«Ведомости» пишут, что россияне стали чаще подключать блокираторы спам-звонков.

А вы поддерживаете или не поддерживаете тренд? А может, опережаете тренды? 😁

Как мы защищаем данные и почему в Мембране нет «режима бога»

Мембрана по другую сторону баррикад от компаний, которые зарабатывают на монетизации личных данных и любопытства людей.

Как мы организовали работу с данными, чтобы их использование не по назначению было невозможным ни внутри команды, ни за её пределами – об этом расскажет Илья Руднев, ведущий разработчик Мембраны.

Мы с самого начала предъявляли высокие требования к защите персональных данных людей, информации о контактах и об активности в сети. Резать всё лишнее в интернете, защищать от утечек и трекинга, а самим накапливать обширную базу о человеке и использовать «режим бога» – это противоречило бы нашим принципам.
Поэтому на архитектурном уровне в Мембране мы предусмотрели, чтобы разные сегменты данных пользователей (контакты, номера телефона и т.д) хранились в отдельных защищённых базах. Мы сохраняем исключительно данные, необходимые для работы приложения, а такие персональные данные, как, например, ФИО, мы вообще не храним.

Даже в маловероятной ситуации утечки эти сегменты невозможно будет сопоставить, чтобы воссоздать исходную структуру данных. Все сервисы разделены на разные контуры по смысловой нагрузке.

Для хранения всех сертификатов, ключей и паролей, которые используют сервисы, используется специализированное хранилище секретов Vault.

Вся информация о пользователях и вся сопутствующая хранятся только в зашифрованном виде. Мы используем как симметричное, так и асимметричное шифрование в зависимости от сервисов и интеграций.

Немного о статистике: в приложении можно смотреть количество блокировок рекламы, трекеров, вредоносного трафика. Исходные данные зашифрованы и мы их не сохраняем, фиксируется только факт – после того как статистика обновлена, удаляются и все сопутствующие данные.

Мы не будем вам звонить. Мы не будем никому о вас рассказывать. И мы поможем вам оставаться анонимными. Всегда.

#Membrana #FutureCrew

7 сентября Алла Филоненко, руководитель команды консалтинга в CICADA8, расскажет на New Retail Forum о типовых рисках кибербезопасности для ритейла.

К ритейлу требования регуляторов в ИБ не такие жёсткие, как к некоторым другим отраслям, но одно дело – формально пройти аудит, а другое – действительно защитить бизнес. Для этого компаниям необходимо понимать, что именно они потеряют в случае инцидента кибербезопасности и почему этот инцидент может произойти именно с ними.

Злоумышленники видят в ритейле:
• Деньги. В этом случае сама компания – конечная цель атаки.
• Промежуточное звено в атаке на клиентов и партнёров, которые этой компании доверяют.
• Точку монетизации для использования скомпрометированных платёжных средств. Злоумышленники закупают легко продающиеся товары, например, мобильную технику, и затем перепродают, чтобы вывести деньги.

Для специфических рисков нужно проверять, например, есть ли возможность монетизировать манипуляции с программой лояльности или станет ли конкурент использовать уязвимости процесса онлайн-продаж.

Для хакеров нет разницы, вымогать деньги шифровальщиком у ритейла или у других индустрий, т.к. стек технологий в среднем похожий. Для них важно, является ли компания лёгкой добычей по сравнению с конкурентами схожего масштаба. Если забор выглядит дырявым, а дом – роскошным, то его интересно атаковать.

С помощью шифровальщика хакеры блокируют работу ИТ, рассчитывая на то, что она критична для непрерывности бизнеса жертвы. Даже если компания не заплатит выкуп, то у хакеров будут данные, которые можно выложить бесплатно, а если повезёт – продать.

Подробнее об ИБ-рисках и защите от них Алла расскажет на форуме.

#CICADA8

6 сентября в 11 по московскому времени Вадим Шелест, ведущий эксперт отдела анализа защищённости Future Crew, примет участие в дискуссии на AM Live о лучших практиках наступательной безопасности и расскажет о Purple Team. Завтра поделимся ссылкой на прямой эфир.

На встрече эксперты МТС RED, RTM Group, DeteAct, «Ростелеком-Солар», «Лаборатории Касперского» и ГК «Астра» дадут практические рекомендации для разных отраслей: финтеха, ритейла, промышленности, государственных компаний.

Чтобы уже сейчас задать экспертам вопросы, нужно зарегистрироваться.

