Всякое около безопасности: истории, best practice, мат.часть, мемы, база.
Консультация по ИБ от автора канала: @dborislavsky
Post #274
174
#мем
- 🤔 1
Channel Public Channel
ПУ Путевой журнал безопасности
@ib_note
- Subscribers
- 174
- Photos
- 142
- Videos
- 32
- Links
- 47
Showing posts older than #276 · Back to latest
Older Posts 16 shown
Post #273
164
#мем
- 😁 5
Post #272
185
Honda – The Power of Dreams
Машина уже давным давно перестала быть чисто механической конструкцией. Всегда было интересно узнать какие есть датчики и логику работы узлов.
Сейчас у меня машина, в которой я порой провожу время с таким набором. Я купил клон диллерского сканера, достал официальный софт. И обомлел от количества настроек и выводимых параметров. Решил сильно не углубляться, только калибрую коробку и ротор электродвигателя.
В альтернативной ветке реальности купил бы второй ЭБУ и занялся бы прошивками :)
Но в этой – максимум что ещё - на других Хондах смотрел причины Check engine.
Всё собираюсь на Авито разместить услуги по:
• Проверка всех узлов при покупке авто (без решения проблем)
• Узнать номер ошибки и причину
• Калибровка коробки и ротора на гибридах
• Сброс ошибок
Вы бы обратились по объявлению на Авито за такими услугами?
Машина уже давным давно перестала быть чисто механической конструкцией. Всегда было интересно узнать какие есть датчики и логику работы узлов.
Сейчас у меня машина, в которой я порой провожу время с таким набором. Я купил клон диллерского сканера, достал официальный софт. И обомлел от количества настроек и выводимых параметров. Решил сильно не углубляться, только калибрую коробку и ротор электродвигателя.
В альтернативной ветке реальности купил бы второй ЭБУ и занялся бы прошивками :)
Но в этой – максимум что ещё - на других Хондах смотрел причины Check engine.
Всё собираюсь на Авито разместить услуги по:
• Проверка всех узлов при покупке авто (без решения проблем)
• Узнать номер ошибки и причину
• Калибровка коробки и ротора на гибридах
• Сброс ошибок
Вы бы обратились по объявлению на Авито за такими услугами?
- 🔥 4
- ❤ 2
- 🤔 2
- 👍 1
Post #271
183
#мем
- 😁 11
- 💯 4
Post #270
175
#мем
- 😁 2
Post #269
156
#лучшиепрактики Продолжаем о фейлах при выборе ИБ систем.
❇️ Блок про выбор системы, вендора, интегратора. (продолжение)
• Не смоделировать как новая система «вольёться» в инфраструктуру.
Определить, что где будет расположено, как будет внедряться; как повлияет на инфраструктуру; как будет работать с тем что уже есть – нужно до момента приобретения и до начала пилота. Иначе можно получить остановку какого-нибудь бизнес-процесса или просто лучи ненависти от ИТ-коллег.
• Постесняться задать конкретные вопросы вендору/интегратору и домыслить ответы.
Например, диалог, который, скорее всего приведёт к испорченным отношениям, или вообще оставит кого-нибудь без премии:
Заказчик: Ваша DLP Телеграмм же контролирует?
Вендор: Да.
…происходит покупка…
Заказчик: Почему-то ни одно сообщение не перехвачено!
Вендор: Так вы нам показываете web-версию телеграмм!
Заказчик: И что?!? Перехвата Телеграмм нет!!
Вендор: А у нас только перехват в приложении, в web-версии будет только через год!!
Заказчик: так у нас приложением и не пользуются!!! Мы зачем вас купили?!!!
Вендор: ПО работает согласно документации!!!
Пример правильного диалога:
Заказчик: Ваша DLP Телеграмм же контролирует?
Вендор: Да.
Заказчик: можно конкретнее, web-версию и приложение?
Вендор: только приложение.
Заказчик: контроль текста, вложенных файлов, голосовых сообщений и звонков?
Вендор: ещё есть нюансы про входящие и исходящие сообщения, вот держите таблицу 2 на 4 на 2 где галочками отмечен каждый вариант.
