Вадим Шелест, ведущий эксперт отдела анализа защищенности центра инноваций Future Crew, рассказал Forbes о том, как используют искусственный интеллект хакеры.

Сейчас речь идёт о создании фишинговых писем и примитивных вирусов, но через некоторое время это может быть массовое написание эксплойтов или ПО для многоступенчатых атак за несколько часов. Насколько потенциал ChatGPT повлияет на распространённость и сложность атак – можно будет судить в конце 2023 года.

А о том, как большие языковые модели (Large Language Model, LLM) использует в своей работе команда пентестеров CICADA8, Вадим рассказал нам:

«Мы начали активно использовать СhatGPT-4 с момента её появления в публичном бета-тестировании в своей практике проведения тестирований на проникновение в качестве удобного интерфейса для взаимодействия с другими инструментами. Использование технологии LangChain позволяет обеспечить интеграцию и значительно увеличить потенциал использования подобных LLM моделей в наступательной кибербезопаности.

Также мы интегрировали self-hosted LLM модели в ПО для автоматизации создания отчётов по результатам пентестов для подробного описания уязвимостей, рисков и рекомендаций для наших клиентов. Сейчас мы активно тестируем возможности YandexGPT и различных новых LLM моделей с открытым исходным кодом. Они могут стать удобным инструментом для выполнения рутинных задач в рамках проведения проектов по анализу защищенности, а наши эксперты могут посвятить это время решению более творческих задач, например, поиску новых векторов эксплуатации найденных уязвимостей».

#Пентесты #CICADA8 #кибербезопасность

В статье для Anti-Malware.ru Вадим Шелест, ведущий эксперт отдела анализа защищённости Future Crew, рассказал о нашей методологии Purple Teaming, которую с учётом мировой практики сформировала команда Cicada8.

Почему Purple Teaming предпочтительнее, чем Red Team?

По аналогии со многим знакомой концепцией эффекта Даннинга — Крюгера, если начинающий боксёр, который знаком с основными техниками ударов и блоков, выходит на ринг против опытного бойца, который провёл десятки тысяч часов на тренировках, совершенствуя свою технику на практике, и развил навыки до уровня рефлексов, то, скорее всего, нокаут новичку обеспечен уже в первом раунде. То же самое случится при проведении Red Teaming на подобном уровне зрелости: клиент просто заплатит за подтверждение того факта, что в его защите есть серьёзные недостатки. Отчёты по итогам Red Teaming в лучшем случае помогут разобрать один конкретный бой в пресловутом теоретическом ключе: «когда я бил, надо было ставить блок, а потом бить сильнее в ответ».

Именно поэтому в качестве следующего шага после регулярных пентестов мы рекомендуем Purple Teaming. Он позволит последовательно отработать на практике методы обнаружения, реагирования и противодействия техникам реальных злоумышленников на основе матрицы MITRE ATT&CK и модели угроз конкретной организации на каждом этапе цепочки киберугроз (cyber kill chain).

#Cicada8 #PurpleTeaming

Протестировали скорость Membrana в Москве (в метро и с VPN) и в Зеленограде

CTO Membrana Пётр Левшин:

Для нас важны не просто цифры на speed тестах – мы стремимся к тому, чтобы вы везде получали супербыструю связь. Поэтому мы тестируем в разных условиях и при разных сценариях. Проверяем стабильность видеосвязи, потому что все мы проводим много времени на видеоконференциях. Тестируем работу мессенджеров, почты, облачных сервисов.

Для нас не показателен результат где-нибудь в Москве-Сити, где десятки базовых станций и давно всё отлажено. Когда встречи и звонки в разных городах, в движении, в транспорте, в тоннеле – важно быть всегда на связи в любой точке.

#Membrana #FutureCrew

Заявку на DiMe можно оставить здесь, а сегодня CPO продукта Лев Соломадин расскажет о том, когда приложение советует надеть шапочку из фольги

Анонимный профиль в DiMe – это генератор ваших аватаров в сети. Не картинок, а личностей: мы подменяем техническое представление сервиса или сайта о вас, чтобы никто не узнал, кто вы на самом деле.

Например, вы хотите анонимно зарегистрироваться на сайте. Мы создадим всё необходимое: ФИО, год рождения, почту.

В результате у вас получается такая шапочка из фольги, которую можно надеть на себя в любой момент. И DiMe тоже может посоветовать: слушай, надень-ка шапочку, а то тут не очень.

Анонимный профиль – это возможность быть никем и ничем в сети. У любого сайта и у мошенников, которые могут получить доступ к базам данных сайта, будет ноль реальной информации о вас. Почта закроется после того, как вы зарегистрировались, а имя вообще не ваше.

О почте в DiMe мы ещё расскажем чуть подробнее позже. Она открывается и закрывается только тогда, когда вам это надо.

#DiMe #FutureCrew

Провели опрос в Приволжском, Северо-Западном, Уральском, Южном, Сибирском и Центральном округах и выяснили: более половины людей, с которыми мы пообщались, с начала этого года столкнулись с фишингом.

