Vulncheck опубликовали топ-50 регулярно эксплуатируемых уязвимостей 2025 года🔝
В реестре содержится информация о самой уязвимости (со ссылкой на базу Vulncheck), оценке CVSS, кол-ве публичных эксплойтов, связанных групп злоумышленников, шифровальщиков и ботнетов.

Помимо топа уязвимостей, также было опубликовано исследование об эксплуатации уязвимостей в 2025 году (ниже прикрепил).
Из интересного:
🟠В каталог Vulncheck KEV было добавлено 884 уязвимости с признаками эксплуатации, причем почти половина из них эксплуатировалось злоумышленниками до момента присвоения идентификатора CVE.
🟠Для 21% опубликованных в 2025 году уязвимостей был доступен эксплойт, однако лишь 1% уязвимостей эксплуатировался злоумышленниками.
🟠Рост использования ИИ для генерации кода привел к появлению большого количества нерабочих эксплойтов, что значительно добавило информационного шума в приоритизацию устранения уязвимостей и разведку киберугроз.
🟠Чуть больше половины уязвимостей, используемых шифровальщиками, были зеродеями, а для трети таких уязвимостей до сих пор нет эксплойтов (публичных или в продаже).

#cve #vm #exploit #report #vulncheck #kev #ransomware

Авторы фреймворка NOVA* запустили TI-портал PromptIntel, на котором аккумулируется информация об индикаторах компрометации промптов (IoPC) — специфических паттернах или артефактах внутри промптов, подаваемых в LLM, которые указывают на потенциальную эксплуатацию, злоупотребление или неправомерное использование модели.

Для каждого индикатора компрометации есть содержание "вредоносного" промпта, теги и метки, описывающие вектор угрозы, связь с моделями LLM, описание возможного негативного влияния, ссылки на источники информации и правила NOVA.
А еще у них там есть раздел MoltThreats, представляющий собой фид данных, где ИИ-агенты делятся информацией об атаках, индикаторах компрометации и мерах защиты🤖

*Фреймворк NOVA — это про генерацию правил (а-ля YARA) для мониторинга и обнаружения подозрительных запросов к LLM, описываемых ключевыми словами, регулярками и т.п.

#ai #llm #prompt #ioc #iopc #ti #nova #threat #framework

✅Немного почистил подборку полезных ресурсов на тему управления уязвимостями: удалил несколько "мертвых" ресурсов, кое-где поменял ссылки, а также добавил несколько ссылок на новые интересные проекты✅

📥Vulnerability Spoiler Alert — ресурс, демонстрирующий результаты работы утилиты Vulnerability Spoiler Alert Action, с помощью которой можно проактивно искать уязвимости на гитхабе и генерировать PoC. Принцип работы прост: утилита анализирует коммиты и пул-реквесты (с помощью прикрученного ИИ-провайдера) на наличие паттернов, описывающих устранение уязвимостей, вычисляет критичность на основе возможного влияния и пробует сгенерировать PoC.

📥PatchaPalooza — предоставляет возможность удобно "почитать" бюллетени от Microsoft. Собирает информацию в визуально приятном формате с различных источников об уязвимостях в продуктах Microsoft, в т.ч. про наличие эксплойтов.

📥Zero Day Clock — аналог часов судного дня для отслеживания медианного времени эксплуатации уязвимостей с момента их раскрытия (time-to-exploit). Помимо страшных графиков есть краткая история как мы к этому пришли и что делать в сложившейся ситуации🙂 А еще там реестр уязвимостей, для которых есть эксплойты (очередной агрегатор).

📥Live Vulnerability Intelligence & Trending CVEs — еще один ресурс про трендовые и активно эксплуатируемые уявзимости (ссылки на посты, эксплойты и прочая информация).

#vm #vulnerability #digest #prioritization #trends #cvss #epss #exploit #kev #poc

Ponemon Institute совместно с ИБ-конторой DTEX выпустили исследование о финансовых последствиях инсайдерских атак. На цифрах останавливаться не буду, а остановлюсь только на презентованной матрице рисков "Human–agent risk interaction matrix" и влиянии ИИ на рост инсайдерских угроз.

