Вы знали, что RAD COP активно развивает практики DevSecOps и AppSec, и речь не только о комплаенс проектах в духе ОУД4, но и о модных уровнях зрелости процессов SDLC, внедрении инструментов защиты и создании собственных утилит, связанных с безопасностью приложений?
Если вам интересно такое - подписывайтесь на наш Телеграм-канал⬇️⬇️
Если вам интересно такое - подписывайтесь на наш Телеграм-канал⬇️⬇️
Forwarded from Security Wine (бывший - DevSecOps Wine) (Rustam Guseynov)
OWASP_CycloneDX-Authoritative-Guide-to-SBOM-en.pdf
4.3 MB
OWASP Authoritative Guide to SBOM
Как может показаться из названия документа, речь пойдет об SBOM (software bill of materials), хотя, на самом деле, документ о многогранном и необъятном использовании BOM и CycloneDX (стандарт OWASP для supply chain). Да, здесь есть и про формат BOM, и про применении в SDLC на разных стадиях, но большинство внимания уделено все же сценариям использования.
Чем это может быть полезно лично для вас и вашей организации? Стандарт затрагивает такие темы как:
- Управление конфигурациями предприятия (CMDB): Отслеживание активов и управление конфигурациями в базе данных.
- Проверка целостности: Обеспечение того, что компоненты программного обеспечения не были изменены с момента их выпуска.
- Аутентичность: Подтверждение подлинности компонентов или самого SBOM.
- Анализ устаревших компонентов: Определение компонентов, которые больше не поддерживаются или устарели.
- Происхождение (Provenance): Отслеживание истории и происхождения компонентов.
- Родословная (Pedigree): Представление информации о происхождении, изменениях и вариациях компонентов.
- Управление поставщиками и рисками: Оценка и управление рисками, связанными с поставщиками и их продукцией.
- Управление цепочкой поставок: Оптимизация процессов управления поставками программных компонентов.
- Полнота состава и "известные неизвестные": Оценка полноты информации в BOM и идентификация элементов с неизвестным статусом.
- Подтверждение и проверка состава: Проверка точности и полноты информации о составе продукта на всех этапах его жизненного цикла.
- Управление криптографическими активами: Управление и отслеживание криптографических ключей, сертификатов и других элементов.
- Идентификация слабых криптографических алгоритмов: Определение и замена устаревших или уязвимых криптографических алгоритмов.
- Готовность к постквантовой криптографии (PQC): Подготовка к эре постквантовых вычислений и обеспечение безопасности криптографических систем перед лицом новых угроз.
Кстати, на сайте Белого Дома в указе от 2021 года о повышении безопасности нации указано о необходимости создания SBOM для всех критически важных программных продуктов, используемых правительственными агентствами. Это далеко не первое упоминание SBOM правительством США. Самое раннее упоминание SBOM можно найти в «Cyber Supply Chain Management and Transparency Act» от 2014 года. В целом подобная документация позволяет отлично понять "куда копать дальше" тем, кто остается работать в РФ и уже выполнил базовые задачи в рамках тематики КИИ и хочет "порешать задачи под звездочкой".
#sbom #owasp
Как может показаться из названия документа, речь пойдет об SBOM (software bill of materials), хотя, на самом деле, документ о многогранном и необъятном использовании BOM и CycloneDX (стандарт OWASP для supply chain). Да, здесь есть и про формат BOM, и про применении в SDLC на разных стадиях, но большинство внимания уделено все же сценариям использования.
Чем это может быть полезно лично для вас и вашей организации? Стандарт затрагивает такие темы как:
- Управление конфигурациями предприятия (CMDB): Отслеживание активов и управление конфигурациями в базе данных.
- Проверка целостности: Обеспечение того, что компоненты программного обеспечения не были изменены с момента их выпуска.
- Аутентичность: Подтверждение подлинности компонентов или самого SBOM.
