Security nomad

Итак, Петра...

Обычно, когда речь заходит о ней, перед глазами предстает Эль-Хазне (то ли храм, то ли сокровищница - слово "Казна", кстати, имеет то же происхождение)... Но это супер-упрощенное представление о Петре.

На самом деле, это огромный город, вырезанный в стенах каньона из красно-желтого песчаника. Каньон, по большей части, имеет метров 5-10 в ширину. И километра 3-4 в длину. В местах расширения - расположены основные... Постройки?.. (Корректно ли применять это слово в отношении зданий, которые вырезали в камне?)

Та самая Эль-Хазне находится где-то в километре от входа в каньон. И после нее, как вы поняли, он тянется ещё на довольно большое расстояние. Транспорт по Петре брать не советую. Лошади на первые 500 метров от входа, формально, включены в стоимость билета. Но, как это часто бывает - залезть можно бесплатно, а вот слезть, не заплатив, не выйдет. По территории так же катаются электромобили, но единого билета "от начала до конца" там нет - вам придется проплачивать отдельно несколько кусков маршрута длинной примерно по километру, каждый раз пересаживаться и ждать, пока наберётся полная машина народу. И итоговый ценник выйдет очень внушительным. Да и по времени сэкономить вряд ли получится. Так что, рассчитывайте на то, что и туда, и обратно - вы пойдёте пешком.

По-хорошему, на Петру надо закладывать целый день. У нас было чуть меньше 4 часов, и этого времени не хватило - очень много разных построек, которые хочется осмотреть. Плюс, есть ночные экскурсии в Петру - как я понимаю, там очень много подсветки, и выглядеть это все должно ещё более величественно. Я бы сказал, осмотреть всю Петру днём, остановиться в Вади-Муса и прийти, глянуть основные объекты ночью - лучший вариант ее посещения.

Но да, очень важное напоминание - если вы соберётесь в Петру, даже в теплое время года, думаю, лучше брать с собой одежду, которая сможет вас защитить от ветра. А уж, если соберётесь, как я, зимой - и подавно. Ветры в Иордании, в целом, довольно сильные, и стены каньона ситуацию не спасают, а, как будто, наоборот, ухудшают...

Старожилы этого канала помнят, что когда-то тут публиковались посты не только про кибербез, но и про мои поездки... (Слово nomad в названии - как раз, про это). И кое-кто из этих старожилов на днях намекнул мне, что я офигел, так долго не писать ничего про свои путешествия. Поэтому, исправляюсь...

Ниже будет пара постов про новую страну в моем списке посещенных. Буквально, 13 декабря она ввела безвиз для россиян. Туда есть дешёвые ежедневные рейсы с Кипра, поэтому, я решил, что мне срочно надо побывать в Иордании! Тем более, страна маленькая - можно посетить все объекты за короткие Кипрские зимние праздники. Мы заложили всего 3 суток - спойлер, для полного комфортного знакомства, думаю, лучше закладывать на 1-2 дня побольше. Но не сильно много, если вы не планируете устраивать долгий пляжный отдых на берегу Мертвого Моря)

Я бы не сказал, что страна подходит для удаленщиков. Отели и жилье дорогие, интернет не самый стабильный, да и общая обстановка в регионе спокойствия не добавляет. Но посетить страну, однозначно, стоит - возможно, не отдельным отпуском, а в рамках поездки по региону... Например, если соберётесь в тот же Египет.

Ключевые точки, которые обязательно надо посетить (и, в целом, большая часть обзорных туров по страна включает все три) - это, конечно, Петра, Вади-Рам и Мертвое море. И, по-хорошему, как минимум, на Петру, а лучше на каждую из этих точек, лучше закладывать сутки. Плюс дорога между точками - ещё часов 12 суммарно. Но такой вариант прокатит только если брать машину, что делать я тоже не советую - привыкнуть к местным ПДД вы вряд ли успеете)

Если вдруг решите брать тур - мы брали этот (за рекламу, к сожалению, мне не платили, но ребята своё дело знают - был один косяк, но смогли исправить его быстро)

Столица страны, Амман, меня не впечатлила. Очень похож на Каир (а Каир возглавляет мой топ нелюбимых городов), но побогаче, поменьше и не такой криминальный - вооруженной до зубов полиции на каждом углу, как в том же Каире, я там не видел. При этом, Иордания - более дорогая страна, чем Египет. Хотя, до каких-нибудь Эмиратов ей, конечно, очень далеко, учитывайте это при планировании поездки.

Ну дальше будет краткий рассказ про все основные достопримечательности...

