Наиболее используемые стандарты и фреймворки по управлению ИТ- и киберрисками. Статистика собрана компанией MetricStream, которая, по мнению Gartner, является лидером рынка среди вендоров инструментов управления рисками.

Другую статистику по рискам можно посмотреть в их отчете

Бесконечно можно смотреть на три вещи: как горит огонь, как течет вода и на инфографику про популярные пароли из утечек😁
Компания NordPass проанализировала утечки паролей из компаний списка Fortune 500 и выкатила статистику и инфографику по результатам.
Есть парочку интересных паролей😅

Более 40 уязвимостей, используемых ransomware-злоумышленниками, для получения первоначального доступа в сеть жертв.
Первоисточник

Подборка ресурсов по ИБ от экспертов Positive Technologies. По большей части (для тех кто в теме) известные ресурсы, но в целом хорошая подборка - пойдет в закладки.
https://habr.com/ru/company/pt/blog/579294/

Тема фишинга, наверное, уже обмусолена со всех сторон, но иногда проскакивают интересные исследования. В этот раз отмечу отчетик компании Tessian, которая занимается "Email Security for "OH SH*T" Moments".

Ключевые моменты и статистика из отчета:
🔸 Microsoft - самый часто используемый злоумышленниками в фишинговых письмах бренд.

🔸 49 вредоносных писем (в среднем) получали работники из сферы ритейла (больше, чем в остальных сферах).

🔸 14 вредоносных писем (в среднем) получали работники по всем сферам.

🔸 76% фишинговых писем не содержали вложений.

🔸 PDF - самое "популярное" вредоносное вложение в фишинговых письмах. И если pdf предсказуемо на первом месте, то вот в тройке оказались не doc/docx и xls/xlsx, а PNG и JPG!

🔸 31% вредоносных рассылок через атаку "account takeover" производился с угнанных учеток организаций, оказывающих юридические услуги.

🔸 С 14 до 18 часов - именно в этот промежуток чаще всего приходили фишинговые письма.

Американская ФСТЭК (CISA) определила 9 ключевых целей ИБ и доказывающих их достижение набор базовых защитных мер https://t.co/8GpZx3HuXN
— Alexey Lukatsky (@alukatsky) Sep 26, 2021

"Top Security Playbooks" от компании Siemplify - whitepaper с набором популярных плэйбуков:
🔹 Brute Force Attacks
🔹 Phishing Attacks
🔹 C2 Traffic
🔹 Insider Threat
🔹 Impossible Travel
🔹 Cloud Misconfigurations
🔹 Suspicious Logins
Это уже второе издание такой брошюрки. Доступна по ссылке или в этом посте ниже.

Как вам такое разделение специализаций ИБ по уровням модели OSI?
Первоисточник

Cybersecurity Ecosystem Map - еще одна реализация карты направлений (доменов, сфер) в кибербезопасности, включая определения самих доменов и примеры (в основном организаций, работающих в этом направлении)
По ссылке также есть сама карта в различных форматах и в высоком разрешении.
https://metasecurity.com/cybersecurity-ecosystem/

Cybersecurity Ecosystem Map в высоком разрешении

Пока отважные сетевики спасали Facebook и все остальное "семейство" Цукерберга, кто-то уже успел загрузить и установить новенькую Windows 11.
А если интересно, что спрятано "под капотом" системы безопасности новой версии ОС Windows, то самое время почитать официальную брошюрку от Microsoft.
https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RWMyFE

Коллеги! Опубликован маппинг действий злоумышленников из методики ФСТЭК России на действия хакеров из матрицы MITRE ATT@CK: https://apt.etecs.ru/wp-content/uploads/2021/09/FSTEC-MITRE-ECHELON.xlsx

Большой и основательный годовой отчет Microsoft
Digital Defense Report - чтиво на неделю.
https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RWMFIi

Компания F5 Networks сегодня выпустила исследование "The 2021 TLS Telemetry Report" на тему использования TLS, HTTPS и смежные с ними темы. Получилось довольно интересно:

🔹 TLS 1.3 используется на 63% веб-серверах из ТОП-1000000 (Tranco Top 1 Million list), однако крайне не равномерно географически (80% в США и Канаде и только 15% в Китае и Израиле).
🔹 Переход к криптографии с эллиптической кривой медленный, но устойчивый - 25% сертификатов подписаны алгоритмом ECDSA.
🔹 Несмотря на распространение протокола TLS 1.3, старые версии также используются на 52% веб-серверов (SSLv3 еще жив кое-где).
🔹 Доля фишинговых сайтов, использующих HTTPS выросла до 83%.
🔹 Примерно 80% вредоносных сайтов приходится на 3.8% хостинг-провайдеров!
🔹 Атаки SSLStrip успешно проводятся, что указывает на необходимость полного отключения служб HTTP и перехода на HSTS.
🔹 С процессом отзыва сертификатов что-то все плохо, поэтому это приводит к использованию сертификатов более короткого срока действия.
🔹 TLS fingerprinting показывает, что 531 сервер из ТОП-1000000 очень похожи на malware-серверы Triсkbot и Dridex.

Вышла очередная (десятая) версия Mitre ATT&CK - новые техники, меры, APT-группы, их софт, источники данных и компоненты.
Подробнее об изменениях по ссылкам из поста твиттера
https://twitter.com/MITREattack/status/1451217194893852679

Cloud Security Alliance наконец-то выпустил каталог "The Continuous Audit Metrics Catalog", содержащих 34 метрики безопасности для облачной инфраструктуры, завязанных на меры безопасности из фреймворка Cloud Controls Matrix. Однозначно полезная вещь получилась - есть в том числе и рекомендации по внедрению и подсчету метрик. Честно говоря, ждал этот каталог с начала прошлого года - даже завалялся их вордовский драфт первой версии.
https://cloudsecurityalliance.org/artifacts/the-continuous-audit-metrics-catalog