Основные изменения между восьмой и седьмой версиями CIS Controls

И в целом информация по всем обновленным/появившимся материалам в рамках CIS Controls v8

Сегодня проходил вебинар, где презентовали CIS Controls v8. На нем участники задавали вопросы, касающиеся нововведений, изменений и планов развития. Ниже кратко опишу, что запомнил интересного:

🔸 На вопрос почему же переименовали "sub-controls" в "safeguards", несмотря на то, что в ISO-стандартах нет такого термина, ответили немного размыто - мол, споров вокруг терминов много, решили, что "safeguards" более точно описывает необходимые мероприятия (меры).

🔸 CIS-Hosted CSAT (доступный по адресу https://csat.cisecurity.org/ ) будет обновлен в ближайшее время.

🔸 Начата работа над "брошюрой" (whitepaper) в части совместного использования CIS Controls и архитектуры нулевого доверия.

🔸 В планах на будущее (недалекое) маппинг CIS Controls v8 на стандарты COBIT, ISO27001, PCI DSS и другие. Рады будут помощи по реализации этих задумок.

🔸На вопрос почему убрали контроль "Limitation of ports and protocols" подчеркнули, что этот контроль превратился в защитную меру (safeguards) и вошел в состав оставшихся контролей, например, в "Secure configuration of enterprise assets and software".

🔸 Разработаны вспомогательные гайды по применению CIS Controls для Cloud, IoT, Mobile-технологий. В разработке privacy guide.

🔸 Сказали не стесняться обращаться за эксельками маппинга мер по адресу controlsinfo@cisecurity.org.
p.s. Хотя не совсем понятно зачем, если все и так можно скачать с сайта в экселе. Возможно имели в виду запрос новых разрабатываемых маппингов, которые еще не опубликованы на сайте 🤔

🔸 Community Defense Model на базе CIS Controls v8 планируется к публикации в июле 2021 года.

🔸 Маппинг мер Mitre Att&ck к CIS Controls планируется в следующем квартале (считай летом 2021 года)

Опубликована методичка о "The Unified Kill Chain" - расширенной версии традиционной cyber kill chain, состоящей из 18 уникальных фаз атаки.

Сама методичка

Очень подробное и полное описание модели безопасности платформы Android в свежей публикации (начало 2021 года) от самих инженеров по безопасности Google

Если надоели будничные угрозы безопасности и хочется чего-то нового, то можете почитать публикацию от TrendMicro “Project 2030 – Scenarios for the Future of Cybersecurity”.
Интересные рассказы о том как с приходом новых технологий (6G, Mass IoT, 4D-печать и другие) появятся и новые угрозы, направленные на обычных граждан, корпораций и государств.

Project 2030 – Scenarios for the Future of Cybersecurity

On Establishing a Cloud Security Program

Marco Lancini, автор блога CloudSecDocs, выпустил страницу, на которой собрал все активности, относящиеся к построению полноценной программы безопасности в современной облачной среде - A Cloud Security Roadmap Template. Про этот проект Marco написал также поясняющую статью.

Основная цель - аккумулировать все существующие активности, которые будут разделены на домены (Архитектура, Политики и стандарты, Цепочка поставок, Мониторинг и так далее), уровни зрелости, способы реализации и еще несколько атрибутов. Многие активности имеют связь с пунктами Cloud Controls Matrix v4.

Будет полезно также для тех, кто поддерживает self-hosted k8s, так как многие активности относятся к образам, контейнейрам, архитектуре кластера и CI/CD.

#dev #ops

Интересная реализация метода геймификации в сфере privacy

Игра, в которой надо отказываться от политик, сбора данных, cookies и тд. Прокачивает способность видеть dark patterns на сайтах, внимательно относиться к privacy и в целом быть внимательным при совершении действий на сайтах: https://termsandconditions.game/

Репозиторий с подборкой ресурсов для OSINTеров или просто ищущих информацию в Telegram
https://github.com/ItIsMeCall911/Awesome-Telegram-OSINT

Полезный каталог прямых ссылок, по которым можно запросить свои данные, обрабатываемые на различных ресурсах (соц.сети, торговые площадки и т.д.).
Помимо вышеуказанного, приведены краткие инструкции по запросу и степень сложности получения данных
https://justgetmydata.com

ФСТЭК совместно с ФГБУН "Институт системного программирования им. В.П.Иванникова Российской академии наук" и медиагруппой "Авангард" разместил на своем сайте видеолекции на тему фаззинг-тестирования
https://bdu.fstec.ru/education/

Microsoft выложили (точнее обновили) презентацию с описанием Microsoft Cybersecurity Reference Architectures. Можно использовать в качестве шаблона при разработке архитектуры безопасности или просто почитать.
https://docs.microsoft.com/en-us/security/cybersecurity-reference-architecture/mcra?WT.mc_id=EM-MVP-5002871

Презентация "Microsoft Cybersecurity Reference Architectures"

Набросал небольшую статью с советами из моей практики организации тестирования сотрудников по реагированию на фишинговые атаки
https://teletype.in/@alexredsec/RG47TnMjboH