Приятно видеть, что наш с Денисом вебинар не остался совсем не замеченным и на наиболее значимой конференции по ИБ его упоминают! Очень приятно.

Как узнаю, что появилась запись, обязательно поделюсь.
А если этот формат подкаста и наш состав собеседников (я и Денис) устраивает, то пишите в комментариях, что еще имеет смысл обсудить\прожарить\распаковать, смыть налет маркетинга и обсудить вещи как они есть.

#MDR #vCISO

Про пилоты и проекты

За счет того, что подключение в нашем случае выполняется очень просто, а текущий объем мониторинга такой, что несколько десятков тысяч эндпоинтов не создадут ощутимых ресурсных проблем, мы постоянно всем рекомендуем пилоты. Единственная проблема с новыми клиентами - профилирование, которое за время пилота в 30 дней может и не закончиться. Но конверсия с пилота в коммерческий проект - большая, поэтому сейловые подразделения активно предлагают пилоты.

Но я не работаю в Продажах, я отвечаю за delivery, однако, для меня пилот тоже очень значим и на всех мероприятиях я постоянно всех приглашаю к нам на пилоты. Основных причин - две.

Во-первых, аналитика по данным инцидентов всегда интересна, так как она в какой-то степени отражает ландшафт угроз, под который надо адаптировать и наши способности по управлению угрозами и наши ресурсные возможности. А чем больше разных клиентов мне удастся помониторить, пусть даже непродолжительное время, тем лучший TI я соберу, тем более объективны, лучше отражать действительность, будут мои прогнозы. Как раз при подготовке к Сеулу я готовил контент, где анализировал данные, представленные в наших аналитических отчетах за 2020-2024 годы, выделял тренды и проверял их на данных Q1 2025, спойлер: многие предсказания сбылись. Я не люблю повторять одни и те же слайды, но по части этого сеульского доклада я дал промах (все когда-то делается в первый раз) и эту презентацию уже успел рассказать и на русском языке. Английский вариант обязательно выложу, так как именно к нему есть скрипт, подстрочник к слайдам, его можно будет просто почитать.

Во-вторых, как delivery-команда, я максимально заинтересован своей работой попасть в ожидания заказчика. Да, заказчик на пилоте смотрит, насколько наше предложение ему подходит, однако, здесь же и мы сморим, насколько мы можем соответствовать требованиям заказчика. Несоответствие ожиданиям - нередкая причина непродления контракта. Очень часто из пилота, по результатам анализа работы с клиентом, тем более, если пилот не конвертировался в проект, мы пополняем свой бэклог на доработку.

В общем, подключайтесь на пилоты - обогатим друг друга знаниями и, таким образом, поднимем зрелость всей отечественной индустрии ИБ!

Ах вот еще что, друзья из Русского офиса шепнули, что сейчас есть еще и акция (детали по ссылке). Ну а то, что на странице акции можно посмотреть видео с вашим покорным слугой окончательно убедило меня необходимостью поделиться этой новостью.

#MDR #vCISO

Отличники

В кино, книгах и анекдотах отличник часто предстаёт либо занудным ботаном, либо хитрым карьеристом, который "протирает штаны" вместо "реальных дел". Этот стереотип возник не на пустом месте:
- Школьная среда поощряет конформизм, а тот, кто выделяется (в том числе успехами), часто становится предметом насмешек,
- Миф о "гениях-самоучках" (типа Билла Гейтса, Стива Джобса или Марка Цукерберга, бросивших учёбу) создаёт иллюзию, что образование - не нужно,
- Ошибка выжившего: истории двоечников-миллионеров запоминаются, а тысячи тех, кто не смог устроиться без диплома, - нет, так как это - подавляющее большинство, т.е. обычно.

Но реальность сложнее. Да, есть таланты, прорвавшиеся без формального образования, но для 99% людей учёба - это тренировка критически важных навыков: умения анализировать, работать в срок, преодолевать рутину, доводить начатое до конца, делать хорошо и с отдачей.

Об отличниках рассуждал в новом лонгриде.

#управление

Обсуждаем XDR и SIEM

Для тех, кто не смог подключиться вебинару, выкладываю запись нашего общения с Денисом.

Если формат понравился, пишите, что еще интересно обсудить.

Также, конечно же, пишите если где-то не согласны с нами, обязательно обсудим!

