Наконец-то у меня добрались руки глянуть годовой отчет от Cloudflare. Периодически туда поглядываю, так как эти ребята покрывают своими сервисами (в том числе безопасными) очень большой объем интернетов всей нашей планеты.

Что же там было интересного 👇

⚡️ Компании и сервисы, связанные с азартными играми, ставками и казино стали самой атакованной отраслью, опередив даже сферу финансов, которые забрали эту номинацию в 2023 году.

⚡️ Уязвимость Log4j, обнаруженная еще в 2021 году, остается постоянной угрозой и мишенью в течение 2024 года. Удивительно, что еще не все пропатчили эту библиотеку.

⚡️ Около 4,3% электронных писем были признаны вредоносными в 2024 году. Фишинговые ссылки и обман личности были двумя наиболее распространенными типами угроз, обнаруженными во вредоносных сообщениях электронной почты.

⚡️ Google сохранил свои позиции как самый популярный интернет-сервис и поисковик. OpenAI, Binance и WhatsApp (очень жду в этом рейтинге Телеграм) возглавили свои соответствующие категории.

⚡️ 13,0% трафика TLS 1.3 использует постквантовое шифрование. Для информации – термин «постквант» относится к новому набору криптографических методов, предназначенных для защиты данных от злоумышленников, которые имеют возможность захватывать и хранить текущие данные для расшифровки достаточно мощными квантовыми компьютерами в будущем.

⚡️ В 2024 году во всем мире наблюдалось порядка 225 крупных сбоев в работе глобального Интернета, многие из которых были вызваны региональными и национальными отключениями/подключения к Интернету. Отключения кабелей и отключения электроэнергии также были основными причинами. В нашей стране, судя по официальной статистике, было всего одно отключение интернета. Не сбой, а именно отключение (см. картинку).

Так и живём.

⚡️ Пакет Безопасности | Чат | 🛍 Другие каналы

Ну что, друзья, уже почти год прошел с нашего прошлого стрима, а это значит, что настало время повторить. Сделать это предлагаю 30-го января в 20:00 по мск прямо тут.

А пока накидывайте в комментарии свои вопросы и темы, которые хотите обсудить 👇

В этот раз я позабочусь о нормальной записи, так что можно будет посмотреть и послушать даже не в онлайне.

⚡️ Пакет Безопасности | Чат | 🛍 Другие каналы

Меньше слежки – больше счастья

Ничего нового страшного не произошло, просто выяснилось, что Microsoft прокачивает своего ИИ, используя данные из ваших Excel и Word. Но все же ситуация классическая неприятная: опять за нами следят без нашего с вами спроса.

Все дело в том, что опция "Connected Experiences" включена по-умолчанию и передаёт ваши данные в облачное хранилище. В том числе документы, таблицы и все записи, которые применяются для оптимизации работы искусственного интеллекта.

Однако мы с вами стремимся к приватности и не готовы мириться с подобным (правда же?). Так что давайте отключим эту функцию по мануалу ниже и станем еще анонимнее ⬇

1⃣Открываем нужное приложение от Microsoft Office.
2⃣Путь: File → Options → Trust Center → Trust Center Settings → Privacy Options → Privacy Settings → Optional Connected Experiences.
3⃣Снимаем галочку с «Turn on optional connected».
4⃣Радуемся, убеждая себя в том, что за вами больше не следят.

#КиберГигиена

⚡️ Пакет Безопасности | Чат | 🛍 Другие каналы

Неделька выдалась насыщенная, особенно по рекламе в канале. Давненько её тут не было, но видимо рекламодатели начали выходить из зимней спячки. Поэтому, на свякий случай, напоминаю вам про свою позицию на этот счет и про то, что наличие рекламы только способствует улучшению контента и увеличению количества полезных активностей в нашем с вами канале.

И да, знаю, что вас уже трясёт без воскресного дайджеста, поэтому погнали.

