• «Меня развели мои же коллеги»: как и зачем мы проводим внутренние фишинговые рассылки

      Привет! Меня зовут Саша, и уже полтора года я периодически промышляю фишингом. Только не ради наживы, а для повышения киберграмотности коллег. Такие рассылки помогают нам проверить, насколько вероятна утечка из-за человеческого фактора, кому и какое обучение порекомендовать по основам кибербезопасности. В итоге грамотность сотрудников повышается: к концу года доля «попавшихся» снизилась с 17% до 2%. 

      Это помогает проходить аудит по стандарту ISO/IEC 27001. Такая рассылка со сбором статистики и последующим обучением встраивается в систему внутреннего аудита по требованиям стандарта. 

      В посте покажу примеры, как мы проводили внутреннюю фишинговую рассылку и какие результаты она дает. 


      Читать дальше →
      • +21
      • 3.8k
      • 2
    • Как показывать ИБ в 2021 году, чтобы ваш сериал не провалился

        Если создатели сериалов про хакеров и киберпреступность не прорабатывают детали, перед экраном грустит один кибербезопасник. В 2020 году мир ИТ уже посмотрел «Мистера Робота» и «Кремниевую долину», прощать глупости киношных хакеров все труднее. 

        Мы вместе с коллегой Кириллом Голубенко решили подвести ТВ-итоги года и составили топ-5 живучих киноштампов про ИБ из новых сериалов. Разберем неудачные и комичные моменты в «Разрабах» (Devs) и «Нексте» и найдем варианты, что могло бы их спасти. 
        Spoiler alert: В статье используются отрывки, описание сцен и сюжетных поворотов. Если вы хотели посмотреть эти сериалы, лучше сначала посмотрите. 


        Читать дальше →
      • Чем плоха СМС-аутентификация и как защититься от угона SIM-карты

          Привет, Хабр! В прошлой статье мы затронули тему, что аутентификация по СМС – не самый лучший способ многофакторной аутентификации. Такой способ используют многие веб-сервисы: соцсети, почтовые клиенты, платежные системы. Вдобавок номер телефона используется в качестве логина: для регистрации ВКонтакте, в Telegram и так далее. 

          Если SIM-карту угонят, а СМС перехватят, последствия будут плачевны. Многие пользователи переписываются в мессенджерах с коллегами и партнерами, поэтому под угрозой окажутся не только личные данные, но и корпоративные.  Если в вашей компании  не используется корпоративная инфраструктура для общения, то незащищенные аккаунты сотрудников ставят под угрозу бизнес. Так что стоит позаботиться о безопасности заранее.

          В этой статье возьмем несколько популярных сервисов и заменим СМС-аутентификацию на более безопасные способы. Заодно разберемся, как дополнительно защитить аккаунты от угона и спать спокойно.
          На статью нас вдохновил лонгрид MyCrypto, посвященный защите от SIM-джекинга (SimJacking). Мы изучили их рекомендации и составили актуальный список для России. 

          Читать дальше →
        • Не только смс и токен: многофакторная аутентификация на базе SafeNet Authentication Service

            Обычно при фразе “многофакторная аутентификация” люди в первую очередь вспоминают про смс-коды, которые приходят, когда оплачиваешь картой онлайн-покупки. Чуть реже на ум приходит флешка с цифрами, токен.

            Сегодня я расскажу про другие способы многофакторной аутентификации и задачи, которые они помогают решить компании. Рассказывать буду на примере решения Gemalto Safenet Authentication Service (SAS), которое существует в формате облачного сервиса и on-premise версии, сертифицированной ФСТЭК.

            Все примерно представляют, что такое многофакторная аутентификация: это когда помимо пароля (фактор знания) нужно ввести дополнительный подтверждающий фактор. Их два:

            • фактор владения (то, что у меня есть): коды из смс, email, мобильных приложений, USB-ключи и прочее.
            • фактор свойства (то, чем я являюсь): отпечатки пальцев, радужка глаза.


            Читать дальше →
            • +12
            • 4.8k
            • 8