КиберПсихологика

Zeronights

Охота на «Волка» и легитимный софт в руках хакеров (кейсы Clubfoot Wolf и NetMedved)

Если хакер пользуется тем же софтом, что и ваш системный администратор - кто из них опаснее?
BI.ZONE бьет тревогу: группировка Clubfoot Wolf массово компрометирует российские компании, доставляя на машины сотрудников легитимный NetSupport Manager через банальный фишинг. Одновременно идет схожая атака от группы NetMedved.
Никаких сложных эксплойтов глубокого заложения. Хакеры просто присылают письмо, пользователь кликает, и на хост ставится обычная, легальная программа удаленного администрирования, которой пользуется любой ИТ-отдел для помощи пользователям.

Почему это идеальный взлом:
С точки зрения вашей антивирусной защиты - все чисто. NetSupport - это доверенное ПО с цифровой подписью. Оно не совершает деструктивных действий само по себе. Оно просто дает удаленный контроль.

Главный факап ИБ-управления здесь:
Разделение зон ответственности между ИТ-департаментом и ИБ. Сисадмины любят удобство. Им нужно быстро подключаться к пользователям. Безопасники часто даже не знают полный список легитимного софта для удаленного доступа, который разрешен в компании.

Что делать руководителю ИБ прямо сейчас:
1. Составить жесткий, выжженный каленым железом белый список (whitelist) программ удаленного администрирования. Если используется AnyDesk - все остальное (TeamViewer, NetSupport, RustDesk, VNC) должно блокироваться на уровне политик AppLocker/WDAC без компромиссов.
2. Контролировать сетевую активность. Почему легитимная утилита сисадмина внезапно стучится на неизвестный IP в Нидерландах посреди ночи?

Перестаньте искать "супер-уязвимости". Нас взламывают нашими же инструментами удобства.

Эффект Bikini: почему концепция "ответственного разглашения" (Responsible Disclosure) мертва.

Анонимный исследователь под ником Bikini выложил в паблик пачку PoC-эксплойтов для десятка критических 0-day уязвимостей в популярном опенсорсе. Без предупреждения разработчиков, без классического "мы дали вендору 90 дней на исправление". Просто взял и поджег фитиль.

Для ИБ-служб по всему миру это означает только одно: веселую рабочую ночь и экстренное тушение пожаров в режиме "у нас нет патчей, защищаемся подорожником".

Раньше CISO жили в предсказуемом мире. Был понятный этикет. Сейчас подросла новая генерация исследователей, которым плевать на правила ИБ-корпораций. Им нужны быстрые охваты, хайп и цифровой статус. И они будут вываливать боевые PoC сразу в сеть.

⚔️ Как выжить в эпоху мгновенных 0-day:

• Хватит молиться на патч-менеджмент. Если ваша стратегия безопасности строится исключительно на накатывании обновлений от вендоров, вы уже проиграли. К моменту выхода патча злоумышленники будут в вашей сети уже две недели.
• Фокус на детект аномалий. Не важно, через какую именно дыру они проникли. Важно заметить, что на сервере бэкапов внезапно стартовал странный процесс, или непривилегированный пользователь пошел собирать данные по RPC-интерфейсам.
• Сегментируйте сеть жестко. Чем сложнее атакующему продвигаться внутри инфраструктуры, тем больше у вас шансов обнаружить его до того, как начнет страдать бизнес.

Ну что, коллеги, готовы к тому, что правила этичного кибербеза больше не работают?

Когда уходят ключевые люди

Уволенный инженер Atlassian после сокращения выложил на YouTube 40-минутное видео, где рассказал про архитектуру, которую строил годами. 1,6 миллиона просмотров.

Он не слил исходники. Он не раскрыл пароли. Он просто описал то, что внутри компании никто толком не задокументировал. И это страшнее любой утечки.

Потому что данные можно поменять, пароли перевыпустить, доступы отозвать. А знания, которые уходят с человеком, не вернёшь.

