Scorecard - интересная тулза для автоматизации проверок безопасности проектов с открытым исходным кодом по определенным критериям
https://github.com/ossf/scorecard

В продолжение темы были выпущены два документа - меры безопасности при использовании критически важного ПО и рекомендации по методам проверки разрабатываемого ПО
https://www.nist.gov/news-events/news/2021/07/nist-delivers-two-key-publications-enhance-software-supply-chain-security

Интересная статья про две крайности, две полностью противоположные несбалансированные стратегии ИБ:
🔹 YOLOsec (You Only Live Once) - живи сегодня, не думая про будущие проблемы.
🔸 FOMOsec (Fear of Missing Out) - бойся, защищай по максимуму от всего.
https://swagitda.com/blog/posts/on-yolosec-and-fomosec/

Интересное исследование на тему эмпирической оценки эффективности EDR-систем против APT-атак.
В рамках исследования поднимаются следующие вопросы:
🔸 Могут ли современные средства EDR обнаруживать распространенные методы APT-атак?
🔸 Каковы "слепые зоны" современных решений EDR?
🔸 Какую информацию предоставляют EDR-решения и каково их значение?
🔸 Как можно уменьшить значимость собираемых EDR-решениями событий или предотвратить сбор событий?

Рассматриваются такие EDR-решения как:
🔹 Carbon Black
🔹 CrowdStrike Falcon
🔹 ESET PROTECT Enterprise
🔹 F-Secure Elements EDR
🔹 Kaspersky EDR
🔹 McAfee Endpoint Protection
🔹 Sentinel One
🔹 Sophos Intercept X with EDR
🔹 Symantec Endpoint Protection
🔹 Trend Micro Apex One
🔹 Windows Defender for Endpoints

Кратко по выводам:
❗️EDR - не панацея, есть куда расти. Kaspersky EDR в лидерах по тестам, но и как все остальные многое пропускает.

https://www.mdpi.com/2624-800X/1/3/21/htm

И интересная модель злоумышленника на основе базы Mitre Att&ck в виде радиальной круговой дендрограммы из исследования выше

Свежая версия CISO MindMap 2021
https://rafeeqrehman.com/2021/07/11/ciso-mindmap-2021-what-do-infosec-professionals-really

Это одновременно и смешно и больно😅

Вышло очередное обновление модели зрелости кибербезопасности "Essential Eight Maturity Model" от австралийского агентства кибербезопасности ACSC.

Ключевые изменения:
🔸 Сканирование уязвимостей для серверов, принимающих запросы из Интернет, должны проводиться ежедневно (даже для первого уровня зрелости)

🔸 Больший фокус на управление рисками

🔸 Внедрение нулевого уровня зрелости

Полезный чеклист по личной ИБ - всем известные моменты, но структурировано и с полезными ссылками.
p.s. Также есть чеклисты по DevOps security и SaaS CTO Security
https://www.goldfiglabs.com/guide/personal-infosec-security-checklist/

Очередная подборка бесплатных ресурсов по ИБ
https://www.simplycyber.io/free-cyber-resources

Квадрант Гартнера, достойный внимания😏

Вышло обновление еще одной модели зрелости кибербезопасности "The Cybersecurity Capability Maturity Model (C2M2)".
Первая версия данной модели зрелости была разработана в 2012 году Министерством энергетики США совместно с предприятиями энергетического сектора.
В версии 2.0 много полезных изменений, в том числе установлена связь со стандартом NIST "Cybersecurity Framework" (CSF)

Полезные ссылки:
🔹 Модель зрелости C2M2 v.2.0 (PDF)
🔹 Онлайн-инструмент для расчета оценки зрелости

MITRE обновила ТОП-25 самых опасных CWE
https://cwe.mitre.org/top25/archive/2021/2021_cwe_top25.html

На сайтах многих VM-вендоров можно найти ссылки на свежий Market Guide for Vulnerability Assessment от Gartner. Александр Леонов сделал обзор у себя в блоге (на английском) интересных моментов этого отчета - https://avleonov.com/2021/07/25/my-thoughts-on-the-2021-gartner-market-guide-for-vulnerability-assessment-what-about-the-quality/

Cyentia Institute совместно с F5 Labs выпустили интересное исследование "The State of the State of Application
Exploits in Security Incidents" о состоянии безопасности веб-приложений и роли атак на веб-приложения в инцидентах ИБ. Отчет сформирован путем анализа исследований вендоров на тему безопасности веб-приложений.

Ключевые выводы:
🔸 56% всех крупнейших инцидентов так или иначе связаны с ошибками безопасности веб-приложений, при этом на эти инциденты приходится суммарно 42% финансовых потерь.

🔸 254 дня - среднее время обнаружения атак, основанных на использовании уязвимостей веб-приложений.

🔸 57% всех зафиксированных финансовых потерь в результате атак, основанных на использовании уязвимостей веб-приложений, приходится на прогосударственные группировки злоумышленников (интересный вывод).

🔸 Атаки на веб-приложения занимают ТОП-1 атак 6 раз за последние 8 лет.

🔸 Эксплоиты публичных приложений занимают первые места среди техник получения первоначального доступа.

🔸 12% групп злоумышленников используют эксплоиты публичных приложений и 42% используют валидные учетные записи для получения первоначального доступа к жертвам-организациям.

🔸 Большинство вендоров сходится в том, что атаки типа "инъекции" и XSS-атаки являются наиболее распространенными.

Калькулятор оценки технологической зрелости соответствия 239-му приказу ФСТЭК - https://t.co/m4PXzxMJnb https://t.co/3eNEvYCEtI
— Alexey Lukatsky (@alukatsky) Jul 27, 2021

"The state of cloud security 2021" - очередное исследование о положении дел в облачной безопасности, а точнее даже о том, что главной проблемой являются ошибки в настройках облачной инфраструктуры (misconfiguration).
В исследовании рассматриваются причины ошибок конфигурирования (смотрим скрин), приводится статистика и способы решения проблем (внедрение Cloud Security Posture Management (CSPM), IaC и т.д.). В общем довольно информативный и лаконичный отчет получился.

И, кстати, вот опубликована классная (хотя и очередная) статья пошаговой (технической) реализации тестовой фишинговой кампании
https://sidb.in/2021/08/03/Phishing-0-to-100.html