NGFW Бинго: я выбрал две клетки

TS Solution сделали NGFW Бинго. Там 12 карточек с частыми требованиями. Отмечаешь своё, видишь вендоров. Полезнее любой таблицы из ТЗ на 200 строк.

Я выбрал две позиции.

Изоляция управления

8 лет в Palo Alto Networks объяснял одно и то же: у NGFW два сердца: data plane и management plane. Если они живут на одном CPU — при атаке теряете управление ровно тогда, когда оно нужнее всего. Если идет DDoS, то веб-интерфейс не открывается, SSH отваливается по таймауту. Впервые я наелся этого с Check Point в 1998 году и это продолжается у многих поставщиков до сих пор.
На пилоте проверяйте руками: грузите процессоры до 100% и пробуйте закоммитить правило. Сколько минут? Если вы так и не дождались, то управления устройством у вас нет.

Reverse-proxy

На карточке подсказка: «Наверное, вы имели в виду WAF?» Нет.
Reverse-proxy на NGFW публикует наружу 1С, почту, порталы для подрядчиков.
Отдельный WAF ради портала на 40 человек покупать экономически невыгодно.
Без reverse-proxy сервисы публикуют голым DNAT. Это так себе решение.
Интернет-банку, да, нужен настоящий WAF. Средней компании хватит публикации на NGFW.

Про остальные
ФСБ и ФСТЭК: часто не критерий выбора, а банально входной билет. Вендоры это знают.
SSL от 20 Гбит/с: спросите, с каким шифром, размером пакета и включён ли IPS или антивирус во время теста - вы ведь расшифровываете SSL/TLS для какой-то инспекции.
GRE over IPSec важно, чтобы отправлять OSPF и BGP через туннели.
Экосистема: удобна до первой проблемы с вендором. Check Point и Fortinet тоже были экосистемой до 2022. Теперь темная сторона силы.

Чего я бы добавил в критерии выбора

🔹Конвертер политик с Check Point, Fortinet, Cisco ASA.
🔹Идентификация пользователей на терминальных серверах.
🔹Задать производительность с App-ID + IPS + антивирусом одновременно. Кстати у Check Point был их внутренний инструмент для этого.
🔹Кластер без разрыва сессий.
🔹1С, Контур, MAX в базе App-ID.

А вы что бы выбрали?

#NGFW

Рекомендую попробовать Kimi Slides (от Moonshot AI), когда нужен отчет со сложной аналитикой и идеальный PowerPoint в котором будет даже связь с источниками данных, например, если вы на вход давали Excel.

Регистрироваться лучше через Google, так как SMS на российские номера часто задерживаются. Для этого надо заходить через www.kimi.ai/slides

И еще я посмотрел GigaChat как делает слайды - и картинки и текст отлично форматирует, вполне подходит для быстрых выступлений.

#слайды

Обновил сравнительную таблицу облачных ИИ продуктов. Обновил сервисы ИИ для создания презентаций и детали оплаты и доступности из РФ. https://batrankov.ru/go/ai-cloud

Знаете ли вы что 80% проектов внедрения ИИ терпят неудачу? Как думаете почему?

Презентация с моего закрытого доклада для владельцев и директоров.

Готов обсудить с вам, дорогие читатели

#саботаж #ИИ

Deepfake при приеме на работу

"Покажи мне свои три пальца на камеру" - так программист выявил мошенника. Пост собрал 1,7 млн просмотров.

Разработчика позвали на интервью в блокчейн-проект. "Интервьюер" внезапно попросил скопировать исходный код из репозитория в GitHub и запустить его у себя локально.

Кандидат согласился, но сначала попросил собеседника показать три пальца перед лицом. Тот застыл на несколько секунд, потом отключился, и кандидата заблокировали.

Живой человек на такую просьбу не зависает, а вот дипфейк вскрывается, когда рука перекрывает лицо.

Схема сейчас массовая! Особенно в крипте и разработке: сначала сообщение в личку от HR, затем правдоподобный проект, и "небольшой тест" перед разговором.

Внутри репозитория обычно стилер паролей или программа удалённого доступа.

Если вас просят запустить код до того, как состоялся нормальный разговор, это кибератака, а не найм.

Источник

@safebdv
#кейс #мошенник #deepfake

Вышел хороший формат. И заказчиков послушали и вендоров и интеграторов.

Додо Пицца сообщает, что хакеры теперь знают кто любит пиццу.

PR оповещение мне понравилось. Отделу PR зачет.

