#FYI
При желании в Яндекс и Google можно отключить персонализированную рекламу, тем самым запретив поисковым системам собирать персональную информацию о вас.

Странички настроек:
https://yandex.ru/tune/adv
https://adssettings.google.com

#Ликбез
На Gizmodo вышла параноидальная статья о том, что вам не нужны умные гаджеты дома.

Ни вам, ни вашим родственникам. Ни колонка, ни розетка, ни светильник... Ни от Google, Amazon, Apple или кого-то другого.

В материале читателя предупреждают о приближающихся новогодних праздниках и просят не поддаваться на провокации со стороны корпораций и не приобретать новомодные гаджеты по скидкам.

Хотите узнать погоду - посмотрите в окно, не с кем поговорить? - заведите друга/подругу наконец!

Автор материала обращает внимание на то, что несмотря на заявления корпораций, все ваши данные все равно обрабатываются и напоминает об инцидентах с хакерами, багами прошивок, а также когда Amazon или Apple предоставляли данные со своих устройств в рамках полицейских расследований.

Хорошая попытка, Gizmodo, но уже поздно. КБРПЗДЦ :)

Источник: https://gizmodo.com/dont-buy-anyone-an-echo-1820981732

#Событие #Хацкеры #Преступление_и_Наказание #Философия

Близится Новый год, католики отмечают Рождество и, кажется, лучшего времени для возвращения канала в эфир не придумаешь. Для разминки мы поговорим о "Преступлении и наказании" в мире информационной безопасности.

Engadget.com сообщает о задержании представителей очередной хакерской группы Lizard Squad (https://www.engadget.com/2017/12/22/lizard-squad-hacker-founder-guilty/ ). Ничем выдающимся на фоне десятков подобных групп ребята не отличаются, и некоторые британские специалисты уже окрестили их в своих блогах скрипткидди. Но здесь важны не конкретные ребята, а вопрос: зачем люди выбирают скользкую дорожку киберпреступлений, а не устраиваются в легальные компании, реализуя свои таланты без нарушения закона? Простой ответ: ради денег. Сложный ответ: потому что так сложились обстоятельства. Здесь, в частности, уместно вспомнить историю с отечественным ЦБ и массовым отзывом лицензий у банков на территории РФ в последние годы. Если в тучные годы общее числов банков в стране стремилось к 2 000 единиц, то в настоящее время стремится к 500. Куда делись специалисты, занимающиеся вопросами информатизации и безопасности этих банков - вопрос риторический. Часть переквалифицировались, часть перешла в другие компании, а часть, разумеется, стала применять свои знания и навыки "по ту сторону силы". Как и в "Звездных войнах" переход на темную сторону - это часто не следствие некой имманентной природы изначально злых падаванов, но следствие обстоятельств, подталкивающих человека идти против закона.

И хотя мы не можем полностью исключить существование black-hat, их число можно свести к минимуму, занимаясь профилактикой киберпреступлений путем воспитания подрастающего поколения в духе уважения к закону и чужим деньгам, и предоставляя людям несопоставимо большие возможности для профессионального развития и самореализации в рамках легального сообщества, путь в которое "заказан" всем, кто перешел на темную сторону. Люди, выбирающие темную сторону, должны понимать, что одним из последствий их выбора станет остракизм профессионального сообщества и черная метка, которая не позволит им занимать должности, требующие психической устойчивости и верности моральным устоям, частной собственности и государственным законам. И знаете что? В этом плане одиозный большой брат и государство тотального контроля, которое сейчас пытаются строить китайцы, меньшее из зол по сравнению с обществом, где преступники, упивающиеся тайной частной жизни и, как следствие, безнаказанностью, могут творить любые преступления, не без оснований надеясь остаться неузнанными и незамеченными.

#Событие
Помнится Gizmodo пугали нас неуправляемыми IoT гаджетами.

