Архив метки: Fun

Ошибка Агента

Ошибка Агента

Ошибка Агента. Агент с позывным "Пингвин" сидел на стуле, глядя в зеркало в маленькой ванной комнате отеля. Он поднял глаза на дверной проём, ожидая шагов. Ровно в одиннадцать десять раздался стук в дверь. Агент тут же встал, включил кран с водой и впустил Майора.

Майор - невысокий человек с резко очерченными скулами и пронзительными глазами - вошёл бесшумно, словно тень, и закрыл за собой дверь, оглядев Пингвина с холодной, пристальной строгостью.

- Что за хрень ты понаписал, Гекльберри? - негромко начал Майор, на его лице читалось презрение.

Пингвин виновато потупился, вспоминая своё творение, написанное под изрядным градусом.

- Товарищ майор, - начал он осторожно, чувствуя, как тянет в животе. - Простите, но это недоразумение. В том письме я… Я же не имел в виду, что не поддерживаю… Я написал: "вы думали, я буду поддерживать?" В смысле, что да, конечно я буду. Я и поддерживаю. Просто - вы понимаете - английский такой сложный язык. Без малого 30 лет здесь живу, а так им и не овладел в достаточной степени. И про историю. Я, конечно, имел в виду Фридрихсгамский мирный договор 1809 года, триумфальное вхождение многострадального отечества моего в состав великой Российской Империи - пробормотал он, вглядываясь в равнодушное лицо Майора.

- Ты, значит, у нас непонятый патриот-русофил? Ты чего мне втираешь, friikki? - прорычал Майор, подходя к нему ближе. - Чего вы там с Гришкой удумали, дебилы? Какой ещё комплаенс? Устроили кипеш на весь мир на ровном месте. Не можешь зарешать за комплаенс, в Боливию у меня поедешь вместе со всей своей шарашкиной конторой. Ymmärrätkö minua, klovni?!

Пингвин прижал руку к груди и медленно кивнул, чувствуя себя полнейшим идиотом.

- Исправлю, - тихо пообещал он, глядя вниз. - Ещё раз извините.

- Исправишь? - Майор скептически прищурился. - Срок тебе неделя. Разговор окончен. Исчезни.

Пингвин кивнул и поспешил к выходу.

Форд не пройдёт?

Форд не пройдёт?

Форд не пройдёт? К посту про "платить устранителям уязвимостей только за отдых" было много комментариев. Сразу скажу, что пост был шуточным. Вопрос мотивации персонала слишком тонкий, чтобы всерьёз лезть туда с рекомендациями. 🙂

Но возражения разберу:

🔻 IT-шники будут саботировать процесс детектирования уязвимостей, подкручивая конфиги хостов. Так, чтобы сканер всегда показывал зелёненькое. Но IT-шники и сейчас могут так делать. 🤷‍♂️ И да, нужно учитывать возможность подобного саботажа.

🔻IT-шники будут просто выключать хосты. Eсли они могут так сделать без ущерба для бизнеса, то и замечательно. 👍 А если этим положат прод, то пусть решают это со своим IT-шным начальством. 😏

🔻 Алексей Лукацкий метод одобрил (❗️), но с оговоркой, что устранять нужно только 2% уязвимостей используемых в цепочках атак. Я с возможностью надёжного отделения этих мифических 2% уязвимостей традиционно НЕ соглашусь (см. Уязвимости Шрёдингера). Устранять нужно всё. 😉

Устранение Уязвимостей по "методу Форда"

Устранение Уязвимостей по методу Форда

Устранение Уязвимостей по "методу Форда". В Рунете популярна байка про Генри Форда. Якобы на его заводе проводился эксперимент: ремонтникам конвейера платили только за время, когда они находились в комнате отдыха. А как только конвейер вставал 🚨 и ремонтники отправлялись его чинить, им платить переставали. Поэтому делали они свою работу очень быстро и качественно, чтобы поскорее (и надолго) вернуться в комнату отдыха и им снова начала капать денежка. 👷‍♂️🪙

Надёжных подтверждений этому я не нашел, поэтому не думаю, что такой эксперимент действительно проводился. Байка. 🤷‍♂️

