Ежемесячно Open AI выпускает отчет о борьбе с вредоносным использованием ИИ. Вот июньский, pdf .

За вычетом пафосных моментов, типа:

we believe that making sure AI benefits the most people possible means enabling AI through common-sense rules aimed at protecting people from actual harms, and building democratic AI. This includes preventing the use of AI tools by authoritarian regimes to amass power and control their citizens, or to threaten or coerce other states; as well as activities such as covert influence operations (IO), child exploitation, scams, spam, and malicious cyber activity

документ мне показался полезным.

Поделюсь мыслями, возникшими в процессе изучения документа.

1. Документ содержит практические сценарии использования (о сценариях говорили здесь ), т.е. там, где эффективность подтверждается самой практикой

2. Нам, безопасникам, надо понимать ландшафт угроз и как эти угрозы реализуются. Документ содержит фактические сценарии атак, автоматизируемые ИИ - например, генерация фейков и дезинформации, фишинг, разные схемы мошенничества, генерация ВПО, поиск уязвимостей, и пр. , кое где есть ссылки на примеры реальных инцидентов.

3. Документ показывает, что все наши запросы улетевшие в облачную ИИ тщательнейшим образом анализируются, т.е. о какой-либо их конфиденциальности не может быть и речи.

4. Объективность критериев вредоносности очень напоминает книжку и в стиле цитаты выше, поэтому надо иметь в виду риск предвзятости выдачи самой модели, а вот и Иван намекает, что ИИ будет служить инструментом формирования общественного мнения... Но в подавляющем большинстве сценариев "политические взгляды модели" вряд ли будут иметь значимое влияние.

5. Документ о том, какие сценарии использования своей модели Open AI считает неправильными - интересен, но еще более интересным был бы подобный дайджест о правильных сценариях использования, в которых бы описывались конкретные практические реализации. Сейчас есть что-то , более напоминающее маркетинговые листовки. Такая популяризация "правильных сценариев", тоже способствовала бы снижению количества "неправильного использования".

#ml #vCISO

Плейбук на срабатывание антивируса

Положительные стороны унификации процессов ИБ понятны, наверно, так как все это делают (не может же это происходить исключительно по инерции или из-за стадного инстинкта). Но у всего есть и оборотная сторона, которая, судя по задаваемым вопросам, не всегда очевидна. В новой статье я попытался объяснить почему не может быть одного плейбука на все детекты антивируса.

В общем-то, логика очень простая: плейбук - это план реагирования на инцидент, а детект антивируса - это один из артефактов, по которому далеко не всегда можно сразу восстановить всю картину инцидента. Представляете себе доктора, который по одному симптому сразу назначает вам курс лечения? Только ситуация еще даже хуже. Поскольку разные детекты антивируса означают абсолютно разное, а плейбук почему-то один, то в предложенной аналогии, наш горе-доктор на любой симптом назначал бы одно и то же лечение: насморк - Амоксиклав, болит голова - Амоксиклав, диарея - Амоксиклав.... И это не смешно!

#vCISO #MDR

В прошлую среду, в Завидово, вот уже в четвертый раз, проходил Kaspersky Кибер кэмп. Форамат традиционный - презентации не публикуются, записи докладов нет, слайды фотографировать можно только при явном разрешении спикера, никакой рекламы. Поскольку мероприятие позиционируется не только как контентное, но и как площадка для профессионального нетворкинга, в программе имеются два замечательных вечера с вкусным ужином, напитками. Ну а для самых стойких я могу еще и попеть песни под гитару до глубокой ночи, а то и до раннего утра. Мне лично очень приятно, что сформировался уже своего рода фэн-клуб этих посиделок с гитарой, что, безусловно, меня лично мотивирует разучивать новые вещи... но об этом как-нибудь в другой раз.

Конференция состоит из четырех секций с докладами, разделенных двумя перерывами на кофе и обедом, в первой секции, утром проводится панельная дискуссия. Техническая составляющая в докаладах нарастает по мере приближения к вечеру, т.е. какие-то общие слова - обычно до обеда, а интересные технические вещи - в третьей и четвертой секциях.

Мы тщательнейшим образом изучаем обратную связь, поэтому, кто был на мероприятии и читает мои заметки, пожалуйста, напишите, что бы мы могли улучшить. Опыт прошлых отзывов показал, что первые две секции несколько выбиваются по качеству докладов, причем первая секция еще держится за счет панельки, то вторая - подобного преимущества не имеет. Модератор второй секции - ваш покорный слуга.

