SocVel Cybersecurity Quiz - интересный еженедельный квиз из 10 вопросов на тему событий кибербезопасности за прошедшую неделю. Можете проверить на сколько вы погружены и следите за новостями. Пример вопроса на скрине. В любом случае при ответе дается ссылка на первоисточник события и можно почитать интересную аналитику/новость😉
👍6
ЕЦБ (Европейский центральный банк) опубликовал методичку с лучшими практиками по имплементации в процесс тестирования и правильному применению "пурпурных команд" (Purple Team).
Да, методичка "заточена" под стандарт и платформу TIBER-EU (European Framework for Threat Intelligence-based Ethical Red Teaming), но чего-то сильно узкоспециализированного в рекомендациях я не увидел, поэтому смело можно читать и брать что-то полезное на вооружение.
Да, методичка "заточена" под стандарт и платформу TIBER-EU (European Framework for Threat Intelligence-based Ethical Red Teaming), но чего-то сильно узкоспециализированного в рекомендациях я не увидел, поэтому смело можно читать и брать что-то полезное на вооружение.
👍2🔥1
На Black Hat 2022 презентовали Open Cybersecurity Schema Framework - стандарт, призванный устранить проблему того, что различные организации оперируют собственными терминологиями при описании событий и угроз кибербезопасности.
В фреймворке OCSF определены типы данных, атрибуты, классы и категории событий и т.п.
Наглядно посмотреть матрицу конструкций OCSF можно тут, а почитать подробнее про сам фреймворк здесь.
p.s. Хорошая инициатива, но взлетит ли - это вопрос)
В фреймворке OCSF определены типы данных, атрибуты, классы и категории событий и т.п.
Наглядно посмотреть матрицу конструкций OCSF можно тут, а почитать подробнее про сам фреймворк здесь.
p.s. Хорошая инициатива, но взлетит ли - это вопрос)
🤔1
Компания Ermetic, специализирующаяся на облачной кибербезопасности, в этом году разработала собственную модель зрелости облачной безопасности Ermetic Cloud Security Maturity Model.
Данная модель зрелости объединяет 16 отдельных доменов облачной безопасности в организационные и технологические вопросы. Группа организационных вопросов состоит из двух областей: "People" и "Processes" - вместе эти области охватывают семь доменов.
Технологическая группа состоит из трех областей — "Visibility", "Prevention" и "Detection"; вместе эти области охватывают девять доменов.
Для каждого домена организация оценивается как соответствующая стандартам для одного из четырех уровней зрелости:
🔹Ad Hoc
🔹Opportunistic
🔹Repeatable
🔹Automated and Integrated
А вдогонку Ermetic совместно с Osterman Research провели опрос 326 крупных компаний, оценив их уровень зрелости по своей модели.
Ключевые выводы:
🔹В целом, зрелость низкая: 84% компаний были на первых двух уровнях и только 16% на двух высших.
🔹42% компаний, инвестирующих более 50 человеко-часов в неделю в облачную безопасность, достигают самых высоких уровней зрелости.
🔹Чем больше различных облаков, используется в компании, тем ниже ее уровень зрелости.
🔹81% компаний не имеют полного представления о своих активах, доступных напрямую из сети Интернет...
При этом, компании с высоким уровнем зрелости выделяли пять главных приоритетов в облачной безопасности:
🔹Обнаружение ошибок в конфигурациях облаков.
🔹Полное покрытие процесса отслеживания и исследования действий пользователей и сервисов/приложений.
🔹Обеспечение своевременного (JIT) доступа для команд разработчиков/DevOps/инженеров к облачным средам.
🔹Оценка соответствия лучшим практикам и стандартам безопасности.
🔹Обеспечение минимизации прав доступа как для пользователей, так и для сервисов/приложений.
Подробнее можно почитать тут. Ниже также приложил брошюру про саму модель зрелости и отчет по результатам опроса компаний.
