Вся наша жизнь состоит из принятия решений, и основная причина принятия нами ошибочных решений отнюдь не в избытке информации (не будем рассматривать ситуацию с умышленной дезинформацией и фейками, здесь не этот случай точно), а в ее недостатке. Именно по этой причине мы часто прибегаем к методу «Мозгового штурма», выбирать их предложенных вариантов несравненно проще, чем придумывать. Тем более замечательно, если рассматриваемые варианты имеют под собой какую-либо практику использования. Очень часто ни один из описанных вариантов не подходит полностью в описанной редакции, поэтому мы в итоге останавливаемся на некотором «среднем», собранном из комбинации рассматриваемых (например, первые метрики услуг ИБ я придумывал читая книжки про ИТ). И даже скажу более, порой решение находишь там, где меньше всего его ожидаешь!

Очень приятно, что Алексей Викторович читает мои нескромные мысли, очень хорошо, что мои заметки вызывают эмоцию и побуждают к действию, как минимум, писать другие заметки, содержащие критику и предложения альтернативных вариантов.

Возможность выбора из множества вариантов позволит в конечном итоге каждому найти то, что для него будет работать наилучшим образом.

Контроль – это не значит «делать самому»!

Практически в каждой заметке я пишу про интегрированную безопасность, когда безопасностью занимаются все, а CISO является некоторым экспертом-фасилитатором. Т.е. CISO придумывает контроли и контролирует их работу (метрики на эффективность и результативность, здесь я рассказывал применительно к работе SOC, но описанный в начале подход применим к любой предметной области, требующей измерения, слайды сейчас скину). Наиболее частый «конфликт» между ИТ и ИБ как раз и связан с тем, что ИБ стремится самостоятельно выполнять свои контроли ИБ в ИТ-инфраструктуре, например, управлять межсетевыми экранами, не понимая, что это провоцирует снижение безопасности. И даже дело не в том, что если что-то мешает, это стремятся по-тихому обойти, все еще проще, проблема в размывании ответственности.

Доступность – это компонент безопасности, не менее важный чем конфиденциальность и целостность. Для доступности важно и время восстановления при сбое, а время восстановления зависит от эффективности коммуникаций между обслуживающими подразделениями. Теперь представим ситуацию, когда у нас сетевое оборудование – ответственность ИТ, а межсетевые экраны – ответственность ИБ, а коммуникации между ними проходят по «официальным маршрутам», служебными записками (!)..., а еще у ИТ и ИБ есть «конфликт»... В общем, пока ИТ и ИБ, в процессе решения инцидента почему пользователь из региона не может добраться до корпоративной ERP, выясняют кто из них больше неправ, кто хуже делает свою работу и вообще во всем виноват, обмениваясь служебными записками.... пользователь из региона по-прежнему не может достучаться до ERP и выполнить свою работу, а безопасность в части доступности находится на нуле.

Эффективные рабочие коммуникации – не менее важный компонент безопасности, чем целостность, конфиденциальность, доступность, аутентичность и прочие перспективы

#пятница #vCISO

Как обещал, скидываю слайды с PHD2023 . Доклад назывался "Metrics in Security Operations"

В одном из аналитических обзоров от наших коллег по цеху, тоже поставщиков услуг SOC/MDR, увидел что в 2023 "доля критичных инцидентов от общего числа атак снизилась по сравнению с 2022 годом: от 40-45% до 20-25%". Не будем брать во внимание, что более чем каждый третий, чуть ли не каждый второй, инцидент – это сильно (!), и что вообще вкладывается в понятие "критичный инцидент" – это очевидные причины разброса процентов и здравого смысла...

Возможно, менее очевидной причиной являются начальные условия и критерии подключения, а точнее – минимальный набор средств безопасности, которыми должна обладать клиент. И здесь уже понятно, что одно дело, когда у клиента развернуты современные эффективные превентивные системы, которые даже при полном бездействии по респонсу будут обеспечивать вполне удовлетворительную защиту, и совсем другое дело, когда у клиента только пассивные навесные системы мониторинга, где активный респонс в любом случае надо делать вручную вплоть до удаления ВПО. Понятное дело, что необходимость ручной компенсации отсутствия того же EPP будет иметь весьма немалый вклад и в количество инцидентов и в их критичность!

Некоторое время назад обсуждал со старшим что такое свобода. Вопрос многогранный, но очень важный, а поскольку, при создании чата мы договаривались говорить о важном, предлагаю вашему вниманию свой поток мыслей на эту тему в новой заметке "Свобода".

