Кое-что о паролях:) Перед вами график самых используемых пользователями символов в своих паролях (проверьте себя😂). Разумеется, хакеры владеют комбинаторикой, матанализом, теорией вероятностей и т.д. Они не идиоты. Одна из причин, почему мы решили менять сам подход к идентификации и авторизации пользователей, ровно в этом – когда ваш офисный системный администратор раз в месяц заставляет вас сбросить пароль на рабочей почте, вы добавляете к нему @ и живете еще месяц – это что угодно, но не Кибербезопасность.

Про пентесты 24/7/365

Cicada 8 выявляет внешние угрозы для компаний на ранних стадиях, потому что пентесты мы проводим непрерывно.

В нашей практике мы в 80% случаев "пробиваем" внешний периметр, и в 90% случаев получаем доступ к критическим ресурсам при проведении проверки внутреннего периметра. При этом мы стараемся отрабатывать найденные нами вектора с ИБ и ИТ функциями наших заказчиков благодаря специально разработанной платформе.

Основным преимуществом непрерывного подхода является уменьшение срока жизни уязвимости. Так, если уязвимость появляется сразу после обычного пентеста – она будет жить еще год или до первого инцидента.

За последние несколько лет защита внешнего периметра стала более актуальной из-за увеличения количества атак из интернета со стороны различных организованных и не очень группировок.

Мы считаем, что пентесты выполняют свою задачу только в том случае, если проводятся 24/7, 365 дней в году (и 366 в високосном). У нас так.

Не все хакеры такие изобретательные, как Эдриан Ламо, и не все такие обаятельные, как Q. Кто-то хочет украсть информацию – а некоторым достаточно просто посмотреть.

В зависимости от мотивов и целей хакеры бывают разных цветов, мир не чёрно-белый.

Предлагаем включить фантазию и отключить логику и сопоставить цвет хакера с описанием. Правильные ответы – в понедельник 🙂

Хакеры
1. Black Hat 2. White Hat 3. Grey Hat 4. Red Hat 5. Blue Hat 6. Green Hat

Цвет шляпы
A. Хакеры, у которых личный мотив – месть. Иногда это независимые хакеры, проводящие проверку по просьбе компаний.
B. Новички, которые только учатся взламывать системы.
C. Хакеры, которые охотятся на киберпреступников. Их цели благородны, но методы могут быть неэтичными.
D. Этичные хакеры, которые тестируют системы на проникновение по просьбе заказчика.
E. Киберпреступники, цель которых – деньги и важная информация.
F. Хакеры, которые проникают в системы без разрешения, но обычно не причиняют ущерба. Могут дать рекомендации за вознаграждение.

На TrueTechDay (следующий день после анонсов новых продуктов) была еще одна лекция Евгения Черешнева. Тема – «Почему у одних инновации делать получается, у других – нет (хотя пытаются почти все)». Многие просили выложить видео, как только будет. Это оно.

Выступление хорошо тем, что это не теория, а выстраданный опыт, написанный разноцветными чернилами, в т. ч. слезами разочарований и ошибок, не только побед.

P.S. За репосты всем огромное спасибо и +76 к сарказму:)

Про хакеров и шляпы, как и обещали

@Michaelzhm всё правильно написал: 1E, 2D, 3F, 4C, 5A, 6B. Миша, мы свяжемся, чтобы вручить книгу Евгения @bladerunnerblues «Форма жизни №4» 🙂

Чёрные и белые шляпы взялись из вестернов, где по ним легко отличить хороших парней от злодеев. Впервые шляпы появились ещё в 1903-м, в «Большом ограблении поезда». В основе сюжета – реальная история банды «Дырка в стене», Hole-in-the-wall Gang.

Традиции есть традиции: где есть дыры, будут и большие ограбления. В августе 2021-го хакер Mr. White Hat украл около $610 млн в криптовалюте, использовав уязвимость блокчейн-платформы Poly Network. Потом он заявил, что взломал сеть ради забавы, вернул активы и даже отказался от вознаграждения в $500 тыс.

Хакеры и шляпы:
1. Black Hat E. Киберпреступники
2. White Hat D. Этичные хакеры
3. Grey Hat F. Хакеры на грани добра и зла
4. Red Hat C. Хакеры, которые охотятся на киберпреступников
5. Blue Hat A. Хакеры с личными мотивами и независимые консультанты
6. Green Hat B. Новички

С Днём космонавтики!