Я здесь собираю примеры антикризисных оповещений

#КризисМенеджмент

Индекс пиццы Пентагона

Вы уже знаете, что перед военными операциями Пентагона аналитики фиксируют аномальное число заказов пиццы в их округе. И взлом базы данных пиццерии в таком месте может повысить национальную безопасность страны, которая под угрозой атаки США. Это еще называют "Индексом пиццы Пентагона". Впервые эту закономерность публично подтвердил владелец Domino's Pizza в Вашингтоне.

Посмотрите официальный сайт PENTAGON PIZZA INDEX

Помимо пиццы, аналитики спецслужб и независимые расследователи следят за другими бытовыми маркерами.

Индекс парковок

Если парковки у Пентагона, ЦРУ или Белого дома забиты в 3 часа ночи в воскресенье, то где-то в мире происходит или готовится что-то серьезное. В эпоху спутников этот уже автоматизировано подсчитывают.

Индекс светящихся окон

С помощью спутниковых снимков или камер ночного видения аналитики смотрят, сколько окон горит в штаб-квартирах министерств. Массово горящие окна Лэнгли (ЦРУ) или Брюсселя (НАТО) — верный признак международной эскалации.

Индекс фитнес-трекеров

Военные и агенты спецслужб часто забывают отключать геолокацию на умных часах во время пробежек. В итоге на публичных картах фитнес-приложений Strava "подсвечиваются" идеальные контуры секретных военных баз США в Африке или Сирии, а по изменению интенсивности пробежек можно понять, когда на базу прибыло подкрепление.

НО. Чиновники могут специально симулировать активность и заказывать сотни пицц или включать свет в пустых кабинетах, чтобы запутать разведку противника.

@safebdv
#OSINT

Если вы делаете AI SOC то посмотрите на JEV. Jev от TypeSafe AI - это новая модель, которая не пишет текст, как LLM, а отвечает числом.

Например: Это фишинг? → с уверенностью 0,97.

Когда ответ модели становится числом, то теперь важно выбрать порог и кто за него отвечает.

В статье: где Jev сильнее LLM, как выбрать порог по работе Carnegie Mellon, готовые вопросы для фишинга и алертов, и предупреждение о поддельных магазинах, которые уже перепродают доступ к API.

@safebdv #ИИ #SOC

Сейлы вендора хотят продавать сами, в обход партнёров. Партнёры уснули и не приносят лидов. РАМ и КАМ спорят, кто принёс сделку. Что выгоднее партнёру: скидка или рибейт?

Вебинар для руководителей вендоров, РАМ-ов и дистрибьюторов: 8 октября, в четверг, в 12:00 по Москве, бесплатно.

Проведу вместе с Дмитрием Даниловым. Он больше двадцати лет строит партнёрские сети, работал в Eset, «Доктор Веб», Rainbow Security и IT Guard и написал об этом книгу.

Что обсудим:
🔹Три этапа эволюции вендора: когда случается переход на следующий и что бывает с компанией, которая проскакивает средний этап.
🔹Почему РАМ-ов на рынке меньше, чем вендоров.
🔹Четыре заблуждения молодых вендоров, начиная с «дистрибьютор всё сделает сам».
🔹Ваши вопросы из формы регистрации.

Записаться тут

Уже записалось более 100 человек. Запись пришлю всем записавшимся, даже если не получится прийти.

@safebdv
#вебинар #партнёрскийканал #вендоры

Путин поручил обеспечить сбор данных для обучения суверенных ИИ-моделей к марту 2027 года. Ранее Госдума приняла закон о правовой основе для разработки и внедрения больших ИИ-моделей в России.

Я честно озадачен.. почему за рубежом это как-то стартануло само.. у нас нужно указание Президента..

@safebdv #ИИ

Как вы выявляете злоумышленника в сети?

Пентестеры за 10 минут получили полный контроль над инфраструктурой через забытую учётную запись. При этом каждое их действие по отдельности могло выглядеть штатно: легитимный вход, обычные команды, разрешённые обращения к серверам.

Рекомендую обратить внимание на статью Ильи Зуева, вице-президента по информационной безопасности МТС Банка. Он рассказал, как они собрали ансамбль из пяти графовых нейросетей для выявления аномалий. Здесь модели анализируют не отдельные события, а связи между ними: кто, откуда, когда и по какому маршруту обращается к серверам и сегментам сети.

Систему проверили на имеющихся журналах аутентификации Linux, 22 пентестах и одной скрытой Red Team-проверке. Она показала 90% эффективносности на протестированных методах атаки.

Ценно, что Илья описал и ограничения: например, модель может не заметить захват уже установленной администратором сессии.

