В статье про креативность я рассуждал, что наши новые идеи берут сове начало в прошлом опыте. Несложно догадаться, что наш прошлый опыт во многом определяется родом деятельности, и как бы я не старался отвлекаться, рассматривая картины, разучивая и пытаясь исполнить песни, я все равно остаюсь "пробитым ИТшником", так как провожу на работе 10-12 часов в день, а свободное время так или иначе все равно связано с ИТ и ИБ, в общем, с work-life balance у меня ровно наоборот, чем рекомендуется в модных книжках.

Как рыбак рыбака видит издалека, так и креативные идеи пробитых ИТшников удивительным образом совпадают! Ну какие же еще идеи можно предложить на тему оперативного мониторинга?! Ну конечно же мужик, стоящий на башне и смотрящий вдаль. А что же еще?!

Но ситуация, видимо, еще хуже! Когда затык с креативностью, можно спросить у LLM, да и сами картинки уже едва ли рисуются художниками - их также генерит какой-нибудь MidJourney или Kandinsky. Поэтому, что люди, прокаченные на одной предметной области, и GPT, обученные на одних и тех же данных, не удивительно, что создают одинаковые шедевры: если SOC, то человекообразный, стоящий на башне, смотрящий вдаль.

Это - первые побеги неспособности предложить что-то оригинальное, мы обложили себя таким количеством помощников, что теряем способность к самостоятельности, а любая зависимость - это и есть несвобода, свобода Человечества под угрозой!

Отчеты с картинок:
Kaspersky
Positive Technologies

#пятница #MDR

Red Canary -> Zscaler

В новой статье рассуждал о сервисах в продуктовых компаниях.

Вопрос многогранный, писать много, но, как будто, все понятно и очевидно. Поэтому, статью не дописал. Если поднятые вопросы находят отражение в сознании, вы согласны\не согласны или какие-то моменты следует более предметно раскрыть, пишите в комментариях, напишу продолжение.

#управление #vCISO

Google ADK и MCP - ближе к автономному SOC

Ну действительно, если современные LLM умеют играть в CTF почему они не могут заменить SOC?! И все идет к тому, что могут!

Например, Google предлагает свой Agent Development Kit (ADK) для разработки автономных агентов, не зависимых ни от используемой LLM, ни от инфраструктуры развертывания. Агенты могут быть разными, как работающими по алгоритму, так и c ML/AI внутри, т.е. способными принимать решения на основе анализа входных данных и выполнять действия. Для того, чтобы LLM, выдающая, например, текст, смогла выполнять действия, служит Model Context Protocol (MCP) (вот видео "на пальцах" , вот чуть подлиннее, но еще проще).

Отвечающими за действия компонентами являются MCP-клиент и -сервер. Google предоставляет набор готовых MCP-серверов, позволяющих агентам удобно работать с Google SecOps и TI сервисами. Фактически MCP-сервер - де-факто стандартный интерфейс для использования инструментов AI-агентами (я люблю аналогии и упрощения, поэтому MCP-сервер функционально напоминает REST API). Видео о том, как сделать подходящего агента можно посмотреть здесь.

Но ни что не мешает пойти дальше, и решения о том, какие SecOps-сервисы дергать через MCP, отдать на решение LLM-агенту, который, фактически будет реализовывать некий playbook. Поскольку сам по себе LLM-агент - автоматизация, то подходит и термин runbook. Демо таких ранбуков доступно здесь - AI Runbooks for Google Cloud Security MCP Servers, а сами ранбуки можно почитать здесь.

С помощью Google ADK можно создать агентов, выполняющих функции различных ролей в SOC, которые буду работать по описанным выше ранбуам, на это тоже есть демо - Agentic Incident Response.

Если спуститься ближе к земеле, то вот Игорь на PHD2025 рассказывал практический пример, все наработки выложил в Git. По-моему отличный PoC для движения в сторону автоматизации на базе LLM.

#MDR #ml

Эффектное тестирование

В прошлый раз мы обсуждали гибкую разработку и наметили узкое место - тестирование и дефекты. Решение этой проблемы предлагает сам процесс промышленной разработки - рассмотрим его в паре предложений. Заказчик готовит бизнес-требование, где с возможной для себя детализацией описывает, что он хочет. Далее, требование попадает к системному аналитику, который это требование анализирует - декомпозирует на понятные короткие требования, детально прописывает весь функционал, все пользовательские сценарии, согласует все с заказчиком - получается документация. Фактически "документация" - это отражение бизнес-требования заказчика, согласованное с ним. Вся дальнейшая работа ведется с этой документацией.