#MDR #vCISO

В статье про креативность я рассуждал, что наши новые идеи берут сове начало в прошлом опыте. Несложно догадаться, что наш прошлый опыт во многом определяется родом деятельности, и как бы я не старался отвлекаться, рассматривая картины, разучивая и пытаясь исполнить песни, я все равно остаюсь "пробитым ИТшником", так как провожу на работе 10-12 часов в день, а свободное время так или иначе все равно связано с ИТ и ИБ, в общем, с work-life balance у меня ровно наоборот, чем рекомендуется в модных книжках.

Как рыбак рыбака видит издалека, так и креативные идеи пробитых ИТшников удивительным образом совпадают! Ну какие же еще идеи можно предложить на тему оперативного мониторинга?! Ну конечно же мужик, стоящий на башне и смотрящий вдаль. А что же еще?!

Но ситуация, видимо, еще хуже! Когда затык с креативностью, можно спросить у LLM, да и сами картинки уже едва ли рисуются художниками - их также генерит какой-нибудь MidJourney или Kandinsky. Поэтому, что люди, прокаченные на одной предметной области, и GPT, обученные на одних и тех же данных, не удивительно, что создают одинаковые шедевры: если SOC, то человекообразный, стоящий на башне, смотрящий вдаль.

Это - первые побеги неспособности предложить что-то оригинальное, мы обложили себя таким количеством помощников, что теряем способность к самостоятельности, а любая зависимость - это и есть несвобода, свобода Человечества под угрозой!

Отчеты с картинок:
Kaspersky
Positive Technologies

#пятница #MDR

Red Canary -> Zscaler

В новой статье рассуждал о сервисах в продуктовых компаниях.

Вопрос многогранный, писать много, но, как будто, все понятно и очевидно. Поэтому, статью не дописал. Если поднятые вопросы находят отражение в сознании, вы согласны\не согласны или какие-то моменты следует более предметно раскрыть, пишите в комментариях, напишу продолжение.

#управление #vCISO

Google ADK и MCP - ближе к автономному SOC

Ну действительно, если современные LLM умеют играть в CTF почему они не могут заменить SOC?! И все идет к тому, что могут!

Например, Google предлагает свой Agent Development Kit (ADK) для разработки автономных агентов, не зависимых ни от используемой LLM, ни от инфраструктуры развертывания. Агенты могут быть разными, как работающими по алгоритму, так и c ML/AI внутри, т.е. способными принимать решения на основе анализа входных данных и выполнять действия. Для того, чтобы LLM, выдающая, например, текст, смогла выполнять действия, служит Model Context Protocol (MCP) (вот видео "на пальцах" , вот чуть подлиннее, но еще проще).

Отвечающими за действия компонентами являются MCP-клиент и -сервер. Google предоставляет набор готовых MCP-серверов, позволяющих агентам удобно работать с Google SecOps и TI сервисами. Фактически MCP-сервер - де-факто стандартный интерфейс для использования инструментов AI-агентами (я люблю аналогии и упрощения, поэтому MCP-сервер функционально напоминает REST API). Видео о том, как сделать подходящего агента можно посмотреть здесь.

Но ни что не мешает пойти дальше, и решения о том, какие SecOps-сервисы дергать через MCP, отдать на решение LLM-агенту, который, фактически будет реализовывать некий playbook. Поскольку сам по себе LLM-агент - автоматизация, то подходит и термин runbook. Демо таких ранбуков доступно здесь - AI Runbooks for Google Cloud Security MCP Servers, а сами ранбуки можно почитать здесь.

С помощью Google ADK можно создать агентов, выполняющих функции различных ролей в SOC, которые буду работать по описанным выше ранбуам, на это тоже есть демо - Agentic Incident Response.

Если спуститься ближе к земеле, то вот Игорь на PHD2025 рассказывал практический пример, все наработки выложил в Git. По-моему отличный PoC для движения в сторону автоматизации на базе LLM.

#MDR #ml

Эффектное тестирование

В прошлый раз мы обсуждали гибкую разработку и наметили узкое место - тестирование и дефекты. Решение этой проблемы предлагает сам процесс промышленной разработки - рассмотрим его в паре предложений. Заказчик готовит бизнес-требование, где с возможной для себя детализацией описывает, что он хочет. Далее, требование попадает к системному аналитику, который это требование анализирует - декомпозирует на понятные короткие требования, детально прописывает весь функционал, все пользовательские сценарии, согласует все с заказчиком - получается документация. Фактически "документация" - это отражение бизнес-требования заказчика, согласованное с ним. Вся дальнейшая работа ведется с этой документацией.

