IoT (Internet of Things, Интернет вещей) – это инфраструктура для «умной» среды, где через интернет или локальную сеть (LAN) устройства могут обмениваться информацией, в режиме реального времени реагировать на изменения окружающей среды и автономно выполнять задачи. IoT-сети позволяют управлять широким спектром объектов, от бытовой техники до промышленных систем и городской инфраструктуры.
 
Отдельные задачи, которые решает IoT:

1️⃣Сбор данных с помощью физических IoT-устройств (датчиков, систем контроля доступа, трекеров местоположения, RFID-меток).
2️⃣Передача данных через беспроводные каналы передачи данных (Wi-Fi, Bluetooth, Zigbee, NB-IoT) или проводные сети (Ethernet, RS-485).
3️⃣Принятие решений на основе обработанных данных (включение вентиляции при превышении температуры).
4️⃣Удаленное управление IoT-устройством через интерфейс, где пользователь, при необходимости, может отправить команду на устройство.
 
Количество IoT-устройств по всему миру стремительно растет, однако вместе с удобством и автоматизацией увеличиваются и риски безопасности, причинами которых могут быть:

1️⃣Небольшие вычислительные ресурсы таких устройств ограничивают использование современных методов шифрования и защиты.
2️⃣Отсутствие регулярных обновлений и предустановленные пароли от производителя IoT-устройств, которые осознанно остаются неизменными. В результате чего злоумышленники могут получить доступ к устройству.
3️⃣Физическая доступность – некоторые IoT-устройства не имеют защиты от аппаратного вмешательства, что позволяет злоумышленнику получить полный доступ к контроллеру.
4️⃣Передача данных по незащищенным протоколам и подключение к публичным Wi-Fi-сетям может привести к перехвату и модификации трафика.
5️⃣Отсутствие международных стандартов совместимости может создать сложности при подключении и взаимодействии IoT-устройств разных производителей в единой системе, а также вызвать проблемы с функциональностью, обменом данными и обновлениями. Причиной может являться использование устройствами разных протоколов, которые могут быть нестандартными, устаревшими или несовместимыми с централизованными системами безопасности.
 
Все это делает IoT-устройства легкой мишенью для атак, которые могут привести к взлому инфраструктуры и использованию устройств в целях злоумышленника, как в случае с ботнетом Mirai, который заражал устройства, используя логины и пароли, установленные по умолчанию.

#ИБ

Публикуем одиннадцатый выпуск «Непропустимых» событий ИБ. Мы активно следим за интересными мероприятиями по тематике информационной безопасности и приватности. Сегодня представляем наши рекомендации на март 2025 года.

Подборка мероприятий в файле под этим постом ⬇️

#Непропустимыесобытия

Согласно ст. 3 Федерального закона от 22.10.2004 № 125-ФЗ «Об архивном деле в Российской Федерации», архивный документ – это материальный носитель с зафиксированной на нем информацией, который имеет реквизиты, позволяющие его идентифицировать, и подлежит хранению в силу значимости указанных носителя и информации.
 
При этом более детальное описание того как следует организовать архивное хранение отражено в Приказе Росархива № 77 от 31.07.2023 г. и Приказе Росархива № 236 от 20.12.2019.
 
Так, при организации архивного хранения в компании следует:

▫️Разработать внутренние регламенты, определяющие порядок обработки и хранения документов, включая положение о защите данных.
▫️Установить четкие сроки хранения документов в соответствии с законодательством.
▫️Обеспечить физическую безопасность бумажных носителей, используя сейфы или помещения с ограниченным доступом.
▫️Для электронных документов рекомендуется осуществляться хранение в формате, который гарантирует их долговременную воспроизводимость и защиту данных от потерь.
▫️Проводить регулярную пересмотр архивных документов с целью выявления документов с истекшими сроками хранения.
▫️Уничтожать документы по истечении срока хранения в соответствии с установленной процедурой, что также должно быть задокументировано.
 
Согласно п. 2 ч. 2 ст. 1 152-ФЗ на отношения, возникающие при организации хранения, комплектования, учета и использования содержащих персональные данные документов Архивного фонда РФ и других архивных документов в соответствии с законодательством об архивном деле в РФ не распространяется действие 152-ФЗ. 
 
Соответственно если компания переедет организацию процесса архивного хранения подрядчику, при этом передаваемые для архивного хранения документы содержат персональные данные, то компании необходимо заключить поручение на обработку ПДн с подрядчиком. Если компания передает на хранение уже сформированный ею самостоятельно архив, то 152-ФЗ не будет распространяться и поручение заключать не требуется.
 
Поскольку сегодня многие компании перешли на электронный документооборот, релевантно рассмотреть вопрос о переводе документов в архивный статус с использованием системы кадрового электронного документооборота (КЭДО).