Заказчик: отлично, как раз сверю всё с нашими целями для DLP и моделью угроз.
А ещё не забуду след от моей руки на моём лице, во время диалога на созвоне уже после покупки ПО.
Заказчик: как настроить «возможность» чтоб «вот такая информация» «вот это показала»
Я: система так не умеет, тут не вопрос настройки отчёта.
Заказчик: жаль, я думал, что умеет и уже Генеральному сказал, что к следующей встрече принесу такой отчёт. Сделайте что-нибудь чтоб на следующей неделе у меня была такая информация.
❇️ Блок про выбор системы, вендора, интегратора. (продолжение)
• Не смоделировать как новая система «вольёться» в инфраструктуру.
Определить, что где будет расположено, как будет внедряться; как повлияет на инфраструктуру; как будет работать с тем что уже есть – нужно до момента приобретения и до начала пилота. Иначе можно получить остановку какого-нибудь бизнес-процесса или просто лучи ненависти от ИТ-коллег.
• Постесняться задать конкретные вопросы вендору/интегратору и домыслить ответы.
Например, диалог, который, скорее всего приведёт к испорченным отношениям, или вообще оставит кого-нибудь без премии:
Заказчик: Ваша DLP Телеграмм же контролирует?
Вендор: Да.
…происходит покупка…
Заказчик: Почему-то ни одно сообщение не перехвачено!
Вендор: Так вы нам показываете web-версию телеграмм!
Заказчик: И что?!? Перехвата Телеграмм нет!!
Вендор: А у нас только перехват в приложении, в web-версии будет только через год!!
Заказчик: так у нас приложением и не пользуются!!! Мы зачем вас купили?!!!
Вендор: ПО работает согласно документации!!!
Пример правильного диалога:
Заказчик: Ваша DLP Телеграмм же контролирует?
Вендор: Да.
Заказчик: можно конкретнее, web-версию и приложение?
Вендор: только приложение.
Заказчик: контроль текста, вложенных файлов, голосовых сообщений и звонков?
Вендор: ещё есть нюансы про входящие и исходящие сообщения, вот держите таблицу 2 на 4 на 2 где галочками отмечен каждый вариант.
Заказчик: отлично, как раз сверю всё с нашими целями для DLP и моделью угроз.
А ещё не забуду след от моей руки на моём лице, во время диалога на созвоне уже после покупки ПО.
Заказчик: как настроить «возможность» чтоб «вот такая информация» «вот это показала»
Я: система так не умеет, тут не вопрос настройки отчёта.
Заказчик: жаль, я думал, что умеет и уже Генеральному сказал, что к следующей встрече принесу такой отчёт. Сделайте что-нибудь чтоб на следующей неделе у меня была такая информация.
- 🤯 2
- 🔥 1
Post #268
129
#лучшиепрактики Продолжаем о фейлах при выборе ИБ систем.
❇️ Блок про выбор системы, вендора, интегратора. (продолжение)
• Уже только лишь каждый об этом говорил, но всё равно тоже скажу. Можно столкнуться с ситуацией, когда вендор ушёл с рынка по геополитическим причинам.
И потом сидеть без обновлений, в том числе критических; без тех.поддержки. Да и вообще немного нервничать, что в системе есть time-bomb.
• Фейл, который может сидеть в голове: считать, что если уже какое-то решение используется, то его нельзя заменить.
Заменить, в общем-то, можно любую систему. Но всегда критичны вопросы:
ℹ️ Актуальные решаемые задачи и нагрузка;
ℹ️ Стоимость владения старым и новым решением;
ℹ️ Наличие специалистов по новой системе, и время переобучения со старого на новое;
ℹ️ Привычка руководства к отчётам из старой системы;
ℹ️ Взаимоотношения с вендором/интегратором старой и новой систем;
ℹ️ Какие-то джокеры или блокеры от регуляторов;
ℹ️ Заинтересованность «Папы» системы в смене инструмента (или не смене);
ℹ️ «Нытьё мамы», что придётся работать;
ℹ️ Ваша личная заинтересованность что-то делать.
В общем, факторов не мало, работа не простая, НО, взвесив все параметры можно пронять решение .