⚡ Неделю начали не с кибермема, но с важной новости о том, что на маркетплейсах участились случаи продажи зараженных устройств – ссылка

⚡ Ну а продолжили долгожданным и полезным розыгрышем совместно с ребятами из Kaspersky, в котором всё еще можно принять участие – ссылка

⚡ Не самая полезная, но просто интересная аналитика по безопасности интернетов за 2024 год – ссылка

⚡ Анонс стрима в канале и сбор ваших вопросов к нему – ссылка

⚡ Как Майкрософт следит за тобой через Excel – ссылка

⚡ А вот и тот самый кибермем или что еще можно купить школьнику для учебы – ссылка

❤ В Пакете Знаний продолжается утечка полезных материалов с менторства – ссылка

❤ В Пакете Вакансий вышла вакансия на кибербезопасника с почти бесконечно-большой зарплатой – ссылка

❤ Ну а наш календарь из Пакета Мероприятий продолжает пополняться анонсами крутых мероприятий из мира ИБ

⚡ Пакет Безопасности | Чат | 🛍 Другие каналы

#КиберМем

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Итак, настал момент истины! 🎁

Мы подводим итоги нашего розыгрыша с каналом «Пакет Безопасности» — и готовы назвать имена счастливчиков, которые унесут с собой годовые лицензии, фирменный мерч и хорошее настроение в этот вторник!

Победителей выбирал бот-рандомайзер и вот, какие результаты получились:

1. Alex (@k0t0v5k1y) — Kaspersky Premium + Who Calls
2. h8r (@asoIender) — Kaspersky Premium + Who Calls
3. Павлик (@s7_319_3PNDP) — Kaspersky Premium + Who Calls
4. Dmitrii (@NagaevD) — фирменные носки с Мидори
5. digitale (@d1gitale) — футболка
6. ♕︎꧁𝕄𝔸𝕁𝕆ℝ꧂♕︎ — книга о кибербезе в Большом театре
7. Mikhail (@mikhailbronyuk_rtlabs) — книга о кибербезе в Большом театре
8. Northwind. — книга о кибербезе в Большом театре
9. Самеди 🦇 (@Loa_Samedi) — большой игровой ковёр для мыши
10. Arkadoz (@Arkadoz) — кружка
11. ㅤ — варежки

Проверить результаты

Что делать, если я выиграл приз? Ждать и не пропускать сообщение от нас с дальнейшими инструкциями по тому, как получить свой приз! Мы будем ждать вашего ответа в течение трёх дней после завершения конкурса.

Поздравляем победителей и всех участников! Оставайтесь с нами и следите за новостями, чтобы не пропустить следующие розыгрыши! 😎

Менторство в ИБ

Как вы помните, я официально прокачался выгорел. Но, практически сразу после этого поста, мне (внезапно) написало несколько очень крутых безопасников, за опыт и навыки которых я лично готов поручиться.

И спустя некоторое время у нас родилась идея – сделать из личного менторства что-то бОльшее. Формат менторства от этого практически не изменился, но ощутимо расширилось количество направлений и увеличился объем менторского ресурса (из-за недостатка которого я и выгорел).

Собственно, долго тянуть не буду, сделал под это дело отдельный канал, куда приглашаю тех (и только тех), кому интересно менторство в сфере кибербезопасности. Для все тех, кто "стесняется спросить", "никак не может решиться", "ждёт какого-то знака судьбы", "сейчас вот это еще доизучит и пойдёт" и всё в это духе.

Сразу скажу, что я не собираюсь писать вам в личные сообщения, делать холодные продажи или что-то навязывать.

Там я просто хочу в одном месте собрать всю самую важную информацию по менторству (да, я уже устал обновлять Notion), держать вас в курсе того, как оно видоизменяется (обычно только в лучшую сторону), ну а еще рассказывать вам про всякие лайфхаки, связанные с обучением, полезные приёмы и грабли, о которых лучше узнать заранее.

Сделаем еще одну попытку. Получится – значит получится, нет, так нет. Вэлкам – ссылка

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Напоминаю про завтрашний стрим в 20:00 по мск ☝

Готовим свои вопросы, темы и заряжаемся настроением ⌨️

Глубокий поиск

Кажется, что только ленивый не написал в своем телеграм-канале про DeepSeek, разобрав по минутам причины падения котировок всего фондового и крипто-рынков, сравнив эту нейросеть с ChatGPT, параллельно предрекая новую революцию в мире ИИ.

