Блог
-
Регуляторика
187-ФЗ о безопасности КИИ подписан: начинается период категорирования
187-ФЗ подписан Президентом РФ 26 июля 2017, вступает в силу с 1 января 2018. Разбираем ключевые обязанности: перечень объектов, ГосСОПКА, меры защиты по категориям.
-
Инфраструктура
Windows Server Semi-Annual Channel: Microsoft меняет модель обслуживания - разбираемся что это значит для наших клиентов
Microsoft объявляет SAC - новый канал выпуска Windows Server без GUI, первый релиз 1709 осенью. Оцениваем подходит ли это заказчикам на LTSC-сценариях.
-
DevOps
Docker 17.06 CE: multi-stage builds в stable - пересобираем продакшн-образы
Docker 17.06 CE выходит со stable multi-stage builds. Образ Go-сервиса с 800 МБ builder-слоя превращается в 12 МБ финального - пересобираем все продакшн-образы по новой схеме.
-
Регуляторика
КИИ: первый этап - инвентаризация ИС и сопоставление с критическими бизнес-процессами
Проводим первый этап по 187-ФЗ: составляем перечень информационных систем заказчика и сопоставляем их с критическими бизнес-процессами по методике проекта приказа ФСТЭК.
-
Инфраструктура
Ceph Luminous GA: переводим тестовый кластер с FileStore на BlueStore
Luminous 12.2 вышел в GA - BlueStore по умолчанию, erasure coding с overwrites стабилен. Гоним миграцию OSD на тестовом кластере и смотрим на процедуру изнутри.
-
Информационная безопасность
ГосСОПКА: ФСБ уточняет требования к подключению субъектов КИИ и форматы данных об инцидентах
ФСБ обсуждает в рабочей группе STIX/TAXII как базу для обмена данными с ГосСОПКА. Сравниваем технические форматы с тем, что умеет наш SIEM на практике.
-
DevOps
Kubernetes 1.7: RBAC в GA - перерабатываем сервисные аккаунты на всех кластерах
Kubernetes 1.7 перевёл RBAC в статус GA. Снимаем оговорку «экспериментально» и переписываем ServiceAccount и роли под финальную спецификацию на всех управляемых кластерах.
-
Регуляторика
187-ФЗ подписан: что дальше - ждём подзаконных актов ФСТЭК и ФСБ
187-ФЗ о безопасности КИИ подписан 26 июля 2017. Реальные требования раскроются в постановлениях и приказах - начинаем вести реестр ожидаемых НПА.
-
Информационная безопасность
Microsoft Tier Model: административные рабочие станции как ответ на Mimikatz-вектор NotPetya
После NotPetya с его Mimikatz-lateral movement внедряем Microsoft Tier Model у клиентов: выделенные PAW, запрет логина доменных админов на рядовые машины.
-
Управление и процессы
Итоги первого полугодия 2017: WannaCry, NotPetya и 187-ФЗ КИИ изменили повестку кибербезопасности
Первое полугодие 2017-го: два глобальных вайпера и новый закон о КИИ. Что из запланированного сделали, что оказалось срочным вопреки плану, что уходит в H2.
-
Информационная безопасность
NotPetya: не вымогатель, а wiper - цепочка MeDoc -> EternalBlue -> Mimikatz -> MBR
27 июня волна накрыла Maersk, Rosneft, Merck. Разбираем цепочку заражения NotPetya и красные флаги, которые видны задним числом уже сейчас.
-
Информационная безопасность
NotPetya 27 июня: post-mortem - вектор через M.E.Doc, EternalBlue, Mimikatz и MBR-вайп
Итоговый разбор NotPetya: цепочка заражения через M.E.Doc, распространение через EternalBlue и Mimikatz, деструктивный MBR-wipe. Что сработало у клиентов и где пробелы.
-
Данные и аналитика
Prometheus 1.7 в продакшне: тюнинг retention, compaction и federation для нескольких площадок
Полгода Prometheus в проде - разбираем retention, compaction, remote_write в InfluxDB и federation-топологию для мониторинга нескольких площадок.
-
Информационная безопасность
NotPetya: MBR-вайпер, Mimikatz и credential hygiene в корпоративной сети
NotPetya не просто шифровал - собирал хэши паролей из lsass и распространялся через WMI/PsExec даже на пропатченных машинах. Разбираем механику и проверяем тиеринг.
-
DevOps
Terraform + Ansible: как мы формализовали IaC-процесс и зачем это вообще нужно
Terraform создаёт VM и сеть, Ansible конфигурирует ОС и приложения, GitLab CI запускает всё при merge в master. Описываем структуру репо и review-процесс.
-
Информационная безопасность
SIEM после WannaCry: корреляционные правила для EternalBlue, SMB-сканирования и lateral movement
После WannaCry вендоры SIEM публикуют готовые correlation rules. Разбираем сигнатуры, пороги и сколько ложных срабатываний ждать в типовой корпоративной сети.
-
АСУ ТП
WannaCry добрался до АСУ ТП: аудит DMZ между корпоративной сетью и SCADA
WannaCry поразил SCADA и HMI с Windows XP на производстве. Для промышленных клиентов срочно проводим аудит демилитаризованных зон и документируем разрывы в сегментации.
-
Регуляторика
GDPR и российские компании: разбираем пересечение с 152-ФЗ на примере запросов DPA
Клиенты с европейскими партнёрами получают запросы на Data Processing Agreement под GDPR. Разбираем где 152-ФЗ и GDPR дублируют требования, а где нужен отдельный контур.
-
DevOps
Helm 2 и ChartMuseum: управление пакетами Kubernetes в продакшне
Helm 2 с Tiller в кластере стал стандартом деплоя: внутренний ChartMuseum как репозиторий chart-ов, версионирование и rollback через helm upgrade/rollback.
-
Инфраструктура
Immutable-снапшоты и офлайн-хранилище: архитектура бекапа после WannaCry
WannaCry шифровал не только диски, но и примонтированные сетевые шары с бекапами. Разбираем архитектуру защищённого резервного копирования: offline-хранилище, immutable snapshots, тест восстановления.