❇️ Блок про выбор системы, вендора, интегратора. (продолжение)
• Уже только лишь каждый об этом говорил, но всё равно тоже скажу. Можно столкнуться с ситуацией, когда вендор ушёл с рынка по геополитическим причинам.
И потом сидеть без обновлений, в том числе критических; без тех.поддержки. Да и вообще немного нервничать, что в системе есть time-bomb.
• Фейл, который может сидеть в голове: считать, что если уже какое-то решение используется, то его нельзя заменить.
Заменить, в общем-то, можно любую систему. Но всегда критичны вопросы:
ℹ️ Актуальные решаемые задачи и нагрузка;
ℹ️ Стоимость владения старым и новым решением;
ℹ️ Наличие специалистов по новой системе, и время переобучения со старого на новое;
ℹ️ Привычка руководства к отчётам из старой системы;
ℹ️ Взаимоотношения с вендором/интегратором старой и новой систем;
ℹ️ Какие-то джокеры или блокеры от регуляторов;
ℹ️ Заинтересованность «Папы» системы в смене инструмента (или не смене);
ℹ️ «Нытьё мамы», что придётся работать;
ℹ️ Ваша личная заинтересованность что-то делать.
В общем, факторов не мало, работа не простая, НО, взвесив все параметры можно пронять решение .
- ❤ 2
- 👍 2
- 🔥 2
Post #267
152
#мем
- 👍 7
- 😁 4
Post #266
382
#мем
- 😁 10
Post #265
174
#лучшиепрактики Давайте поговорим о фейлах при выборе ИБ систем.
15 лет назад я бы из этого списка сделал для себя чеклист✅ что нужно проверить, а затем переделал его в отчёт для СД о моей работе 😋
Этот рассказ-обучение в полном варианте я делал на КодИБ-Профи, и в сокращённом на CISO-Forum. Материала много, буду выкладывать в нескольких частях.
❇️ Блок про выбор системы, вендора, интегратора.
• Не определить цели зачем нужна ИБ система, а сразу начать выбор.
Это «база». Выбор ПО без понимания цели для этого ПО обычно приводит к таким результатам:
- быстрый пилот и очень долгое согласование закупки. Потому что ЛПР или его руководство не понимает выгоды от внедрения и какие «боли» будут «закрыты», и соответственно, не хочет платить денег, а сейл видит, что пилот прошёл быстро и гладко и не понимает почему нет оплаты.
- бесконечный пилот. Потому что требования к системе меняются и появляются в процессе пилотирования; возникают новые вопросы на основании прошлых ответов; пляшут туда-сюда запросы в КП.
- 100500 вопросов и запросов после покупки. С просьбами о доработках и донастройках.
- у заказчика в эксплуатацию попадёт система требоания к котрой будт не из задач бизнеса, а натянутые на возможности системы.
- недовольству руководства, т.к. деньги потратили, а результат может быть «не в фокусе».
Опять же, не забудем другую базу: «Без внятного ТЗ – результат ХЗ». Так что, если не понимать «какую боль» лечим – мы останемся болеть, но, возможно, уже без денег.
• Не определить «папа» и «мама» для ИБ системы.
«Папа» - это бизнес заказчик; тот, кто говорит какие цели нужно достигнуть; тот, кто будет спрашивать метрики.
«Мама» - это подразделение которое будет ответственное, что система «доступна, целостна, конфиденциальна»; тот, кто запросит сколько ресурсов нужно для системы; тот кто будет обслуживать систему; с кого будут спрашивать, если сервис будет недоступен.
В итоге, скорее всего, систему будут стараться не брать на баланс и обслуживание, видя в ней только трату времени. Возможны неожиданные тормоза и зависания системы из-за несогласованности или неверных ресурсов. Очень возможно, не будет целей и метрик для системы.
15 лет назад я бы из этого списка сделал для себя чеклист✅ что нужно проверить, а затем переделал его в отчёт для СД о моей работе 😋
Этот рассказ-обучение в полном варианте я делал на КодИБ-Профи, и в сокращённом на CISO-Forum. Материала много, буду выкладывать в нескольких частях.
