RED Security

Есть много причин посетить конференцию OFFZONE, например, доклад про безопасность serverless-приложений + некоторые особенности, связанные с этой темой.

🎙Спикер: Игорь Гребенец – эксперт по безопасной разработке МТС RED, занимается автоматизацией практик AppSec и анализом защищённости разрабатываемых продуктов.

⏰ 25 августа | 14:00-14:30 | Track 2

OFFZONE – это место, где собираются безопасники, разработчики, инженеры, исследователи, преподаватели и студенты. В центре внимания — только хардкорный технический контент по кибербезопасности.

Технический директор 🥚 RED Денис Макрушин посетил эфир AM Live. Денис и другие эксперты рассказали, как получить качественное образование и действительно востребованные знания по кибербезопасности.

Узнайте, какие существуют программы обучения, какие вузы специализируются на ИБ и какие навыки можно получить только на практике.

Ритейл занял третье место по количеству кибератак в первом полугодии 2023 года по данным аналитиков МТС RED. Ежемесячно на розничную торговлю приходилось в среднем >500 атак – на 70% больше, чем за аналогичный период прошлого года.

Почему так происходит?
Цифровизация бизнеса, использование Big Data и другие новшества помогают не только развивать бизнес, но и дают киберприступникам больше возможностей для атак.

Какие могут быть последствия кибератак для ритейла:
• утечка данных;
• финансовые потери (остановка продаж, штрафы со стороны регуляторов);
• нарушение бизнес-процессов;
• репутационные риски.

Как защититься?
В ритейле очень часто атаки реализуются через взлом системы одного из контрагентов. Поэтому для защиты своего бизнеса важно:
• мониторить цепочку поставок;
• проверять историю инцидентов контрагентов;
• оценить их систему защиты и то, как они обрабатывают ваши данные и данные ваших клиентов.

Можно ли измерить безопасность в разработке продукта?

Да, можно. Причём вариантов, что замерять, немало:
🔹 количество обнаруженных уязвимостей в коде;
🔹 уязвимости в «проде» – работающем продукте;
🔹 время на устранение уязвимости в коде.

Наиболее зрелые компании внедряют программы Security Champions и повышают осведомлённость своих разработчиков в вопросах безопасности, а потом измеряют эффективность своих программ обучения.

Все неравнодушные к безопасности компании-разработчики что-то и как-то меряют. Но что именно и как – остаётся вопросом.

На скриншоте выше мы приоткрываем завесу, а за ней… 🥁 панель управления платформы безопасной разработки – то самое решение, про которое мы обещали рассказать в прошлом посте.

У платформы есть несколько существенных плюсов:
+ она наглядно показывает разработчикам насколько эффективна безопасность;
+ помогает сократить time-to-market безопасного продукта;
+ позволяет оценить риски использования сторонних опенсорс-компонентов в цикле разработки.

Ключевые метрики безопасной разработки обсудим в отдельном посте, а пока запоминаем аббревиатуру: ASOC.

Проблемы информационной безопасности касаются каждого.

Особенно программистов. И сейчас расскажем почему 👇

Программы редко пишутся с нуля. Обычно они основаны на уже готовых компонентах с применением Open Source (свободно распространяемого ПО). В последнее время злоумышленники всё чаще внедряют в эти компоненты зловредное ПО, и уже появились новости о сразу двух типах кибератак на цепочки поставок Open Source.

Киберпреступники вмешались в процесс получения обновлений компонентов и снабдили их зловредными программами, которые прошли мимо ничего не подозревающих разработчиков и нарушили безопасность сервисов.

Решением, которое позволяет выявить подобные проблемы и вовремя их устранить, может стать применение специальных инструментов проверки безопасности кода. И скоро мы расскажем об одном из них подробнее 😏

Трансляция эфира начнётся через час ⏳

Напоминаем, что тема обсуждения: Образование и кадры. Как решить кадровый вопрос в ИБ?

Приглашаем всех 🙌🏼

Одна из главных проблем современного рынка ИБ в России – это нехватка специалистов. И вопросов, связанных с утолением кадрового голода, больше, чем в названии передачи «Что? Где? Когда?».

1. Что происходит с рынком труда в отрасли кибербезопасности?

2. Где искать крутых сотрудников?

3. Когда состоится прямой эфир, где можно будет разобраться со всем этим?

У нас есть ответ на третий вопрос: 11 августа | 11:00 (МСК).

А чтобы получить ответы на первые два вопроса и задать что-то от себя, рекомендуем перейти по ссылке и посмотреть эфир, либо его запись.

Кстати, там будет технический директор МТС RED Денис Макрушин, а он, поверьте, разбирается в крутых специалистах и местах, где они обитают.

После очередной волны утечек Роскомнадзор поделился интересной статистикой:

🔹 В России за два года почти в 40 раз выросло количество утечек персональных данных пользователей.
🔹 За весь 2022 год зафиксировано >140 случаев, а за семь месяцев 2023 года в РКН уже зафиксировали >150 подобных инцидентов.
🔹 Существенно вырос спрос на базы данных, в которых содержится личная информация: медицинские анализы, выданные займы и даже доставка продуктов.

Статистика Роскомнадзора говорит кричит не только о том, что растёт количество атак, но и о том, что компаниям, которые работают с личными данными, пора открыть глаза и принять необходимые меры для сохранности своих данных и данных пользователей. То, что могло защитить и спасти несколько лет назад, сегодня для современных взломщиков выглядит как легкая прелюдия.

Общее число атак на клиентов МТС RED из сферы услуг за первые 6 месяцев 2023 года выросло почти в 8 раз по сравнению с аналогичным периодом 2022 года. При этом все эти атаки были успешно отражены.

