-
Похожий контент
-
От KL FC Bot
Уже сегодня технологии на базе ИИ внедрены в каждой второй компании, а за ближайшие два года к ним присоединится еще 33% коммерческих организаций. ИИ в том или ином виде будет внедрен повсеместно. Экономический эффект, который получают компании от внедрения, варьируется от повышения удовлетворенности клиентов до прямого роста выручки. По мере того как понимание сильных и слабых сторон ИИ-систем бизнесом будет углубляться, эффективность только увеличится. Но уже сейчас очевидно, что о рисках, которые несет внедрение ИИ, нужно подумать заранее.
Даже ранние примеры внедрения демонстрируют, что цена ошибки ИИ-системы может быть высока и может выражаться в том числе во влиянии на репутацию, отношения с клиентами, здоровье пациентов и многое другое. А если учесть еще и киберфизические системы вроде автономных автомобилей, то вопросы безопасности станут еще острее.
Внедрять безопасность постфактум, как это было с предыдущими поколениями технологий, будет дорого и порой невозможно. Чтобы в этом убедиться, достаточно найти свежие оценки ущерба, который мировой экономике наносит киберпреступность: на 2023 год это $8 трлн. Неудивительно, что страны, претендующие на технологическое лидерство в XXI веке, торопятся внедрить регулирование ИИ (например, China’s AI Safety Governance Framework, EU AI Act, US Executive Order on AI). Но в законах редко указываются технические подробности и практические рекомендации — это не их задача. Поэтому для практического применения любых регуляторных требований формата «обеспечить надежность и этичность ИИ, а также контролируемость его решений» необходимы конкретные практические рекомендации, позволяющие достичь этого результата.
Чтобы помочь практикам, внедряющим ИИ уже сегодня, а также сделать будущее нашего мира более безопасным, специалисты «Лаборатории Касперского» при участии Эллисон Вайлд, члена команды по функциональной совместимости Сети по вопросам политики в области искусственного интеллекта Форума ООН по управлению Интернетом; доктора Мелодены Стивенс, профессора управления инновациями и технологиями школы государственного управления имени Мохаммеда бин Рашида; и Серхио Майо Масиаса, менеджера инновационных программ из Технологического института Арагона, создали набор рекомендаций. Документ был представлен в ходе семинара «Кибербезопасность в сфере ИИ: баланс между инновациями и рисками» на 19-м ежегодном Форуме по управлению Интернетом (UN Internet Governance Forum, IGF) для обсуждения с международным сообществом формирующих политику работы с AI экспертов.
Следование описанным в документе практикам поможет инженерам, специалистам DevOps и MLOps, которые разрабатывают и затем эксплуатируют ИИ-решения, достичь высокого уровня защищенности и безопасности ИИ-систем на всех этапах их жизненного цикла. Рекомендации документа нужно индивидуально оценивать для каждого внедрения ИИ, поскольку их применимость зависит от разновидности ИИ и модели внедрения.
Какие риски нужно учесть
Многообразие применений ИИ вынуждает организацию учитывать очень разнородные риски:
Риск от неиспользования ИИ. Звучит на первый взгляд забавно, но только сравнив выигрыш и потери компании от внедрения ИИ, можно правильно оценивать все остальные риски. Риски несоответствия регулированию. Быстро развивающееся регулирование ИИ делает этот риск динамичным, его нужно часто оценивать заново. Кроме регулирования ИИ как такового, нужно учитывать сопутствующие риски, например нарушения законов по обработке персональных данных. ESG-риски, то есть социально-этические риски применения ИИ, риски раскрытия чувствительной информации и риски для экологии. Риск нецелевого использования ИИ-сервисов пользователями — от шуточных до злонамеренных сценариев. Угрозы ИИ-моделям и наборам данных, применявшимся в тренировке. Угрозы сервисам компании, возникающие при внедрении ИИ. Возникающие при этом угрозы данным, которые обрабатываются в рамках этих сервисов. При этом «под капотом» трех последних групп рисков находятся все угрозы и задачи, традиционные для ИБ в сложных облачных инфраструктурах: контроль доступа и сегментация, управление уязвимостями и обновлениями, создание систем мониторинга и реагирования, контроль цепочек поставок.
