Наконец-то сходил в музей криптографии...
Это просто шикарно, других слов нет) А когда увидел пару экземпляров машинок, с которыми пришлось поработать в начале карьеры в ИБ, то даже гордость взяла, захотелось сказать "я видел некоторое д****о"😁
В общем, крутой музей, всем идти!

ISC2 решила не отставать от ISACA и проспонсировала выпуск большого исследования об угрозах, кадрах, бюджетах, прогнозах в ИБ - CyberEdge Group’s Cyberthreat Defense Report.
Ниже сам отчет и инфографика по ключевым моментам.

Вот такой алгоритм принятия решения по обновлению критичного ПО, не относящегося к open-source, предлагает использовать НКЦКИ в соответствующем бюллетене.

Вышел ATT&CK v11

▪️В ATT&CK for Enterprise добавлена сущность Detections, которая проявляет связь (под)техник с источниками данных

▪️Выпущена бета версия подтехник для ATT&CK for Mobile. Публичное обсуждение продлится до конца лета

▪️Сайт ATT&CK for ICS теперь доступен на домене attack.mitre.org

▪️ATT&CK v11 для Enterprise включает в себя 14 тактик, 191 технику, 386 подтехник, 134 группы и 680 единиц программного обеспечения

Подробнее в статье на Medium.

BadKeys.Info - ресурс для проверки криптографических открытых ключей на наличие известных уязвимостей.
Репозиторий с исходниками и скриптом для локальной проверки.

Тот момент, когда на рынке много этичных хакеров, но не хватает хозяйственных домработниц😂
Пруфы

Агентство CISA выпустило небольшой отчет об активно эксплуатируемых уязвимостях за 2021 год. Получилось как-то так.
Сам отчет прикрепил ниже.

⚡️Новый раздел Банка данных угроз безопасности информации

ФСТЭК России информирует о начале тестовой эксплуатации нового раздела Банка данных угроз безопасности информации ФСТЭК России.

⚠️ Регулятор призывает специалистов по ИБ принять участие в тестировании нового раздела и дать обратную связь.

Дополнительно сообщается о завершении разработки новой редакции Методики оценки угроз безопасности информации, утвержденной ФСТЭК России 5 февраля 2021.

Источник: информационное сообщение ФСТЭК России от 04.05.2022 № 240/22/2432 «О разработке нового раздела Банка данных угроз безопасности информации, содержащего сведения об угрозах безопасности информации».

Ознакомился с книгой "Кибербезопасность. Что руководителям нужно знать и делать".
В первую очередь ориентирована на руководителей, которым подчиняется CISO. С учетом положений майского указа Президента РФ будет полезно будущим заместителям руководителей по направлению ИБ😅
НО, я бы посоветовал как раз прочитать эту книгу руководителям уровня CISO (или BISO), так как уже при ознакомлении с первыми главами (про банальные сентенции и распространенные заблуждения) у многих CISO могут возникнуть вопросы, а может и недоумение. С одним из убеждений я, например, не согласен, но я и не CISO😉
В целом, книгу оцениваю позитивно, так как действительно написаны вещи, которые помогут безопасникам общаться с бизнесом на одном языке, так и бизнесу понимать проблемы кибербезопасности. Плюсом книги также является наличие полезных памяток и, несмотря на то, что один из авторов является бывшим сотрудником АНБ, довольно объективное повествование по некоторым неоднозначным вопросам кибербезопасности (например, атрибуции атак).

Министерство DCMS Великобритании уже четвертый год публикует исследование рынка труда в области кибербезопасности. Общие тенденции и выводы вполне уместны и для отечественного рынка труда. Ниже приведу наиболее интересные моменты.
🔸 Половина организаций имеет проблемы с базовыми направлениями кибербезопасности (администрирование межсетевых экранов, антивирусная защита, защита персональных данных).
🔸 В трети организаций совсем плохо по направлениям пентестов, форензики, киберразведки и архитектуры безопасности.
🔸 С каждым годом растет дефицит специалистов по направлению реагирования на инциденты.
🔸 Результаты опросов свидетельствуют о том, что руководство организаций по прежнему не понимает важность кибербезопасности и ее роль (то времени не хватает, то знаний).
🔸 Качество подготовки кадров падает, при этом организации все чаще нанимают джунов и сами их обучают.
🔸 Наиболее востребованными являются следующие специальности в порядке убывания - инженеры, аналитики, менеджеры, архитекторы и консультанты.
🔸 Рекрутеры в который раз говорят, что CISO и руководители уровня пониже не умеют составлять описание вакансий🙂
🔸 Переход к удаленке и гибридному графику работы привел к выравниванию уровня оплаты труда в столичных и провинциальных регионах, от чего дефицит кадров в провинциальных организациях возрос.

Отдельно советую ознакомиться с разделом 4, где приведены интересные результаты опросов об уровне уверенности организаций в выполнении задач кибербезопасности. На скрине, например, результаты опроса про основные задачи КБ - все уверены в бэкапах, но на деле всегда не все так гладко😉

EVTX to MITRE Att@ck - репозиторий, где можно найти:
🔶 IoC-и в формате записей журнала событий EVTX ОС семейства Windows, которые можно скормить в SIEM и т.п.
🔶 Маппинг тактик и техник из Mitre Att@ck на ID событий журналов Windows.
🔶 Ссылки на иные соседние проекты, связанные с данной темой.

Для удобства выгрузил маппинг тактик и техник на ID событий в файлик ниже.

Агентство CISA ежегодно проводит оценку рисков и уязвимостей в органах власти и субъектах критически важной инфраструктуры и публикует результаты этих мероприятий. За 2021 год (финансовый) было проведено 112 оценок (грубо говоря, пентестов) по результатам которых CISA сформировало интересный отчет, где расписало возможный сценарий атаки, основанный на успешном использовании определенных техник (конечно же, все смаппировано на Mitre Att@ck). В отчете для каждого шага атаки (тактики) приведено описание, цель, способы реализации (техники), ценность для цепочки атаки в целом и защитные меры.
Ну и бонусом инфографика с наиболее успешными техниками в разбивке по тактикам. Красотища! Вот бы ФСТЭК такую деятельность замутил...
Ниже прикрепил сам отчет и инфографику в хорошем качестве.