Полешук в мире ИБ

Сейчас тестировал функцию генерации отчетов в автоматическом режиме для услуги Security Operation Centre и понял, что мне на самом деле нравится видеть информацию не в рамках кучи дашбордов и панелей, а в виде четкого регламента таблицы и визуальных оттенков теста👍.

👀Был бы я CISO то для меня это экономило кучу времени, которую я мог бы потрать на актуализацию модели угроз, на создание более сложных и корреляционных событий а не просто сбор событий по максимуму, даже хотя бы на развитие своей экспертизы в виде скриптов, правил детектирования.

Нет, ну если хочется кому-то руками куда-то лезть, тюнить, обновлять - нет никаких препятствий. Но мне уже хочется дисциплины и порядка в процессах ИБ и всю рутину отдавать на обслуживание сторонней организации.

💡Как говорится: «У каждого додика своя методика»

Эх как интересно все на рынке услуг центров кибербезопасности… Коллеги, которых включили в список ЦКБ и которые объявили об услуге на коммерческой основе, уже успели по словам четырех моих собеседников «достать».

Причины, которые они отметили:
☠️никакой технической экспертизы а только то, что предоставил вендор;
☠️навязывание дополнительных опций, которые оказываются существенными условиями для оказания услуги;
☠️отсутствие помощи в настройке активов и даже поддержки на коммерческой основе нет;
☠️расплывчатые формулировки в коммерческих предложениях и в порядке оказания услуги;
☠️принуждающие формулировки «купите у нас», «вас накажут», «сделайте это сами», «ответственности не несем», «мы не гарантируем правильность работы»;
☠️критика конкурентов на рынке и «скрытые» батл-карты.

Еще отметили и то, что компании которые пол года назад говорили «нет, мы не будем делать ЦКБ, нам это не интересно» уже кормят завтраками и обещаниями, что скоро и они станут аттестованным ЦКБ с «лучшей экспертизой и самой низкой ценой».

Да, интересно наблюдать на берегу, как лодки мнят себя линкорами, пока матросы латают дырки и черпают воду…

P.S. Я люблю свое тайное доброе комьюнити - вы просто красавчики 🥰

Поздравляю всех с началом выходных. Да, мало. Но это же не повод грустить верно? 🤗

В последнее время (недели две точно) слышу прям из всег ТГ чатов коллег: «риски», «патчи», «обновления», «устранение», «угроза», «вектор кибератаки» и тому подобные вещи. И многие, кто это читает, начинает сразу искать что-то по этой тематике (в лучшем случае). В худшем - 🔞испорожнять свое мнение используя невпопад термины. Знаете как это назыается? Ересь.

Шучу. Это так называемый «феномен Баадера – Майнхоф». Стоит в течении некоторого промежутка времени массово рассказать про что либо, как формируется мнение что это уже есть у всех, а у меня нет и оно мне нужно.

Да, уязвимости нужно устранять, но не обновлениями🤓. Над процессами нужно работать, но не нужно кучу времени тратить на изучение и сравнение фреймворков🧐. И самое главное - не нужно делать то, что не понимаешь🤔.

Что мне хочется тут донести. Порой лучше сделать, чем не сделать. Но перед тем как сделать даже неправильно поймите конечную цель, и тогда ошибок будет меньше.

Говоря о себе у меня есть пробелы в знаниях архитектуры гиперконвергентных решений, знание сетей на уровне взаимодействия провайдеров, управление бизнеса уровня MBA. Хотел бы я это выучить? Нет, потому что я ценю свое время, понимаю что мне нужно для реализации своих целей и задач и знаю, что если будет вопрос в рамках данных тем у меня есть прекрасные коллеги которые мне помогут.

Давайте тему с рисками оставим, а то у нас до сих пор бюджета на антивирус выделить не могут🤬 («не видим необходимости» как на этой неделе услышал ответ от клиента).

Разобрал ситуацию, относительно фишинга в Яндекс.Почта.
Внутренние спам-фильтры отрабатывают классно X-Yandex-Spam: 4, но все же письмо попадает в ящики чем вызывают неподдельный интерес посмотреть "что это" такое. Сейчас покажу занятные детали.


Subject: =?windows-1251?B?x+D/4urgICMgIDgxNDg5OSDu8iAyMy4wOC4y?=
=?windows-1251?B?MDI0Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+?=
=?windows-1251?B?Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+?=
=?windows-1251?B?Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+?=
=?windows-1251?B?Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+Pj4+?=
=?windows-1251?B?Pj4+Pj4+Pj4+Pj4+?=

Заголовок Subject закодирован в кодировке Windows-1251 с использованием Base64. Декодируем и наш результат:

Вы выиграли 814899 от 23.08.2024 >>>>>>>>>>>>>>>>>>>





указывает, что текст письма закодирован для систем которые используют кирилицу




а это довольно интересная ссылочка с Accelerated Mobile Pages - видимо автор письма нацелился именно на пользователей мобильного устройства.

Ревершу и вижу:

https://www.google.com/amp/s/ᵍuₑst.liₙk/Z9R

Отличный способ маскировки ссылки для перенаправления на guest[.]link

И куда же без скрытого пикселя






Выводы:
- спам-фильтры классные и реально работают, но письмо все равно доходит до получателя
- Base64 остается прекрасным способ обмана фильтров
- признаком массовой рассылки может быть наличие тегов X-Yandex-Forward: и наличие более двух кодировок в письме, например Windows-1251 и UTF-8
- поиск скрытых пикселей отличный маркер выявления подозрительных писем
- киберпреступники все больше акцентируют внимание при атаках на пользователей мобильных устройств

Кто любит форензику и имеет свой почтовый сервер можно использовать мое правило


rule Yandex_Phishing_Email_Detection {
meta:
description = "Detection of suspicious Yandex.Mail messages on specific indicators"
author = "@cyberpoleshuk"
date = "2024-08-27"
version = "0.1"

strings:
$base64_subject = /Subject:\s*=\?[^?]+\?B\?[^?]+\?=/

$yandex_forward = "X-Yandex-Forward:"

$encoding_utf8 = "charset=UTF-8"
$encoding_windows1251 = "charset=windows-1251"

$hidden_pixel = /width:\s*1px;\s*height:\s*1px;/

condition:
$base64_subject or

$yandex_forward or

($encoding_utf8 and $encoding_windows1251) or

$hidden_pixel
}

Оскар этой бабушке! Браво! Лучший троллинг ☺️

Знаете в чем разница между очень маленькими яйцами и командным центром управления ботнетом?

По задержанию Павла Дурова у меня в голове такая ситуация. Сидит он значит в комнате для допросов, и следователь ему говорит:

- Мисье Дуров! Верните стену!

Как по мне это сюрреализм. То поддерживать его когда он ФСБ отказался выдать ключи, то арестовать потому что он ключи шифрования выдавать не хочет. Глупее обстоятельства давно не было.

VK конечно сейчас это не то, что было раньше и я на ней давно крест поставил, но телегой я начал пользоваться когда это еще не было мейнстримом. Да, сейчас она превращается в коммерческую платформу (эти ⭐️ и платные подписки превратят платформу из мессенджера в аналог OnlyFans) и именно за контентом в таких группах нужен контроль. А то выходит продавать эротику за звезды можно кому угодно и это нормально, а поддержать возможность анонимного контакта между простыми людьми нет.