Метод хакера

#мероприятия
Апрель — месяц, когда можно оторваться от пожарных логов и узнать что-то реально полезное. На это есть 5 поводов:

🗓 8 апреля | Вебинар с Secure «Как контролировать человеческий фактор?»
Разберём 56-57 пункты нового приказа ФСТЭК — то, от чего у вас уже месяц дёргается глаз. А потом залезем в интерфейс платформы для обучения сотрудников. Посмотрим, кто у нас «кликнет на ссылку про миллион от дяди из Нигерии».

🗓 15 апреля | Новый выпуск от «Метод хакера»
«Защита персональных данных: как обеспечить безопасность и избежать штрафов»
Штрафы растут, законодательство меняется. Как за всем уследить? В новом выпуске расскажем, как не попасть на миллион и при этом не задушить бизнес паранойей. Никакой скукоты — только живые кейсы, где люди теряли данные "вместе с кошельком".

🗓 24 апреля | День рождения подкаста «Метод хакера»
Нам уже 2 года! В честь этого — розыгрыш среди подписчиков. Мы проследим, чтобы приз ушёл к живому человеку, а не боту с аватаркой котика.

🗓 29 апреля | Новый расссказ «Ревизор»
Маленький город, мэр трясётся перед комиссией из Москвы, все готовят отчёты по ИБ. И вдруг секретарь влетает в кабинет с лицом «всё пропало». Что там случилось?

🗓 30 апреля | Вебинар с CtrlHack «Анализ защищенности в новых реалиях»
Подробности пока под грифом «скоро». Но скажем одно: ребята из CtrlHack видят уязвимости там, где вы видите просто «рабочий момент».

Безопасного вам кода и адекватных пользователей! До встречи 8 апреля😉

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#расссказано
"Сетевое сердце"

"расссказано" - бонусная рубрика подкаста "Метод хакера".

История, которая разнеслась по всему ИБ-сообществу.

"Он мечтал о прорыве - о создании ИИ...". Профессор решился на эксперимент, но он зашел слишком далеко.

Что случилось? Почему ИИ-помощник стал угрозой?

📍Слушайте новый расссказ, чтобы узнать ответы😉
Сайт подкаста
Яндекс Музыка
Apple podcasts
VK Podcasts
Telegram

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#хакнутыефакты
3 железобетонных правила для защиты от социальной инженерии, чтобы тебя не съели с потрохами.

1. Критическое мышление.
Не важно, читал ты статью на досуге или смотрел видос. Даже если твой джун слышал звон, но не понял, откуда он, — включите голову. Никто не пришлёт одноразовый пароль от «Яндекс ID» по почте, а Гугл не попросит прислать данные паспорта через телеграм-бота. Правило простое как лопата: никому не доверяй по умолчанию. Мама пишет, что у неё новый телефон? Звони маме. Начальник требует в мессенджере перевести деньги контрагенту? Зайди в кабинет и уточни. Продвигайте эту здоровую шизофрению в массы, пока ваш секретарь не отдал ключи от офиса «электрику с поверкой счётчиков».

2. Техническая часть: режьте доступы, как хирург — точно и без лишних движений.
Гранулируйте доступы так, чтобы у «любимого 1С-ника», который «сам всё настроит», не было прав на ядерную кнопку. Полный доступ к сервису? Это даже не «высокий риск», это сценарий для фильма про Маски-шоу. Если у человека нет необходимости лицезреть всю базу — скрутите ему права обратно до уровня «только печатать и молиться».
Никому не доверяй, всех проверяй, но на практике — добавляйте факторов защиты как слоёв в Наполеоне. Хочешь админку в 1С? Отлично, сначала пройди через MFA, одобрение сисадмина и жертвоприношение ноутбука. Больше устройств безопасности — меньше шансов, что «добрый коллега из бухгалтерии» сольёт всё даром.

3. Коллективная паранойя.
Третий принцип для тех, кто думает «я-то умный, меня не обманут». Нет, Вася. Ты как раз первый, кто ляпнет лишнего на «дружеском» созвоне. Правильный подход: мало самому критически мыслить — надо создать отдел ИБ, куда люди будут бежать, как к крестному отцу. Сотрудник должен знать: если у него чешутся руки выполнить подозрительную просьбу или внутри щебечет «а вдруг это правда шеф?», он обязан подорваться и прибежать к тебе с вопросом. Любой звонок с неясным требованием — это не «давайте побыстрее сделаем», а стоп-кран и консультация с профи.