View the full article
-
От KL FC Bot
С киберпреступниками рано или поздно сталкиваются практически все — от детей до пенсионеров. И если вы все время откладывали на потом свою кибербезопасность, потому что эта тема кажется вам слишком сложной, то держите пять очень простых советов, которые легко понять и просто выполнять. Но каждый из них сильно улучшит вашу защиту от самых распространенных киберугроз. Мы подготовили этот пост в рамках информационной кампании Интерпола #ThinkTwice, призванной улучшить осведомленность об основных методах кибермошенничества и простых, но надежных способах противодействовать им.
Автоматизируйте пароли
Пароли к каждому сайту и приложению должны быть длинными (минимум 12 символов) и никогда не должны повторяться. Придумывать и запоминать столько паролей не может никто, поэтому храните, создавайте и вводите их при помощи менеджера паролей. Вам придется придумать и запомнить только один (длинный!) мастер-пароль к нему, а все остальное — от создания до заполнения паролей — будет происходить автоматически.
Важные нюансы: менеджер паролей нужно установить на все свои устройства, чтобы вводить пароли с удобством повсюду. Данные будут синхронизироваться между всеми вашими устройствами, и, сохранив пароль в смартфоне, вы сможете автоматически подставить его в поле ввода на компьютере, и наоборот. Кстати, в менеджере паролей можно хранить в зашифрованном виде не только пароли, но и пин-коды, данные кредитных карт, адреса, заметки и даже сканы документов.
Уровень PRO: для максимальной безопасности отключите вход в парольный менеджер по биометрии — так вам придется каждый раз вводить мастер-пароль, зато никто не сможет получить доступ ко всем вашим данным, не зная мастер-пароля (на стикере его писать не надо).
View the full article
-
От KL FC Bot
В мае отгремел Всемирный день пароля, и на волне нашего и, надеемся, вашего интереса к парольной тематике мы проанализировали на устойчивость не «сферические пароли в вакууме», а реальные пароли из баз даркнета. Оказалось, что 59% изученных паролей могут быть взломаны менее чем за один час, и для этого понадобятся лишь современная видеокарта и немного знаний.
Сегодня мы расскажем о том, как хакеры взламывают пароли и что с этим делать (маленький спойлер: пользоваться надежной защитой и автоматически проверять свои пароли на утечки).
Как обычно взламывают пароли
Начнем с важной ремарки: под фразой «взломать пароль» мы подразумеваем взлом его хеша — уникальной последовательности символов. Дело в том, что почти всегда пользовательские пароли хранятся на серверах компаний одним из трех способов.
В открытом виде. Это самый простой и понятный способ: если у пользователя пароль, например, qwerty12345, то на сервере компании он так и хранится: qwerty12345. В случае утечки данных злоумышленнику для авторизации не потребуется сделать ничего сложнее, чем просто ввести логин и пароль. Это, конечно, если нет двухфакторной аутентификации, хотя и при ее наличии мошенники иногда могут перехватывать одноразовые пароли. В закрытом виде. В этом способе используются алгоритмы хеширования: MD5, SHA-1 и другие. Эти алгоритмы генерируют для каждой парольной фразы уникальное хеш-значение — строку символов фиксированной длины, которая и хранится на сервере. Каждый раз, когда пользователь вводит пароль, введенная последовательность символов преобразуется в хеш, который сравнивается с хранящимся на сервере: если они совпали, значит, пароль введен верно. Приведем пример: если в реальности ваш пароль qwerty12345, то «на языке SHA-1» он будет записываться вот так — 4e17a448e043206801b95de317e07c839770c8b8. Когда злоумышленник получит этот хеш, ему потребуется его дешифровать (это и есть «взлом пароля»), например, с помощью радужных таблиц, и превратить обратно в qwerty12345. Узнав пароль, хакер сможет использовать его для авторизации не только в сервисе, с которого утек хеш, но и в любом другом, где используется этот же пароль. В закрытом виде с солью. В этом способе к каждому паролю перед хешированием добавляется соль — случайная последовательность данных, статическая или формирующаяся динамически. Хешируется уже последовательность «пароль+соль», что меняет результирующий хеш, а значит, существующие радужные таблицы уже не помогут хакерам. Такой способ хранения паролей значительно усложняет взлом. Для нашего исследования мы собрали базу из 193 млн слитых паролей в открытом виде. Откуда мы ее взяли? Места надо знать. Нашли в сети даркнет — там они зачастую находятся в свободном доступе. Мы используем такие базы, чтобы проверять пользовательские пароли на предмет возможной утечки, при этом ваши пароли мы не знаем и не храним: вы можете подробнее узнать, как устроено изнутри хранилище паролей в Kaspersky Password Manager и как, не зная ваших паролей, мы сравниваем их с утекшими.