Живите долго и процветайте 🖖

Ваш экипаж Future Crew

31 марта Италия временно заблокировала ChatGPT за сбор личных данных граждан. И пока Германия, Франция и Ирландия тоже подумывают так сделать, итальянский инженер Лоренцо Челла создал PizzaGPT – клон ChatGPT, доступный в Италии.

Как пишет Лоренцо: «Я итальянец, живущий за границей, поэтому у меня есть доступ к ChatGPT, но у моих родителей и друзей, живущих там, нет. Я считаю, что ИИ — это революционный инструмент, который должен быть доступен каждому».

Лоренцо можно задонатить € 9 на пиццу 🍕 Кстати, некоторые приняли pizzagpt.it за сервис заказа пиццы.

Полностью согласны, что интересные технологии должны быть доступны всем, в любой точке мира. К тому же, создатель PizzaGPT утверждает, что сервис не хранит историю запросов пользователей, так дешевле поддерживать его работу. Звучит неплохо, однако нет гарантии, что сервис действительно не хранит историю. Также нет гарантии, что её не хранит OpenAI. Но если вы готовы поделиться данными ради общения с умным чат-ботом, просто скажите PizzaGPT Buongiorno!

6 апреля в Старт Хабе на Красном Октябре в Москве был Data Day 2023 – форум о том, как превращать данные в деньги. Вместе с экспертами из ИТ и других индустрий поговорили о защите данных, о КПД в Data Science и о прогнозировании экстремальных событий.

Алексей Кузнецов, CTO Cicada 8, рассказал о типах кибератак, с которыми бизнес столкнулся в этом году, и о том, как на них реагировать.

Когда компания экономит на техподдержке и сотрудники обращаются к компьютерному мастеру по объявлению на двери подъезда – такой человек без лишних проблем может получить доступ к внутрикорпоративным ресурсам. Казалось бы, кто бы мог подумать о таком риске.

Вот 1,5 минуты о том, что нужно знать о защите от внешних угроз. Не только бизнесу.

Посмотреть выступление Алексея целиком можно на YouTube.

[55.5% vs 44.5% или О РЕЛИГИИ В КОМАНДЕ]

Вчера на планете Земля была Пасха (всех, кто празднует - сердечно с праздником!).
На фоне стука православных яиц мы решили провести анонимный опрос в команде, чтобы понять, кого у нас сколько. И вот, что получилось:

- 47.5% - научные атеисты
- 8% - джедаи (между прочим, официально признанная в мире религия, но мы причисляем джедаев к научным атеистам, верующим в большой взрыв и физику)
- 30% - христиане
- 2% - мусульмане
- 0.25% - буддисты (мы очень удивились)
- 0.25% - иудеи, живущие в 5783 году (они не удивились)
- 12% - те, кто ответил “моя вера - моя тайна” (мы решили называть эту группу “те, кто любит секс в темноте”)

В сухом остатке, 55.5% команды верят в объективную истину (наука, 47.5+8%), 44.5%,(все остальные) соответственно, - в смесь объективной и субъективной (то есть, статистически, размер команды подходит к моменту, когда у нас появится хотя бы 1 верующий в плоскую Землю, но пока наши HR держат оборону:)). Еще в этой новости есть слово “яйца”, что для компании, входящей в группу МТС, - няшно и кавайно:)

Если наша аналитика о доле конфессий в инженерно-продуктовых компаниях с яйцами - не повод для первой полосы КоммерсантЪ и фичи в Телекоммуналке, то что?:))

p.s. Даже не пытайтесь что-то говорить про оскорбление чувств верующих, ибо истинно верующие - люди с чувством юмора:)
*** авторские права на иллюстрацию принадлежат Pitsburgh Post-Gazette

Хочешь стать частью команды кибербезопасности и инноваций МТС RED – Future Crew? Напиши, познакомимся.

Кого мы очень-очень ждём прямо сейчас:

Системный аналитик
Для нас системный аналитик – не просто генератор требований, но и исследователь, способный быстро обучаться и погружаться в новые для себя области знаний. Нам не нужно, чтобы ты писал ТЗ по ГОСТ, для нас гораздо важнее твои технические знания, способность рассуждать логически и готовность пользоваться продуктом, над которым работает команда.

Инженер по автоматизированному тестированию
В нашей команде QA-инженер – это человек, способный сгенерировать сценарии и методику тестирования для любой, даже самой космической функциональности. Мы предпочитаем максимально автоматизировать тестирование, но готовы помочь тебе с переходом в автоматизацию, если ты пока еще в начале пути.

DevOps-инженер
DevOps-инженер – один из ключевых членов нашего экипажа, делающий жизнь всех участников команды комфортнее. Для нас максимально важны твой опыт построения продуктовой инфраструктуры разработки, адекватный подход к вопросам безопасности и способность решать нетиповые задачи.

