Архив за месяц: Март 2023

Прочитал пост Алексея Лукацкого про его поездку на GISEC в Дубай

Прочитал пост Алексея Лукацкого про его поездку на GISEC в Дубай. Там у него, среди прочего, занимательное наблюдение про "посконно русские названия компаний, под которыми на бейджах было написано «United Arab Emirates»" и компанию, которая вымарала все упоминания о своих российских корнях, хотя "10 лет назад она сидела в обычном офисе в Санкт-Петербурге". Сложно это не замечать, но какого-то определенного отношения к этому у меня пока нет.

С одной стороны, пусть хоть Гондурас в качестве "порта приписки" пишут, если это дополнительные продажи дает и позволяет российскую компанию эффективнее развивать. С другой стороны, это можно воспринимать как признак нелояльности: свои тушки и деньги в зарубежных юрисдикциях держат, а в РФ отечественным вендором считаются, кому лояльны/с кем на самом деле сотрудничают - вопрос.

Вы к чему больше склоняетесь?

CIS OVAL Repository съехал на GitHub

1 комментарий

CIS OVAL Repository съехал на GitHub. Обнаружил, что в феврале этого года CIS настроили редирект с oval.cisecurity.org на github.com/CISecurity/OVALRepo. И это так себе новость, т.к. похоже проект окончательно загнулся и CIS утратили к нему интерес. По случаю хочется сделать небольшой экскурс в историю.

Начиная с 2005 года, развитием OVAL (Open Vulnerability and Assessment Language) занималась корпорация MITRE. Как артефакт тех времен остался сайт https://oval.mitre.org/. Там была подробная адекватная документация. Был открытый интерпретатор для OVAL (OVALdi). Был реестр совместимых продуктов. Одним из этих совместимых продуктов там значится сторонний OVAL репозиторий Positive Technologies (ныне не работает, можно в архиве глянуть), я приложил к нему руку. 😉 Ещё прикольная строчка это ALTX-SOFT RedCheck как OVAL-ный сканер.

Ещё там был центральный репозиторий, в который можно было контрибьютить OVAL контент. А компаниям, которые больше всех этим занимались, давали Top Contributor Award. Можно посмотреть, что с 2012 года до 2015 года топовым контрибьютором был наш отечественный ALTX-SOFT.

В 2015 в MITRE что-то произошло. Видимо что-то связанное с финансированием. Всю эту OVAL-ную тему начали резко сворачивать. Разработчики разбежались. Сам стандарт ушел в NIST и кое-как поддерживается теперь в рамках SCAP. А центральный репозиторий отдали в CIS (Center for Internet Security). Веб-репозиторий кое-как повторили. Но на этом всё и закончилось. Какого-то развития от CIS больше не было. Даже Top Contributor Award не восстановили. И вот сейчас даже веб-страницы OVAL Repostory убрали с сайта CIS, сделали редирект на GitHub. И на сайте CIS-а упоминания проекта OVAL Repostory больше нет. 🤷‍♂️

А в самом репозитории на GitHub практически нет свежих коммитов. Какие-то коммиты есть только по дефинишенам для уязвимостей. Но, например, более-менее массово уязвимости Windows добавляли последний раз в июне прошлого года.

Почему загнулся центральный репозиторий OVAL контента MITRE/CIS?

1. Пока проект был в MITRE он был достаточно живой. Очевидно потому, что были люди, которые работали над ним на фулл-тайм за гос. финансирование. Как минимум, они неплохо драйвили работу с комьюнити, минутки встреч OVAL Board было интересно почитать.
2. CIS в принципе были мало заинтересованы в этом проекте. Основное у них это CIS Benchmarks и CIS Controls. Да, они используют OVAL-контент для проверок конфигураций Windows хостов в CIS CAT, но и только.
3. Vulnerability Management вендоры не заинтересованы контрибьютить свои детекты уязвимостей. Даже если они у них есть в виде OVAL. Да, для части вендоров интересно было получать Top Contributor Award и использовать это в маркетинге. Но и они в основном контрибьютили не детекты уязвимостей, а детекты установки софтов. Зачем отдавать в открытый доступ то, что могут использовать другие VM-вендоры?
4. Вендоры ОС теоретически могли бы отдавать свой OVAL-контент, но их к этому не обязывали. А генерить полностью свой контент проще чем реюзать существующие объекты в общем репозитории: убирать дубли, разрешать конфликты в описании и т.п. Да и вендоры ОС без внешней стимуляции не особо стремились поддерживать OVAL контент. Взять Microsoft. Когда была программа FDCC/USGCB по контролю инфраструктуры федеральных агентств, они выпускали свой OVAL/SCAP контент. А как только программа прекратилась, перестали.

