🇨🇳 Xitoy Kiberxavfsizlik Assotsiatsiyasi (CSAC) Intelni AQSh - NSA ko'rsatmasi bo'yicha protsessorlariga "backdoor" lar kiritishda aybladi
CSAC hujjatlarida Intel protsessorlaridagi zaifliklarning ko'payishiga ishora qilib (Downfall, Reptar, GhostRace, NativeBHI va Indirector), ishlab chiquvchilar nosozliklar haqida foydalanuvchilarning har qanday shikoyatlarini e'tiborsiz qoldirishini ishonchsizlik va bilvosita bunga imkon berayotganini da'vo qiladi.
Xitoy regulyatoriga ko'ra, Intel protsessorlarida aniqlangan zaifliklar, milliy muhim axborot infratuzilmasi xavfsizligiga jiddiy tahdid soladi.
CSAC qayd etishicha 2008 yildan boshlab Intel protsessorlarida keng reklama qilingan "Active Management Technology" tarkibiga kiruvchi va kompyuterda turli buyruqlarni masofadan turib bajarish imkonini beruvchi Management Engine (ME) texnologiyasi joriy qilingan.
Agar ME faollashtirilgan bo'lsa va tarmoqqa kirish imkoni bo'lsa, hostga o'rnatilgan operatsion tizimdan qat'i nazar, unga masofadan turib kirish mumkin.
Aslida, ME - bu sizga to'liq xotiraga kirish, operatsion tizimning xavfsizlik devorlarini chetlab o'tish va tarmoq paketlarini yuborish va qabul qilish imkonini beruvchi "backdoor" dir.
Shu bilan birga, ME texnologiyasi asosida amalga oshirilgan AMT-ning o'zida 2017 yilda juda jiddiy zaiflik (CVE-2017-5689) aniqlangan, bu autentifikatsiya mexanizmini chetlab o'tish va tizimga to'g'ridan-to'g'ri kirish, kirishni qabul qilish imkonini bergan.
Bundan tashqari, CSAC hisobotida 2017 yilda NSA tashabbusi bilan yaratilgan va HAP (High Assurance Platform) da joylashgan yashirin Kill Switch-ni aniqlagan. Ishlab chiquvchi tomonidan esa bu haqida hech qanday rasmiy ma'lumot berilmagan.
Kill Switch NSAga AQShdagi qurilmalarda MEni o'chirishga imkon beradi, qolgan dunyoning barcha qismida ME ishlashda davom etadi va boshqa tizimlarni potensial zaif qoldiradi.
Oldinroq Xitoyning CVERC (National Computer Virus Emergency Response Center) "Volt Typhoon III: Unraveling Cyberespionage and Disinformation Operations Conducted by U.S. Government Agencies" nomli izlanishlarini e'lon qilgan edi, unda AQSH "besh ko'z" va uning hamkorlari dunyo bo'ylab yirik kiber josuslik amaliyotlarini o'tkazishda ayblaydi.
Manbaa: The Register - China CSA
X - Telegram - Linkedin
CSAC hujjatlarida Intel protsessorlaridagi zaifliklarning ko'payishiga ishora qilib (Downfall, Reptar, GhostRace, NativeBHI va Indirector), ishlab chiquvchilar nosozliklar haqida foydalanuvchilarning har qanday shikoyatlarini e'tiborsiz qoldirishini ishonchsizlik va bilvosita bunga imkon berayotganini da'vo qiladi.
Xitoy regulyatoriga ko'ra, Intel protsessorlarida aniqlangan zaifliklar, milliy muhim axborot infratuzilmasi xavfsizligiga jiddiy tahdid soladi.
CSAC qayd etishicha 2008 yildan boshlab Intel protsessorlarida keng reklama qilingan "Active Management Technology" tarkibiga kiruvchi va kompyuterda turli buyruqlarni masofadan turib bajarish imkonini beruvchi Management Engine (ME) texnologiyasi joriy qilingan.
Agar ME faollashtirilgan bo'lsa va tarmoqqa kirish imkoni bo'lsa, hostga o'rnatilgan operatsion tizimdan qat'i nazar, unga masofadan turib kirish mumkin.
Aslida, ME - bu sizga to'liq xotiraga kirish, operatsion tizimning xavfsizlik devorlarini chetlab o'tish va tarmoq paketlarini yuborish va qabul qilish imkonini beruvchi "backdoor" dir.
Shu bilan birga, ME texnologiyasi asosida amalga oshirilgan AMT-ning o'zida 2017 yilda juda jiddiy zaiflik (CVE-2017-5689) aniqlangan, bu autentifikatsiya mexanizmini chetlab o'tish va tizimga to'g'ridan-to'g'ri kirish, kirishni qabul qilish imkonini bergan.
Bundan tashqari, CSAC hisobotida 2017 yilda NSA tashabbusi bilan yaratilgan va HAP (High Assurance Platform) da joylashgan yashirin Kill Switch-ni aniqlagan. Ishlab chiquvchi tomonidan esa bu haqida hech qanday rasmiy ma'lumot berilmagan.
