Долгий перелет из Москвы в Сеул (слайды и комментарии к ним, а также заметки при поготовке к панельной дискуссии, еще выложу) позволил прочитать книжку, и она - не заслуживает упоминания в этом блоге, но данные обещания надо выполнять, поэтому пишу эту заметку.

Как и ожидалось книжка очень предвзята и смотрит на вещи однобоко:
- США, Британия и Израиль представлены как "жертвы" или\и "защитники", а Россия, Китай и Иран – как главные злодеи. Она настолько пропитана пропагандой, что нередко вызывала улыбку умиления, а, порой, и смех в полный голос (действительно, наиболее смешные шутки произносятся с серьезным лицом);
- очевидные киберпреступления – Stuxnet (атака на Иран), EternalBlue и прочие (утечка Shadow Brokers, приведшая к WannaCry), Doqu, Duqu 2.0, Equation Group (связанная с NSA) – всё это либо подаётся как "необходимая защита", либо откровенно оправдывается без капли сомнения, типа, так и надо 😂;
- несмотря на то, что книга издана в 2020, продолжение традиции Equation - Project Sauron (Remsec), вообще не упоминается в книге. А это принципиальное событие на рынке ИБ, ибо, есть мнение, что ровно после этой публикации антивирус Symantec перестал существовать на B2B рынке, видимо, нельзя было им это детектить...., но не будем множить слухи 😁

В конце книги приведены Acknowledgments и Notes, беглый просмотр которых объясняет столь низкую объективность изложения: Перлрот опирается на интервью с бывшими сотрудниками американских спецслужб и кибербезопасности, которые, естественно, всячески оправдывают свои действия. Книга рассчитана на американского читателя, чьи чувства оскорблять не хочется (а можно и в бан попасть, демократия - она такая) и которому проще думать, что "мы хорошие, а они - плохие".

Краткий вывод из первой части моей заметки (сразу следом будет продолжение, более предметное), что книга полезна для понимания западного взгляда на кибервойны, но её нельзя считать объективной, так как она полностью игнорирует гипокризию США, которые сами создают в огромных количествах самые опасные образцы кибероружия, и первые начали это делать, но при этом обвиняют всех вокруг.

#мир #книги

Прямо с пролога Перлрот начинает излагать правильные нарративы, поэтому очень быстро (уже к первой главе) вырабатывается способность фильтровать всю эту пропаганду, читать между строк и связывать изложенные факты (благо, откровенного вранья в книге я не встретил, но есть слухи и домыслы авторов). Для примера приведу лишь одну из историй, но она хорошо иллюстрирует то, что я хочу сказать. На картинке - страница, где автор рассказывает об Operation Shotgiant, когда NSA взломало Huawei. "Официальная" версия этого влома - Huawei представляет угрозу из-за связей с китайскими властями и потенциальных бэкдоров в её оборудовании, однако, сама Перлрот пишет, что цель NSA - внедрить свои бэкдоры в оборудование Huawei. Факт того, что NSA допускает, что китайская компания шпионит в пользу китайского правительства означает, что с точки зрения NSA шпионаж американского вендора в пользу США - абсолютная норма. Это действительно так, поскольку Microsoft, Google, Apple – участвуют в программах слежки (FISA 702, CLOUD Act), поэтому в продукцию этих вендоров даже бэкдоры, как будто, не надо ставить, они и так обязаны сливать данные спецслужбам США, чтобы соответствовать. Но несложно догадаться, что бэкдоры там тоже точно есть, ибо, как мы знаем из истории, вскоре после скандала с Operation Shotgiant Huawei оказалась под санкциями 🙈 Действительно, отказ от внедрения американских бэкдоров - это неCompliance!

И Перлрот в своей книжке пишет и мы все знаем, что потом эти бэкдоры утекают (не могу исключить, что и умышленно), попадают к кибертеррористам.... а чем это отличатся от разбрасывания оружия массового поражения ?!