Так, компаниям, которые используют систему КЭДО следует:

▫️Подготовить документы, упорядочив их и убедившись, что они соответствуют требованиям законодательства.
▫️Отсканировать документы, чтобы получить файлы в формате PDF.
▫️Сформировать электронный архивный документ, который должен включать основной файл, файлы приложений, файлы электронной подписи, метаданные о документе.
▫️Загрузить электронные документы в систему КЭДО, где они будут автоматически зарегистрированы для архивного хранения.
▫️Установить срок хранения.
▫️Обеспечить регулярное резервное копирование и доступ к архиву для будущего использования.

#Privacy
#ПолезноЗнать

Вопрос:

Для чего нужна SOAR-система?

Ответ:

SOAR (Security Orchestration, Automation and Response) — это класс программных решений, предназначенных для координации, управления и автоматизации работы систем безопасности. SOAR-системы способны агрегировать и обрабатывать информацию из множества источников, таких как:
▫️SIEM-системы;
▫️Антивирусное ПО;
▫️DLP-системы;
▫️Инструменты анализа угроз (Threat Intelligence);
▫️Межсетевые экраны.

Использование SOAR-системы также оптимизирует работу команды безопасности, позволяя меньшему количеству специалистов эффективно справляться с большим объемом задач.

Основные функции SOAR-системы:
▫️собирает и анализирует данные из различных источников;
▫️автоматизирует выполнение повторяющихся задач с помощью плейбуков – заранее разработанных сценариев реагирования на инциденты, которые определяют последовательность необходимых действий;
▫️интегрирует и координирует работу различных инструментов безопасности, организуя единый процесс реагирования на инциденты, что позволяет сократить время реагирования и минимизировать потенциальный ущерб;
▫️предоставляет централизованную картину всех событий безопасности, упрощая анализ и выявление скрытых угроз;
▫️формирует отчеты различного наполнения и детализации, а также предоставляет широкие возможности для визуализации данных (например, создание дашбордов, на которых в реальном времени будет отображаться информация об инцидентах, их статусе расследования и принятых мерах).

SOAR — это не просто набор инструментов, а стратегический подход к управлению кибербезопасностью, позволяющий организациям эффективно противостоять современным угрозам и защищать свои активы.

#ИБ
#KeptОтвечает

CISO & DPO news #62 (17-23 февраля 2025 года)

▫️AMD устранила шесть уязвимостей в процессорах EPYC и Ryzen

Уязвимости предоставляли следующие возможности:
🔸открывали доступ к выполнению произвольного кода;
🔸позволяли администратору с доступом к хост-окружению прочитать незашифрованное содержимое памяти;
🔸давали возможность обходить средства защиты целостности памяти виртуальных машин;
🔸позволяли привилегированному атакующему нарушить целостность памяти гостевой системы.
 
▫️Опубликован отчет по анализу киберугроз в России и СНГ

Компанией F6 был подготовлен отчет, в котором исследователи отметили рост количества APT-группировок, количества DDoS-атак, а также о том, что персональные данные остаются главной целью вымогателей.
 
▫️Подведены итоги по кибераткам на банки за 2024 г.

Эксперты Solar JSOC зафиксировали в 2024 г. рост атак на финансовый сектор России. Основные угрозы — внутреннее сканирование сети, эксплуатация уязвимостей и заражение вредоносным ПО.
 
▫️Более четверти вирусов в госучреждениях занимаются добычей криптовалют

Количество вирусов-майнеров, которыми заражены госорганы и государственные организации, увеличилось за четвертый квартал 2024 г. на 9%. На их долю приходится более четверти всех вирусов. Эксперты связывают рост заражений госучреждений майнерами с недостатком финансирования информационной безопасности и нехваткой профильных специалистов на местах.
 
▫️Обсуждается возможность исключения уголовной ответственности для специалистов в области ИБ

Между Минцифры, представителями Совета Федерации и компаниями, оказывающими услуги в области информационной безопасности, идет обсуждение по поводу выведения соответствующих специалистов из зоны ответственности по ст. 272.1 УК РФ.
 
▫️Использование технологии дипфейка предлагается приравнять к отягчающему обстоятельству

Глава Минцифры на форуме «Кибербезопасность в финансах» заявил, что использование дипфейков может стать отягчающим обстоятельством при совершении преступлений
 
▫️Представлены проекты постановлений Правительства РФ о ГИС, для обработки обезличенных ПДн

Для общественного обсуждения представлены проекты двух постановлений Правительства РФ о ГИС, предназначенной для обработки персональных данных, полученных в результате обезличивания ПДн:
🔸Первое постановление  предлагает определить федеральную ГИС «Единая информационная платформа национальной системы управления данными» в качестве системы, предназначенной для обработки ПДн, полученных в результате обезличивания персональных данных (ч. 2, 7 ст. 13.1 152-ФЗ).
🔸Второе постановление  определяет требования к правилам проверки пользователей ГИС (ч. 7 ст. 13.1 152-ФЗ)
 
▫️Представлена оценка роста рынка ИБ

По результатам 2024 г. рынок защиты информации в России вырос на 20%, при этом предполагается, что в 2025 г. рынок вырастет еще на 23%. Частично рост спроса на решения для защиты информации обусловлен ужесточением требований законодательства (ст. 13.11 КоАП).