В этом году, мы, во-первых, немного перетасовали доклады по секциям, а, во-вторых, решили попробовать оживить вторую секцию и провести там конкурс дебатов. Причем, панелька в первой секции тоже оживилась, поскольку по инициативе Себера, была организована в виде "Своей игры": участник выбирал тему вопроса и номер, и депфейк селебрити из отечественной ИБ задавал вопрос.

Но вермнемся к дебатам. 4 участника, два полуфинала, один финал. В каждом раунде по два тура по полторы минуты. Темы полуфиналов были известны заранее, а кому какая тема и какая позиция выпадет - выбиралось жеребьевкой. Финальная тема не была известна заранее, позиция выбиралась монеткой, как в футболе. Голосование за аргументацию производилось участниками мероприятия через Телеграм-бота.

Тем для отборочной комиссии я напридумывал много, выбраны были только три, но в следующей заметке приведу их все, может, кому-то этот список поможет сделать свои собственные дебаты, а может, самому задуматься о том, где в этих темах правильный баланс "за" и "против". Темы умышленно выбирались холиварные, на которые не может быть радикального ответа типа "да, можно" или "нет, нельзя", а важен именно баланс, как, собственно, и во всем.

А вообще, закончить хочется цитатой одного из гостей, которую я повторил и со сцены:

То, о чем сегодня говорят на Кибер кэмпе, завтра говорит весь рынок

Будем стараться оправдывать доверие и ожидания!

#vCISO

Варианты тем дебатов по ИБ

1. Безопасность vs. Приватность
- должно ли государтсво встраивать бэкдоры в криптографию (или депонировать ключи)?
да: так как можно бороться с терроризмом, мошенничеством и т.п.
нет: так как теряется тайна личных переписок
- анонимность в интернете - это хорошо или плохо? (тема полуфинала)
да: так как это способтсвует свободе слова
нет: так как за базар надо отвечать

2. Безопасность vs. Требовния правообладателя: можно ли нарушать лицензионное соглашение для целей исследования безопасности (дело Майкла Линна из ISS против Cisco, Дима Скларов из Элкомсофта против Adobe)
да, так как это повышает качество продукта и защищает наши права, права потребителей
нет, так как закон нарушать нельзя, ибо правообладатель не разрешил явно

3. Отрицательная мотивация
- Стоит ли увольнять CISO из-за инцидентов ИБ
да: за прохую работу надо платить
нет: у него появился бесценный опыт
- Вообще, если сотрудник допустил ошибку и расследование показало, что злого умысла не было, его стоит наказывать? (тема полуфинала)
да: так как за все надо платить и это будет ему уроком
нет: так как были объективные причины, и виной всему обстоятельства, а наказине демотиврует и мы получим худший результат

4. Open-source проекты безопаснее проприетарных
да: так как открыт код для аудита
нет: так как код изучают и атакующие, не всегда понятно кто туда что коммитит, история знает случаи закладок (хотя и в проприетарных тоже)

5. Чем строже compliance, тем выше безопасность => государство должно ужесточать требования
да: стандарты дисциплинируют и задают базовый уровень, а ответственность стимулирует исполнять
нет: compliance != безопасность и появляюется новый вид апродуктивной деятельности - обход комплаенса, к тому же может создаваться опасная иллюзия безопасности, как раз из-за комплаенса

6. Этичен ли hack-back?
да: если меня атаковали, я имею права на активную защиту (в том числе 3rd party инфраструктуру, которая использовалась злоумышленниками)
нет: так как это может вести к злоупотреблениям и основаниям для хакерских атак

7. Этично ли нанимать на работу хакеров (с темным прошлым или настоящим)?
да: они супер-профессионалы
нет: они прежде всего криминальные элементы

8. Уничтожит ли сильный искусственный интелект (AGI) Человечество? (тема финала)
да, потому что
нет, будучи инструментом, он всегда останется инструментом


#vCISO

Kaspersky Cyber Insights 2025

В завершающей заметке по теме (слайды) делюсь ссылками на записи выступлений, доступные на Brighttalk.

