BeholderIsHere Media HUB

🗂 Тайны офиса: как распознать редактирование документов задним числом

Редактирование файлов .docx оставляет больше следов, чем может показаться — даже если метаданные изменены вручную.

В статье эксперт по цифровой криминалистике показывает, как выявить такие подлоги при внутреннем расследовании.

Что вы узнаете:

▶️ Где именно в структуре .docx хранятся ключевые временные метки (core.xml)

▶️ Как метаданные ZIP-архива и NTFS ($MFT, USN Journal) выдают факт редактирования

▶️ Почему даже смена системного времени фиксируется в журнале событий Windows

▶️ Как с помощью Python-скрипта и 7zip можно быстро проверить дату изменения вложенных файлов

▶️ Что хранится в реестре Windows и как это помогает установить настоящего автора

Хороший пример того, как из цифровой пыли можно восстановить хронологию событий и выявить подделку.

➡ Читать статью

tags: #статья

💀 InfoSec Community | Чат

Кажется, в российском кибербезе окончательно наступила эпоха признания. Нет, не того признания, когда компания пережила серьезную атаку без остановки бизнеса и не стала хвалиться об этом. И не того, когда CISO пять лет строил защиту, о которой никто не знает именно потому, что она работает. И даже не того, когда тебя уважают коллеги, потому что видели тебя в деле.

Речь о настоящем признании. С дипломом, статуеткой, рейтингом и фотографией у пресс-волла (именно так, пресс-волл). Теперь у нас есть "Киберпризнание", есть "Новая элита кибербеза", есть даже "закрытые клубы топ-ЦИСО" (есть и еще один проект, но его пока широко не анонсировали и я не буду его называть тоже – создам интригу). Есть списки, рейтинги, шорт-листы, экспертные советы и торжественные церемонии.

Видится мне, что индустрия наконец подошла к решению главной нерешенной проблемы информационной безопасности. Как документально подтвердить, что ты круче остальных. Причем особенно прекрасно само стремление попасть в рейтинг. Раньше рейтинг был результатом: кто-то со стороны смотрел на рынок, что-то измерял и говорил – вот эти люди чем-то выделяются (спорно, но хоть так). Теперь появляется иная, совершенно восхитительная конструкция:
– Мы составляем рейтинг самых крутых людей отрасли.
– А как туда попасть?
– Подать заявку и рассказать, почему вы крутой.
– То есть человек сам приходит и говорит: "Я очень крутой, подтвердите это официально"?
– Ну… иногда его выдвигает маркетинг или PR его компании.
– То есть маркетинг говорит: "Наш сотрудник очень крут, зуб даем" и потом выпускает новость: "Независимые эксперты признали нашего сотрудника самым крутым"?
– Ну, решение все-таки принимает экспертный совет.
– На основании чего?
– На основании заявки, где кандидаты рассказывают, насколько они круты и если рассказ достаточно убедительный, то мы официально признаем их крутыми.
– А дальше?
– Вы сможете сообщить всем, что эксперты официально признали вас крутым.

Этакое тщеславие с верификацией.

Особенно мне нравится идея "закрытого клуба топ-CISO". Потому что настоящий закрытый клуб, очевидно, должен регулярно рассказывать в публичном пространстве, как туда попасть. Иначе откуда окружающие узнают, что клуб закрытый? Следующим логичным шагом вижу: "Закрытый клуб людей, которых приглашают в закрытые клубы". Вход – только для участников не менее 3-х рейтингов. Для лауреатов двух премий – fast track. Победители номинации "Лидер среди лидеров" проходят вне очереди. Для остальных предусмотрена номинация "Прорыв года на пути к признанию".

А ведь существует старый добрый способ решить вопрос, кто круче. В детстве для подобных дискуссий предлагали не спорить попусту, снять штаны, достать члены, приложить линейку и наконец получить объективную метрику. Без всяких опросов, заметьте; измерение в его посконном виде. Мне кажется, кибербезу пора перенять этот подход.

Правда, есть маленькая такая проблемка. Когда-то кибербез был почти исключительно мужским занятием, поэтому методика выглядела вполне универсальной. Но времена изменились, девушек в отрасли стало заметно больше. Сексизма, правда, почему-то пропорционально меньше не стало, зато перед организаторами рейтингов возникает серьезный методологический вызов – как обеспечить гендерно нейтральное измерение крутости? Тут простой линейкой уже не обойдешься. Потребуется рабочая группа, методология, общественное обсуждение, минимум два отраслевых комитета и, разумеется, отдельная номинация "За вклад в инклюзивную метрологию кибербеза". А там, глядишь, и до ГОСТа недалеко.

Но зато... Во-первых, исчезнет субъективность экспертного совета. Во-вторых, появится понятная всем и легко проверяемая количественная методология. В-третьих, наконец можно будет перестать плодить рейтинги. Хотя кого я обманываю – через год обязательно появятся:
🏆 "ТОП-25 по версии независимой линейки"
🏆 "Выбор экспертного совета измерителей"
🏆 "Самый динамичный рост года"

и, конечно,

🏆 Гран-при "За вклад в развитие культуры измерения".

А проигравшие создадут свой рейтинг... с другими критериями.

Ну что, за членство! Не чокаясь! 🍷

#мероприятие #маркетинг

#безопасность_детей

🎯 Вербовка в сети — как детей втягивают в опасные схемы

Читаю новости, когда детей привлекают к ответственности за преступления, в которые их затянули взрослые, — и волосы дыбом: это чей-то ребёнок. Разбираю схемы. Если пост убережёт хоть одного — уже чудесно.

📌 Начинается с «лёгкой подработки»: обналичить деньги, передать карту, сдать аккаунт или сим-карту «в аренду». За этим — закладки, диверсии, переводы: ребёнок не жертва, а соучастник. Дропперство — статья, содействие терроризму — до пожизненного (ст. 205.1 УК).

🚩 Фразы-маркеры:
• «сдай карту / аккаунт в аренду»;
• «прими перевод — получишь процент»;
• «это секрет, взрослым не говори».

Срочность + секретность + деньги = стоп.

👉 Что делать
Ребёнку: завершай разговор, сохрани переписку, скажи взрослому.
Родителям: не угрожайте отобрать телефон — заведёт вторую симку. Скажите: «Напишут про аренду — покажи».

Вербовка ломает не телефон, а доверие. Верните его первым.

#mfd2026
🔵 Выкладываю презентацию доклада «DFIR vs WSL: цифровая криминалистика на стыке миров» с конференции Moscow Forensics Day 2026.
Цифровая криминалистика + WSL? Второе — точно, а чтобы узнать про первое — придётся открыть презентацию.
💻 Ссылка на презентацию