Ну, уж и не знаю что сказать на это.... По-моему любая деятельность должна быть измеримой и приносить результативный выхлоп. Или все эти ребята толкли в ступе воду и, наконец, осознали ?

В комментариях к предыдущей заметке немного коснулись оценки результативности безопасности, которая важна в том числе и для эффективного общения с Бизнесом, и что своеобразным "инициализационным вектором" для собственного бенчмаркинга, когда пока еще нет своих собственных данных, можно использовать информацию из аналитических отчетов лидеров рынка. Косвенно про это у меня была небольшая статья, а также презентация на SOC Forum 2022. Презентацией делюсь.

#vCISO

Поскольку я сам занимаюсь аналитикой и всех призываю делать выводы из аналитических отчетов, я почитываю годовые отчеты коллег по цеху, однако, к моему большому сожалению, я не всегда могу придумать как их интерпретировать.
Помимо откровенных ошибок, нередко встречаются заявления, типа: "CSIRT в 2023 году зафиксировал рост общего числа атак на 11% по сравнению с предыдущим годом"... Во-первых, на каком объеме? Очевидно, если рост объема мониторинга составил 50%, а рост числа инцидентов только 11%, то удельное количество инцидентов наоборот уменьшилось. Во-вторых, крайне нечасто в отчетах встречается исчерпывающее объяснение что понимается под "атакой", или "инцидентом", или "критичным инцидентом"... - это все вопросы на поверхности, не говоря уже о менее очевидных, когда сам MSSP непосредственно влияет на то, какие инциденты он наблюдает у своих клиентов, а чтобы это учесть нужно, как минимум, какие логи MSSP анализирует, что, согласитесь, нечасто встретишь в аналитических отчетах (может, почитав эту заметку, коллеги по цеху изменят свои отчеты и добавят: объемы, классификацию инцидентов, объекты мониторинга и их телеметрию...)

Как-нибудь я постараюсь найти время и развить тему, о специфике и возможностях MSSP и как это отражается:
а) на ландшафте угроз его клиентов, поскольку, будучи контролем ИБ, работа MSSP снижает вероятность определенных типов инцидентов, а то, что MSSP их не наблюдает среди своих клиентов совсем не означает, что таких инцидентов нет у других компаний, не являющихся его клиентами
б) на типах обнаруживаемых инцидентов, поскольку возможности MSSP небезграничны и, если MSSP какие-то инциденты не обнаруживает или не может обнаруживать, это не значит, что их нет.

#пятница #vCISO

Заметил, что реклама ГПБ приходит всякий раз, когда я покупаю через интернет и оставляю телефон. Сливают? Или ГПБ никак не запомнит мой телефон? Никогда не был их клиентом

Всегда приятно, когда ты не одинок в своих мировоззрениях! Сегодня просмотрел вебинар от Red Canary с привлекательным названием "Building a modern Security Operations Center (SOC)", где ребята тоже твердили о необходимости использования именно гибридного SOC. Слайдов (делюсь), вполне достаточно для понимания о чем говорили в течение 50 мин, наибольшую смысловую нагрузку несут слайды 15-17, но, если хочется послушать американскую речь, то можно найти и вебинар (сам смотрел в записи), например, на скорости 1.5.
В качестве допматериалов шел также их аналитический отчет за 2023, он весьма неплох и во многом подтверждается нашей собственной статистикой (видимо, технологии у нас схожие), поэтому его тоже прилагаю

