https://habr.com/ru/companies/angarasecurity/articles/753378/

И альма-матер не забыла, и полезных источников накидала
Кажется, для первого раза получилось весьма неплохо (:

#own

Из разряда «накипело», нашла у себя в заметках и решила опубликовать здесь

https://telegra.ph/What-is-DFIR-09-12

#own

Здесь мог бы быть пост о необходимости понимания ландшафта угроз и вот этого всего, но выскажусь кратко о наболевшем

Иногда между тем, что хотят детектить в SOC, и что по факту происходит in the wild, просто катастрофическая пропасть. Помню, когда я перешла из in-house SOC в DFIR, где ты в основном подключаешься когда «уже все», я знатно удивилась (можно читать матом), что такое вообще ВОЗМОЖНО
Как-то мой хороший друг из моей же отрасли очень точно передал требования клиентов к этим самым SOC одной фразой: «я не хочу детектить угрозы, я хочу детектить пентест!»

Местами утрируя, но в итоге так оно и выходит,
мы ищем сто способов как детектировать голден тикет или не дай боже скелетон кей, а ломают через пароль администратора qwerty123 или Moscow2023! ко всем доступным ресурсам
мы сражаемся с DNS-туннелями, а атакующие просто копируют данные, захватив с собой EmEditor
мы смотрим 10 докладов о том, как же обнаружить руткита в системе, тем временем как в нашей сети уже давно орудуют администраторы вне штата

И фишка то как раз не в том, что детектить сложные техники не нужно (не говоря уже о том, чтобы просто мониторить и реально обрабатывать алерты СЗИ), а в том, что хотя бы иногда нужно просто оглянуться по сторонам

#own

Если кому интересно, написала тут в общих чертах по теме

https://habr.com/ru/companies/angarasecurity/articles/771610/

#own

Вчера, на самом деле, был интересный день. Как минимум потому, что затронули две супер холиварные темы:
высшее образование в ИБ и девушка в ИБ (:

Об этом можно говорить бесконечно. Я вообще попадаю под обе категории, так как я всего лишь бакалавр 10.03.01 (о ужас!), еще и платья ношу. Правда, это бывает редко, а если вам "повезло" видеть меня во время респонса онсайд, я вообще молчу. Но раз такое дело, пусть хоть фото канала приличным будет. И, главное, о насущем)

В общем, девушкой в инфобезе, да и в целом в ИТ, быть прикольно. Вот нас вроде уже так много, но до сих пор встречаю это нескрываемое недоумение в глазах
У меня еще достаточно специфичное направление, поэтому приезжая к клиенту, я могу словить долю явного скептицизма по отношению к себе прям на месте. Инцидент, ты приезжаешь рано утром, а администратор ИТ на тебя смотрит и чуть ли не прямо задает вопрос в стиле: "А можно кого-то посерьезнее?"
Забавно, что потом буквально через пару часов этот же администратор ходит к тебе с завидной регулярностью с вопросами: "А вот это нормально? А меня еще не взломали?"

Пару лет назад ходила на конфу к майкам в Москве и там давала лекцию Паула Янушкевич (эх, было время). Милая дама тоже, она мне прям импонирует. Так вот, тогда же она рассказала историю, как "хорошо быть блондинкой": во время одного пентеста она получила физический доступ в организацию, сначала пройдя СКУД "паравозиком", а потом стоило только зайти в лифт, сделать наивное выражение лица, прикинуться, что заблудилась, и ее по-джентельменски спокойно провели, куда нужно. Как говорится, главное, вовремя прикинуться глупой

Выводы делайте сами ;)

#own

Кто меня хорошо знает, знает и то, что к ЛК я питаю особую любовь. Под вечер нахлынула ностальгия и решила поделиться, почему так, или одним из примеров, как можно развивать лояльность к компании задолго до :)