Для классификации и оценки рисков инсайдерских угроз, связанных с использованием искусственного интеллекта, сотрудники DTEX разработали специальную матрицу (см. скрин).
В основе матрицы лежит оценка намерений обеих сторон: человека (злонамеренный или незлонамеренный) и ИИ-агента (злонамеренный или незлонамеренный). На пересечении этих состояний формируются четыре основных сценария взаимодействия со своим уровнем риска и сложностью обнаружения:
1️⃣Идеальное состояние — совместная, продуктивная работа, при которой цели обеих сторон совпадают. Взаимодействие приносит взаимную выгоду, приводит к этичным результатам, и полное доверие между человеком и агентом в этом случае оправдано.
2️⃣Враждебный пользователь — в этом сценарии злоумышленником является человек. Пользователь пытается взломать систему (например, через джейлбрейки), использует атаки с помощью внедрения вредоносных промптов или применяет методы социальной инженерии по отношению к ИИ. Правильно настроенный ИИ-агент при этом должен отказывать в выполнении запросов и сопротивляться манипуляциям.
3️⃣Скомпрометированное состояние — человек не имеет дурных намерений и доверяет системе, однако ИИ-агент манипулирует пользователем, обманывает и эксплуатирует его. В результате этих действий, таких как эксфильтрация данных или саботаж, наносится ущерб, причем сам пользователь даже не подозревает о том, что он причиняет вред компании.
4️⃣Сговор — наиболее опасный сценарий, при котором намерения обеих сторон направлены на причинение вреда. Действия носят скоординированный злонамеренный характер, и в системе не остается никаких внутренних ограничений или механизмов противодействия атаке. Это создает потенциал для максимального разрушительного ущерба.

В исследовании заявляется, что главным драйвером роста финансовых потерь от внутренних угроз стала не злонамеренность сотрудников, а их халатность, многократно усиленная использованием «теневого ИИ»:
🔗Сотрудники массово используют ИИ-инструменты для ускорения работы, не фильтруя загружаемые файлы и документы.
🔗ИИ-помощники для автоматической записи встреч создают общедоступные записи с конфиденциальной информацией и персональными данными.
🔗ИИ-браузеры и агенты получают доступ к корпоративным системам, обходя классические контроли и средства логирования.
🔗Использование черных списков для блокировки доступа к ИИ-инструментам уже не помогает, так как количество новых сервисов растет в геометрической прогрессии каждый день.

С учетом массового проникновения автономных ИИ-агентов в инфраструктуру и процессы компаний, авторы предлагают рассматривать их как равноценных пользователей (потенциальных инсайдеров) и перейти к комплексной оценке рисков в соответствии с описанной выше матрицей.

#insider #risk #ai #matrix #costs

Если хотите проверить свои навыки распознавания фишинговых писем, созданных с помощью ИИ-инструментов, и одновременно помочь сообществу исследователей, то добро пожаловать на сайт "Threat Terminal" 🕹

Проект "Threat Terminal" представляет собой интерактивную игру в ретро-стиле: она является частью исследования, целью которого является оценка способности людей выявлять фишинг, созданный с использованием ИИ.
Чтобы внести вклад в исследование, необходимо пройти простую регистрацию, указать направление профессиональной деятельности (технарь/не технарь, ИБ/не ИБ) и определить "легитимность" десятка сгенерированных писем, указав степень уверенности в ответе.
После 30 кейсов открывается режим Эксперта, в котором сценарии будут посложнее👍

Чтобы было поинтереснее, добавили еще ачивки, таблицу лидеров, ранги и персональную статистику🌡

p.s. Из РФ сайт может быть недоступен.

#phishing #ai #training #research #gamification

ℹ️Интересный ресурс с аналитикой и инфографикой по киберинцидентам, зафиксированным в отчетности, подаваемой в Комиссию по ценным бумагам и биржам США (SEC).
Можно посмотреть на какие активы/процессы была направлена атака, тип злоумышленника, вектор атаки, тип влияния, а также в целом почитать про сам инцидент (кратко или сам отчет, направленный в SEC).

Интересные выводы по мнению автора ресурса:
➡️Почти 75% компаний, пострадавших от киберинцидентов, не смогли полностью восстановить свою деятельность.
➡️Более половины инцидентов связаны с утечкой данных или их уничтожением.
➡️Только в 18% инцидентов упоминается наличие киберстрахования.
➡️Финансовый сектор лидирует по количеству киберинцидентов.

