​Так Колибри или Импульс?

Совсем недавно мы с вами говорили о создании нового аналога Телеграма, и, это творение увидело свет. Более того, сразу на двух операционках – Андроид и (внимание) Авроре. Если вы пропустили, то это отечественная операционная система, а вот тут (ссылка) можно посмотреть, какие устройства на ней уже работают.

Так вот, вернемся к новому мессенджеру, а точнее, сразу к двум его версиям – Колибри и Импульс. Почему их две? Я не знаю, но заявленная логика такова, что под каждую ОС будут разные названия программы. При этом, можно спокойно отправлять сообщение с Имульса на Колибри, например. Видимо, ребятам из руководства понравилось сразу два названия и они не смогли договориться.

Через мессенджер можно уже обмениваться не только СМС-ками, но и прикреплять файлы и отправлять голосовые сообщения (думаю, что даже Импульс с Колибри скоро обгонят Вотсап по функциональности). Как и заявлялось ранее, большой упор при разработке приложения был сделан на безопасность, а ключевую роль в этом сыграл некий "Пензенский научно-исследовательский электротехнический институт". Лично я ничего про ПНИЭИ в контексте кибербеза не слышал, но погуглил и нашел, что у него действительно есть все необходимые лицензии на оказание услуг в сфере ИБ.

Продукт пока что в стадии зародыша, но я думаю, что пентестеры уже затачивают свои рабочие инструменты.

#НовостьДня

Твой Пакет Безопасности

Всё растёт

Наткнулся тут на один отчет по анализу рынка кибербезопасности в РФ аж до 2027 года. Не думаю, что вы откроете для себя что-то новое, но на циферки посмотреть интересно.

Если кратко – все растет, особенно, с учетом того, что внешние условия буквально заставляют кибербез в стране развиваться, да и денег на это сейчас не жалеют. Если думали делать свой стартап и не знаете, в какой сфере, вэлкам в безопасность.

#Полезное

Твой Пакет Безопасности

​А ловко ты это придумал

Приготовьтесь, сейчас будет новая схема мошенничества в Телеграм. В общем, кто-то наконец-то догадался указывать в поле своего имени в ТГ номер телефона. В итоге, если этот человек вам позвонит через мессенджер, то у вас на экране высветится указанный им номер телефона (выглядит это примерно как настоящий звонок).

Злоумышленник может указать там всем известный трёхзначный номер Сбера или вообще номер вашего родственника (который вы, возможно, помните наизусть). Если знать о такой уловке заранее, то махинация кажется вполне очевидной и простой, но поверьте, многих так уже застали врасплох.

Для того, чтобы защититься от такой угрозы можно просто запретить в приложении входящие вызовы от всех, кто не находится в вашем списке контактов. Ну или, при возникновении каких-то подозрений, вы можете просто сбросить вызов и разобраться, откуда и от кого поступил этот вызов.

Если вы установили уже кому-то из ваших родных этот прекрасный мессенджер, то лучше перешлите им этот пост, лишним не будет.

#КиберГигиена

Твой Пакет Безопасности

​Профессия будущего

Ребята из Хэдхантера тут попросили нейросеть сгенерировать ТОП перспективных специальностей, которые будут востребованы в будущем. Первое место занял специалист по кибербезопасности. Да, все следующие варианты вызывают некоторые вопросы, но, в целом, можно представить, что это такое, и почему они попали в этот рейтинг. В общем, работаем дальше, мир же надо кому-то спасать.

#НовостьДня

Твой Пакет Безопасности

🔐 Защита промышленных IT-инфраструктур: новый выпуск подкаста «Безопасно говоря»

Актуальные угрозы и новые подходы к защите промышленных IT-инфраструктур — какие они? Какие плюсы и минусы видят компании промышленной отрасли в переходе к облачной инфраструктуре?

