Los hackers ya usan IA para atacar empresas pequeñas a escala industrial. Mastercard y Cloudflare acaban de aliarse para cambiar eso: combinan inteligencia de amenazas con seguridad de aplicaciones en una sola herramienta. Detección, calificación y bloqueo automático. Sin excusas de presupuesto.
Me acabo de apuntar a una charla de Forti sobre el uso de SIEM en el SOC?
Parece ser, solo espero que no sea una charla multipropiedad para vender FortiSIEM o como se llame su solución.
Ultimos días de trabajo:
<Supervisor> - Para esto de que no hay evidencias de que se haya resuelto una vulnerabilidad descubierta por el equipo de cyberseguridad, tenemos que hacer una plantilla para procesarlo. Podemos* hacer una?
<Yo, tras soltar un largo suspiro> - Mira, lo que tenemos es un procedimiento que estandariza que se tiene que pedir, que incluye la descripción de la acción tomada (con el visto bueno del equipo técnico), los comentarios sobre el cierre y el riesgo residual potencial por parte del técnico que validó dicho workaround, la validación por parte de alguien alto en el escalafón si el riesgo es crítico o alto y en caso de necesitar un retest no se pide, pero todo ha de estar justificado por escrito e integrado en el informe final de seguridad del proyecto.
<Supervisor> - Vale, entonces solo queda definir la acción.
<Yo> - Que acción? Si la acción a tomar depende de cada caso y proyecto?
<Supervisor> - Por acción digo trabajar en una plantilla.
...
Hay un dicho que dice que "cuando un tonto toma una linde, la linde se acaba y el tonto sigue".
No se por qué me ha venido a la cabeza...
*[interesante uso del plural, porque lo tendré que hacer solo]
#Cyberseguridad #Anecdotas #NoSeSiReirOLlorarOLlorarFuerte #YouAreSoStupidPuntoGIF
Cosa de cyberseguridad:
Tenemos un servicio en la Nube en en curro y la única autenticación que tiene el recurso es usando autenticación local (que aparte de ser una chusta, no cumple con nuestra política de contraseñas).
Avisamos y pedimos que usen otra cosa... como por ejemplo conectar con nuestro AD, que si cumple, está muy documentado, se usa mucho y de regalo da MFA.
Bueno, pues han decidido quitar todo tipo de autenticación.
No tengo por qué molestarme en instalar un cerrojo si quito todas las puertas. Un plan sin fisuras.
#Cyberseguridad #El90PorCienDeEstaMierdaEsEcharleSentidoComun #PeroIgualPidoMucho
Hoy en 'sorpresas con la cyberseguridad' traemos:
"Creo que como es el departamento de Cyber el que pide analizar los riesgos de esta herramienta que llevamos usando años y que no avisamos de su uso para evaluarla desde el punto de vista de cyberseguridad la responsabilidad (y el presupuesto) para arreglar lo que se encuentre es de ellos y no del gestor de la herramienta/data owner."
Y luego tienen las narices de en esa reunión, de decirnos que es la aproximación de Security By Design... a nosotros.
Poco. Nos. Pasa
No les echaré mucho de menos...
Si yo no se cual es la vulnerabilidad tengo que fiarme de lo que me dicen... y eso, amics, no es algo que se tercie en cyber.
Un jefe mío me decía que a uno de cyberseguridad le pagan por ser paranoico... y a mi estas cosas me saltan las alarmas.
En fin, que he estado 3 semanas dando la vara para que los pentesters me dieran el código de marras para comprobarlo...
Y al final no me lo han dado, me han dado un enlace a GitHub con el código para explotar dicha vulnerabilidad. Es raro, pero al menos tengo esto.
(no da idea de que sepan que hacen, cosa que muchas empresas que hacen pentest terminan haciendo: ellos pagan una licencia carísima de un software que analiza, sacan un informe automático sin leerlo ni entenderlo y ya allá tú te las compongas... pero al menos tienen la decencia de decirtelo!!)
Un código CVE es un estandar que las empresas suelen emplear para mostrar sus vulnerabilidades al mundo y que la gente encargada de mantener sus sistemas tengan en cuenta.
Es una cosa muy básica el que si tienes una vulnerabilidad esta es medida por lo gorda que es, lo facil que es de atacar y demás... y que sea publicado en las paginas del ramo (NIST, por ejemplo) para que se pueda consultar.
No había código CVE para este riesgo en este informe.
Es más, A NADIE LE PARECIÓ RARO QUE NO HUBIERA NI UN CVE EN TODO EL INFORME.
Yo estaba a otras cosas y me enteré de esto después.
Y casi me da algo, porque es el equivalente a lo del chiste de 'si te duele la cabeza córtatela. no hay cabeza, no hay dolor'.
Literalmente.
Aparte, no dejaban de salir dudas:
- Cómo es que no todos los ordenadores de un entorno están afectados y solo unos pocos?
- Por qué esta recomendación tan drástica.
Y mi favorita de todas y que os hará ser un poco mejores en cyber: Donde está el CVE de este riesgo?
Susana Gomes
Mistheart
Black Rabbit