Документация идет в разработку, разработчик реализует то, что написано в документации. Тестировщик пишет сценарии тестирования, опираясь на пользовательские сценарии, изложенные также в документации. Тестовый сценарий выглядит так: описание действий, ожидаемый результат, а дефект (баг) - это когда выполняются описанные в тестовом сценарии действия, но полученный результат не совпадает с ожидаемым. По-моему все просто замечательно! Описание тестирования гарантирует повторяемость (а это уже зрелость не ниже второго уровня!), что такое баг - четко определено. Если находится проблема в пользовательском сценарии, не указанном в документации, - это не баг, а фича (действительно, пользовательский сценарий не описан в документации, согласованной с заказчиком, а значит его не должно быть). Там, где нет тестового сценария, проблема не ищется, а, следовательно, не находятся. Меньше дефектов - результативнее разработка.

#пятница #dev

Все гениальное не укладывается в стандартные рамки, на него не навесить лейблы, сложно дать характеристики. Неверно, если почитать энциклопедию (не читал), то про Beatles будет написано "поп-рок", однако, большинство рокеров и металлистов, призерающих популярную музыку, крайне уважительно относятся к тврочеству битлов. Битлз писали разную музыку, да и в одной композиции (которая, в среднем, едва ли превышает 3 минутки) можно уловить оттенки абсолютно разных стилей.

Нам нравится эта музыкальная эклектика, так как задача искусства - вызывать эмоцию, а эмоцию мы чувствуем именно в момент перемены, поэтому композиции, которые на своем протяжении мигрируют из стиля в стиль, нам нравятся. ABBA - нами считается поп-группой, пишущей поп-музыку, но я не преувеличу, сказав, что музыка Ульвеуса и Андерссона - волшебная, и она волшебна как раз за счет своей эклектичности! Шахматы - считается мюзиклом, но мы не ошибемся, назвав его рок-оперой, наряду с "Иисус Христос - суперзвезда" (там и автор текста - Тим Райс). Но что-то я все ухожу в сторону.

Сегодня поговорим о, на мой взгляд, самой извстной (ну, наверно, за вычетом "Waterloo", принесшей группе победу на Евровидение 1974 (ах, было время!) и мировую известность) композиции ABBA - "SOS". Песня вошла в третий студийный альбом группы, выпущенном в 1975, т.е. уже 50 лет назад. Если верить Интернету, то в Швеции песня вышла как раз в июне, в какой-то степени, у песни - юбилей. Текст песни написал менеджер группы Стиг Андерсон и доработал Ульвеус.

Если подходить к вопросу формально, то по жанру SOS - это мощная поп-баллада с элементами диско, но в ней можно найти и ярко выраженные рок-элементы, о них и поговорим, так как красота получается именно при смешивание несмешиваемого, ввиду единства и борьбы противоположностей. Во-первых, это конечно же электрогитара - в аранжировке присутствует четкий рифф на электрогитаре (особенно заметный во вступлении и между куплетами), который добавляет песне рок-окраску, и, несмотря на то, что типичного для рока гитарного соло нет, гитара играет жёсткие аккорды с небольшим овердрайвом, что характерно для поп-рока 70-х и более поздних. Послушайте окончание припева - жесткая перегруженная овердрайвная гитара, подобную можно услышать в "Let it be" у Beatles, "Don’t Bring Me Down" у ELO. Во-вторых, клавиши и орган - в бридже перед припевом звучат резкие акцентированные аккоры, а в фоновой аранжировке и перед последним припевом используется электроорган, который был популярен в прогрессивном и симфо-роке того времени, например, у Deep Purple, Uriah Heep или The Doors.

В куплетах и припевах мы наблюдаем контраст минора с мажором, вокала, тихого, почти плачущего, с мощной роковой подачей, но очень эмоционального на протяжении всей песни. Подобные контрасты куплетов и припевов также характерны для рок-музыки: "Stairway to Heaven" Led Zeppilin, "Bohemian Rhapsody" Queen и "July morning" уже упомянутого мной ранее Uriah Heep.

