Пост Лукацкого

+1

Если в ChatGPT на интересующий вас нормативный акт (или книгу) ввести одну из следующих команд: /scetchnote, /storyboard, /bookdna, /mindmap, /knowledgeboard, /flashcards, /conceptmap, /beforeafter или /cheatssheet, то вы получите сжатое изложение в разных визуальных формате, позволяющее вам увидеть суть (ну как ее понял ИИ, конечно). Попробовал такое на 117-м приказе ФСТЭК. Не все отразилось, ввиду большого объема, но ключевые идеи вполне себе. Важно, что ИИ подсвечивает риски и точки внимания, ключевые новации и важные количественные параметры. Вдумчивое изучение нормативки не заменит, но быстро въехать в суть помогает. Результаты работы /bookdna визуализируются не в форме картинки – ИИ подробно разбирает ДНК всего документа (главная идея, архитектура, 7 ключевых идей, концептуальная новизна, что сделать в первую очередь и т.п.), что в сжатой форме на картинках тоже показано. А результат работы /flashcards позволяет вам сделать мини-тест на знание анализируемого документа 🤔 #ии #регулирование #автоматизация

Что за склеп, перво-наперво подумаете вы, и будете неправы. Это лондонская скамейка, разработанная специально для того, чтобы на ней не спали бездомные, коих в The capital of Great Britain немало. Этакий способ борьбы за чистоту улиц, который, с другой стороны, являет собой и яркий пример так называемой "враждебной архитектуры". У властей обычно есть два пути решения задач – улучшать жизнь простых граждан (делать лучше для хороших) или бороться с плохим. И часто они выбирают именно второе, так как этот путь проще. Да и плохого в целом меньше и оно более явно, что борьбу с ним делает лучше видимой, чем улучшения и так неплохой жизни. И тоже самое происходит и в сфере кибербезопасности. Можно заниматься улучшением цифрового опыта, а можно заниматься блокировками и запретами (больше 10 платежных карт, больше 5 SIM, больше 50 ГБ зарубежного трафика, VPN и т.п.) под соусом борьбы с мошенничеством. Оно и понятно – бороться надо с гораздо меньшим числом преступных элементов. А то, что эта борьба делает хуже хорошим людям, это в целом мало кого волнует ("для них же стараются"). Вот на "враждебных" скамейках не только теперь бомжи не спят, но и обычные люди почти не сидят – неудобно. Так и с борьбой с мошенниками, коих на пару порядков меньше обычных граждан. Звонки «со случайных номеров» в качестве аутентификации не проходят, будучи заблокированным и операторами, выход в мировой Интернет сопряжен с танцами с бубном, защита от дронов почему-то решается через блокирование мобильного Интернета… список можно продолжать. Так что прав был Черчилль: «Политик думает о следующих выборах, а государственный деятель - о следующих поколениях». Власти, в целом, везде одинаковые. Где-то в большей степени, где-то в меньшей. Это к разговору о регуляторике в ИБ, как вы поняли, и тенденциях в ее развитии ☕️ #тенденции #регулирование

Не успели разобраться с романтическими отношениями DevOps-инженера Binance с северокорейской шпионкой, как в США новый скандал - глава NVIDIA Дженсен Хуанг попал в прицел китайский спецслужб через еще одну романтическую связь, с Алисой Хуанг, топ-менеджером тайваньской Megaspeed. Эту Алису подозревают, что она работает на китайские спецслужбы. Но все это пока вилами по воде. Но интересно, чем закончится этот крестовый поход на азиатских «Мата Хари» 🔥 #модельугроз