- Анализ устаревших компонентов: Определение компонентов, которые больше не поддерживаются или устарели.
- Происхождение (Provenance): Отслеживание истории и происхождения компонентов.
- Родословная (Pedigree): Представление информации о происхождении, изменениях и вариациях компонентов.
- Управление поставщиками и рисками: Оценка и управление рисками, связанными с поставщиками и их продукцией.
- Управление цепочкой поставок: Оптимизация процессов управления поставками программных компонентов.
- Полнота состава и "известные неизвестные": Оценка полноты информации в BOM и идентификация элементов с неизвестным статусом.
- Подтверждение и проверка состава: Проверка точности и полноты информации о составе продукта на всех этапах его жизненного цикла.
- Управление криптографическими активами: Управление и отслеживание криптографических ключей, сертификатов и других элементов.
- Идентификация слабых криптографических алгоритмов: Определение и замена устаревших или уязвимых криптографических алгоритмов.
- Готовность к постквантовой криптографии (PQC): Подготовка к эре постквантовых вычислений и обеспечение безопасности криптографических систем перед лицом новых угроз.
Кстати, на сайте Белого Дома в указе от 2021 года о повышении безопасности нации указано о необходимости создания SBOM для всех критически важных программных продуктов, используемых правительственными агентствами. Это далеко не первое упоминание SBOM правительством США. Самое раннее упоминание SBOM можно найти в «Cyber Supply Chain Management and Transparency Act» от 2014 года. В целом подобная документация позволяет отлично понять "куда копать дальше" тем, кто остается работать в РФ и уже выполнил базовые задачи в рамках тематики КИИ и хочет "порешать задачи под звездочкой".
#sbom #owasp
👍5🔥1👏1
Для тех, кто пропустил конференцию «Войти в IT», делимся записью выступления нашего спикера! Посмотреть на YouTube-канале кооператива: https://youtu.be/IJXx6BtMntM
Александр Осипов - аудитор-консультант RAD COP.
Тезисы выступления:
➕ Моделирование угроз в соответствии с Методикой оценки угроз безопасности информации ФСТЭК России.
➕ Основные моменты, на которые стоит обратить внимание и ошибки, совершаемые при моделировании угроз.
➕ Банк данных угроз безопасности информации (УБИ), тактики и техники реализации УБИ ФСТЭК России, сценарии реализации УБИ и иные шаблоны (MITRE ATT&CK).
➕Перечень актуальных угроз информационных систем персональных данных (особенности формирования).
➕ Нейтрализация выявленных актуальных угроз.
Александр Осипов - аудитор-консультант RAD COP.
Тезисы выступления:
➕ Моделирование угроз в соответствии с Методикой оценки угроз безопасности информации ФСТЭК России.
➕ Основные моменты, на которые стоит обратить внимание и ошибки, совершаемые при моделировании угроз.
➕ Банк данных угроз безопасности информации (УБИ), тактики и техники реализации УБИ ФСТЭК России, сценарии реализации УБИ и иные шаблоны (MITRE ATT&CK).
➕Перечень актуальных угроз информационных систем персональных данных (особенности формирования).
➕ Нейтрализация выявленных актуальных угроз.
YouTube
Моделирование угроз информационной безопасности в информационных системах | Александр Осипов
Александр Осипов - аудитор-консультант по ИБ
• Опыт в информационной безопасности более 15 лет. Путь от рядового специалиста до руководителя отдела по информационной безопасности.
• Сейчас активно занимается консалтингом и аудитом информационной безопасности…
• Опыт в информационной безопасности более 15 лет. Путь от рядового специалиста до руководителя отдела по информационной безопасности.
• Сейчас активно занимается консалтингом и аудитом информационной безопасности…
🔥9👍1👏1
Вечер понедельника - отличное время посмотреть новости ИБ за прошедшую неделю! Новый выпуск на канале кооператива: https://youtu.be/g0QqWt0gKxA?si=JIMgKyUosf68CYog
YouTube
Новости ИБ: 1-7 июля
Смотрите и будете в курсе всех горячих новостей из сферы ИБ.
