Взломали соседа — скоро придут к вам: приметы кибербеза

Георгий Марков, 
архитектор информационной безопасности в компании «Инфосистемы Джет»: 

• «В „чёрную пятницу“ риск поломки и неудачных работ увеличивается.
• Когда коллега уходит в отпуск и передаёт систему которая„никогда не ломается“, сбой произойдёт именно во время его отдыха.
• Если заказчик говорит, что проблем с новой системой не будет, риск их появления увеличивается.
• Если за полчаса до рабочего дня приходит сообщение от руководителя „Привет“, значит до конца рабочего дня не 30 минут, а больше.
• Скажи менеджеру срок, за который ты хочешь сделать работу, и он уменьшится в 3-4 раза.
• Фраза после поломки „мы ничего не делали“ в 99% случаев будет неверна.

У меня был знакомый, который отказывался согласовывать критичные работы на системах безопасности накануне важных церковных праздников».

Максим Захаренко, 
СЕО «Облакотека», эксперт по облачным технологиям, кибербезопасности и импортозамещению в ИТ:

«Да, профессиональные приметы есть. Например, если в пятницу вечером кто-то говорит: „Нужно внести совсем небольшое изменение, это на пять минут”, — стоит заранее подготовиться к долгой ночи. 

Если системы мониторинга подозрительно долго не присылают уведомлений, это не всегда означает, что всё работает идеально. Иногда такая ситуация говорит о том, что перестал работать сам мониторинг.

Если откладывать обновления, резервное копирование или настройку многофакторной аутентификации до «более удобного момента», в информационной безопасности он часто наступает уже после инцидента. 

Самая странная киберпримета — нельзя вслух говорить: „У нас давно не было инцидентов“. После такой фразы специалисты обычно начинают внимательнее смотреть на панели наблюдения и журналы событий». 

Алексей Дрозд, 
начальник отдела безопасности «СёрчИнформ»:

«Есть чёткое наблюдение — суета порождает огрехи. Как только начинаете дёргаться, хвататься за сто дел одновременно, заметно снижается концентрация. И вы просто начинаете выполнять задачи на автомате. Всегда работает примета: если всё идёт слишком гладко — скоро обязательно случится форс-мажор. Это классика. 

А ещё говорят, что «документу надо отлежаться». То есть, если прилетает непонятная задача, не всегда нужно её сразу выполнять. Очень часто она «отваливается» сама собой. Я видел разные подходы к этому: кто-то ждёт сутки-двое, а потом интересуется, актуален ли ещё запрос.

Если не поздравить сисадминов с их профессиональным праздником — жди беды. Работа инфраструктуры начинает сыпаться у тех, кто забыл (шутка). Но есть примета, которая срабатывает почти всегда! И звучит она так: „Там дел на 15 минут“. Услышав эту фразу от руководства, можно с уверенностью полагать, что задача затянется на часы, а то и дни (не шутка)». 

Василий Сеничев, 
основатель «Кибероснова» и управляющий партнёр «КРЕДО-С»:

«В „КРЕДО-С“ есть свой корпоративный календарь ИБ-примет — авторский, собирали годами. Наши любимые:

• Менеджер паролей — всему голова.
• Пароль — как зубная щётка: не давай другим и меняй вовремя.
• В чужой Wi-Fi со своим банкингом не ходят.
• На антивирус надейся, а сам не плошай.
• Пока шифровальщик не грянет — админ бэкап не достанет. 
• Не так страшен хакер, как инициативный пользователь с правами админа. 

Самая странная, почти философская: „Слово — не воробей, в логах останется“». 

Дмитрий Лившин, 
генеральный директор «Сайбер Бизнес Консалтинг»:

«Есть одна примета, проверенная годами: «скупой заказчик платит дважды». Сильно сэкономили — это к скорому взлому. Если человек не понимает рисков, экономит на защите, отказывается от того, что мы советуем, то через несколько месяцев он возвращается — уже с инцидентом, с запросом на расследование и с готовностью внедрять вообще всё: и то, что мы советовали, и то, что не советовали, тоже. Примета народная, а статистика — железная. 

В смену нельзя вслух радоваться тишине. Стоит во время ночного дежурства обронить «какая спокойная ночь», как через пять минут начинают сыпаться алерты. Слово «тихо» у дежурных под тем же запретом, что «Макбет» у актёров: скажешь вслух в смене SOC — и на тебя станут укоризненно смотреть серьёзные бородатые инженеры.

Некоторые личный ноутбук с наклейками с хакерских конференций всерьёз считают приманкой для неприятностей и на важные встречи берут «чистый».