Когда меня спросили в Старбаксе при покупке Американо, нет ли у меня аллергии, я удивился в первый раз. Когда мне тот же вопрос стали задавать при покупке любой еды на вынос, в Макдональдсе, мишленовском ресторане, уличных забегаловках и пабах, я решил поинтересоваться, откуда взялся этот заученный навык у всех работников английского общепита. Оказалось, что все дело в так называемом "законе Наташи", вступившем в силу в 21-м году. Так звали 15-тилетнюю британку, которая в 2016-м году умерла от анафилактического шока на борту самолета после того как съела сэндвич с семенами кунжута, на который у нее была сильная аллергия. Ее родители запустили кампанию, которая и завершилась принятием закона, требующего все кафе, рестораны и магазины полностью указывать состав и выделять 14 основных аллергенов жирным шрифтом на любых продуктах, упакованных на месте продажи. Сейчас готовится более жесткий "закон Оуэна" (по имени умершего от аллергии на молочные продукты юноши), в предверие которого Государственное агентство по пищевым стандартам рекомендует персоналу первыми задавать вопрос об аллергии, так как в противном случае бизнесу грозят: ❌ Многомиллионные судебные иски от пострадавших ❌ Уголовная ответственность для менеджеров и поваров ❌ Моментальное закрытие бизнеса контролирующими органами. И судя по тому, что у многих продавцов этот вопрос уже доведен до автоматизма, компании реально упоролись, чтобы этот навык был не просто для галочки. Все-таки риск закрытия бизнеса и уголовки для владельцев мотивирует сильнее красивых слов о безопасности и остальное бла-бла-бла. И подумалось мне "как было бы неплохо, чтобы и в ИБ было так же", что значит вполне можно выработать навыки и по части кибербеза, доведя их до состояния, когда человек не задумываясь пишет в SOC при получении фишинга, не переходит по левым ссылкам, не отвечает на "кружочек" от начальства и т.п. Но, видимо, для этого недостаточно просто усилий ИБ и HR – нужны посадки, штрафы, закрытия бизнеса. Тогда его владельцы задумаются о кибербезе всерьез. А с другой стороны – заучить фразу "У вас есть аллергия?" и на ответ "Да" запускать соответствующий "плейбук" (а там реально совсем иная процедура готовки пиши инициируется) не так уж и сложно по сравнению с доведением до автоматизма реакции на множество разных методов, используемых мошенниками и хакерами 🤔 #awareness

Вот интересно, рекламировать VPN до российских адресов, заблокированных в Европе, - это легально или нет? #суверенитет #vpn

В Блечли Парке есть стена славы голубей, которых использовали для передачи секретных сообщений в ситуациях, когда другим средствам коммуникации доверять было нельзя. Мне кажется, что МЧС планирует у нас возродить этот вид связи. Иначе как еще объяснить их запрет на коммуникации с внешним миром по e-mail? Мне кажется, что МЧС надо быть последовательным и запретить телефоны, так как по ним говорят мошенники, и сотрудников, так как те являются самым слабым звеном. Венцом всей программы повышения защищенности должно стать прекращение деятельности МЧС, так как любая деятельность создает риски, а если ее остановить полностью, то и атаковать будет нечего. Вот только, если защитник сам отключил полезную функцию из страха, что ее отключит злоумышленник, кто в итоге добился своего? 🤔 ЗЫ. Зато метрика числа инцидентов по email всегда будет равно нулю. Перфекто! 💪 #модельугроз

Представьте, подключились вы к ЕБС... и все. На проверку отправляются не все запросы на биометрическую аутентификацию, а те, по которым приходит отказ или низкий score соответствия подлинности все равно пропускаются. Да не, как такое возможно, спросите вы. А вот так. 5 ноября FINRA, американский регулятор брокерской деятельности, объявил о санкциях против Webull Financial, который использовал внешнего поставщика автоматизированной идентификации клиентов, но получал и одобрял заявки, по которым не было достаточных доказательств подлинности личности. Упс... В частности, более чем в 50 случаях вместо удостоверений личности клиенты отправляли фотографии природных пейзажей 🏞 Отдельные заявки одобрялись даже при наличии в корпоративных системах сведений, указывавших, что соответствующий человек умер. Пупупу... По ряду брокерских счетов были явно зафиксированы тысячи подозрительных, а местами мошеннических операций, но Webull, зная об этом, никак на сигналы о подозрительной активности не реагировал. То есть технологии обнаружения присутствовали, но это еще не означало наличие работоспособного процесса реагирования на их результаты. К разговору о важности не только технологии, но и процессов... Штраф, устранение нарушений, дополнительный надзор, привлечение внешних консультантов... Тут все стандартно. И вопрос тут больше к нашим регуляторам – а как они проверяют, что организации, обязанные подключиться к внешним государевым системам ИБ (ЕСИА, ЕБС и т.п.), не только подключаются, но и реально используют эти системы? А иначе зачем это все?.. 😕 Ну а применительно к бизнесу, если предположить, что Webull не осознанно пошла на нарушение, а просто не имела должных компетенций, можно задаться другим вопросом – готовы ли мы к тому, что масштабирование функции обнаружения без соответствующего масштабирования принятия решений, устранения причин и проверки результата может создавать иллюзию роста защищенности? Именно иллюзию! Настоящая результативность ИБ возникает только тогда, когда обнаруженный риск превращается в своевременное действие и доказанное ограничение бизнес-последствий. Последнее, кстати, и к вышедшей GPT-6 Cyber от OpenAI относится – если ИИ резко удешевляет обнаружение эксплуатируемых уязвимостей, то главным фактором киберустойчивости становится способность бизнеса быстрее принимать (и масштабировать) решения об их устранении и доказывать, что исправления действительно работают 🤔 #ответственность #soc

