Всем привет! У нас новый автор - Виктор Дрынов, руководитель отдела безопасной разработки Angara Security. Сегодня он расскажет, как стандарты могут помочь минимизировать риски и повысить качество разработки

Немного о требованиях регуляторов

С чего стоит начать подход к безопасной разработке? С изучения требований национальных стандартов и иных нормативно-правовых документов (НПА), разработанных регуляторами.

В России разработаны и приняты национальные стандарты по разработке безопасного программного обеспечения (РБПО), а именно:

Всем привет! На связи снова Яков Филевский, эксперт по социотехническому тестированию Angara Security, поделился опытом общения с мошенниками

В разгар рабочего дня вам звонят с мобильного номера (в моём случае — оператор «Сбер Мобайл»). Голос уверенный, деловой, даже слегка фамильярный: 

— «Здравствуйте, я представляю вашу страховую компанию. Сейчас идёт массовый обмен старых ОМС-полисов на новый образец с QR-кодом. Подтвердите, пожалуйста: у вас полис пластиковый или электронный?». 

Затем собеседник мгновенно называет ваши ФИО и дату рождения — данные, которые должны быть известны только официальным структурам… или мошенникам. 

Первый крючок: эффект авторитета 

Когда незнакомец свободно оперирует вашими персональными данными, срабатывает автоматическое доверие: «Раз знает такие детали — наверное, действительно из страховой». Но это ловушка. Персональные данные давно не признак легитимности — их сливают из баз или получают через утечки. 

Давление и управление разговором 

Мошенник говорит быстро, сыпет терминами, не оставляет времени на раздумья: 

— «Новый полис будет пластиковым, но с QR-кодом, он позволит получать часть лекарств безоплатно. Вам всё понятно?». 

Ответ ждут только «да» или «нет». Если вы говорите «ну, допустим», собеседник раздражённо переспрашивает: «Значит, да?» — и продолжает. Это не случайно: последовательные «да» создают иллюзию согласия. 

Фиктивный выбор и ложное ощущение контроля 

— «Где вам удобнее получить полис: в МФЦ или в страховой?».

Вопрос бессмысленный — замены полисов нет. Но он вовлекает вас в процесс, закрепляя доверие. 

Всем привет! Angara Security снова на связи.

Сегодня в нашем эфире еще один новый автор — Георгий Семенов, эксперт по кибербезопасности Angara Security.

Хаотичные нападки киберпреступников в попытках попасть в уязвимое место инфраструктуры в последние годы сменились сложными и продуманными целевыми атаками — такой тренд кибербеза мы наблюдаем в Angara Security. Основные хакерские «хиты» этих лет — проникновение с использованием средств социальной инженерии и человеческого фактора, а также атаки через доверенные стороны. Злоумышленники стали дорожить временем: стремятся максимально сократить период от получения учетных данных пользователей до закрепления на периметре компании и последующей атаки. Проще всего им это удается через фишинг. По оценке Angara Security, доля MITRE ATT&CK Т1566 в общем объеме атак сейчас составляет 30%, причем за 2024 год число фишинговых атак резко выросло на 41% по сравнению с 2023 годом. Самым эффективным средством защиты против фишинга в кибербезопасности все еще считаются песочницы SandBox или мультисканеры. Проводим несколько тестов для Anti-APT Sandbox и разбираемся, насколько мощно они держат оборону информационной безопасности.

АРТ-атаки против Anti-APT Sandbox

АРТ-атака тестирует устойчивость к враждебным воздействиям, ищет слабое звено системы. Обычно это многоуровневая и длительная целевая кибератака с маскировкой и проникновением в сеть компании, с продолжительным нахождением «под прикрытием». Хакеры имитируют стандартные системные процессы, обманывают систему, отслеживают перемещение данных и действия ключевых пользователей — все, лишь бы обнаружить уязвимость для сбора конфиденциальной информации и чувствительных данных.

Против АРТ-атак используется Anti-APT Sandbox — программное обеспечение для выявления и анализа сложных и продвинутых угроз (какой, безусловно, является АРТ). Anti-APT Sandbox изолирует подозрительные файлы и анализирует их активность в виртуальной среде. Это безопасное пространство, где можно исследовать поведение программ без риска для реальных систем (к слову, здесь же можно выявить попытки эксплуатации уязвимостей «нулевого дня»).

В данной статье предложим новый взгляд на работу Red Team для создания самых изощрённых симуляций атак, в которых код заменяется эмоциями, а уязвимости скрываются не в ПО, а в человеческой психике.