Пост Лукацкого
Уникальный контент про кибербезопасность от Алексея Лукацкого (@alukatsk) - мысли, полезные ссылки, комментарии к текущим событиям, юмор и мемасики.
Канал личный - мой работодатель никак не влияет на то, что здесь публикуется.
Рекламу не размещаю!!!
Канал личный - мой работодатель никак не влияет на то, что здесь публикуется.
Рекламу не размещаю!!!
关联群组
Дискуссии у Лукацкого
112
记录
17.04.202523:59
29.5K订阅者08.04.202523:59
200引用指数20.02.202506:42
8.7K每帖平均覆盖率22.02.202507:00
7K广告帖子的平均覆盖率21.09.202423:59
5.68%ER20.02.202506:42
30.63%ERR
06.04.202517:29
"Волк и семеро козлят" в стиле киберпанк 😊 Оригинал - тут
03.04.202504:40
Дмитрий тут написал у себя, что очень плохо, когда ВУЗы перестают учить студентов на базе Windows 📱 Александр пишет, что нет, все правильно, долой супостатов. А я обращу внимание на другой аспект этой проблемы. В борьбе за суверенитет, у нас многие забыли, что заниматься надо не импортозамещением, а ростом экспортопригодности своих решений 🪟 Тогда запрещать не надо будет - пользователи сами будут переходить на отечественное, которое лучше (в реальности, а не на словах) иностранных аналогов.
А пока мы зарываем голову в песок, блокируя использование всего иностранного ⛔️ А я задам сакраментальный вопрос - а как потом проводитьнаступательные разведывательные операции в киберпространстве, если не останется тех, кто знает, как выглядит Windows? 🪟 А дыры искать в зарубежных продуктах как, если прописывают требования по их запрету? Можно возразить, что и не надо искать. Надо выстроить железный занавес и жить в своем уютном ламповом мирке, в котором нет места иностранщине ☕️ Вот только как быть тем, кто стремиться нести свет российских технологий зарубеж, начиная с дружественных и заканчивая не очень странами?
Все эти страны, практически без исключения, импортозамещением не страдают, так как не могут себе позволить развивать с нуля ИТ-отрасль (даже если бы и хотели). И они используют иностранные ИТ-продукты, которые мы смело отметаем 📱 И как российской компании с международными амбициями в таком случае себя вести? И это я еще не вспоминаю про дурацкий запрет, который вступает в силу с 1 сентября, который запрещает российским компаниям любую рекламу в запрещенных и заблокированных в России соцсетях и ресурсах 📱 И вот что мне делать, если я 2-го сентября захочу через LinkedIn или иную какую экстремистскую соцсеть пригласить иностранных коллег на стенд 🟥 на конференции GITEX в Дубае?
Ох, как прав был Лавров... Заставь дураков Богу молиться... 🤦♂️ Вместо того, чтобы развивать свое, запрещают чужое. Это же проще - росчерк пера ✍️ и можно отчитываться.
#суверенитет
А пока мы зарываем голову в песок, блокируя использование всего иностранного ⛔️ А я задам сакраментальный вопрос - а как потом проводить
Все эти страны, практически без исключения, импортозамещением не страдают, так как не могут себе позволить развивать с нуля ИТ-отрасль (даже если бы и хотели). И они используют иностранные ИТ-продукты, которые мы смело отметаем 📱 И как российской компании с международными амбициями в таком случае себя вести? И это я еще не вспоминаю про дурацкий запрет, который вступает в силу с 1 сентября, который запрещает российским компаниям любую рекламу в запрещенных и заблокированных в России соцсетях и ресурсах 📱 И вот что мне делать, если я 2-го сентября захочу через LinkedIn или иную какую экстремистскую соцсеть пригласить иностранных коллег на стенд 🟥 на конференции GITEX в Дубае?
Ох, как прав был Лавров... Заставь дураков Богу молиться... 🤦♂️ Вместо того, чтобы развивать свое, запрещают чужое. Это же проще - росчерк пера ✍️ и можно отчитываться.
#суверенитет
11.04.202504:40
Умом я понимаю, что РКН в очередной раз призвал всех россиян отказаться от зарубежных VPN ⛔️, но сделал он это как обычно через одно место, что меня, как человека, начинавшего карьеру в ИБ с разработки средств криптографической защиты в одном закрытом НИИ 🧑💻, прям коробит.
