А да, про спер-дешевый Squier...

Мне нужна была гитара, я пришел в Музторг и, как нередко делаю, начал изучать уцененки с витрины. Выбрал Squier, который, несмотря на всю свою фанерность, звучал весьма неплохо. Играл я на нем довольно долго, пока он не рассохся и не развалился в экстремальных условия проживания на даче в зимнее время с печным отоплением, когда то ужасно жарко, то ужасно холодно, а воздух - очень сухой. О том Squier-е осталась память, вот эта запись. Squier - черная, на ней играет Андрей. У Андрея - абсолютный слух и тот факт, что из двух предложенных он выбрал именно мой черный Squier, еще одно подтверждение высокого качества его звучания, не смотря на цену.

Технически на нем играть было сложнее, что понял уже играя на Washburn-е: Squier жесткий, плохо отстраивается - либо струны далеко от грифа, либо цепляют, а гриф толще - по ощущениям, толщина грифа эквивалентна Yamaha-е.

#музыка

20.02 выйдет наш ежегодный отчет по результатам работы MDR в 2024 (пока на английском языке, по-русски будет попозже).

По сложившейся традиции хочется в достаточно скучную тему вдохнуть немного искусства... в общем, по части оформления мы тоже пытались креативить и очень старались. Но, не все о чем хотелось бы сказать на страницах отчета, удалось в него вместить, поэтому буду потихоньку выпускать небольшие заметки о моментах, которые мне кажутся важными.

И в сегодняшей статье я расскажу о временных параметрах, учитываемых в метриках SLA, и фактических временах по ходу работы над инцидентом. Одной из целей статьи было желание объяснить некорректность попыток сравнения представленных в отчете времен обработки инцидента и метрик SLA. В целом, мне казалось, что это очевидно, ибо наши коллеги по индустрии, да и родственное подразделение DFIR, постоянно публикуют средние dwell time, измеряемые неделями и месяцами, едва ли умещающиеся в минутные и часовые TTD (и вы напрасно думаете, что у всех, кого ломают, нет SOC с SLA), однако, вопросы о том, почему время реакции в час такое большое, и что кто-то у себя в SLA с гордостью указал 15 мин и, вроде как, его выполняет, продолжают возникать, что и послужило причиной для сегодняшней заметки.

#MDR

В воскресенье выбрался в музей русского импрессионизма!

Возможно, для профессионалов, словосочетание "русский импрессионизм" покажется странным, ибо классический импрессионизм, ну конечно же, французский, но для меня, далекого от хрестоматийного искусства любителя, и любителя все обобщать, очевидны параллели, как по части сюжетов и техники исполнения, так и по части настроения, создаваемого работами (ну конечно же, это ж импрессионизм!). В небольшой статье о Передвижниках я уже отмечал очевидные элементы импрессионизма в работах Коровина и Серова, так вот, на выставке "Изображая воздух" они, и многие другие, широко известные, как Илья Репин или Василий Поленов, и не очень, как Антонина Ржевская или Николай Харитонов, раскрылись в полной мере!

Я очень надеюсь, что у меня найдется время написать небольшую статью именно о русских импрессионистах, а пока, делюсь фото картин, которые заставили меня задуматься (~ понравились).

И кое-что еще, - импрессионистов нельзя смотреть на репродукциях в альбомах, нужно именно смотреть оригинал, - только так заметны техники и приемы письма, а, вспоминая, что цель - не сюжет, а передача настроения, эти технические особенности создания картины очень важны для полноты восприятия.

#искусство

На своем маршруте от Пушкина до Лермонтова (из SVO в MRV) листал интересный документ. Спасибо другу и коллеге Игорю, что поделился.

В документе, стандартно, перечислены наиболее популярные техники, к ним притянуты за уши контроли из 53-его NIST и рекомендации по обнаружению из той же MITRE.

Но наиболее интересное, на мой взгляд, начинается на странице 35, разделе Technique Sightings Co-Occurrence Analysis. В документе не содержится много информации, и

Co-occurrence analysis is an emerging area of ATT&CK analysis that begins to address the defenders’ need for sequence information. The Center is currently working on a related project called Attack Flow to develop a shareable data format, visualization tools, and examples to represent sequences (flows) of attacks. Stay tuned for more to come on that project

Стремления MITRE полностью пересекаются с моими последними увлечениями. В прошлом году я уже писал про анализ комбинаций, в этом году я поисследую последовательности событий, что, в общем-то, ровно то же, что делает MITRE со своими flow.

#MDR

На прошлой неделе вышел отчет по статистикам работы MDR в 2024. Как отмечал, не все наблюдения получается вместить в отчет, поэтому позволю себе ряд заметок по отсутствующим в отчете интересным статистикам. Сегодня поговорим про типы High severity инцидентов.

Итак, мы различаем следующие типы инцидентов критичности High:
- inc_apt - целевые атаки или в общем случае любая активность, где заметно непсредственное участие человека (human driven)
- inc_apt_trace - артефакты прошлых человекоуправляемых атак, но на момент обнаружения атака не была в активной фаза
- inc_rt - тоже человекоуправляемая атака, однако, заказчик подтвердил, что активность легитимная, что это - какие-либо киберучения
- inc_sec_policy_h - обнаружена подозрительная активность, выполненная от учетных записей, для которых не оснований считать, что они были скомпрометированы
- inc_insider_impact - такая же активность, выполненная от легитимных нескомпрометированных УЗ, но заказчик явно подтвердил, что имеет место работа внутреннего злоумышленника
- inc_mw_impact - инцидент, связанный с работой ВПО без непосредственного участия человека-атакующего, но потенциальный или фактический ущерб большой
- inc_se_impact - успешная социальная инженерия с развитием, с потенциальным или фактическим большим ущербом, возможно, атрибутированная к известным целевым кампаниям
- inc_vuln_impact - обнаружение критической уязвимости, эксплуатация которой очень вероятна
- inc_dos_impact - обнаружение [D]DOS атаки с потенциальным или фактическим большим ущербом

Ежегодно мы даем статистику распределения high severity инцидентов по этим типам, обычные лидеры - inc_apt, inc_mw_impact, inc_apt_trace, inc_rt. С прошлого года была введена inc_sec_policy_h, как возможность уточнения inc_insider, который также нередко занимал значимую долю.

Но всегда интересно оглянуться назад и сравнить статистики прошлых лет, что и предлагаю в этой заметке.

21-ый год был выдающимся по количеству high severity инцидентов (14,34%) но в том же 2021 наблюдалась и наибольшая доля человекоуправляемых атак - 40,66% от общего количества критичных инцидентов (инцидентов с severity High). 2024 был не менее интересным: не смотря на малую долю high инцидентов (4,69%), процент inc_apt был наибольший за историю наблюдения с 2020 - 43,01%.

#MDR