DigiCert тут провел расследования очередного инцидента, который позволил получить несанкционированный доступ к бизнес-системам, и поделился результатами. И это не та история, которая была весной, а другая (у PKIщиков что-то много их в последнее время). Если кратко, то 4 февраля 2025 года внутреннюю систему DigiCert перенесли из VPN-ограниченного сегмента в другую инфраструктурную зону, в результате чего часть функциональности неожиданно стала доступна извне, а в системе оказался включен механизм самостоятельной регистрации, первоначально предназначенный для других задач. Новые учетные записи могли создаваться без MFA. Более того, даже учетная запись без назначенного приложения могла получить доступ на чтение к архивной информации. В июне 2026 года проблему обнаружили, а 2 июля устранили доступ к архивам через этот механизм. Однако позднее выяснилось, что до устранения уязвимости злоумышленник действительно обращался к части архивных данных. Интересно в отчете DigiCert, что они докопались именно до первопричины, приведшей к инциденту, а точнее к трем из них: 6️⃣ Изменение сетевой доступности не прошло полноценный security review, поскольку рассматривалось как инфраструктурная миграция. 2️⃣ Мониторинг не был пересмотрен, хотя система стала доступна из новой среды. 3️⃣ Модель авторизации ошибочно допускала доступ без назначения необходимых прикладных полномочий. Это все к разговору о том, что ИБ и ИТ/DevOps должны быть тесно связаны, чтобы не просто своевременно выявлять и пресекать такие истории, а изначально встраивать ИБ во все изменения инфраструктуры. Иначе, если оно не считается изменением безопасности, оно способно отменить ранее существовавшие защитные предположения. Особенно если правила авторизации и мониторинга опираются на то, что система якобы недоступна извне. А последний тезис и наши УЦ регулярно используют… #инцидент #архитектура #pki

(document without text)

Gartner в отчете "The Roles Required for the AI-Enabled Security Operations Center (SOC)" пишет, что к 2028-му году в SOCах будет на 50% больше инженеров, чем аналитиков. Аналитиков L1 тоже не будет, инженеры по детектам превратятся в промпт-инженеров, а фокус сдвинется в сторону Exposure Management. Ну и там еще много всего написано, не буду пересказывать – вы и сами можете прочитать 👇 #soc #тенденции #работа #ии

Инструкции получил, инструментарий обновил, шифрблокноты сменил…

Прошло больше года с инцидента у английского ритейлера Marks & Spencer, который нанес ущерба на сотни миллионов долларов. И вот 4 ноября Marks & Spencer опубликовала полугодовые результаты за 26 недель, завершившихся 26 сентября 2026 года. И что же мы там видим? Кибератака, произошедшая весной 2025 года, до сих пор фигурирует в объяснении операционных результатов бизнеса. M&S сообщила, что последствия ручных процедур формирования заказов сохранялись дольше ожидаемого, что повлияло на наличие отдельных товаров и размеров одежды. В результате даже при возвращении клиентского спроса компания не всегда могла преобразовать его в фактические продажи. В итоге, новая отчетность показывает, что на счет инцидента можно записать еще £92,9 млн, что отражает совокупное влияние товарной доступности, структуры продаж, более дорогого онлайн-исполнения заказов, сезонных факторов, состояния рынка одежды и других обстоятельств. Руководство компании прямо связывает часть проблем доступности с длительными последствиями ручных процедур после кибератаки. И, возвращаясь к метрикам, Technical Recovery Time и Economic Recovery Time могут расходиться не на дни или недели, а на многие месяцы. Это стоит учитывать, когда мы рисуем красивые дашборды. Можно хотеть показать бизнесовые метрики, но и последствия этого надо понимать – на фоне технических метрик, измеряемых минутами или часами, тут речь идет о месяцах, что может подпортить общее впечатление. Хотя может и привлечь внимание топов к ИБ... #ущерб #метрики

