Продолжаем готовить внешний периметр для устойчивости перед DDoS.

4. Синхронизируйте ACL вашего пограничного NGFW и центра очистки от DDoS

Даже если вы уже

- разнесли NGFW на пограничный и внутренний,
- разделили сегменты по принципу "клиент или сервер"
- научили DMZ-сервера ходить в интернет через прокси

то осталась еще немалая часть работы, которая требует поддержания политик на центре очистки в соответствии с правилами вашем пограничном NGFW. У вас появляются новые ресурсы, упраздняются старые, открываются и закрываются протоколы и порты взаимодействия. И так будет постоянно, поэтому необходимо выстроить процесс управления сетевыми доступами, в который на этапе исполнения включается также команда, выполняющая настройки на центре очистки, если хотя бы один из участников сетевого взаимодействия имеет белый IP-адрес. В зависимости от вашей реализации это может быть создание тикета, заявки, либо хотя бы просто письма.

Тогда ACL вашего NGFW и центра очистки будут синхронизированы, весь явно мусорный трафик срежется, и останется только отражать более интеллектуальными алгоритмами DDoS на те протоколы, которые разрешены в ACL.

Готовы?

👍 - готовы
😎 - не только готовы, но и вовсю делаем так
😐 - не готовы
🤔 - многовато действий, как для каких-то там DDoS-атак

#DDoS #NGFW #ACL

В дополнение к озвученным ранее пунктам, может возникнуть вопрос: а если я использую защиту от DDoS не интернет-провайдера, а облачную, перенося точку терминации трафика к ним на WAF или антибот?

О таких особенностях я писал ранее.
Но если кратко: с помощью подобных инструментов защиты из облака вы не застрахованы от DDoS-атак на ваш стык с интернетом.

Если участок WAF - сайт идет через интернет, вам необходимо обеспечить сам сайт и интернет-канал к нему защитой от DDoS у вашего провайдера. Иначе DDoS-атакой можно будет заблокировать взаимодействие между WAF и собственно сайтом, несмотря на то, что перед WAF у облачного провайдера может быть реализован весь набор защиты. Если интернет-провайдеров у вас два, то либо у каждого берете еще и защиту от DDoS, либо в случае атаки переключаете весь трафик на того, у которого купили AntiDDoS.

Учтите это.

#DDoS

В дополнение к предыдущей заметке можно попробовать ответить на возникшие вопросы:


Q: Актуальна ли опасность DDoS для сайта, если завернуть трафик WAF - защищаемый сайт в IPSEC VPN?

A: Да, ведь IPSEC VPN у вас все равно будет строиться между VPN-шлюзами (провайдера облачной защиты и вашим), подключенными к интернету. Если залить DDoS'ом белый IP вашего шлюза - связь WAF - сайт поломается. Более того, поломается все, что завязано на ваш VPN-шлюз, если у вас есть еще туннели.


Q: Актуальна ли опасность DDoS для сайта, если завернуть трафик WAF - защищаемый сайт в GRE туннель?

A: Если GRE туннель выполняется через Интернет, между белыми адресами - да, риск DDoS аналогичен IPSEC VPN. А риск перехвата и модификации аналогичен передаче через Интернет.


Q: Актуальна ли опасность DDoS для сайта, если завернуть трафик WAF - защищаемый сайт в MPLS L3VPN либо MPLS L2VPN?

A: Поскольку при построении MPLS L2/L3VPN не используются белые IP-адреса и трафик не идет через интернет, опасность DDoS для участка WAF - защищаемый сайт в этом случае отсутствует. Риск есть только в случае DDoS на оборудование вашего провайдера L2/L3VPN, но он сам должен позаботиться о том, чтобы защититься.


То есть, вариант с MPLS VPN надежнее, но может оказаться дороже и сложнее в реализации. Решать вам.

#DDoS #WAF #IPSEC #L3VPN #L2VPN #MPLS

Лайфхак от коллеги: если заказываешь пентест АСУ ТП - располагай мамкиных хакеров недалеко от самого опасного участка производства. Повышается мотивация работать аккуратно.

#pentest

То есть, теперь бритиш подростки будут осваивать искусство грима под взрослых ради доступа к вожделенному пореву. Мы когда-то по очереди в магазин заходили для биометрической идентификации нас как взрослых продавцами алкогольного отдела, а они будут так же по очереди фотографироваться. Вот вам и пример цифровизации бизнес-процесса идентификации.

Посмотрим, чье кунг-фу круче: богатейших компаний мира, или тети Клавы из единственного магазина в микрорайоне.

В кои-то веки у меня появилась вакансия, которую не закрыли быстро. Не могу не поделиться.

