Залипательная инфографика и аналитика по эксплуатируемым уязвимостям🤩
Можно посмотреть топы категорий по различным критериям (критичность, вендор, оценка EPSS и т.д.), а также посмотреть информацию о количестве эксплоитов и их популярности.
⚠️ Будьте бдительны! Данная инфографика вызывает привыкание и периодически сильно нагружает браузер - можете "залипнуть" как вы, так и ваш браузер😂
Можно посмотреть топы категорий по различным критериям (критичность, вендор, оценка EPSS и т.д.), а также посмотреть информацию о количестве эксплоитов и их популярности.
⚠️ Будьте бдительны! Данная инфографика вызывает привыкание и периодически сильно нагружает браузер - можете "залипнуть" как вы, так и ваш браузер
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥8👍3❤1
Вдогонку тому, что половину бюджета CISO тратят на инструменты класса IAM, не менее интересная информация о ТОП-10 инструментов, на которые ежегодно тратятся CISO.
Как видно, IAM действительно популярен последние два года, а вот endpoint-решениями видимо все уже закупились🙂
p.s. Информация из отчета "Cybersecurity Perspectives 2023".
Как видно, IAM действительно популярен последние два года, а вот endpoint-решениями видимо все уже закупились
p.s. Информация из отчета "Cybersecurity Perspectives 2023".
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4🤔2
Хех, на днях кто-то нашел sql-инъекцию в приложении DVWA v.1.0 и на радостях решил забронировать себе номерок CVE для этой уязвимости, о чем говорит запись в каталоге NVD с идентификатором CVE-2023-39848.
А тут даже отчет лежал...
Всё бы ничего, но приложение DVWA - это, дословно, "Damn Vulnerable Web Application", т.е. широко известное (но видимо в узких кругах) учебное приложение, созданное для изучения дефектов и веб-уязвимостей🙂
Возможно, кто-то решил пошутить или проводит исследование на тему публикации, верификации уязвимостей и уровне доверия к публичным источникам🤔
А тут даже отчет лежал...
Всё бы ничего, но приложение DVWA - это, дословно, "Damn Vulnerable Web Application", т.е. широко известное (но видимо в узких кругах) учебное приложение, созданное для изучения дефектов и веб-уязвимостей
Возможно, кто-то решил пошутить или проводит исследование на тему публикации, верификации уязвимостей и уровне доверия к публичным источникам
Please open Telegram to view this post
VIEW IN TELEGRAM
😁10👍2😱1💩1🗿1
AlexRedSec
Хех, на днях кто-то нашел sql-инъекцию в приложении DVWA v.1.0 и на радостях решил забронировать себе номерок CVE для этой уязвимости, о чем говорит запись в каталоге NVD с идентификатором CVE-2023-39848. А тут даже отчет лежал... Всё бы ничего, но приложение…
Видимо начался очередной виток унижения системы CVE и верификации уязвимостей при публикации в базе NVD🙂
Вот на днях у одного из разработчиков утилиты curl бомбануло от того, что несколькими днями ранее кто-то опубликовал в каталоге NVD уязвимость CVE-2020-19909, попутно присвоив довольно критичную оценку в 9.8🤯
Мало того, что идентификатор числится за 2020 годом, а опубликован недавно, так еще и преувеличивают масштаб проблемы безопасности (по версии разработчиков этот баг вообще не влияет на безопасность).
В общем и целом, в очередной раз подсвечены проблемы оценки и верификации уязвимостей🤓
p.s. Баг в curl был устранен сразу же после того, как о нем заявили разработчикам еще осенью 2019 года😏
p.p.s. В бюллетене Ubuntu уязвимость помечена как "низкоприоритетная".
Вот на днях у одного из разработчиков утилиты curl бомбануло от того, что несколькими днями ранее кто-то опубликовал в каталоге NVD уязвимость CVE-2020-19909, попутно присвоив довольно критичную оценку в 9.8🤯
Мало того, что идентификатор числится за 2020 годом, а опубликован недавно, так еще и преувеличивают масштаб проблемы безопасности (по версии разработчиков этот баг вообще не влияет на безопасность).
