Содержание
Краткое резюме
В докладе подробно рассмотрены основные направления в информационной безопасности: технические, юридические и криминалистические. Основное внимание уделяется техническим аспектам — offensive security (пентесты), defensive security, разработке инструментов безопасности и цифровой криминалистике (forensic). Автор делится реальными кейсами, рассказывает о специфике работы команды из Казахстана и о том, как можно начать карьеру в этой сфере, особенно разработчикам и программистам. Особое внимание уделено практике проведения пентестов и принципам построения защищённых систем, включая разработку собственного защищённого мобильного телефона и инновационных решений. Также освещены темы баунти-программ, сетевых соревнований и обучения в области ИБ.
Введение и контекст доклада
Автор открывает доклад, представляясь экспертом с 15-летним опытом в информационной безопасности (ИБ), пентестером и блогером. Описывается цель выступления — помочь слушателям, в основном студентам, понять с чего начать карьеру в безопасности, каковы основные её направления и какие компетенции важны.
«Если вы хотите перейти из разработки в ИБ — вы сделали правильный выбор, потому что сфера только набирает обороты».
Особое внимание уделяется казахстанской команде «ЦЕРКИ» (Центр анализа и расследования кибератак), которая занимается исключительно ИБ и доказала свою компетентность, заняв первое место на международных хакерских соревнованиях.
Основные направления информационной безопасности
Информационная безопасность делится на два больших направления:
1. Юридическое ("бумажное") направление
- Разработка стандартов (например, ISO 27001).
- Формирование корпоративных политик безопасности.
- Законодательное регулирование в области ИБ.
Это направление больше связано с документами, политиками и нормативно-правовой базой, и требует понимания специфики стандартов и норм.
2. Техническое направление
Подразделяется на несколько ключевых частей:
Offensive Security (Атакующая безопасность)
- Основная сфера пентестов — имитация взлома для поиска уязвимостей.
- Пример: клиент нанимает команду, чтобы проверить свои системы на взломоустойчивость.
- Пентестер документирует уязвимости, предоставляет доказательства и рекомендации.
«Pentest — это когда тебе платят за взлом своих же систем».
Defensive Security (Оборонительная безопасность)
- Работа по защите систем от атак.
- Построение SOC (Security Operation Centers) — центров мониторинга событий в реальном времени.
- Внедрение IDS/IPS, DLP, firewall и политик безопасности.
- Жизненный цикл разработки с упором на безопасность продуктов.
- Настройка web application firewall и управление инцидентами.
- Обеспечение hardening — укрепление безопасности серверов и систем.
- Управление программами bug bounty.
Разработка инструментов ИБ
- Создание программных и аппаратных средств для защиты.
- Включает антивирусы, системы обнаружения вторжений, статические анализаторы кода.
Компьютерная криминалистика (Forensic)
- Расследование инцидентов, анализ логов и журналов.
- Поиск следов злоумышленников и формирование доказательной базы.
- Восстановление потерянных или зашифрованных данных.
- Сотрудничество с правоохранительными органами.
Реальные кейсы из практики
Автор делится опытом проведения пентеста в крупной компании с филиалами по всей стране. Ключевые моменты:
- Отсутствие Wi-Fi заставило использовать хитрый метод — подключить на квартале терминала собственный роутер, который раздавал Wi-Fi внутри локальной сети.
- Охранник не заметил подключения, потому что физически ничего не выносилось.
- В ходе пентеста оказалось, что локальная сеть была плохо сегментирована, и имели место значительные уязвимости: устаревшие ОС без обновлений, слабая защита серверов и рабочих станций.
- Был получен доступ ко всему ИТ-лэндскейпу по всей стране, включая доменный контроллер и компьютер генерального директора.
«Сердце безопасника радуется, когда можно провести такой масштабный аудит и показать реальные угрозы».
Такой кейс подчеркивает важность комплексного и профессионального подхода к обеспечению безопасности.
Инновационные разработки в компании
Особой гордостью является команда инженеров, разрабатывающая собственные аппаратные решения:
- Создан API-шифратор, который шифрует трафик до 10 Гбит/с, включая аппаратную и программную части.
- Ведётся разработка защищённого мобильного телефона, состоящего из трёх физически разделённых компонентов (коммуникационный модуль, шифратор, операционная система).
- Такой телефон предназначен не для массового использования, а для защищённой коммуникации между ограниченным кругом пользователей.
«Защищённый продукт вне защищённой среды не может быть безопасным».
Это подтверждает важность построения безопасности на уровне аппаратуры, а не только программного обеспечения.
Баунти-программы и профессиональное развитие
Автор рассказывает о практике bug bounty:
- Специалисты исследуют продукты крупных компаний, находят уязвимости и получают денежные вознаграждения.
- Площадки HackerOne и Bugcrowd позволяют зарегистрироваться и искать реальные баги.
- Баунти может стать основным источником дохода для некоторых исследователей.
Также популярны соревнования типа CTF и hack days, где команды хакеров соревнуются в поиске уязвимостей, получают опыт и призы.
Заключение
Информационная безопасность — это динамичная и многогранная область, где каждый может найти своё направление по душе: от разработки политик до пентестов, расследований и создания железных решений.
«Безопасность — это стиль жизни, а не просто работа с 9 до 6».
Обучение, практика, участие в сообществе, а также постоянное развитие — ключ к успеху в этой сфере.
Автор приглашает присоединяться к профессиональному сообществу, следить за новостями, участвовать в проектах и конференциях, развивать свои навыки.
Эмоции и практические советы
- Работа с пентестом — это непредсказуемо, интересно и очень полезно.
- Важно не бояться изучать новые направления, например, forensic или железное направление с микроконтроллерами.
- Необходимо сочетать теорию и практику, участвуя в конкурсах и bug bounty.
- Для новых специалистов — это отличная возможность начать карьеру в перспективной сфере.
Доклад наполнен живыми примерами, практическими советами и вдохновляющими историями из реальной жизни профессионалов в области информационной безопасности. 🚀🔐