Пакет Безопасности

Так-так-так

А вот и информация об одной из активностей, о которых я недавно упоминал. А именно, о той самой, где я вписался в благотворительный конкурс для начинающих безопасников (школьников и студентов).

Если коротко, то разыгрываем 6 билетов на тот самый PhD, который пройдет уже 23-26 мая. Плюс к этому, мы сформировали фонд в 120к на оплату дороги для тех, кто выиграет билеты, чтобы территориальные ограничения вас не остановили.

Ну а чтобы поучаствовать – нужно отправить отчет о своей самой интересной/крутой уязвимости/баге в специального бота (в общем, почти как в Pentest Awards). Заявки принимаются до 13 мая, результаты будут уже 17-го мая. Так что берем

Если подробно, то всё расписано вот тут – https://t.me/yrrp_official/6

Да пребудет с вами сила 🎩

Думаю, тут обойдемся без лишних комментариев.

#КиберМем

Твой Пакет Безопасности

А вот и воскресенье

Воскресного дайджеста сегодня не будет. Понимаю – грустно, больно, обидно, канал уже не тот, автор обленился, а вот в наши времена было лучше и вот это вот всё. Ну ничего, всё, что нас не убивает, делает нас слабее сильнее.

Ну а пока я возвращаюсь на родину и жду в гости ребят из Positive Technologies, чтобы нам наконец-то дали PhD-билеты на розыгрыш, расскажу вам немного о том, что скоро будет в канале и вообще в нашей жизни.

Во-первых, скоро уже случится анонс следующего Pentest Awards, куда меня пообещали позвать членом жюри.

Во-вторых, мы с парочкой админов других ИБшных каналов заказали для вас Flipper Zero и горстку профильных книг для розыгрыша.

В-третьих, скоро опубликую информацию о том, как я решил вписаться в одну благотворительную историю с другими ребятами из мира кибербеза (там будет нечто годное для тех, кто пока не может себе финансово позволить посещать крутые, но платные ИБшные мероприятия).

В общем, жизнь кипит, мы движемся вперед и делаем (конечно же вместе) этот мир только лучше.

Твой Пакет Безопасности

В общем, это было круто!

Спасибо всем, кто послушал доклад, кто не постеснялся подойти (сам я не справился бы), с кем познакомились. Крутая страна, крутой город, крутая конфа.

По-дороге успел забежать на подкаст и дать небольшое интервью другим интересным ребятам, поэтому, возможно, скоро поделюсь ссылкой. Как-то так. Ловите небольшой фотоотчет.

В следующий раз встретимся на конференции в Майями 😎

Твой Пакет Безопасности

​Крипта – СКАМ

Про зарплаты и деньги в ИБ поговорили, теперь настало время поболтать и о том, как всё это добро не потерять. Думаю, что многие из вас слышали или смотрели интервью и выступление Паши Дурова на дубайском криптофоруме. Также, наверняка многие из вас слышали или хоть раз, да пользовались встроенным в Телеграм криптокошельком wallet.

Так вот, в последнее время появилось что-то очень много мошеннических схем, связанных с криптой TON (которая якобы никак не связана с основателем Телеграм) и этим встроенным кошельком. Более того, несколько человек из моего окружения даже повелись на такие схемы. Кажется, что всё это также было спровоцированно появлением детища TON – NOT Coin. Да, эта монета и игрушка были призваны популяризировать криптовалюты среди масс, но о побочках, кажется, никто не задумался. Как тыкать на монетку людям объяснили, а вот как свои кошельки защищать – забыли. Так что погнали разбираться, что там за схемы такие. В целом, по классике, никто ничего нового не придумал, просто обернул в свежую оболочку и подогнал под ситуацию.

Первая схема – вам пишут якобы от службы поддержки того самого Wallet с просьбой верифицировать свой профиль, чтобы не потерять свой кошелек и защититься от участившихся взломов. Да, процесс верификации действительно существует в этом сервисе, но вот происходит она обычно немного иначе. Тут же вам просто присылают ссылку, где вам надо ввести одноразовый код из сообщения от Телеграма. Дальше ваш аккаунт успешно угоняется, крипта снимается, юзернейм освобождается. Делается это все за считанные минуты.

Сам Wallet постоянно напоминает своим пользователям, что его поддержка никогда не связывается с пользователями первая. Ну а я вам напоминаю, что единственный официальный юзернейм этого кошелька – @wallet (не реклама). И там внутри вы уже и криптой покрутить сможете, и в поддержку написать, и пароль поставить (обещали скоро завезти эту функцию, возможно уже есть).

Вторая схема связана с тем, что тот самый пресловутый NOT Coin скоро должен появиться на криптовалютных биржах, где им можно будет официально торговать, продавать свои натыканные монетки и вот это вот всё. Во многих чатах, комментариях под постами в каналах (наш канал не исключение) начали появляться сообщения о том, что "ну наконец-то можно продать свои НОТкоины и стать миллионером, скорее переходи по ссылке". Благо тут уж совсем заморачиваться не стали, и схема палится уже по заголовку.