Я постоянно твержу своей команде: документируйте. Не для меня, не для отчёта, а для себя через полгода, когда забудете, как это работает.

Но в реале это происходит так:

✔️ Человек уходит - и с ним уходит понимание, почему принято именно такое архитектурное решение.
✔️ Приходит новый - и переписывает всё с нуля, потому что «старый код нечитаем (спойлер: читаем, просто непонятно).
✔️ Через год - та же история.

Что я делаю у себя:

1. Каждое ключевое решение фиксируется. Не роман, а 5 строк: что, почему, кто решал.
2. Ревью - это не про поиск косяков, а про передачу знаний.
3. Офбординг - это не "отозвать доступы", а "передать контекст".

Ошибка Atlassian не в том, что они сократили инженера. Ошибка в том, что его знания существовали только в его голове.

Люди уходят. Знания должны оставаться.

Переговорщик, который работал на хакеров.

Вы нанимаете переговорщика. Он должен помочь, когда случится беда. Снизить сумму выкупа, договориться, провести переговоры.

А он в это время работает на тех, кто вас атаковал.

Звучит как сюжет плохого триллера. Но это реальность.

В США троих сотрудников компаний по кибербезопасности задержали за то, что они тайно помогали группировке ALPHV/BlackCat. Они увеличивали суммы выкупа - в одном случае с 6 до 26 миллионов долларов. И при этом сидели по обе стороны стола переговоров.

Что это значит для нас?

Я много пишу про доверие в команде. И я правда считаю, что без доверия работать невозможно.

Но доверие не должно быть слепым.

✔️ Проверять подрядчиков - это не паранойя. Это гигиена.
✔️ Контролировать переговорщиков в инцидентах - это не микроменеджмент. Это управление рисками.
✔️ Требовать прозрачности от внешних команд - это не недоверие. Это профессионализм.

Я доверяю своей команде. Но у меня есть логи. Я не смотрю в них каждый день. Но я знаю, что они есть.

Доверие и контроль - не антагонисты. Это две стороны одной медали. Если вы доверяете, но не проверяете - вы наивны. Если проверяете, но не доверяете - вы токсичны.

Грань тонкая. Но её надо чувствовать.

Незнакомец или медведь?

На днях наткнулась на дискуссию. Вопрос: «Вы бы предпочли остаться один на один в лесу с незнакомцем или с медведем?»

Большинство представителей женского сообщества выбирают медведя. Мужчины - мужчину.

Почему я вообще об этом в ИБ-канале?

Потому что это идеальная иллюстрация того, как мы оцениваем риски в безопасности.

✔️ Медведь - это известная угроза. Страшная, но предсказуемая. Ты знаешь, чего от него ждать, если в школе хорошо учился
✔️ Незнакомец - это неизвестность. Он может быть безопасным, а может - нет. И это может пугать сильнее.

В ИБ ровно то же самое.

Мы боимся хакеров в капюшонах, APT-групп, сложных атак нулевого дня. Это наши «медведи». Посчитали, оценили, легли спать.

Но реальные проблемы приходят оттуда, откуда не ждёшь. От своего же администратора, который случайно открыл доступ не туда. От уволенного сотрудника с действующим токеном. От коллеги, который «просто хотел помочь».

Почему мы недооцениваем «знакомые» угрозы?

— Потому что они негероические. Нельзя прийти к CEO и сказать «нам нужен бюджет на защиту от Ивана из бухгалтерии».
— Потому что они требуют работы с людьми, а не с технологиями. А люди - это сложно.
— Потому что признать, что угроза может быть изнутри = признать, что ты ошибся в человеке.

Я не призываю бояться своих сотрудников. Я призываю не закрывать глаза на то, что самые страшные риски часто ходят с вами на одни и те же конф-коллы планерки.

Немного выпала отсюда.

