Про сертифікати з кібербезпеки

В цьому дописі я ділюся висновками з власного досвіду застосування професійних сертифікатів з кібербезпеки в кар‘єрі та бізнесі.

Найчастіше від молодих колег я чую питання про те, чи варто готуватися, складати іспити та отримувати професійні сертифікати з кібербезпеки. Суперечки щодо якості та цінності програм сертифікації точаться в галузі кібербезпеки стільки, скільки існують професійні сертифікати. Тобто скільки існує галузь кібербезпеки.

Я не маю на меті поставити крапку в цих нескінченних дебатах. В цьому дописі я поділюся деякими неочікуваними та, сподіваюся, корисними висновками з власного досвіду. За останні 15 років я склав близько десяти сертифікаційних іспитів в галузі ІТ та кібербезпеки, пройшов близько 50 і провів близько 150 співбесід. Впевнений, мої думки будуть комусь корисні.

Продовжити читання “Про сертифікати з кібербезпеки”

Інтерв’ю каналу Perceptron. Частина I

Перша частина інтерв’ю YouTube-каналу Perceptron. Говоримо про персональну кібербезпеку, як не стати кібержертвою, які є безпечні месенджери та чому це не Телеграм.

Перша частина інтерв’ю YouTube-каналу Perceptron. Говоримо про персональну кібербезпеку, як не стати кібержертвою, які є безпечні месенджери та чому це не Телеграм.

Надзвичайно цікавий та приємний досвід з усіх боків: Максим Зосим чудовий інтерв’юер, команда Perceptron зробила класний контент навіть з “бе” та “ме” клінічного кустарного подкастера, і взагалі, на всіх етапах виробництва ці хлопці змушують вас відчувати себе справжньою зіркою.

В наступному випуску: корпоративна та національна кібербезпека. Не перемикайтесь.

США анонсують кібератаки проти Росії

США готуються відповісти на кібератаку росіян проти SolarWinds та інших компаній. Чи буде це кібератака? Навіщо анонсувати цей контрудар? Поміркуймо разом.

Джерела у Білому домі повідомляють, що протягом наступних трьох тижнів США здійснять низку прихованих дій у російських мережах, які будуть очевидні для військового та розвідувального керівництва РФ та особисто Володимира Путіна, але залишаться невидимими для зовнішнього світу. Ці дії буде поєднано із розширенням економічних санкцій, повідомляє New York Times.

Після виходу цього матеріалу 7 березня у кібербезпековій тусовці здійнялася не аби яка хвиля піднесення: ось, нарешті, Джо Байден покладе край бездіяльності Сполучених штатів щодо російського беспрєдєла в інтернеті. Усі, хто хоч трохи знається на кібербезпеці, діляться один з одним та з “простими смертними” своїми прогнозами щодо того, що ж насправді відбудеться, навіщо про це повідомляти заздалегідь, і взагалі – що за гру веде нова адміністрація Білого дому.

Продовжити читання “США анонсують кібератаки проти Росії”

Критичні вразливості в Microsoft Exchange

SolarWinds з його Supply Chain, про який всім вже мозок винесли сейли та маркетологи, це практично ніщо в порівнянні з десятками тисяч скомпрометованих цими днями серверів Microsoft Exchange.

Короткий переказ подій: якщо ваша корпоративна пошта на Microsoft Exchange і ви розміщуєте її у «наземному» датацентрі, – є високі шанси, що це вже не ваша корпоративна пошта. В продукті було знайдено низку критичних вразливостей безпеки, які активно використовуються кількома хакерськими групами. Одна з таких груп, що має назву HAFNIUM та напряму пов’язана з китайським урядом, ймовірно першою розробила багатоетапний експлойт та вже встигла скомпрометувати з його допомогою понад 30,000 поштових серверів, в тому числі в чисельних державних установах США. І не дивно, адже за спостереженнями компанії Volexity активна експлуатація цих вразливостей нульового дня розпочалася ще 6 січня цього року.

Продовжити читання “Критичні вразливості в Microsoft Exchange”

Threat Modeling Gamification @ OWASP Kyiv

В пентестах додатків є одна велика проблема: показати клієнту, що була зроблена вся можлива робота. Threat Modeling Gamification оптимально її розв’язує.

Викладаю відео та слайди мого виступу “Threat Modeling Gamification” (in English) на зустрічі OWASP Kyiv минулої суботи. У доповіді йдеться про те, як команда BSG здійснює моделювання загроз в проєктах з тестування безпеки програмного забезпечення. В пентестах програмних додатків є одна велика проблема: показати клієнту, що була зроблена вся можлива робота, а не лише те, про що OWASP не забув написати у відповідному стандарті. Наш підхід цю проблему розв’язує і досить оптимально.

Продовжити читання “Threat Modeling Gamification @ OWASP Kyiv”