Узнать больше о нас:
Сайт: https://radcop.online
Телеграм: https://t.me/radcop_online
Вконтакте: https://vk.com/radcop.online
0:00:00 Начало
0:00:05 Мошенники на удаленке: https://www.kommer…
Узнать больше о нас:
Сайт: https://radcop.online
Телеграм: https://t.me/radcop_online
Вконтакте: https://vk.com/radcop.online
0:00:00 Начало
0:00:05 Мошенники на удаленке: https://www.kommer…
👍6❤4😁2👏1
Сегодня Кирилл Филимонов, или как знают его в профессиональном сообществе @CuriV, рассказал о своем опыте работы с PwnDoc - инструментом, который может быть полезен в автоматизации оформления отчетной документации по проектам.
Как больше «ломать» и меньше писать документацию с помощью PwnDoc? Узнайте первыми: https://habr.com/ru/companies/radcop/articles/827660
Как больше «ломать» и меньше писать документацию с помощью PwnDoc? Узнайте первыми: https://habr.com/ru/companies/radcop/articles/827660
👍6🔥1👏1
Команда специалистов RAD COP приехали в город Волжский (Волгоградская область), чтобы увидеть, как работает самоуправление более 4х лет в ИТ-компании (коллеги являются интернет-провайдером).
Организация существует с 1997 года, насчитывает более 100 сотрудников, и это хороший пример последовательного внедрения практик самоуправления в уже сформировавшейся организации. С 01 июня 2020 года POWERNET, по решению руководства, ввели режим самоуправления. Участники кооператива делятся, чем же им запомнился POWERNET.
*А для желающих углубиться в опыт коллег/тимлидов/предпринимателей/сочувствующих идеям "бирюзовых организаций" рекомендуем материалы в комментариях к новости.
Организация существует с 1997 года, насчитывает более 100 сотрудников, и это хороший пример последовательного внедрения практик самоуправления в уже сформировавшейся организации. С 01 июня 2020 года POWERNET, по решению руководства, ввели режим самоуправления. Участники кооператива делятся, чем же им запомнился POWERNET.
*А для желающих углубиться в опыт коллег/тимлидов/предпринимателей/сочувствующих идеям "бирюзовых организаций" рекомендуем материалы в комментариях к новости.
👍13❤2🕊1
Как обезопасить IT-аутсортинг?
Об этом рассказал председатель ПК РАД КОП Рустам Гусейнов, в рубрике #НеБумажный_ИБ для проекта Кибердом.
Об этом рассказал председатель ПК РАД КОП Рустам Гусейнов, в рубрике #НеБумажный_ИБ для проекта Кибердом.
👍2🔥1
Forwarded from Кибердом
Как обезопасить IT-аутсорсинг?
Динамика рынка, потребности быстрого роста, нехватка компетенций и дефицит кадров создают потребности IT-аутсорсинга. Расцветают облачные платформы, передаются на сторону задачи сопровождения IT и ИБ. Однако новые возможности – это и новые риски. А регулирование всегда отстает от жизни.
Но как в таком случае бизнес может обезопасить себя?
Давайте ответим на этот вопрос, опираясь на конкретный пример. Вспомним статью 26 ФЗ от 2 декабря 1990 г. N 395-I «О банках и банковской деятельности», согласно которой много лет действует косвенный запрет на обмен банковской тайной с контрагентами типа облачных сервисов или IT-аутсорсеров. И это понятно: охраняя конфиденциальность данных, государство снижает вероятность мошеннических действий. Потому что отсутствие информации о состоянии счетов и операций клиентов ограничивает возможности злоумышленников.