Kill Switch NSAga AQShdagi qurilmalarda MEni o'chirishga imkon beradi, qolgan dunyoning barcha qismida ME ishlashda davom etadi va boshqa tizimlarni potensial zaif qoldiradi.
Oldinroq Xitoyning CVERC (National Computer Virus Emergency Response Center) "Volt Typhoon III: Unraveling Cyberespionage and Disinformation Operations Conducted by U.S. Government Agencies" nomli izlanishlarini e'lon qilgan edi, unda AQSH "besh ko'z" va uning hamkorlari dunyo bo'ylab yirik kiber josuslik amaliyotlarini o'tkazishda ayblaydi.
Manbaa: The Register - China CSA
X - Telegram - Linkedin
👍15⚡4🔥3👏1
Unga ko'ra :
- Xotira bilan ishlash uchun xavfli bo'lgan dasturlash tillaridan foydalanish (c,c++)
- SQL so'rovlarida foydalanuvchi ma'lumotlaridan foydalanish
- Operatsion tizim buyruqlarida foydalanuvchi ma'lumotlaridan foydalanish
- Standart parollardan foydalanish
- Ma'lum bo'lgan zaifliklarning mavjudligi
- Zaif ochiq kodli dasturlardan foydalanish (opensource)
- Ko'p faktorli autentifikatsiyaning yo'qligi
- Konfiguratsiya oʻzgarishlari va tarmoq faoliyati kabi hujumlarni tahlil qilish uchun dalillar va artefaktlarni toʻplash qobiliyatining yoʻqligi
- CVE ning kech nashr,oshkor etilishi
- Mutaxassislarga qonuniy oqibatlardan qo'rqmasdan zaifliklar haqida xabar berish imkonini beruvchi zaifliklarni oshkor qilish siyosatining yo'qligi
Bular dasturning idea holatidayoq xavfsizlik talablari sifatida kiritilishi shart bo'lgan muhim jihatlardir.
O'zbekistonda ishlab chiqilgan AyTi mahsulotlardagi ojizliklar haqida va ularning ochiq e'lon qilingan xulosalari haqida hech eshitganmisiz? yuqoridagi kabi soha uchun ishlatishimiz, ssenariylarini olib o'rganish va tadbiq etish uchun xalqaro andozalar yetarlicha aslida, ularni amalga oshirish kerak xolos...
Manbaa : CISA
X - Telegram - Linkedin - Youtube
Please open Telegram to view this post
VIEW IN TELEGRAM
👍6❤1👏1
Media is too big
VIEW IN TELEGRAM
Biz eng muhim va zarur bo'lgan ehtiyojlar uchun sohadagi eng nozik muammolarni bartaraf eta oladigan, hayotiy kibertahdidlardan ximoyalanish uchun yetarlicha malaka va ko'nikmalarga ega bo'lish imkoniyatini taqdim qilamiz.
O'quv mashg'ulotlari ma'lum auditoriyaga moslashtirilgan bo'lib :
Davlat tashkilotlari, banklar, vazirliklar va IT sohasidagi dasturiy ta'minotlar ishlab chiquvchilar uchun mo'ljallangan. Bunga sabab yirik kiberxujumlar aynan shunday tashkilotlarga qaratilishida va buni natijasida minglab boshqa kichik tashkilotlar, yoki millionlab fuqarolar xavfsizligi tahdid ostida qolishi mumkin. Shu sabab ushbu o'quv kursi orqali "real hayotiy kibertahdidlar" ni simulyatsiyalash orqali tashkilotlarning axborot va kiberxavfsizlik mutaxassislarida aniq bilim va ko'nikmalarni shakllantirishdan iborat.
— O'quvchilar soni : 15 kishi
— Davomiyligi : 2 oy
— Olib boriladi : Onlayn (talabga ko'ra offlayn ham tashkil etiladi)
— Darajasi : Boshlang'ichlar uchun emas
X - Telegram - Linkedin - Youtube
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥12❤3👍2🎉2
This media is not supported in your browser
VIEW IN TELEGRAM
“25-oktyabr – Ichki ishlar organlari xodimlari kuni” munosabati bilan barcha IIV xodimlarini tabriklaymiz.
Sadoqat, jasorat va matonat hamroxingiz bo'lsin!
Sadoqat, jasorat va matonat hamroxingiz bo'lsin!
🎉5🔥4👍1
Мы предлагаем:
1️⃣ Внешний пентест
2️⃣ Внутренний пентест
3️⃣ Социальная инженерия
4️⃣ RED TEAM
В ходе работ исследователи ищут критичные уязвимости и недостатки для демонстрации действий потенциального злоумышленника, например эксплуатации уязвимостей и недостатков с целью проникновения во внутренний периметр, получения доступа к чувствительным данным компании или получения максимальных привилегий в критической инфраструктуре.
