BSides Sofia 2022: Keynote

1:09↗да вървим в крак с последните тенденции, да сме изключително полезни на нашите студенти, така че те да са максимално подготвени за пазара на труда. И поради тази причина ние развиваме много успешно магистрска програма по управление на киберсигурност. Обедени сме и искаме в бъдеще да разширим значително

1:32↗обучението на студентите в това направление и изобщо в тази посока, тъй като осъзнаваме, че тези предизвикателства пред реалния бизнес и пред реалния живот стават все по-големи и когато те излезат от университета, трябва да са подготвени за тази среда. Поради тази причина не сме се замислили за миг, когато ни предложиха организаторите...

1:57↗тъй като считаме, че това се вписва много добре в нашата политика, да развиваме обучението на младите хора, да им помагаме да осъзнават, че тези неща са проблем, с който трябва да се работи, да осъзнават и да знаят последните тенденции в тази сфера и изобщо да могат успешно да се реализират, когато завършат. Няма да говоря много дълго. Позволете ми да дам думата на Билин Стърбожанов за приветствие към конференцията. Заповядайте.

2:35↗Благодаря за поканата и благодаря за гостоприемството. Обекновенно може би се очаква един министр да дойде да каже няколко общи хубави слова, да поздрави, да пожелая на добра час и да си тръгне. На мен обаче много ми се говори на Cyber Security конференция, затова ще ви занимая малко с детайли. Ще започна с нещата, които сме свършили в последните няколко месеца.

3:01↗Първо, тази отън имах възможност за избор между синя и червена вратовръзка. Избрах синията, за да е ясно, че сме от страната на Blue Team, а не от страната на Red Team. Интересното започна, да кажем, от 1 януари.

3:16↗Когато, знаете, излезе един бък в Microsoft Exchange, който... значише, че на практика не мога да се получава имейл заради антималуар плагина на Exchange, който не е много добър, обаче в администрацията на повечето меща разчитаме само на него, защото никой не си е взел друг адекватен софтвор. На 1 януария имах детайлен разговор с колегите от Министерството, за да решим дали да спрем имейлите, т.е. да оставим неработещи имейлите, докато Microsoft пусне фикс, или да спрем малуар плагина и съответно всички в администрацията се заразят. За щастие, майко в почивните дни пуснаха патч, така че решението ни се оказа правилно да не спираме антималуар плагина.

4:01↗Но от там нататък продължихме с доста други задачи, които излеждат прости, бързи и лесни. В администрацията отнемат малко повече време. Тъжното е, че до сега не са се случвали и че трябваше ние да наваксваме и да правим такива базови стъпки за за дни и седмици. Естествено, абонирахме се за Shodan и Shadow Server. Неща, които администрацията до момента нямаше. В момента получаваме репорти от двете за отворени портове. Запушихме всички RDP портове или поне така съм наредил. Отново базови неща. Мисъл не бива организация да има 40 отворени RDP порта, но имаше.

4:48↗Абонирахме се с всички домейни на държавата, това са може би над 500 в Hevai Bimpound. В комуникация с Трой Хънд, мисля, че сме 300 държава или нещо такова, която е комуникирала с него директно, изпраща му списък. Разбира, тази функционалност е безплатна и достъпна през интерфейс, но за да не подтвърждаваме ръчно 500 домейна, така той съдейства, за да ги централизираме. Изплатихам писма на всички администрации да си управят DKIM, SPF и DMark настройките. Сега писмо от министр с толкова много технологични термини в него, може би не е обичайно, но пък така всъщност пазим гражданите от фишинг, защото в времето са изпращани фишинг имейли от домени на министерства,

5:40↗които нямат SPF и DKIM запис. Съответно, мейл сърверите си казват ми, това сигурно е окей да бъде пратено от това IP. добавихме DDoS защита на защитен интернет възел на държавата. Държавата има защитен интернет възел и той трябва да има DDoS, за да пази всички на практика администрации. Мигрирахме и тези, които не бяха прекарани през възела, така че в момента, ако има DDoS, имаме

6:08↗адекватна защита, за да не ни сринат дори по-малки атаки.

