Пакет Безопасности

Переходим кстати, не стесняемся. Лайки ставим, комменты пишем, форсим алгоритмы. Пора уже разогнать эту машину видео-контента.

Если наберем достаточно просмотров и вот этого всего, то соберемся еще раз и может даже позовем кого-нибудь в гости. Если будут пожелания по гостю, то вэлкам.

А вот и этот шедевр

Собрались как-то безопасник и айтишник (в общем, мы с Женей), чтобы обсудить одну вечную тему – конфликт интересов и противостояние между IT и ИБ. Ну а по-дороге затронули тайм-менеджмент, ИИ, хакеров, менторство ИБ, комьюнити, венчурные студии и стартапы.

Так что если у вас есть время и настроение послушать задушевный разговор двух ноунеймов, то это ваш шанс.

Ссылки на подкаст:
- 📹 YouTube
- 📺 VK Video
- 📺 Rutube

А еще Ютуб мне больше не дает прикреплять ссылки в описании к роликам, поэтому ловите их в комментах к этому посту.

⚡ ПБ | 😎 Чат | 🛍 Проекты

Пиксель, который смог

Пост тяжеловатый по сленгу, но суть, думаю, вы поймете.

Так вот, на заметку тем, кто следит за безопасностью мобильных устройств. Есть мнение, что Pixel 6+ с GrapheneOS не поддаются современным средствам взлома, включая инструменты цифровой криминалистики. Согласно документации Cellebrite Premium (версия 7.69.5 за июль 2024 г.), открыть Pixel 6 и выше с GrapheneOS невозможно. Главная причина – ARM MTE, которая усложняет атаки на память, а именно на них основано большинство современных эксплойтов.

Что я смог наковырять:
– GrapheneOS применяет универсальную защиту от эксплойтов (например, hardened_malloc), а не закрывает отдельные баги;
– в феврале 2024 появилась аппаратная блокировка USB-C;
– весной 2024 добавлен режим «только зарядка при заблокированном экране и усилена защита USB;
– заблокированное устройство автоматически уходит из AFU в BFU (After и Before First Unlock) через 18 часов;
– Titan M2 (налог T2 у Apple) на Pixel 6+ пока не поддается перебору.

Знакомые форензики и реверс-инженеры, которых я подоставал, с подобным взломом Pixel с GrapheneOS не сталкивались, но все пока сходятся во мнении, что это похоже на правду. В открытых источниках также нет подтвержденных кейсов успешного взлома Pixel с GrapheneOS.

Вопрос к подписчикам: кто-то работал с Pixel? Гугл реально сделал самое безопасное устройство на самой дырявой платформе?

⚡ ПБ | 😎 Чат | 🛍 Проекты

Ну что, верим в создание полноценного Министерства кибербезопасности? Или не верим Роспатенту?

⚡ ПБ | 😎 Чат | 🛍 Проекты

Мастхэв для параноиков

Есть у меня один любимый бытовой инструмент, который почему-то редко всплывает в подборках про кибербез. Хотя должен. Это Little Snitch – визуальный бытовой фаерволл, понятный обычным пользователям.

Представьте, что ваш ноутбук – это шумный офис, где каждое приложение ведет активную жизнь. Отправляет отчеты, стучится на сервера, передает «важную информацию начальству» или вообще пытается слить ее куда не надо. Но стоит запустить Little Snitch, и сразу видно, какие процессы активны, какие данные утекают, куда именно и в каком объеме.

Я вообще наткнулся на него когда-то давно, чтобы отрубить одному из приложений на компе доступ в интернеты. Вот как раз в Little Snitch можно блокировать, настраивать и всячески выстраивать фильтры. А еще – наблюдать за этим в почти медитативной визуализации потоков трафика, что весьма залипательно.

Понятно, что это не какой-то навороченный инструмент для ловли хакеров и не корпоративный DPI. Но если хочется навести порядок в сетевом трафике приложений и почувствовать себя немного безопасником в SOC или TI – самое оно. У Снитча кстати есть и аналоги, некоторые из которых даже бесплатные, но такого красивого интерфейса я пока не видел еще нигде.

P.S. Не реклама. Просто иногда полезно узнать, какие программы в вашей системе живут своей, очень разговорчивой, жизнью.