В третьем эпизоде подкаста «Безопасно говоря» обсудили с гостями из «УльтимаТек» и «ФосАгро», как меняются стратегии безопасности в IT для промышленного сектора, какие ключевые изменения в векторах атак злоумышленников наблюдались за последнее время, насколько отрасль готова к новым вызовам и что кардинально изменилось в построении моделей угроз и расчете рисков.

🎧 Слушайте на Яндекс Музыке.

💻 Смотрите на YouTube.

#Реклама

​Вы перешли на новый уровень

Ну что, настало время обсудить новую инициативу по упрощению доступа силовых структур к личным данным пользователей. Всё, как и всегда, максимально просто – органам хотят дать доступ ко всем данным пользователей до соответствующего судебного предписания. То есть, просто дать им доступ.

Согласно новым поправкам, они смогут забрать данные откуда-угодно, включая дата-центры, облачные хранилища, от операторов связи и устройств граждан. По поводу первых двух – еще ладно. В дата-центрах они, например, могут искать ваши впн-сервера, чтобы понять, какие ресурсы вы посещаете, а в облачных хранилищах они могут найти что-то поинтереснее, по типу дампов БД со слитыми ПДн пользователей (даже если утечка – не ваших рук дело).

Но с телекомом и личными устройствами у меня уже возникают более серьезные вопросы. Во-первых, данные о наших звонках и переписках являются не просто персональными данными, а Тайной Связи, доступ к которой у всех максимально ограничен, даже среди сотрудников сотовых операторов. Ну а про устройства граждан мне вообще не понятно, что именно имеется в виду – не легальное ли это удаленное подключение к смартфонам и ПК подозреваемых (лицо владельцев телефонов на ОС Аврора видели?).

Есть теория, что скоро все наши личные данные просто будут общественными сразу сохраняться на силовых облаках (смайлик осуждения).

#НовостьДня

Твой Пакет Безопасности

​Облачно, возможны осадки

Сейчас будет пост для кибербезопасников, а также девопсов, и прочих хардкорных айтишников, которых могут интересовать облака, инфраструктура и ее защита (так что всем остальным предлагаю просто поставить лайк под постом и задержать дыхание). Но есть и хорошая новость – пост будет не таким уж и длинным!

Так вот, многие, почему-то, до сих пор опасаются и напрягаются, когда речь заходит об облаках и их безопасности, а зря. По сути, с вас наоборот снимают часть ответственности, а многие вещи можно просто описать в SLA. Но да ладно, перейдем к полезностям.

Начнем с крутого гайда (ссылка) от рэд-тима, в котором описано сразу несколько десятков методов атак на облачные сервисы. На его основе можно и поверхность атаки изучить, и модель угроз смоделировать.

В дополнение к этому (сразу после этого поста) скину для вас в канал небольшой отчет по облачным угрозам (в который даже модное Cloud Native добавили). Внутри есть не только описание ключевых угроз, но еще и аналитика по ним.

Ну а для тех, кто только начинает свое знакомство с этими облачными технологиями, рекомендую почитать страничку с очень хорошей выжимкой по их безопасности на сайте Майкрософта (не забудьте еще раскрыть раздел с вопросами и ответами внизу страницы) – ссылка

Ну вот и всё. Если у кого-то будут еще какие-то полезные материалы по теме – вэлкам в комментарии.

#Полезное

Твой Пакет Безопасности

Что-то давно не было мемов тут, надо исправлять.

#КиберМем

Твой Пакет Безопасности

​Багбаунти пост

Как-то раз (вот тут) мы с вами уже разговаривали на тему культуры поиска уязвимостей и ошибок за деньги, так что все вы уже знаете, что это такое и с чем это едят. Сегодня продолжим эту тему.

Во-первых, вознаграждение за найденные уязвимости растут как на дрожжах и порой на них можно сразу квартиру покупать. Так, например, VK готов был отдать за найденную уязвимость с возможностью удалённого исполнения кода до 7 200 000 рублей. Сейчас цены чуть снизились, но поверьте, там, всё равно, достаточно (актуальные расценки можно глянуть тут).