Название CAPTCHA – это аббревиатура, которая расшифровывается как «Completely Automated Public Turing test to tell Computers and Humans Apart». Идея названия связана с тем, что CAPTCHA представляет собой автоматизированную версию теста Тьюринга – метода, предложенного британским математиком Аланом Тьюрингом для определения, может ли машина демонстрировать интеллектуальное поведение, неотличимое от человеческого. В случае CAPTCHA задача упрощена: система должна определить, является ли пользователь человеком, а не оценивать его интеллект. Название подчеркивает основную цель технологии – отличать людей от ботов, сохраняя при этом автоматизированный и публичный характер теста.

CAPTCHA эволюционировала с момента своего появления, и сегодня существует множество её разновидностей:
▫️Текстовая. Классический вид CAPTCHA, в которой пользователю предлагается ввести буквы, цифры и символы, изображенные на искаженной картинке;
▫️Графическая. Пользователю предлагается выполнить задачу, связанную с изображениями. Например, найти все светофоры или нажать в правильной последовательности на символы, изображенные на картинке;
▫️Математическая. Пользователю предлагается решить простую математическую задачу, например, сложить 2 числа;
▫️Поведенческая. Этот вид CAPTCHA анализирует поведение пользователя на сайте – скорость движения мышки, клики, прокрутку страницы и т.д. Если поведение кажется подозрительным, система может запросить дополнительную проверку;
▫️Игровая. Пользователю предлагается выполнить просто игровое действие, например, повернуть объект или собрать пазл;
▫️Аудио. Альтернатива для людей с нарушением зрения. Пользователь прослушивает аудиозапись с искаженной речью или цифрами и вводит услышанное.

Таким образом, CAPTCHA помогает защищать сайты от спама, автоматической регистрации, DDoS-атак и других злонамеренных действий ботов.

#ИБ

В условиях стремительного роста кибератак традиционный реактивный подход к информационной безопасности уже неэффективен. Организациям необходимо не только реагировать на инциденты, но и предугадывать потенциальные угрозы. Для этого используется Threat Intelligence (TI) — процесс, позволяющий с помощью соответствующих решений выявлять угрозы до их реализации и минимизировать риски.
 
Результатами TI являются аналитически обработанные данные об угрозах, объединяющие:

▫️контекст — сведения о происхождении и механизмах угроз;
▫️индикаторы компрометации (IoC) — технические признаки атак, например, хэши вредоносных файлов или IP-адреса, используемые злоумышленниками;
▫️взаимосвязи — связи между угрозами, их целями и методами реализации.
 
Эти данные проходят этапы сбора, нормализации, обогащения дополнительной информацией и анализа. В результате формируется «карточка» угрозы, которую специалисты используют для оценки рисков и принятия решений.
 
TI подразделяется на три уровня:

▫️операционный (технический) — IoCиспользуются для автоматического выявления и блокировки угроз. Злоумышленники могут быстро менять IP-адреса, домены и другие индикаторы, некоторые IoC имеют ограниченный срок жизни. Поэтому операционный уровень нуждается в постоянном обновлении данных;
▫️тактический — анализ тактик, техник и методов злоумышленников (TTP), позволяющий прогнозировать возможные атаки и разрабатывать проактивные меры защиты;
▫️стратегический — разработка глобальных аналитических отчётов о тенденциях угроз, используемых для долгосрочного планирования ИБ.
 
Стоит учитывать, что эффективное применение TI требует работы на всех трёх уровнях.
 
Основные преимущества использования TI:

▫️проактивная защита — TI позволяет предвидеть атаки и принимать меры предосторожности, а не просто реагировать на уже произошедший инцидент;
▫️экономия ресурсов — благодаря фокусу на самых актуальных и опасных угрозах возможно оптимизировать расходы на безопасность и избежать ненужных трат;
▫️эффективное принятие решений — TI предоставляет ценную информацию для директора по ИБ (CISO), позволяя принимать стратегические решения в области кибербезопасности. 
 
Основные трудности внедрения TI связаны сразнообразием источников данных и отсутствием единых стандартов, необходимостью автоматизированной обработки большого объёма информации, а также сложностью оценки эффективности TI из-за отсутствия универсальных метрик.
 
Для эффективной работы с TI необходимоопределить цели внедрения и ожидаемые результаты, использовать специализированную платформу для управления киберразведданными и регулярно оценивать качество источников и устранять неактуальные или недостоверные данные.
 