Параноиком быть не всегда плохо. Плохо быть параноиком без плана действий. А с планом это называется «следование лучшим практикам безопасности»😉

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#мероприятия
⚠️Предупреждение: человеческий фактор может быть опаснее хакера.

А что, если мы скажем, что его можно взять под контроль?

💥Онлайн‑вебинар «Как контролировать человеческий фактор?»:
1. Узнаем, как повысить уровень осведомленности сотрудников.
2. Разберем пункты 56-57 нового приказа ФСТЭК №117.
3. Посмотрим интерфейс платформы Secure T и проверим работу на практике.

🗓 8 апреля в 12:00 мск

Зарегистрироваться

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#ИБшнутые

Когда думал, что у тебя чистая инфраструктура, но аудит ИБ показал обратное...

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#инфобес
Дорогой дневник...

Тук-тук, Нео. Или история о том, как я хотела иметь суперсилу.

Помнится, слушала я тут один расссказ про ворону. Меня так триггернуло, перед глазами своя "воронья" история всплыла — тоже из серии «невинная прогулка может обернуться стратегическим провалом».

Иду с перекура. День обычный, мысли о вечном, в руках — ключи от СКУДа. Не абы какие ключи, а от единственного входа. Держала я их, надо признать, с расслабленностью начинающего саботажника.

Начинаю выходить из лифта, и тут передо мной мужик тааак резко тормозит. Я по инерции в него. Ключи из рук: не в ноги, не сбоку, не на пол, а именно в шахту, твою ж налево! В тот момент мне хотелось одного - стать как Нео в "Матрице" и остановить их силой мысли. Но увы и ах! Вот он, человеческий фактор! Вот она ошибка природы😂

Побежала на вахту со словами "I need somebody help"! А мне говорят "Голубушка, ничем помочь не можем. Свободна".

Стояла я у двери в офис с выражением "у Курского вокзала...". Коллеги, видимо, оценили драматизм — дверь открыли, ключ новый оформили и я прошла все круги "бюрократического" ада.

Из этой ситуации я вынесла сразу три ценных знания:
1️⃣ Перекур может обернуться квестом на выживание.
2️⃣ Ключи надо носить так, будто от них зависит судьба ядерной кнопки.
3️⃣ Дверь в офисе всегда откроют.

С любовью, менеджер по информационной безопасности

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#анатомияиб
Один в поле не воин, или что такое MFA.

Пароль от корпоративной почты в базе, которая утекла. Ключ от соцсетей, подобран брутфорсом. «Коллега» в телефоне, уже получил код из СМС. Пароль давно перестал быть надежной преградой. Его можно украсть, купить или угадать.

Мультифакторная аутентификация (MFA) — решение, которое усложняет злоумышленнику получить доступ в систему.

Как работает? Метод проверяет подлинность личности несколькими факторами одновременно. Например:
1) Что-то, что ЗНАЮ - пароль.
2) Что-то, что ЕСТЬ - телефон с приложением-аутентификатором, токен или СМС.
3) Что-то, что ПРЕДОСТАВЛЯЮ - отпечаток, лицо, сетчатка глаза.

Это как банковская ячейка: нужен и ключ, и кодовое слово. Чего-то одного недостаточно.

Как внедрять?
🔸 Начать с самого ценного: почта, финансы, системы с персональными данными.
🔸 Объяснить «зачем», а не заставлять. Показать, как MFA защищает аккаунты сотрудников.
🔸 Предоставить удобный инструмент — корпоративное приложение для аутентификации.
🔸 Настроить процесс восстановления на случай потери телефона или токена.

MFA — это не «еще одна сложность». Это действенный и доступный способ блокировать атаки на учетные записи.