Во-вторых, если вы давно не практиковали или вообще ни разу не пробовали свои силы в баг-хантинге, то без насмотренности вы далеко не уедете, даже если будете вооружены всеми инструментами хакинга. Насмотренность можно выработать изучая отчеты о найденных уязвимостях – они называются репортами. С этим вам поможет гугл или сайты, наподобие этого, где эти репорты регулярно публикуются в открытый доступ.

В-третьих, рекомендую делать упражнение из прошлого пункта и своим коллегам из блю-тима (сторона защиты), ведь для того, чтобы что-то эффективно защищать, надо понимать, откуда и как будут атаковать. Лично я, после того, как перечитал огромное количество репортов (не без помощи этих ребят), переосмыслил некоторые вещи в своей работе. С радостью бы поделился самыми сочными отчетами с вами здесь, но все они, к сожалению, защищены NDA.

Ну всё, выдыхайте, пост духоты закончился.

#Мнение

Твой Пакет Безопасности

​Безопасное будущее

Если кто-то из вас интересуется блокчейном, знает, что такое web3 или пользуется продуктами рынка DeFi, то этот пост будет вам небезразличен.

На самом деле, у меня тут просто накопилось достаточно интересных ссылок и материалов по этой теме, поэтому я решил себя не сдерживать и поделиться этим добром с вами.

Для тех, кто не понимает, что написано выше, рекомендую просто изучить по верхам тему web3 (поверьте, пригодится). Вот тут написано на более-менее понятном языке, но, если коротко, то это просто новый этап развития интернетов, который уже начинает просачиваться в жизнь всех пользователей сети и веб-сервисов. Ну, поехали.

Во-первых, ловите несложную и короткую статейку на тему того, что не всё так хорошо и безопасно в этих ваших блокчейн-интернетах – ссылка

Во-вторых, держите ролик по теме того, какие есть уязвимости и инструменты защиты ресурсов в мире web3 (уже более серьезный и технический контент) – ссылка

Ну и на десерт – неплохая (но тяжеловатая) статейка на Хакене с разбором нюансов, стеков и, в целом, кибербезопасного ландшафта в современном (третьем) поколении веба (специалистам из ИБ – мастхэв) – ссылка

Ну все, бегите изучать и пересылать этот пост своим криптанам и безопасникам.

#Полезное

Твой Пакет Безопасности

​А делитесь ли вы своим паролем?

Я тут на днях залил свой ноутбук водой и мне пришлось отнести его в ближайший сервис, чтобы с него скинули аккумулятор (поверьте, это лучше делать сразу, иначе процесс окисления кратно ускоряется, нанося непоправимый вред всем платам и электронике внутри). Так вот, на приёмке в сервисе мне сказали, что ноутбук отправят в лабораторию для диагностики внутренних повреждений и потребовали с меня пароль от учетной записи, чтобы провести все тесты (камера, микрофоны, периферия и т.д.) после его просушки и включения.

На мой отказ я увидел удивленное лицо мастера, после чего он начал меня уговаривать таки дать ему пароль (судя по всему, большинство этому не сопротивляется). Поэтому я решил написать вам о том, что делать этого ни в коем случае нельзя. Даже если это сервис вашего друга/знакомого, ноутбуком может в итоге заниматься не он, а это значит, что при вводе пароля, человек получит доступ ко всем данным с вашего устройства.

Чтобы не быть голословным, ловите сразу несколько статей на тему, того, что будет, если сервисный центр будет обладать вашим паролем – раз, два, три. Само собой, разлетаются те истории, в которых воруют, а потом публикуют интимные фото владельцев ремонтируемых устройств, но проблема в том, что у вас на компьютере могут быть спрятаны и ваши логины/пароли, секретные фразы от ваших криптокошельков, фотографии документов, рабочая информация и т.д., Эти вещи всплывают в сети не так быстро, и потом сложно установить, что кража произошла именно во время ремонта.