Для каждого вида тестирования создается содержательный отчёт, в котором подробно описываются:
- Все обнаруженные уязвимости
- Возможные векторы атак, подкрепленные скриншотами
- Рекомендации по устранению уязвимостей
Преимущества работы с нами:
- Собственная команда
- Постоянно держим связь и быстро отвечаем на все вопросы
- Специализированная компания по оказанию услуг ИБ полного цикла
📨 info@cyber-bro.uz
X - Telegram - Linkedin - Youtube
1️⃣ Внешний пентест
2️⃣ Внутренний пентест
3️⃣ Социальная инженерия
4️⃣ RED TEAM
В ходе работ исследователи ищут критичные уязвимости и недостатки для демонстрации действий потенциального злоумышленника, например эксплуатации уязвимостей и недостатков с целью проникновения во внутренний периметр, получения доступа к чувствительным данным компании или получения максимальных привилегий в критической инфраструктуре.
Для каждого вида тестирования создается содержательный отчёт, в котором подробно описываются:
- Все обнаруженные уязвимости
- Возможные векторы атак, подкрепленные скриншотами
- Рекомендации по устранению уязвимостей
Преимущества работы с нами:
- Собственная команда
- Постоянно держим связь и быстро отвечаем на все вопросы
- Специализированная компания по оказанию услуг ИБ полного цикла
X - Telegram - Linkedin - Youtube
Please open Telegram to view this post
VIEW IN TELEGRAM
👍3⚡1
Dasturimizning asosiy yo‘nalishlari:
— Davomiyligi : 2 oy
— Olib boriladi : Onlayn (talabga ko'ra offlayn ham tashkil etiladi)
— Darajasi : Boshlang'ichlar uchun emas
X - Telegram - Linkedin - Youtube
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5❤🔥1🔥1🎉1
Муҳим ахборот инфратузилмаси (МАИ) объектларини тоифалаш ва Реестрни юритиш Ўзбекистон Республикаси Давлат хавфсизлик хизмати томонидан амалга оширилади.
МАИ объектларини тоифалаш ва Реестрни юритиш бевосита ваколатли давлат органи ташаббусига кўра ёки унинг ёзма топшириғи асосида ваколатли давлат органининг ишчи органи – “Киберхавфсизлик маркази” ДУК томонидан амалга оширилиши мумкин.
МАИ объектларини тоифалаш тартиби ва мезонлари сифатида бир қанча критериялар кўрсатилган, шулардан :
- Ваколатли давлат органи билан келишилган ҳолда МАИ объектини тоифалаш ишлари бошқа
ташкилотлар томонидан ҳам амалга
оширилиши мумкин
- МАИ объектини тоифалаш ишлари ўттиз иш
куни ичида амалга оширилади
- МАИ объектида киберхавфсизлик ҳодисалари юз беришига сабаб бўлиши мумкин бўлган
кибертаҳдид ва заифликларни, шу жумладан бузғунчи хатти-ҳаракатлар ҳамда киберхавфсизлик
таҳдидларининг бошқа манбаларини кўриб чиқиш ва таҳлил қилиш
- МАИ объектида киберхавфсизлик ҳодисалари натижасида юзага келиши мумкин бўлган
оқибатлар ва зарар кўламини баҳолаш
МАИ объектлари 3 тоифага бўлинади :
1) юқори даражадаги МАИ
2) ўрта даражадаги МАИ
3) паст даражадаги МАИ
https://lex.uz/ru/pdfs/7217270
Please open Telegram to view this post
VIEW IN TELEGRAM
⚡4❤2👍1
The Red Teaming engagements are similar to black box external penetration tests with a few key differences that make them closer to real-world attacks. We use the ideas of well-known methodologies such as CBEST, TIBER, and AASE, and perform retrospective sessions with the SOC team to evaluate the results.
Web Application Security Assessment
External Network Pentest
Internal Network Pentest
Red Team Exercise
Mobile App Security Assessment
Source Code Security Audit
Wi-Fi Pentest
IoT Security Audit
Social Engineering
Consulting, Advisory
X - Telegram - Linkedin - Youtube
Please open Telegram to view this post
VIEW IN TELEGRAM
🏆4⚡2👍1
PDP Universitetida bir necha marta kiberxavfsizlik bo'yicha tadbirlarda ishtirok etib, talabalarga sohaning juda qiziq va nozik jihatlari haqida so'zlab berdik. Kelajakda universitet bilan ushbu memorandum doirasida doimiy kiberxavfsizlik bo'yicha master klasslar, CTF turnirlari va o'quv mashg'ulotlarini tashkil etish rejalashtirildi.
X - Telegram - Linkedin - Youtube
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍12🔥7❤2
Diplomat universiteti rahbariyati bilan ham talabalar o‘rtasida kiberxavfsizlik sohasiga qiziquvchi va o‘z karyerasini keyinchalik shu sohada davom ettirmoqchi bo‘lgan yoshlarga shart-sharoitlar yaratish va eng muhimi sifatli ta’lim berish kabi maqsadlarda anglashuv memorandumi imzolandi.
Diplomat universitetida kelajakda o‘quv mashg‘ulotlari, master-klasslar va maxsus laboratoriya tayyorlash haqida kelishib olindi.
X - Telegram - Linkedin - Youtube
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍11🔥3🏆3🎉1