В период с 2001 по 2002, два года я отдал программированию, писал на С/C++ и Perl, параллельно, учась в Бауманке, в "Специалисте" читал Java, правда, очень недолго. И ко всем языкам программирования я относился крайне спокойно (даже С со своим ручным управлением памятью!), особое негодование вызывал только Python, на который я был вынужден перейти с любимого Perl, который стал плохо поддерживаться и развиваться.

Python супр-популярен, есть масса действительно хороших и удобных библиотек (а для ML-щиков, похоже, вещь незаменимая, ну если только кто-то фанат R...), но есть и куча нервирующих мелочей, типа отсутствия унарного инкремента или отсутствие тернарного оператора.... но самое раздражающее для меня - невозможность обратиться к несуществующему ключу хеша словаря, что вынуждает делать кривые проверки 😅 Вот вчера снова пришлось об этом вспомнить....

Может, я что-то не знаю\не понимаю\делаю неправильно?

Составляя аналитический отчет по инцидентам за 2023, тенденцию подтверждаю: 2023 значительно спокойнее чем 2022

Продолжаем (начало тут и тут) анализировать российские утечки данных.

Сегодня посмотрим на утечки первой половины января 2024 года и сравним результаты с таким же периодом прошлого года. 👇

Во время новогодних праздников всего попало к нам на анализ:

🌵 5,342 млн уникальных адресов эл. почты
🌵 5,755 млн уникальных телефонных номеров.

При сравнении с январем 2023 года, в 2024 году мы видим снижение в 2.5 раза по уникальным номерам и на 20% по уникальным адресам.

Несмотря на то, что невозможность и отсутствие смысла покрывать всю MITRE ATT&CK прописано оригинальной документации (см. раздел 2.1 ATT&CK Coverage) мы, вендоры, по-прежнему продолжаем мериться своей MITRE

Что означает закрашенная клеточка: наличие хотя бы одного детекта для техники; или детекты для всех, приведенных процедур в MITRE; или детекты всех процедур техники, известных вендору? К сожалению, "покрытие MITRE" имеет немного практического смысла, но выглядит маркетингово весьма привлекательно

#пятница

Вчера вечером с супругой сидели в кофейне, пили кофе, ели пирожные. Невольно разговор зашел о финансовых подушках, накоплениях, инвестировании... и дошел до анти-потребления и того, что если мы хотим разбогатеть, то мы не должны сидеть здесь и тратить на кофе 1000 р, а инвестировать ее....

В общем, от меня был монолог, примерно следующего содержания:
https://dzen.ru/a/ZbfbxNnqGHaVVDuL

#финансы

У меня неоднозначное отношение к Гартнеру. С одной стороны – это коммерческая организация, поэтому, в целом, кто платит, тот и заказывает что написать, но, с другой стороны, ребята общаются с лучшими на рынке, поэтому их аналитика является неплохой компиляцией лучших современных практик. Вот именно за эту возможность создания собирательного образа «лучшего на рынке», наверно, мы и любим читать их документы.

Вот и сейчас Гартнер выдал очередную компиляцию лучших практик по обеспечению функций SOC на предприятии... А там, все как мы любим – гибридные SOC-и! Несмотря на всю очевидность преимуществ гибридного подхода, по-прежнему встречаются желающие делать все исключительно самостоятельно или все полностью зааутсорсить. Конечно, так или иначе можно сделать все, однако, едва ли это будет эффективно и результативно. Вот даже и Гартнер об этом написал!

#vCISO

Двигаясь куда-то, безусловно, надо понимать куда мы хотим прийти, а делая что-то мы должны точно представлять себе результат, поэтому стратегия - вещь нужная. Но, как известно, всегда есть обратная сторона, почва для перегибов.
В сегодняшней пятничной заметке, не без гипербол, понакидывал на долгосрочные стратегии
https://dzen.ru/a/ZbzD7kipqnvO1hyo

#пятница

Всем привет!
Сегодня мне на почту упал проект программы форума ТЕРРИТОРИЯ БЕЗОПАСНОСТИ: все pro ИБ, который пройдёт 04.04.24 в Москве, и я есть в программе!
На этом мероприятии я сниму свою текущую шапочку поставщика MDR/SOC и вспомню прошлое: поставив себя в позицию менеджера по ИБ на предприятии, я критически посмотрю на Управление уязвимостями.
Не знаю, будет ли запись, но слайдами и заметками к ним точно поделюсь. Будет возможность, приходите, увидимся!