Все, приведенные в книге, ящики Пандоры открыты именно США (с ужасом вспоминаю историю Хиросимы и Нагасаки, при очевидном отсутствии военной обоснованности), и это явно следует из книги, а нелепые оправдания таких действий вызывают улыбку и смех, что делает чтение для тех, кто видит лес за деревьями, еще более увлекательным. Как отмечал в первой части этой заметки, книгу не рекомендую 😂

#мир #книги

А помните я как-то, почти год назад писал:

- DLL Hijacking - фактически, непопулярный сценарий загрузки DLL в процесс, напишу об этом чуть более подробно в отдельной заметке

Где-то примерно с того времени мы начали пилотировать модельку в нашем MDR, которая находит аномальные\подозрительные загрузки DLL. Сейчас эта моделька уже давно в проде и, в целом, неплохо справляется со своей задачей. Техника старая, но до сих пор популярная в целевых кампаниях, поэтому никакие возможности по обнаружению нам, конечно же, не чужды.

Подробно написать в отдельной заметке я так и не успел, но вот на PHD будет доклад нашей коллеги, Анны Пиджаковой, из команды машобуча, Разработка ML-модели для детектирования DLL Side-Loading, где, уверен, Аня все подробненько расскажет.

#MDR #ml

Если ваш SOC хорошо знает источники данных в организации, вы легко сможете автоматизировать оценку потенциальных угроз и приоритизировать задачи по разработке детектов — как мы уже рассказывали, для этого есть целый ряд полезных инструментов.

Но что если SOC нашел legacy-систему без документации? Надо проанализировать архитектуру, выявить возможные вектора атак, покрыть релевантными детектами. А если таких нестандартных систем — не одна, а десять? Правильный подход к мониторингу источников известен, но на практике он требует много времени и глубокого понимая системы.

Альтернативный вариант: проводим экспресс-анализ по применимости универсальных тактик атак и релевантных детектов для них. Вот основные события, которые можно покрыть универсальными правилами даже в нестандартной системе:

Аномалии аутенификации:
— Brute Force
— Password spraying
— Sharing creds
— The first logon to host (+ неуспешные попытки)
— The first logon from host (+ неуспешные попытки)
— Отслеживание профиля приложения клиента, которое использовалось для логина: отпечаток браузера для web, SQL-клиент для БД, толстый клиент для приложений и т.д. (вне профиля = алерт).

Манипуляции с привилегиями:
— Добавление/исключение в группу/из группы
— Изменение прав доступа
— Массовая блокировка/отключение администраторов
— Создание УЗ

Сеть:
— Изменение количества peer-ов
— Использование нетипичных для системы сетевых сервисов

Процессы и настройки:
— Выгрузка защищаемых ресурсов вне профиля
— Резервное копирование вне профиля
— Управление резервным копированием вне профиля
— Администрирование функций безопасности
— Удаление журналов аудита безопасности

Используя подобный подход, можно покрыть 11 из 14 тактик атак MITRE, что очень неплохо для незнакомой системы.

Более подробно о таких универсальных приемах Threat Hunting — слушайте завтра в докладе нашего эксперта Николая Советкина «Стандартные правила для нестандартных источников» на конференции PHDays (23 мая, 12:15). Для тех, кто не сможет присутствовать – обещают и трансляцию, и запись.

Приятно видеть, что наш с Денисом вебинар не остался совсем не замеченным и на наиболее значимой конференции по ИБ его упоминают! Очень приятно.

Как узнаю, что появилась запись, обязательно поделюсь.
А если этот формат подкаста и наш состав собеседников (я и Денис) устраивает, то пишите в комментариях, что еще имеет смысл обсудить\прожарить\распаковать, смыть налет маркетинга и обсудить вещи как они есть.

#MDR #vCISO

Про пилоты и проекты

За счет того, что подключение в нашем случае выполняется очень просто, а текущий объем мониторинга такой, что несколько десятков тысяч эндпоинтов не создадут ощутимых ресурсных проблем, мы постоянно всем рекомендуем пилоты. Единственная проблема с новыми клиентами - профилирование, которое за время пилота в 30 дней может и не закончиться. Но конверсия с пилота в коммерческий проект - большая, поэтому сейловые подразделения активно предлагают пилоты.

Но я не работаю в Продажах, я отвечаю за delivery, однако, для меня пилот тоже очень значим и на всех мероприятиях я постоянно всех приглашаю к нам на пилоты. Основных причин - две.