Чтобы немного ввести в контекст: на момент окончания ВУЗа я работала штатным специалистом по ИБ при госструктуре. Даже когда мы еще учились, нам преподаватели прямым текстом говорили, что если хотите расти в ИБ - вам у нас (в моем родном городе) делать нечего, поэтому я всегда знала, что рано или поздно перееду. Я защитилась, диплом у меня был на тему построения mesh-сетей на микроконтроллерах ESP8266.
Где-то спустя полгода мой научрук скидывает мне какой-то анонс от касперов с призовым фондом и финалом где-то там, и говорит, а может закинешь им работу, кто знает. Ну, я, собственно, закинула какое-то саммари и благополучно забыла
А спустя время мне приходит письмо, что мы прошли (:

Теперь представьте меня: я совсем зеленая, мне 21 год, и меня с моего небольшого городка в Сибири приглашают на финал в Будапешт! Сказать, что у меня был шок - не сказать ничего. К тому же, организаторы оплачивали все: перелет в два самолета до места назначения, три дня проживания и так далее. За мной было только получение визы, тогда я заплатила за это может тысяч 10, и то, скорее, больше за срочность. К слову, моя зарплата тогда в принципе была тысяч 15-20. И тут я приезжаю в сказку: тогда мероприятия такого уровня мне казались чем-то не от мира сего, общаюсь со всеми, в том числе с ребятами из Москвы, расспрашиваю что да как

В общем, в итоге я конечно же ничего не выиграла. Забавно вспоминать, но мой английский был настолько неуверенный тогда, что свою речь я начала со слов "Sorry, my English is not so good as yours, but I’ll try" 😁 Но дело было не в этом и все вполне достойно прошло, поэтому для меня это была уже ох какая победа. Это был международный студенческий конкурс Secure’IT Cup, а 3 место, кстати, заняли ребята из МИФИ

Короче! Вернулась я под впечатлением и была так воодушевлена, что чуть меньше через 2 месяца переехала в Москву. Кажется, моя жизнь сложилась бы по-другому, если бы не это событие. Как после этого я могу их не любить?)

#own

Под утреннюю чашку кофе поделюсь еще своим мнением касательно собеседований. Все же считаю, что ходить на них можно и иногда нужно, даже будучи трудоустроенным
Так вы не только нарабатываете скилл общения, узнаете свои слабые стороны, но и понимаете, что сейчас нужно рынку из первых уст, потому что на собеседовании вас будут спрашивать в первую очередь то, со знанием чего вы столкнетесь сразу или будете встречать в работе наиболее часто

Результат может быть разный, особенно на первых порах: вам будут отказывать (а это неприятно, даже если вы в принципе не собирались менять работу или выбирать эту компанию) или наоборот, отказывать нужно будет вам.
Год назад я как раз активно собесилась, при чем, приняв решение и уже устроившись, поняла, что выбранный функционал мне не совсем близок сейчас - и это нормально! Испытательный срок - это не только когда проверяют вас, но и вы присматриваетесь к компании, а главное, команде. Тем не менее, снова менять работу было крайне непростым для меня решением, поэтому я себе ножом высекла такие правила:

1. Первое впечатление редко обманчиво
Если вам кажется, что что-то не так, скорее всего, вам не кажется

2. Больше говорите со своим прямым руководителем
Если этапов собеседований несколько (например, с HR, техническое и личное с руководством), больше разговаривайте со своим будущим непосредственным руководителем, так как работать вам в основном именно с ним. Важно, что бы вы готовы были идти за этим человеком. Я люблю говорить, что ваш руководитель - это вы через N лет. Хотите быть похожим на него? Нет? Тогда это еще один повод на подумать

3. Сразу четко проясните для себя все неудобные моменты
Зарплата, чаще всего, не единственный критерий: не позволяйте себе пренебрегать другими. Например, вам вообще неудобно добираться до работы, но вы начинаете рассуждать, что ладно, за деньги - потерплю. Нет, не потерпите

4. Узнавайте про задачи, которые вам поставят на испытательный срок или которые будут ставить перед вами. Идеально, если это сразу прописывают в оффере без витиеватых формулировок

