Краткий конспект выступления Сергея Волдохина на интенсиве для CISO Код ИБ Профи
Сергей Волдохин
Директор в компании Антифишинг
На самом деле, реальные атаки сейчас все идут через людей и влияют на безопасность всей компании и бизнеса.
Посмотрим на две новости из еженедельного дайджеста Антифишинг:
Для разработчиков:
Неизвестных хакеры скомпрометировали DeepSource– популярный инструмент для автоматического анализа кода, выявления уязвимостей, ошибок и проблем с производительностью. С помощью фишинговой атаки они перехватили GitHub-аккаунт одного из сотрудников DeepSource, что позволило получить доступ к коду приложения. Чтобы ограничить злоумышленникам доступ к ресурсам, разработчики DeepSource немедленно приняли меры предосторожности: сбросили токены, пароли и приватные ключи клиентов, а также обнулили учётные данные и ключи сотрудников.
Для сотрудников ИТ и ИБ:
В веб-сервере nginxнайден новый бэкдор, эксплуатацию которого не обнаруживает большинство антивирусов. Бэкдор появился из-за того, что неизвестный злоумышленник модифицировал функцию ngx_http_header_fileв коде оригинального nginx.
Выявить наличие уязвимого кода можно, промониторив локальный порт 9999 с помощью команды netcat: nc –lv 9999На первый взгляд можно сказать, что к первой и второй проблеме люди отношения не имеют, но если копнуть глубже, мы видим, что даже такие чисто технические вектора всё равно имеют в корне причин поведение людей - тот самый человеческий фактор.
Что с этим делать?
Непрерывно обучать и тренировать своих сотрудников. И помните, что знания - то, чему вы можете обучить людей, - это всего лишь знания, а для реальной и безопасной работы, тем более в условиях удалёнки, тем более если у вас больше десяти сотрудников, именно навыки обеспечат безопасность.
В187-ФЗ «О безопасности КИИ РФ» есть раздел, который называется "Информирование и обучение персонала" и в нём есть пять мер, которые даже на уровне такой консервативной организации как ФСТЭК, уже содержат очень правильные и нужные нам вещи:
● Регламентация правил и процедур обучения персонала
● Информирование персонала об угрозах безопасности информации и о правилах безопасной работы
● Обучение персонала правилам безопасной работы
● Проведение практических занятий с персоналом по правилам безопасной работы
● Контроль осведомлённости персонала об угрозах безопасности информации и о правилах безопасной работы
Как понять логику хакеров и научить своих сотрудников не вестись на атаки?
Выступление Сергея Волдохина на интенсиве для CISO Код ИБ Профи