Откликайся здесь или отправь этот пост своему талантливому другу.

Тебе с нами понравится 😎

Пришло время раскрыть один секрет. Уже можно.

Но для начала – загадка 😏

Что в снаряжении для путешествий помогает не замёрзнуть, но и не запариться? Что в кофейной капсуле помогает выжать максимум из вкуса и аромата зёрен?

Да, вы знаете. Мембрана. Именно этот принцип лежит в основе приватной связи.

Membrana обеспечивает избирательную проницаемость для информационного потока, чтобы вы могли сосредоточиться на том, что важно. Звонок от любимого человека? Соединяем ❤️ Неважный звонок? Направим на секретаря и сохраним для вас разговор. Спам или реклама? Даже не будем тратить ваше время, заблокируем сразу.

Что ещё под капотом?
• 3 виртуальных мобильных номера. Используйте для авторизации в любых сервисах, чтобы сохранить анонимность и не передавать посторонним настоящий номер.
• Приоритетное подключение в сети и скорость выше в 2 раза минимум. Вот так это работает.
• Группы контактов. В Membrana вы сами определяете, кто и когда может говорить с вами лично. Для каждой группы свои правила.

Будет ещё несколько важных фич, но хватит секретов на сегодня. Обо всех правилах игры расскажем чуть позже.

Предзаказы на Membrana собираем тут.

Подтвердите доступ к золоту

О самой безопасной аутентификации: с минимальным отрывом у нас победили консерваторы, которые верят в силу двух бумаг: паспорта и договора. А самый проверенный метод предложила Евгения: «Микрочип, встроенный в коронку на зубе».

Баланс между безопасностью и удобством найти и правда сложно. Ремень безопасности не так уж удобен, но в критичных авариях в 70% случаев именно он поможет выжить. И как внешний вид такого ремня многократно менялся с 1885 года, так и правила защиты данных постоянно совершенствуются. Часто благодаря неприятным инцидентам.

Про перехват SMS. Ещё несколько лет назад можно было купить новую симку для номера человека по его поддельным данным, чтобы получить доступ к подтверждению его банковских операций. Сейчас банки стараются отслеживать такие истории, главное – не отвечать на звонки из ненастоящего банка.

Можно ли подделать биометрию? Конечно. В «Гаттаке» герой Итана Хоука показал, что, если очень хочется, то можно всё. Именно так это и делается: похожее лицо или даже фотография лица, слепок отпечатков пальца. И нейросеть ошибётся. (У них вообще с пальцами проблемы). Так что близнецы могут друг за друга не только экзамены сдавать, но и разблокировать доступ.

Но надо отдать должное ИИ: сейчас он зачастую лучше охранника определяет, действительно ли это тот человек, чья фотография есть в базе данных. Для этого системы распознавания анализируют не только черты лица, но и liveness – живой перед камерой человек или нет и как он движется. И определяют степень риска при открытии доступа.

Мультифакторная аутентификация позволяет сразу несколькими способами подтвердить, что вы – это действительно вы, стоите в банке с телефоном в руке:
• Know – уникальное знание;
• Have – принадлежащий вам смартфон;
• Are – ваше свойство. Бесподобный цвет глаз.
Важно: имя вашего кота – это не очень секретное знание. (Предъявите кота в комментариях, пожалуйста).

Если нужно защитить что-то важное, ключ должен состоять из нескольких элементов. А пятый элемент – это любовь ❤️ К мультифакторной аутентификации.

Membrana можно не только любоваться – её можно создавать. Вместе с нами.

Если в прошлом посте с вакансиями вы не узнали себя – возможно, в этот раз всё сложится.

4 человека, для которых мы уже приготовили места в нашем экипаже (с очень красивым видом):

Старший системный аналитик с инженерным складом ума, который свяжет бизнес-потребности и разработку. С чем предстоит работать: проработка сценариев и реализации, сложные интерфейсы, диаграммы последовательностей и схемы.

Старший архитектор, который будет помогать разрабатывать сложные архитектуры сервисов с высокой нагрузкой. K8, Kafka, S3, gRPC, сокеты и вот это всё.

DevOps – инженер, помогающий нам в построении полной инфраструктуры разработки. Используем Gitlab CI, Kubernetes, Kafka, S3, сервисы на Java, Python, Rust.

Android разработчик. Перфекционист мобильной разработки, который поможет нам сделать приложение Membrana быстрым, удобным и надёжным. Поддерживаем только современные версии ОС, clean architecture, Compose, coroutines/flow.