#research #statistics #sec #impact #breach #threat

Удаленное выполнение кода в подарок⌨️

У кого‑то сильно пригорело из‑за «дырявости» OpenClaw — аж персональный счетчик дней без уязвимостей сделали😂
Счетчик, кстати, обнулился 1 апреля —и это не шутка)
А так, в среднем 1,8 уязвимости в день получается с момента релиза OpenClaw... И слоган говорящий: "ИИ-помощь — бесплатная RCE включена"😅

#humor #friday #cve #openclaw

📁Рабочая группа по метрикам организации FIRST выпустила в начале года каталог метрик для оценки эффективности, качества и производительности команд реагирования на инциденты (CSIRT).

В документе приведено более 80 метрик для трех (из пяти) сфер обслуживания в рамках структуры концепции предоставления услуг командой реагирования на инциденты (FIRST CSIRT Services Framework RU):
➡️Управление событиями ИБ
➡️Управление инцидентами ИБ
➡️Управление уязвимостями

Все метрики поделены на четыре категории:
1️⃣Implementation – оценивается прогресс внедрения конкретных средств контроля.
2️⃣Effectiveness – оценивается качество и точность работы процессов.
3️⃣Efficiency – анализируется скорость и своевременность выполнения операций.
4️⃣Impact – оценивается влияние на бизнес-цели и миссию организации.

Для каждой метрики определено описание, требуемые входные данные для расчета, формула расчета, единица измерения и примечание, в котором описывается суть измерения или нюансы расчета.
На иллюстрации приведены, для примера, несколько метрик из различных сфер услуг и категорий оценки.

p.s. Для сфер услуг «Передача знаний» и «Осведомлённость о ситуации» позже обещали также выпустить каталог метрик.

#metrics #csirt #soc #vm

Если хочется смоделировать сценарии кибератак, учитывающие современные методы атак и защитные меры, чуть точнее, чем метод трех П (пол, палец, потолок), то можно посмотреть онлайн-симулятор Risk Vector.
Для моделирования кибератак используется метод Монте-Карло на базе данных о векторах атак, потерях, защитных мерах из наиболее крупных исследований (IBM, WEF, CrowdStrike и другие).

Пользователю предлагается ввести ключевые параметры, характеризующие организацию:
➡️Сфера деятельности – отрасль, в которой работает компания.
➡️Размер и годовая выручка – финансовые показатели, влияющие на масштабы потенциальных потерь.
➡️Применяемые защитные меры – перечень существующих механизмов защиты.

На основе этих входных данных Risk Vector генерирует отчет, предоставляя информацию о:
➡️Возможных финансовых потерях – прогнозируемые денежные убытки от различных сценариев атак.
➡️Преобладающих типах атак – наиболее вероятные векторы угроз для данной организации.
➡️Ожидаемом времени простоя – потенциальное время восстановления после инцидента.

Точность, конечно же, будет хромать, т.к. количество симуляций (итераций) очень мало для данного метода, поэтому симулятор Risk Vector стоит рассматривать как наглядный инструмент, демонстрирующий принцип работы метода Монте-Карло в контексте кибербезопасности, для обзора современных угроз и понимания потенциальных финансовых потерь. Хотя, для небольших компаний и начинающих специалистов, этот симулятор возможно поможет получить начальную оценку рисков и дать фактуру для начала дискуссий о необходимости инвестиций в ИБ.

#risk #budget #simulator #impact #controls

Компания Anthropic в своем блоге опубликовала замечательную статью с советами по адаптации программ информационной безопасности организаций к эпохе искусственного интеллекта, который значительно ускорил и расширил возможности поиска и эксплуатации уязвимостей.

Не могу сказать, что перечень рекомендуемых мер защиты чем‑то удивил или стал откровением: получился довольно стандартный набор по современным меркам, а ценность я увидел в практических советах по автоматизации мер защиты и в проактивном подходе к тестированию системы защиты на прочность с помощью ИИ‑инструментов.