Масштаб потенциальных наказаний за нарушения – от предписаний и штрафов до лишения лицензии. Но несмотря на риски, финансовые организации лишь увеличивают использование сторонних поставщиков, следуя "духу времени". И уже сами регуляторы, например, Банк России, проводят аналитические исследования на тему вывода из «серой зоны» сложившейся практики через законодательные инициативы.
Но на текущий момент самыми надежными и проверенными подходами к решению вопроса IT-аутсорсинга для компаний остаются:
🔝 Использование приложений, которые работают с наиболее чувствительными типами информации строго на собственном оборудовании и серверах компании;
🔝 Оформление любых специалистов, имеющих доступ к чувствительной информации, в штат организации по трудовому договору, согласно нормам трудового кодекса.
То есть как в анекдоте: самой безопасной системой с точки зрения аутсорсинга оказывается та система, которая на аутсорсинг не передана. Так и живем.
#НеБумажный_ИБ
#Рустам_Гусейнов (@radcop_online)
🏠 Подписаться на Кибердом & Бизнес
Динамика рынка, потребности быстрого роста, нехватка компетенций и дефицит кадров создают потребности IT-аутсорсинга. Расцветают облачные платформы, передаются на сторону задачи сопровождения IT и ИБ. Однако новые возможности – это и новые риски. А регулирование всегда отстает от жизни.
Но как в таком случае бизнес может обезопасить себя?
Давайте ответим на этот вопрос, опираясь на конкретный пример. Вспомним статью 26 ФЗ от 2 декабря 1990 г. N 395-I «О банках и банковской деятельности», согласно которой много лет действует косвенный запрет на обмен банковской тайной с контрагентами типа облачных сервисов или IT-аутсорсеров. И это понятно: охраняя конфиденциальность данных, государство снижает вероятность мошеннических действий. Потому что отсутствие информации о состоянии счетов и операций клиентов ограничивает возможности злоумышленников.
Масштаб потенциальных наказаний за нарушения – от предписаний и штрафов до лишения лицензии. Но несмотря на риски, финансовые организации лишь увеличивают использование сторонних поставщиков, следуя "духу времени". И уже сами регуляторы, например, Банк России, проводят аналитические исследования на тему вывода из «серой зоны» сложившейся практики через законодательные инициативы.
Но на текущий момент самыми надежными и проверенными подходами к решению вопроса IT-аутсорсинга для компаний остаются:
То есть как в анекдоте: самой безопасной системой с точки зрения аутсорсинга оказывается та система, которая на аутсорсинг не передана. Так и живем.
#НеБумажный_ИБ
#Рустам_Гусейнов (@radcop_online)
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4
Для тех, кто пропустил конференцию «Войти в IT», делимся записью выступления нашего спикера!
Посмотреть на YouTube-канале кооператива: https://www.youtube.com/watch?v=zYwMxfs8uoc
Кирилл Филимонов (CuriV) - пентестер RAD COP.
Тезисы выступления:
➕ Активная и пассивная энумерация.
➕ Эксплуатация на уровне сети.
➕ Эксплуатация инфраструктуры.
➕ Эксплуатация Active Directory.
➕ Действия после эксплуатации.
Посмотреть на YouTube-канале кооператива: https://www.youtube.com/watch?v=zYwMxfs8uoc
Кирилл Филимонов (CuriV) - пентестер RAD COP.
Тезисы выступления:
➕ Активная и пассивная энумерация.
➕ Эксплуатация на уровне сети.
➕ Эксплуатация инфраструктуры.
➕ Эксплуатация Active Directory.
➕ Действия после эксплуатации.
YouTube
Гайд по анализу защищенности внутреннего периметра и кейсы из практики | Кирилл Филимонов (CuriV)
Кирилл Филимонов (CuriV) - пентестер
• Пентестер со стажем 5 + лет.
• Основатель сообществ DC7342, PermCTF
• Ведет телеграм-блог PathSecure и YT канал.
• Наставник студентов, проводит лекции, выступает на конференциях и организовывает их.