Берегите себя и свои данные 🙌

Объём фишинга вырос на 40%, по сравнению с первым полугодием 2022 года.

Аналитики 🥚 RED постарались, провели опрос и приготовили несколько интересных цифр и фактов по фишингу за первое полугодие 2023 – см. карточки 👆🏼

Что тут скажешь, ни стыда, ни совести! Мошенники пользуются стремлением к быстрому заработку, поэтому чаще всего маскируются под представителей банка и предлагают увеличить ваши накопления 🤑

«Недостаточно внимательные пользователи в случае получения фишинговой рассылки рискуют скомпрометировать свои конфиденциальные данные, а также утратить доступ к личным аккаунтам в различных сервисах», – отмечает руководитель центра сервисов кибербезопасности компании МТС RED Андрей Дугин.

1234qwerty

Если это 👆 похоже на ваш пароль или пароль ваших родных, то мы умоляем рекомендуем посмотреть эфир технического директора МТС RED Дениса Макрушина на Первом канале.

Денис рассказал, как легко и просто придумать сложный пароль, до которого не доберутся злоумышленники. Формула проста:

1. Кодовое слово (любимое произведение или город, где вы родились), состоящее из символов разного регистра.
2. Название сервиса, для которого нужен пароль (так воришкам будет ещё сложнее подобрать пароль, а вам проще запомнить).
3. Цифры (часть вашего номера телефона).
4. Спецсимволы (ими можно заменить буквы в кодовом слове, например, вместо S использовать $).

Если вы родились в Астрахани и регистрируетесь в МТС Банке, то примерно так может выглядеть ад для взломщика: A$traXaHb^39*MTSbank

А если вы фанат Гарри Поттера, то даже "алахамора" не вскроет такую защиту: H@RryP()Tter&MTSstroki*42

Помогите своим бабушкам поставить надёжный пароль, чтобы рецепт вкусных семейных пирожков не ушёл к хакерам и оставался в секрете.

Про анализ защищенности и пентест вы уже читали. Пришло время поговорить о Purple Teaming.

Если в вашей компании пентесты проходят чаще, чем корпоративы, а уязвимость периметра под контролем, то для совершенствования процессов реагирования на киберугрозы можно перейти к мероприятиям в рамках Purple Teaming.

В ходе Purple Teaming команда атакующих имитирует действия реальных злоумышленников во время хакерских атак на основе матрицы MITRE. Благодаря этому компания может проверить свою устойчивость к реальным угрозам, оптимизировать ресурсы команд и сократить время и затраты на совершенствование уровня ИБ.

По итогу Purple Teaming мы помогаем сформировать плейбуки – сценарии, которые описывают действия всей компании при возникновении инцидентов в ИБ и помогают нивелировать возможный финансовый и репутационный ущерб.

Уровень защищённости нужно поддерживать — в том числе с помощью регулярных тестирований на проникновение или мероприятий в формате Red Teaming, про который мы скоро напишем отдельный материал.

Также читайте статью нашего эксперта отдела анализа защищённости Вадима Шелеста про подход к Purple Teaming в 🥚 RED.

Продолжаем рассказывать о команде МТС RED. Сегодня познакомимся с нашим R&D департаментом и его техническим директором – Денисом Макрушиным.

Мы попросили Дениса рассказать о своей работе, а он скромно ответил: «Мы спасаем мир». И куда-то убежал. Поэтому нам пришлось применить навыки OSINT и искать информацию про наш R&D в открытых источниках.

Какие люди нужны команде R&D?
Самостоятельные, проактивные, инициативные – именно такие люди собираются в команде RnD. Практически любой из них может запустить свой стартап. И они запускают.

Чем они занимаются?
Команда R&D проводит исследования и разрабатывает ключевые технологии, которые являются фундаментом современной ИТ-инфраструктуры. Об этом говорят крупные опенсорс-проекты, в которых наши сотрудники являются контрибьюторами: Golang, Snort, AFL++. Возможно, этих проектов ещё больше. Как найдём – расскажем 😉

Что мотивирует команду Дениса Макрушина?
Судя по всему, их мотивирует возможность изменить мир. Но это не точно.

Чем Денис увлекается помимо работы?
Мы нашли его видеозаписи спусков на даунхилл-байке, на сноуборде и даже на рафте. Денис проводит открытые лекции для студентов кафедры «Криптология и кибербезопасность» в НИЯУ МИФИ. Делаем вывод, что Денис любит заниматься экстремальным спортом и делиться опытом. Эту информацию можно легко найти в телеграм-канале Дениса.

Где ещё можно найти Дениса?
Проще всего найти его на YouTube, например, в этом видео с уже знакомым вам Андреем Дугиным вы узнаете про путь от ИТ к ИБ.

Если вы тоже хотите работать в команде 🥚 RED – переходите по ссылке и выбирайте подходящую вакансию.

Писать в резюме «уверенный пользователь ПК» уже не актуально, а вот что сегодня действительно важно для компании и её безопасности – так это киберграмотность сотрудников.

С 2020 года объём направленного на компании фишинга (мошенничество через рассылки с целью получения доступа к данным) удвоился, а уровень киберграмотности сотрудников остался невысоким, и мошенники с большой охотой этим пользуются.

МТС RED и Phishman провели исследование и выяснили, что 80% всех киберинцидентов вызваны именно человеческим фактором. Доколе можно это терпеть? 😤

Хорошо, что есть программа повышения киберосведомлённости – Security Awareness. Уже после первого месяца такого обучения количество инцидентов, связанных с фишингом, снижается на 70%.

Подробнее о наших исследованиях и рынке Security Awareness можно почитать в новой статье ТАСС, а руководитель направления бизнес-анализа МТС RED Савва Ливчин даже подготовил для вас короткий комментарий 👇