Кибернаводчики

Интересные ситуации иногда возникают в нашей индустрии. Подразделение одной крупной государственной организации занимается безопасностью в банковской сфере. И выпускает это организация отчет, что более 10% банков выявляют инциденты в своих системах, в 46% процентах это фрод, в 27% - кража информации, необходимой для проведения переводов.
Список банков, понятен, вот он лежит.

Далее, цитирую "Как говорится, велкам! 

На жаргоне это наводка. Попробовали бы авторы на себя примерить. Автодилер, скажем, выложит номера прошедших ТО рядом с исследованием, что у 75% тросик открытия капота банально под правым локером спрятан. Или школа пусть напишет, что 40% учеников даже младших классов родители не забирают."


Есть еще более вопиющие случаи. Напримре тут, легко можно найти организации, у которых проблемы с выполнением 152 ФЗ, а стало быть и с защитой персональных данных! Хочешь немного персональных данных нарушить? Прям берешь список и идешь нарушать!

А если я например кибершпион китайский? Беру Verizon DBIR и прямо у меня пошаговая инструкция, как ломать, да еще и с разбивкой по отраслям.

Более того, некотоые совсем распоясались. Прямо так и пишут "You're vulnerable". Это же всю идустрию put at risk!

Посмеялись? Я тоже.

Отвечу на некоторые комментарии (см. выше ссылку на facebook) по нашему исследованию.

Ilya Borisov По мне отчет не очень похож на правду. Ну не верю я что так плохо все с периметром.

12 hours ago

Илья, чистая правда. Действительно все так. Собственно для этого и отчет.


Ilya Medvedovsky Прочел отчет. По периметру это справедливо только по очень специфичной выборке заказчиков (если веб и социалку выкидываем). Причем из отчета четко ясно по каким: госы и телекомы. Вторые огромны на периметре и могут дать такую статистику, которая по числу узлов забьет кого хочешь. А первые дырявы и раздолбайны. По остальным категориям - периметры вырождены и минимизированы - ломать в лоб почти нечего (я не про веб, повторюсь). Так, если по опыту. Хотя бывают исключения.

Илья, отчет включает веб и социалку, ибо они входят в нашу стандартную методику (также как и wifi, мобильные устройства и т.д.). Считаем что без них комплексный пентест не комплескный.
Что касается "минимизированных периметров", то не соглашусь. Например технологические компании: Yandex, Nokia имеют (имели) даже собственные bug bounty программы, чтобы периметр вычищать. Банки (если пентест не 5 узлов под PCI DSS) а серьезный пентест, вполне себе имеют разлапистый периметр. Ну и так далее.

PS. Ну и телекомов в России далеко не 3. Пруф.И это только в России, мы же работаем по всему миру. Сейчас подкопится статистика, надеюсь опубликуем сравнение, "как у них и как у нас".

PHDays IV + долги

Анонсирован PHDays IV. Все будет 21-22 мая 2014.
Подробнее тут: http://habrahabr.ru/company/pt/blog/203682/

По многочисленным просьбам подготовили русские субтитры для фильма про PHDays III.

FIDO 2013

Нет, гипертекстовый векторный ФИДОнет тут не причем и призывать к повсеместному использованию МК я не собираюсь. Arduino как-то ближе.
Речь пойдет о альянсе FIDO, в рамках которого разрабатываются стандарты стойкой аутентификации для повсеместного использования. Что весьма актуально в наше неспокойное время.
Очень отрадно, что в альянс уже входит российская компания Актив, продвигая в нем совместимость с национальными стандартами защиты информации.
Подробнее в статье на CNews.

Куда заводит хакинг...

На прошлой неделе мы активно рассказывали, показывали и доказывали безопасность в разных частях света. На конференции Power of Community в Сеуле и на Zeronights в Москве.

С отчетами можно ознакомится по ссылкам:

POC2013

Неполный, но русский
http://habrahabr.ru/company/pt/blog/201830/

Полный, но английский
http://scadastrangelove.blogspot.com/2013/11/last-week-four-guys-of-scada.html


Zeronights

http://scadastrangelove.blogspot.com/2013/11/scada-security-deep-inside.html

Презентации там же, а вот утилиты и специальные релизы по отдельной ссылке:
http://scadastrangelove.blogspot.com/2013/11/power-of-community-2013-special-release.html

Огромное спасибо организаторам, участникам и докладчикам обоих конференций. Было круто!

Ну и в конце немного "МКС/stuxnet/АЭС/ужас-ужас"...

PS. http://www.securitylab.ru/news/358467.php

PHDays III Documentary

Вот как-то так все оно и было...

Двойной удар по АСУ ТП

Парни из SCADA StrangeLove Positive Technologies нанесут синхронный удар по безопасности АСУ ТП в Москве и Сеуле.
На конференции ZeroNights (http://2013.zeronights.ru/program#timorin-tlyapov) Глеб Грицай и Александр Тляпов расскажут о последних исследованиях в области безопасности промышленных протоколов и об археологических раскопках внутренностей SCADA-систем.
На конференции Power of Community Александр Тиморин, Илья Карпов и Юрий Гольцев (http://www.powerofcommunity.net/schedule.html) проводят конкурс и доклад по мотивам Choo Choo PWN с PHDays III (http://2013.phdays.ru/program/contests/#17028).

Добро пожаловать в небезопасный мир безопасности АСУ ТП!

Инфобез: Немного безысходности для успешной карьеры

На следующей неделе грозится состояться Инфобез (aka Infobez-Expo). Во второй день, 09.10.2013 в период 10:30 – 12:00 немного помодерирую круглый стол: "Практические аспекты обеспечения безопасности АСУ ТП" где среди прочего @repdet зажжет (насколько это возможно с такой темой) про безопасность АСУ ТП и безысходность .
На следующий день (10.10.2013) в  12:30 колов времени предстоит мастер-класс для молодых специалистов: "Как построить успешную карьеру в ИБ?". Там уже не отвертеться, придется выступать. Видимо про PHDays, CTF и Positive Education.

Программа тут.