Архитектор сервисов сетевой безопасности.

Достаточно знать в этой области чуть больше меня - и есть все шансы пройти.

Но спрос будет, как со знающего.

Испугался? Значит, нам не по пути.

Не испугался? Ссылка ниже, дальше природа подскажет, что делать.

Вакансия:
https://hh.ru/vacancy/128826808

Вышла недавно на Anti-Malware обзорная статья "Стратегия информационной безопасности" по результатам эфира AM Live.

Я обратил внимание на всего один опрос. Как мы видим, на вопрос "что больше всего мешает создать/обновить стратегию ИБ" наиболее популярный ответ - кадровый дефицит.

Спорить не буду, есть такая проблема. Но в части результатов опроса предположу, что, кроме актуальности, это просто самый легкий вариант ответа.

Руководители, особенно начинающие, разве никто из вас хотя бы раз в жизни не использовал этот аргумент, когда и без него можно было обойтись?

Вот так и здесь: рука сама потянется нажать.

Было?

👍 - было, и чо?
😐 - было, теперь стыдно
😎 - было, и еще не раз будет
🤓 - не было ни разу зря, это все выдумки злого топ-менеджмента
🔥 - не было ни разу, но спасибо за идею

Поучаствовал недавно в подкасте RTM Group по приглашению Евгения Царева. Формат для меня новый, но оказалось интересно. Получилось 35 минут относительно нескучного видео, можете занять себя по пути на работу / с работы.

Rutube

VK Video

Youtube

ЗЫ. Была мысль перемешать ссылки местами, а одну даже сделать левой и посчитать статистику переходов, чтобы было интереснее, но поленился.

Так будет, если не реализовать пересылку сообщений через localhost, но при этом запретить принимать себе от себя.

Как видим из непроверенного источника, на траблшутинг может уйти месяц.

А у вас бывало так?

Как CISO может показать гендиру результат, который дает Security Awareness, и как CEO может проверить его.

Предположим, защитил CISO бюджет на Security Awareness, и обещал повысить уровень осознанности пользователей, чтобы они меньше переходили по непонятным ссылкам. Но как это показать?

Современные платформы повышения осведомлённости имеют у себя на борту функционал, позволяющий составить фишинговое письмо, отправить его, посмотреть на фишинговом сайте, кто перешел по ссылке и ввел логин-пароль. Дальше назначить обучение и экзамены.

Воспользоваться платформой Security Awareness можно стандартными методами:
- внедрить у себя on-prem
- покупать единоразовые мероприятия как сервис
- приобрести сервис на определенное время

Плюсы и минусы перечислять не буду, они такие же, как и любой баттл облака с on-prem. Есть вообще вариант работы без специализированных платформ, но затраты времени и ограничение функционала могут вас не порадовать. Поэтому их не рассматриваем.

Интереснее другое: как измерить результат?

Составляем фишинговое письмо, в котором побуждаем пользователя перейти по ссылке и ввести логин-пароль. С теми, кто перешел по ссылке, ведется работа.

Это могут быть:
- индивидуальные либо групповые занятия
- назначение курсов по ИБ
- экзамены по пройденным курсам
- другие мероприятия по повышению осведомлённости (ролики, вебинары, плакаты и т.п.)

Предположим, за год вы провели некоторое количество фишинговых рассылок всем пользователям со всеми сопутствующими мероприятиями.

Что будет показателем хорошей работы в динамике:
- снижается процент тех, кто перешел по ссылке и ввел логин-пароль
- повышается процент тех, кто сообщил о фишинговой рассылке в соответствующие службы, особенно в первый час
- повышается процент тех, кто сдает экзамены с первого раза
- снижается процент инцидентов ИБ, связанных с человеческим фактором пользователей/администраторов

Если же вышеописанные показатели топчутся на месте либо движутся в противоположном направлении - стоит разобраться, почему CISO не удается повысить осведомленность пользователей в ИБ.

#securityawareness #SA

Умели же раньше сопроводительные письма при откликах на вакансии писать...

#HR

Вижу, как админы разных телеграм-каналов пишут открытые письма деду морозу.

Но пока ни к одному письму не прикрепили согласие на обработку персональных данных.

А потом удивляются, что сбывается не все или не так.

Поздравляю с новым годом. Вы ведь были хорошими мальчиками и девочками, не так ли?

Невосприимчивость к фишингу

Думаю, каждый, как минимум, второй, ИБшник считает себя намного менее восприимчивым к фишингу, чем другие пользователи. Как правило, это правда. Но и на старуху бывает проруха.