Кстати, Вадим Шелест ведёт Telegram-канал о практической информационной безопасности и разбирает популярные уязвимости – PurpleBear 🐻

В 11:00 начнётся прямой эфир на AM Live «Лучшие практики наступательной безопасности (Offensive Security)»

Эксперты обсудят, какие методы применяются для проверки защищённости инфраструктуры компаний, рассмотрят преимущества и недостатки пентестов, Red Teaming, Purple Teaming и Bug Bounty.

А мы особенно ждём выступление Вадима Шелеста из команды CICADA8 😊

Зарегистрироваться, чтобы смотреть прямой эфир и задать вопросы спикерам можно здесь.

А завтра мы поделимся записью.

Подключиться к прямому эфиру

#CICADA8

CNews рассказали о новой услуге команды CICADA8 — это исследования для обнаружения следов хакерских атак на компании

Признаки взломов систем можно заметить не только в режиме реального времени — анализ истории событий в компании за тот срок, за который она сохранилась, помогает выявить и компрометацию в прошлом. В результате заказчики получают полную картину точек присутствия киберпреступников в своей инфраструктуре и могут их устранить. А команда CICADA8 помогает в этом.

Максим Суханов, ведущий эксперт направления анализа защищенности центра инноваций Future Crew:
«В ходе проектов по выявлению следов компрометации компаний встречаются и ранее неизвестные, и недорасследованные инциденты кибербезопасности. Порой от прошлых успешных атак остаются лишь следы, которые невозможно обнаружить традиционными средствами защиты. Поэтому мы фокусируем весь опыт в сферах цифровой криминалистики и реагирования на инциденты, чтобы выявить в инфраструктуре клиента то, что до сих пор оставалось незамеченным».

Для обнаружения действий злоумышленников необходим комплекс решений по информационной безопасности, а также выстроенные процессы мониторинга инцидентов, которыми располагает лишь небольшая доля российских организаций. При этом даже после блокирования атаки компания может не знать, какие системы были скомпрометированы и сохранились ли в них программные закладки или бэкдоры, которые позволят киберпреступникам повторить атаку.

Услуга по выявлению следов компрометации помогает снизить риски того, что злоумышленник достигнет своей цели — долговременного шпионажа, кражи интеллектуальной собственности и других конфиденциальных данных компании.

#CICADA8

В некоторых МФЦ очереди на отказ от биометрии, а на Хабре и Дзене много историй о том, как и почему люди решили отозвать свои данные. Об изменениях в законодательстве и управлении биометрией мы писали здесь. Компании, где для входа на территорию используется биометрия, сейчас в поиске альтернативных удобных и безопасных решений. И у нас такое есть.

Наш новый продукт — Urbanpredator, интеллектуальная система управления доступом на базе мультифакторной аутентификации.

Как это работает?

Смартфон превращается в пропуск в офис, пластиковая карта больше не понадобится. Urbanpredator оценивает целый ряд параметров, включая биометрию на устройстве, чтобы определить, является ли его владелец тем, за кого себя выдает. При этом биометрические данные человека хранятся только на его смартфоне и никуда не передаются.

Сотрудник может войти в офис даже не доставая телефон из кармана. Для желающих как дополнительный фактор защиты можно использовать динамический QR-код.

Если на территорию попробует зайти посторонний, служба безопасности сразу получит уведомление и увидит точное местоположение нарушителя. При ЧС сотрудники и служба охраны немедленно получают уведомления, а благодаря карте можно проверить, не нужна ли кому-нибудь помощь с эвакуацией.

В Urbanpredator несколько модулей:
• Тепловая карта с аналитикой
• 2D карта перемещений
• Видеонаблюдение со статусами посетителей
• Вход по QR-коду
• Режим «Свободные руки», чтобы не прикладывать пропуск
• Система гостевых пропусков

Александра Кузнецова, CPO Urbanpredator:
«Сейчас мы прорабатываем первые кейсы применения. Для нашего партнёра-девелопера мы создаём инновационную систему пропуска на территорию не только для сотрудников, но и для подрядчиков. На основе данных о перемещении посетителей Urbanpredator будет формировать отчёты, визуализирующие, как каждый подрядчик выполняет свои обязательства по работам».

Узнать больше об Urbanpredator и оставить заявку можно на сайте Future Crew.

#Urbanpredator

Делимся обещанной ссылкой на запись эфира на AM Live «Лучшие практики наступательной безопасности (Offensive Security)». Кстати, в начале беседы спикеры обсудили, действительно ли offensive — это «наступательная».

