​Время безопасных митапов

А вот и анонс того самого кибербезопасного мероприятия, о котором я говорил в одном из прошлых постов. Его организовали крутые ребята из VK Cloud и называется оно (как ни странно) VK Security Meetup.

Там мы будем рассказывать вам о трендах и ключевых изменениях в сфере ИБ, о практиках взаимодействия между разработчиками и ИБ-специалистами, про процесс разработки ПО в контексте безопасности, и о развитии культуры ИБ в компаниях.

И да, наш с вами любимый канал стал официальным инфопартнером этого мероприятия. Так что буду ждать всех неравнодушных.

Зарегистрироваться можно вот тут – ссылка.

#Полезное

Твой Пакет Безопасности

​Как Китай своих детей защищал

Все мы знаем про великий китайский фаерволл, также известный как Золотой Щит, который ограничивает гражданам страны доступ к зарубежным ресурсам. И наверняка вы знаете, что это далеко не все запреты, которые государство ввело для жителей поднебесной. И да, оно их всё продолжает вводить.

Судя по всему, китайцев сильно волнует именно подрастающее поколение, поэтому им достается бОльшая часть ограничений. Более того, у них даже есть специальная Администрация киберпространства (судя по всему, какой-то аналог РКН).

Ну а из новых запретов – комендантский час (пара-пара-пам) для подростков, которые любят поиграть в компьютерные игры. Теперь они не смогут этого делать после 10 вечера. Ну а контроль этого правила будет осуществляться благодаря интеграции с их любимым и вездесущим WeChat, который их запросто идентифицирует.

Интересно то, что санкции за нарушение этих ограничений, судя по прошлым поправкам, будут накладываться на игровые платформы, которые доступ к этому контенту и предоставляют.

Само собой, все эти правила лишь провоцируют подростков учиться находить обходы новых ограничений раз за разом, что абсолютно точно делает их более прожженными в плане айти. Ну а мы живем дальше.

#НовостьДня

Твой Пакет Безопасности

​Системного дизайна много не бывает

Да, пост предназначен преимущественно для айтишников и тех для кибербезопасников, которые принимают участие в проектировании безопасной архитектуры, а также всего, что с этим связано. Но тем, кто только интересуется этой областью или планирует в неё войти, также пригодится.

Я тут для одного из своих менти собирал полезные материалы для прохождения интервью по системному дизайну, поэтому решил с вами тоже поделиться, так что поехали.

– Полноценные курсы (платные и бесплатные) для тех, кто хочет полноценно подготовиться к System Design интервью – раз, два, три

– Очень много полезностей и всякой всячины по системному дизайну – ссылка

– Небольшая памятка с примерами с реальных интервью – ссылка

– Еще одна статья с полезными ссылками для подготовки – ссылка

Вот и все. Думаю, что полезно это всё будет всем тем, кто не только ходит на эти интервью, но и проводит их, а также строит с нуля целые информационные системы. Ну а всем, кому это интервью скоро предстоит пройти – желаю удачи!

#Полезное

Твой Пакет Безопасности

Говорят, что от хакеров тоже защищает.

#КиберМем

Твой Пакет Безопасности

Нет, ну ты видел?

Тут Фил Гарднер в своём LinkedIn запостил интересную статистику из одного исследования (вот тут оригинал). Связана эта статистика с уровнем заработной планы в международном кибербезе.

Само собой, нужно учитывать то, что это годовой уровень дохода (как это принято у западных ребят), а значит, что туда входят еще и все премии с опционами. Тем не менее, я со своим (который считается неплохим в РФ) доходом и до $100к не дохожу. При этом, у многих из западных больших IT-компаний уровня Гугла и Амазона годовые зарплаты даже близко не выходят из синей зоны.

Что сказать – порадуемся за ребят и понадеемся на то, что когда-нибудь и на нашей отечественной улице будет праздник.

#Мнение

Твой Пакет Безопасности

Красивое

Сегодня я (без лишних слов) поделюсь с вами наверное самой крутой архитектурной схемкой (в нотации HLD), которую я только встречал. Тут есть практически всё – наложенные СЗИ, сегментация сети, инструменты DevSecOps, и даже процессы по типу Vulnerability Management. Пригодится и девопсам, и сетевикам, и архитекторам, и безопасникам (им в особенности).

Нет, ну вы только посмотрите на эту красоту. Просто бери и применяй.

#Полезное

Твой Пакет Безопасности

Начинаем понедельник с эндорфина.

#КиберМем

Твой Пакет Безопасности

​Тебя тоже прослушивают?

Тут на конференции 2023 Digital Technology Ecological Conference одна китайская компания представила свой очередной смартфон – Mate 60 Pro Quantum Security. Казалось бы, "ну представила и представила", но сделали они это с громким заявлением, что этот телефон защищает его пользователей от той самой прослушки.

Huawei там накрутили сразу три фактора для защиты – начиная с шифрования потока и заканчивая навороченной симкой с квантовой защитой (маркетинг порой такой маркетинг). Насколько я понял, работает весь этот безопасный слоёный пирог только при использовании VoLTE (Voice over LTE, который работает только с интернетом).

Ну давайте разбираться.

Во-первых, скорее всего, вся эта безопасность будет работать только между фирменными устройствами компании Huawei, а навороченная симка поставляется только одной местной телеком-компанией (China Telecom).

Во-вторых, думаю, что всем очевидно, что компания полу-государственная, а в Китае не любят технологии, которые как-то ограничивают правительство. А это означает, что даже внутри страны с фирменными телефонами и симками у государства будет полный доступ через свои ключи шифрования или бэкдоры (вот тут подробнее). Так что прослушка будет, но только от госслужб.

