ИБ vs ИТ?

В среде разработчиков бытует мнение, что информационная безопасность относится к IT не напрямую, а косвенно, что это вспомогательная область и даже вторичная. Но так ли это на самом деле? На этот неоднозначный вопрос серьезно и обстоятельно ответили спикер Слёрм Роман Панин и его коллега Павел Шатилов, руководители направления архитектуры ИБ в МТС. Они рассказали о:

✔️ Безопасной разработке, по-другому – SSDLS;
✔️ DevOps и DevSecOps;
✔️ Противостоянии подразделений ИТ и ИБ;
✔️ Смежных специальностях в ИТ и ИБ;
✔️ Вузовских программах по направлению «Информационная безопасность».

Читайте больше в нашей статье ➡️ ссылка

😱 Мои данные в сети: как проверить, нет ли ваших данных в сливах 😱
⠀
Как мы понимаем, что данные оказались у мошенников? Нам резко начинают поступать звонки с неизвестных номеров — прямо хоть звук на телефоне не включай 🤬 Однако есть и превентивные способы проверки данных.
⠀
в 2013 году инженер по веб-безопасности Трой Хант создал сайт Have i been pwned? Этот сервис собирает данные об утечках — некоторые из них ресурсу предоставляет правительства США, Великобритании и других стран.
⠀
На сайте вы можете проверить вашу электронную почту, не оказалась ли она в базе сливов. Сайт укажет, с какого сайта «уплыли данные», что попало в сеть. Не все русские сайты попадают в подборку, однако автор материала обнаружила свою старую почту в сливах с сайтов СДЭК, Вконтакте и LiveJornal.

Угрозы информационной безопасности повсюду. Справитесь с уловками мошенников?

Как вы поступите, когда на почту придёт письмо от адвоката принца из Нигерии? А если захотите поработать в кофейне с публичного Wi-Fi?

Мы собрали самые распространённые ситуации и сделали из них небольшой тест на знание правил ИБ. Наш герой — менеджер Василий. Ваша задача — помочь Василию преодолеть все ловушки от злоумышленников и не растерять важные данные.

Тест доступен на нашем сайте, а по итогу вы сможете получить приятный подарок — скидку на полный курс по ИБ.

😎 Ссылка на тест 😎

Сэкономить на ИБ не получится: в разработке находится законопроект о штрафах за утечку данных

О возможных изменениях в законодательстве сообщил министр цифрового развития, связи и массовых коммуникаций РФ Максут Шадаев на встрече с региональными журналистами.

Оборотный штраф будет начислятся компаниям и организациям за утечку персональных данных. «При этом мы хотим, чтобы штрафы направлялись не в бюджет, а на компенсацию пострадавшим от утечек людям. Это сложная конструкция, пытаемся сейчас эти нормы согласовать. Мы надеемся, что после принятия документа об оборотных штрафах компании задумаются о том, что вкладывать средства в безопасность для них выгоднее, чем платить штрафы», — говорит министр.

Планируется, что законопроект рассмотрят на ближайшей сессии Госдумы. Новости о законопроект и других нововведениях вы можете прочитать в Telergam-канале Минцифры России @mintsifry

Стоять на страже данных может не только инженер ИБ, но и рядовой специалист. А вклад в базовое образование окупится сторицей: сотрудник не попадётся на уловку мошенника, не перейдёт на фишинговый сайт, не откроет подозрительный документ. Основы мы даем на нашем курсе 👉 ссылка на обучение👈

А за прохождение теста на сайте мы ещё и скидку дадим 😎

Сегодня отмечается Международный День Кофе! Латте и макиато, раф и флет уайт, капучино и мокко, эспрессо и гляссе — эти слова звучат как песня в сердце кофемана 😍☕
⠀
Отметить праздник можно в вашей любимой кофейне. А чтобы посиделки не обернулась проблемами с украденными данными или заблокированными устройствами, напоминаем о базовых правилах ИБ в общественных местах:
⠀
🔻 Опасность первая — оставить незаблокированный ноутбук на столе и уйти в уборную или к барной стойке. У злоумышленника будет возможность скопировать данные, скопировать их.
⠀
🔹 Всегда следите за ноутбуком и блокируйте его на время перерыва.
⠀
🔻 Опасность вторая — общественный WiFi. Через незащищенную сеть они могут и украсть данные, и заразить ноутбук каким-нибудь вредным вирусом.
⠀
🔹 Сделайте точку доступа на вашем смартфоне и воспользуйтесь мобильным интернетом — так вы будете уверены в безопасности соединения. Также при работе с чувствительной информацией и внутренними документами стоит воспользоваться корпоративным VPN.

🐟 Фишинг и уэйлинг: охота за рыбкой покрупнее 🐳
⠀
Если слово «фишинг» в целом уже на слуху, то вот термин «уэйлинг» известен не только лишь всем. Расширяем словарик безопасника и рассказываем о ещё одном типе атак.