5. Лучше сразу иметь понимание, что именно не устраивает на старом месте и что наоборот менять бы не хотелось

6. В любом случае не бояться пробовать
Можно даже попробовать пройти собеседование на смежное или кардинально другое направление, почему бы и нет? Само собой тут больше шансов завалиться, но вдруг что-то зацепит и тут вы уже с тузом в рукаве, зная, куда копать дальше

Подводя итог очередного лонгрида, скажу, что мои лучшие и любимые собеседования - те, которые я откровенно завалила 😂 до сих пор помню каждое из них! Более того, именно так я и оказалась в респонсе, но это уже совсем другая история :)

#own

Утро, время поразглагольствовать. Снова рубрика советов, которые когда-то давали мне и которыми мне тоже теперь хочется поделиться:

Читать как можно больше репортов. И именно поэтому я буду продолжать вас заваливать ими в конце каждой недели: честно сказать, это имеет смысл не только для вас, но и меня мотивирует изучать как можно больше (:
Помимо того, что именно так вырабатывается насмотренность, вы понимаете, что сейчас реально происходит в мире. Это как читать привычные новости, только по конкретной тематике. Серьезно, в свое время я буквально приучала себя это делать, и теперь понимаю, насколько это полезно, и, что не маловажно, интересно

Если сомневаешься, читать книгу или нет, слушать, смотреть что-то или нет, подумать о том, а может ли там быть хотя бы что-то новое или полезное для тебя, даже если в общем с темой ты уже вроде как хорошо знаком
В конце концов, можно поставить на фон или пробежаться по диагонали, чтобы понять, стоит ли это твоего времени

Don't allow yourself to be the smartest in the room
Еще давно я сделала себе этот скрин и он отдельно лежит у меня в сохраненках. Очень ценю и горжусь каждым, с кем я работала и работаю, до сих пор стараюсь поддерживать отношения со всеми. Искренне считаю, что лучше быть слабым среди сильных, и тогда окружение как-то само тебя «подтянет на свой уровень», чем наоборот

#own

А что с английским?

Раньше я относилась к тем людям, которые занимаются иностранным языком время от времени и по долгу службы: школа, универ, языковые курсы даже были, но все это из разряда "потому что надо"

В универе на старших курсах один из моих любимых преподавателей как-то прямо сказал: без английского в ИТ делать нечего. И это правда! Стоит только задуматься спустя сколько времени выходят переводы книг, статей, если они еще выходят в принципе. Ок, в целом, знания языка на школьно-универском уровне лично мне всегда хватало, да и литературу я читать могла и этого было в принципе достаточно..

Пока я не пошла работать в одну небезызвестную международную компанию (:
Сначала я просто слушала ребят с этим вот свободным английским и думала, черт, классно, надо бы тоже. А потом меня начали подключать к кейсам на межнаре... И до чего же это оказалось тяжело после нескольких лет "чтения технической литературы": мысли летят, а связать и два слова сложно - не самая комфортная ситуация. В общем, задело меня тогда. На этой мотивации я уже пару лет держусь 😁
Отпуск не отпуск, а английский - по расписанию

К чему я, собственно. Английский язык необходим и это факт. Да, бывает такое, что раньше изучали другой язык, ну что поделать. В 90% случаев его уровень не выше начального/среднего и тут тем более внедрить изучение нового это просто вопрос приоритетов: постарайтесь найти конкретную мотивацию и понять необходимый уровень именно для вас, свою конечную цель. И, главное, подобрать такие способы изучения и погружения, чтобы вам было в кайф. Скучно на уроке? Нет заинтересованности преподавателя? Или может вообще не ваш формат? Ну и фиг бы с ними, меняйте: мы уже не в универе, где альтернативы часто просто нет. Я вот смотрю видосы, подкасты слушаю, а с англичанкой мы с винишком проболтали весь вечер, когда я приезжала в ее родной город