Во-первых, аналитика по данным инцидентов всегда интересна, так как она в какой-то степени отражает ландшафт угроз, под который надо адаптировать и наши способности по управлению угрозами и наши ресурсные возможности. А чем больше разных клиентов мне удастся помониторить, пусть даже непродолжительное время, тем лучший TI я соберу, тем более объективны, лучше отражать действительность, будут мои прогнозы. Как раз при подготовке к Сеулу я готовил контент, где анализировал данные, представленные в наших аналитических отчетах за 2020-2024 годы, выделял тренды и проверял их на данных Q1 2025, спойлер: многие предсказания сбылись. Я не люблю повторять одни и те же слайды, но по части этого сеульского доклада я дал промах (все когда-то делается в первый раз) и эту презентацию уже успел рассказать и на русском языке. Английский вариант обязательно выложу, так как именно к нему есть скрипт, подстрочник к слайдам, его можно будет просто почитать.

Во-вторых, как delivery-команда, я максимально заинтересован своей работой попасть в ожидания заказчика. Да, заказчик на пилоте смотрит, насколько наше предложение ему подходит, однако, здесь же и мы сморим, насколько мы можем соответствовать требованиям заказчика. Несоответствие ожиданиям - нередкая причина непродления контракта. Очень часто из пилота, по результатам анализа работы с клиентом, тем более, если пилот не конвертировался в проект, мы пополняем свой бэклог на доработку.

В общем, подключайтесь на пилоты - обогатим друг друга знаниями и, таким образом, поднимем зрелость всей отечественной индустрии ИБ!

Ах вот еще что, друзья из Русского офиса шепнули, что сейчас есть еще и акция (детали по ссылке). Ну а то, что на странице акции можно посмотреть видео с вашим покорным слугой окончательно убедило меня необходимостью поделиться этой новостью.

#MDR #vCISO

Отличники

В кино, книгах и анекдотах отличник часто предстаёт либо занудным ботаном, либо хитрым карьеристом, который "протирает штаны" вместо "реальных дел". Этот стереотип возник не на пустом месте:
- Школьная среда поощряет конформизм, а тот, кто выделяется (в том числе успехами), часто становится предметом насмешек,
- Миф о "гениях-самоучках" (типа Билла Гейтса, Стива Джобса или Марка Цукерберга, бросивших учёбу) создаёт иллюзию, что образование - не нужно,
- Ошибка выжившего: истории двоечников-миллионеров запоминаются, а тысячи тех, кто не смог устроиться без диплома, - нет, так как это - подавляющее большинство, т.е. обычно.

Но реальность сложнее. Да, есть таланты, прорвавшиеся без формального образования, но для 99% людей учёба - это тренировка критически важных навыков: умения анализировать, работать в срок, преодолевать рутину, доводить начатое до конца, делать хорошо и с отдачей.

Об отличниках рассуждал в новом лонгриде.

#управление

Обсуждаем XDR и SIEM

Для тех, кто не смог подключиться вебинару, выкладываю запись нашего общения с Денисом.

Если формат понравился, пишите, что еще интересно обсудить.

Также, конечно же, пишите если где-то не согласны с нами, обязательно обсудим!

#MDR #vCISO

В статье про креативность я рассуждал, что наши новые идеи берут сове начало в прошлом опыте. Несложно догадаться, что наш прошлый опыт во многом определяется родом деятельности, и как бы я не старался отвлекаться, рассматривая картины, разучивая и пытаясь исполнить песни, я все равно остаюсь "пробитым ИТшником", так как провожу на работе 10-12 часов в день, а свободное время так или иначе все равно связано с ИТ и ИБ, в общем, с work-life balance у меня ровно наоборот, чем рекомендуется в модных книжках.

Как рыбак рыбака видит издалека, так и креативные идеи пробитых ИТшников удивительным образом совпадают! Ну какие же еще идеи можно предложить на тему оперативного мониторинга?! Ну конечно же мужик, стоящий на башне и смотрящий вдаль. А что же еще?!

