В США завершилась многолетняя история с довольно странным и поучительным прецедентом: власти Dallas County в штате Айова согласились выплатить 600 тысяч долларов двум специалистам по безопасности, которых в 2019 году арестовали во время легального пентеста с физическим проникновением в здание суда (скорее это Red Team'инг, но спорить о терминах не готов).

А история началась с того, что пентестеры из Coalfire Labs получили письменное разрешение от судебной администрации штата на физическое тестирование уязвимостей (в том числе "взлом замков" и другие физические приемчики) в нескольких государственных зданиях, включая окружной суд. Цель – проверить, насколько здание реально защищено от несанкционированного доступа.

Во время ночного теста у одного из входов сработала сигнализация. Специалисты вошли, показали свои документы прибывшей полиции, которая подтвердила у судебных чиновников, что работа проводилась легально, но позже шериф округа настоял на их аресте по обвинению в краже и незаконном проникновении. После 20 часов в одиночной камере, оплаты залога в 100 тысяч доларов и снятия части обвинений, инцидент не закончился: пентестеры подали иск против графства и шерифа за ложный арест, злоупотребление полномочиями, клевету, нанесение морального вреда и злонамеренное преследование. Три года спустя стороны достигли урегулирования – выплаты $600000, за 5 дней до того, как должен был начаться суд.

Этот инцидент напоминает о том, насколько важно не только иметь формальное разрешение на пентест/кибериспытания, но и четко прописывать правила взаимодействия с правоохранительными органами (полиция, Росгвардия, ФСБ и т.п.) и учитывать особенности их службы. С юридической точки зрения, даже при наличии формального письма, отсутствие согласованности с местными службами может привести к неожиданным арестам и уголовным обвинениям, а это уже удар по репутации специалистов, долгие суды и возможные риски для страхования профессиональной ответственности.

Именно поэтому в России продолжается эпопея с внесением правок в законодательство по легализации деятельности "белых хакеров". Чтобы вот таких вот историй у нас не было.

#ответственность #оценказащищенности

В списке Эштейна себя не обнаружил. Значит не зря...

#юмор

Жил-был CISO. Хороший CISO. Опытный. Видевший жизнь, инциденты и бюджеты. Верил он в безопасность. В процессы.
В методологии. И, как полагалось по времени и должности, – в отечественные средства защиты. Но не везло ему хронически. То вендор вроде свой, родной, а продукт падает на нагрузочном тестировании. То коробка сертифицирована, но чтобы она заработала, нужно три месяца шаманства. То поддержка отвечает бодро, но всегда "передадим разработке". То интегратор уверяет, что "у всех так", а у CISO потом краснеют отчеты. То все вроде работает, но ощущение – как с китайским замком: ключ есть, а спокойствия нет. В общем, не складывалось.

И вот стукнуло CISO сорок. Сидит он у себя на даче. В камине потрескивают поленья. За окном темно. В бокале – коньяк, не первый и не последний. Телефон отложен – редкая роскошь. И думает он вслух:
– Ну что ж такое… Я же не прошу невозможного. Мне не надо "лучшее в мире". Мне надо нормальное. Свое. Чтобы работало. Чтобы не стыдно было подписаться. Чтобы не ждать подвоха за каждым апдейтом.

И будто бы услышала его Судьба и думает:
– А чего это я, и правда? Хоть и с подвыпертами, и заморочками своими, но кто ж сейчас без оных. Хороший, в принципе, мужик. Многих я ему уже подбрасывала, а он все нос воротит. Но может образумился уже. Да и день рождения у него сегодня; вдруг выгорит на этот раз. Решено, помогу!..

Через пару недель на работе ему аккуратно подсунули:
– Слушай, а давай глянем вот это. Свои ребята. Без понтов и закидонов. Можно пилот сделать.

CISO скептически хмыкнул. Он таких "давай глянем" видел вагон и маленькую тележку. Но пилот поставили. И странное дело –
не упал. Заработал. Логи пошли. Интеграции не сломались. Поддержка отвечала по делу. Без героизма, но и без вранья. Документация – нормальная. Без маркетинга. Сертификаты и положительные заключения – есть. Дорожная карта – внятная.