• Развивает…
• Пентестер со стажем 5 + лет.
• Основатель сообществ DC7342, PermCTF
• Ведет телеграм-блог PathSecure и YT канал.
• Наставник студентов, проводит лекции, выступает на конференциях и организовывает их.
• Развивает…
🔥4👍2👏2
Новости ИБ за прошедшую неделю уже на нашем YouTube-канале.
Все актуальные новости в одном выпуске:
https://youtu.be/kU8IThm1028?si=7GVxOD9V78s_qhnQ
#новости #иб #новости_иб #рад_коп #информационнаябезопасность
Все актуальные новости в одном выпуске:
https://youtu.be/kU8IThm1028?si=7GVxOD9V78s_qhnQ
#новости #иб #новости_иб #рад_коп #информационнаябезопасность
YouTube
Новости ИБ: 8-14 июля
Смотрите и будьте в курсе всех горячих новостей из сферы информационной безопасности.
Узнать больше о нас:
Сайт: https://radcop.online
Телеграм: https://t.me/radcop_online
Вконтакте: https://vk.com/radcop.online
0:00:04 В сеть утекли 408 тыс. строк с…
Узнать больше о нас:
Сайт: https://radcop.online
Телеграм: https://t.me/radcop_online
Вконтакте: https://vk.com/radcop.online
0:00:04 В сеть утекли 408 тыс. строк с…
ФСТЭК России совместно с Центром исследования безопасности системного ПО и критичных компонентов на конференции Certification Day 2024 объявили о том, что до 1 января 2025 года ожидают получить от разработчиков отечественного ПО список заимствованных opensource-компонентов, входящих в состав разрабатываемых продуктов для оценки на предмет наличия уязвимостей и для составления плана поддержки сертифицированных продуктов. Также предполагается, что этот перечень должен попасть в эксплуатационную документацию на продукт.
В дальнейшем такой перечень позволит быстрее и проще проходить сертификацию в отношении тех продуктов, которые используют только проверенные Центром заимствованные компоненты, а кроме того, Центр с учётом этой информации сможет централизованно и адресно предупреждать разработчиков об уязвимостях сторонник компонентов.
В ближайшее время ожидается официальное письмо «О порядке взаимодействия участников сертификации с Центром исследования безопасности системного ПО и критичных компонентов».
Для разработчиков это означает, что очень важно заранее подготовить полный перечень заимствованных компонентов в продуктах, чтобы "не тушить пожары" перед НГ. Этот перечень и ранее требовался при анализе уязвимостей и в рамках различных оценок соответствия, но сейчас составить его особенно критично.
#комплаенс #фстэк #todo #sdlc #безопаснаяразработка
В дальнейшем такой перечень позволит быстрее и проще проходить сертификацию в отношении тех продуктов, которые используют только проверенные Центром заимствованные компоненты, а кроме того, Центр с учётом этой информации сможет централизованно и адресно предупреждать разработчиков об уязвимостях сторонник компонентов.
В ближайшее время ожидается официальное письмо «О порядке взаимодействия участников сертификации с Центром исследования безопасности системного ПО и критичных компонентов».
Для разработчиков это означает, что очень важно заранее подготовить полный перечень заимствованных компонентов в продуктах, чтобы "не тушить пожары" перед НГ. Этот перечень и ранее требовался при анализе уязвимостей и в рамках различных оценок соответствия, но сейчас составить его особенно критично.
#комплаенс #фстэк #todo #sdlc #безопаснаяразработка
👍5
28 июня 2024г. ПК РАД КОП расширил лицензию ФСТЭК России на техническую защиту конфиденциальной информации (№ Л024-00107-77/00642453 от 02 марта 2023).
К старым видам работ б; д; е4; е5; е6 добавились а; г; е.
Ключевое отличие в том, что теперь, помимо оценок соответствия, внедрений средств защиты информации, пентестов и безопасной разработки, мы можем проводить аттестации информационных систем на соответствие с различными требованиями.