Мошенники охотятся за данными банковских карт, паспортными данными и паролями для авторизации в онлайн-сервисах. Их самая распространённая уловка при этом – предложение инвестировать в акции.

На Anti-Malware – подробности исследования МТС RED

Вы наверняка читали новость, что начале 2024 года в России планируется начать использовать биометрию для идентификации пассажиров дальнего следования. Забыть паспорт, но всё равно сесть на поезд – удобно, при этом важный вопрос – обеспечение безопасности данных.

А мы решили посмотреть, как именно и насколько успешно используется биометрия в разных странах. К примеру:
• В Великобритании биометрический вид на жительство содержит информацию об имени, дате рождения, а также фотографию лица и отпечаток пальца.
• В Австралии и Новой Зеландии все паспорта электронные, для идентификации используется технология распознавания лиц.
• В США биометрия активно используется в системах безопасности, а в Атланте запущен биометрический терминал в аэропорту.
• В Канаде службы безопасности также используют биометрию для идентификации граждан. Биометрическая информация необходима при подаче заявления на временную рабочую или учебную визу.
• В Мексике на выборах голосующие проходят идентификацию по отпечаткам пальцев и лицу с помощью электронных карт гражданина.
• В Индии идентификация по отпечаткам пальцев используется для доступа к продовольственным товарам и оборудованию на производстве.
• В Объединенных Арабских Эмиратах (ОАЭ) действует Emirates ID c биометрической информацией. Биометрия максимально широко применяется в разных индустриях: для обеспечения безопасности в аэропорту, пограничного контроля, доступа в офисы и учебные заведения, для подтверждения финансовых транзакций и для доступа к своим медицинским данным.

Если вас приятно впечатлил (или разочаровал) какой-либо связанный с биометрией опыт – расскажите в комментариях 🙂

Zoom начал использовать пользовательские данные (звук, видео и тексты) для обучения генеративного искусственного интеллекта

Инструменты Zoom IQ Meeting Summary и Zoom IQ Team Chat Compose – первые "бесплатные" ИИ-сервисы Zoom. Но правда в том, что если кто-то говорит, что продукт бесплатный, значит, реальный продукт – это вы. Мы копнули и оказалось, что так и есть:

https://telegra.ph/Zoom-ehpizod-II-potencialnaya-ataka-klonov-08-09-2

Человек играет только тогда, когда он в полном значении слова человек, и он бывает вполне человеком лишь тогда, когда играет
Фридрих Шиллер. Письма об эстетическом воспитании человека

Мы создаём продукт для молодой аудитории, одновременно развлекательный и созидательный, с общением и развитием. Детали о нём будут чуть позже 🙃

Команда только формируется, и мы приглашаем на борт технических экспертов и тех, кто умеет создавать правила игры в любых мирах.

Откликнуться на вакансии можно прямо здесь:

• Senior Game Designer
• Бизнес-аналитик
• Продуктовый дизайнер

Не нашли задач для себя, но тоже любите игры и квесты? Напишите нам на futurecrew@mts.ru. Возможно, будем любить их вместе.

#вакансии #FutureCrew

Как управлять биометрией

1 июня 2023 года вступил в силу закон, по которому государство будет хранить и обрабатывать все данные граждан в Единой биометрической системе (ЕБС). Теперь все организации, у которых есть ваши данные, обязаны передать их в ЕБС до 30 сентября 2023 года и заранее уведомить вас об этом. Это, например, банки и ваш работодатель, если биометрия используется для входа в офис.

Если вы не хотите, чтобы разные организации передали ваши биометрические данные в ЕБС, то их нужно отозвать.
• Для банков: написать заявление об отказе в офисе банка.
• Для работодателя: если в вашей компании используется биометрия для доступа, то вы можете обратиться к команде HR и договориться об альтернативном способе для себя. Скорее всего, он будет менее удобным.

Не всегда легко вспомнить, каким организациям вы предоставляли свою биометрию, и нет уверенности в том, что уведомления о согласии на передачу данных до вас доберутся. Поэтому и сейчас, и после 30 сентября 2023 г., когда передача данных в ЕБС должна завершиться, стоит проверить статус своей биометрии в личном кабинете на Госуслугах. Если биометрия не зарегистрирована, в этом разделе вы увидите волшебного кролика и шляпу 🐰 Если зарегистрирована – сможете управлять ею. Отозвать биометрию можно также по заявлению в ближайшем МФЦ.

Откуда моя биометрия у банков?
К примеру, банк сфотографировал вас при подключении услуги, и вы при этом дали согласие на сбор биометрии. Если вы не помните, как давали согласие, это не значит, что его нет.

А можно отозвать данные, а потом передумать?
Да. Новый закон как раз даёт возможность управлять доступом к своим данным.
Чтобы снова начать использовать биометрию для упрощённого доступа к услугам, данные нужно будет предоставить повторно, например, сфотографироваться и сделать запись голоса в банке.