Cost of a Data Breach Report 2022 - свежая основательная аналитика от IBM и Ponemone Institute, сформированная на основе опроса 550 организаций, пострадавших от утечек за последний финансовый год.
Приведу наиболее интересные и релевантные отечественному рынку выводы:
🔸 Больше половины организаций подняли цены на свои продукты и услуги в результате утечек данных 🤔.
🔸 Среднее время выявления и локализации утечки - 277 дней (снижение впервые за 3 года).
🔸 Компрометация УЗ, фишинг, неправильная конфигурация облаков и уязвимости в стороннем (3rd-party) ПО всё также в топе как первоначальные векторы атак.
🔸 Использование инструментов ИИ в безопасности, подход DevSecOps и наличие команды реагирования на инциденты - три ключевых фактора, снижающие стоимость утечек.
🔸 Сложность систем безопасности, миграция в облака и несоблюдение требований регуляторов - три ключевых фактора, повышающие стоимость утечек.
🔸 Организации, внедрившие технологии ИИ и автоматизации безопасности (полное покрытие), сократили (в среднем) жизненный цикл утечек на 30%.
🔸 Организации, внедрившие технологии XDR (полное покрытие), сократили (в среднем) жизненный цикл утечек на 10%.
🔸 ИТ-сбои, человеческие ошибки, атаки на цепочки поставок - в топе причин утечек данных. Далее идут деструктивные атаки, шифровальщики.
🔸 Средний жизненный цикл утечки данных при использовании гибридной облачной модели, ниже, чем при использовании публичного или частного облака.
Приведу наиболее интересные и релевантные отечественному рынку выводы:
🔸 Больше половины организаций подняли цены на свои продукты и услуги в результате утечек данных 🤔.
🔸 Среднее время выявления и локализации утечки - 277 дней (снижение впервые за 3 года).
🔸 Компрометация УЗ, фишинг, неправильная конфигурация облаков и уязвимости в стороннем (3rd-party) ПО всё также в топе как первоначальные векторы атак.
🔸 Использование инструментов ИИ в безопасности, подход DevSecOps и наличие команды реагирования на инциденты - три ключевых фактора, снижающие стоимость утечек.
🔸 Сложность систем безопасности, миграция в облака и несоблюдение требований регуляторов - три ключевых фактора, повышающие стоимость утечек.
🔸 Организации, внедрившие технологии ИИ и автоматизации безопасности (полное покрытие), сократили (в среднем) жизненный цикл утечек на 30%.
🔸 Организации, внедрившие технологии XDR (полное покрытие), сократили (в среднем) жизненный цикл утечек на 10%.
🔸 ИТ-сбои, человеческие ошибки, атаки на цепочки поставок - в топе причин утечек данных. Далее идут деструктивные атаки, шифровальщики.
🔸 Средний жизненный цикл утечки данных при использовании гибридной облачной модели, ниже, чем при использовании публичного или частного облака.
👍1🤔1
Аналитика, которую мы заслужили😂
В отчете SonicWall Cyber Threat Report 2022 заявляют, что есть 50% шанс того, что получив вредоносный офисный документ, его автором (в соответствующем атрибуте) будет указан некто "Rabota"...
А ещё, ребята из SonicWall заявили, что около 10% проанализированных ими вредоносных офисных документов были "созданы" автором с именем Brian - видимо он очень трудолюбивый парень🥲
p.s. На самом деле сам отчет от Соников неплох - есть аналитика по CVEшкам и некоторым типам атак за 2021 год.
В отчете SonicWall Cyber Threat Report 2022 заявляют, что есть 50% шанс того, что получив вредоносный офисный документ, его автором (в соответствующем атрибуте) будет указан некто "Rabota"...
А ещё, ребята из SonicWall заявили, что около 10% проанализированных ими вредоносных офисных документов были "созданы" автором с именем Brian - видимо он очень трудолюбивый парень🥲
p.s. На самом деле сам отчет от Соников неплох - есть аналитика по CVEшкам и некоторым типам атак за 2021 год.
😁1
Небольшая аналитика "Deception at scale: how malware abuses trust" от VirusTotal про малварь и способы ее распространения с помощью методов социальной инженерии.
Ключевая статистика на постере, подробности в самом отчете (прикрепил ниже).
Ключевая статистика на постере, подробности в самом отчете (прикрепил ниже).
👍1
Microsoft выложила в общий доступ видеозаписи и презентации семинара-тренинга для CISO. Программа семинара представлена на постере.
👍3
SocVel Cybersecurity Quiz - интересный еженедельный квиз из 10 вопросов на тему событий кибербезопасности за прошедшую неделю. Можете проверить на сколько вы погружены и следите за новостями. Пример вопроса на скрине. В любом случае при ответе дается ссылка на первоисточник события и можно почитать интересную аналитику/новость😉
👍6
ЕЦБ (Европейский центральный банк) опубликовал методичку с лучшими практиками по имплементации в процесс тестирования и правильному применению "пурпурных команд" (Purple Team).
