая де-юро является дочкой Ростеха, насколько я понял.
Интересен и тот факт, что алгоритмы распознавания личностей, которые и разрабатывают и предоставляют эти частные компании, под капотом имеют полноценные OSINT-системы, которые ищут и сопоставляют информацию не только по базам государственных ведомств, но и по данным из социальных сетей и прочих интернетов.
Как всегда, хочется надеяться на то, что все эти компании вкладывают достаточно ресурсов в кибербезопасность, и доступ к этим системам и данным не получит никто из посторонних, ведь подобные платформы являются самым настоящим лакомым кусочком на киберкухне.
#Мнение
Твой Пакет Безопасности
👍14❤6🔥6🌚6👏2⚡1🙏1
На GitHub есть всё
Существует теория, что на GitHub есть списки и подборки на любую тему и на любой вкус. И чем дальше, тем я больше убеждаюсь в том, что это действительно так. В этом посте поделюсь парой полезных ссылок на которые я сам наткнулся, пока бродил по этому сервису (просто репозиторием кода язык уже не поворачивается его назвать).
Во-первых, вот по этой ссылке вы можете найти список новостных источников, видео, подкастов и прочих ресурсов, связанных с кибербезопасностью. Да, практически все ссылки ведут на англоязычные материалы, но мы с вами к этому готовились.
Во-вторых, вот по этой ссылке вы сможете найти крутой чеклист по безопасности API. Полноценный фаззинг он конечно не заменит, но лишним точно не будет.
В-третьих, вот по этой ссылке вы сможете найти такой же крутой чеклист, уже по обеспечению безопасности контейнеров, кластеров и всего, что связано с микросервисами.
Пользуйтесь на здоровье. Думаю, что в скором времени сделаю еще пост с тренировочными инструментами и зараженными объектами (само собой, с ГитХаба).
#Полезное
Твой Пакет Безопасности
Существует теория, что на GitHub есть списки и подборки на любую тему и на любой вкус. И чем дальше, тем я больше убеждаюсь в том, что это действительно так. В этом посте поделюсь парой полезных ссылок на которые я сам наткнулся, пока бродил по этому сервису (просто репозиторием кода язык уже не поворачивается его назвать).
Во-первых, вот по этой ссылке вы можете найти список новостных источников, видео, подкастов и прочих ресурсов, связанных с кибербезопасностью. Да, практически все ссылки ведут на англоязычные материалы, но мы с вами к этому готовились.
Во-вторых, вот по этой ссылке вы сможете найти крутой чеклист по безопасности API. Полноценный фаззинг он конечно не заменит, но лишним точно не будет.
В-третьих, вот по этой ссылке вы сможете найти такой же крутой чеклист, уже по обеспечению безопасности контейнеров, кластеров и всего, что связано с микросервисами.
Пользуйтесь на здоровье. Думаю, что в скором времени сделаю еще пост с тренировочными инструментами и зараженными объектами (само собой, с ГитХаба).
#Полезное
Твой Пакет Безопасности
👍18❤6🔥3⚡2🤓2🥴1
О ФСТЭК слышали?
В мире информационной безопасности нашей страны это достаточно известная организация с достаточно неинтуитивным названием – Федеральная служба по техническому и экспортному контролю. А еще они любят выпускать приказы, связанные с защитой различной информации и систем, которые ее обрабатывают.
На днях они решили порадовать нас анонсом нового приказа (ну или другой формы регуляторной документации), который принудительно ограничит доступ иностранных IP-адресов к критически важным ресурсам на территории РФ. Если точнее, то пока это коснется КИИ (они есть у многих компаний телеком и финансового сектора, например), но я не думаю, что ФСТЭК на этом не остановится. Речь идет не о клиентах и потребителях услуг этих компаний, а о сотрудниках, которые подключаются во внутренний контур безопасности организаций критической инфраструктуры.
Эта инициатива достаточно органично вписывается сразу в две концепции. Во-первых, в наш любимыйчебурнет суверенный рунет. Во-вторых, это хорошо вяжется с другой инициативой по запрету работы удалёнщиков, которые уехали за рубеж.
Интересно, а через отечественный VPN можно будет подключаться к критической инфраструктуре? 🤔
#НовостьДня
Твой Пакет Безопасности
В мире информационной безопасности нашей страны это достаточно известная организация с достаточно неинтуитивным названием – Федеральная служба по техническому и экспортному контролю. А еще они любят выпускать приказы, связанные с защитой различной информации и систем, которые ее обрабатывают.
На днях они решили порадовать нас анонсом нового приказа (ну или другой формы регуляторной документации), который принудительно ограничит доступ иностранных IP-адресов к критически важным ресурсам на территории РФ. Если точнее, то пока это коснется КИИ (они есть у многих компаний телеком и финансового сектора, например), но я не думаю, что ФСТЭК на этом не остановится. Речь идет не о клиентах и потребителях услуг этих компаний, а о сотрудниках, которые подключаются во внутренний контур безопасности организаций критической инфраструктуры.
Эта инициатива достаточно органично вписывается сразу в две концепции. Во-первых, в наш любимый
Интересно, а через отечественный VPN можно будет подключаться к критической инфраструктуре? 🤔
#НовостьДня
Твой Пакет Безопасности
🤓11👍8❤🔥4🤣3⚡2🔥1😢1