Но ситуация, видимо, еще хуже! Когда затык с креативностью, можно спросить у LLM, да и сами картинки уже едва ли рисуются художниками - их также генерит какой-нибудь MidJourney или Kandinsky. Поэтому, что люди, прокаченные на одной предметной области, и GPT, обученные на одних и тех же данных, не удивительно, что создают одинаковые шедевры: если SOC, то человекообразный, стоящий на башне, смотрящий вдаль.

Это - первые побеги неспособности предложить что-то оригинальное, мы обложили себя таким количеством помощников, что теряем способность к самостоятельности, а любая зависимость - это и есть несвобода, свобода Человечества под угрозой!

Отчеты с картинок:
Kaspersky
Positive Technologies

#пятница #MDR

Red Canary -> Zscaler

В новой статье рассуждал о сервисах в продуктовых компаниях.

Вопрос многогранный, писать много, но, как будто, все понятно и очевидно. Поэтому, статью не дописал. Если поднятые вопросы находят отражение в сознании, вы согласны\не согласны или какие-то моменты следует более предметно раскрыть, пишите в комментариях, напишу продолжение.

#управление #vCISO

Google ADK и MCP - ближе к автономному SOC

Ну действительно, если современные LLM умеют играть в CTF почему они не могут заменить SOC?! И все идет к тому, что могут!

Например, Google предлагает свой Agent Development Kit (ADK) для разработки автономных агентов, не зависимых ни от используемой LLM, ни от инфраструктуры развертывания. Агенты могут быть разными, как работающими по алгоритму, так и c ML/AI внутри, т.е. способными принимать решения на основе анализа входных данных и выполнять действия. Для того, чтобы LLM, выдающая, например, текст, смогла выполнять действия, служит Model Context Protocol (MCP) (вот видео "на пальцах" , вот чуть подлиннее, но еще проще).

Отвечающими за действия компонентами являются MCP-клиент и -сервер. Google предоставляет набор готовых MCP-серверов, позволяющих агентам удобно работать с Google SecOps и TI сервисами. Фактически MCP-сервер - де-факто стандартный интерфейс для использования инструментов AI-агентами (я люблю аналогии и упрощения, поэтому MCP-сервер функционально напоминает REST API). Видео о том, как сделать подходящего агента можно посмотреть здесь.

Но ни что не мешает пойти дальше, и решения о том, какие SecOps-сервисы дергать через MCP, отдать на решение LLM-агенту, который, фактически будет реализовывать некий playbook. Поскольку сам по себе LLM-агент - автоматизация, то подходит и термин runbook. Демо таких ранбуков доступно здесь - AI Runbooks for Google Cloud Security MCP Servers, а сами ранбуки можно почитать здесь.

С помощью Google ADK можно создать агентов, выполняющих функции различных ролей в SOC, которые буду работать по описанным выше ранбуам, на это тоже есть демо - Agentic Incident Response.

Если спуститься ближе к земеле, то вот Игорь на PHD2025 рассказывал практический пример, все наработки выложил в Git. По-моему отличный PoC для движения в сторону автоматизации на базе LLM.

#MDR #ml

Эффектное тестирование

В прошлый раз мы обсуждали гибкую разработку и наметили узкое место - тестирование и дефекты. Решение этой проблемы предлагает сам процесс промышленной разработки - рассмотрим его в паре предложений. Заказчик готовит бизнес-требование, где с возможной для себя детализацией описывает, что он хочет. Далее, требование попадает к системному аналитику, который это требование анализирует - декомпозирует на понятные короткие требования, детально прописывает весь функционал, все пользовательские сценарии, согласует все с заказчиком - получается документация. Фактически "документация" - это отражение бизнес-требования заказчика, согласованное с ним. Вся дальнейшая работа ведется с этой документацией.

Документация идет в разработку, разработчик реализует то, что написано в документации. Тестировщик пишет сценарии тестирования, опираясь на пользовательские сценарии, изложенные также в документации. Тестовый сценарий выглядит так: описание действий, ожидаемый результат, а дефект (баг) - это когда выполняются описанные в тестовом сценарии действия, но полученный результат не совпадает с ожидаемым. По-моему все просто замечательно! Описание тестирования гарантирует повторяемость (а это уже зрелость не ниже второго уровня!), что такое баг - четко определено. Если находится проблема в пользовательском сценарии, не указанном в документации, - это не баг, а фича (действительно, пользовательский сценарий не описан в документации, согласованной с заказчиком, а значит его не должно быть). Там, где нет тестового сценария, проблема не ищется, а, следовательно, не находятся. Меньше дефектов - результативнее разработка.