Шумиха поднялась большая, причем по всему миру, что вызвало интерес не только обычных людей, но и тех, кто любит на них нажиться. Собственно, этому и посвящается пост.

Как вы можете догадаться, практически в каждой из новых (на самом деле старых) схем мошенников фигурируют поддельные сервисы, которые полностью имитируют DeepSeek или связь с ним.

Одна из схем строится вокруг того, что пользоваться нейрочатом без регистрации/авторизации нельзя, поэтому на части поддельных ресурсов у вас попытаются угнать ваши логины/пароли, которые якобы будут вас авторизовывать через гугл, например.

Другие же скам-схемы проворачиваются через поддельные криптомонеты, которые якобы принадлежат самому проекту DeepSeek и якобы являются аналогом его акций в криптомире.

Само собой, при попытке получить эти монеты и подписать этот смарт-контракт (а ваш кошелек вас будет даже от этого ограждать), вы будете терять доступ как к кошельку, так и к вашим ресурсам на нём.

Все остальные схемы уж слишком похожи на то, что мы уже и так разбирали в канале, поэтому их трогать не будем.

Параллельно с этим, DeepSeek начинает страдать типовыми болячками других нейросетей и прочих сервисов, которые быстро запускаются и также быстро обретают популярность. Например, доступную для всех базу данных с чувствительной информацией, включая историю чатов пользователей. Так что помните, что всё, что вы пишете в интернет, практически всегда становится общедоступным.

Ну а нас с вами ждет еще много СКАМерских схем, связанных с этой нейросетью, поэтому будьте внимательны, обращайте внимание на адреса сайтов на которые переходите, и скачивайте приложения только из официальных источников. Всем мир.

#Кибергигиена

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Напоминаю, что уже сегодня в 20:00 состоится стрим. Ну а комментарии под этим постом пусть будут нашим с вами чатом для общения на стриме. До встречи в эфире 🐹

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Сколько же этих праздников

Недавно прошел День защиты персональных данных, а у нас это обычно сопровождается тем, что различные компании публикуют что-то полезное в интернеты для того, чтобы повысить свой социальный рейтинг и условно-бесплатно себя попиарить.

Ну а мы только рады на такое посмотреть и получить от этого пользу. В этот раз лично я заметил, как отличились две компании: СёрчИнформ и Яндекс.

Первые выпустили итоги своего исследования по публичным утечкам в России за 2024 год. Там и штрафы, и инфографика, и даже мем есть. Не назвал бы это глубинным исследованием, но почитать можно – ссылка

Яндекс же вложил чуть больше сил и опубликовал целое бесплатное обучение по тому, как работать с персональными данными. Интересно то, что материал этот не столько для обычных граждан (но для нас тоже), сколько для сотрудников компаний и предпринимателей. Такое почитать точно стоит, особенно тем, кто постоянно спорит с тем, что набор "ФИО + любой другой идентификатор" не является персданными – ссылка

Если вы тоже видели что-то полезное, что было приурочено к этому празднику, то делитесь, не сдерживайте себя.

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Во-первых, неделька выдалась насыщенной. Во-вторых, на стриме мы выяснили, что воскресные дайджесты нужны не только мне. А это значит, что мы переходим к основному блюду 👇

⚡ Хорошо залетевший кибермем про пароли – ссылка

⚡ Итоги конкурса (на следующей неделе уже будем рассылать призы) – ссылка

⚡ Пост про новый канал и воскрешение менторства в ИБ – ссылка

⚡ Мошеннические схемы с DeepSeek – ссылка

⚡ Полезности со Дня защиты персональных данных – ссылка

❤ В Пакете Знаний продолжается слив тренажеров для безопасников с менторства – ссылка

❤ В Пакете Вакансий появился рейтинг лучших IT-работодателей России – ссылка

❤ Также на этой неделе я забежал на огонек к ребятам из "Лаборатории Касперского", где они устроили очень крутое празднование китайского нового года. Нам рассказали про тренды в мире кибербеза, поделились полезной статистикой и очень вкусно накормили. В общем, красота

❤ Провели на этой неделе стрим, где обсудили ооочень много всего. Запись сделал, уже начал публиковать на видео-хостингах, скоро выложу в канале

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Ну и в чём он не прав?