Да, методичка "заточена" под стандарт и платформу TIBER-EU (European Framework for Threat Intelligence-based Ethical Red Teaming), но чего-то сильно узкоспециализированного в рекомендациях я не увидел, поэтому смело можно читать и брать что-то полезное на вооружение.
Да, методичка "заточена" под стандарт и платформу TIBER-EU (European Framework for Threat Intelligence-based Ethical Red Teaming), но чего-то сильно узкоспециализированного в рекомендациях я не увидел, поэтому смело можно читать и брать что-то полезное на вооружение.
👍2🔥1
На Black Hat 2022 презентовали Open Cybersecurity Schema Framework - стандарт, призванный устранить проблему того, что различные организации оперируют собственными терминологиями при описании событий и угроз кибербезопасности.
В фреймворке OCSF определены типы данных, атрибуты, классы и категории событий и т.п.
Наглядно посмотреть матрицу конструкций OCSF можно тут, а почитать подробнее про сам фреймворк здесь.
p.s. Хорошая инициатива, но взлетит ли - это вопрос)
В фреймворке OCSF определены типы данных, атрибуты, классы и категории событий и т.п.
Наглядно посмотреть матрицу конструкций OCSF можно тут, а почитать подробнее про сам фреймворк здесь.
p.s. Хорошая инициатива, но взлетит ли - это вопрос)
🤔1
Компания Ermetic, специализирующаяся на облачной кибербезопасности, в этом году разработала собственную модель зрелости облачной безопасности Ermetic Cloud Security Maturity Model.
Данная модель зрелости объединяет 16 отдельных доменов облачной безопасности в организационные и технологические вопросы. Группа организационных вопросов состоит из двух областей: "People" и "Processes" - вместе эти области охватывают семь доменов.
Технологическая группа состоит из трех областей — "Visibility", "Prevention" и "Detection"; вместе эти области охватывают девять доменов.
Для каждого домена организация оценивается как соответствующая стандартам для одного из четырех уровней зрелости:
🔹Ad Hoc
🔹Opportunistic
🔹Repeatable
🔹Automated and Integrated
А вдогонку Ermetic совместно с Osterman Research провели опрос 326 крупных компаний, оценив их уровень зрелости по своей модели.
Ключевые выводы:
🔹В целом, зрелость низкая: 84% компаний были на первых двух уровнях и только 16% на двух высших.
🔹42% компаний, инвестирующих более 50 человеко-часов в неделю в облачную безопасность, достигают самых высоких уровней зрелости.
🔹Чем больше различных облаков, используется в компании, тем ниже ее уровень зрелости.
🔹81% компаний не имеют полного представления о своих активах, доступных напрямую из сети Интернет...
При этом, компании с высоким уровнем зрелости выделяли пять главных приоритетов в облачной безопасности:
🔹Обнаружение ошибок в конфигурациях облаков.
🔹Полное покрытие процесса отслеживания и исследования действий пользователей и сервисов/приложений.
🔹Обеспечение своевременного (JIT) доступа для команд разработчиков/DevOps/инженеров к облачным средам.
🔹Оценка соответствия лучшим практикам и стандартам безопасности.
🔹Обеспечение минимизации прав доступа как для пользователей, так и для сервисов/приложений.
Подробнее можно почитать тут. Ниже также приложил брошюру про саму модель зрелости и отчет по результатам опроса компаний.
Данная модель зрелости объединяет 16 отдельных доменов облачной безопасности в организационные и технологические вопросы. Группа организационных вопросов состоит из двух областей: "People" и "Processes" - вместе эти области охватывают семь доменов.
Технологическая группа состоит из трех областей — "Visibility", "Prevention" и "Detection"; вместе эти области охватывают девять доменов.
Для каждого домена организация оценивается как соответствующая стандартам для одного из четырех уровней зрелости:
🔹Ad Hoc
🔹Opportunistic
🔹Repeatable
🔹Automated and Integrated
А вдогонку Ermetic совместно с Osterman Research провели опрос 326 крупных компаний, оценив их уровень зрелости по своей модели.
Ключевые выводы:
🔹В целом, зрелость низкая: 84% компаний были на первых двух уровнях и только 16% на двух высших.
🔹42% компаний, инвестирующих более 50 человеко-часов в неделю в облачную безопасность, достигают самых высоких уровней зрелости.
🔹Чем больше различных облаков, используется в компании, тем ниже ее уровень зрелости.
🔹81% компаний не имеют полного представления о своих активах, доступных напрямую из сети Интернет...
При этом, компании с высоким уровнем зрелости выделяли пять главных приоритетов в облачной безопасности:
🔹Обнаружение ошибок в конфигурациях облаков.
🔹Полное покрытие процесса отслеживания и исследования действий пользователей и сервисов/приложений.
🔹Обеспечение своевременного (JIT) доступа для команд разработчиков/DevOps/инженеров к облачным средам.
🔹Оценка соответствия лучшим практикам и стандартам безопасности.