В общем, если залезаете в крипту, то будьте готовы к тому, что этот "анонимный" мир не так уж и безопасен. Думаю, что скоро сделаю еще подробный пост про безопасность в Телеграме с описанием детальной настройки своего аккаунта. Если вам такое надо – можете навалить реакций под пост. Ну и по традиции – пересылайте своим криптодрузьям, чтобы они не лишись своих кровно заработанных деняк.

#Кибергигиена

Твой Пакет Безопасности

Ну что за красота

Да, я всё еще слаб на всё красивое. А тут еще и полезное. Если вы вдруг собираетесь строить DevSecOps, пытаетесь в нём разобраться или не уверены, что у вас он полноценный, то беглым взглядом сможете сразу понять, чего не хватает из самого основного.

Тут и про управление секретами и уязвимостями, и про контейнерную безопасность, и про моделирование угроз. В общем, всё самое необходимое, чтобы защитить свои активы и спать спокойно, пока продуктовые команды доносят ценность до пользователей.

Сохраняем, распространяем и радуемся.

UPD: в комментариях есть файл в нормальном качестве 👇

#Полезное

Твой Пакет Безопасности

Кстати, у меня таки дошли руки до создания собственного мерча (ну сколько можно уже ходить и побираться по конференциям). Вы только посмотрите, какая красота. И это только один из дизайнов ☝️

Пока я не придумал, как этот мерч распространить, так что ходить в этой красоте буду только я 😎

Всем добра.

Твой Пакет Безопасности

Продолжаем нашу рубрику по освоению английского через мемы. Но теперь наоборот.

#КиберМем

Твой Пакет Безопасности

Сегодня нагло оставляю вас без воскресного дайджеста. Но, несмотря на праздники и сбор чемоданов в Казахстан (ну конечно же на тот самый AppSecFest), постам на следующей неделе быть 🤝

А так, всем хорошего праздничного отдыха, любви и мира 🖤

Твой Пакет Безопасности

​Открытые источники

Все мы любим опенсорс (ну или не все). Особенно тот опенсорс, который из коробки работает как надо и не требует очень много доработок при натягивании его на свой ландшафт, сервисы или инфраструктуру.

Так вот, ловите крутую подборку самых популярных и быстрорастущих проектов в области безопасности с открытым исходным кодом – Open Source Security Index.

Само собой, тут и попсовый trivy, и олдскульный wireshark, и не всеми принятый ruff затесался. Помимо перечня названий и ссылок на проекты тут есть и краткая аналитика по ним с удобной сортировкой – категории, кол-во контрибьюторов и наблюдателей, коммитов и форков, и так далее.

В общем, очень удобная штука, особенно, если денег на строительство ИБ вам насыпают не очень много. Ну или решения вендоров вас очень сильно не удовлетворяют.

Пользуйтесь на здоровье, как говорится.

#Полезное

Твой Пакет Безопасности

Я тут осознал, что знаю лично или заочно уже очень большое количество интересных и харизматичных людей из индустрии кибербеза. И это натолкнуло меня на мысль о том, что пора начинать записывать собственные подкасты.

Делать что-то строго в формате строгих интервью или новостных разборов мне не очень хочется. Хочется чего-то более легкого и скорее в формате обычного диалога с поднятием на поверхность каких-то интересных или волнующих многих тем.

Так что, если у вас есть идеи того, что можно обсудить, разобрать, обкашлять на грядущих подкастах – вэлкам в комментарии 👇

Так-так-так, а что это тут у нас?

Правильно, это я всё еще пытаюсь залезть в каждую дырку мира кибербеза, чтобы рассказать о нашем крутом канале и сделать этот мир еще безопаснее 😓

На этот раз удалось заколлабиться с крутыми ребятами их КиберДома, где я еще раз пробежался по спойлерам из мира будущего, где все безопасники вымерли, как динозавры 😵

А что, если в мире не станет кибербезопасников?

Например, они внезапно исчезли в результате нового вируса, который стер навыки и знания по кибербезу из памяти этих спецов.

Что станет с бизнесом?

В новой рубрике #а_что_если руководитель направления архитектуры ИБ в МТС и автор канала Пакет Безопасности Роман Панин рассуждает, что будет, если в компании не выстроена система ИБ. На кейсах и примерах.

Прежде всего, его ждут DDoS- и другие атаки, которые могут уничтожить сайты, веб-сервисы, публичные API или мобильные приложения. А ведь с помощью них большинство компаний предоставляют услуги клиентам. Финансовые и бизнес-показатели точно не будут в плюсе.

Сейчас это защищено различными инструментами безопасников, но если их будет некому обслуживать, то эти ресурсы могут быть взломаны сразу же, как на них обратят взор хакерские группировки. В результате бизнес потеряет не только прибыль, но и репутацию, так как злоумышленники могут получить доступ к данным ваших клиентов.