По факту, никакой защиты и в помине нет, так что продолжаем дальше пользоваться своими старыми-добрыми мобильными устройствами.

Само собой, лично я надеюсь, что настнут времена, когда все телеком-операторы придут к общему соглашению и создадут технологию, которая будет защищать наши разговоры хотя бы от злоумышленников. Но это уже совсем другая история.

#НовостьДня

Твой Пакет Безопасности

​Что будем смотреть сегодня?

Я тут осознал, что каналу уже почти год, а я даже ни разу не сделал какой-то подборки фильмов и сериалов на тему кибербезопаности (или делал, но не смог найти). А ведь это тот вид контента, который порой может неплохо замотивировать или направить на путь истинный тех, кто трудится в сфере ИТ и ИБ (меня так однажды зацепил Мистер Робот, например).

Ситуацию надо исправлять, поэтому сегодня будет подборка сериалов на тему кибербеза, которые я смотрел (и мне зашло) или планирую посмотреть (по многочисленным рекомендациям и положительным отзывам). Ну погнали.

👉 Кремниевая долина (2014 год) – я совсем недавно добрался до этого сериала и нисколько не пожалел. Он не совсем про кибербез (хотя его там достаточно), но он просто обязателен к просмотру всем айтишникам (желательно в переводе Кубика в Кубе).

👉 Призрак в доспехах (2002 год) – да, это аниме. Думаю, что многие из вас видели одноименный фильм со Скарлетт Йоханссон. Так вот это еще круче, насыщеннее и интереснее.

👉 Мистер Робот (2015 год) – ну я просто не мог его не упомянуть. Просто шедевр с хорошими бюджетами и шикарным Рами Малеком. Если еще не смотрели этот сериал, то не сдерживайте себя, оно того стоит.

👉 Полицейский с YouТюба (2023 год) – российский (да-да) сериал про “киберполицейских” (судя по всему, он уже успел собрать с десяток премий на зарубежных кинофестивалях). Многие мне его советовали, но сам я ещё не успел посмотреть. Так что, если доберетесь до него раньше меня, то пишите в комментарии, обсудим.

👉 Что касается популярного Черного зеркала (2011 год) – лично мне не очень зашло, так как каждая серия всё больше вгоняла в какой-то мрак, так что советую смотреть его с перерывами на что-то позитивное и точечно выбирать серии, так как не все из них интересные (как по мне).

Смотреть полезный образовательный контент, это, конечно, хорошо, но иногда можно глянуть и что-то художественно-фантастическое. Ну всё, всем приятного просмотра!

Свои советы к просмотру накидывайте в комментарии – будем обсуждать.

#Мнение

Твой Пакет Безопасности

​Что насчет квишинга?

Про то, что такое фишинг и какие у него есть разновидности, мы с вами говорили уже не раз (вот тут, например). Настало время пополнить свой словарь и узнать о достаточно свежем термине из той же области – квишинг, а точнее, Quishing. Собственно, это такой вид фишинга, который основан на использовании поддельных и вредоносных QR-кодах (о которых мы уже говорили вот тут и тут). Если кратко, то это использование вредоносных QR-кодов, благодаря которым можно как перенаправляют жертву на поддельные ресурсы, так и в взломать ее устройство, например.

Квишингу не просто так придумали отдельное название. Это связано с тем, что подобных атак стало слишком много в последнее время. Согласно отчетам ReliaQuest (а это не последняя компания в мире кибербеза), количество инцидентов, связанных с квишингом, увеличилось вдвое за последние несколько месяцев.

Причем использовать эти тактики начали не только энтузиасты-одиночки, но и небезызвестные хакерские группировки. А атаковать начали не только обычных пользователей, но и сотрудников компаний через корпоративную почту, например. Ну а для нашей страны это еще более актуальная угроза, так как после отключения Apple Pay, все стали переходить на оплату по тем самым QR-кодам.

И да, помните, что вредоносные коды вам могут подложить как в письме в вашем электронном ящике, так и на любых сайтах, даже тех, которым вы доверяете.

#Кибергигиена

Твой Пакет Безопасности

​Безопасные интерфейсы

У меня тут накопилось достаточно большое количество полезных материалов для обеспечения (и тестирования) безопасности API. Но информации было настолько много, что я уж было решил состряпать очередной майндмап, чтобы всё это удобно структурировать и разложить по полочкам.

Благо, до того, как я это сделал, я наткнулся на одну очень крутую и интерактивную штуку, в которой есть уже практически всё, чем я хотел поделиться. Собственно, встречайте – тот самый имбалансный майндмап с целой кучей полезных ссылок и методов тестирования/фаззинга API – ссылка.

#Полезное

Твой Пакет Безопасности

​P@ssw0rd

Декабрь уже наступил, а это значит, что все компании принялись подводить итоги года и составлять свои ТОПы всего, чего только можно. Ребята из NordPass вот собрали рейтинг 200 самых небезопасных паролей за 2023 год. Суть их небезопасности в том, что они взламываются менее чем за 1 секунду.

Они даже сверстали симпатичный интерактивный сайт, где можно отсортировать пароли по странам (Россию не завезли в этот раз) и сферам применения. Там же они привели базовые правила по обеспечению безопасности паролей (само собой, для рекламы своих же решений) и небольшой блок со статистикой, где, судя по заявлениям Verizon, в 86% всех кибератак на веб-приложения используются украденные учетные данные.

Очень надеюсь, что среди этого ТОПа нет ничего, похожего на ваши пароли.Ну а полезные посты на тему безопасных паролей в нашем канале можно посмотреть тут и тут.

И да, для самый креативных – пароль, состоящий только из *** не является безопасным 🫠

#Кибергигиена

Твой Пакет Безопасности