#vCISO

У меня сложные отношения с кино. Более приветствуя театр, живую игру актеров, кино мною воспринимается как какой суррогат, заменитель реальности, как картина вместо вида из окна... Тем более, с большим скепсисом я шел на новых «Мастера и Маргариту» Михаила Локшина, после крайних «Бременских музыкантов» и прошлогоднего «Чебурашки». Тем более, потому что это именно «Мастер и Маргарита», каждый ремейк которого мы невольно будем сравнивать с предыдущими и с оригинальной книгой, которая, в моем личном рейтинге держится в первой десятке со времен обучения в 10-м классе школы (1994-1995)!
Но, если коротко, кино мне понравилось. Я ценю произведения искусства за способность создавать эмоцию, и этот вариант не оставил меня безразличным. Критика, которая мне попадалась, заключалась только в том, что режиссер немного отошел от оригинального сюжета (не удивился бы, если кино было бы точной экранизацией, эти же критики сочли бы уже этот факт недостатком). Однако, лично я в этом вижу, напротив, преимущество. К сожалению, я не столь хорошо осведомлен в биографии Михаила Афанасьевича, а это очень важно для более полного понимания романа (записал себе TODO), но не секрет, что многие события в книге перекликаются с биографией автора. Например, известно, что до нас не дошла первая версия романа, она была сожжена автором в 1930 по причине заперта постановки новой пьесы «Кабала святош»... Многие булгаковеды отмечали сходство ранних версий Мастера с самим автором, да и прототипом шапочки с буквой «М» служила реальная шапочка с первоначальной «М» от имени автора.... Все эти мелкие детали демонстрируют очевидные параллели между событиями в романе и биографией автора, а отходы от оригинального сюжета, введенные режиссером, также недвусмысленно напоминают реальные события из биографии Михаила Афанасьевича. То есть, режиссеру удалось остаться в канве автобиографических аллюзий и изобразить все эти «доработки» с подобными авторским гиперболами и гротеском.
Также хотел бы отметить замечательный выбор актеров: Мастер, похожий именно на Булгакова, несмотря на то, что более поздний Мастер имел сходство с Гоголем, Воланд, от вида которого холодок по спине... И здесь снова отклонение от сюжета, где Гелла – красивая, а в фильме она ... другая, но значительно более напоминающая вампиршу!
В общем, к.м.к., кино удалось, есть над чем подумать, есть что дополнительно поизучать, а, может, и перечитать книжку. Всем любителям творчества Булгакова, надо посмотреть

#кино

На память и в качестве небольшого отчета о прошлой неделе в отпуске подготовили минутное видео о том, как рождаются легенды. Приятного просмотра!

#здоровье

В вебинаре все хорошо с позиции расчета стоимости инцидента, когда он произошел (т.е. уже после TA0040), однако, намек о том, что стоимость инцидента может обосновывать стоимость инвестиций в ИБ не совсем корректен, и напоминает традиционную "пугалку". Проблема тут простая, но не имеющая простого решения, – вероятность наступления инцидента. Например, стоимость инцидента 9/11 колоссальна, однако, вероятность его наступления близка к 0, а произведение его ущерба на его вероятность слабо предсказуемо и поэтому с ним сложно сравнить потенциальные инвестиции в безопасность, в итоге под это можно обосновать что угодно от полного бездействия до безграничной паранойи.

Исключим форс-мажоры, и рассмотрим в общем случае: задача наших, обосновываемых ущербом, контролей ИБ – максимально затруднить продвижение злоумышленника от TA0043 до TA0040. Причем, каждый наш контроль как-то снижает вероятность наступления инцидента (это "как-то" зависит от эффективности и результативности контроля, что также непросто оценить), вся совокупность контролей не приводит к нулевой вероятности, а произведение остаточной вероятности на ущерб (стоимость инцидента) – это остаточный риск, который Бизнесу надо принимать. Вероятность наступления инцидента посчитать сложно, если вообще возможно, так как мы, своими контролями ИБ, ею управляем только частично. Вторая составляющая вероятности наступления инцидента – возможности и мотивация злоумышленника, на что мы вообще никак не влияем, поэтому в своих оценках здесь лучше перезаложиться.

В общем, к сожалению, стоимость инвестиций в ИБ крайне опосредованно можно сравнивать с ущербом (но, на безрыбье...). И вся наша практика это просто доказывает: как правило, используются типовые контроли ИБ, их стоимость определяется размером ИТ-инфраструктуры (а бюджет ИБ – просто % от бюджета ИТ), а не не критичностью данных и стоимостью нарушения их безопасности (наступления инцидента), как надо бы по-красивому....