Документация идет в разработку, разработчик реализует то, что написано в документации. Тестировщик пишет сценарии тестирования, опираясь на пользовательские сценарии, изложенные также в документации. Тестовый сценарий выглядит так: описание действий, ожидаемый результат, а дефект (баг) - это когда выполняются описанные в тестовом сценарии действия, но полученный результат не совпадает с ожидаемым. По-моему все просто замечательно! Описание тестирования гарантирует повторяемость (а это уже зрелость не ниже второго уровня!), что такое баг - четко определено. Если находится проблема в пользовательском сценарии, не указанном в документации, - это не баг, а фича (действительно, пользовательский сценарий не описан в документации, согласованной с заказчиком, а значит его не должно быть). Там, где нет тестового сценария, проблема не ищется, а, следовательно, не находятся. Меньше дефектов - результативнее разработка.

#пятница #dev

Все гениальное не укладывается в стандартные рамки, на него не навесить лейблы, сложно дать характеристики. Неверно, если почитать энциклопедию (не читал), то про Beatles будет написано "поп-рок", однако, большинство рокеров и металлистов, призерающих популярную музыку, крайне уважительно относятся к тврочеству битлов. Битлз писали разную музыку, да и в одной композиции (которая, в среднем, едва ли превышает 3 минутки) можно уловить оттенки абсолютно разных стилей.

Нам нравится эта музыкальная эклектика, так как задача искусства - вызывать эмоцию, а эмоцию мы чувствуем именно в момент перемены, поэтому композиции, которые на своем протяжении мигрируют из стиля в стиль, нам нравятся. ABBA - нами считается поп-группой, пишущей поп-музыку, но я не преувеличу, сказав, что музыка Ульвеуса и Андерссона - волшебная, и она волшебна как раз за счет своей эклектичности! Шахматы - считается мюзиклом, но мы не ошибемся, назвав его рок-оперой, наряду с "Иисус Христос - суперзвезда" (там и автор текста - Тим Райс). Но что-то я все ухожу в сторону.

Сегодня поговорим о, на мой взгляд, самой извстной (ну, наверно, за вычетом "Waterloo", принесшей группе победу на Евровидение 1974 (ах, было время!) и мировую известность) композиции ABBA - "SOS". Песня вошла в третий студийный альбом группы, выпущенном в 1975, т.е. уже 50 лет назад. Если верить Интернету, то в Швеции песня вышла как раз в июне, в какой-то степени, у песни - юбилей. Текст песни написал менеджер группы Стиг Андерсон и доработал Ульвеус.

Если подходить к вопросу формально, то по жанру SOS - это мощная поп-баллада с элементами диско, но в ней можно найти и ярко выраженные рок-элементы, о них и поговорим, так как красота получается именно при смешивание несмешиваемого, ввиду единства и борьбы противоположностей. Во-первых, это конечно же электрогитара - в аранжировке присутствует четкий рифф на электрогитаре (особенно заметный во вступлении и между куплетами), который добавляет песне рок-окраску, и, несмотря на то, что типичного для рока гитарного соло нет, гитара играет жёсткие аккорды с небольшим овердрайвом, что характерно для поп-рока 70-х и более поздних. Послушайте окончание припева - жесткая перегруженная овердрайвная гитара, подобную можно услышать в "Let it be" у Beatles, "Don’t Bring Me Down" у ELO. Во-вторых, клавиши и орган - в бридже перед припевом звучат резкие акцентированные аккоры, а в фоновой аранжировке и перед последним припевом используется электроорган, который был популярен в прогрессивном и симфо-роке того времени, например, у Deep Purple, Uriah Heep или The Doors.

В куплетах и припевах мы наблюдаем контраст минора с мажором, вокала, тихого, почти плачущего, с мощной роковой подачей, но очень эмоционального на протяжении всей песни. Подобные контрасты куплетов и припевов также характерны для рок-музыки: "Stairway to Heaven" Led Zeppilin, "Bohemian Rhapsody" Queen и "July morning" уже упомянутого мной ранее Uriah Heep.

Гитара для меня - хобби, я играю и пою все поряд, все, что мне нравится. Мне мало просто слушать, исполняя я получаю еще больше удовольствия от любимых композиций. Вещь "SOS" я тоже играю, опять же за вычетом всех проблем моих и вокальных и технических. Играя SOS я тоже пытаюсь передать и контраст, и почти роковую подачу, да и сама акустическая гитара не предоставляет мне изобилие возможностей, поэтому видны параллели и с Кино и Арией.

#музыка

Ну как объяснить заказчику почему отчеты MDR и DFIR слабо пересекаются?!


Своим нежеланием попасть в нашу статистику MDR, вы рискуете попасть в нашу статистику DFIR. Каждый сам хозяин своего выбора!