Включите MFA там, где это возможно. Сегодня. Пока читаете пост. Пара кликов в настройках и дверь для злоумышленников не просто закрыта. Она заперта на несколько замков😉

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#хакнутыефакты
Мы тратим миллионы на технологии, но злоумышленник может обойти их все одним звонком или письмом. Вот такой парадокс социальной инженерии.

"Наша история началась с тихого эксперимента. Вместо того, чтобы показывать руководству очередной отчёт с абстрактными угрозами, принесли им результат тестового проникновения: «Мы получили доступ к конфиденциальным данным, просто позвонив от имени ИТ-отдела в бухгалтерию».

Мы стали архитекторами контролируемого хаоса. Выбрали несколько ключевых отделов и типажей сотрудников — от осторожного финансиста до вечно занятого менеджера. Запустили серию тренировочных атак с интервалами, чтобы измерить бдительность. Это превратилось в детективную историю: насколько человек, прошедший обучение, на самом деле пропускает угрозу мимо ушей?

Параллельно развернулась вторая сюжетная линия — техническая. Мы брали решения по защите от социалки в демо, разворачивали их в тестовой среде и начинали «обстреливать». Система начала выдавать метрики по попыткам атак, карту потенциальных узких мест, портреты «слабых звеньев» — конкретных сотрудников и небезопасных устройств. У нас появились данные.

Кульминацией стал момент истины «ДО» и «ПОСЛЕ». Когда мы свели воедино данные человеческого фактора и технических метрик, картина стала пугающе ясной. Мы смогли показать руководству диагноз: «Вот наши текущие риски. А вот — как они уменьшатся, если действовать системно».

Риск успешной атаки благодаря эксперименту упал с гипотетических 90% до контролируемых 10%. Мы не просто «подсветили уязвимости» — мы построили мост между техническими специалистами и топ-менеджментом, говоря на языке конкретных цифр и живых примеров."

Хотите узнать, как превратить человеческий фактор из главной угрозы в элемент защиты? Узнайте в новом выпуске: «Хакнуть мозг проще, чем сервер: парадокс современности».

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#ИБшнутые

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#инфобес
Дорогой дневник...

Вспомнился мне пятничный мем про горящие сраки, дак вот.. Я превращаюсь в инженера.

Рубрика "ничего не предвещало беды" и понеслось. Мне надо решить вопросы по технической части. В моменте инженеры в разъездах, на проектах, в супер важных делах. Я их прошу, молю, а в ответ "некогда, приди на следующей неделе". У меня начинается "горижопа", потому что проект срочный. Бегу к вендору, а он на мероприятии.

Да господи, я в душе не чаю как настраивать виртуальные машины и про debian только в инструкции читала😫

Но вот оно спасение - откликнулся один прекрасный техпам в вендоре. Я нашла свободные уши! Присела конкретно, теперь он моя жертва😁

У меня началось "а помнишь, я когда после вчера, мы с тобой ходили, мой любимый цвет - зеленый, ты тогда хотел сказать, и как будто моя подружка еще офигевшая такая!". В этот момент почувствовала тяжелый вздох и получила мем "Поставьте меня, я менеджер". Вот так прошел мой понедельник.

С любовью, менеджер по информационной безопасности

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#подкаст
«Хакнуть мозг проще, чем сервер: парадокс современности»

Мы привыкли думать, что безопасность — это код и системы защиты. Но самый уязвимый элемент системы сидит в кресле и пьет кофе.

Социальная инженерия остается основным вектором атак на российские компании не потому, что хакеры гениальны, а потому что люди — эмоциональны.

В новом выпуске говорим о том, как защитить человеческий фактор:
⚡️Насколько технические средства защиты эффективны против социальной инженерии?
⚡️Что сложнее защитить: инфраструктуру или человеческий фактор?
⚡️Как обосновать инвестиции в защиту человеческого фактора на языке бизнеса?
⚡️Как оценить эффективность защиты от социальной инженерии?

Эксперт выпуска - Илья Соболев, менеджер по продукту в компании Ideco.

📍 Слушать подкаст:
Сайт подкаста
Яндекс Музыка
Apple podcasts
Литрес
MyBook
Spotify
Deezer
ЗВУК
Castbox
VK Podcasts
mave.stream
Mave
Pocket Casts
Podcast Addict
Soundstream

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#хакнутыефакты
«Что значит облака? Это значит чужие сервера». Насколько мне надо быть уверенным в ком-то, чтобы отдать что-то на аутсорс?