Данная модель зрелости объединяет 16 отдельных доменов облачной безопасности в организационные и технологические вопросы. Группа организационных вопросов состоит из двух областей: "People" и "Processes" - вместе эти области охватывают семь доменов.
Технологическая группа состоит из трех областей — "Visibility", "Prevention" и "Detection"; вместе эти области охватывают девять доменов.
Для каждого домена организация оценивается как соответствующая стандартам для одного из четырех уровней зрелости:
🔹Ad Hoc
🔹Opportunistic
🔹Repeatable
🔹Automated and Integrated
А вдогонку Ermetic совместно с Osterman Research провели опрос 326 крупных компаний, оценив их уровень зрелости по своей модели.
Ключевые выводы:
🔹В целом, зрелость низкая: 84% компаний были на первых двух уровнях и только 16% на двух высших.
🔹42% компаний, инвестирующих более 50 человеко-часов в неделю в облачную безопасность, достигают самых высоких уровней зрелости.
🔹Чем больше различных облаков, используется в компании, тем ниже ее уровень зрелости.
🔹81% компаний не имеют полного представления о своих активах, доступных напрямую из сети Интернет...
При этом, компании с высоким уровнем зрелости выделяли пять главных приоритетов в облачной безопасности:
🔹Обнаружение ошибок в конфигурациях облаков.
🔹Полное покрытие процесса отслеживания и исследования действий пользователей и сервисов/приложений.
🔹Обеспечение своевременного (JIT) доступа для команд разработчиков/DevOps/инженеров к облачным средам.
🔹Оценка соответствия лучшим практикам и стандартам безопасности.
🔹Обеспечение минимизации прав доступа как для пользователей, так и для сервисов/приложений.
Подробнее можно почитать тут. Ниже также приложил брошюру про саму модель зрелости и отчет по результатам опроса компаний.
👍7🔥2
Недавно вышел очередной квартальный выпуск ThinkstScapes, а там ссылочка на интересное исследование про стратегии обновления ПО, а если быть точнее, то про количественную оценку эффективности стратегий обновлений ПО для противодействия APT-атакам - "Software Updates Strategies:A Quantitative Evaluation Against Advanced Persistent Threats".
В рамках данной работы авторы:
🔸Проанализировали более 500 отчетов о более чем 350 атаках, проведенных 86 APT-группами за период с 2008 по 2020 годы, и создали базу данных.
🔸Представили методологию количественной оценки и сравнения эффективности и стоимости различных стратегий обновления ПО.
🔸Оценили стоимость и эффективность различных стратегий обновлений ПО для 5 ширпотребных офисных ПО под Windows.
Какие выводы:
🔸 Надо менять механизм обновлений ПО с целью ускорения самого процесса тестирования и накатки неуязвимых версий (ну, довольно очевидно).
🔸 Нет смысла покупать информацию о зеродеях у соответствующих контор, т.к. эффективность данной стратегии крайне мала (если кратко - деньги на ветер).
В целом, выводы, наверное, для большинства очевидны, НО меня в данной работе больше всего зацепил именно проведенный анализ APT-атак и формирование базы данных, в которой можно просмотреть связь APT-групп с проведенными атаками, техниками MITRE и используемыми уязвимостями. Развернул у себя копию БД - смотрите какая красота на скринах😊 Базу можно обновлять и самому вручную, что тоже большой плюсик!
Дамп БД, скрипты и исходные данные для ее формирования можно скачать тут. Там же можно найти подборку из более чем 400 отчетов об APT-атаках в формате pdf.
В рамках данной работы авторы:
🔸Проанализировали более 500 отчетов о более чем 350 атаках, проведенных 86 APT-группами за период с 2008 по 2020 годы, и создали базу данных.
🔸Представили методологию количественной оценки и сравнения эффективности и стоимости различных стратегий обновления ПО.
🔸Оценили стоимость и эффективность различных стратегий обновлений ПО для 5 ширпотребных офисных ПО под Windows.