На сгенерированной иллюстрации можно увидеть краткую выжимку по мерам и использованию ИИ, но рекомендую ознакомиться с оригиналом полностью, а вот про советы по приоритизации устранения уязвимостей сделаю отдельный пост, так как там есть что обсудить с учетом ответа одной организации на пост Anthropic😏

#anthropic #ai #controls #vulnerability #vm #exposure

И так, Anthropic предлагает следующую стратегию приоритизации устранения уязвимостей:
1️⃣Закрыть все уязвимости из каталога CISA KEV; уязвимости с сетевым вектором считаются первоочередными.
2️⃣Для остальных уязвимостей использовать EPSS и устранять те, у которых значение выше установленного порога.
3️⃣Патчить публично доступные из сети Интернет системы в течение 24 часов после появления эксплойта; все остальные уязвимости — в течение нескольких дней.

Как видно, рекомендации по приоритизации выглядят "избитыми", а где-то и размытыми. Я уже отмечал выше их очевидность и шаблонность: многие авторитетные эксперты указывают, что значительная часть предложений из статьи Anthropic уже давно воспринимается как базовая практика.

В общем-то, несмотря на очевидность, к первой и последней рекомендациям особых вопросов нет: больше всего вопросов вызывает использование фактически единственного критерия приоритизации — EPSS. Здесь, однако, стоит упомянуть, что в статье Anthropic подчеркивается важность автоматизации процесса установки обновлений, а приоритизация – это мера, которая позволит не утонуть в океане уязвимостей в моменте времени.
В то же время примечательна почти мгновенная реакция Empirical Security на рекомендацию использовать EPSS в статье Anthropic. Оно и понятно: Empirical Security, действуя при поддержке FIRST, фактически стояли у истоков методологии, поэтому они оперативно поддержали (1, 2) рекомендацию, но с важной оговоркой — EPSS даёт «глобальную» оценку вероятности эксплуатации уязвимости в ближайшие 30 дней и не учитывает специфику конкретной организации (контекст инфраструктуры и применяемые меры защиты).
А далее они решили воспользоваться минутой славы и предложили прокачать приоритизацию с помощью их продуктов:
➡️Empirical Global Model – обогащает прогнозы EPSS телеметрией об эксплуатации уязвимостей в сети Интернет в реальном времени. Условно "CISA KEV на стероидах".
➡️Empirical Local Model – по сути Global Model, обогащенная телеметрией конкретной организации (данными об активах, инцидентах, мерах защиты и т.п.)

Выводы:
➡️EPSS как единственный критерий приоритизации бесполезен даже по мнению создателей этой методологии.
➡️Контекст инфраструктуры крайне важен в приоритизации.
➡️Приоритизация не заменяет процесс планового обновления и патч-менеджмента.

#prioritization #vm #epss #context #kev

⚖️Эта неделя прошла под флагом приоритизации

➡️Anthropic сказал, что "благодаря" ИИ уязвимостей находиться (и создаваться тоже 😅) будет кратно больше, поэтому посоветовал обзавестись ресурсами, автоматизацией и заняться приоритизацией.

➡️NIST решил, что проблему с бэклогом по обогащению записей в базе NVD надо решать и... просто 90% долга перенес "в корзину"😂
Да, с 15 апреля NIST ввел новый порядок обогащения записей об уязвимостях в NVD. Обогащаться будут:
🟢Уязвимости из каталога CISA KEV
🟢Уязвимости в ПО, используемом в федеральных органах власти США
🟢Уязвимости в критически важном ПО в соответствии с указом EO 14028
Всё остальное будет недостойно внимания NIST, хотя есть опция попросить лично за конкретную уязвимость😐

➡️Seemplicity выпустила неплохое исследование на тему управления экспозициями (угроз и уязвимостей), где не обошли стороной вопрос приоритизации устранения угроз. В топе следующие критерии (в порядке убывания):
🟢Бизнес-критичность активов
🟢Методики оценки критичности (например, по CVSS)
🟢Данные о киберугрозах (Threat Intelligence)
🟢Вероятность эксплуатации (например, по EPSS)
🟢Комплаинс-требования
🟢Запросы руководства или стейкхолдеров
🟢Инженерные ресурсы (на устранение)
А еще подсветили, что если у вас в организации не выстроены базовые процессы по управлению активами (например, не определены владельцы и админы активов) и есть проблема с софт-скиллами, то автоматизация вам не поможет🤷

➡️А в субботу я провёл вебинар на тему подходов и инструментов приоритизации устранения уязвимостей в рамках очередного потока курса "Vulnerability Management" учебного центра Inseca, где поделился личным опытом по этой теме.

#nist #vm #cve #prioritization #kev #vulnerability #ai