Немного личных истории и достижений

Наш с вами канал Пакет Безопасности стал официальным инфопартнером первой в РФ премии для пентестеров. У меня лично от этого тепло на душе, особенно, когда я вижу рядом с логотипом канала такие крупные компании и СМИ из мира кибербеза.

А теперь немного личного – когда я искал логотип для своего канала и наткнулся на этот пакет, понял, что это – то самое. Что-то бунтарское во мне сразу поняло, что нужно сделать этот канал достаточно крутым, чтобы с ним партнерились крутые компании и мероприятия.

И, в какой-то момент, я смогу увидеть на каком-то фешенебельном мероприятии мусорный пакет на огромном билборде. Да, пока не билборд, но дальше – больше.

Спасибо вам, спасибо мне, идём дальше 🖤

Твой Пакет Безопасности

В этот прекрасный выходной день я предлагаю вам расслабиться и не читать эти нудные длинные посты. Поэтому просто ловите мем.

#КиберМем

Твой Пакет Безопасности

​Лицо Face ID видели?

Всего пару дней назад мы с вами обсуждали то, как сканер радужки глаза может скоро вытеснить разблокировку по лицу. Однажды такое уже произошло, когда сканеры отпечатков пальцев, которые по сей день встраивают в смартфоны, планшеты и ноутбуки, вытеснили аутентификацию по пинкодам и паролям.

Но, судя по всему, и эпоха отпечатков пальцев скоро уйдет. Тут китайские умельцы научились взламывать вход по отпечатку пальца при помощи атаки с красивым названием – BrutePrint.

Рекомендую прочитать именно первоисточник по ссылке. Там подробно описано и то, как они делают полный перебор, как перехватывают изображения отпечатков пальцев, и обходят ограничение на количество неудачных вводов пароля. Айфоны кстати показали себя лучше всех в тестировании на взлом, хоть в них уже давно и не встраивают эти сканеры.

Ах да, еще один инсайт из отчета – безопаснее хранить в вашем телефоне только один отпечаток пальца, так как увеличение их количества явно увеличивает и вероятность попадания при переборе, что влечет за собой уменьшение времени на взлом.

#НовостьДня

Твой Пакет Безопасности

​Импортозамес

Тут Минцифры подписало указ, согласно которому все отечественные гос-компании обязаны перейти на операционные системы, разработанные/собранные в РФ. У нас они, конечно, есть, но все они сделаны на базе Линукса, разбираться в котором рядовым работникам компаний придется очень долго.

Я насчитал порядка 40-50 различных дистрибутивов, среди которых есть и расхайпленные Astra Linux, ROSA, REDOS и прочие. Выглядят некоторые из них достаточно съедобно, но для тех, кто привык к интерфейсу Windows, будет всё равно больно.

С одной стороны, поставщики корпоративных ОС итак уходят с рынка и разрывают с российскими компаниями деловые взаимоотношения, поэтому, рано или поздно, переход должен был произойти, с учетом текущей мировой ситуации. Плюс к этому, так мы можем защититься от угроз, связанных с тем, что тот-же Майкрософт может осознанно добавлять в свое ПО вредоносный или лозунговый контент (как это уже сделали многие другие компании).

Но, с другой стороны, это всё будет работать, пока у ядра Линукс будет оставаться открытый исходный код. Ну а про трудности перехода я уже упомянул. Это относится и к тем, кто будет пользоваться новыми операнционками, и к тем, кто будет заниматься их заменой на рабочих местах и серверах.

Хочется надеяться на то, что Минцифры еще и выделит немалое количество средств для тех, кто занимается разработкой этих операционных систем и прикладного ПО (например, пакета офисных программ) для них.

#НовостьДня

Твой Пакет Безопасности

​Новости Евросоюза

Не так давно власти ЕС активизировались и создали сразу два инфоповода.

Во-первых, они занесли в санкционный список сразу несколько наших компаний, которые занимаются информационной безопасностью. Тут есть два комментария. Первый – туда попали не только те, кто работают напрямую с Минобороны и правительством РФ (такие, например, как Эшелон), но и те же Позитивы. Второе – если я правильно понял, то Касперский всё еще не под плотными санкциями, что кажется очень странным.