Уэйлинг — это разновидность фишинговой атаки, направленная на руководителей и топ-менеджеров организаций. Мошенники пытаются заполучить данные о компании, её сотрудниках и клиентах, убеждают ведущих специалистов перевести на странный счёт крупную сумму денег. Термин происходит от слова «Whale» — кит.

Злоумышленники подделывают сайты организаций, почты более высокостоящего руководства — так они применяют методы социальной инженерии. Менеджер доверяет своему руководителю и смело сообщает данные или оплачивает счета, которые могут выглядеть очень убедительно.

Способы борьбы с уэйлингом всё те же, что и с фишингом: перепроверяйте данные и узнавайте лично у руководителя информацию о тех или иных переводах.

О других базовых правилах защиты мы писали в этой статье 👉 ссылка 👈

Павел Дуров информирует: хакеры могут получить доступ к вашему телефону через WhatsApp

Сегодня Павел Дуров, основатель Telegram, рассказал об уязвимости, которая встречается в мессенджере WhatsApp (относится к запрещённой в России организации Meta).

По словам Павла, злоумышленнику легче лёгкого получить контроль над данными пользователя. Для этого достаточно отправить видео с вирусом или начать видеозвонок. Утверждение основано на заявлении, которое сама организация недавно сделала.

Любой месенджер может нести опасность для пользователя. Мошенники пересылают ссылки на фишинговые сайты, отправляют файлы с вирусами под видом изображений. Причём подобные хитрые ходы обманщики проворачивают и в Telegram, о чем Павел деликатно умолчал.

В целом правила кибербезопасности для разных мессенджеров похожи: не открывайте файлы от незнакомых людей, не принимайте звонки от тех, с кем не планировали разговаривать. Более подробно о правилах защиты в Telegram мы писали здесь 👉 https://slurm.club/3AVLpOZ 👈

Ещё пользуетесь WhatsApp? Или удалили по совету Павла?

Kubernetes и безопасность: запускаем контейнеры уверенно 😎
⠀
Ценность информационной безопасности невероятно важна. К примеру, при работе с контейнерами. Для команд, которые работают с Kubernetes, мы создали курс по безопасному использованию инструмента.

Курс пригодится инженерам по ИБ, DevOps-специалистам и разработчикам. Над приложением вы работаете вместе, понимание безопасной разработки у вас должно быть общим.
⠀
На занятиях разбираем основные модели угроз и как им противостоять, что делать, чтобы безопасность была на всех этапах — от разработки до отправки на сервер и последующего разворачивания.
⠀
Спикеры — практикующие специалисты по ИБ, DevSecOps и Kubernetes. Всю информацию можно закрепить на практике на стендах.

В дополнение вы получите курс по основам ИБ 😏 Он достанется всем, кто оплатит участие до 15 октября. Получится разобраться во всех аспектах безопасной разработки 🤓
⠀
Записаться на курс по безопасности в Kubernetes можно тут  ➡️ ссылка

Взлом Госуслуг: время для паники?

В новостных ресурсах сегодня появилась информация, что хакеры слили в свободный доступ личные данные пользователей портала Госуслуги. В доступ попали 5 тысяч строк, из них можно узнать:

🔻ФИО
🔻 Электронную почту
🔻 Телефон
🔻 Пол и дату рождения
🔻 Адрес регистрации и места жительства
🔻 Паспортные данные, СНИЛС, ИНН.

Однако Минцифры России поспешило опровергнуть эту информацию. Специалисты Министерства проверили появившиеся данные и «выяснили, что в нем нет того набора параметров, которые обязательно присутствуют в стандартных учетных записях Госуслуг. Учетные данные пользователей портала (логины и пароли) не были скомпрометированы, информация надежно защищена».

Данная база относится к одной из внешних онлайн-систем и не имеет прямого доступа к полному набору данных пользователей. Полный текст сообщения вы можете прочитать в официальном канале Минцифры России.

Не советуем скачивать архивы со слитыми данными. Во-первых, это незаконно, а во-вторых, в файлах могут быть зашитые вирусы и вредоносные ПО, а информация может быть ошибочной.

#информациябезопасность #иб

Информационная безопасность и Inktober 😈

Для художников со всего мира октябрь ассоциируется с челленджем Inktober. Задача — создать 30 рисунков по заранее известным словам и тем самым ежедневно тренировать свою творческую жилку.

Представители творческих профессий по всему миру адаптируют челлендж под себя. Музыканты, писатели, флористы... А почему бы и IT-шникам не присоединиться к общему веселью?

На протяжение октября мы будем обращаться к темам Inktober и находить в нашей работе созвучные темы и явления. Будем тренировать творческую жилку и видеть новое в обычном 🤓

Тема на 12 октября — «Забывать», и это слово подходит к направлению информационной безопасности.