Гитара для меня - хобби, я играю и пою все поряд, все, что мне нравится. Мне мало просто слушать, исполняя я получаю еще больше удовольствия от любимых композиций. Вещь "SOS" я тоже играю, опять же за вычетом всех проблем моих и вокальных и технических. Играя SOS я тоже пытаюсь передать и контраст, и почти роковую подачу, да и сама акустическая гитара не предоставляет мне изобилие возможностей, поэтому видны параллели и с Кино и Арией.

#музыка

Ну как объяснить заказчику почему отчеты MDR и DFIR слабо пересекаются?!


Своим нежеланием попасть в нашу статистику MDR, вы рискуете попасть в нашу статистику DFIR. Каждый сам хозяин своего выбора!

#MDR #пятница

Павел Дуров уже 8 месяцев, сидит в свободной демократической Франции с ограничениями на передвижения, без возможности вернуться к семье в Дубай. Обвинение, если кратко выглядит так: Telegram - платформа, которой пользуются криминальные элементы => автор Telegram - пособник этих элементов. По мнению Павла обвинение незаконно, и он до сих пор "пытается понять как же так получилось"... - такого рода рассуждения занимают немалую часть его интервью Такеру Карлсону. Также немалую часть занимают пафосные речи о свободе и приватности, и о том как Telegram привержен этим ценностям, вскользь упоминается, что "отдать ключи", чтобы кто-то читал пользовательские сообщения нет технической возможности. МЫ уже рассуждали о том, как Telegram трепетно относится к свободе и защите своих пользователей, но, видимо, после событий во Франции, поползли ненужные неправильные слухи и Павлу Валерьевичу надо исправлять ситуацию.... - видимо, так и появилось это очередное интервью Такеру.

Раз я уж выделил час+ своего времени на просмотр, то не обошлось без пометок. Делюсь ими в этой заметке. Пытался найти транскрипт, но на сайте TCN за это с меня запросили $6, поэтому позволю себе вольный перевод, но дам ссылки на конкретное место в интервью.


Патриотические бэкдоры. В США есть процесс, позволяющий заставить любого инженера любой технологической компании, реализовать закладку и никому не сказать об этом (Gag order)... если он расскажет об этом своему боссу, то окажется в тюрьме.

Запрет криптографии. В прошлом месяце сенат Франции решил, фактически, запретить криптографию и потребовать от всех провайдеров сервисов мгновенных сообщений бэкдорить свои приложения в интересах французских властей.... к счастью этот проект закона так и не был принят. Но если посмотреть на новый проект от Евросоюза, они предлагают ровно то же - бэкдорить криптографию, но уже на уровне EU.

Правильная свобода. "Почти для всех, кто родился в СССР, как и я, Западная Европа ассоциировалась с местом, где свобода и права человека уважаются, и поэтому эта ситуация была для меня таким шоком...."

Политическая дедовщина. Диалог Павла с лативийским пограничником, который сказал что-то типа: "Когда мы были в составе СССР, нам это не нравилось, но сейчас, будучи частью Евросоюза, мы ощутили себя в аналогичной ситуации".

#мир

Готовить презентации и рассказывать их на конференциях - далеко не основная моя работа, хотя рассказать, конечно же есть о чем, отчасти поэтому я веду этот блог. Но ситуация еще хуже: я не люблю один и тот же контент рассказывать несколько раз - последующие разы уже что-то не то, не позволяет совесть акцентировать претензию на новизну, и как-то немного не удобно перед слушателями, так как они не первые (хотя, вполне возможно, это какие-то мои личные заморочки)

Но всегда есть исключения и всегда что-то делается впервые, - так получилось и с контентом, что я подготовил на конфренцию в Сеуле, который я уже успел рассказать несколько раз и по-английски, и по-русски, только, вот, на испанском, не было возможности 😁, причем, во всех случаях будет запись, обязательно поделюсь.

В презентации я посмотрел на статистику инцидентов MDR с 2020 года (самих данных уже нет, но есть статистики, используемые для аналитических отчетов), заметил какие-то закономерности и попытался их проверить на первом квартале 2025. Вообще, если считать будущее следствием настоящего, то подобные упражнения по анализу трендов очень полезны. Даже то, насколько наши оценки ошибочны, дает косвенное понимание насколько искажены или не полны наши данные, на которых мы строим прогноз. Ну, а если прогнозы сбываются, то, мы на правильном пути и профессиональны.