В России всего, насколько мне известно, один 1️⃣ единственный отечественный криптографический протокол (из не секретных), используемый в контексте, о котором пишет РКН. Это IPlir, разработанный Инфотексом и принятый в качестве рекомендаций по стандартизации под номером Р 1323565.1.034–2020 ☝️ При отсутствии альтернатив, то есть по сути монополизации, можно было задаться вопросом, а не продвигает ли государственный орган интересы конкретной коммерческой компании, которая сегодня чуть ли не единственная реализует IPlir в своих продуктах 🤔
Есть еще отечественные 🇷🇺 протоколы CRISP для промышленных систем, SESPAKE для обмена ключами, работы НПО "Криптонит" в рамках криптографических протоколов сетей связи 5G 3GPP TR 33.846, но это все другое и отношения к теме сообщения РКН не имеет 📡
Но я далек от мысли так думать, так как РКН скорее всего просто не понимает разницы между терминами "криптографический протокол" и "криптографический алгоритм" 🖕 А если бы понимал, то поинтересовался бы у старших товарищей, которые бы объяснили, что весь Интернет, включая работу сайта самого Роскомнадзора, построен на иностранных криптографических протоколах, а именно TLS/IPSec, которые могут использовать разные криптографические алгоритмы, как зарубежные (AES, Camellia, DSA, RSA, SHA, MD5, ECDSA и т.п.), так и отечественные ГОСТы 🔐 И ФСБ с Минцифры прекрасно разрешают использовать зарубежные криптографические протоколы, просто выпуская различные стандарты и спецификации, разъясняющие принципы работы иностранных протоколов с российской криптографией 🇷🇺
А если думать, что РКН понимал, что писал, то он прямым текстом запрещает в Рунете любую криптографию, так как аналогов SSL/TLS у нас нет 🤔 А если бы и были (хотя смысла в этом немного), то она была бы востребована только в одном случае - полная замена всего ПО, включая ОС и браузеры, на отечественное, и запрет на использование Chrome, Firefox и иже с ними на территории Российской Федерации 🇷🇺 Это амбициозная задача, которую можно было бы решить, будь мы Северной Кореей или Ираном, которые не имеют нормального выхода в Интернет и им не надо коммуницировать с соседями, которые продолжают использовать привычный TLS в своей инфраструктуре. Или это план? 🤔
ЗЫ. Да, на всякий случай, IPSec и SSH, STARTTLS и иже с ними, тоже не отечественные криптографические протоколы.
#криптография
В России всего, насколько мне известно, один 1️⃣ единственный отечественный криптографический протокол (из не секретных), используемый в контексте, о котором пишет РКН. Это IPlir, разработанный Инфотексом и принятый в качестве рекомендаций по стандартизации под номером Р 1323565.1.034–2020 ☝️ При отсутствии альтернатив, то есть по сути монополизации, можно было задаться вопросом, а не продвигает ли государственный орган интересы конкретной коммерческой компании, которая сегодня чуть ли не единственная реализует IPlir в своих продуктах 🤔
Есть еще отечественные 🇷🇺 протоколы CRISP для промышленных систем, SESPAKE для обмена ключами, работы НПО "Криптонит" в рамках криптографических протоколов сетей связи 5G 3GPP TR 33.846, но это все другое и отношения к теме сообщения РКН не имеет 📡
Но я далек от мысли так думать, так как РКН скорее всего просто не понимает разницы между терминами "криптографический протокол" и "криптографический алгоритм" 🖕 А если бы понимал, то поинтересовался бы у старших товарищей, которые бы объяснили, что весь Интернет, включая работу сайта самого Роскомнадзора, построен на иностранных криптографических протоколах, а именно TLS/IPSec, которые могут использовать разные криптографические алгоритмы, как зарубежные (AES, Camellia, DSA, RSA, SHA, MD5, ECDSA и т.п.), так и отечественные ГОСТы 🔐 И ФСБ с Минцифры прекрасно разрешают использовать зарубежные криптографические протоколы, просто выпуская различные стандарты и спецификации, разъясняющие принципы работы иностранных протоколов с российской криптографией 🇷🇺
А если думать, что РКН понимал, что писал, то он прямым текстом запрещает в Рунете любую криптографию, так как аналогов SSL/TLS у нас нет 🤔 А если бы и были (хотя смысла в этом немного), то она была бы востребована только в одном случае - полная замена всего ПО, включая ОС и браузеры, на отечественное, и запрет на использование Chrome, Firefox и иже с ними на территории Российской Федерации 🇷🇺 Это амбициозная задача, которую можно было бы решить, будь мы Северной Кореей или Ираном, которые не имеют нормального выхода в Интернет и им не надо коммуницировать с соседями, которые продолжают использовать привычный TLS в своей инфраструктуре. Или это план? 🤔
ЗЫ. Да, на всякий случай, IPSec и SSH, STARTTLS и иже с ними, тоже не отечественные криптографические протоколы.