#MDR #пятница

Павел Дуров уже 8 месяцев, сидит в свободной демократической Франции с ограничениями на передвижения, без возможности вернуться к семье в Дубай. Обвинение, если кратко выглядит так: Telegram - платформа, которой пользуются криминальные элементы => автор Telegram - пособник этих элементов. По мнению Павла обвинение незаконно, и он до сих пор "пытается понять как же так получилось"... - такого рода рассуждения занимают немалую часть его интервью Такеру Карлсону. Также немалую часть занимают пафосные речи о свободе и приватности, и о том как Telegram привержен этим ценностям, вскользь упоминается, что "отдать ключи", чтобы кто-то читал пользовательские сообщения нет технической возможности. МЫ уже рассуждали о том, как Telegram трепетно относится к свободе и защите своих пользователей, но, видимо, после событий во Франции, поползли ненужные неправильные слухи и Павлу Валерьевичу надо исправлять ситуацию.... - видимо, так и появилось это очередное интервью Такеру.

Раз я уж выделил час+ своего времени на просмотр, то не обошлось без пометок. Делюсь ими в этой заметке. Пытался найти транскрипт, но на сайте TCN за это с меня запросили $6, поэтому позволю себе вольный перевод, но дам ссылки на конкретное место в интервью.


Патриотические бэкдоры. В США есть процесс, позволяющий заставить любого инженера любой технологической компании, реализовать закладку и никому не сказать об этом (Gag order)... если он расскажет об этом своему боссу, то окажется в тюрьме.

Запрет криптографии. В прошлом месяце сенат Франции решил, фактически, запретить криптографию и потребовать от всех провайдеров сервисов мгновенных сообщений бэкдорить свои приложения в интересах французских властей.... к счастью этот проект закона так и не был принят. Но если посмотреть на новый проект от Евросоюза, они предлагают ровно то же - бэкдорить криптографию, но уже на уровне EU.

Правильная свобода. "Почти для всех, кто родился в СССР, как и я, Западная Европа ассоциировалась с местом, где свобода и права человека уважаются, и поэтому эта ситуация была для меня таким шоком...."

Политическая дедовщина. Диалог Павла с лативийским пограничником, который сказал что-то типа: "Когда мы были в составе СССР, нам это не нравилось, но сейчас, будучи частью Евросоюза, мы ощутили себя в аналогичной ситуации".

#мир

Готовить презентации и рассказывать их на конференциях - далеко не основная моя работа, хотя рассказать, конечно же есть о чем, отчасти поэтому я веду этот блог. Но ситуация еще хуже: я не люблю один и тот же контент рассказывать несколько раз - последующие разы уже что-то не то, не позволяет совесть акцентировать претензию на новизну, и как-то немного не удобно перед слушателями, так как они не первые (хотя, вполне возможно, это какие-то мои личные заморочки)

Но всегда есть исключения и всегда что-то делается впервые, - так получилось и с контентом, что я подготовил на конфренцию в Сеуле, который я уже успел рассказать несколько раз и по-английски, и по-русски, только, вот, на испанском, не было возможности 😁, причем, во всех случаях будет запись, обязательно поделюсь.

В презентации я посмотрел на статистику инцидентов MDR с 2020 года (самих данных уже нет, но есть статистики, используемые для аналитических отчетов), заметил какие-то закономерности и попытался их проверить на первом квартале 2025. Вообще, если считать будущее следствием настоящего, то подобные упражнения по анализу трендов очень полезны. Даже то, насколько наши оценки ошибочны, дает косвенное понимание насколько искажены или не полны наши данные, на которых мы строим прогноз. Ну, а если прогнозы сбываются, то, мы на правильном пути и профессиональны.

У меня синдром отличника, имея достаточный опыт публичных выступлений, я все равно готовлю себе речь, независимо от того будет ли возможность ее прочесть (даже если она есть, я крайне редко читаю, так как не умею это делать и считаю это неуважением к аудитории). Однако, эта речь всегда очень полезна последователям, кто желает мои слайды вставить в какие-то свои материалы, ибо есть текст, способный справиться даже с полным отсутствием понимания.

Во вложении я делюсь и слайдами и текстом. Текст писался для себя, там куча ошибок и ввиду того, что английский - не мой родной, и ввиду того, что исправлять их сейчас лень, да и их наличие не влияет на смысл.

Вообще, статистик и аналитики можно построить множество, это, так сказать, первый блин комом, поэтому продолжу искать тенденции и делиться ими. Да и к этим слайдам, думаю, буду еще не раз возвращаться.

#MDR #мир #vCISO