Среди наших сервисов есть Security Awareness, который мы предоставляем как для клиентов, так и для своих сотрудников. Нечего ИБшникам расслабляться. Отправляем рассылки, смотрим, кто перешел, ввел логопасс, назначаем зазевавшимся курсы киберграмотности и укоризненно качаем головой.

Выполняет внутренние рассылки одна из моих команд по заказу внутренней ИБ (они обеспечивают всю организационную составляющую), и я прошу не предупреждать меня в таких случаях, чтобы примерить шкуру пользователя. Только информация о проведенной рассылке постфактум. Естественно, я считал, что фишинг распознаю еще до открытия письма...

И тут, конец 2023 года, тимлид сообщает о результатах проведенной фишинговой рассылки в честь 30-летия МТС. Я смутно припоминаю, что видел такое письмо, нахожу его. Все классические признаки фишинга налицо, письмо в корпоративном стиле, но адрес левый, и сияет шляпка-предупреждение о том, что письмо прилетело снаружи. Я не перешел по ссылке исключительно потому, что в письме предлагалось получить сколько-то баллов в подарок, на которые потом можно что-то купить.

Получается, я не повелся просто потому, что условия получения потенциальной выгоды для меня оказались неинтересными, а не потому что такой профессионал.

Факап-фестиваль объявляется открытым.

#SA #awareness #phishing

Прочитал сегодня сказку о том, как Александр Леонов решил перепрофилировать Кая и Герду на управление уязвимостями.

Больше всего понравился эпизод из скрина, где Кай переобувается, потому что теперь он не с той стороны процесса.

Хочется спросить подписчиков:
Было?

👍 - было!
😎 - не было, но я точно так же переобуюсь в этой ситуации
🔥 - не было, я за все хорошее против всего плохого, независимо от того, с какой стороны процесса
🤓 - чего доколупались до пацана, сами как себя поведете, когда при переходе в новый отдел поставят в KPI сложить слово "счастье" из четырех совсем других букв?
🤔 - кто слил Александру мою историю карьерного роста?

Расчехлили на днях настольную игру по кибербезопасности от Security Vision.

Вкратце правила: каждый игрок набирает по 4 красных (атакующих) и 4 синих (защищающихся) карточки.
Первый игрок атакует второго, выкладывая одну из красных карточек с описанием атаки. Второй смотрит, есть ли у него в наличии средства защиты (синие карточки), перечисленные в красной карточке. Если есть - бросает кубик. Защита засчитывается при совпадении двух условий: есть карточка и выпало нужное число на кубике. Если все ОК, отбился, то остальные игроки могут накинуться на второго, реализуя связанные атаки, если есть соответствующие карточки. Второй отбивается аналогично. Дальше по очереди. Выложенные карточки по результатам хода складываются в отстойник. Успешно атаковал - берешь +1 красную карточку. Отбился - синюю. Неуспешно - ничего не берешь. Игра категории 6+, обучающая. У кого заканчиваются красные либо синие карточки - выбывает.

Больше всего запомнилась карточка на фото.
Хотелось бы предупредить, что WAF и NGFW от взрослой DDoS-атаки не спасут, только от категории 6+.
Мониторинг ИТ-инфраструктуры разве что сможет быстро определить root cause.
Резервная инфраструктура без элегантного архитектурного решения тоже не факт, что поможет.

Так что, играть играйте, а детям объясняйте. Особенно если дети уже по собеседованиям ходят.

#DDoS #WAF #NGFW

Интересно получается: под соусом защиты от мошенничества банки пытаются создать неудобства при крупных покупках на маркетплейсах. Но не припоминаю известных случаев мошенничества, в которых жертву заставляли бы купить что-то на известной онлайн-площадке.

Насколько я помню, у банков ключевой претензией было наличие скидок на маркетплейсах при оплате с карточек аффилированных банков. Типа нарушают принцип единства цены в зависимости от способа оплаты.

Как бы я повел себя, если бы мне банк не дал купить на маркетплейсе понравившийся товар по хорошей цене, даже якобы заботясь о моей безопасности?
Правильно: в следующий раз покупал бы либо с карточки другого банка, либо вообще с карточки банка, кормящегося с той же руки, что и площадка. Уж последние точно не станут себе в ногу стрелять.

Мне одному кажется, что банки "просчитались, но где"?

Дорогие подписчики, поздравляю вас с Рождеством Христовым 🎄

Интересно, кто-нибудь откроет ей секрет, что разговор:

- Давай ко мне, у меня вакансия есть как раз.
- Спасибо, мне и на текущем месте хорошо.

не равно оффер?

Побольше уважения к работе HR'ов и руководителей, офферы не так просто рождаются.

#HR