#криптография
02.04.202504:40
Рафик Риман выпустил очередную карту знаний и навыков 🗺, которыми, по его мнению, должен обладать CISO. Так как карту осилить может не только лишь каждый, выделено 6 фокусных направлений:
1️⃣ Защита GenAI 🧠 В прошлом году Рафик обращал внимание на то, что CISO должен заняться GenAI, а в этом уже и защитить его. Как по мне, так это скорее должна была быть прошлогодняя рекомендация, а в этом надо уже говорить об ИИ-агентах, о которых Рафик почему-то молчит.
2️⃣ Консолидация средств защиты либо через экосистемный подход (все от одного вендора), либо через зоопарк лучших решений, но при наличии у них нормального развитого API.
3️⃣ Закрытие технического долга ИБ перед бизнесом в виде непатченных дыр и недочетов в архитектуре 🏗
4️⃣ Шифровальщики и киберустойчивость. Что шифровальщики делают в рекомендациях на 25-26-й годы не очень понятно, ну да ладно.
5️⃣ Содержательные метрики. У каждого понятие свое, но мысль Рафика в том, что надо уходить от операционных метрик к тому, что показывает результат для бизнеса. Плюсую 👍
6️⃣ Цифровая гигиена, но не в привычном смысле, а на более продвинутом уровне, - защита API, полная видимость, уменьшение поверхности атаки, снижение сложности, управление подрядчиками. Ну тоже как бы не этого года рекомендация, а прошедших пары лет 🤔
В комментариях к посту с анонсом, среди восторженных восклицаний, пришел один человек и написал: ✍️
Переводить, как мне кажется, не нужно - все и так понятно. Год от года карта усложняется 🗺 и в ней все сложнее разобраться и реализовать все написанное. Соглашусь с этим тезисом, но с другой стороны я не вижу варианта решения этой проблемы 🤷♀️ В сферу внимания CISO попадает все больше направлений, а значит и знаний должно быть больше.
У Адизеса, в его книгах по типам руководителей, эта проблема очень хорошо описана (правда, в другом контексте) 🧐 Нет руководителя, который бы включал в себя все свойства, которые должны быть. Это значит, что хороший руководитель должен распознать свои сильные стороны, а слабые усилить за счет подчиненных. Так, наверное, и с картой Римана, - не можешь сам, ищи подчиненных, которые "закроют" нужные темы и при этом которым ты доверяешь 🤔
Из этого следует, наверное, интересный вывод 🤔 CISO в некрупной компании, у которого нет в подчинении десятков и сотен людей, вынужден разбираться во всех этих самостоятельно, а значит он, по идее, на голову выше CISO крупной компании (с точки зрения хардскиллов, как минимум). По мере "взросления" и попадания во все более крупные компании, хардскиллы 🤔 уходят и им на смену приходят софтскиллы - компромиссы, умение выстраивать диалоги с бизнесом, командообразование и т.п. Ну или не приходит и тогда большой начальник большой только по должности, но не по знаниям/навыкам/уважению... 😱 Собственно, как и "маленький" CISO не обязательно знает всю карту Римана - он вполне может быть занят операционкой и на все остальное у него просто не хватает времени.
#ciso #тенденции
1️⃣ Защита GenAI 🧠 В прошлом году Рафик обращал внимание на то, что CISO должен заняться GenAI, а в этом уже и защитить его. Как по мне, так это скорее должна была быть прошлогодняя рекомендация, а в этом надо уже говорить об ИИ-агентах, о которых Рафик почему-то молчит.
2️⃣ Консолидация средств защиты либо через экосистемный подход (все от одного вендора), либо через зоопарк лучших решений, но при наличии у них нормального развитого API.
3️⃣ Закрытие технического долга ИБ перед бизнесом в виде непатченных дыр и недочетов в архитектуре 🏗
4️⃣ Шифровальщики и киберустойчивость. Что шифровальщики делают в рекомендациях на 25-26-й годы не очень понятно, ну да ладно.