Все в ваших руках ;) и да, вот как раз один из примеров того, как здорово коллеги могут дать пинка, порой сами того не замечая

#own

#basics
#git #soft
#windows
#linux
#macos
#cloud
#network
#red #blue #purple

#forensics
#dfir
#threathunting
#malware // скорее всего, будет много реверса
#report // технические отчеты
#research // ресерчи
#books // полезная литература
#video // видеоматериалы
#present // презентации с докладов
#tips // white papers, читшиты и любые другие заметки, где можно откопать что-то важное, но не подходит под категории выше

#own // личные мысли, истории, наблюдения, выводы
#weekly // подборка прочитанных достойных материалов
#meme // тег для души или когда мне лень писать много буков

История одного факапа, в продолжение одного поста

Давненько, еще работая в in-house SOC, в один прекрасный день мы тоже пришли к идее структурировать все имеющиеся правила по матрице MITRE ATT&CK, а после этого, конечно же, начать заполнять пустые клеточки

Собственно, мы начали. Проблема была только в том, что заполняли мы их чаще по принципам лишь бы поставить галочку рядом или ого, как интересно, ну такое надо точно детектить. И да, некоторые правила были действительно сложными с навороченной логикой, но только такой подход хоть и не совсем бесполезен, тем не менее утопичен, потому что
а) см. тот самый пост
б) это похоже на действия слепых котят, zero threat awareness

Понятное дело, что все в конечном итоге сводится к написанию правил ради их написания. А ведь за этим стоит большая работа: надо же разобраться в технике, эмулировать, подебажить, не дай бог еще и источники где-то подкрутить. Ну и конечно, когда я ходила на собесы, то с гордостью рассказывала об этом, правила ведь были ух какие! Правда, на одном из них меня разнесли мне намекнули, что так это не работает, и только потом, уже после хоть какого-то опыта работы на новом месте в команде реагирования, до меня дошло...

Короче говоря. Позднее мы поднабрались опыта и поняли свою ошибку, но сейчас все же забавно это вспоминать. Поэтому смело могу сказать: плавали, знаем, делать так не надо)

*заметки из книги, уже почти ставшей классикой,
Intelligence-Driven Incident Response

#own #tips

Давненько мы с вами не болтали о всяком разном
В завершение постов по теме собеседований и около того, хочется сказать еще об одном моменте, который в свое время сильно взволновал меня. Близкие мне люди уже слышали эту историю и бурю эмоций после, думаю, будет интересно и вам

Все всегда много говорят о том, как правильно себя должен вести кандидат на собеседовании
Например, самое банальное и одно из первых правил по такому запросу в гугле: не стоит говорить ничего плохого о своем текущем месте работы, даже если по факту вы громко уходите и вообще вас все бесят. Предпочтительным считается оставаться в нейтралитете или максимально сглаживать углы при обсуждении, так как иначе ваш будущий работодатель может сделать вывод, что скорее всего вы столкнетесь с теми же проблемами на новом месте/позднее будете также отзываться о нем тоже и блаблабла. Но вот почему-то очень мало таких правил обсуждается и устанавливается для принимающей стороны (:

Ведь этот же совет работает и в противоположном направлении: почему никто не говорит о том, что сам работодатель должен при себе держать свои субъективные оценки и не негативить в сторону людей и места, где вы устроены сейчас?)

Когда-то это сильно задело меня и по факту только из-за этой причины я не стала рассматривать команду в качестве своей будущей. Мне очень везет на потрясающе умных и талантливых людей, работу в компаниях с колоссальным опытом, и несмотря на то, что я на тот момент снова вышла на рынок - это никак не означает, что мое отношение как-то изменилось. Допускаю, что это было неосторожное высказывание, мысли вслух или что-то из разряда шуткимишутки, которую я не оценила. Тем не менее, как писал Максим Батырев, это позволило мне лишний раз освежить свою татуировку и вспомнить, что правила существуют для обеих сторон

Такие дела

#own