#пятница #dev

Все гениальное не укладывается в стандартные рамки, на него не навесить лейблы, сложно дать характеристики. Неверно, если почитать энциклопедию (не читал), то про Beatles будет написано "поп-рок", однако, большинство рокеров и металлистов, призерающих популярную музыку, крайне уважительно относятся к тврочеству битлов. Битлз писали разную музыку, да и в одной композиции (которая, в среднем, едва ли превышает 3 минутки) можно уловить оттенки абсолютно разных стилей.

Нам нравится эта музыкальная эклектика, так как задача искусства - вызывать эмоцию, а эмоцию мы чувствуем именно в момент перемены, поэтому композиции, которые на своем протяжении мигрируют из стиля в стиль, нам нравятся. ABBA - нами считается поп-группой, пишущей поп-музыку, но я не преувеличу, сказав, что музыка Ульвеуса и Андерссона - волшебная, и она волшебна как раз за счет своей эклектичности! Шахматы - считается мюзиклом, но мы не ошибемся, назвав его рок-оперой, наряду с "Иисус Христос - суперзвезда" (там и автор текста - Тим Райс). Но что-то я все ухожу в сторону.

Сегодня поговорим о, на мой взгляд, самой извстной (ну, наверно, за вычетом "Waterloo", принесшей группе победу на Евровидение 1974 (ах, было время!) и мировую известность) композиции ABBA - "SOS". Песня вошла в третий студийный альбом группы, выпущенном в 1975, т.е. уже 50 лет назад. Если верить Интернету, то в Швеции песня вышла как раз в июне, в какой-то степени, у песни - юбилей. Текст песни написал менеджер группы Стиг Андерсон и доработал Ульвеус.

Если подходить к вопросу формально, то по жанру SOS - это мощная поп-баллада с элементами диско, но в ней можно найти и ярко выраженные рок-элементы, о них и поговорим, так как красота получается именно при смешивание несмешиваемого, ввиду единства и борьбы противоположностей. Во-первых, это конечно же электрогитара - в аранжировке присутствует четкий рифф на электрогитаре (особенно заметный во вступлении и между куплетами), который добавляет песне рок-окраску, и, несмотря на то, что типичного для рока гитарного соло нет, гитара играет жёсткие аккорды с небольшим овердрайвом, что характерно для поп-рока 70-х и более поздних. Послушайте окончание припева - жесткая перегруженная овердрайвная гитара, подобную можно услышать в "Let it be" у Beatles, "Don’t Bring Me Down" у ELO. Во-вторых, клавиши и орган - в бридже перед припевом звучат резкие акцентированные аккоры, а в фоновой аранжировке и перед последним припевом используется электроорган, который был популярен в прогрессивном и симфо-роке того времени, например, у Deep Purple, Uriah Heep или The Doors.

В куплетах и припевах мы наблюдаем контраст минора с мажором, вокала, тихого, почти плачущего, с мощной роковой подачей, но очень эмоционального на протяжении всей песни. Подобные контрасты куплетов и припевов также характерны для рок-музыки: "Stairway to Heaven" Led Zeppilin, "Bohemian Rhapsody" Queen и "July morning" уже упомянутого мной ранее Uriah Heep.

Гитара для меня - хобби, я играю и пою все поряд, все, что мне нравится. Мне мало просто слушать, исполняя я получаю еще больше удовольствия от любимых композиций. Вещь "SOS" я тоже играю, опять же за вычетом всех проблем моих и вокальных и технических. Играя SOS я тоже пытаюсь передать и контраст, и почти роковую подачу, да и сама акустическая гитара не предоставляет мне изобилие возможностей, поэтому видны параллели и с Кино и Арией.

#музыка

Ну как объяснить заказчику почему отчеты MDR и DFIR слабо пересекаются?!


Своим нежеланием попасть в нашу статистику MDR, вы рискуете попасть в нашу статистику DFIR. Каждый сам хозяин своего выбора!

#MDR #пятница