#КиберМем

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Минусы есть?

Не знаю, как вы, но лично я заметил, что за последний год в странах СНГ (да, не только в РФ) начинают всё чаще обсуждать и форсить тему багхантерства, этичного хакинга и Bug Bounty (о том, что это такое, я писал пару лет назад). Ах да, дальше будет душно.

Всё больше людей (особенно молодых) пытается заработать денег на легальном поиске уязвимостей, в чем достаточно часто преуспевают – к ним вопросов нет.

А еще, все больше компаний смотрит в сторону выхода на багбаунти (ББ). Кто-то создаёт свои платформы, кто-то повышает выплаты, кто-то публикует там продукт за продуктом. И вся эта история кажется очень крутой, особенно, если не думать о том, что компании могут гнаться скорее за повышением своей ИБшной репутации, нежели за увеличением уровня безопасности самих ресурсов.

В общем, складывается ощущение, что это просто стало модным, поэтому настало время поговорить не только о бенефитах (они очевидны), но и о рисках выхода на Bug Bounty для компаний.

1. Это банально дорого. Да, мы уже убедили бизнес в том, что безопасность это важно и лучше вложить деньги "до", чем терять их "после", но тут придётся подумать над дополнительными аргументами, ведь раньше мы как-то жили и без ББ, а траты на него могут быть не самыми предсказуемыми.

2. Много операционки. Очень много, причем для многих. Прописать правила программы под каждый продукт, чтобы тебе не сломали ничего лишнего; регулярно и оперативно разбирать новые (порой не самые качественные) отчеты багхантеров; вручную обработать и воспроизвести все найденные уязвимости; донести всё это добро с рекомендациями до тех, кто это будет чинить.

3. Ограничения. Сложно найти такой сервис, опубликованый на багбаунти, который вам будет разрещено тыкать без ограничений. И это нормально, ведь все эти продукты многосоставные, части которых принадлежат разным бизнесам и договориться сразу и со всеми сложно. Соответственно, постоянно натыкаешься на продукт, в котором нельзя трогать авторизацию, какие-то отдельные модули, сторонние платежные виджеты и т.д.

4. Призрачная безопасность и зависимость от багхантеров. Может показаться, что вот она, серебряная пуля, которая избавит нас от всех дыр. Сейчас отработаем все отчеты, всё починим и будет безопасно. Но нет, нормальных отчетов на ББ может вообще не быть, а дыры могут быть шире вашего воображения. Нужно помнить, что компания не контролирует, кто и как ищет уязвимости. Нет никакой гарантии, что исследователи будут активно участвовать в программе.

5. Репутация. Да, сам выход на ББ даёт баллов рейтинга на игровой арене, но если программа организована плохо (задержки выплат или игнорирование отчетов), это может навредить репутации компании. А еще публичные баги могут привлечь излишнее внимание к продукту.

На этом всё, вроде ничего не забыл. Не будем только о грустном и негативном, есть и случаи (и их достаточно), когда всё было сделано правильно и осознанно. Как я вообще решил написать этот пост? Да я просто наткнулся на новость о том, что ребята из Авито повысили максимальные выплаты уже до 500 000 рублей, а это явно говорит о том, что результатом выхода на ББ бизнес доволен.

Надеюсь, что эти мысли помогут тем, кто задумывается о выходе на БагБаунти или уже выходит на него. Всем мир.

#Мнение

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы

Так, я не понял, что это они себе позволяют? 🤬

Студия ZA/UM представила сумку, которая представляет собой копию пакета, в который собирал бутылки главный герой Disco Elysium. Продажи уже стартовали, цена — 159 евро (~16 600 рублей).

Запись стрима

Несмотря на то, что мой ноутбук начал неистово нагреваться и подтормаживать где-то на середине стрима, с записью в этот раз всё отлично, что можно считать успехом.

А вот и ссылки:
- 📹 Youtube
- 📺 VK Video
- 📺 Rutube

Всем еще раз спасибо за то, что зашли поболтать, за вашу обратную связь и доверие.

⚡ Пакет Безопасности | 💬 Чат
🛍 Другие каналы