Вот мы строим SOC. Многие клиенты сразу звонят и с надеждой спрашивают: «А коробочное решение есть?». То есть первый вопрос при любом разговоре: «Это же не SaaS-модель? Я в облако не готов — у меня там пароли!».

Паранойя — это хорошо. Доверять всем безоговорочно не стоит.

Большинство managed SOC и MDR-провайдеров будут забирать телеметрию к себе в облако и там её анализировать. Для компании, которая оказывает подобные услуги, это основной источник дохода. Всегда можно посмотреть: сколько денег, технологий и людей вкладывается в безопасность конкретного облака.

Если ты выбираешь провайдера по инфобезу:
1️⃣- посмотри на его репутацию. Как он представлен на рынке?
2️⃣- что он фиксирует в своих обязательствах перед тобой, как провайдер?

От этого принимай решение. Только не гонись за низким ценником, а то можно прийти в историю, когда данные окажутся где-то на публичном облаке. Тут должен быть разумный баланс.

"Скажи свое непопулярное мнение и беги": все наши данные давно уже утекли. Вопрос - это одни и те же данные?
Даже ФНС знает, в какой кофейне ты покупаешь кофе☕️

Вывод: пытаться защититься от всего не стоит, нужно искать баланс.

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

ОЧЕНЬ СТРАШНАЯ ИБ-ИСТОРИЯ: в офисе никого, кроме меня... и того, кто уже знает все мои пароли.

Знаете, есть народная примета: если в пятницу 13-е придешь на работу — жди беды. Но для айтишников и ИБ-специалистов это правило работает иначе. Беда приходит не тогда, когда ты пришел на работу, а когда ты с неё вовремя не ушел.

Поздний вечер, пятница. Я остался один в офисе. Лампочки над столом мигают, кондиционер гудит как заведённый, а в углу кулер булькает, будто переваривает останки стажера из IT отдела.

Допиваю уже третью кружку кофе, пытаясь закончить квартальный отчёт. Вдруг "БЗЗЗЫК!" — свет гаснет. Зависает всё. Даже мышь перестала работать, будто кто-то выдернул провод. На экране монитора сам по себе открывается «Блокнот».

- «Да ну, еще один хакер нашелся. Сейчас я тебе быстро сессию оборву…», - подумал я и потянулся к клавиатуре.

Вдруг на белом фоне одна за другой появляются буквы. Сначала медленно, потом быстрее. Кроваво-красным шрифтом (Times New Roman, да-да, самый страшный шрифт в мире) выводится сообщение: «Я ЗНАЮ, ЧТО ТЫ ХРАНИШЬ ПАРОЛИ В ТЕКСТОВОМ ФАЙЛЕ НА РАБОЧЕМ СТОЛЕ».

Я почувствовал, как по спине пробежал холодок. Руки затряслись, но я нашел силы нажать Alt+F4. Окно закрывается. Тишина. Свет загорается.

— Фух, показалось, — подумал я. — Видимо, третья кружка была лишней.

В попытке выключить комп, чтобы поскорее убраться из этого офиса, на экране снова всплывает окно. Текст другой: «Я ЗНАЮ, ЧТО ТЫ ИСПОЛЬЗУЕШЬ „PASSWORD123“ ДЛЯ ДОСТУПА К БУХГАЛТЕРИИ. И ДА, ИНЖЕНЕР ТОЖЕ ЗНАЕТ. ОН ВИДЕЛ СТИКЕР НА ТВОЁМ МОНИТОРЕ».

У меня случился приступ паники. Я нервно запускаю антивирус, но курсор не слушается. Вместо этого он сам открывает Paint и начинает рисовать страшную рожицу с подписью: «Твой пароль от Wi-Fi — „12345678“, я теперь тоже сижу в твоей сети. Спасибо, бро».

Я оглядел пустой офис и заметил, что в камере видеонаблюдения над дверью горит красный огонёк. Она смотрит прямо на меня. И мигает: точка-тире-точка... SOS?

