Как понять логику хакеров и научить своих сотрудников не вестись на атаки?

Выступление Сергея Волдохина на интенсиве для CISO Код ИБ Профи

Код ИБ

Краткий конспект выступления Сергея Волдохина на интенсиве для CISO Код ИБ Профи

Сергей Волдохин
Директор в компании Антифишинг

На самом деле, реальные атаки сейчас все идут через людей и влияют на безопасность всей компании и бизнеса.
Посмотрим на две новости из еженедельного дайджеста Антифишинг:

Для разработчиков:

Неизвестных хакеры скомпрометировали DeepSource– популярный инструмент для автоматического анализа кода, выявления уязвимостей, ошибок и проблем с производительностью. С помощью фишинговой атаки они перехватили GitHub-аккаунт одного из сотрудников DeepSource, что позволило получить доступ к коду приложения. Чтобы ограничить злоумышленникам доступ к ресурсам, разработчики DeepSource немедленно приняли меры предосторожности: сбросили токены, пароли и приватные ключи клиентов, а также обнулили учётные данные и ключи сотрудников.

Для сотрудников ИТ и ИБ:

В веб-сервере nginxнайден новый бэкдор, эксплуатацию которого не обнаруживает большинство антивирусов. Бэкдор появился из-за того, что неизвестный злоумышленник модифицировал функцию ngx_http_header_fileв коде оригинального nginx.

Выявить наличие уязвимого кода можно, промониторив локальный порт 9999 с помощью команды netcat: nc –lv 9999На первый взгляд можно сказать, что к первой и второй проблеме люди отношения не имеют, но если копнуть глубже, мы видим, что даже такие чисто технические вектора всё равно имеют в корне причин поведение людей - тот самый человеческий фактор.

Что с этим делать?

Непрерывно обучать и тренировать своих сотрудников. И помните, что знания - то, чему вы можете обучить людей, - это всего лишь знания, а для реальной и безопасной работы, тем более в условиях удалёнки, тем более если у вас больше десяти сотрудников, именно навыки обеспечат безопасность.

В187-ФЗ «О безопасности КИИ РФ» есть раздел, который называется "Информирование и обучение персонала" и в нём есть пять мер, которые даже на уровне такой консервативной организации как ФСТЭК, уже содержат очень правильные и нужные нам вещи:

● Регламентация правил и процедур обучения персонала
● Информирование персонала об угрозах безопасности информации и о правилах безопасной работы
● Обучение персонала правилам безопасной работы
● Проведение практических занятий с персоналом по правилам безопасной работы
● Контроль осведомлённости персонала об угрозах безопасности информации и о правилах безопасной работы

Ответьте для себя на вопросы: что должны знать ваши сотрудники и что они должны уметь, а также какие навыки влияют на безопасность? И после ответов на эти вопросы вы будете должны организовать системный и измеримый процесс обучения и тренировки навыков по безопасности. Постарайтесь организовать обучение так, как это выглядит в естественной среде для сотрудника. И, конечно, самое главное, чтобы обучение не стало процессом ради процесса, а вы могли измерять поведение людей и управлять им через регулярные тренировки навыков.

Посмотреть запись выступления

Как оптимизировать Security Operations с помощью Red/Purple Team?

Выступление Вячеслава Васина на интенсиве для CISO Код ИБ Профи

Код ИБ