Вадим Шелест, ведущий эксперт команды CICADA8, написал о встрече в своём канале PurpleBear, и с нами тоже поделился впечатлениями:
«Несмотря на то, что тема наступательной кибербезопасности очень обширна и многогранна, а каждый из приглашенных участников может рассказывать об этом часами, мне кажется, этот эфир получился интересным и непринужденным, полным ярких сравнений и аналогий от признанных экспертов в области информационной безопасности. К тому же очень приятно, что результаты опроса по итогам трансляции продемонстрировали положительную динамику относительно понимания важности и ценности использования методов Offensive Security на практике».

А если у вас есть вопросы об Offensive Security, вы можете задать их в комментариях к этому посту — Вадим в свободное время прочитает и ответит.

Если часто говорить о мембране и трекинге, то в конце концов можно увидеть рекламу мембранных курток и треккинга по горам. А если подключить Мембрану – то нельзя.

Кстати, интернетом можно поделиться с другими устройствами. При раздаче трафик везде будет свободным от рекламы, трекеров и вредоносной активности.

Мы часто говорим о безопасности, и иногда в подкастах.

Вчера Алексей Кузнецов, CTO CICADA8, заглянул на подкаст Яндекса «Безопасно говоря», чтобы обсудить, в чём сходятся и где расходятся бумажная и практическая безопасность. Вместе с ним во встрече приняли участие Егор Кузнецов, коммерческий директор Б-152, и Рами Мулейс и Антон Черноусов из Yandex Cloud.

Из подкаста можно узнать, зачем проводить аудит, пентесты и запускать программу bug bounty, даже если по задокументированным процессам всё благополучно.

Подкаст на Яндекс.Музыке

#CICADA8

Этичная аналитика: как мы работаем с данными на сайте Future Crew

Мы заботимся о приватности наших пользователей и не хотим, чтобы данные о действиях людей на нашем сайте анализировали корпорации, чтобы предложить им рекламу. Поэтому мы отказались от использования Яндекс.Метрики и Google Analytics. При этом нам важно понимать, какой контент о продуктах интересен, а какой не очень, оптимально ли расположены кнопки, какие элементы на странице привлекают внимание. Создать действительно полезный и удобный сайт, не зная, как люди с ним взаимодействуют, невозможно.

Так мы приняли решение выбрать этичный инструмент для аналитики, который собирал бы минимум данных о действиях на нашем сайте — без информации о том, кто именно эти действия совершает. Для этого мы рассмотрели open source решения с фокусом на приватности, которые мы могли бы хостить сами, не отправляя логи другим компаниям: Umami, GoatCounter, Matomo, Plausible.

В итоге выбрали Umami, так как, с одной стороны, это не просто pixel counter — оно позволяет собирать больше событий, чем просто факт загрузки страницы, а с другой стороны это очень лёгкое решение с точки зрения внедрения и поддержки, при этом не использующее cookie, соответствующее GDPR и так далее. Оно не отслеживает ничего, что могло бы идентифицировать конкретного человека. Мы только в агрегированном формате видим, на какие страницы сайта пользователи заходят, на какие элементы нажимают, сколько человек успешно заполняют формы заявки на продукты и отправляют нам письма. На этом всё. Потому что мы уважаем и защищаем приватность.

Чтобы прозрачно показать, как это работает, сейчас мы создаём специальный раздел на сайте, посвящённый аналитике и приватности, где расскажем, какие именно данные мы видим и как они помогают нам сделать наши ресурсы удобнее.

Заходите на futurecrew.ru — мы вас не знаем, но понимаем 💜

Завтра в 10:00 МСK Алексей Гришин, CPO CICADA8, проведёт открытый клиентский вебинар об эффективных методиках обучения персонала информационной безопасности. Встреча прежде всего для владельцев бизнеса и специалистов по ИБ, но принять участие могут все, кто интересуется защитой данных. Для этого просто зарегистрируйтесь.

О чём поговорим:
• Как меняются методики обучения ИБ: от проектов производителей оборудования до киберполигонов.
• Кому можно доверить обучение служб информационной безопасности и почему.
• Как проверить, готовы ли службы ИБ к реальным кибератакам.
• Как МТС повышает эффективность служб ИБ.

В конце встречи будет сессия вопросов и ответов, и всем, кто зарегистрируется, мы пришлём видеозапись вебинара и презентацию.

До встречи!

#CICADA8