Это одновременно и смешно и больно😅

Вышло очередное обновление модели зрелости кибербезопасности "Essential Eight Maturity Model" от австралийского агентства кибербезопасности ACSC.

Ключевые изменения:
🔸 Сканирование уязвимостей для серверов, принимающих запросы из Интернет, должны проводиться ежедневно (даже для первого уровня зрелости)

🔸 Больший фокус на управление рисками

🔸 Внедрение нулевого уровня зрелости

Полезный чеклист по личной ИБ - всем известные моменты, но структурировано и с полезными ссылками.
p.s. Также есть чеклисты по DevOps security и SaaS CTO Security
https://www.goldfiglabs.com/guide/personal-infosec-security-checklist/

Очередная подборка бесплатных ресурсов по ИБ
https://www.simplycyber.io/free-cyber-resources

Квадрант Гартнера, достойный внимания😏

Вышло обновление еще одной модели зрелости кибербезопасности "The Cybersecurity Capability Maturity Model (C2M2)".
Первая версия данной модели зрелости была разработана в 2012 году Министерством энергетики США совместно с предприятиями энергетического сектора.
В версии 2.0 много полезных изменений, в том числе установлена связь со стандартом NIST "Cybersecurity Framework" (CSF)

Полезные ссылки:
🔹 Модель зрелости C2M2 v.2.0 (PDF)
🔹 Онлайн-инструмент для расчета оценки зрелости

MITRE обновила ТОП-25 самых опасных CWE
https://cwe.mitre.org/top25/archive/2021/2021_cwe_top25.html

На сайтах многих VM-вендоров можно найти ссылки на свежий Market Guide for Vulnerability Assessment от Gartner. Александр Леонов сделал обзор у себя в блоге (на английском) интересных моментов этого отчета - https://avleonov.com/2021/07/25/my-thoughts-on-the-2021-gartner-market-guide-for-vulnerability-assessment-what-about-the-quality/

Cyentia Institute совместно с F5 Labs выпустили интересное исследование "The State of the State of Application
Exploits in Security Incidents" о состоянии безопасности веб-приложений и роли атак на веб-приложения в инцидентах ИБ. Отчет сформирован путем анализа исследований вендоров на тему безопасности веб-приложений.

Ключевые выводы:
🔸 56% всех крупнейших инцидентов так или иначе связаны с ошибками безопасности веб-приложений, при этом на эти инциденты приходится суммарно 42% финансовых потерь.

🔸 254 дня - среднее время обнаружения атак, основанных на использовании уязвимостей веб-приложений.

🔸 57% всех зафиксированных финансовых потерь в результате атак, основанных на использовании уязвимостей веб-приложений, приходится на прогосударственные группировки злоумышленников (интересный вывод).

🔸 Атаки на веб-приложения занимают ТОП-1 атак 6 раз за последние 8 лет.

🔸 Эксплоиты публичных приложений занимают первые места среди техник получения первоначального доступа.

🔸 12% групп злоумышленников используют эксплоиты публичных приложений и 42% используют валидные учетные записи для получения первоначального доступа к жертвам-организациям.

🔸 Большинство вендоров сходится в том, что атаки типа "инъекции" и XSS-атаки являются наиболее распространенными.

Калькулятор оценки технологической зрелости соответствия 239-му приказу ФСТЭК - https://t.co/m4PXzxMJnb https://t.co/3eNEvYCEtI
— Alexey Lukatsky (@alukatsky) Jul 27, 2021

"The state of cloud security 2021" - очередное исследование о положении дел в облачной безопасности, а точнее даже о том, что главной проблемой являются ошибки в настройках облачной инфраструктуры (misconfiguration).
В исследовании рассматриваются причины ошибок конфигурирования (смотрим скрин), приводится статистика и способы решения проблем (внедрение Cloud Security Posture Management (CSPM), IaC и т.д.). В общем довольно информативный и лаконичный отчет получился.

И, кстати, вот опубликована классная (хотя и очередная) статья пошаговой (технической) реализации тестовой фишинговой кампании
https://sidb.in/2021/08/03/Phishing-0-to-100.html

Наш друг @entry_p0int перевёл на русский, тот самый екселевский само-аудит для проверки защищённости компаний. За что ему честь и хвала!

Информативная диаграмма жизненного цикла ransomware-атаки с возможными мерами защиты на каждом из этапов от новозеландского CERT. Подробнее почитать и скачать диаграмму в качестве можно в разделе руководств CERT NZ

Обучающий квиз по фишингу от проекта Jigsaw (Google)
https://phishingquiz.withgoogle.com

Cyber Defenders 2021 - ежегодное большое исследование от CBInsights о направлениях, формирующих будущее сферы кибербезопасности, и компаниях (стартапах), преуспевающих в данных направлениях.

Неплохая статья с кратким обзором популярных менеджеров паролей
https://vc.ru/services/284265-chtoby-ne-zabyt-spisok-platnyh-i-besplatnyh-menedzherov-paroley

Ух, нашел классный ресурс Thinkst, где выкладывают ежеквартальные дайджесты по исследованиям, докладам с конференций и прочим ресерчам ИБ. Дайджест представляет собой pdf-файл, в котором приведены краткие описания исследований и ссылки на первоисточники. Ниже ссылка и последний дайджест для ознакомления.
https://thinkst.com/ts.html