Плюс к этому, есть еще и исследование по этой теме (вот ссылка), которое только подтверждает всё вышесказанное. Более того, засудить такой сервис будет непросто, тем более, что ваша приватность, к этому времени, уже пострадает.

Как же от этого защититься? Для начала – не давать никому пароль от вашей учетной записи, а все тесты попросить проводить при вас или вообще делать их самостоятельно. Но при этом, все равно остается риск того, что с устройства могут снять жесткий диск или SSD (само собой, для проветения проверок). В случае с техникой Apple всё просто – такой трюк просто не пройдет из-за чипа безопасности, который не даст расшифровать информацию с носителя. Но если у вас виндусовый (или андроидовский) аппарат, то тут я рекомендую шифровать информацию самостоятельно (это настраивается либо через саму систему, либо дополнительными средствами), а все важные данные хранить в запароленных папках.

В идеале, конечно же, вообще не хранить ничего важного на вашем устройстве, а использовать для этого внешний накопитель. Если вы знаете людей, которые спокойно делятся своими паролями в сервисных центрах, то можете им открыть правду на то, каков мир на самом деле.

#Кибергигиена

Твой Пакет Безопасности

​Почему нужно аккуратнее относиться к скачиванию даже официально-бесплатных программ, файлов и прочего добра из интернетов?

Чаще всего можно понахватать вредоносного ПО (вирусов) тогда, когда вы пытаетесь бесплатно скачать что-то, что должно стоить денег – взломанный Фотошоп, пакет Офиса, новая версия GTA и т.д. Но нюанс в том, что даже, если вы хотите скачать что-то, что и так распространяется официальным разработчиком бесплатно, риски заразить свое устройство остаются, причем достаточно высокие.

Когда вы ищете в Гугле или Яндексе то, что хотите скачать, вам выдается целая куча сайтов, часть из которых может быть поддельной. Злоумышленники могут распространять зараженные программы либо через имитацию сайта официального разработчика (что сложно отличить), либо через целые магазины/агрегаторы таких программ (такими пользоваться не рекомендую). И нужно понимать, что среди всех этих результатов поисковой выдачи есть всего один официальный сайт, откуда уже можно скачать нужное ПО.

Пока писал этот пост, вспомнил про одно исследование от MalwareHunterTeam (еле нашел), посвященное тому, как хакерская группировка DEV-0569 даже оплачивала официально рекламу в Google Ads, чтобы их поддельные сайты поднимались выше в поиске. Они тогда заманивали своих жертв на вредоносные сайты, где можно было скачать 7-Zip, LibreOffice, AnyDesk, FileZilla, TradingView, WinRAR (бессовестные) и VLC. По итогу пострадало много людей, которые просто хотели скачать и так бесплатное ПО.

Так что будьте аккуратнее и не забывайте про VirusTotal (не реклама).

#КиберГигиена

Твой Пакет Безопасности

Так не работает, если что :)

#КиберМем

Твой Пакет Безопасности

​Такое мы смотрим

Многие из вас наверное знают, что у Яндекса есть такое ежегодное мероприятие – YaC (Yet another Conference). Это аналог WWDC от Эппла или I/O от Гугла. В общем, конференция, на которой представители компании рассказывают о достижениях, новых технологиях и дальнейшей стратегии.

Так вот, оказывается, есть у Яндекса еще одно подобное событие, но посвященное сугубо кибербезопасности (не уверен, правда, что эта штука ежегодная) – YaSM (Yet Another Security Meetup). Я тут просто наткнулся на запись этого митапа (вот ссылка) и приятно удивился тому, как много прикладной пользы ребята там собрали, пока рассказывали о том, как правильно строить безопасность, как решать возникающие проблемы (при внедрении тех или иных практик), как управлять процессами и так далее.

В общем, бегите смотреть, потому что эти 2,5 часа (но я бы поставил на ускорение) того стоят. Надеюсь, что ребята из Яндекса не забросят организацию подобных безопасных митапов (и да, это не реклама, если что).

#Полезное

Твой Пакет Безопасности