Сама методичка

Очень подробное и полное описание модели безопасности платформы Android в свежей публикации (начало 2021 года) от самих инженеров по безопасности Google

Если надоели будничные угрозы безопасности и хочется чего-то нового, то можете почитать публикацию от TrendMicro “Project 2030 – Scenarios for the Future of Cybersecurity”.
Интересные рассказы о том как с приходом новых технологий (6G, Mass IoT, 4D-печать и другие) появятся и новые угрозы, направленные на обычных граждан, корпораций и государств.

Project 2030 – Scenarios for the Future of Cybersecurity

On Establishing a Cloud Security Program

Marco Lancini, автор блога CloudSecDocs, выпустил страницу, на которой собрал все активности, относящиеся к построению полноценной программы безопасности в современной облачной среде - A Cloud Security Roadmap Template. Про этот проект Marco написал также поясняющую статью.

Основная цель - аккумулировать все существующие активности, которые будут разделены на домены (Архитектура, Политики и стандарты, Цепочка поставок, Мониторинг и так далее), уровни зрелости, способы реализации и еще несколько атрибутов. Многие активности имеют связь с пунктами Cloud Controls Matrix v4.

Будет полезно также для тех, кто поддерживает self-hosted k8s, так как многие активности относятся к образам, контейнейрам, архитектуре кластера и CI/CD.

#dev #ops

Интересная реализация метода геймификации в сфере privacy

Игра, в которой надо отказываться от политик, сбора данных, cookies и тд. Прокачивает способность видеть dark patterns на сайтах, внимательно относиться к privacy и в целом быть внимательным при совершении действий на сайтах: https://termsandconditions.game/

Репозиторий с подборкой ресурсов для OSINTеров или просто ищущих информацию в Telegram
https://github.com/ItIsMeCall911/Awesome-Telegram-OSINT

Полезный каталог прямых ссылок, по которым можно запросить свои данные, обрабатываемые на различных ресурсах (соц.сети, торговые площадки и т.д.).
Помимо вышеуказанного, приведены краткие инструкции по запросу и степень сложности получения данных
https://justgetmydata.com

ФСТЭК совместно с ФГБУН "Институт системного программирования им. В.П.Иванникова Российской академии наук" и медиагруппой "Авангард" разместил на своем сайте видеолекции на тему фаззинг-тестирования
https://bdu.fstec.ru/education/

Microsoft выложили (точнее обновили) презентацию с описанием Microsoft Cybersecurity Reference Architectures. Можно использовать в качестве шаблона при разработке архитектуры безопасности или просто почитать.
https://docs.microsoft.com/en-us/security/cybersecurity-reference-architecture/mcra?WT.mc_id=EM-MVP-5002871

Презентация "Microsoft Cybersecurity Reference Architectures"

Набросал небольшую статью с советами из моей практики организации тестирования сотрудников по реагированию на фишинговые атаки
https://teletype.in/@alexredsec/RG47TnMjboH

Агентство CISA опубликовало руководство по лучшим практикам сопоставления поведения злоумышленников (читай - TTP) с фреймворком MITRE ATT&CK™. Однозначно полезный документ - прикрепил ниже.
https://us-cert.cisa.gov/ncas/current-activity/2021/06/02/cisa-releases-best-practices-mapping-mitre-attckr

Best Practices for Mapping to MITRE ATT&CK®

База CVE от Hardening Security с указанием средней цены эксплоита на черном рынке, оценкой экономического влияния и иной полезной информацией
https://hardening-security.com/vulnerabilities

Контора "Praxiom Research Network" занимается переводом стандартов ISO и фреймворков NIST на простой английский (еще чеклисты и тулзы для аудита по ним делает) - платно, к сожалению.
Но на их сайте можно скачать полезные штуки - обзорные схемы стандартов, краткое содержание и примеры чеклистов.
Например, схему ISO 27002 Controls (картинка во вложении)

SANS Institute выпустил очередной постер на тему оценки защищенности автоматизированных систем управления (ICS) и оценки зрелости ИБ по фреймворку NIST CSF.
Даже и добавить нечего - все информативно и красиво. Умеют 👍