Не поддавайтесь предновогодней лихорадке, не приобретайте IoT устройства в подарок своим близким! — говорили они.

И вот очередное доказательство. На этот раз на шпионаже попалась умная лампочка от Xiaomi.

"Товарищ, умный полицейский, бес попутал, больше не повторится"

Источник

#Событие #Сноуден #Haven #БольшойБрат

Продолжаем тему Большого Брата. The Verge сообщает (https://www.theverge.com/2017/12/23/16812834/edward-snowden-haven-guardian-project-laptop-phone ) о проекте Э. Сноудена, которому наш Дон Кихот посвятил последний год своей жизни. Политики часто говорят, что если ты не можешь остановить какое-то явление - возглавь его. Так же поступил и господин Эдвард. Поняв, что в мире торжествующей цифровой революции и IoT не спрятаться, не скрыться от вездесущих гаджетов, он работает над мобильным приложением, позволяющим использовать шпионские возможности своего телефона себе на благо. Все желающие почувствовать себя Джеймсом Бондом и использовать возможности своего гаджета for the great justice - welcome по ссылкам ниже.

Исходники на Github: https://github.com/guardianproject/haven ;
Приложение в Google Play: https://play.google.com/store/apps/details?id=org.havenapp.main .

#Полезное #Nmap #Vulners #Подарочек

Хорошие ребята с Vulners.com опубликовали у себя в GitHub скрипт, позволяющий использовать старый добрый nmap в качестве сканера уязвимостей. В качестве "базы знаний" используются данные самого Vulners. Отличный новогодний подарок для всех, кто любит и умеет nmap, но не хочет тратить время (e.g. OpenVAS) и деньги (e.g. Qualys) на освоение другого сканера. Узнать подробности о возможностях скрипта и загрузить сам скрипт можно по адресу:

https://github.com/vulnersCom/nmap-vulners .

#Полезное #Payload #Images #PNG #Пентест

Хвала 21 веку и тотальной автоматизации. Сегодня для того, чтобы использовать эксплойты совсем не требуется быть суперспецом. Достаточно хотеть сделать что-либо и уметь пользоваться google, и, вуаля, перед вами открывается чудесный мир готовых программ, эксплойтов и скриптов, уже сделанных другими умельцами. Этим утром мы представляем вам Power Shell тулзу, позволяющую зарядить PNG-картинку полезной нагрузкой. Как обычно, за инструкциями и дополнительной информацией милости просим на GitHub к разработчикам:

https://github.com/peewpw/Invoke-PSImage

#Опрос
Текущий год подходит к завершению, а это значит, что многие из нас скоро покинут свои теплые и уютные рабочие/учебные кресла и отправятся уничтожать салаты, пускать фейрверки, а кто-то и употреблять горячительное.

Мы решили предложить вам возможность почувствовать себя аналитиками и поучаствовать в нашем скромном ИБ опросе. Все анонимно.

Подведем итоги года и попробуем угадать будущее?

https://goo.gl/forms/6F16WL2qZLlvFdMG2

#Полезное #Ликбез #Uber #DataBreach

ISACA опубликовала неплохой материал (см. по ссылке ниже) из категории "очевидных мер, которые никто не хочет соблюдать". Озадаченная недавним скандалом с утечкой ПДн в Uber ассоциация напоминает о важности патч-менеджмента, внедрения процесса реагирования на инциденты и создания отраслевых коммьюнити, позволяющих компаниям, работающим в идентичных нишах, обмениваться опытом и кооперироваться в вопросах защиты и реагирования на инциденты ИБ. К сожалению, красивые лозунги плохо работают в реальном мире, и хотя все знают, что по утрам надо делать зарядку, а зубы полагается чистить не реже пары раз в день, далеко не все люди оказываются достаточно последовательными, чтобы соблюдать эти принципы на практике.  Так мы и живем, хотя с другой стороны, как бы цинично это не прозвучало, во многом именно благодаря человеческой глупости у нас, ИБ-ов (как и у многих других профессий), есть так много работы, и её количество продолжает расти из года в год. Поэтому воздадим хвалу дураку и обывателю и проведем последний рабочий день уходящего года так плодотворно, как это только возможно! 😊

