Фриланс, который мы заслужили

Сегодня будет пост не про кибергигиену, а про что-то из мира тяжелого кибербеза, так что сядьте, пристегнитесь, вдохните и вот это вот всё.

Как вы помните (помните же ведь, да?), на последнем PHDays мне удалось помодерировать одну интересную дискуссию, посвященную новой вехе в сфере наступательного кибербеза. Так вот, у меня наконец-то дошли руки до того, чтобы накатать пост на эту тему.

Собственно, в селе пентеста и багбаунти появился новый сосед – кибериспытания. Зачем? Да затем, что остальных двух, судя по последним громким инцидентами, стало не хватать. Я лично сторонник теории, в которой от взлома нельзя защититься на все 100 процентов. Но и мне, как безопаснику, и бизнесу, которому потом месяцами восстанавливаться после инцидента, хочется все эти риски минимизировать и закрыть дыры до того, как их нащупает Анонимус.

Параллельно с этим, начал форситься и новый термин – киберустойчивость. Возможно он станет мемом, как и "результативный кибербез", а может и приживется, войдя в методологии и фреймворки – то мы узнаем уже позже. Ну а пока его формулируют, как знание о своих реальных рисках, прогнозируемость последствий и умение быстро справляться с недопустимыми событиями и восстанавливаться после них.

Именно это и сподвигает компании выходить на открытые кибериспытания – формат, в котором инфраструктура становится мишенью для этичных хакеров, и деньги платятся не за отчёт (как в пентесте и ББ), а за конкретный, успешно реализованный сценарий атаки. Не гипотетический, не симулированный, а настоящий. Такой, который в реальной жизни привёл бы к проблемам. Это касаемо компаний и безопасников в них.

При этом, со стороны этичных хакеров (которых, надеюсь, все-таки не будут отменять) бенефиты не хуже. По крайней мере, тот же Innostage, который в этой истории участвует еще с прошлого года, поставил на кон 20 миллионов рублей за успешную атаку с реальными последствиями. Цены конечно повыше, чем в ББ, но и задачка не из легких.

Из того, что я смог выяснить – участие принимает официально уже более тысячи человек, попыток атак зафиксировано уже порядка 1 млн (автоматизацию никто не отменял, но цифра то мощная), а недопустимых событий реализовано так и не было.

С одной стороны – круто, компания за счет этого может пиариться, показывая всем, насколько она реально защищена. С другой – взломать то можно все, и это только вопрос времени и ресурсов.

Возвращаясь к теме – кибербез цветет и пахнет растет, развивается, повляются все новые способы не только защитить свои активы, но и легально заработать, применив свои навыки. Радуюсь в общем.

⚡ ПБ | 😎 Чат | 🛍 Проекты