Агентство CISA опубликовало очередное руководство для операторов критически важной инфраструктуры по противодействию атакам ransomware - как реагировать, смягчать последствия и т.д.

Есть такая организация "Cyber Security Challenge UK" (под покровительством NCA) у которой есть сайт "Cyber Games UK", где публикуют различные браузерные игры на тему ИБ. Вот, сейчас новая игра доступна CyberLand - можно использовать в образовательных целях
https://cybergamesuk.com/cybergames

"Сальса от Гугла" - бывает и такое😉
Компания Google представила фреймворк SLSA (Supply-chain Levels for Software Artifacts) для контроля целостности цепи поставок, основанный на внутренних правилах разработки в корпорации.
Цель - улучшить состояние дел в отрасли, особенно в опенсорсном пространстве ибо дела становятся плохи (да уже плохо, если честно).
Структура SLSA на картинке, подробнее в блоге Google и на гитхабе

Отличный репозиторий с подборкой ресурсов/тулз для Purple Team
https://github.com/ch33r10/EnterprisePurpleTeaming

MITRE совместно с NSA презентовали матрицу D3FEND - матрицу ответных мер, направленных на противодействие TTP, описанным в матрице ATT&CK
https://d3fend.mitre.org

Выпущен классный инструмент по локализации и кастомизации MITRE ATT&CK - ATT&CK Workbench - https://t.co/wmFwHT9JSg Навскидку, его можно попробовать и под ТТУ ФСТЭК из новой методики оценки угроз натянуть https://t.co/HR8K54q9qX
— Alexey Lukatsky (@alukatsky) Jun 23, 2021

Риторический вопрос "А вы часто повторно используете логины и пароли?"

Периодическая таблица для CISO - красивая визуализация основных проблем безопасности, которые не дают спать по ночам любому CISO😀
По каждому элементу дается краткая сводка со статистикой:
https://view.ceros.com/optiv/ciso-periodic-table-1-5-1-2-3-1

NIST в рамках исполнения указа президента (США) по повышению уровня кибербезопасности (где особое внимание обращено на безопасность цепочки поставок ПО), выпустил интересную методичку по определению "критически важного программного обеспечения".
В документе приводится:
🔸определение самого понятия критически важного ПО
🔸критерии отнесения ПО к критически важному
🔸категории такого ПО
🔸приоритеты по защите типов ПО
🔸раздел FAQ

Критически важное ПО - это любое ПО, имеющее прямые программные зависимости с одним или несколькими компонентами (или просто имеющее такие компоненты), которые обладают одним из следующих признаков:
🔸предназначен для работы с повышенными привилегиями или для управления привилегиями
🔸имеет прямой или привилегированный доступ к сетевым или вычислительным ресурсам
🔸предназначен для контроля доступа к данным или операционным технологиям
🔸выполняет функцию "critical to trust" (читать как "обеспечивающие функции безопасности")
🔸работает за пределами обычных границ доверия с привилегированным доступом (возможен неточный перевод)

Какие категории ПО попали в список критически важного?
🔹ПО класса ICAM (Identity, Credential, and Access Management)
🔹ОС, гипервизоры, контейнерные среды
🔹Веб-браузеры
🔹Средства защиты конечных точек
🔹ПО управления сетью (к примеру ПО VPN, DNS)
🔹ПО для обеспечения сетевой безопасности (firewall, ids/ips)
🔹ПО для сетевого мониторинга и управления конфигурацией
🔹ПО операционного мониторинга и анализа (SIEM)
🔹ПО удаленного сканирования (сканеры защищенности)
🔹ПО для удаленного доступа и управления конфигурацией (SCCM, MDM)
🔹ПО для резервного копирования/восстановления данных

Какова конечная цель всего этого?
❗️Разработать и внедрить меры безопасности для цепочки поставок критически важного ПО

p.s. Согласно дорожной карте NIST до 11 июля уже должен выпустить рекомендации по мерам безопасности для описанного выше ПО.