Прошла неделя. Потом вторая. И CISO поймал себя на мысли, что… ему не тревожно. И тут он напрягся. Слишком гладко. Слишком спокойно. Слишком мало боли. Так не бывает. Начал он копать глубже. Искать подвох. Читать отзывы. Спрашивать коллег и знакомых.
– Да нормально вроде…
– Работает…
– У нас стоит, живем…

И чем больше подтверждений он находил, тем сильнее ему становилось не по себе. Потому что если это действительно работает – значит, придется брать ответственность. Придется подписывать. Включать в архитектуру. Отвечать за выбор. А вдруг потом всплывет? А вдруг через год? А вдруг он просто не докопался?

И сказал CISO:
– Нет. Рано. Давайте подождем. Сыроват еще. Надо посмотреть, как у других.

Пилот аккуратно свернули. Продукт остался в презентации. Выбор – "отложен".

А через пару месяцев CISO снова сидел на даче. Камин. Коньяк. Та же тишина. И думал:
– Ну где же нормальные отечественные решения? Почему все такое сырое?..

А Судьба ничего не ответила; только вздохнула и отвернулась...

#творчество

Виталик познакомился с Катей случайно. Ну ладно, не совсем случайно, – он положил прод. В пятницу вечером он решил "чуть-чуть подправить" правила корреляции в SOAR. Ничего серьезного. Просто оптимизация. Просто чтобы красивее. Через десять минут SOAR начал блокировать несуществующую атаку. Первым лег сервис авторизации, потом пара внутренних API. А следом и весь прод, аккуратно и без паники, выключился сам. Через полчаса SOC превратился в филиал ада.

В два часа ночи телефон Виталика взорвался сообщениями.
– Ты что наделал, гений?! SOAR залочил сервисные учетки и изолирует сегменты один за другим.
– Виталик, мля, срочно исправляй!

Похожий на человека, который выпил больше, чем собирался, и не то, что хотел, Виталик приехал в офис. В серверной, на фоне гудящих стоек, стояла девушка в худи, с большой кружкой явно холодного и уже неароматного кофе и крайне недовольным лицом.

– Ты прод положил, – сказала она без вступлений.
– Я… э-э… оптимизировал, – попытался оправдаться Виталик и показал изменения в правилах.

Катя молча забрала у него ноутбук, села за консоль и начала печатать. Быстро. Зло. Без комментариев.

– Что стоишь? – не оборачиваясь, сказала она. – Кофе принеси. И чтобы не мешал; просто смотри.

Виталик послушно притащил кружку с дымящимся, но не ароматным кофе из аппарата в коридоре, и стоял в сторонке, чувствуя себя учеником, который случайно поджег кабинет химии.

Минут через пятнадцать SOAR перестал "лечить" инфраструктуру. Автоблокировки снялись, сервисные учетки вернулись, сегменты снова стали доступны. Еще через несколько минут в событиях выстроилась цепочка: стало видно, что именно сработало, где автоматике дали лишнюю свободу и на каком шаге все пошло-поехало.

– Все, – сказала Катя, облегченно выдохнув, – починила.

Она повернулась и посмотрела на Виталика так, как обычно смотрят на людей, которые больше так делать не будут.

– Где ты этому научилась? – осторожно спросил он.
– Я из SOC, – пожала плечами Катя. – Ночная смена. Дочь админа старой школы.

Звучало так, будто этим можно было объяснить вообще все.

Утром, уже при свете дня, они сидели на кухне и пили нормальный кофе.

– А ты кто вообще? – спросила Катя.
– Я… архитектор безопасности. Консультант. Про стратегии, модели угроз, дорожные карты…
– Понятно, – кивнула она. – А где ты проверял изменения до вчерашнего вечера?
– В презентации, – честно ответил Виталик.

Катя усмехнулась.

– Сегодня вечером, – сказала она, – ровно в семь ты идешь со мной ужинать. В качестве извинений за ночной косяк и сломанный прод.

Позже, уже за ужином, Виталик решился:
– Слушай… а архитектуру ты тоже проектировать можешь?
– Ну да, – спокойно ответила Катя. – Просто я сразу думаю, как она будет жить: что с ней делать ночью, что ломается первым и как потом из этого выбираться.
– Тогда, может… – начал Виталик.
– Давай так, – перебила она. – Ты объясняешь, как должно быть, а я делаю так, чтобы это пережило реальность.

В ту ночь они больше про работу не говорили...

А Виталик еще много лет благодарил тот самый "безобидный" пятничный апдейт. И только вздыхал, когда у него аккуратно забирали клавиатуру и говорили:
– Давай ты лучше расскажешь, как должно быть, а я буду делать, чтобы это работало.

И SOC снова засыпал.

#творчество