Threat Intelligence — это ключевой элемент информационной безопасности, позволяющий не только выявлять угрозы, но и предугадывать возможные атаки. Компании, применяющие TI, могут снизить риски и повысить устойчивость к кибератакам благодаря своевременному доступу к актуальной информации об угрозах.

#ИБ
#ПолезноЗнать

Вступило в силу 17 февраля 2025 г.:

Стандарт Банка России об обеспечении безопасности использования QR-кодов при осуществлении переводов денежных средств (СТО БР БФБО-1.9-2024)
▫️для кого: кредитные организации, некредитные финансовые организации, операторы платежных систем, клиринговый центр СБП и организации, участвующие в осуществлении переводов денежных средств через QR-коды, поставщики ПО, применяемого для платежей и перевод с использованием QR-кодов.
▫️что делать: обеспечить безопасное применение QR-кодов при осуществлении переводов денежных средств путем:
🔸выделения технологических участков и подэтапов процессов осуществления переводов денежных средств с использованием QR-кодов;
🔸определения риска ИБ на технологических участках и подэтапах процессов осуществления переводов денежных средств с использованием QR-кодов, актуальных угроз безопасности информации и мер защиты информации для снижения выявленного риска;
🔸стандартизации взаимодействия участников процессов осуществления переводов денежных средств с использованием QR-кодов;
🔸внедрения единых правил формирования и использования QR-кодов в процессах осуществления переводов денежных средств на основе международных стандартов.

#ДеЮре

Вопрос:

Что такое дефейс сайта?

Ответ:

Дефейс (deface) – изменение внешнего вида страницы веб-сайта злоумышленником. При этом доступ к остальной части сайта может блокироваться, а на обновленной странице будет располагаться реклама, предупреждение, сообщение или угроза. Подобные кибератаки могут привести к серьезному удару по репутации компании и отпугнуть клиентов.

Дефейсеры – это не просто одиночки, взламывающие сайты ради забавы. У них есть развитое сообщество со своей внутренней иерархией и конкуренцией. Существуют публичные архивы, где документируются успешные дефейсы. Эти архивы служат своеобразной «доской почета», где конкурирующие группы выставляют напоказ результаты своих взломов и следят за достижениями соперников, подсчитывая очки за каждый взломанный сайт.

Для того чтобы получить несанкционированный доступ и изменить контент сайта, злоумышленники используют различные уязвимости в веб-приложениях или серверах, например:
▫️внедрение SQL-инъекции в запросы для получения доступа к базе данных и изменения контента;
▫️межсайтовое выполнение сценариев – внедрение вредоносных скриптов на веб-страницу, которые выполняются при открытии сайта пользователем;
▫️получение доступа к учетным записям администратора сайта;
▫️эксплуатация известных уязвимостей в системах управления контентом (CMS) и установленных плагинах.

Чем опасен дефейс?
▫️ущерб репутации – дефейс может подорвать доверие клиентов и партнеров;
▫️потеря трафика – посетители могут покинуть сайт и больше не возвращаться;
▫️SEO-проблемы (Search EngineOptimization) – поисковые системы могут понизить рейтинг сайта или даже заблокировать его;
▫️штрафы и иные санкции – в случае размещения на сайте противоправной или нарушающей закон информации.

Как защититься от дефейса?
▫️устанавливайте последние обновления безопасности, чтобы закрыть известные уязвимости;
▫️создавайте уникальные и сложные пароли для всех учетных записей;
разрешите доступ к панели управления только доверенным пользователям;
▫️регулярно делайте резервные копии для быстрого восстановления после атаки дефейсеров;
▫️используйте систему WAF для блокировки вредоносного трафика и защиты сайта от кибер-атак;
▫️проводите регулярное сканирование на уязвимости с использованиемспециализированных инструментов для выявления уязвимостей вашего веб-ресурса.

Дефейс представляет угрозу для организаций любого масштаба, однако, применяя комплексный подход к обеспечению безопасности, можно значительно снизить риск таких атак и обеспечить стабильное функционирование веб-ресурса.

#ИБ
#KeptОтвечает

CISO & DPO news #63 (24 февраля - 2 марта 2025 года)

▫️Обнаружена критическая уязвимость в MITRE Caldera

В популярном инструменте для киберучений и автоматизации тестирования безопасности MITRE Caldera обнаружена критическая уязвимость, позволяющая атакующим удаленно выполнять произвольный код. Исследователи уже раскрыли детали уязвимости, что повышает риск ее эксплуатации злоумышленниками.
 
▫️Вредонос GhostSocks использует прокси SOCKS5 для обхода систем обнаружения

Новый вредонос GhostSocks применяет прокси-протокол SOCKS5 для скрытого трафика и обхода систем киберзащиты. Это позволяет хакерам поддерживать устойчивый доступ к скомпрометированным устройствам и организовывать вредоносные операции, оставаясь незамеченными.
 
