Добровольный взлом, закон об утечке данных и перспективы импортозамещения. Итоги Positive Hack Days 11

Завершился 11-й международный форум по практической безопасности Positive Hack Days 11. Рассказываем об основных моментах.

Платформа для добровольного взлома

В рамках The Standoff, самой масштабной открытой кибербитвы в мире, Positive Technologies продемонстрировали работу собственной платформы для поиска уязвимостей Bug Bounty. Компании могут размещать на платформе свои программы, а «белые» хакеры – тестировать их на уязвимость. PT и «Азбука вкуса» первыми разместили свои программы на платформе и получили первый отчет об уязвимости уже через 20 минут после запуска.

При регистрации на платформе компании могут устанавливать свои правила: указать срок тестирования (от 3 месяцев и до конца бюджета), границы дозволенного взлома, форматы отчетов, вознаграждение тестерам и права доступа для них. Отчеты о найденных уязвимостях можно получать как напрямую, так и после проверки специалистами РТ.

Наказание за утечку

Совсем недавно перечень утекших в Сеть персональных данных пополнился: теперь в открытом доступе лежат не только базы доставки еды, но и личные данные о личных автомобилях, банковских картах, сотовых операторах, заказах с маркетплейсов и многом другом. В условиях повышенной киберопасности Минцифры подготовило проект о наказании за утечку персональных данных. Теперь, если компания сообщает об утечке данных, ей грозит штраф в размере 1% от годового оборота, а если скроет эту информацию – то еще больше, рассказал директор департамента обеспечения кибербезопасности Минцифры в ходе брифинга на Positive Hack Days 11. Также Минцифры планирует ввести закон, обязывающий компании уведомлять об утечке данных.

Крупнейший DDoS в истории

Сбер успешно отразил самую крупную DDoS-атаку в истории своей работы. Сайт банка атаковали с более чем 27 тысяч устройств из разных стран, а мощность атаки составила более 450 Гб/сек, сообщил во время своего выступления на Positive Hack Days директор департамента кибербезопасности Сбера.

Импортозамещение

Основной тренд ИБ-рынка в наши дни связан с уходом зарубежных игроков. Директор по продажам и развитию бизнеса в России и СНГ поделился своими оценками в рамках выступления на Positive Hack Days: объем ИБ-рынка на конец 2021 года составляет около 200 миллиардов рублей, а освободившийся после ухода иностранных игроков сегмент стоит около 80 миллиардов, и эта ниша заполнится отечественными производителями. Надеемся, что новые продукты ничем не уступят по качеству и надежности.

Защита цепочек поставок

На секции «Без третьих лишних: защита supply chain» представители ведущих российских компаний обсудили защиту цепочек поставок в условиях повышенной киберопасности и поделились своими способами отражения кибератак. Одной из главных тем для обсуждения стала ситуация со встраиванием контента: после 24 февраля хакеры атаковали не только СМИ, помещая на их страницы заголовки, к которым редакция не имела отношения, но и многие государственные организации, пользуясь счетчиками внешнего поставщика.

Представители российских компаний поделились своими наработками в области кибербезопасности. Так, на своих внешних сервисах ИБ-специалисты СДЭК используют счетчики в неавторизованной зоне, которые не имеют доступа к внутренней логике, а на внутренних сервисах работают счетчики, написанные своими силами. Кроме этого, компания отказалась от сервисов Google и перешла на решения Яндекса.

Представитель Astra Linux дополнил дискуссию, рассказав, что в их компании пользуются всеми средствами контроля кода, от фаззинг-теста до различных анализов данных, а механизмы контроля целостности встроены в операционную систему.