Источник: https://www.isaca.org/Knowledge-Center/Blog/Lists/Posts/Post.aspx?utm_campaign=ISACA+Main&cid=sm_1227165&utm_content=1514410598&utm_source=twitter&utm_medium=social&appeal=sm&ID=907

#Событие
Праздники позади, и самое время вернуться в прежний ИБ ритм, тем более поводов накопилось уже более чем.

Сразу оговоримся, что мы не будем разбирать события, произошедшие за праздники, в частности те же Meltdown и Spectre, которыми пестрит ИБ отрасль. Если вы еще не слышали, то не берите грех на душу, почитайте, пропатчитесь. То ли еще будет.

А начнем мы со вчерашней новости об очередной максимально неловкой дырке в macOS High Sierra, позволяющей получить доступ к разделу App Store вашего Mac с вводом любого пароля. Угрозы данная "фича" вряд ли представляет, но репутационные издержки уже в который раз яблочная компания понесет.

Источник: https://www.macrumors.com/2018/01/10/macos-high-sierra-app-store-password-bug/

#Ликбез #Лукацкий #СУИБ

Товарищ Лукацкий подготовил обзорную презентацию технологий ИБ. Не ждите чудесных технических откровений и мелких деталей. Задача данного видео показать картину в целом, рассказать об актуальных трендах и дать рекомендации по посроению ИБ у себя в организации.

https://www.youtube.com/watch?time_continue=2649&v=0BQPdZP36us

История о том, как с помощью массовых пул-реквестов обфусциорованного вредоностного кода воровать персональные данные и данные кредитных карт так, чтобы никто ни о чем не подозревал. Такие дела.

Источник: Habrahabr, Оригинал

#Ликбез #Презентация #Продажи

В работе одинаково важны умения приносить результаты и продавать их. Много толковых специалистов оказываются жертвами неумения показывать себя и свои идеи публично. Из-за этого страдает и человек, и компания. Для ИТ-ов эта проблема часто ещё более актуальна: избыток общения с компьютером часто приводит к недостатку общения с живыми людьми, отсутствию опыта и навыков эффективного общения. Поэтому в свободное время разумно приобретать и специальные и обще гуманитарные навыки. На выходных предлагаем задуматься о мастерстве презентаций вместе с коротенькой статьей по ссылке ниже:

https://blogs.gartner.com/anton-chuvakin/2017/12/22/important-how-to-impress-annoy-an-analyst-during-a-vendor-briefing-best-worst-tips-here/?utm_content=bufferad518&utm_medium=social&utm_source=twitter.com&utm_campaign=buffer

#Итоги #2017

Давайте проводим старый Новый Год в последний путь вместе с отчетом журнала "Хакер" о самых значимых событиях 2017 года. Каким он был? Чем запомнился? Что ждет нас в будущем? Читаем и просветляемся.

#СмартКонтракты #Blockchain #Секс #Право

В странах Европы продолжается борьба за права человека. GDPR и защита персональных данных европейских граждан - одна из таких инициатив. Другой яркий пример - "сексуальное законодательство".

В декабре 2017 года парламент Швеции принял закон, согласно которому мужчина должен получать явное согласие женщины на секс. В противном случае вероятно обвинение в изнасиловании (https://www.gazeta.ru/social/news/2017/12/20/n_10959422.shtml ). Закон вступит в силу в июле 2018 года, но уже сейчас умные головы предлагют миру приложение, которое использует блокчейн для реализации законопроекта (https://gizmodo.com/men-try-to-redefine-sexual-consent-with-blockchain-1821964907 ). Получается, что даже секс с женой рискует уйти в digital и превратиться в арену киберпреступлений.  Так, к информации, которая уже собирается о физическом лице и его активности, добавится информация о сексе.