5️⃣ Содержательные метрики. У каждого понятие свое, но мысль Рафика в том, что надо уходить от операционных метрик к тому, что показывает результат для бизнеса. Плюсую 👍
6️⃣ Цифровая гигиена, но не в привычном смысле, а на более продвинутом уровне, - защита API, полная видимость, уменьшение поверхности атаки, снижение сложности, управление подрядчиками. Ну тоже как бы не этого года рекомендация, а прошедших пары лет 🤔
В комментариях к посту с анонсом, среди восторженных восклицаний, пришел один человек и написал: ✍️
This is really #horrifying. And I can understand nobody wants to be a CISO seeing this. I think your knowledge of the function of security management could be used to do the oposite. I'm thinking of Steve Jobs: "Simple can be harder than complex:
You have to work hard to get your thinking clean to make it simple. But it's worth it in the end because once you get there, you can move mountains." I think he's right: it's much harder to make something simple than making it complex - as in your scheme. Nevertheless, I recommend you give it a try.
Your knowledge of security management should have to be sufficient to deliver that.
Переводить, как мне кажется, не нужно - все и так понятно. Год от года карта усложняется 🗺 и в ней все сложнее разобраться и реализовать все написанное. Соглашусь с этим тезисом, но с другой стороны я не вижу варианта решения этой проблемы 🤷♀️ В сферу внимания CISO попадает все больше направлений, а значит и знаний должно быть больше.
У Адизеса, в его книгах по типам руководителей, эта проблема очень хорошо описана (правда, в другом контексте) 🧐 Нет руководителя, который бы включал в себя все свойства, которые должны быть. Это значит, что хороший руководитель должен распознать свои сильные стороны, а слабые усилить за счет подчиненных. Так, наверное, и с картой Римана, - не можешь сам, ищи подчиненных, которые "закроют" нужные темы и при этом которым ты доверяешь 🤔
Из этого следует, наверное, интересный вывод 🤔 CISO в некрупной компании, у которого нет в подчинении десятков и сотен людей, вынужден разбираться во всех этих самостоятельно, а значит он, по идее, на голову выше CISO крупной компании (с точки зрения хардскиллов, как минимум). По мере "взросления" и попадания во все более крупные компании, хардскиллы 🤔 уходят и им на смену приходят софтскиллы - компромиссы, умение выстраивать диалоги с бизнесом, командообразование и т.п. Ну или не приходит и тогда большой начальник большой только по должности, но не по знаниям/навыкам/уважению... 😱 Собственно, как и "маленький" CISO не обязательно знает всю карту Римана - он вполне может быть занят операционкой и на все остальное у него просто не хватает времени.
#ciso #тенденции
07.04.202509:30
Не устаревает до сих пор 😏
Хотя в тех редких случаях, когда я был преподом в ВУЗе и принимал экзамены, я все-таки спрашивал и, иногда, заваливал студентов, которые болт клали на предмет. Но вот не ходить на лекции разрешал 🤔
Но тогда не было ИИ, а сейчас он есть 🫡 Так что конкуренция за место под солнцем усилилась и те, кто постоянно не учатся, обречены на то, что будут выброшены на свалку истории 💀
#обучение
Смотрю, как студенты понтуются, кто из них больше ни фига не делал и всё сдал.
Эх...
Когда я был студентом, я сдавал право одной очень милой женщине. Она была практикующим юристом, и я ожидал, что такой специалист меня сейчас будет гонять от и до по всему конспекту.
Она посмотрела на меня и, ничего не спрашивая, поинтересовалась:
- Оценку вам какую ставить?
- Э... Пять хотелось бы
- Отлично, - сказала она, и стала писать в зачётке
- А вы что, даже ничего спрашивать не будете? - удивился я.
Она оторвалась от заполнения зачётки, внимательно посмотрела на меня и сказала:
- Запомните, молодой человек, чем меньше вы знаете, тем более ценна я как специалист.
Эта фраза мне запомнилась на всю жизнь и больше я не страдал фигнёй во время занятий.
И сейчас самое время мне, уже доценту и одновременно практикующему проектировщику зданий, повторить то же самое:
Господа студенты, не учитесь, пожалуйста! Старайтесь как можно больше получить на халяву! Чем меньше вы знаете по окончании института, тем более ценен я как специалист и тем большую зарплату я могу потребовать за свои услуги!
