Я что-то нажал и все исчезло: когда реагирование опаснее атаки
Программный комитет ещё не принял решения по этому докладу
Целевая аудитория
Тезисы
Автоматическое реагирование выглядит просто и соблазнительно: ИБ-инструмент заметил подозрительную активность (в случае доклада в kubernetes кластере) и достал банхаммер. Круто, человек не тратит время, атакующий не успевает закрепиться! Но так не бывает: новый релиз, слишком работающее в лоб реагирование, каскад инцидентов и в итоге защита блокирует штатную работу, а при большом потоке событий создает эффект домино
В докладе покажу, где ломается цепочка от события до защитного действия. Разберу несколько типовых проблем: - ложное срабатывание на действия администратора - слишком широкое правило - повторная обработка одного события - как при этом мешает восстановление
Отдельно поговорим про предохранители: когда нужны ручное подтверждение или аварийное отключение. В конце соберём набор шагов, который стоит пройти до того, как разрешать системе безопасности самостоятельно менять состояние вашего прода
11 лет в ИТ, все профессиональную деятельность занимается ИБ и облаками.
Был у истоков создания PT Multiscanner, PT Sandbox, участвовал в создании частного облака Salt в X5, в данный момент развивает PT Container Security и OSS-решение по защите рантайма контейнеров Runtime Radar (https://github.com/Runtime-Radar/Runtime-Radar).
Регулярно занимается популяризацией защиты контейнерных средств (примеры — https://ib-bank.ru/bisjournal/post/2207, https://amlive.ru/am-live/zashhita-kontejnernyh-sred-2).
Видео
Другие доклады секции
SRE и эксплуатация систем