Последний месяц выглядел примерно как:
🫡 работа
🫡 инциденты
🫡 дедлайны
🫡 преподавание
🫡 попытки не превратиться в Kafka consumer внутри собственной нервной системы

И параллельно подготовка к защите диплома.
Если честно, я давно не испытывала такого странного состояния, когда ты одновременно:
1. руководишь ИБ,
2. учишь других,
3. сама учишься,
и при этом пытаешься не забыть, как выглядит сон.

Но вчера этот этап официально закрыт.
Диплом о профессиональной переподготовке получен ✔️

И, наверное, это хороший reminder о том, что в ИБ ты никогда не «достаточно готов».
Ты либо продолжаешь учиться, либо в какой-то момент начинаешь отставать от реальности.

Так что возвращаюсь сюда.
Постов снова будет больше - и про ИБ, и про людей, и про то, как на самом деле выглядит безопасность внутри компаний, а не в презентациях.

ИБ - это паранойя или доверие? Спойлер: нужны оба

В ИБ, знаете, так принято бояться. Всего и всегда.

Думать, что пользователь вот-вот кликнет по левой ссылке. Что хакеры уже сидят внутри сети. Что вчерашний патч, который выкатили под конец пятницы, не дай бог, порвал полсистемы. Без этого, по-хорошему, никак. Это и есть профессиональная деформация.

Но вот что интересно: если в компании правит бал одна только паранойя, то вы просто задохнетесь. Люди перестанут к вам подходить. Проекты встанут. А бизнес, как ни крути, найдет способ обойти безопасность. И их любимая фраза: «с вами невозможно работать».

Что ж, разберем по полочкам.

Паранойя - это ваша база. Без нее никак. Она заставляет проверять, перепроверять, не расслабляться ни на минуту. Прозеваете и реальная угроза окажется прямо под носом.

Доверие - это, если хотите, топливо. Оно дает делегировать, не дышать в спину каждому сотруднику, позволять людям ошибаться. Без доверия команда превратится в то самое болото, где никто ничего не решает, если рядом нет начальника.

Так где же та самая граница?

А проходит она, на мой взгляд, ровно там, где вы перестаете управлять рисками и на полную катушку включаете управление людьми. Путать эти вещи нельзя.

Паранойя идеальна для настроек систем.
А доверие - для выстраивания отношений с командой и с бизнесом.

Вот что я делаю в итоге.

Я доверяю людям. Пока они сами своим поведением не дадут мне усомниться. Системы я проверяю всегда. Даже если их настраивал мой лучший инженер. При этом я не бегаю с секундомером и не смотрю, во сколько кто пришёл и ушёл. Зато раз в квартал спокойно поднимаю логи доступа к критичным системам. Мало ли.

Подводя итог

ИБ без паранойи - это наивность.
ИБ без доверия - токсичность, от которой сбегают люди.

Так что нужны и то, и другое. Весь вопрос, как вы понимаете, в дозировке.

Если вы умеете отличить фишинг от спама и не открываете вложения «АКТ_СВЕРКИ_СРОЧНО.pdf.exe» - вы уже в топ-10% цифрового человечества. Всё остальное - детали.

А теперь хорошие новости про развилки. Их всего три, и все рабочие.

Развилка 1. Копай вглубь.
Ты хочешь, чтобы тебя боялись сисадмины и уважали на конференциях? Путь технаря жив и процветает. AppSec, реверс, пентест, форензика - там всегда ждут людей, которые не боятся слова «дизассемблер». Да, придется учиться. Но у нас тут не балет, в 40 лет карьеру не заканчивают, а только начинают хантить за деньги, от которых у бухгалтера случится сердечный приступ.

Развилка 2. Плыви вширь.
Не хочешь ковыряться в байтах? Отлично. Архитектура, комплаенс, управление рисками, стройка процессов с нуля. Это когда ты не чинишь дыры, а проектируешь так, чтобы их не было. Бонус: тебя перестанут будить ночью, но начнут приглашать на совещания, где говорят «давайте подсветим векторы развития». Звучит страшно, но там кормят печеньками и платят за умение красиво рисовать квадратики в Visio.