У меня профессионально исковерканный субъективный взгляд, но все равно, приведу личные рекомендации, что можно посмотреть:
Kaspersky SOC in 2025: Key Observations and Findings
Know Your Adversary with the Threat Landscape
AI-Related Threat Landscape: 2025 and Beyond
Panel Beyond the Perimeter: Practical Strategies to Leverage Threat Intelligence for Proactive Cybersecurity

#MDR #vCISO

Понятно очевидное желание обнаружения атаки на как можно более ранних стадиях. Но принципиальная проблема в том, что для того, чтобы вредоносную активность обнаружить она должна проявиться. Т.е. сначала мы наблюдаем какие-то техники атакующего, а затем, собственно, за эти самые техники мы его детектим. При этом, не умаляется возможность предотвращения атак на ранних стадиях, поскольку мы не стремимся к полному отсутствию вредоносной активности, но к тому, чтобы эта вредоносная активность не успевала нам нанести ущерб прежде чем мы ее обнаружим, локализуем и остановим.

Видимо, все это и имеет в виду уважаемый Gartner, в своем "новом" документе "Emerging Tech: Top Use Cases in Preemptive Cyber Defense" от 13 августа 2024 (вторник, не пятница), но его чтение мне заметно подняло настроение, о чем не могу не написать в пятницу.

#MDR #vCISO #пятница

Профессиональный нетворкинг

В любом деле важен нетворкинг! Особенно он важен для людей со схожими проблемами и задачами.... В общем, посещение конференций дело крайне полезное, именно как площадок для формирования профессиональных связей.

Наверно, можно ходить по конференции и со всеми знакомиться, обмениваться контактами, но, во-первых, для этого надо обладать неплохими софтскилами, чтобы не достать своих собеседников и не быть отправленным туда, куда нам никому не хочется.... ну, разве что, мы не ставим перед собой цель прокачивания именно навыков коммуникации.

Лично для себя я уже давно выбрал способ лучше - выступление с докладом. Рассказать о себе со сцены сразу двум сотням слушателей значительно более эффективно, чем к каждому из них подойти и рассказать о себе одно и то же примерно 200 раз (едва ли у нас хватит фантазии для каждого из двухсот придумать уникальную историю, да и "гении никогда не повторяются!" ). Непосредственно со сцены у нас есть несколько десятков минут, чтобы заинтересовать слушателей свой персоной, и тогда уже они сами потянутся к нам и наша цель нетворкинга будет выполнена. Хорошему человеку, тем более профессионалу всегда есть что интересного рассказать! В общем, регистрируйтесь, не упускайте возможность!

И еще некоторый небольшой инсайд. ЛК - замечательный организатор мероприятий, за 10 лет работы не перестаю в этом убеждаться: все будет удобно, комфортно, интересно, весело, вкусно!

#vCISO #саморазвитие #kaspersky

P&L атаки

Есть такой старый постулат, что все наши усилия в ИБ должны повысить стоимость атаки настолько, чтобы атакующему было неинтересно нас атаковать, чтобы P&L проекта атаки был отрицательным. Я не раз писал о том, что это утрверждение уже давно работает крайне плохо, однако, до сих пор в маркетинговых листовках и публикациях такое утверждение можно встретить. Вероятно, это объясняется тем, что никакие контроли безопасности (== никакие инвестиции в ИБ) не исключат полностью возможность атаки, и, как будто, порог нерентабельности атаки выглядит логичным компромиссом для объема инвестиций в эту бездонную бочку с названием "корпоративная ИБ".

В современных условиях "нерентабельность атаки" представляет собой не столько порог инвестиций в ИБ, а, скорее, создает состояние гонки, поскольку, как бы мы не напрягались, атаки все равно будут, только ущерб от них будет еще выше! Логика здесь следующая: чем лучше защищена инфраструктура, тем дороже атака - нужны серьезные исследования, разработка эксплоитов, инструментов атаки, возможно, лабораторные испытания этих инструментов, насколько успешно они обходят используемые СЗИ, в общем, чем выше безопасность, тем дороже атака - это полностью укладывается в постулат, с чего мы начали. Однако, атаки все равно будут, а раз они дорогие, то для обеспечения положительного P&L, профит от атаки должен быть еще больше. Профит атаки, как минимум, косвенно, отражается на ущербе для жертвы - высокий профит для атакующего означает большой ущерб для жертвы. В итоге получаем, вероятно, не очень очевидную, тем более, непопулярную, закономерность: чем больше мы инвестируем в ИБ, чем лучше защищена наша инфраструктура, тем больший ущерб мы получим от компьютерной атаки. И даже хуже: если инцидент все-таки дошел до ущерба, то все наши инвестиции в ИБ, будучи несостоятельными, тоже превращаются в ущерб...

В общем, повышением уровня безопасности мы в немалой степени сами провоцируем рост ущерба.

#vCISO #пятница