🥷 Хакеры становятся все более изобретательными, число успешных кибератак растет, как и объем убытков, которые бизнес может понести в результате кибератаки.

По данным нашего исследования, в прошлом году общее число инцидентов, которые привели к негативным последствиям для компаний или частных лиц, увеличилось на 20,8%.

При этом, по данным Canalys, в 2022 году общие расходы компаний на технологии кибербезопасности выросли на 15,8 %, достигнув 71,1 млрд долларов.

🛡Решением проблемы становится переход от классического подхода к кибербезопасности к результативному, который дает возможность бизнесу сделать невозможными недопустимые для него события.

В том числе этому переходу способствует и Указ президента России №250, который возлагает персональную ответственность за информационную безопасность на первых лиц компаний.

Советами о том, как в компании построить результативную кибербезопасность, и своим примером мы поделились в материале издания «Эксперт».

#PositiveTechnologies

«Создание продуктов обычно покрыто таинством. Рождение продукта – процесс творческих мук и страданий. Чем больше страдали продакты и разработчики, тем меньше потом страдать пользователям… Ну и может что-то не получиться, а признавать ошибки в нашем обществе не принято. Будут потом пальцем показывать, от шуточек долго не отмоешься. Да и все еще свежи прежние шрамы. Версии номер 4 и 9 мало кому удаются с первого раза… Начать их пропускать из суеверия что ли… Нет же в Китае 4х этажей…»

Обычно такие аргументы можно услышать от практически любых разработчиков, практически любых продуктов. Сам такой, грешен, каюсь…

С другой стороны, начав делать PT NGFW, я с самого начала поймал ощущение народности происходящего, если можно так выразиться. Проблема общая. Не хочется, чтобы клиенты страдали, пересаживаясь с BMW на Жигули. Не хочется, чтобы партнеры страдали, переделывая чистенькие свои автосервисы для BMW в гаражи для ремонта Жигулей. Мы тоже не хотим страдать, нам бы автопилот в мире кибербеза делать, а на чем он будет основываться? На Жигулях? Очень хочется, чтоб на Tesla, Porsche Taycan или той же BMW iX… А нет такого на нашем рынке.

Мы решили приоткрыть завесу создания такого продукта. Мы готовы рассказывать про архитектуру, и обосновывать почему такую выбрали. Говорить с какими проблемами столкнулись и какие ошибки совершили. Показывать на какие цифры и метрики мы смотрим, чтобы и себя контролировать и сделать datasheet. И как потом этот datasheet читать. И это все в процессе создания, а не после релиза.

Для чего, спросите вы? Хоть мы и имеем компетенции в создании надежных ИТ-продуктов, и обладаем экспертизой в сетевой безопасности, которой не обладает ни один вендор в РФ, мы все же понимаем, что NGFW – технически адски сложный продукт, который десяток лет существовал на рынке. Мы не можем сами все заранее знать и все учесть. И нам очень важно мнение клиентов, партнеров, технарей, тех кто собаку съел на внедрениях и эксплуатации и точно знает куда ходить не надо. Может дать совет и обратную связь по прототипам и наброскам экранов. Помочь получить тот продукт, за который всем нам потом не будет стыдно! Знать продукт уже к моменту его выхода на рынок, стать соавтором и соратником!

Для нас, как и для вас, это все в новинку и волнительно. Надеюсь, что в процессе мы все узнаем много нового и получим кайф!

Мы начнем в четверг, 27 апреля, в 14:00 по Москве. Буду только я, доска, маркеры, камера и Вы. Будет только техника, бизнес обсудим в другом формате. NGFW тот продукт, где техника первична. Будет техника, - будет и бизнес.

В ноябре прошлого года мы запустили первую в России программу багбаунти Positive Dream Hunting на реализацию недопустимого события — хищения денежных средств со счетов компании. До сих пор багхантерам не удалось этого сделать 🤷

Реализация недопустимого события — сложная и многоэтапная задача, над решением которой в реальности работают организованные группы хакеров с разнообразными навыками и опытом.

Чтобы максимально приблизиться к реальным условиям, мы хотим привлечь к участию в нашей программе команды этичных хакеров, объединяющие исследователей безопасности с разными компетенциями.

🤑 Для этого мы приняли решение повысить сумму вознаграждение втрое — до 30 млн рублей!

Такая проверка возможности реализации недопустимых для компании событий — единственный способ для ее руководства контролируемо убедиться в результативности выстроенной системы защиты, а размер вознаграждения — демонстрация уверенности CISO в качестве своей работы.

Подробнее об условиях нашей программы багбаунти — читайте на сайте 👀

#PositiveTechnologies

💻 В любой компании существуют приложения, эксплуатация уязвимостей в которых является недопустимым с точки зрения бизнеса событием.

Внедрение процессов безопасной разработки (DevSecOps) позволяет бизнесу защитить приложение от кибератак и оградить себя от репутационных рисков, а также сделать быстрый выпуск приложения на рынок максимально защищенным.

🎙 Подробнее о DevSecOps-практиках в подкасте «TAGES Live» рассказал Иван Соломатин, руководитель направления развития бизнеса защиты приложений Positive Technologies.

Посмотреть подкаст можно на YouTube, а послушать в «Яндекс.Музыке».

#PositiveЭксперты

🔥 И еще одна трендовая уязвимость в Microsoft Outlook.

💻 Уязвимость удаленного выполнения кода (RCE) Windows OLE с идентификатором CVE-2023-29325.

OLE — это механизм, позволяющий пользователям создавать и редактировать документы, содержащие элементы или объекты, созданные несколькими приложениями. Одним из векторов эксплуатации уязвимости является отправка письма по электронной почте. Жертва должна открыть зловредное письмо в уязвимой версии Outlook, либо использовать функцию предварительного просмотра. В результате злоумышленник получает возможность выполнить произвольный код на устройстве жертвы.

Рекомендации:

❗️Проверьте узлы на наличие уязвимостей CVE-2023-29325 с помощью MaxPatrol VM. Если установлены последние обновления базы знаний, уязвимые активы будут определены автоматически.

❕Используйте систему PT Sandbox для обнаружения ВПО, эксплуатирующего уязвимости CVE-2023-29325.

#PositiveTechnologies
#втрендеVM