Мои руки похолодели, зрачки расширились, волосы на затылке встали дыбом — это не хакеры. Это намного страшнее. Это внутренний аудитор безопасности, который наконец-то дорвался до удалённого доступа.

(создавайте сложные пароли и не храните их в открытом доступе)😉

С пятницей 13! Страшных снов🙂

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#ИБшнутые

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

P.S. если у вас есть идеи для рубрик или предложения, как улучшить существующие - мы готовы к обратной связи😉
Можете написать в комментариях или админу @A_STU (Алиса).

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#хакнутыефакты

«Да мы маленькая компания, мы никому не нужны», - говорит тот, кто делает поставки в Газпром.

Да-да, начнем с типичного примера. Такие компании сложно убедить, но всё же - какова реальная стоимость утечки данных для бизнеса, о чем можно подумать в рамках этого вопроса?

Все сводится к тому, что нужно разговаривать с топ-менеджментом. Не со стороны CISO, и даже не с коллегами из ИТ/ИБ, а с точки зрения финансовых директоров.

Пример:
❌ Вышла уязвимость и она у нас есть, могут взломать.
☑ Если нас взломают то мы понесем финансовые убытки "в размере" и репутационные потери.

Например, в техническом отчете при компрометации доменной инфраструктуры active directory, для технарей пишем: «мы захватили домен такой-то, привилегии администратора домена мы получили таким-то способом» и скриншот выхлопа утилиты, где имеется учетка доменного админа.

Для СЕО это вообще ни о чем не говорит. Просто набор каких-то символов в командной строке. Он может не понять куда смотреть, даже если 10000 стрелочек нарисуешь.

Когда ты во внутренней инфраструктуре компрометируешь 1С, конфлюенс, корпоративную почту, что более для них примечательно. Для атакующих это кажется более минорной вещью. Если иметь привилегии администратора, а эти сервисы входят в доменную инфраструктуру, то компрометация произойдет постфактум для картинки в отчете. В будущем при обосновании репутационных, финансовых и прочих рисков, нужно показывать эти громкоговорящие скриншоты с замазанными паролями чьих-то пользователей, паспортами и документами.

Чем больше простых и понятных тезисов доносишь, тем с большей долей вероятности СЕО задумается о том, что нужно внедрять какие-то процессы и проводить хотя бы 1 раз в год пентест.

⭐ Больше интересных фактов в выпуске "Эгида киберзащиты".

#анатомияиб
Как защитить инфраструктуру от уязвимостей?

Уязвимость — точка потенциального проникновения, которая позволяет злоумышленнику получить доступ, закрепиться внутри и достичь критически важных систем. Ограничиваться периодическим сканированием таких точек недостаточно. Нужна система.

Строим защиту:
🔸Профилактика. Использовать в основе безопасную разработку, применять принцип наименьших привилегий и сегментировать сеть.
🔸Обнаружение. Регулярно сканировать сеть, защищать конечные точки и коррелировать события в SIEM. Периодически проводить пентест, чтобы обнаружить скрытые слабости.
🔸Реакция. Составить чёткий план реагирования, механизмы быстрого временного устранения угроз и регламент установки обновлений. Каждый сотрудник должен знать свои обязанности.
🔸Управление. Провести инвентаризацию активов, оценить и исправить уязвимости, начиная с наиболее критичных.

Уязвимость — это не просто технический параметр, а источник бизнес-риска, которым необходимо управлять.

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#ИБшнутые

P.S. Когда хочешь уйти по-раньше с работы перед 8 марта😁⚡️

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ

#инфобес
Дорогой дневник...

Я вспоминаю мультик "Простоквашино". Потому что прекрасно понимаю почтальона Печкина. Почему я такая злая была? Потому что у меня ресерча не было!

Сгоняла на встречу с партнерами. "Ура! Наконец-то они у меня!". Те самые неуловимые Resereach, от которых любой ИБшник будет в восторге!

Полистала журнал: яркие статьи, запах свежей краски... Это восторг!

P. S. а внутри журнала был алфавит кибербеза, посмеялась от души.

С любовью, менеджер по информационной безопасности

САЙТ ПОДКАСТА | ТЕЛЕГРАМ | МАХ