Попросил автора статистики из поста выше обсчитать чисто рынок ИБ-вакансий.
Тут, кстати, пики найма соответствуют моим личным ощущениям, о которых я писал ранее - просадка не только зимой, но и летом. Получается, эта фишка уникальна для ИБ? 🤔

Глобально - результаты довольно ожидаемые. Комфортнее всего на рынке труда себя чувствуют MLSecOps. Дальше идут DevSecOps и AppSec. Все остальные специальности примерно на одном уровне, а вот тяжелее всего приходится soc-специалистам. Кстати, не знаю, почему. Была версия про популярность курсов по этому направлению, но, мне кажется, курсы по пентесту даже большее число онлайн-школ запускает. А у пентестеров таких проблем нет... Спрос на специалистов SOC/pentest, как будто, тоже не так сильно отличаются. У кого есть идеи?

Что ж... Пощупал я эти ваши белые списки...

Хорошие новости - обойти их текущую реализацию все ещё можно. Плохие - задача становится все сложнее.

Для тех, кто в танке - в отдельных регионах РФ начиная с этого года перешли на новую модель блокировок сайтов. Если раньше все блокали по принципу черного списка - "все, что не запрещено явно - разрешено", то теперь начали пользоваться моделью "белых списков" - "все, что не разрешено явно - запрещено".

На практике это означает, что теперь там, где с черных списков перешли на белые, доступны лишь несколько десятков сайтов, типа госуслуг, банков, яндексовых сервисов и маркетплейсов. Плюс, все классические способы обхода, типа базовых прокси и VPN, перестают работать.

Внедряется такое пока локально - иногда в отдельных регионах, иногда - в отдельных городах, иногда, вообще, в пределах одной конкретной вышки (рядом с военными объектами), и, обычно, только для мобильного интернета. Но, что-то мне подсказывает, проблема будет усугубляться...

По сути, все, рабочие методы обхода, которые я смог найти на данный момент, либо тяжело масштабируются и имеют не высокую скорость (на данный момент - при сохранении тенденций на такие методы блокировок, методы их обхода тоже будут дорабатываться) - типа DNS-тунеля, либо основаны на попадании в узкую шёлку, которую разработчикам этих блокировок, скорее всего, пришлось оставить из-за сложного процесса разработки приложений, которые попали в этот БС. К подобным методам обхода относится, например, поднятие определённых VPN-протоколов (тот же xRay) на "православных" облаках (типа яндекса-сбера) и маскировки траффика под сервера белосписочных приложений (предположу, что фильтрация подключений к адресам, выделенным для этих облаков, просто, немного ослаблена, чтоб ненароком не заблочить что-то нужное). При должном уровне автоматизации, эту щёлку смогут, если не закрыть наглухо, то, как минимум, сделать ещё уже. Плюс, поднимать такие протоколы на своих именных серверах на "православных" облаках... Идея, как минимум, сомнительная.

Из любопытных особенностей - белые списки работают очень неравномерно. О том, что стандартные блокировки работают по-разному в зависимости от провайдера и региона, в целом, думаю, уже все знают. Но белые списки работают по-разному даже в пределах одного города и одного провайдера. Судя по всему, их настройки пока раскатываются не автоматически, поэтому, на каждой вышке они свои. И, когда ты идёшь/едешь по городу, а твой телефон переключается с одной вышки на другую, у тебя могут перестать работать одни способы обхода и начать работать другие.

Тенденция, конечно, очень невесёлая... Учитывая, что БС доходят до всё большего числа регионов, и все больше городов вводят их не как временное решение, а, как минимум, "до окончания войны" - думаю, ситуация будет все усугубляться, а средства осуществления блокировок по БС - лишь дорабатываться...

Тут в одном из чатов человек заморочился и посчитал с помощью ИИшек hh-индекс (я когда-то писал об этой штуке вот в этом посте) для разных направлений ИТ и для разных грейдов.
Статистика вышла интересная...

Давайте сразу по интересным для меня (и, думаю, для вас), выводам:
- Получается, до сих пор, не смотря на обилие онлайн-курсов, инфобез остаётся отраслью ИТ с одной из самых низких конкуренций за вакансию
- Число вакансий в Инфобезе продолжает расти год от года (опять же, в отличие от многих других областей ИТ)
- Сезонность найма. Субъективно - со статистикой не согласен, ещё летом бывает сильный провал, не только после Нового года. Но кто я такой, чтоб спорить с числами?)
- В вакансиях для синьоров, всё ещё, рынок перегрет в сторону сотрудника - на месте джунов тут я бы вздрогнул... На мой (не экспертный) взгляд это означает, что рынку ещё есть, куда остывать. И остывать он будет, скорее всего, не только в синьорском секторе...