Мой вывод:
🔹 Графовый анализ не заменяет EDR, XDR и SIEM, а дополняет их и по сути это метод из UEBA.
🔹 Его преимущество — способность собрать внешне нормальные события в подозрительную цепочку действий. По идее такое должны научиться делать UEBA и XDR, ведь они уже собирают цепочки действий и так. Вдруг вы знаете уже такие?

К контролю ИИ-агентов этот подход тоже потенциально применим, но при условии, что их обращения к инструментам и ресурсам попадают в телеметрию.

В России трудятся Гарда NDR и PT NAD над такой задачей, и я приглашаю коллег на конференцию по сетевой безопасности 24 ноября 2026 года рассказать как они выявляют злоумышленника в сети. Регистрация открыта. Программа предварительная готова. И мы еще обсуждаем ее наполнение в чате сетевой безопасности (и также приходите ко мне в личку).

Кто уже применяет или тестирует графовый анализ в UEBA?

@safebdv
#CISO #UEBA #SOC

NGFW не обнаружил обращений к ChatGPT. Значит ли это, что в компании нет Shadow AI? Нет.

Сетевой шлюз не видит:
🔹 локальную модель на ноутбуке, ведь внешнего трафика у неё нет;
🔹 ИИ-агента на локальной модели, который ходит только во внутренние системы;
🔹 расширение браузера или IDE, которое обращается к модели через домен разработчика, а не через домен из категории «генеративный ИИ»;
🔹 личный смартфон сотрудника на 4G, поскольку его трафик идет мимо корпоративной сети;
🔹 API-ключ, спрятанный в скрипте или в CI/CD.

Под описание Shadow AI попадают разные ситуации: от сотрудника, который вставил таблицу в чат, до агента с доступом к GitLab, CRM и боевой базе. Одним способом их не выявить и не закрыть.

Если вы как безопасник отвечаете за это, то лучше всего начать с трёх вопросов бизнесу:
🔹 Какие данные для нас действительно критичны?
🔹 Что будет, если они окажутся у поставщика модели? Google, OpenAI, Сбербанка или Deepseek..
🔹 Что дороже: запретить ИИ или разрешить его под контролем, например, с маскированием?

И только потом: бороться за защиту: включать на NGFW категорию генеративного ИИ в режиме наблюдения, проверить расширения браузеров и локальные модели на устройствах, поискать API-ключи в репозиториях и составить реестр сервисов, которыми уже пользуются.

В новой статье разделил Shadow AI на пять уровней и написал, что можно сделать за ближайший квартал.

@safebdv
#CISO #AISecurity #NGFW

Неожиданно для меня, число регистраций на вебинар 8 октября перевалила за число 200. Тема работы партнерского отдела интересна оказалась ИТ и ИБ отрасли и также другим смежным отраслям. Подробнее тут

🐳 Zero-day не понадобился: ботнет CARBONATO просто поселяет ИИ-агента на чужих серверах

Хватило Docker API, открытого без аутентификации. Ботнет находит общедоступные серверы, обычно через TCP 2375, и через штатный Docker API запускает привилегированный контейнер с доступом к файловой системе хоста. Всё!

Так дальше интереснее.
На сервер ставят обычный open-source Hermes Agent. Кстати, хороший выбор. Я сам им пользуюсь в целях кибербезопасности. Из всех настроек хакеры подменяют только файл SOUL.md со своими инструкциями. Оператор ставит задачи через Telegram, агент выполняет команды и разбирает результаты. Среди приоритетов в инструкциях: сбор ключей доступа к ИИ-сервисам. Удобно.

Деталь, которую важно заметить:

первоначальный захват и распространение делают обычные скрипты. ИИ-агент подключается к работе уже после компрометации.

Разбор ThreatDown

Что я бы настоятельно попросил проверить сегодня
🔹 Нет ли Docker API без аутентификации, доступного из интернета или недоверенных сегментов.
🔹 Если удалённое управление нужно, используется ли SSH или TLS с клиентской аутентификацией и разграничением доступа.
🔹 Нет ли неизвестных привилегированных контейнеров и подозрительных SSH-настроек.
🔹 Если найдены признаки взлома: определите, какие ключи и токены были доступны с хоста и требуют замены.

И ещё важно:

закрытие порта закрывает этот путь входа, но уже установленный доступ не убирает.

Рекомендации CSA Singapore

Мой вывод: защита от атак начинается с контроля обычных интерфейсов доступа. Ну и никогда не выставляйте 2375 в интернет. Проверки открытых сервисов автоматизируют через класс продуктов EASM (External Attack Surface Management): он постоянно изучает ваши сети снаружи и оповещает, когда у вас появилась уязвимость подобного рода (как и многие другие).