На этом примере видна пугающая тенденция к полному проникновению ИТ в жизнь общества. Цена ошибки при разработке и эксплуатации ПО продолжает расти вместе с количеством "точек отказа". Возможно, текущая эпоха предшествует краху "технологической пирамиды": польза из технологий ещё извлекается и человек контролирует их, но в инцидентах, скандалах и тенденциях последних 20 лет просматриваются черты возможного коллапса "цифровой цивилизации". А ведь сильный ИИ только на подходе, и пишут его такие же рукожопые, ленивые программисты с фантастическими дедлайнами и туповатыми менеджерами, как те, кого вы ежедневно встречаете в своем БЦ.

#Ликбез #Cisco #TLS #АнализТрафика

На хабре вышла интересная статья про детектирование вредоносного ПО в зашифрованном трафике. Анализируя особенности сетевого поведения ПО и метаданные подключения Cisco детектирует активность вредоноса с вероятностью до 93.2 %.

Источник: https://habrahabr.ru/company/cisco/blog/346544/

#Событие #FYI #Facebook

Бытует мнение, что чем компания крупнее, тем лучше она защищена. Да, в корпорациях существуют крутые СКУД, продуманные групповые политики, строгий антивирус, современный WAF и полноценная песочница. Но никому, слышите, никому еще не удавалось избежать парадоксального человеческого фактора при построении систем или написании кода.

Как и в этом случае с Facebook. Их дочерняя компания Oculus, занимающаяся виртуальной реальностью, позволяет пользователям социальной сети привязывать аккаунты для лучшего социального опыта. Тут то рисечер Йосип Франкович из Хорватии и нашел уязвимость, позволяющую с помощью CSRF привязать Facebook к Oculus счету атакующего, а как следствие похитить и аккаунт жертвы, подменив мобильный телефон.

Причем после фикса со стороны Facebook, Йосип нашел новую дырку.

Источник: https://www.josipfranjkovic.com/blog/hacking-facebook-oculus-integration-csrf

#Событие #Итоги #Tadviser

Портал Tadviser опубликовал интегральный обзор рынка ИБ в РФ. Обзор соединяет в себе общие финансовые показатели, анализ трендов, сравнение успехов игроков рынка по отдельным направлениям, а также ссылки на многочисленные тематические статьи, интервью с экспертами и данные по мировым рынкам. Если вы любите планировать карьеру/бизнес наперед, самое время достать органайзер и сверить планы с учетом изменений в контексте.

Источник: http://www.tadviser.ru/index.php/%D1%F2%E0%F2%FC%FF%3A%CE%E1%E7%EE%F0%3A_%C1%E5%E7%EE%EF%E0%F1%ED%EE%F1%F2%FC_%E8%ED%F4%EE%F0%EC%E0%F6%E8%EE%ED%ED%FB%F5_%F1%E8%F1%F2%E5%EC

#FYI #Троян #Kaspersky

Блог Касперского опубликовал статью о трояне Skygofree (https://www.kaspersky.ru/blog/skygofree-smart-trojan/19484/ ). Помимо джентельменского набора перехвата звонков, смс и данных календаря, троян умеет: отслеживать геолокацию и включать микрофон в определенных местах; управлять фронтальной камерой; незаметно подключаться к Wi-Fi даже при выключенном Wi-Fi в настройках; отслеживать работу мессенджеров Viber и WhatsApp; запускать payload'ы, скаченные с C&C сервера. Для любителей технический деталей рекомендуется прочитать подробный разбор на английском (https://securelist.com/skygofree-following-in-the-footsteps-of-hackingteam/83603/ ). Предохраняйтесь антивирусами, господа, и избегайте незащищенных контактов с незнакомыми сайтами!