▫️Обнаружен троян, проводящий атаки в сферах энергетики, здравоохранения и логистики

Вредоносное ПО FatalRAT используется хакерами для атак на промышленные организации, проникая в системы энергетики, здравоохранения и логистики. В списке затронутых стран оказались Тайвань, Малайзия, Китай, Япония, Таиланд, Южная Корея, Сингапур, Филиппины, Вьетнам и Гонконг.
 
▫️Опубликован Федеральный закон № 23-ФЗ о внесении изменений в 152-ФЗ и иные законы РФ

Изменения в 152-ФЗ включают в себя, в том числе:
🔸уточнение требований к локализации баз данных ПДн;
🔸новые требования к обработке ПДн сотрудников силовых ведомств и судей.
Новая редакция 152-ФЗ вступает в силу с 01.07.2025 г.
 
▫️Предложено проверять возраст всех интернет-пользователей

Уполномоченный по правам человека в РФ предложил законодательно регламентировать процесс верификации возраста пользователей в интернете для защиты детей от негативного контента. В докладе за 2024 г. отмечено, что текущие механизмы позволяют любому пользователю получить доступ к материалам «18+» без реальной проверки возраста.
 
▫️Предложено информировать граждан о случаях хищения ПДн

Уполномоченный по правам человека в РФ считает необходимым обязать организации уведомлять граждан об утечках их ПДн. Это даст людям возможность предпринять защитные меры, например, заменить банковские карты или установить запрет на оформление кредитов. В настоящее время операторы ПДн обязаны информировать об утечках только Роскомнадзор, но не пострадавших граждан.
 
▫️ФСТЭК России опубликовало финальную версию проекта стандарта по защите информации

На сайте ФСТЭК России доступна окончательная редакция проекта национального стандарта ГОСТ Р «Защита информации. Системы с конструктивной информационной безопасностью. Методология разработки». Документ устанавливает методологию разработки систем с конструктивной информационной безопасностью.
 
▫️ФСТЭК России вынесла на обсуждение порядок лицензионного контроля в сфере защиты информации

ФСТЭК России вынесла на общественное обсуждение проект приказа, устанавливающий сроки и порядок административных процедур по лицензионному контролю за разработкой и производством средств защиты конфиденциальной информации. Документ определяет регламент проведения плановых и внеплановых проверок лицензиатов.

В соответствии с ч. 1.1 ст. 1 152-ФЗ, его положения применяются к обработке персональных данных (ПДн) граждан РФ, осуществляемой иностранными юридическими и физическим лицами (далее – иностранные лица), на основании договора, стороной которого являются граждане РФ, иных соглашений либо на основании согласия гражданина РФ на обработку его ПДн.

Порядок применения и контроля соблюдения данной нормы остается неясным, в частности, из-за отсутствия критериев применимости.

В таком случае полезно обратиться к Регламенту ЕС о защите ПДн, устанавливающему критерии его применения к иностранным лицам. Требования GDPR распространяются по экстерриториальному принципу, то есть соблюдать нормы Регламента должны также компании, находящиеся за пределами ЕЭЗ, но при определенных условиях, указанных в статьях 3(2a) и 3(2b) GDPR:

1️⃣Осуществляется обработка ПДн субъектов, находящихся в ЕЭЗ.
2️⃣Обработка связана с предложением товаров и услуг вне зависимости от оплаты.
3️⃣Обработка ПДн включает мониторинг поведения субъектов ПДн в ЕЭЗ.
 
Толкуя 152-ФЗ с другими НПА и Постановлением ВС РФ, мы приходим к аналогичному трактованию распространения 152-ФЗ на иностранных лиц, при условии, что они имеют направленность своей деятельности на российский рынок вне зависимости от их местоположения.

Например, сайт в Интернете может считаться ориентированным на российских потребителей, если:
▫️Один из языков сайта — русский.
▫️Цены указаны в российских рублях.
▫️Контактные телефоны имеют российские коды.
▫️Другие доказательства, например, заказ услуг по повышению цитируемости сайта для российских пользователей.
 
Вопрос соблюдения иностранными лицами норм 152-ФЗ остается сложной задачей из-за отсутствия критериев применимости, правоприменительной практики и ограниченных возможностей контроля. При этом принцип экстерриториальности позволяет расширить область защиты интересов субъектов, а системное применение этого принципа может способствовать более ответственному отношению иностранных лиц к требованиям российского законодательства.

#Privacy

Вопрос:

Что такое SIEM?

Ответ:

SIEM-система (Security Information and Event Management) – централизованная платформа для сбора, анализа и корреляции информации о событиях безопасности из различных источников в режиме реального времени.