Ознакомиться с нашими услугами.
Ознакомиться с нашими лицензиями и сертификатами.
#иб #оргвопрос #лицензия #кооперация #фстэк #информационнаябезопасность
К старым видам работ б; д; е4; е5; е6 добавились а; г; е.
Ключевое отличие в том, что теперь, помимо оценок соответствия, внедрений средств защиты информации, пентестов и безопасной разработки, мы можем проводить аттестации информационных систем на соответствие с различными требованиями.
Ознакомиться с нашими услугами.
Ознакомиться с нашими лицензиями и сертификатами.
#иб #оргвопрос #лицензия #кооперация #фстэк #информационнаябезопасность
👍10🔥5🎉3🕊1🤝1
Для тех, кто пропустил конференцию «Войти в IT», делимся записью выступления Рустама Гусейнова - председателя кооператива РАД КОП.
Посмотреть на YouTube-канале кооператива: https://youtu.be/3mRpr1nHl4g
Тезисы выступления:
➕ О кадровом голоде в РФ и откуда берется дефицит людей и квалификации;
➕ Конкуренция за специалистов и тенденция “летунов” (смена работы каждые 1-2 года);
➕ О важности корпоративной культуры и нефинансовойксте ИТ/ИБ существуют;
➕ Почему все это долгосрочный тренд, на который стоит сделать стратегическую ставку в рамках модели управления вашей организацией/отделом/командой?
#иб #войти_в_it #кооперация #самоуправление #информационнаябезопасность
Посмотреть на YouTube-канале кооператива: https://youtu.be/3mRpr1nHl4g
Тезисы выступления:
➕ О кадровом голоде в РФ и откуда берется дефицит людей и квалификации;
➕ Конкуренция за специалистов и тенденция “летунов” (смена работы каждые 1-2 года);
➕ О важности корпоративной культуры и нефинансовойксте ИТ/ИБ существуют;
➕ Почему все это долгосрочный тренд, на который стоит сделать стратегическую ставку в рамках модели управления вашей организацией/отделом/командой?
#иб #войти_в_it #кооперация #самоуправление #информационнаябезопасность
YouTube
Самоуправление в IT и ИБ или парадокс поиска хороших сотрудников | Рустам Гусейнов
Рустам Гусейнов - председатель кооператива
• В сфере информационной безопасности с 2014 года и за время работы успел побывать в разных компаниях и ролях, как на стороне конечных заказчиков, так и в консалтинговых организациях и интеграторах.
• Занимал…
• В сфере информационной безопасности с 2014 года и за время работы успел побывать в разных компаниях и ролях, как на стороне конечных заказчиков, так и в консалтинговых организациях и интеграторах.
• Занимал…
👍3
Обновление программного обеспечения CrowdStike повлекло за собой нарушение работы операционных систем Microsoft, облачного провайдера Azure, множества аэропортов, банков, ЖД вокзалов, больниц по всему миру. Билеты в аэропортах заполняются вручную.
Аэропорт Домодедово сообщает о штатной работе всех систем.
Ситуация с Microsoft в очередной раз показывает значимость импортозамещения иностранного ПО, заявили в Минцифры РФ.
Сообщения о сбоях систем в российских аэропортах в Минцифры РФ не поступали, отметили в министерстве.
https://habr.com/ru/news/829912/
#иб #новости #microsoft #импортозамещение #информационнаябезопасность
Аэропорт Домодедово сообщает о штатной работе всех систем.
Ситуация с Microsoft в очередной раз показывает значимость импортозамещения иностранного ПО, заявили в Минцифры РФ.
Сообщения о сбоях систем в российских аэропортах в Минцифры РФ не поступали, отметили в министерстве.
https://habr.com/ru/news/829912/
#иб #новости #microsoft #импортозамещение #информационнаябезопасность
👍6