Какие выводы:
🔸 Надо менять механизм обновлений ПО с целью ускорения самого процесса тестирования и накатки неуязвимых версий (ну, довольно очевидно).
🔸 Нет смысла покупать информацию о зеродеях у соответствующих контор, т.к. эффективность данной стратегии крайне мала (если кратко - деньги на ветер).
В целом, выводы, наверное, для большинства очевидны, НО меня в данной работе больше всего зацепил именно проведенный анализ APT-атак и формирование базы данных, в которой можно просмотреть связь APT-групп с проведенными атаками, техниками MITRE и используемыми уязвимостями. Развернул у себя копию БД - смотрите какая красота на скринах😊 Базу можно обновлять и самому вручную, что тоже большой плюсик!
Дамп БД, скрипты и исходные данные для ее формирования можно скачать тут. Там же можно найти подборку из более чем 400 отчетов об APT-атаках в формате pdf.
👍5
Подборка сервисов рассылок новостей и дайджестов по теме информационной безопасности, а также подборка новостных лент twitter.
И еще несколько новостных лент twitter от меня:
🔹CERTs/CSIRTs
🔹Data Privacy Experts
🔹SOC/DFIR Experts
И еще несколько новостных лент twitter от меня:
🔹CERTs/CSIRTs
🔹Data Privacy Experts
🔹SOC/DFIR Experts
👍9
Агентства NSA, CISA и ODNI выпустили руководство по защите цепочек поставок программного обеспечения для разработчиков.
В данном руководстве приведены рекомендации по разработке безопасного кода, проверке сторонних компонентов, усилению защиты среды сборки и доставке кода. Также приведены ссылки на полезные ресурсы.
В будущем планируется выпустить аналогичные руководства для поставщиков и клиентов программного обеспечения.
В данном руководстве приведены рекомендации по разработке безопасного кода, проверке сторонних компонентов, усилению защиты среды сборки и доставке кода. Также приведены ссылки на полезные ресурсы.
В будущем планируется выпустить аналогичные руководства для поставщиков и клиентов программного обеспечения.
👍4
Сообщество WEF (Всемирного экономического форума) выпустило небольшую брошюру о модели безопасности "Zero Trust".
Авторы документа постарались дать более независимое (от маркетинговых заявлений) определение модели нулевого доверия, описали возможности и ограничения данной модели, а также основные принципы и рекомендации по её внедрению в организациях.
Авторы документа постарались дать более независимое (от маркетинговых заявлений) определение модели нулевого доверия, описали возможности и ограничения данной модели, а также основные принципы и рекомендации по её внедрению в организациях.
Белферский центр науки и международных отношений опубликовал свежее исследование с рейтингом национального индекса киберсилы (кибермощи, если так приятнее уху).
По сравнению с предыдущим рейтингом, Россия ворвалась в ТОП-3, сместив на четвертое место Великобританию - за счет увеличения количества киберопераций.
Если смотреть на конкретные направления индекса, то можно увидеть, что (по мнению исследователей) у нашей страны проседают такие направления как разведка, защита и нормотворчество (ха-ха).
Из других интересностей Индекса:
- Иран и Украина резко поднялись в рейтинге. Обе страны показывают успехи в индексе деструктивных возможностей.
- Соседи Китая в лице Республики Корея и Вьетнама также понялись выше. В основном благодаря декларированию развития киберсилы по многим направлениям.
По сравнению с предыдущим рейтингом, Россия ворвалась в ТОП-3, сместив на четвертое место Великобританию - за счет увеличения количества киберопераций.
Если смотреть на конкретные направления индекса, то можно увидеть, что (по мнению исследователей) у нашей страны проседают такие направления как разведка, защита и нормотворчество (ха-ха).
Из других интересностей Индекса:
- Иран и Украина резко поднялись в рейтинге. Обе страны показывают успехи в индексе деструктивных возможностей.
- Соседи Китая в лице Республики Корея и Вьетнама также понялись выше. В основном благодаря декларированию развития киберсилы по многим направлениям.
👍5❤🔥1