Ключевые функции SIEM:
▫️сбор данных – SIEM агрегирует информацию из разных источников, включая серверы, сетевые устройства, базы данных и приложения;
▫️анализ и корреляция данных – система анализирует собранные данные, выявляя взаимосвязи между событиями и определяя потенциальные угрозы. Например, массовое изменение правил маршрутизации может указывать на сетевую атаку;
▫️оповещения – в случае обнаружения подозрительной активности SIEM генерирует оповещения, уведомляя специалистов по безопасности;
▫️отчетность – SIEM позволяет формировать детальные отчеты о состоянии безопасности;
▫️расследование инцидентов – в случае инцидента SIEM помогает в проведении расследования.

Преимущества использования SIEM:
▫️централизованная обработка информации о событиях безопасности;
▫️сокращение времени реагирования на инциденты ИБ;
▫️снижение нагрузки на специалистов ИБ;
▫️обработка больших объемов данных с возможностью масштабирования.

В качестве источников информации для SIEM-решений могут выступать службы журналирования событий, встроенные в оборудование и ПО, к которым относятся:
▫️системы авторизации и аутентификации;
▫️межсетевые экраны;
▫️журналы сетевого оборудования, серверов и рабочих станций;
▫️контроллеры домена;
▫️антивирусное ПО;
▫️IDS/IPS-системы;
▫️DLP-системы;
▫️решения для контроля активов и инвентаризации.

SIEM-системы необходимы для работы с большим количеством событий в ИТ-инфраструктуре и принятия осознанных решений на основании такой обработки.

Эффективность SIEM-системы возрастает при интеграции с SOAR-решениями. SOAR автоматизирует рутинные задачи, связанные с реагированием на инциденты, основываясь на данных, полученных от SIEM. Например, при обнаружении SIEM-системой подозрительной активности, SOAR может автоматически заблокировать IP-адрес злоумышленника, изолировать зараженную систему или запустить сканирование на наличие вредоносного ПО. Такое сочетание позволяет значительно сократить время реакции на инциденты, освободить специалистов ИБ от выполнения повторяющихся операций и повысить общую эффективность системы кибербезопасности.

Интеграция SIEM и SOAR обеспечивает более высокий уровень автоматизации и оркестрации процессов безопасности.

#ИБ
#KeptОтвечает

CISO & DPO news #64 (3-9 марта 2025 года)

▫️Банки начнут уточнять налоговый статус клиентов

Минфин совместно с Росфинмониторингом, Банком России и ФНС России доработал порядок обновления информации о налоговом резидентстве. Предлагается анализировать геолокационные данные клиентов банка, при использовании сервисов дистанционного банковского обслуживания (ДБО). Если в течение 6 месяцев более 50% случаев использования ДБО происходило с территории иностранных государств, это может являться основанием запросить у клиента информацию о статусе налогового резиденства.

▫️Защита персональных данных – ключ к предотвращению преступлений с использованием ИИ

Генеральный директор «Белого Интернета», центра по защите прав граждан и бизнеса в сфере цифровых технологий, отметила связь между кражей ПДн граждан и использованием искусственного интеллекта в противоправных целях. По ее мнению, предотвращение кражи ПДн напрямую способствует снижению числа цифровых преступлений. Также директор центра поддержала инициативу СК РФ по усилению внимания к расследованию киберпреступлений, подчеркнув необходимость разработки эффективных методов их выявления.

▫️РКН получит полномочия по утверждению требований обезличивания ПДн

Правительство РФ опубликовало проект постановления, согласно которому Роскомнадзор сможет утверждать требования обезличивания персональных данных. Исключение составляют случаи, указанные в п. 9.1 ч. 1 ст. 6 152-ФЗ (в целях эксперимента по установлению специального регулирования искусственного интеллекта в Москве, а также в рамках федерального закона «Об экспериментальных правовых режимах в сфере цифровых инноваций» от 31.07.2020 N 258-ФЗ).
Новая волна штрафов за нарушение локализации ПДн
Суд Таганского района Москвы вынес решения по делам о нарушении требований по локализации персональных данных россиян. По ст. 13.11 КоАП РФ крупные IT-компании получили штрафы:
🔸 Twitch Interactive — 13 млн руб.
🔸 Pinterest — 12 млн руб.
🔸 Zoom Video Communications — 15 млн руб.
🔸 SnapChat — 10 млн руб.
🔸 Hotels.com — 5 млн руб.

Все компании оштрафованы по ч. 9 ст. 13.11 КоАП за повторное несоблюдение требований по первоначальному сбору данных российских пользователей на территории РФ.

▫️Обнаружена масштабная фишинговая кампания с использованием PDF и CAPTCHA

Киберпреступники используют заражённые PDF-документы, размещённые на сайтах, для распространения вредоносного ПО. Эксперты Netskope обнаружили 5000 таких файлов на 260 различных сайтах. Хакеры применяют SEO (Search Engine Optimization) для повышения видимости сайтов. Вредоносные PDF содержат поддельные CAPTCHA, заставляющие пользователей запускать PowerShell-команды, загружая Lumma Stealer — инфостилер для кражи данных с Windows. Защититься помогает изоляция браузера, предотвращающая заражение корпоративных систем.