А кто у вас проверяет доступность Docker API из интернета: ИБ или DevOps?

@safebdv
#Docker #CISO #AISecurity

В стране колбасит связь из-за нового закона о маркировке вызовов. При этом у ГРЧЦ уже есть государственная платформа «Антифрод», через которую целая тысяча операторов связи уже несколько лет обмениваются данными о подозрительных и подменных звонках.

Почему бы не использовать её и для маркировки бизнес-звонков?

Любая компания могла бы один раз зарегистрировать в системе:
— ИНН и название;
— используемые номера;
— оператора связи;
— категорию звонков;
— подтверждение права на использование номеров.
Тем более что это и так частично там уже есть

После этого ГРЧЦ передавал бы проверенные сведения всем операторам связи. Бизнесу не пришлось бы отдельно заключать договоры с МТС, «МегаФоном», «Билайном», T2 и фиксированными операторами. Тем более что он и так уже часть этого передает.

Получилась бы единая схема:

text
Компания > оператор > ГРЧЦ > Все остальные операторы > абонент

Так можно было бы снизить количество ошибочных блокировок, унифицировать требования и сделать процесс прозрачным. Но для этого потребовались бы изменения нормативной базы: сегодня «Антифрод» в основном проверяет подлинность происхождения номера, а не передаёт абоненту название организации и категорию вызова. Однако технически маркировка это просто дополнительные 32 байта в базе. Причем это единая база, а не множество разрозненных баз у каждого оператора четверки.

Я лично считаю, что проблему маркировки звонков следует решать не через множество коммерческих договоров и зарабатывании на этом миллиардов мобильными операторами, а через расширение уже существующей государственной инфраструктуры ГРЧЦ. Это уже создано и поэтому это будет и удобнее и дешевле. Осталось захотеть это сделать, да?

В чем проблема: звонок может проходить через несколько участников:

Компания → виртуальная АТС → фиксированный оператор → мобильная сеть → абонент

Если на каком-то этапе не заключён договор на маркировку или информация не передана корректно, мобильный оператор получает вызов без подтверждённых данных. Такой звонок может быть заблокирован или помечен как спам. А он не заключен, потому что надо заплатить за это, плюс передать коммерческую тайну (список своих клиентов) мобильному оператору.

Фиксированные операторы утверждают, что мобильные сети блокируют законные звонки их клиентов. Мобильные операторы отвечают, что причина — отсутствие необходимых договоров и маркировки.

Для антифрод-системы легальная клиника, напоминающая пациентам о приёме, может выглядеть так же, как мошеннический колл-центр: много исходящих вызовов, короткие разговоры и автоматический набор.

Дополнительная проблема — стоимость услуги. По данным отраслевых публикаций, маркировка может обходиться примерно в 30 копеек за попытку вызова. Для компании с 100 тыс. звонков в месяц это около 30 тыс. руб. новых расходов. То есть оплачивают торжество наложенной кибербезопасности не злоумышленники, а обычные компании.

Источник
@safebdv
#Антифрод #Государство #Минцифры

ЦОДы и связь надо защищать. Я достаточно долго помалкивал про уязвимости инфраструктуры, включая ЦОД, однако теперь это уже известно всему миру. Как человек учившийся в СССР знаю, что впервые это осознал Владимир Ильич Ленин.

В октябре 1917 года в своей работе «Советы постороннего» (написанной перед Октябрьским вооруженным восстанием в Петрограде) он писал:

«Комбинировать наши три главные силы: флот, рабочих и войсковые части так, чтобы непременно были заняты и ценой каких угодно потерь были удержаны: а) телефон, б) телеграф, в) железнодорожные станции, г) мосты в первую голову».

И как мы видим история вернулась к тем же целям и задачам.

@safebdv
#Киберустойчивость

📸 Фотоматериалы с мероприятия «Критически важно 2026» в Казани

Мне приятно, что более 200+ руководителей ИТ и ИБ приняли активное участие, была и выставочная часть. Я провел специальную закрытую секцию для руководителей по саботажу при внедрении ИИ и мы даже вечером обсудили уровни зрелости заказчиков и необходимые им инструменты для перехода на следующий этап по моей таблице

👉 [СМОТРЕТЬ ФОТООТЧЁТ]
👉 [СМОТРЕТЬ ВИДЕО]

А если не были — посмотрите, что пропустили. В 2027 году обязательно приходите.

До новых встреч в 2027!