⚡ ПБ | 😎 Чат | 🛍 Проекты

Если это не шедевр, то что?

Над чем я смеюсь уже 2 дня...

Ну а я, как всегда забыл дописать в пост то, что изначально планировал. Помимо ребят с Локпика хотел еще похвалить и поддержать новоиспеченных коллег по цеху из Контур.Эгиды.

Вроде как, впервые они засветились еще на PhD (по крайне мере я их там заметил). На OFFZONE они тоже приехали со своим стендом, чтобы рассказать не про свои, и так всем известные, сервисы для малого бизнеса, а про кибербезопасные продукты.

Там все тот же минимально-необходимый состав решений для безопасного управления устройствами, для 2ФА, для контроля за пользователями и для аудита ИБ.

Почему пишу то про них – мне лично понравился квест на их стенде про поиск фишинговых писем, среди обычных. Думаю даже, что скоро напишу пост на эту тему, чтобы вы не только квесты потом проходить умели, но и компанию свою от шифровальщиков уберегали.

Фотографию я сделать с ними не успел, а значит будем наверстывать упущенное на следующей крупной конференции 🍟

А вот и пост про OFFZONE

Если коротко, то это было мощно. Если не коротко, то погнали.

Площадка в этот раз ощущалась намного лучше, чем в прошлом году, даже несмотря на погоду. Навигация конечно не из простых, но места будто стало больше, появилось больше уличных стендов и активностей.

Народу было очень много. В какой-то момент даже некомфортно-много. Продохнуть получилось только под конец второго дня, когда люди уже начали расходиться.

Мерча было много. Были как локальные призы от стендов компаний, так и централизованный мерч-шоп от самого Оффзона. Большинство людей ходило с огромными пакетами, набитыми до отказа, так что кажется, что добывать этот мерч было не супер сложно.

Нетворк царил тоже знатный, так как из-за плотности (по сравнению с PhD) найти знакомых было намного проще. Я лично там пересекся даже с теми, с кем и не рассчитывал увидеться.

С докладами мне не особо везло, так как программу я глянуть не успел и стихийно забегал в залы, попадая каждый раз на темы, постичь которые мой интеллект пока не способен.

Сами стенды компаний были достойными – кто-то кофе разливал, кто-то делал фото на память, кто-то плойки разыгрывал. Поиграть в старый Mortal Kombat, VR-игры и гонки жуков тоже можно было. Ну а еще там была возможность испытать свои физические силы на быке-родео.

Отдельное спасибо стенду ребят из the autopsy will tell, у которых была возможность поломать реальные замки и даже научиться снимать с себя наручники, застегнутые за спиной. Навык сомнительный, но лишним не будет.

Ну а после конференции была вечеринка от VK Bug Bounty, где я встретил еще больше знакомых лиц, и где нас всех удивили крутым драм-шоу (смотрим видео).

Суммируя, лично я конференцией доволен. Это было ярко, насыщенно и более чем атмосферно. Из отзывов людей, которые покупали билеты за свои кровные – все остались довольны. Ну а теперь погнали смотреть фотографии и видео.

Окак.

Вот он, вот же он! Воскресный дайджест!

🧠 В Пакете Знаний собралось уже больше 2,5 тысяч человек, что весьма приятно.

🗓 В Пакет Мероприятий календарь буквально порвался пополам из-за ограничений Телеграма.

📋 В Пакете Вакансий появилась информация о новых стажировках для кибербезопасников.

А еще:

⚡ Обсудили, какой же мессенджер самый безопасный/защищенный (наобсуждали больше, чем на 100 ко ментариев) – ссылка

⚡ Разобрались, что не надо давать доступ приложениям ко всей вашей галерее (делать этого, конечно же, никто не будет) – ссылка

А еще на этой неделе я успел записать с одним крутым человеком подкаст и добрать до архитектурного митапа от Сбера.

А еще вчера я добрался до изготовления мерча и до рассылки первой партии призов розыгрыша (наконец-то, ура).

А еще на этой неделе случился Оффзон, о котором я напишу уже в следующем посте, так как места в этом точно не хватит.

Ну и фоточки посмотреть не забываем 👇