У меня синдром отличника, имея достаточный опыт публичных выступлений, я все равно готовлю себе речь, независимо от того будет ли возможность ее прочесть (даже если она есть, я крайне редко читаю, так как не умею это делать и считаю это неуважением к аудитории). Однако, эта речь всегда очень полезна последователям, кто желает мои слайды вставить в какие-то свои материалы, ибо есть текст, способный справиться даже с полным отсутствием понимания.

Во вложении я делюсь и слайдами и текстом. Текст писался для себя, там куча ошибок и ввиду того, что английский - не мой родной, и ввиду того, что исправлять их сейчас лень, да и их наличие не влияет на смысл.

Вообще, статистик и аналитики можно построить множество, это, так сказать, первый блин комом, поэтому продолжу искать тенденции и делиться ими. Да и к этим слайдам, думаю, буду еще не раз возвращаться.

#MDR #мир #vCISO

Когда выйдет эта заметка Нежелезный человек уже начнется, но проверка старых стратегий участия в нем происходила как раз на длинных выходных, а наличие времени позволило даже поделиться мыслями на этот счет.

В новом лонгриде рассказываю как по моему мнению можно спланировать заплыв на длинную дистанцию в бассейне.

Я знаю, что среди моих подписчиков есть несравненно более профессиональные ребята, поэтому надеюсь также и на советы из их опыта.

#здоровье

АНБ: 50 лет математического криптоанализа (1937 - 1987)

Небезинтересно поковыряться в деклассифицированных документах. Кроме того, есть еще и версия 2019 года, отличающаяся степенью редактирования от текущей.
Как уже отмечал Алексей Викторович: "...документ представляет немалый интерес для историков криптографии", но у меня при быстром просмотре обоих документов (приложу во вложении) возник еще ряд мыслей, которым решил поделиться:

1. Версии 2019 и 2025 года немного по-разному обфусцированы. Во-первых это может дать возможность проследить какую-то динамику секретности: что вымарывали в 19-м и что вымарывают в 25-м, а, во-вторых, имея два документа, обфусцированных немного по-разному, можно попробовать восстановить скрытые фрагменты, может ИИ нам в этом поможет?

2. Возможность извлечения дополнительной информации из индекса подтверждает старую идею о невозможности надежной обфускации документа, поэтому всегда сохраняется риск восстановления скрытых фрагментов за счет перекрестных ссылок с открытых. В частности, вот дяденька постарался и погруппировал слова из индекса по страницам (тоже приложу документик (txt), не должна пропасть такая работа), в итоге, о полностью скрытых страницах, как, например, 9-11, 13, 15-17, создается некоторое представление, и можно развивать догадки.

3. Криптономикон - замечательная книжка Нила Стивенсона. В ней в художественной форме вскользь проходит тема Энигмы, но не упоминается более продвинутая Машина Лоренца, тоже криптоанализированная в Блетчли-Парк . А вот в этих документах можно встретить упоминание обеих, причем, похоже, машину Лоренца хотели выморать, однако в указателе можно найти ссылки на колесо Кай (Chi wheel), колесо Сай (Psi wheel), а еще - TUNNY, Turing, Alan и Tutte, W. T. - все это на странице 13, полностью скрытой 😁.

Кто увидит что интересное, пишите в комментариях. Я поставил в бэклог более внимательное на изучение.

#crypto

Гибридный SOC 2025

В прошлом году мы много говорили о том, что все SOC - гибридные (видео , статья , Gartner в тему ) и, видимо, наши аргументы показались Сообществу убедительными, так что уже в этом году гибридные SOC обсуждали на ежегодных посиделках Anti-Malware.

А 26.06 в 11.00 МСК на CISO Club будет вебинар - Гибридный SOC 2025: как AI, автоматизация и люди вместе побеждают киберугрозы , где будет принимать участие мой друг и коллега - Алексей Пешик.

Темы заявлены мне небезразличные, и мы их касались, поэтому интересно послушать мнения уважаемых коллег.

Я зарегистрировался...

#MDR #ml #vCISO