Во-вторых, они подготовили новый законопроект, в рамках которого хотят разрешить спецслужбам шпионить за журналистами. Носит это всё, само собой, положительный характер, но выглядит это не очень. По сути, это загоняет все СМИ под жесткий контроль и оперативную цензуру, в случае работы с террористическими делами и материалами (или не только). Пока что все медиа бурлят и не хотят соглашаться с подобной активностью, но это всё решается очевидными рычагами. Радует то, что всё это демократически обсуждается и пока регулируется законопроектами, а не делается без ведома людей.

#НовостьДня

Твой Пакет Безопасности

Душные гайды и курсы

Сегодня опять будет душно, но вы держитесь. Давно не делился чем-то полезным с коллегами по цеху. Пентестеров мы уже радовали, поэтому настало время стороны защиты, а точнее, DevSecOps-ов.

Собрал для вас по интернетам полезные гайды, чеклисты и прочие материалы. Что-то будет во вложениях, а что-то прямо тут, ссылками.

Тут ссылка на DevSecOps гайдлайн от самого OWASP – это база, с которой стоит начать.

Также есть простой и понятный чеклист для проверки наличия у вас выстроенного DevSecOps-а (у него есть первая и вторая версии).

Во вложениях вы найдете подробный гайд на тему того, как этот ДевСекОпс строить (рекомендую его употребить после ссылки на OWASP).

Вот по этой ссылке вы сможете найти бесплатный курс по обеспечению безопасности CI/CD от самого GitLab. Структура выглядит годно.

Ну а тут вас ждет небольшой роадмап, как этим самым DevSecOps-ом стать. Между прочим, это одна из самых высокооплачиваемых ролей в айтишке ☝️

#Полезное

Как вам такой Пакет Безопасности?)

#КиберМем

Твой Пакет Безопасности

​За тобой тоже следят?

На сегодня был запланирован пост про то, как обезопасить себя от слежки в интернетах, но вчера "Нью-Йоркская Правда" опубликовала сочную статью о том, как ФСБ всё-таки может следить за пользователями мессенджеров. Само собой, вслед за этим, новость подхватили все наши СМИ, накручивая психику своей аудитории.

Давайте попробуем порассуждать и разобраться.

Во-первых, хочется подметить, что особенное внимание автор статьи уделяет именно трём сервисам – Вотсап, Сигнал и Телеграм. Более того, их упоминание проходит красной нитью сквозь весь материал. Хотя такой же фокус можно проделать вообще с любым приложением и даже не обязательно мессенджером, так как DPI (то, при помощи чего и можно отслеживать пользователей) натягивается буквально на всё, что подключено к интернетам. Да и сделать это может не только ФСБ. Более того, вы можете сами это проверить и попробовать свои силы, вооружившись NetBeholder-ом.

Во-вторых, для вас это действительно было сюрпризом? Ну да, любой цифровой продукт не является безопасным или приватным априори, тем более тот, код которого размещается не на ваших мощностях.

В-третьих, ваши сообщения всё еще зашифрованы, а при помощи данного метода можно только узнать, когда было отправлено сообщение/звонок и откуда (геопозиция) это было сделано. В статье также говорится о каком-то дополнительном шпионском ПО, которое позволяет превратить гадание на кофейной гуще в чуть более осознанный OSINT. Но, с учетом количества пользователей этих сервисов, хочется только пожелать удачи тем, кто пытается вычислить там хоть кого-то.

Ребята из Телегерама вообще молодцы – в официальном пресс-релизе они просто посоветовали всем пользоваться VPN-ом. Так что расслабляемся и живем дальше, ничего особенного не произошло.