Хотя в тех редких случаях, когда я был преподом в ВУЗе и принимал экзамены, я все-таки спрашивал и, иногда, заваливал студентов, которые болт клали на предмет. Но вот не ходить на лекции разрешал 🤔
Но тогда не было ИИ, а сейчас он есть 🫡 Так что конкуренция за место под солнцем усилилась и те, кто постоянно не учатся, обречены на то, что будут выброшены на свалку истории 💀
#обучение
25.03.202509:39
Тот редкий случай, когда я выступал не на тему кибербеза, а про то, как выступать на тему кибербеза 🗣 Для внутренних целей запилил мини-курс по тому, как готовиться к выступлению, как готовить презентацию, как выступать и работать с аудиторией. Подсобрал немного лайфхаков, оформил их в презентацию и поделился в режиме диалога с коллегами 📈 Вроде получилось недурственно. Как минимум, мне самому понравилось - подсобрал вместе свои наработки в этой сфере. Если вдруг случится небывалое и я покину кибербез 😲, смогу заняться преподаванием на курсах по Presentation Skills.
Презой делиться не буду - слишком много там внутренней кухни 🟥 про то, как выступать перед разными целевыми аудиториями и спикерам из разных подразделений и разного уровня иерархии, про то, как это все соотносится с проводимыми нами мероприятиями, с примерами удачных и неудачных выступлений и презентаций и т.п. Но если вдруг мне понадобится где-то читать такое же для другой аудитории - добавить туда другой специфики будет несложно 🙂
Презой делиться не буду - слишком много там внутренней кухни 🟥 про то, как выступать перед разными целевыми аудиториями и спикерам из разных подразделений и разного уровня иерархии, про то, как это все соотносится с проводимыми нами мероприятиями, с примерами удачных и неудачных выступлений и презентаций и т.п. Но если вдруг мне понадобится где-то читать такое же для другой аудитории - добавить туда другой специфики будет несложно 🙂
07.04.202504:40
Легонькая статья о том, как общаться с топ-менеджерами про кибербезопасность, в которой приводится магическое число советов, то есть семь, которым надо следовать, когда вы хотите купить новые решения по ИБ: 🧐
1️⃣ Говорите о ценности для бизнеса, а не фичах. Операционная эффективность, экономия, конкурентные преимущества, удовлетворенность клиентов... Но точно не про сертификаты ФСТЭК, пропускную способность и количество сигнатур.
2️⃣ Нарисуйте четкую картину того, что поставлено на карту 🎨
3️⃣ Превратите метрики в истории о том, что волнует топов. Не цифры убеждают, а истории, захватывающие внимание и основанные на цифрах.
4️⃣ Успех редко достигается в одиночку. Найдите тех, с кем создадите альянс, - финансы, риски, ИТ... Больше голосов - меньше шансов, что вас не заметят 🤝
5️⃣ Безопасность как катализатор инноваций.
6️⃣ Говорите о стоимости, но в контексте получаемой ценности. Просто цифры затрат не помогут решить вашу задачу ⚖️
7️⃣ Фокусируйтесь на легкости внедрения и уменьшении страха топ-менеджеров, что этот процесс может привести к простоям, трате лишних ресурсов и т.п.
#ciso #топменеджмент
1️⃣ Говорите о ценности для бизнеса, а не фичах. Операционная эффективность, экономия, конкурентные преимущества, удовлетворенность клиентов... Но точно не про сертификаты ФСТЭК, пропускную способность и количество сигнатур.
2️⃣ Нарисуйте четкую картину того, что поставлено на карту 🎨
3️⃣ Превратите метрики в истории о том, что волнует топов. Не цифры убеждают, а истории, захватывающие внимание и основанные на цифрах.
4️⃣ Успех редко достигается в одиночку. Найдите тех, с кем создадите альянс, - финансы, риски, ИТ... Больше голосов - меньше шансов, что вас не заметят 🤝
5️⃣ Безопасность как катализатор инноваций.
6️⃣ Говорите о стоимости, но в контексте получаемой ценности. Просто цифры затрат не помогут решить вашу задачу ⚖️
7️⃣ Фокусируйтесь на легкости внедрения и уменьшении страха топ-менеджеров, что этот процесс может привести к простоям, трате лишних ресурсов и т.п.
#ciso #топменеджмент
登录以解锁更多功能。