❇️ Блок про выбор системы, вендора, интегратора.
• Не определить цели зачем нужна ИБ система, а сразу начать выбор.
Это «база». Выбор ПО без понимания цели для этого ПО обычно приводит к таким результатам:
- быстрый пилот и очень долгое согласование закупки. Потому что ЛПР или его руководство не понимает выгоды от внедрения и какие «боли» будут «закрыты», и соответственно, не хочет платить денег, а сейл видит, что пилот прошёл быстро и гладко и не понимает почему нет оплаты.
- бесконечный пилот. Потому что требования к системе меняются и появляются в процессе пилотирования; возникают новые вопросы на основании прошлых ответов; пляшут туда-сюда запросы в КП.
- 100500 вопросов и запросов после покупки. С просьбами о доработках и донастройках.
- у заказчика в эксплуатацию попадёт система требоания к котрой будт не из задач бизнеса, а натянутые на возможности системы.
- недовольству руководства, т.к. деньги потратили, а результат может быть «не в фокусе».
Опять же, не забудем другую базу: «Без внятного ТЗ – результат ХЗ». Так что, если не понимать «какую боль» лечим – мы останемся болеть, но, возможно, уже без денег.
• Не определить «папа» и «мама» для ИБ системы.
«Папа» - это бизнес заказчик; тот, кто говорит какие цели нужно достигнуть; тот, кто будет спрашивать метрики.
«Мама» - это подразделение которое будет ответственное, что система «доступна, целостна, конфиденциальна»; тот, кто запросит сколько ресурсов нужно для системы; тот кто будет обслуживать систему; с кого будут спрашивать, если сервис будет недоступен.
В итоге, скорее всего, систему будут стараться не брать на баланс и обслуживание, видя в ней только трату времени. Возможны неожиданные тормоза и зависания системы из-за несогласованности или неверных ресурсов. Очень возможно, не будет целей и метрик для системы.
- 🤔 3
- 🔥 1
Post #261
138
https://t.me/ib_note/249
Продолжаю. Часть про колледж.
✅ Место довольно приятное и опрятное. Стены не облуплены, сантехника в туалетах нормальная. В самом колледже есть музей девайсов: и старые кнопочные телефоны, и системные блоки. На входе рамка и охрана, но как обычно: рамка пищит, пропуска у меня нет, но есть фраза открывающая двери: «я на соревнования». В аудитории увидел забавную коробочку для хранения телефонов на время экзаменов :)
✅ Столовая совсем студенческая: в 20 лет, наверное, была бы норм, но сейчас я не нашёл в ней что поесть; супов нет, овощей считай нет, еда в пластиковых контейнерах. Салат цезарь и шаурма, с чаем в пластиковых стаканчиках; картофельное пюре и котлета привезённые откуда-то.
✅ Терминалка оборудована вменяемыми компами сборки ICL с двумя мониторами; шкаф с телекоммуникационным оборудованием для обучения от Eltex. Не спросил, но надеюсь что ребят учат обжимать витую пару :) В стойке куча всяких буклетов от разных вендоров ИБ и ИТ.
А вот по ПО начался диссонанс: пообщавшись с преподавателями узнал, что ОС для рабочих мест укомплектовывали Альты, виртуальную структуру для лабораторных работ Ред …. Странно, видимо, были разные тендеры от разных ведомств. На самих ПК стоит винда и виртулки запускают локально в Вмваре / виртуалбокс… тоже не совсем понятно почему не наши линукса на ПК.
✅ Студенты такие студенты :) обсуждают кто во что играл, где поесть, как устроиться на работу после учёбы. Немного обсуждали с преподавателями темы дипломных работ – это было очень интересно. Радует, что стараются делать темы такими, чтоб они сразу зашли как практический опыт на первом собесе. Например, очень упрощённо:
• «Подружить континет и випнет». В одном ведомстве реализовали защищённый канал на Континенте, в другом на Випнете. А обмениваться данными нужно. Задание: наладить этот процесс.
• «Защищённая сеть из АРМ с 1С». Есть АРМ с 1С в головном офисе, есть филиалы, и там тоже свои рабочие места с 1С. Нужно организовать защищённую сеть.