Развилка 3. Вообще налево.
Продажи, пресейл, Product Management в вендорах. Это когда ты смотришь на коллег из поддержки и понимаешь: «Я хочу так же кататься в командировки и обедать за счет компании, но при этом ничего не настраивать руками». Тут главный навык - уметь держать лицо, когда клиент спрашивает: «А ваша система точно блокирует атаки нулевого дня?» Ответ «Ну, с определенной вероятностью» уже считается хорошим тоном.

Итог для тех, кто думает «я застрял»:
Вы не застряли. Вы просто накопили критическую массу опыта, чтобы сделать следующий шаг не из страха «а куда берут», а из интереса «а куда хочу именно я».

Сейчас рынок в ИБ - это шведский стол. Можно набрать тарелку технарского хардкора, а можно десерт из менеджмента с кремом из презентаций. Места хватит всем.

P.S. Если всё ещё сомневаетесь, то идите в SOC на год. После этого любой другой путь покажется вам раем.

Мы поговорили про SOC и пентестеров. А теперь о тех, кого все любят ненавидеть. GRC.

GRC - люди, которые читают законы, считают риски и пишут бумажки. Не умеют настраивать файрволы, зато умеют не дать регулятору вас оштрафовать. Без них вы работаете в стиле «как удобно». До тех пор пока не приходит проверка. А когда приходит, выясняется, что «удобно» - это незаконно.

GRC-специалист - это прививка от штрафов. Да, больно. Да, не всегда приятно. Но лучше укол сейчас, чем что-то очень плохое потом.

Три мифа о GRC (которые бесят их самих):

Миф 1. «Они просто перекладывают бумажки»
Да. Но эти бумажки - защита. Если у вас нет документа, подтверждающего, что вы предупреждали о риске, последствия будут крайне печальны. GRC-специалист не перекладывает бумажки, он создает вашу страховку от тюрьмы.

Миф 2. «Они тормозят процессы»
Не они тормозят. Это законы и риски тормозят. GRC просто про них напоминает. Хотите работать быстрее? Измените законы. А пока они есть - придется согласовывать.

Миф 3. «Они ничего не понимают в технологиях»
Возможно, не так глубоко, как инженеры. Но они понимают, где технологии могут привести к штрафу или дыре. А еще они понимают, что делать, когда вы уже накосячили.

Так что научитесь с ними договариваться. Объясните им, почему ваш процесс технически важен. А они объяснят регулятору, почему это безопасно.

И так, друзья, я с полезностью.
Дорожная карта специалиста по ИБ.

https://cybersecurity-roadmap.ru

Как устроен SOC: экскурсия для нормальных людей (или почему аналитик пьет кофе в 3 часа ночи)

Вы когда-нибудь задумывались, что происходит после того, как вы нажали на подозрительную ссылку? Нет, где-то в темной комнате не загорается красная лампа. Но примерно в этот момент в центре мониторинга безопасности (SOC) у кого-то дергается глаз.

Кто здесь живет (три линии обороны)

Представьте себе приёмный покой, только вместо пациентов - инциденты.

L1 (Первая линия): Это «фильтр». Сюда стекаются все события, алерты, крики систем. Задача парня из L1 - понять, это реальная атака или сервер просто балуется? Работа нервная, потому что 99% сигналов являются ложные. Отсюда и бешеное потребление кофеина.
L2 (Вторая линия): Сюда попадают только подтвержденные «раны». Это уже настоящие охотники. Они не просто видят, что «что-то пошло не так», они копают: откуда пришел хакер, что он уже успел посмотреть, куда побежал дальше. Их девиз: «Паники нет, давайте логи».
L3 (Третья линия): Это «VIP-кабинет» или «тяжелая артиллерия». Сюда зовут, когда всё совсем плохо. Они пишут инструкции (плейбуки), разбирают сложные вирусы и ищут уязвимости, которые пропустили все остальные. В идеале они нужны редко, но без них SOC - не SOC.