Индия обсуждает усиление CERT-In, чтобы добиваться обязательного устранения критических уязвимостей в установленные сроки. Как пишет The Economic Times, начать предлагают с государственных организаций. Пока это обсуждаемая инициатива, о принятом решении издание не сообщает. Поводом стал кризис вокруг PHP. По данным газеты, две критические уязвимости, обнаруженные с помощью ИИ, вызвали массовые атаки. CERT-In рекомендовала срочно установить обновления, однако не могла гарантировать выполнение рекомендаций всеми ведомствами. Ситуацию осложняют многочисленные сайты и приложения на устаревших версиях PHP, для которых исправлений нет. По оценкам приведенных в статье экспертов, обновление таких систем может затянуться до 2027 года. Обсуждаются следующие меры: 🩹 Обязательные сроки устранения критических уязвимостей с механизмом обеспечения исполнения предписаний. 🩹 Более активное применение уже существующих полномочий CERT-In. 🩹 Постоянные автоматизированные программы выявления и раскрытия уязвимостей на государственных ресурсах. Проверки перед запуском сайтов могут пропускать новые уязвимости, которые обнаруживают передовые модели ИИ. Также звучит призыв увеличить бюджет и штат CERT-In, улучшить межведомственную координацию и участие агентства в ней. Важный нюанс. CERT-In уже вправе выдавать обязательные указания – соответствующие положения уже есть в индийском законодательстве. Поэтому обсуждение касается прежде всего способности агентства добиваться исполнения требований на практике: юридическое полномочие вроде как существует, но полноценного механизма доведения требований до исполнения, по словам собеседников газеты, не хватает. Знакомая история, не правда ли? У всех одни и те же проблемы и все идут в одну и ту же сторону – обязательные требования от государства, на которые раньше все клали болт и будут класть и дальше, так как у национального CERT все равно нет ресурсов проверить и наказать всех. Централизация тут является бутылочным горлышком. Тут стоило бы посмотреть в сторону федеративной модели: национальный CERT задает общие приоритеты, обеспечивает обмен знаниями и вмешивается в системные проблемы, а специализированные организации, отраслевые команды и поставщики выполняют основную работу. При этом достоверность результатов проверяется несколькими независимыми способами. Не знаю, насколько такая схема сможет работать в Индии – у нас, при нашей вертикали власти, вряд ли. #регулирование #оценказащищенности #ответственность

Про случившийся 11 октября инцидент с Ahold Delhaize я уже писал – была нарушена работа ряда цифровых и логистических систем ритейлера. В частности, пострадала электронная торговля Albert Heijn. В ходе восстановления компания поэтапно возвращала доставку продуктов: сначала примерно на треть обычной мощности, затем 28 октября сообщила о возвращении нормального объёма доставки. И вот вчера компания Ahold Delhaize опубликовала результаты III квартала и финансовый отчет, включающий раздел Note 13: Subsequent events. Негативное влияние инцидента на продажи составило 200-250 миллионов евро, а на операционную прибыль – 75-100 миллионов. В финансовом отчете компания дополнительно уточнила: ➡️ Основное воздействие пришлось на онлайн-сервисы в странах Бенилюкса и США, а также логистическую инфраструктуру Бенилюкса. ➡️ Платформа bol не пострадала. ➡️ Основную часть нарушений удалось ограничить в течение двух недель, но работы по полному восстановлению еще продолжаются. ➡️ Дополнительные расходы на реагирование и устранение последствий ожидаются, но руководство оценивает их влияние на операционную прибыль 2026 года как небольшое по сравнению с основным операционным эффектом. Теперь видно, что даже сравнительно короткое нарушение цифровых каналов и логистики способно затронуть финансовые результаты всей международной торговой группы – восстановление нормальной мощности логистики не отменяет уже потерянных продаж и прибыли 🤷‍♀️ ЗЫ. Анализ вот таких вот публичных историй позволяет оценивать и российские инциденты, которые всегда более закрытые 🤔 #ущерб

Тут китайские товарищи ведут регулярно обновляемый список IP, на которых "висят" ИИ-фреймворки для проведения атак ARTEX и CyberStrike AI, которые задействованы почти во всех последних инцидентах с участием ИИ-агентов: 🔗 ARTEX - https://threatbook.io/hubfs/Feeds/ARTEX.txt 🔗 CyberStrikeAI - https://threatbook.io/hubfs/Feeds/CSAI.txt #ии #threatintelligence

И это не преувеличение. Реально страновые недопустимые события обсуждают в прайм-тайм. PHP2Shell, холодильники, JLR, ИИ-атаки… GCHQ называет нынешнее время «моментом громадных последствий». #недопустимое

Три проблемы на телевидении в Великобритании - выборы в США, сексуальные насильники и кибербезопасность #тенденции

Ну что, на канале вновь киносеанс и вновь про кибербез. И снова про то, что шифрование необязательно ломать в лоб 🔫 Хотя Сигал мог просто и локоть сломать, чтобы узнать пароль доступа 😀 #видео #кино #криптография