По рассказам и огню в глазах видно, что будут работать по специальности. Значит смена растёт 👍, значит не зря вендоры участвуют в проектах по лабораторным работам, вебинарах и обмену опытом.
Продолжаю. Часть про колледж.
✅ Место довольно приятное и опрятное. Стены не облуплены, сантехника в туалетах нормальная. В самом колледже есть музей девайсов: и старые кнопочные телефоны, и системные блоки. На входе рамка и охрана, но как обычно: рамка пищит, пропуска у меня нет, но есть фраза открывающая двери: «я на соревнования». В аудитории увидел забавную коробочку для хранения телефонов на время экзаменов :)
✅ Столовая совсем студенческая: в 20 лет, наверное, была бы норм, но сейчас я не нашёл в ней что поесть; супов нет, овощей считай нет, еда в пластиковых контейнерах. Салат цезарь и шаурма, с чаем в пластиковых стаканчиках; картофельное пюре и котлета привезённые откуда-то.
✅ Терминалка оборудована вменяемыми компами сборки ICL с двумя мониторами; шкаф с телекоммуникационным оборудованием для обучения от Eltex. Не спросил, но надеюсь что ребят учат обжимать витую пару :) В стойке куча всяких буклетов от разных вендоров ИБ и ИТ.
А вот по ПО начался диссонанс: пообщавшись с преподавателями узнал, что ОС для рабочих мест укомплектовывали Альты, виртуальную структуру для лабораторных работ Ред …. Странно, видимо, были разные тендеры от разных ведомств. На самих ПК стоит винда и виртулки запускают локально в Вмваре / виртуалбокс… тоже не совсем понятно почему не наши линукса на ПК.
✅ Студенты такие студенты :) обсуждают кто во что играл, где поесть, как устроиться на работу после учёбы. Немного обсуждали с преподавателями темы дипломных работ – это было очень интересно. Радует, что стараются делать темы такими, чтоб они сразу зашли как практический опыт на первом собесе. Например, очень упрощённо:
• «Подружить континет и випнет». В одном ведомстве реализовали защищённый канал на Континенте, в другом на Випнете. А обмениваться данными нужно. Задание: наладить этот процесс.
• «Защищённая сеть из АРМ с 1С». Есть АРМ с 1С в головном офисе, есть филиалы, и там тоже свои рабочие места с 1С. Нужно организовать защищённую сеть.
По рассказам и огню в глазах видно, что будут работать по специальности. Значит смена растёт 👍, значит не зря вендоры участвуют в проектах по лабораторным работам, вебинарах и обмену опытом.
- 🔥 3
- 👍 2
Post #260
1.17K
#мем
- 😁 2
Post #259
181
Пригрузило работой, пишу большой пост не так быстро, как хотелось бы. А пока, #мем
- 😁 6
Post #258
203
#мем
- 👍 4
Post #257
188
#мем
- 😁 8
- 👀 2
Post #250
208
Мне, как родителю школьника, регулярно пишет письма ГИС НСО «Электронная школа». В том числе есть письмо с советами по ИБ от «ГУ МВД России по Новосибирской области» и … ссылкой на видео ролики.
Интересно, они сами-то знают, что ссылка на Я.Диск уже протухла?
Всё, всё - убираю руку от лица и приложу сюда эти ролики:
1. Вдруг кто-то очень хотел их посмотреть, но опоздал.
2. Зацените специальное творчество специальных людей.
3. В целом спич от старшего лейтенанта содержит правильные вещи, и его можно показать пенсионерам. Они к информации от «милиционера» прислушаются тщательнее.
Интересно, они сами-то знают, что ссылка на Я.Диск уже протухла?
Всё, всё - убираю руку от лица и приложу сюда эти ролики:
1. Вдруг кто-то очень хотел их посмотреть, но опоздал.
2. Зацените специальное творчество специальных людей.
3. В целом спич от старшего лейтенанта содержит правильные вещи, и его можно показать пенсионерам. Они к информации от «милиционера» прислушаются тщательнее.
- 😁 2
- 💯 2