Итого,
1. BIA и оценка рисков - хорошие, старые как вся ИБ, проверенные временем, академические инструменты для оценки стоимости инвестиций в ИБ, ими и надо пользоваться. Чего-то современного лучше, я не видел. Напишите в комментариях, если есть какие-то новые хорошие методы. Кстати, в рамках BIA как раз придется оценивать ущерб и, если, вдруг, с этим будут сложности, можно посмотреть вебинар.
2. При оценке вероятности наступления инцидента рассматриваем компетентного и мотивированного злоумышленника. Самое простое - заказать пентест с хорошим ТЗ.
3. Можно, конечно контроли ИБ делать самому, но на этом лучше сэкономить и по-максимуму передать в ИТ, а что точно надо делать подразделению ИБ, так это - измерять эффективность и результативность внедренных контролей ИБ, постоянно, и придумывать мероприятия по их повышению (эффективности и результативности)

#vCISO

Из-за того, что в Архызе не все хорошо с размещением: нормальные гостиницы, типа Флоры, стоят очень дорого, вчера осваивали новый метод.

Выглядит это так:
4:30 - подъем, 5:00 выезд из Кисловодска;
7:55 - на месте (парковка в Романтике);
8-8:30 - завтрак в кафе Борд, но лучше брать бутерброды и кофе с собой (в "Ай да Еда" завтраки нам показались ужасными, хотя весьма бюджетно)
8:30 где-то до 12-13 - катались;
13:00 - обед в «Трамплине»
14:00 - уехали
По пути, попили отличный кофе в «Cukur» в Зеленчукской
В Кисловодске были в начале 6-ого вечера

В целом, рабочий вариант, если для вас не сложно вставать в 5 утра, для меня - не проблема

Записи катания:
Strava
Skill

#здоровье

Продолжу делиться спойлерами относительно статистики работы MDR за прошлый год. Не буду говорить традиционные пугалки, что сложных атак стало больше, сложные атаки стали сложнее, хотя в абсолютных значениях это так, а замечу обратное - малварных атак, без видимой человекоуправляемости, стало больше и, есть ощущение, что этот разрыв будет только расти, хотя есть риск, что в своей статистике мы это можем и не увидеть.

Почему можем не увидеть? Это связано с тем, что "инцидент" в нашем случае должен быть обязательно "actionable", т.е. по инциденту должен существовать какой-либо план реагирования на него, поэтому если EPP эффективно предотвратил ВПО и больше поделать нечего - это не будет инцидентом и не попадет в статистику. Однако, если есть что поделать, например, а) пообщаться с пользователем, чтобы не кликал по ссылкам или не открывал вложения, б) попатчить сетевые службы на периметре, в) пообщаться с пользователями, чтобы поаккуратнее с флешками, или внедрить решение по контролю съемных носителей, г) пообщаться с админами, чтобы не админили сервера psexec-ом с передачей пароля в командной строке и многое-многое другое - это будет считаться инцидентом, хотя, атака была и неуспешна, а мероприятия по реагированию влияют на конкретно этот инцидент опосредованно

Эх, угораздило же меня вчера оставить на сайте автосервиса заявку на обратный звонок! Обратного звонка так и не последовало, а вот спама сегодня налетело знатно!

Аккуратнее с оставлением своего номера на всякого рода сайтах! Причем, опять же по опыту, "доброе имя компании" едва ли является гарантом спокойствия. Все свои ипотеки я брал в топ-5 банков РФ и буквально все эти сделки не проходили бесследно: мне звонили страховые, мне звонили другие банки с релевантными предложениями, типа "рефинансировать". Аналогичные истории с приобретением машин: предыдущих авто уже нет, но по ним по-прежнему звонят с предложениями застраховать или пригласить на техническое обслуживание на индивидуальных условиях.

Будьте внимательны!

Мужчина становится мужчиной только после того, как он завоюет любовь женщины.

С праздником, мужчины!

Для составления объективной картины действительности хорошим методом является потребление большого количества информации из разных источников. Это относится и к составлению понимания ландшафта угроз, которое так важно для объективной оценки рисков. Однако, важно понимать, что Аналитический отчет MSSP - это отражение его видения, сильно искажающее действительность. Эти искажения нужно понимать, и, при построении собственного мнения, уметь их нивелировать. Ввиду этих же искажений нельзя просто сопоставлять отчеты разных поставщиков, а сами отчеты должны отвечать на многие вопросы, в том числе и по методологии, чтобы их контент был в принципе интерпретируемым.

Обо всем этом рассуждал в своей новой статье об искажениях\отражениях MSSP в своих аналитических отчетах.
https://dzen.ru/a/ZdcunHptMCiNsNeE

#vCISO