В общем и целом, в очередной раз подсвечены проблемы оценки и верификации уязвимостей
p.s. Баг в curl был устранен сразу же после того, как о нем заявили разработчикам еще осенью 2019 года
p.p.s. В бюллетене Ubuntu уязвимость помечена как "низкоприоритетная".
Please open Telegram to view this post
VIEW IN TELEGRAM
👍8🔥2😁1
CIS (Center for Internet Security) выпустил интересное руководство по стоимости внедрения базовых мер CIS Controls (Implementation Group 1).
Для реализации каждой меры приведен перечень инструментов для внедрения и, соответственно, их базовая стоимость в зависимости от "размера" организации (методика профилирования также приведена).
Для реализации каждой меры приведен перечень инструментов для внедрения и, соответственно, их базовая стоимость в зависимости от "размера" организации (методика профилирования также приведена).
👍11🔥4
Компания Flashpoint опубликовала полугодовой отчет "Sales and Purchases of Vulnerability Exploits" о рынке эксплойтов - что продают, что хотят купить злоумышленники и по какой цене.
На скринах приведены "популярные" уязвимости, эксплойтами для которых активно интересовались в первый и второй кварталы этого года. В целом, в списках довольно ожидаемые "участники" - выделяется, пожалуй (для нашего рынка), только уязвимость для сетевого оборудования вендора Drytek.
Разброс цен - от 600 до 30000💰
На скринах приведены "популярные" уязвимости, эксплойтами для которых активно интересовались в первый и второй кварталы этого года. В целом, в списках довольно ожидаемые "участники" - выделяется, пожалуй (для нашего рынка), только уязвимость для сетевого оборудования вендора Drytek.
Разброс цен - от 600 до 30000💰
👍2🔥1🤔1
Cyentia Institute провел анализ данных, предоставленных компанией XM Cyber из их продукта класса CTEM (Continuous Threat Exposure Management), и на основе полученных результатов выкатил интересное исследование "Navigating the Paths of Risk: The State of Exposure Management in 2023".
В отчете привлекла аналитика по популярным уязвимостям, которые могут быть использованы (до сих пор) для реализации кибератак в организациях (первый скрин).
Например, уязвимости в ПО UltraVNC и aPAColypse, выявленные в 2017-2019 годах, наряду с EternalBlue и BlueKeep, всё еще не везде устранены... И это с учетом того факта, что в этих организациях, судя по всему, есть приличные бюджеты на КБ раз они купили решение класса CTEM/APM🤪
А всё почему?А потому что, цитирую, "it
can take a surprisingly long time to remediate vulnerabilities in enterprise environments"🥲
В подтвеждение этому информация о времени устранения выявленных уязвимостей на втором скрине - на ликвидацию их всех может уходить больше 6 месяцев! И это речь лишь про активно эксплуатируемые уязвимости😵💫
В отчете привлекла аналитика по популярным уязвимостям, которые могут быть использованы (до сих пор) для реализации кибератак в организациях (первый скрин).
Например, уязвимости в ПО UltraVNC и aPAColypse, выявленные в 2017-2019 годах, наряду с EternalBlue и BlueKeep, всё еще не везде устранены... И это с учетом того факта, что в этих организациях, судя по всему, есть приличные бюджеты на КБ раз они купили решение класса CTEM/APM
А всё почему?А потому что, цитирую, "it
can take a surprisingly long time to remediate vulnerabilities in enterprise environments"🥲
В подтвеждение этому информация о времени устранения выявленных уязвимостей на втором скрине - на ликвидацию их всех может уходить больше 6 месяцев! И это речь лишь про активно эксплуатируемые уязвимости😵💫
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2🤔2❤1🔥1
Для интересующихся забугорным рынком кибербезопасности и инвестициями советую полистать полугодовой отчет "Cybersecurity Market Review" от Momentum Cyber.
Как констатируют в исследовании, рынок КБ восстанавливается, хотя и активность меньше, чем за аналогичный период 2022 года.
Инвесторы обращают активное внимание на сектор безопасности для AI-технологий, а также безопасность данных и управление идентификацией и доступом.
Помимо обзора рынка еще можно найти небольшие обзоры конференций, громких взломов и тенденций за первое полугодие 2023 года.
p.s. На карте рынка кибербезопасности можно найти и отечественного вендора😎
Как констатируют в исследовании, рынок КБ восстанавливается, хотя и активность меньше, чем за аналогичный период 2022 года.