🔹Обеспечение минимизации прав доступа как для пользователей, так и для сервисов/приложений.
Подробнее можно почитать тут. Ниже также приложил брошюру про саму модель зрелости и отчет по результатам опроса компаний.
👍7🔥2
Недавно вышел очередной квартальный выпуск ThinkstScapes, а там ссылочка на интересное исследование про стратегии обновления ПО, а если быть точнее, то про количественную оценку эффективности стратегий обновлений ПО для противодействия APT-атакам - "Software Updates Strategies:A Quantitative Evaluation Against Advanced Persistent Threats".
В рамках данной работы авторы:
🔸Проанализировали более 500 отчетов о более чем 350 атаках, проведенных 86 APT-группами за период с 2008 по 2020 годы, и создали базу данных.
🔸Представили методологию количественной оценки и сравнения эффективности и стоимости различных стратегий обновления ПО.
🔸Оценили стоимость и эффективность различных стратегий обновлений ПО для 5 ширпотребных офисных ПО под Windows.
Какие выводы:
🔸 Надо менять механизм обновлений ПО с целью ускорения самого процесса тестирования и накатки неуязвимых версий (ну, довольно очевидно).
🔸 Нет смысла покупать информацию о зеродеях у соответствующих контор, т.к. эффективность данной стратегии крайне мала (если кратко - деньги на ветер).
В целом, выводы, наверное, для большинства очевидны, НО меня в данной работе больше всего зацепил именно проведенный анализ APT-атак и формирование базы данных, в которой можно просмотреть связь APT-групп с проведенными атаками, техниками MITRE и используемыми уязвимостями. Развернул у себя копию БД - смотрите какая красота на скринах😊 Базу можно обновлять и самому вручную, что тоже большой плюсик!
Дамп БД, скрипты и исходные данные для ее формирования можно скачать тут. Там же можно найти подборку из более чем 400 отчетов об APT-атаках в формате pdf.
В рамках данной работы авторы:
🔸Проанализировали более 500 отчетов о более чем 350 атаках, проведенных 86 APT-группами за период с 2008 по 2020 годы, и создали базу данных.
🔸Представили методологию количественной оценки и сравнения эффективности и стоимости различных стратегий обновления ПО.
🔸Оценили стоимость и эффективность различных стратегий обновлений ПО для 5 ширпотребных офисных ПО под Windows.
Какие выводы:
🔸 Надо менять механизм обновлений ПО с целью ускорения самого процесса тестирования и накатки неуязвимых версий (ну, довольно очевидно).
🔸 Нет смысла покупать информацию о зеродеях у соответствующих контор, т.к. эффективность данной стратегии крайне мала (если кратко - деньги на ветер).
В целом, выводы, наверное, для большинства очевидны, НО меня в данной работе больше всего зацепил именно проведенный анализ APT-атак и формирование базы данных, в которой можно просмотреть связь APT-групп с проведенными атаками, техниками MITRE и используемыми уязвимостями. Развернул у себя копию БД - смотрите какая красота на скринах😊 Базу можно обновлять и самому вручную, что тоже большой плюсик!
Дамп БД, скрипты и исходные данные для ее формирования можно скачать тут. Там же можно найти подборку из более чем 400 отчетов об APT-атаках в формате pdf.
👍5
Подборка сервисов рассылок новостей и дайджестов по теме информационной безопасности, а также подборка новостных лент twitter.
И еще несколько новостных лент twitter от меня:
🔹CERTs/CSIRTs
🔹Data Privacy Experts
🔹SOC/DFIR Experts
И еще несколько новостных лент twitter от меня:
🔹CERTs/CSIRTs
🔹Data Privacy Experts
🔹SOC/DFIR Experts
👍9
Агентства NSA, CISA и ODNI выпустили руководство по защите цепочек поставок программного обеспечения для разработчиков.
В данном руководстве приведены рекомендации по разработке безопасного кода, проверке сторонних компонентов, усилению защиты среды сборки и доставке кода. Также приведены ссылки на полезные ресурсы.
В будущем планируется выпустить аналогичные руководства для поставщиков и клиентов программного обеспечения.
В данном руководстве приведены рекомендации по разработке безопасного кода, проверке сторонних компонентов, усилению защиты среды сборки и доставке кода. Также приведены ссылки на полезные ресурсы.
В будущем планируется выпустить аналогичные руководства для поставщиков и клиентов программного обеспечения.
👍4
Сообщество WEF (Всемирного экономического форума) выпустило небольшую брошюру о модели безопасности "Zero Trust".
Авторы документа постарались дать более независимое (от маркетинговых заявлений) определение модели нулевого доверия, описали возможности и ограничения данной модели, а также основные принципы и рекомендации по её внедрению в организациях.
Авторы документа постарались дать более независимое (от маркетинговых заявлений) определение модели нулевого доверия, описали возможности и ограничения данной модели, а также основные принципы и рекомендации по её внедрению в организациях.