Но вообще интересно, а вот если бы специалистам ответственным за устранение уязвимостей платили бы только за время, когда на их хостах уязвимости не детектируются. 🤔 Вполне вероятно, что это весьма позитивно сказалось бы на скорости и качестве устранения. Нерешаемые проблемы очень быстро стали бы решаемыми, а автоматизация процесса тестирования и накатки обновлений получила бы бурное развитие. 😏

Генерация имён для уязвимостей

Генерация имён для уязвимостей

Генерация имён для уязвимостей. У коллег, которые занимаются атрибуцией атак, есть забава давать группам злоумышленников имена по какой-то схеме. Например, Midnight Blizzard или Mysterious Werewolf. 🙂 Я подумал, а чего бы нам уязвимостям так имена не давать?

Допустим, Remote Code Execution - Windows NAT (CVE-2024-38119)

🔹 Типы уязвимостей превращаем в созвучные названия животных. RCE - это пусть будет Racoon. Для EoP можно Elephant, для Memory Corruption - Monkey и т.д.

🔹 По названиям софта автоматом подбираем прилагательные, начинающиеся с тех же букв. "Windows NAT" -> "Windy Nautical".

🔹 Уязвимостей одного типа в одном продукте может быть сколько угодно. Поэтому генерим сочетания наречий и причастий прошедшего времени (6940230 комбинаций), а потом мапим в них CVE-идентификаторы. CVE-2024-38119 -> 202438119 -> "2438119": "inquisitively underspecified"

Получаем: "Inquisitively Underspecified Windy Nautical Racoon", т.е. "Любопытно Неуточненный Ветреный Морской Енот". 🙂

Если есть ИБ-бюджет, потрать его в первую очередь на Vulnerability Management и Hardening

Если есть ИБ-бюджет, потрать его в первую очередь на Vulnerability Management и Hardening

Если есть ИБ-бюджет, потрать его в первую очередь на Vulnerability Management и Hardening. 😉 По поводу этой картинки Mads Bundgaard Nielsen-а, о которой писали Александр Редчиц и Алексей Лукацкий, у меня вопросов нет. Ну, во всяком случае, по моей части. 😏

Видим у Vulnerability Management-а и Compliance Management-а (Наrdening-а) очень высокую эффективность при средней цене. И это должен быть первый приорититет у CISO. ⚡️

После Firewall-а. 🙄 Тут спорно, но пусть будет так. Без NGFW заниматься безопасностью действительно не сладко.

В общем, одобряю картинку. 🙂👍

Мастер-класс по росписи ёлочных игрушек прошёл успешно

Мастер-класс по росписи ёлочных игрушек прошёл успешно
Мастер-класс по росписи ёлочных игрушек прошёл успешноМастер-класс по росписи ёлочных игрушек прошёл успешноМастер-класс по росписи ёлочных игрушек прошёл успешно

Мастер-класс по росписи ёлочных игрушек прошёл успешно. 👍 Сказали, что можно рисовать всё что угодно. 😏 Нарисовал Elevation of Privilege (Local Privilege Escalation) - Linux Kernel (CVE-2024-1086). 😅

Сидим в кафе за столиком с прикольным видом на рыбок

Сидим в кафе за столиком с прикольным видом на рыбок
Сидим в кафе за столиком с прикольным видом на рыбокСидим в кафе за столиком с прикольным видом на рыбокСидим в кафе за столиком с прикольным видом на рыбок

Сидим в кафе за столиком с прикольным видом на рыбок. Смотрю на них и думаю: вот и в Vulnerability Management-е также. Масса мелких уязвимостей-рыбёшек. Ты с ними возишься, исправляешь по мере сил. А потом в произвольный момент флегматично из-за поворота выплывает супер-мега-критикал акула. 😱 Только в VM-е прикольнее, т.к. маленькая рыбка мгновенно в акулу не превратится, а с уязвимостями такое сплошь и рядом случается. 😏

Есть бородатый анекдот, когда студентам разных специальностей показывают кирпич и спрашивают о чём каждый из них в этот момент думает. Архитектор о том, какой дом можно построить из таких кирпичей, математик о свойствах параллелепипеда и т.д. А курсант военного ВУЗа думает о женщинах. Почему? А он всегда о них думает. 🤷‍♂️😉