6:13↗Извадихме индикатори на компроментиране, от Threat Intelligence фидове, свързани с Русия и Беларус и ги блокирахме на ниво АСПИТа. За всеки случай. Това може би е недостатъчна мярка. Ясно е, че руски и беларуски хакери не ползват само руски и беларуски АИПИТа, далеч на тази мисъл. Но, тъй като вече е имало регистрирана злонамерена активност от тях, за всеки случай на държавния firewall, така да се каже, 500-611

6:49↗спита, получиха този списък. Ние го обновяваме, тъй като Министерството има една мрежа от хънипотове, която събира такива IP-та и обновяваме този списък. За сега сме го обновили веднъж с още 2500 мислячи. И нещо, за което

7:07↗трябва да благодаря на хора, които може би са и тук сред нас, събираме доброволци за пен-тестове, Да го казвам доброволци, формално има граждански договор за да съорядят задълженията и отговорностите на двете страни естествено, но заплащането е подпазарно, да го наречем, минимално, така че е на практика доброволчески труд.

7:32↗Отнема малко повече времето, колкото ми се искаше съгласуването и всички министерства, които трябва да го възложат, но от понеделник почваме да възлагаме на заявили желания доброволци. Ако пък някой от вас има желание, може да го заяви. Вероятно организаторите ще ми помогнат с това. Мерси.

7:54↗Сега, ще ще е хубаво държавата да има респонси от дисклужър правила. 2016 година, когато участвал в писането на закона за киберсигурност, вкарах в закона за електронно управление, вкарах изискване държавата да публикува такива правила. Само че 2019, когато са въвеждали закона за киберсигурност, това е отпаднало, някакси е оттекло в канала. Сега планираме да публикуваме такива правила така или иначе, дори да нямаме изискване от закона, но ще го сложим и в закона за киберсигурност при последваща редакция тази година. Така че тези, които искат да допринасят отговорно и доброволно, да не се притесняват, че някой може да им цъфне на вратата. И сега стигаме до въпроса с хората. Аз много разчитам на дирекция Мрежова информационна сигурност в Министерството. Там има компетентни и подготвени хора, които обаче са малко. За отговорностите и правомощията, които има в Министерството,

8:53↗трябват хора. Затова и възлагаме неща на доброволци, тъй като не можем да си свършим всичко ние. Но този проблем с хората е такъв не само в държавния, в публичния сектор, той е такъв и в частния сектор. За съжаление сме малко тези, които

9:10↗разбираме в детайли от тази материя. И затова

9:17↗средносрочната и дългосрочната политика, която искам да води и благодаря и на УНСС, че имахме среща и по тази тема онзи ден, да увеличим капацитета чрез образование, чрез курсове, чрез обучение, не само в администрацията, изобщо. Администрацията ще спечели някаква част от тези хора, които ще произведе образователната система, другото ще отиде в частния сектор, както и трябва, но ние трябва да имаме хората, които да пазят и публичните системи и разбира се частните. Защото ще има много технологии, много лъскави, вендорите ще пуснат много лъскави XDR, XIAMI и всякакви други съкрещения. Обаче

9:58↗в администрацията особено няма достатъчно хора, които да знаят какво да правят с тези неща. Няма security аналисти, няма хора, които да могат да го конфигурират. Като казвам, няма хора, няма достатъчно. Има тук, таме, бели лястовици, на които разчитаме,

10:13↗но трябват още. Това ми е всъщност и посланието, че трябва да развиваме хората, трябва да развиваме общността, тия хора да си говорят, да си обменят идеи и опит. Това звучи общо, звучи като нещо твърде политическо, но всъщност е супер важно на практика. И в момента кърпим неща в държавата, защото не са били кърпени дълги години, но след режима на кърпене ще минем на режима на развиване на капацитета, на дългосрочни политики за изграждане на

10:46↗една общност от много по-голяма общност от експерти по киберсигурност. Благодаря ви.