Посмотреть статью полностью
-
От KL FC Bot
Индустрия киберспорта развивается семимильными шагами: призовой фонд на топовых турнирах уже давно перевалил за $10 млн, а пиковое количество онлайн-зрителей — за один миллион. Все это подогревает интерес хакеров: обычно они либо крадут исходный код интересующей игры, либо точечно атакуют геймеров. Но в последнее время кибератаки зашли слишком далеко: недавно злоумышленники сорвали крупный турнир по Apex Legends.
Почему геймерам тоже нужна киберзащита и как ее обеспечить — в этом посте.
Что произошло
Во время матча финала Северной Америки турнира Apex Legends Global Series (ALGS) между командами Dark Zero и Luminosity на экране одного из игроков внезапно появилось окно, позволяющее изменять настройки чита. Недоумевающий от происходящего игрок, помимо этого, получил возможность видеть своих соперников по игре сквозь стены — а это одно из самых жестоко наказуемых игровых преимуществ (стандартное наказание — бан на несколько лет или пожизненный). Игрока дисквалифицировали, а его команде засчитали техническое поражение.
Скриншот с чит-окном из трансляции матча. Источник
Устроители не стали менять правила по ходу турнира и устанавливать дополнительные защитные решения на компьютеры киберспортсменов, поэтому через несколько матчей история повторилась: снова всплывающее чит-окно, снова возможность видеть сквозь стены, а в дополнение к этому — еще и автоприцеливание. Тут организаторы заподозрили неладное: в киберспорте и впрямь встречаются читеры, но чтобы кто-то из них был настолько неосторожен, что во время игры открыл чит-окно — это уже перебор. Матч остановили, а турнир перенесли на неопределенное время.
Чуть позже в соцсетях объявился пользователь с ником Destroyer2009. Он взял вину за взлом на себя и заявил, что использовал уязвимость удаленного выполнения кода. При этом потенциальный виновник не уточнил, где была уязвимость: в самой игре Apex Legends, в обязательном для кибертурниров ПО Easy Anti-Cheat или же в какой-либо другой программе. Представители античита заявили, что их ПО в порядке. Геймеры по всему миру ждут такого же заявления от разработчиков Apex Legends, но пока — пусто, хотя Respawn Entertainment (создатели игры) заявили, что уже выпустили первое обновление безопасности из целой серии апдейтов.
Этот случай — нонсенс в мире киберспорта. Проблемы с Интернетом? Бывало. С техническим оборудованием? Тоже было. Но никогда еще прежде турниры не прерывались и не переносились из-за хакеров.
Посмотреть статью полностью
-
От KL FC Bot
На прошедшей в конце 2023 года конференции 37C3 польские хакеры из команды Dragon Sector рассказали о том, как они взламывали поезда, — а главное, почему и зачем они это делали.
Зачем польские хакеры взламывали поезда
История началась с того, что польская железнодорожная компания «Нижнесилезские железные дороги» (НСЖД) приобрела у польского же производителя Newag одиннадцать поездов Impuls 45WE. Примерно через пять лет интенсивного использования поездов настало время для их сервисного обслуживания. Это достаточно сложная и дорогостоящая процедура, которую проводят при пробеге в 1 000 000 км.
Для выбора ремонтной мастерской для сервисного обслуживания поездов НСЖД объявила тендер. Компания-производитель, Newag, также приняла в нем участие, но проиграла ремонтной мастерской SPS, которая смогла предложить железной дороге существенно более выгодные условия.
Однако после того как SPS закончила техобслуживание первого поезда, тот… просто не завелся. И это несмотря на то, что как механически, так и электрически все с ним вроде бы было в порядке. Всевозможные инструменты диагностики говорили о полной исправности, также ее подтверждали осмотры механиков и электриков. И тем не менее состав наотрез отказывался даже пытаться куда-либо ехать.
Через некоторое время история повторилась с несколькими другими поездами, которые попали в сервис SPS, а также еще с одним поездом, отправленным на обслуживание в другую ремонтную мастерскую. Собственно, на этом моменте, после многочисленных попыток разгадать загадку отказывающихся работать поездов, в SPS решили позвать на помощь команду хакеров.
В кабине одного из исследованных поездов Newag Impuls. Источник
Посмотреть статью полностью
-
Рекомендуемые сообщения
Пожалуйста, войдите, чтобы комментировать
Вы сможете оставить комментарий после входа в
Войти