Из чего состоит их день (смена глазами аналитика)

Забудьте про хакеров в капюшонах. Работа в SOC - это 80% рутины и 20% дикого адреналина.

Экран номер раз: Дашборд с кучей графиков. По нему видно, всё ли в порядке или «всё пропало».
Экран номер два: Логи. Бесконечные строчки текста, где надо найти иголку в стоге сена. Это как смотреть на «Матрицу», но без погружения.
Чашка кофе: Ритуальный предмет. Аналитик пьет кофе, чтобы не уснуть. Кофе пьет аналитика, чтобы он не сошел с ума.
Красная кнопка: Её нет. Но всем нравится думать, что она есть.

Почему люди оттуда уходят (история одной усталости)

Главная проблема SOC - не хакеры, а выгорание. Монотонно смотреть на логи 8 часов, а потом в 17:45 получить реальную атаку и сидеть до полуночи - это тяжело.

Я вижу это постоянно. Человек приходит гореть идеей, а через год его глаза тухнут. Потому что ложные срабатывания убивают интерес быстрее, чем любой вирус. Моя задача как руководителя - сделать так, чтобы они не выгорали. Сменами, ротацией, интересными задачами и, да, нормальной зарплатой.

Итог для простых смертных

SOC - это не магия. Это живые люди, которые смотрят на экраны, чтобы вы могли спокойно работать и не бояться, что ваши пароли утекли в открытый доступ.

Если вы работаете в компании, где есть SOC, помните: если вам пришло письмо «Ваш аккаунт взломан», лучше не тыкать по ссылкам, а скинуть его аналитикам. Они разберутся. И дадут вам спокойно попить кофе.

Выступила с докладом об информационной безопасности на профориентационном онлайн-форуме.
Отдельно хочу отметить высокую регистрацию - аудитория проявила колоссальный интерес.
Такие цифры еще раз подтверждают: вопросы защиты данных сейчас актуальны как никогда.
Особенно приятно, что среди участников много молодых специалистов, которые выбирают свой путь.

Я создаю вам условия. В ответ вы гарантируете лояльность.

Слышали фразу "лояльность нельзя требовать, её заслуживают"? Согласна. Но давайте разберёмся, что такое лояльность в моём понимании. Это простая взрослая вещь: я делаю для вас то, что обещала, а вы делаете для меня то, что обещали. И мы не подставляем друг друга.

Что я делаю для команды

Я не раздаю плюшки и не устраиваю корпоративы с шариками. Но я делаю то, что, на мой взгляд, важнее.

1. Я контролирую вилку. Если человек стоит своих денег, я готова спорить с финансистами до хрипоты.
2. Я защищаю от наездов. Когда сверху прилетает «почему тут косяк», я не говорю «это они виноваты». Я говорю «мы разберёмся».
3. Я не дёргаю по пустякам. Никаких совещаний ради совещаний, никаких отчётов ради отчётов.
4. Я признаю свои ошибки. Если я накосячила, я говорю об этом прямо без попыток свалить на команду.
5. Я стараюсь дать возможности для профессионального роста в том направлении, которое вам в кайф.

Что я жду в ответ

Лояльность для меня - это не «любить меня вечно». Это конкретные вещи.

1. Не подставлять молчанием
Если вы накосячили, то скажите сразу. Мы починим вместе. Если вы промолчали, а я узнала через месяц - это жесткий косяк и подстава меня, ибо итоговые косяки замыкаются на мне (см. выше п.2)

2. Не уходить в закат без разговора
Хотите уволиться, то придите и скажите. Не надо молча искать оффер, а потом бросать заявление в пятницу вечером. Я не держу людей силком. Но я хочу иметь время найти замену и передать дела.

3. Доверять, пока не доказано обратное
Я не проверяю, сколько вы сидите в телефоне и во сколько ушли. Я смотрю на результат. Но если я узнаю, что вы меня обманываете (про сроки, про задачи, про объём работы) - доверие закончится. А без доверия работать невозможно.