Случалось ли вам забывать пароли от сайтов? Приходится комбинировать имена собачки и название любимых блюд, а то и сразу сдаться и начать процедуру восстановления паролей. Можно немного облегчить себе жизнь и воспользоваться диспетчером для хранения паролей. Делимся тремя сервисами с бесплатными версиями.

✅ Dashlane. Сервис поддерживает двухфакторную и биометрическую идентификацию, которые дополняют стандартный пароль. Dashlane имеет расширение для всех основных браузерах, также сервис запомнит заметки, адреса и другую информацию. В бесплатной версии можно хранить до 50 паролей на одном устройстве.

✅ LastPass. В этом диспетчеры вы можете сохранить данные для автозаполнения данных, информацию о платежных картах, адреса и документы. И пароли, конечно же — для них есть встроенный генератор. В бесплатной версии вы можете использовать сервис только для одного устройства или же по полной задействовать функционал, но только на 30 дней.

✅ iCloud Keychain.  Это бесплатный сервис, который доступен всем обладателям «яблочных» устройств. Он встроен и в смартфоны, и в ноутбуки, причем работает он абсолютно бесплатно, без ограничений на количество записей.

Подскажите, какими диспетчерами пользуетесь вы? Или не доверяете?

Узнать больше о безопасности данных вы можете на нашем курсе «Основы ИБ для всех». Спикер — Роман Панин, руководитель направления по архитектуре ИБ в МТС.

Продолжаем Inktober в Слёрм

Мы публикуем ассоциации к международному челленджу Inktober, и тема на 20 октября — «Блеф». Мы поговорим о социальной инженерии.

Уровень технической защиты информации растёт день ото дня. Организации закупают новое ПО, оплачивают корпоративные VPN, приглашают на работу инженера по кибербезопасности — оберегают данные всеми возможными техническими методами. Но есть способ узнать секреты и без технологий перехвата данных 😱

Социальная инженерия — это совокупность методов, позволяющих мошенникам получать доступ к информации без специальных устройств. Они могут, к примеру, отправить письмо руководителю проекта якобы от имени его непосредственного начальника и попросить передать документацию «на согласование».

Обманщики получают информацию из открытых источников: собирают номера и электронные почты из раздела «О компании». Далее все зависит от «стараний» мошенников и степени важности информации. Злоумышленники могут начать с простого обзвона с просьбой сообщить логин и пароль от личного кабинета — якобы на сайте ошибка. Некоторые создают фишинговые сайты, похожие на  корпоративные платформы, чтобы получить данные для входа в личный кабинет сотрудника.

Как спастись от социальной инженерии? Быть внимательным, переспрашивать у «сотрудников», из какого они отдела, перепроверять адреса сайтов.

Подробнее о защите информации и о том, как её можно уберечь от коварных лапок мошенников, рассказываем на курсе «Основы информационной безопасности для всех».

А вы когда-нибудь сталкивались с социальной инженерией?

Inktober в Слёрм 😈
⠀
В этом году создатели челленджа добавили достаточное количество тем, отлично подходящих под направление информационной безопасности. И сегодня мы берёмся за слово «Ограбление».
⠀
Корпорации по всему миру страдают от действий злоумышленников, и одна из таких организаций — японская «Honda».  В 2020 году автопроизводитель был вынужден остановить часть производств и работу офисов из-за атаки шифровальщика Snake.
⠀
Шифровальщик блокировал доступ к данным на компьютере и требовал выкуп за возврат информации. Из-за инцидента корпорации пришлось приостановить производство во всему миру — в Америке, Турции, Индии и Южной Америке. Часть сотрудников не могла получить зарплату, не работали некоторые интернет-сервисы: поддержки клиентов и онлайн-оплаты.
⠀
Постепенно специалистам удалось вернуть контроль над всей системой, однако компания все равно понесла колоссальные убытки. Простой заводов, невозможность вовремя ответить на запросы клиентов — всё это нанесло  финансовый и репутационный урон производителю.
⠀
К сожалению, такие пробои в защите информации случаются, причём под ударом и большие корпорации, и небольшие фирмы. Задача инженера по безопасности — спрогнозировать такие случаи и сделать все возможное, чтобы снизить урон от последствий.
⠀
У вас бывали случаи, когда подобные утечки информации в крупных организациях вредили именно вам, рядовому пользователю продукта или услуг?

Безопасность по-слёрмовски

Хочешь разобраться в том, чем занимается отдел ИБ? Или планируешь своими силами выстроить безопасность в компании? Мы с удовольствием поможем — к твоим услугам курс «Основы информационной безопасности».

Начни с демоуроков, чтобы понять, на что подписываешься. Это бесплатно! И не развод, чтобы получить личные данные.

Успешно завершив демо, ты сможешь просто и БЕЗОПАСНО перейти к основному курсу.

Доступ здесь: https://slurm.club/3tVQAtL

🔥А еще при оплате курса в этом году вы получаете возможность выиграть сертификат в 500 000 рублей на курсы Слёрм и бесплатные места на другие курсы.