▫️Мошенники используют Telegram-бота для кражи данных с Госуслуг

Киберполиция России выявила новую схему телефонного мошенничества, направленную на кражу аккаунтов «Госуслуг». Злоумышленники звонят от имени «Почты России» и предлагают уточнить адрес доставки через Telegram-бота.

▫️В Vim обнаружена опасная уязвимость, связанная с tar-архивами

В текстовом редакторе Vim выявлена критическая уязвимость (CVE-2025-27423), связанная с некорректной обработкой команд в плагине tar.vim и позволяющая злоумышленникам выполнять произвольный код через специально подготовленные tar-архивы. Уязвимость, получившая 7,1 балла по шкале оценки критичности уязвимостей (CVSS), была устранена разработчиками в обновлении v9.1.1164, в связи с чем пользователям настоятельно рекомендуется обновить редактор.

▫️Злоумышленники скрывают фишинг, имитируя работу антивируса Kaspersky

Злоумышленники собирают учетные данные пользователей Telegram, предлагая проголосовать за участников конкурса. Для повышения доверия к ресурсу при переходе на страницу с голосованием фишинговый сайт имитирует проверку антивирусом Kaspersky, после чего пользователь авторизуется через Telegram, тем самым передавая введенные данные мошенникам.

APT (Advanced Persistent Threat) – это сложные, многоэтапные кибератаки, направленные на проникновение в инфраструктуру конкретной организации и достижение определенной цели, например, кражи интеллектуальной собственности, шпионажа или саботажа. В отличие от обычных кибератак, APT-атаки характеризуются длительной подготовкой, высокой степенью скрытности, использованием сложных техник и инструментов, значительной затратой ресурсов, а также продолжительным пребыванием злоумышленников в системе. Подобные атаки, ввиду своей сложности и эффективности, чаще всего нацелены на крупные компании или правительство.

Главная особенность APT-атак – их целевой характер. Злоумышленники тщательно выбирают жертву и изучают её инфраструктуру, выявляя уязвимости и разрабатывая индивидуальный план атаки. Они используют различные методы проникновения, такие как фишинг, вредоносное ПО, социальная инженерия и уязвимости в программном обеспечении.

Типичный сценарий APT-атаки включает несколько этапов:
▫️разведка – сбор информации о цели, включая её сотрудников, используемое программное обеспечение и сетевую инфраструктуру;
▫️проникновение – получение начального доступа к системе, например, через фишинговое письмо или эксплуатацию уязвимости;
▫️закрепление – установка вредоносного ПО, создание бэкдоров и получение дополнительных привилегий в системе;
▫️распространение – движение по сети, поиск и компрометация других систем и сервисов;
▫️сбор данных – поиск и извлечение ценной информации;
▫️вывод данных – передача украденных данных злоумышленникам.

APT-атаки представляют серьезную угрозу для организаций любого размера. Их сложно обнаружить, поскольку злоумышленники используют сложные техники обхода систем безопасности, значительные ресурсы и действуют скрытно, иногда выжидая длительное время, прежде чем нанести атаку. Последствия APT-атак могут быть катастрофическими, включая финансовые потери, репутационный ущерб и нарушение бизнес-процессов. Поэтому для защиты от APT-атак необходимо применять комплексный подход, включающий:
▫️Обучение сотрудников:
🔸Развитие культуры безопасности, обучение методам выявления социальной инженерии и фишинга;
🔸Проведение регулярных тестов на осведомленность сотрудников.

▫️Управление уязвимостями:
🔸Регулярное обновление ПО и патч-менеджмент;
🔸Анализ безопасности: аудит инфраструктуры, тестирование на проникновение.

▫️Мониторинг событий:
🔸Идентификация угроз и классификация инцидентов с использованием SIEM и EDR;
🔸Постоянное пополнение сведений и индикаторов компрометации.

▫️Реагирование на инциденты:
🔸Разработка регламентов, обеспечивающих скоординированные действия SOC;
🔸Автоматизация реагирования с помощью SOAR-платформ;
🔸Разбор инцидентов, выявление слабых мест и внесение улучшений в процессы защиты.

▫️Использование современных технологий защиты:
🔸NGFW (Next-Generation Firewall) с функциями IDS/IPS;
🔸NAD (Network Anomaly Detection) для выявления аномального поведения в сети;
🔸MFA (многофакторная аутентификация) для защиты учетных записей;
🔸Sandboxing для анализа подозрительных файлов.

APT-атаки – это динамично развивающаяся угроза. Злоумышленники совершенствуют свои инструменты, изобретают новые способы атак и задействуют значительные ресурсы. В связи с этим важно постоянно улучшать комплексные системы защиты, уделять внимание разведке угроз и мониторингу активности для своевременного выявления и нейтрализации потенциальных атак.

Уважаемые коллеги!