Ситуация получается не самая приятная. Посмотрим поближе на то, как именно будет протекать процесс.

🔗 Первое время все будет хорошо, так как уже настроенные системы обеспечения безопасности (AntiDDoS, WAF, IDS/IPS и пр.) умеют частично работать в автономном режиме. Установленные правила обнаружения и реагирования будут какое-то время справляться с текущими атаками.

⚗️ Но никто не будет следить за мониторингом аномалий и пытаться понять, является то или иное событие начинающейся кибератакой. Это значит, что когда-то появятся реальные инциденты ИБ, проникновение внутрь периметра через свежие zero-day и нанесение вреда всему, до чего доберется злоумышленник.

После того, как все закончится, нужно понять, как произошел взлом, какие системы и данные он затронул, не оставил ли злоумышленник за собой следов, кто в этом виноват и как всего этого избежать в будущем. А так как специалистов по кибербезопасности в нашем мире уже нет, то полноценно расследовать инцидент будет некому.

#а_что_если
#Роман_Панин

🏠 Подписаться на Кибердом & Бизнес

Ну а мы продолжаем учить английский вместе с Пакетом Безопасности.
Знакомо? Узнали?

#КиберМем

Твой Пакет Безопасности

Кажется давно тут не было дайджестов, мои дорогие читатели. А сегодня, между прочим, еще и воскресенье. Так что настало время того самого, о чём все мы сейчас с вами подумали. Погнали!

⚡️ Кибермем, который мы заслужили – ссылка

⚡️ Шикарнейший подкаст со мной на тему личного бренда (и не только) в ИБ – ссылка

⚡️ Не всё то золото, что в ЭппСторе лежит – ссылка

⚡️ Анонс выступления на казахстанском AppSecFest 2024 на тему профессионального выгорания в сфере кибербезопасности – ссылка

⚡️ Красивый майндмап на тему того, что еще можно изучить в ИБ – ссылка

⚡️ Кулуарные разговоры о зарплатах в том же самом ИБ – ссылка

Твой Пакет Безопасности

​Разговоры о важном (конечно о деньгах)

Читал я тут ИБшные телеграм-каналы и мой глаз зацепился за один пост про то, что безопасникам мало платят. Сразу захотелось влететь в комментарии с двух ног и развеять этот миф, но я решил расчехлить свою клавиатуру и написать на эту тему целый пост. Так что погнали.

Начнем с того, что я уже не раз писал на эту тему посты (например тут), освещая аналитические отчеты по медианным зарплатам. Да, когда-то ребят из кибербезопасности действительно недооценивали. Но время идет, количество угроз и кибератак увеличивается, бизнес растет и осознает, насколько порой дорого и больно переживать инциденты безопасности. На рынке осталось уже крайне мало компаний (это при том, что многие попросту это скрывают), которые не прочувствовали на себе атаки хакерских группировок и их последствия.

Плюс к этому, безопасники уже осознали, что надо не просто работать свою работу, но и доказывать ценность ИБ, а не только ругать и выставлять требования. И это одна из тех причин, по которой бизнес уже не стесняется отгружать в сторону безопасности достаточное количество денег, чтобы не страдать и не переживать простой своих сервисов или цифровых продуктов.

Само собой, деньги отгружаются не только на безопасные инструменты и внедрение безопасных практик, но и на найм квалифицированных специалистов. Я лично знаю не мало ребят из кибербеза, которые в отечественных компаниях получают более 500 000 рублей, что не так уж и мало даже на фоне коллег из IT.

Более того, дефицит на рынке кадров также качественно влияет на повышение уровня зарплат в ИБ. Я регулярно вижу вакансии от 600 000 рублей на руки. Аналогично, я вижу и резюме кандидатов, некоторые из которых готовы разговаривать с потенциальным работодателем только ради предложений от 760 000 рублей в месяц. А раз они столько хотят, значит кто-то столько готов будет заплатить (да, я в это верю).

Да, это всё будет не сразу, и для того, чтобы получать/забирать такие офферы, понадобится какое-то время строить свою карьеру и вовремя менять компании, кратно увеличивая свой доход, но, кажется, оно того стоит. И да, этот путь можно сократить, если знать, что и в какой момент нужно делать (нет, это не прогрев моего менторства).

Так что в кибербезе деньги есть. Тут точно интересно, здесь точно есть, чем заняться и куда расти. И да, зарплаты больше 1 000 000 тоже не миф. Так что берём себя в руки и идём строить свою карьеру без оглядки на всякие трудности, тяжелые времена и вот это вот всё.

Кстати, тут ребята из Cyber Media снова запустили свою премию Киберпросвет, так что айда подавать заявки, узнавать, насколько "вы достойны" и прокачивать свой личный бренд.

#Мнение

Твой Пакет Безопасности