Откликнуться можно по ссылкам. Ещё больше вакансий в команде Future Crew есть здесь.

О пентестерах расскажем чуть позже 🙂 Но резюме уже можно присылать.

Эх, грустно будет без Тиндера 🥺

Он делал всё, чтобы узнать нас как можно лучше, и хранит тонны секретной и не очень информации.
- С кем вы хотели бы познакомиться;
- Когда, где и с кем вы переписывались;
- Что именно вы обсуждали;
- Как менялись (или оставались неизменными) ваши предпочтения в жизни;
- Ваши фотографии из профиля и из связанных соцсетей;
- Ваши друзья в связанных соцсетях;
- Ваше образование и места работы;
- Что вы слушаете, что вы едите, места, где вы бываете;
- История лайков во всех связанных аккаунтах.

Но самое главное – зная это всё, помог ли он вам найти любовь или хотя бы немного нежности? ❤️

Сейчас узнаем в опросе.

P.S. Где теперь вечеринки для тех, кому немного за 30?

На неделе многие СМИ и Telegram-каналы облетела новость о том, что хакеры впервые в истории получили контроль над спутником и человечество в опасности.

Действительно ли это так? Не совсем.

Во-первых, не впервые. Ещё в 1998 году хакеры направили солнечные панели спутника ROSAT X-Ray прямо на Солнце, что привело к завершению миссии.

А во-вторых, это специалисты из французской компании Thales провели показательную атаку на специально созданном тестовом стенде Европейского космического агентства. Но если бы у них была задача получить контроль над действующими спутниками – они бы тоже с ней справились: это дало бы возможность изменять данные, отправляемые на Землю, в том числе незаметно модифицировать изображения.

Устаревшие, но действующие на орбите спутники ещё более уязвимы. Именно на это и обратил внимание вице-президент Thales по решениям в кибербезопасности Пьер-Ив Жоливе: «С ростом количества военных и гражданских приложений, которые сегодня зависят от спутниковых систем, космическая отрасль должна учитывать кибербезопасность на каждом этапе жизненного цикла спутника, от первоначального проектирования до разработки и обслуживания систем».

Помимо атак на сами спутники, хакеры охотятся и за данными космических компаний. Так, в марте вымогательская группировка LockBit заявила , что украла 3000 чертежей, созданных инженерами SpaceX. Прекрасно зная о подобных угрозах, в 2022 году SpaceX запустила программу выплаты вознаграждений белым хакерам за обнаруженные уязвимости в своих системах, а самых талантливых исследователей они приглашают к себе работать.

Если хакеры захотят захватить все спутники и сделают это, то они смогут организовать массовый сбой систем навигации. Интернет не пропадёт, но значительно замедлится. Худшие сценарии применения спутников не по назначению сейчас не рассматриваем.

Почему хакеры не взламывают спутники, если могут? Нет мотивации. А ещё – дорогостоящего оборудования и знания протоколов. А это значит, что нет повода преувеличивать риски: космические компании готовы к разным сценариям.

А вы обращаете внимание на домен сайта, где покупаете авиабилеты? Чем экзотичнее домен, тем выше вероятность, что такому ресурсу не стоит передавать данные банковской карты. Даже если билеты там дешевле.

В этом году фишинговые ресурсы реже регистрируются в доменной зоне .ru и чаще в малоизвестных .ml, .tk и подобных. Мошенникам так удобнее вести дела: дешевле оформить адрес, сложнее его заблокировать.

Почему так – рассказывает Алексей Кузнецов, технический руководитель направления анализа защищённости центра инноваций Future Crew.

Количество фишинговых ресурсов в российском сегменте сети исчисляется тысячами, в сегменте .com – десятками тысяч. Фишинг и скам продолжают набирать популярность, активно эксплуатируя новые актуальные в инфополе темы.

Продолжает расти спрос на доменные имена в экзотических доменных зонах: .ml, .tk, .cf, .ga и .gq, благодаря простоте регистрации доменов в этих зонах. Действительно, «Роскомнадзору» проще дотянуться до мошеннических ресурсов в доменах .ru, .rf и .su, что отчасти сдерживает рост объема фишинговых сайтов в рунете.

Дело в том, что есть домены верхнего уровня gtld, которые управляются централизованно, и домены cctld, которые зачастую управляются различными частными организациями. В доменных зонах cctld сложнее добраться до регистратора и вынудить его разыменовать фишинговый домен.

В материале «Коммерсанта» – подробнее об этой тенденции со статистикой и мнениями наших коллег из кибербеза.