4. Не сплетничать за спиной
Если я косячу - скажите мне в лицо. Обсуждать меня с коллегами за моей спиной - это «антилояльность».

Почему это важно для ИБ

В нашей сфере доверие - это не про доброту, а про скорость реакции. Если я не уверена, что команда скажет правду, я начинаю контролировать каждый шаг. Микроменеджмент убивает быстрее любой утечки.

Если я знаю, что люди не уйдут в самый ответственный момент без предупреждения, я могу планировать проекты, а не тушить пожары.

Если я уверена, что мы на одной стороне, я сплю спокойнее. А спокойный руководитель ИБ - это тот, у кого есть ресурс защищать команду и компанию.

Но есть нюанс

Я не требую лояльности к себе как к человеку. Я требую лояльности к нашим договорённостям. К тому, что мы делаем вместе. К нашей общей ответственности.

Вы не обязаны меня любить. Но вы обязаны делать свою работу, соблюдать сроки, говорить правду и не подставлять коллег. Я делаю то же самое.

Лояльность - это симметричная вещь. Я создаю условия - вы не подставляете. Я защищаю - вы говорите правду. Я вкладываюсь - вы предупреждаете, если хотите уйти.

Мы не семья. Мы партнёры. И партнёрство держится на двух вещах: на моём слове и на вашем.

Вы сейчас сольёте что-то в ИИ.
Вопрос только в том, что именно.
Люди уже туда закидывают:
1. рабочие переписки 2. куски кода с ключами 3. логи с доступами 4. договоры

И такие: «ну это же просто спросить…».

Спойлер: вы не просто спросили, вы отдали, причем добровольно. Этим промышляют даже те, кто в теме. Почему? Все просто - потому что удобно, быстро и «ну я же удалю потом». Не удалите.
ИИ - это не ваш личный блокнот и уж точно не сейф.
Если вы хоть раз копировали туда что-то чувствительное - поздравляю, вы уже сыграли в эту игру.

Осталось только узнать последствия.

Классный, наверное, специалист. Многопрофильный.

🙂 Информационная безопасность - это уже не про айтишников в свитерах.

💬 Это про каждого, кто живёт, работает и общается в цифровой России. От того, насколько мы понимаем риски и умеем себя защищать, зависит не только личная безопасность, но и устойчивость всей страны.

Именно поэтому мы собрали папку с лучшими экспертами по ИБ - разными по стилю, теме и подходу, но одинаково топовыми.

Это те, кто умеет объяснить сложное просто и вдохновить действовать.

✅ Загляни в подборку

Просвещение в кибербезопасности начинается с личного интереса, а этот шаг - проще, чем кажется.

ℹ️ Попасть в клуб ИБ блогеров:

@BELYAEV_SECURITY_bot

➡️Блогеры ИБ в 💬MAX:

🔹Belyaev Security Talks 🎙
🔹BELYAEV_SECURITY
🔹Видеоканал Global Digital Space
🔹Игнатий Цукергохер
🔹BESSEC
🔹Privacy Advocates
🔹Секреты ИБ|Эгида-Телеком
🔹Топ Кибербезопасности Батранкова

У меня 154 подписчика. Для кого-то это мало, для меня же - 154 живых человека, которые добровольно читают мои мысли про киберпсихологию и ИБ.

Я тут подумала: а кто вы? Чего боитесь? Что вас держит в профессии? А может, вы уже одной ногой на выходе?

Я могу строить теории и гадать на кофейной гуще. А могу просто спросить. Поэтому честный опрос без дурацких формулировок.

Зачем мне это?
Я хочу писать не в пустоту, а про то, что реально вас цепляет. Чтобы здесь было место, куда можно прийти со своими страхами и понять: вы не одни такие.

Так что тыкайте кнопки. А в следующих постах разберём, кто тут чего боится и что с этим делать.