В условиях ужесточения требований к защите персональных данных соблюдение законодательства становится критически важным для любого бизнеса. Несоответствие требованиям может привести не только к штрафам, но и к потере доверия клиентов.

Веб-сайт — это визитная карточка компании. Через него клиенты составляют первоначальное мнение о вашем бизнесе. Важно, чтобы сайт не только привлекал аудиторию, но и строго соответствовал требованиям закона: это защитит репутацию и вызовет доверие у клиентов и партнеров.

Приглашаем вас на мастер-класс, посвященный аудиту сайта компании на предмет корректной работы с персональными данными.

В программе:
▫️Ключевые требования законодательства: что проверять на сайте?
▫️Типовые ошибки: cookies, формы сбора данных, политика обработки персональных данных, авторизация на сайте
▫️Разборы реальных кейсов
▫️Ответы на вопросы
▫️Чек-лист для самостоятельной проверки сайта

Дата: 20 марта
Время: 10:00
Формат: онлайн на платформе «МТС-Линк»
Стоимость: бесплатно
Регистрация: доступна по ссылке и возможна до 19 марта включительно

Ждем встречи на мастер-классе!

#Privacy

Вопрос:

Как обеспечить законность и этичность сбора цифровых доказательств?

Ответ:

С ростом объема и сложности цифровых данных возникает необходимость в обеспечении законности и этичности их сбора. Этот вопрос требует внимательного рассмотрения, поскольку неправильные действия могут привести к серьезным последствиям, включая нарушение прав субъекта и недопустимость доказательств в суде.

Первым шагом к обеспечению законности сбора цифровых доказательств является понимание правовых основ, регулирующих эту деятельность. В большинстве стран существуют законы, касающиеся конфиденциальности, защиты данных и прав на личную жизнь. Например, в США это может быть Четвертая поправка к Конституции, которая защищает граждан от необоснованных обысков и арестов. В ЕC действует Общий регламент по защите данных (GDPR), который устанавливает строгие правила обработки персональных данных. В РФ это Закон №152-ФЗ «О персональных данных» и Закон №149-ФЗ «Об информации».

Цифровые криминалисты должны быть хорошо осведомлены о действующих законах и нормативных актах, чтобы избежать нарушения прав граждан. Перед сбором цифровых доказательств существует необходимость получения соответствующих разрешений и ордеров на доступ к данным, а также соблюдение процедур, предусмотренных законодательством.

Этичность сбора данных подразумевает уважение к правам и свободам личности и включает в себя следующие аспекты:

▫️Лица, чьи данные собираются, должны быть проинформированы о целях сбора и способах использования их информации. Это должно быть сделано через согласия, которые разъяснят субъекту использование его данных.
▫️Собирать следует только те данные, которые необходимы для конкретного расследования. Избыточный сбор информации может привести нарушениям прав субъектов.
▫️Необходимо обеспечить защиту собранных данных от несанкционированного доступа и утечек, используя методы шифрования, безопасные хранилища и разграничение доступа к чувствительной информации.

Для обеспечения законности и этичности сбора цифровых доказательств также важно следовать методическим указаниям и лучшим практикам:

▫️Все действия, связанные со сбором и анализом данных, должны быть тщательно задокументированы. Это обеспечит прозрачность и возможность проверки на всех этапах.
▫️Применять следует только проверенные и сертифицированные инструменты (в РФ – ФСБ России и ФСТЭК России) для сбора и анализа данных (программное обеспечение и программно-аппаратные комплексы), чтобы избежать ошибок и недочетов, которые могут повлиять на законность доказательств.
▫️Каждая задача должна выполняться с учётом своих методических рекомендаций признанных экспертов в области компьютерной криминалистики, описанным в специализированной литературе. Например, при сборе доказательств необходимо обеспечить неизменность информации и минимизировать вред для источника сбора (если не требуется разрушающий метод).

В рамках судебного процесса вопросы законности и этичности регулируются процессуальным кодексом и ФЗ №73 «О государственной судебно-экспертной деятельности в Российской Федерации». В остальных случаях важным аспектом обеспечения законности и этичности сбора цифровых доказательств является сотрудничество с юридическими экспертами. Юристы могут помочь в интерпретации законов и норм, а также в разработке стратегий, которые обеспечат соблюдение прав субъектов. Это сотрудничество особенно важно на этапе планирования расследования, когда необходимо определить, какие данные могут быть собраны и как это сделать законно.

Обеспечение законности и этичности сбора цифровых доказательств — это сложная, но необходимая задача, которая требует комплексного подхода. Понимание правовых основ, соблюдение этических принципов, следование установленным процедурам и сотрудничество с юридическими экспертами помогут создать надежную и законную практику в области цифровой криминалистики. В конечном итоге это не только защитит права субъектов, но и повысит эффективность расследований, что является важным аспектом правоприменения в современном мире.

#DigitalForensics
#KeptОтвечает