А ещё некоторые коллеги по цеху держат про запас особую кружку или, например, футболку, в которой „удачно закрывали инциденты“, надевают её перед крупными расследованиями. Работает примерно как бубен у системных администраторов. 

Это уже даже и не примета, а закон природы. Замалчивать подозрительную активность и копить техдолг по инфраструктуре — всегда к взлому. Не документировать состояние инфраструктуры — туда же. Работает всегда, безотказно, и никакой мистики: система, которую никто не описал и до конца не понимает, рано или поздно ломается именно там, куда давно не заглядывали».  

Дмитрий Петухов, 
руководитель по информационной безопасности системного интегратора «ИМБА ИТ»:

«Есть правило — „не трогай в пятницу“. После обеда в пятницу любые изменения в промышленной среде находятся под негласным, но очень жёстким запретом. Даже если „очень срочно“ и „мы уже делали так не раз“. Опыт показал: пятница после обеда — самое неудачное время для любых „небольших правок“».

Виктор Чащин, 
директор по стратегическому развитию компании «МУЛЬТИФАКТОР»:

«Когда ты тру-хакер, то у тебя нет имени, у тебя есть только мегабрутальный ник из серии M1cЯ0t1c D3$atЯ0YeЯ. Если тебя случайно назвали по имени, пусть это даже мама, которая зовёт ужинать, то плохо-плохо-плохо. Ты должен быть максимально анонимен, скрытен и загадочен.

Последние три пельменя в морозилке. Сейчас уже не столь актуальная примета в связи с развитием доставок, но раньше она очень чётко прогнозировала, что тебе всё-таки придётся выйти из своего логова и с вероятностью, близкой к единице, получить очередной опыт общения с асоциальными элементами городского дна, промышляющими вымогательством и грабежом. В результате этого особо неудачливый хакер мог лишиться не только целостности физической оболочки, но и расстаться с одним из своих ценнейших гаджетов».    

Нарциссо Юрьевич, 
автор блога «Спасите Нарциссо»:

«Вот три любимых приметы: 

• Если генеральному директору коуч или форумчанин напел про новые технологии — жди беды и новых проектов по внедрению инноваций.
• Если народу в курилке больше, чем в залах с докладами — значит, можно смело идти на фуршет или ехать домой, интересно уже не будет.
• Если вендор анонсировал nextgen-решение — прячь кошелёк, готовься скрываться от маркетологов.

Пятничный деплой — это всегда гарантированная работа на все выходные. И самая важная в наше время примета: если кто-то сказал, что что-то ТОЧНО не запретят и не ограничат, самое время прорабатывать сценарий, что это ограничат и отключат».

Александр Веселов,
автор канала ГОСТ VPN:

«Если взломали «соседа» по отрасли, то скоро придут и к вам. Это не мистика, атакующие почти всегда бьют по целому сектору. 

Инженер по криптошлюзам всегда должен иметь наготове лыжи. Для контекста: многие проблемы с криптошлюзами решаются только локально, удалённый доступ не поможет. 

Была бы система, а уязвимость найдётся. Чем дольше система работает без происшествий, тем ближе день, когда она упадёт».    

Олег Лабынцев, 
соавтор канала GigaHackers:

«Не говори «гоп», пока не возьмёшь домен. Часто кажется, что заветный Pwned на контроллере домена близок, но пока явно это не подтвердишь — радоваться нельзя, можно сглазить». 

Рустам Гусейнов, 
председатель кооператива специалистов по кибербезопасности radcop.online, автор ТГ-канала Security Wine:

«Безопасники часто достаточно консервативны и мрачны. Хороший безопасник — это, скорее, „тормоз“, чем „газ“. И, независимо от особенностей характера, это человек мыслящий „сценариями провала“, а не „возможностями роста“. Если же понимать вопрос буквально, про сверхъестественное, то я не думаю, что коммьюнити настолько однородное, чтобы у нас, как у подводников, сформировалось своё единое поле мифов и суеверий. Они есть, но скорее локальные, в конкретных компаниях или тусовках. 

Это не примета, но если у руководства или лиц, управляющих бюджетами, нет интереса к инфобезопасности, то выстроить в компании эффективную систему защиты не получится. Не случайно ISO 27001 и тому подобные штуки делают такой акцент на „лидерство“ и мотивацию руководства развивать ИБ».

Игнатий Цукергохер, 
евангелист российского импортозамещения, автор одноименного блога и журналист издания «Киберболоид»:

«Если какую-то новую фичу, обновление ПО или новую инфраструктуру запускать в пятницу или перед праздниками, никогда нормально не запустится».