Хех, агентство CISA решило завести каталог "вредных советов", точнее "bad practices" кибербезопасности.
Видимо, когда лучшие практики не воспринимают серьезно, то проще довести как плохо) Ведь плохо делать все умеют)
https://www.cisa.gov/BadPractices

NCSC разместил на гитхабе конфигурационные файлы политик безопасности для различных популярных ОС (к примеру, файлы gpo под Windows)
Однозначно полезно и удобно. В самом репозитории есть ссылки на гайд NCSC, где кратко приведены настройки безопасности
https://github.com/ukncsc/Device-Security-Guidance-Configuration-Packs

На днях компания Veracode опубликовала очередной (ежегодный) обзор состояния безопасности программного обеспечения с открытым исходным кодом "STATE OF SOFTWARE SECURITY: VOLUME 11".
Такие обзоры мне очень нравятся, так как там приводится довольно много количественной и качественной статистики, при этом с минимумом рекламы.
Ключевые моменты:
🔸 Библиотеки с открытым исходным кодом постоянно развиваются: то, что кажется безопасным сегодня, может не быть таковым завтра.

🔸В 79% случаев разработчики никогда не обновляют сторонние библиотеки, включенные в код.

🔸При этом, 17% недостатков разработчики исправляют в течение 1 часа, а 25% в течение 1 недели.

🔸65% необходимых обновлений не нуждаются в глобальном апдейте - достаточно минорных исправлений, не влияющих на функциональность сложных программ.

🔸92% уязвимостей исправляются стандартным обновлением версий используемых библиотек.

🔸Если разработчики знают как уязвимая библиотека связана с их основным приложением, то на устранение 50% недостатков уходит 3+ недели. В ином случае - больше 7 месяцев.

В обзоре также приведены популярные используемые библиотеки в разрезе различных языков программирования и статистики по части наличия уязвимостей и их исправления.

Scorecard - интересная тулза для автоматизации проверок безопасности проектов с открытым исходным кодом по определенным критериям
https://github.com/ossf/scorecard

В продолжение темы были выпущены два документа - меры безопасности при использовании критически важного ПО и рекомендации по методам проверки разрабатываемого ПО
https://www.nist.gov/news-events/news/2021/07/nist-delivers-two-key-publications-enhance-software-supply-chain-security

Интересная статья про две крайности, две полностью противоположные несбалансированные стратегии ИБ:
🔹 YOLOsec (You Only Live Once) - живи сегодня, не думая про будущие проблемы.
🔸 FOMOsec (Fear of Missing Out) - бойся, защищай по максимуму от всего.
https://swagitda.com/blog/posts/on-yolosec-and-fomosec/

Интересное исследование на тему эмпирической оценки эффективности EDR-систем против APT-атак.
В рамках исследования поднимаются следующие вопросы:
🔸 Могут ли современные средства EDR обнаруживать распространенные методы APT-атак?
🔸 Каковы "слепые зоны" современных решений EDR?
🔸 Какую информацию предоставляют EDR-решения и каково их значение?
🔸 Как можно уменьшить значимость собираемых EDR-решениями событий или предотвратить сбор событий?

Рассматриваются такие EDR-решения как:
🔹 Carbon Black
🔹 CrowdStrike Falcon
🔹 ESET PROTECT Enterprise
🔹 F-Secure Elements EDR
🔹 Kaspersky EDR
🔹 McAfee Endpoint Protection
🔹 Sentinel One
🔹 Sophos Intercept X with EDR
🔹 Symantec Endpoint Protection
🔹 Trend Micro Apex One
🔹 Windows Defender for Endpoints

Кратко по выводам:
❗️EDR - не панацея, есть куда расти. Kaspersky EDR в лидерах по тестам, но и как все остальные многое пропускает.

https://www.mdpi.com/2624-800X/1/3/21/htm

И интересная модель злоумышленника на основе базы Mitre Att&ck в виде радиальной круговой дендрограммы из исследования выше

Свежая версия CISO MindMap 2021
https://rafeeqrehman.com/2021/07/11/ciso-mindmap-2021-what-do-infosec-professionals-really