#Мнение

Твой Пакет Безопасности

​​Цифровизация, которую мы заслужили

Начнем с того, что тут решила оцифроваться Росгвардия. Ну как решила, ей предложил это сделать один из наших депутатов. Как это должно выглядеть – пока не очень понятно. По сути, тем, чем могла бы заниматься оцифрованная Росгвардия, уже занимается Управление К. Но, в целом, чем больше будет киберсил у страны, тем лучше, особенно если ими будут правильно управлять (про тренировочные полигоны в CS:GO шутить не будем).

Ну а теперь поговорим про второй инфовод из области боевой цифровизации. Тут всё популярнее становится рансомварь (о том, что это такое, говорили тут) под громким названием Wagner. Судя по заявлению самого вируса, он является официальным детищем ЧВК Вагнер и создан с целью привлечения людей на службу в соответствующую компанию. После заражение этим ПО, помимо призыва, в виде бонуса, вы получите еще и все ваши файлы, зашифрованные в расширение .wagner. Насколько мне известно, сама ЧВК этот инцидент никак не комментировала.

Так и живем.

#НовостьДня

Твой Пакет Безопасности

​Всё еще пользуетесь бесплатным VPNом?

Мы с вами уже обсуждали тему бесплатных VPN-сервисов и то, что пользоваться ими крайне небезопасно. Но, судя по тому, что даже у моих друзей (которые подписаны и читают этот канал) до сих пор стоят бесплатные ВПНы, что-то я доношу явно не так.

Тогда попробуем на примере, тем более, что тут подвернулся удобный повод. Не так давно очередной сервис под названием Swing VPN был уличён в том, что все его пользователи и их устройства (на Android и iOS) были использованы для совершения кибератак.

Делается это максимально просто, так как вы сами даёте этому сервису все необходимые права на отправку запросов в сеть. Этот VPN создавал из своих клиентов ботнет-сеть, которая совершала DDoS-атаки на различные ресурсы. После атаки ботнет пересобирается и совершает следующую атаку, и так по кругу. Сеть там собралась не маленькая и насчитывает порядка 700 000 зараженных устройств.

Нюанс состоит в том, что каждый пользователь является теперь участником киберпреступления, так что думайте сами.

#Кибергигиена

Твой Пакет Безопасности

​Отечественные новости

Похоже, что у нас тут зреет новая рубрика, посвященная отечественным инфоповодам в мире кибербеза. Что-то в последнее время всё больше внимания начинает уделяться сфере ИБ в нашей стране (само собой, я этому рад). Ну да ладно, поехали к инфоповодам.

Шумиха вокруг Антифрода (это такая система, которая умеет выявлять мошеннические действия и блокировать их) от РКН всё растет. Говорят, что большие операторы связи уже подключились к этой централизованной системе, а скоро подключатся и остальные. Вообще, у больших ребят (МТС, МФ, Билайн, Теле2) и так были свои антифрод-системы, так что интересно, что будет с сотрудниками, которые их разрабатывали. А вообще, очень надеюсь на то, что в РКН будут бдительно следить за новыми тактиками мошенников из служб безопасности разноцветных банков, а то лично меня они всё еще достают своими назойливыми звонками.

Идём дальше. Скоро планируется законодательно зафиксировать определение дипфейков (это замена внешности/лица на видео при помощи нейросетей) и ограничить его использование. Технология крутая, но в умелых руках очень опасная. Особенно в наше время, когда всё больше услуг предоставляется удаленно и личное присутствие не обязательно. По сути, при помощи нескольких костылей, уже сейчас можно сымитировать внешность, мимику и голос жертвы. Ну а если без духоты, то мем из образцового самца от 24 июня – топ.

Ну и на десерт – страхование от кибератак, киберрисков, киберузроз, утечек данных и вот это вот всё. В нашей стране тут предложили страховать компании от подобных рисков. Если иронично, то да, всё уже утекло и взломано, теперь можно и страховать. А если серьезно, то лично мне кажется, что это связано с увеличением штрафов (которые не за горами) за подобные инциденты. Но в любом случае, на нас, как на пользователях, это никак не отразится.

#Мнение

Твой Пакет Безопасности

Настало время мема про профдеформацию в мире кибербезопасности.

#КиберМем

Твой Пакет Безопасности