Не хочу никого расстраивать и ни на что не намекаю, но в Блечли Парке холодильник работает как раз на том самом железе (вероятно с тем же самым уязвимым софтом), которое сейчас ломают по всей Европе ☕️ И да, когда я там был, эта зараза орала как не в себя из-за температуры, ушедшей за граничные значения. Но если что, я не виноват. А пока об атаках на холодильники сообщил еще и Израиль, но было это до европейской волны. Тогда даже компрессоры вышли из строя в результате хакерских манипуляций. А во Франции неизвестные хакеры атаковали холодильные установки для заморозки крови; к счастью, вроде, без последствий. Берегите свои морозилки 🥶 #iot #инцидент

Помню, в Cisco SAFE, еще первой версии, были зафиксированы аксиомы, из которых выводились принципы защиты. Одной из таких аксиом была "любое устройство с IP-адресом может стать целью хакеров". Смотря сейчас на кейсы последних дней, вспоминаю этот принцип, сформулированный более 20 лет назад и до сих пор остающийся актуальным. Двухнедельной давности история с холодильниками продолжается. Помимо Франции схожие кейсы повторились в Бельгии, Голландии, Люксембурге, Дании, Германии, Италии, Ирландии, Португалии, Польше, Швеции, Румынии, Финлянди и Эстонии. Сценарий везде один и тот же – удаленное изменение температуры с последующей порчей продуктов, которые приходится выбрасывать. Многие валят все на Danfoss и уязвимости в ее программном обеспечении. Датский же вендор встал в позу и утверждает, что, во-первых, он сразу посоветовал всем своим клиентам отключить удаленное управление, а во-вторых, уязвимый софт давно уже не поддерживается и его давно было пора поменять на новый. Связаны ли эти атаки с взломами холодильников в американском Пентагоне непонятно, но это не так уж и важно, если вспомнить аксиому. А в вашей модели угроз учтены атаки на холодильник? Вы в курсе, есть ли в вашем холодильнике модуль удаленного управления (независимо от того, включен он или нет)? Но идем дальше. Взлом системы оповещения. Снова, не так уж и важно, взломали через незащищенный API или еще как-то. Это цель, так как она не только имела IP-адрес, но и была доступна из Интернет. А так как это далеко не первый случай взлома систем оповещения, то в целом было логично (да, задним числом, я тоже умный) предусмотреть, что кто-то попробует потыкать в эту систему. Причем взлом был не один и не два; вот небольшой список: 📣 Февраль 2013 – США – Взлом оборудования экстренного оповещения нескольких телеканалов; в эфир вышло ложное предупреждение о "зомби". FCC указала на заводские пароли и недостаточную защиту оборудования. 📣 Январь 2018 – Гавайи – Предупреждение о приближении баллистической ракеты отправили по ошибке; опровержение последовало примерно через 38 минут. 📣 Январь 2020 – Канада – Во время учений по ошибке выпустили предупреждение об инциденте на АЭС Pickering. Расследование обнаружило системные причины как самой отправки, так и задержки ее отмены. 📣 Март 2022 – Россия – Взломали сайт МЧС России, на котором разместили сообщения, связанные с войной в Украине. 📣 Март 2022 – Украина – После взлома эфира и бегущей строки телеканала "Украина 24" показали ложное сообщение о капитуляции Владимира Зеленского; отдельно распространялось поддельное видео. 📣 Февраль 2023 – Россия – На ряде радиостанций прозвучали ложные сигналы воздушной тревоги, что связали с атакой на инфраструктуру спутникового оператора. Позднее МЧС сообщило о взломе серверов радио- и телеканалов, через которые передавали ложные предупреждения. 📣 Июнь 2026 – Бразилия – После несанкционированного доступа через государственную платформу Defesa Civil Alerta разослали ложные предупреждения на телефоны в нескольких регионах. 📣 Ноябрь 2026 – Украина и Россия – В Украине после взлома приложения "Повітряна тривога" появились ложные уведомления об опасности. В России МЧС подтвердило атаку на свое приложение и рассылку ложных сообщений о ядерной угрозе, заявив, что сирены, СМС, теле- и радиоканалы не затронуты. Так что помните, что любое устройств, узел, сервис, виртуалка и вообще все, что имеет IP-адрес, может быть мишенью. Да-да, с автомобилями та же фигня. Из этого и стоит исходить при моделировании угроз. Да, такой узел может быть признан некритичным, но это уже потом. Отбрасывание его с самого начала может сыграть злую шутку потом 🤔 ЗЫ. И в любом случае стоит помнить о том, что система оповещения – это в первую очередь про доверие, а не про технологии. #архитектура #модельугроз