Инвесторы обращают активное внимание на сектор безопасности для AI-технологий, а также безопасность данных и управление идентификацией и доступом.
Помимо обзора рынка еще можно найти небольшие обзоры конференций, громких взломов и тенденций за первое полугодие 2023 года.
p.s. На карте рынка кибербезопасности можно найти и отечественного вендора
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍7🔥4
Продолжает развиваться проект OpenCRE - агрегатор требований по безопасной разработке из различных стандартов и баз (ASVS, SAMM, ISO27XXX, NIST, CWE, CAPEC и другие).
Проект просто пушка🔥
Недавно разработчики обновили каталог, добавив связи с новыми источниками требований, а на днях выкатили своего чат-бота, с прикрученным PaLM от Google. Преимуществом OpenCRE-chat заявляется высокая точность ответов, так как информация берется из доверенных источников (best practics) и "не захламляется непроверенной информацией с других ресурсов"🧐
Проект просто пушка
Недавно разработчики обновили каталог, добавив связи с новыми источниками требований, а на днях выкатили своего чат-бота, с прикрученным PaLM от Google. Преимуществом OpenCRE-chat заявляется высокая точность ответов, так как информация берется из доверенных источников (best practics) и "не захламляется непроверенной информацией с других ресурсов"🧐
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥13👍3🤩2
This media is not supported in your browser
VIEW IN TELEGRAM
Фишинг глазами аналитика SOC
#пятничное
#пятничное
😁17🤡1
В Qualys решили не дожидаться окончания года и выкатили аналитику по ТОП-10 наиболее эксплуатируемым уязвимостям в 2023 году.
По списку популярных у злоумышленников уязвимостей всё примерно ожидаемо. Более привлекает аналитика по "среднему времени жизни" уязвимостей, времени их устранения и статистики по частоте их "патчевания".
Особо наблюдательные могли заметить, что на скрине указано не 10, а 8 уязвимостей - ну просто по ним нет более подробной информации, поэтому их и не отобразили🙂
Главный вывод простой: трендовые уязвимости надо патчить быстро, а противлома APT нет приема.
Здесь нет корреляции между временем обнаружения уязвимости и сроком выпуска патчей вендором. Наглядным примером является уязвимость в MOVEit Transfer - ее довольно быстро обнаружили и выпустили обновление с заплаткой, но это не спасло несколько сотен компаний, так как они затянули с обновлением (и затягивают до сих пор)😐
По списку популярных у злоумышленников уязвимостей всё примерно ожидаемо. Более привлекает аналитика по "среднему времени жизни" уязвимостей, времени их устранения и статистики по частоте их "патчевания".
Особо наблюдательные могли заметить, что на скрине указано не 10, а 8 уязвимостей - ну просто по ним нет более подробной информации, поэтому их и не отобразили
Главный вывод простой: трендовые уязвимости надо патчить быстро, а против
Здесь нет корреляции между временем обнаружения уязвимости и сроком выпуска патчей вендором. Наглядным примером является уязвимость в MOVEit Transfer - ее довольно быстро обнаружили и выпустили обновление с заплаткой, но это не спасло несколько сотен компаний, так как они затянули с обновлением (и затягивают до сих пор)
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3🤔2🔥1
Лень заниматься приоритизацией? Хочется сразу иметь перечень уязвимостей, которые точно стоило бы устранить?
Тогда вот ежечасно обновляемый перечень наиболее опасных и эксплуатируемых уязвимостей😉
Список формируется из нескольких источников:
➡️ CISA KEV
➡️ Rapid 7 Metasploit Modules
➡️ Project Discovery Nuclei Templates
➡️ EPSS
На текущий момент чуть более 2000 уязвимостей получается🙂
Подробнее о проекте➡️ Patchthis.app
Тогда вот ежечасно обновляемый перечень наиболее опасных и эксплуатируемых уязвимостей
Список формируется из нескольких источников:
На текущий момент чуть более 2000 уязвимостей получается
Подробнее о проекте
Please open Telegram to view this post
VIEW IN TELEGRAM
❤🔥5👍1😁1🤯1💯1