Bug-bounty для правительства: хороший, плохой, злой

В переписке по поводу стратегии кибербезопасности возник вопрос: «Объясните пожалуйста, почему bug-bounty будет вреден для гос. органов?».
Коротко не получилось, опять много букв.
Здесь и далее мое личное, частное мнение.

Стратегия кибербезопасности: без хозяина не взлетит

С удовольствием прочитал проект документа «КОНЦЕПЦИЯ СТРАТЕГИИ КИБЕРБЕЗОПАСНОСТИ РОССИЙСКОЙ ФЕДЕРАЦИИ». Поскольку официального запроса на рецензию не приходило, выскажу в частном порядке свое личное мнение.
В целом документ выглядит невредным, есть полезные моменты, есть пару недоработок.
Далее много букв.

Hacker In The Box #10

Вышел 10й номер журнала HITB Magazine. Кроме всего прочего интересного обнаружил там статьи соратников Георгия Носеевича, Андрея Петухова и Дениса Гамаюнова и  коллег @cyberpunkych/@ru_raz0r/@a66at/Дмитрия Нагибина.

Не знаю как вам, но мне греет душу, что впервые эти исследования были представлены в России, на российской конференции. Да, да - там где взломали сайт Positive Hack Days.

Виновник: http://magazine.hackinthebox.org/issues/HITB-Ezine-Issue-010.pdf

Все выпуски: http://magazine.hackinthebox.org/hitb-magazine.html

IDC: Positive Technologies #1

В дополнение к прошлым"медалям". Positive Technologies была названа ведущей аналитической фирмой IDC самой быстрорастущей в мире компанией в сегменте Security and Vulnerability Management.

В мае 2013го MaxPatrol прошел сертификацию Center fro Internet Security (CIS)  в части проверок на соответствие стандартам этой уважаемой организации.

PS. PR & Marketing, ничего боле.

Chaos Communication Congress 30

Старейшая хакерская конференция мира в этом году праздновала свое тридцатилетие. Сказать, что 30C3 был великолепен - значит ничего не сказать.

Не смотря на явный перебор с разными "викиликсами" и "анб" отличная техническая и художественная программа, тусовка, атмосфера и антураж сделали свое дело и 4 дня конгресса пролетели как одно мгновение. Правда в Гамбурге был выпит весь Club Mate, поэтому Tschunk в этом году был нереально злой. Что накладывало.

Никогда еще не готовился к выступлению в таком хаосе. Но было круто.

Очень круто. Рекомендую.

Обзор конференции

http://habrahabr.ru/company/pt/blog/209010/

Наши релизы

http://scadastrangelove.blogspot.ru/2014/01/30c3-releases-all-in-one.html

Медиаархив

http://media.ccc.de/browse/congress/2013/

http://cdn.media.ccc.de/congress/2013/

http://www.youtube.com/user/CCCen

Публикации

http://rt.com/usa/dell-appelbaum-30c3-apology-027/

http://it.slashdot.org/story/14/01/12/1341207/hackers-gain-full-control-of-critical-scada-systems

http://phys.org/news/2014-01-30c3-sd-card-mitm.html

http://www.zdnet.com/researcher-describes-ease-to-detect-derail-and-exploit-nsas-lawful-interception-7000025073/

http://www.telegraph.co.uk/technology/internet-security/10568299/Hackers-discover-flaws-that-may-leave-water-and-electricity-networks-vulnerable.html

http://www.zdnet.com/glenn-greenwald-to-deliver-keynote-at-30c3-hacker-conference-7000024580/

Кибернаводчики

Интересные ситуации иногда возникают в нашей индустрии. Подразделение одной крупной государственной организации занимается безопасностью в банковской сфере. И выпускает это организация отчет, что более 10% банков выявляют инциденты в своих системах, в 46% процентах это фрод, в 27% - кража информации, необходимой для проведения переводов.
Список банков, понятен, вот он лежит.

Далее, цитирую "Как говорится, велкам! 

На жаргоне это наводка. Попробовали бы авторы на себя примерить. Автодилер, скажем, выложит номера прошедших ТО рядом с исследованием, что у 75% тросик открытия капота банально под правым локером спрятан. Или школа пусть напишет, что 40% учеников даже младших классов родители не забирают."


Есть еще более вопиющие случаи. Напримре тут, легко можно найти организации, у которых проблемы с выполнением 152 ФЗ, а стало быть и с защитой персональных данных! Хочешь немного персональных данных нарушить? Прям берешь список и идешь нарушать!

А если я например кибершпион китайский? Беру Verizon DBIR и прямо у меня пошаговая инструкция, как ломать, да еще и с разбивкой по отраслям.

Более того, некотоые совсем распоясались. Прямо так и пишут "You're vulnerable". Это же всю идустрию put at risk!

Посмеялись? Я тоже.

Отвечу на некоторые комментарии (см. выше ссылку на facebook) по нашему исследованию.

Ilya Borisov По мне отчет не очень похож на правду. Ну не верю я что так плохо все с периметром.

12 hours ago

Илья, чистая правда. Действительно все так. Собственно для этого и отчет.


Ilya Medvedovsky Прочел отчет. По периметру это справедливо только по очень специфичной выборке заказчиков (если веб и социалку выкидываем). Причем из отчета четко ясно по каким: госы и телекомы. Вторые огромны на периметре и могут дать такую статистику, которая по числу узлов забьет кого хочешь. А первые дырявы и раздолбайны. По остальным категориям - периметры вырождены и минимизированы - ломать в лоб почти нечего (я не про веб, повторюсь). Так, если по опыту. Хотя бывают исключения.

Илья, отчет включает веб и социалку, ибо они входят в нашу стандартную методику (также как и wifi, мобильные устройства и т.д.). Считаем что без них комплексный пентест не комплескный.
Что касается "минимизированных периметров", то не соглашусь. Например технологические компании: Yandex, Nokia имеют (имели) даже собственные bug bounty программы, чтобы периметр вычищать. Банки (если пентест не 5 узлов под PCI DSS) а серьезный пентест, вполне себе имеют разлапистый периметр. Ну и так далее.

PS. Ну и телекомов в России далеко не 3. Пруф.И это только в России, мы же работаем по всему миру. Сейчас подкопится статистика, надеюсь опубликуем сравнение, "как у них и как у нас".

PHDays IV + долги

Анонсирован PHDays IV. Все будет 21-22 мая 2014.
Подробнее тут: http://habrahabr.ru/company/pt/blog/203682/

По многочисленным просьбам подготовили русские субтитры для фильма про PHDays III.