Так что если наши регуляторы захотят повторить что-то подобное, лучше сразу продумать мотивацию всех участников. 😉

Патчи от Baikal Electronics отказались принимать в ядро Linux из-за санкций

Добавить комментарий

Патчи от Baikal Electronics отказались принимать в ядро Linux из-за санкций. Baikal Electronics проектирует процессоры и системы на кристалле с архитектурой MIPS и ARM. Компания находится под санкциями США, ЕС и ряда других стран.

"Нам некомфортно принимать патчи от вашей организации или относящиеся к hardware произведенному вашей организацией.

Пожалуйста, приостановите networking contributions до дальнейшего уведомления."

В предложенных патчах для сетевого драйвера stmmac была реализована поддержка GMAC и X-GMAC SoC Baikal, предложены общие исправления для упрощения кода драйвера.

Предсказуемо. Опенсурс-опенсурсом, а Linux Foundation это конкретная американская организация. Как и банящий разработчиков GitHub это Microsoft. Понятно каким регуляциям они подчиняются.

Поэтому ядро Linux должно быть своё. Например, от ИСП РАН. И репозитории должны быть свои. И дистрибутивы Linux. Это породит дополнительную фрагментацию и несовместимость, но это выглядит как неизбежные издержки.

Средства Детектирования Уязвимостей Сетевого Периметра (СДУСП)

1 комментарий

Средства Детектирования Уязвимостей Сетевого Периметра (СДУСП)

2. Средства Детектирования Уязвимостей Сетевого Периметра (СДУСП)

Позволяют детектировать известные уязвимости CVE/БДУ, мисконфигурации и (частично) неизвестные уязвимости (например XSS в самописном веб-приложении) для активов, которые публично доступны из Интернет. Для сбора информации об активах используется активное сетевое сканирование. Сканирование производится с внешней площадки вендора, что обеспечивает взгляд на анализируемую инфраструктуру как у атакующего.

Metascan. Специализированный облачный сервис для детектирования уязвимостей инфраструктуры доступной из Интернет. Позволяет детектировать уязвимости для оборудования, системных сервисов и веб-приложений. Для детектирования уязвимостей использует свой веб-краулер, модули собственной разработки и на основе свободного ПО. Позволяет проводить проверку TCP/UDP портов на соответствие белому списку. Сервис также включает экспертное сопровождение: анализ обнаруженных уязвимостей, демонстрацию PoC и команд для эксплуатации, участие в совместных планерках по состоянию сетевого периметра.

СКАНФЭКТОРИ. Специализированный облачный сервис для детектирования уязвимостей инфраструктуры доступной из Интернет. В рамках одной платформы предоставляет доступ к 16 сканерам безопасности системных сервисов и веб-приложений. В качестве дополнительной услуги возможна верификации результатов детектирования экспертами.

Group-IB - Attack Surface Management. Решение для контроля внешней поверхностью атаки. Включает возможности по инвентаризации IT-активов и детектированию уязвимостей связанных с ними. Позволяет выявлять теневые IT-активы, неизвестные в организации. С помощью решения также возможно контролировать утечки учетных записей и данных в Dark web.

BI ZONE - CPT (Continuous Penetration Testing). Решение для постоянного контроля защищенности внешнего IT-периметра организации. Сочетает автоматизированное сканирование на наличие уязвимостей и ручную верификацию найденных уязвимостей экспертами. Эксперты также сопровождают подтвержденные уязвимости рекомендациями по устранению.

МТС RED - Сicada 8. Платформа для централизованного управления уязвимостями внешнего периметра с экспертным сопровождением и возможностью отслеживания киберугроз в реальном времени.

Картинка "Средства Детектирования Уязвимостей Сетевого Периметра (СДУСП)" в рамках проекта карты российских около-VM-ных вендоров

2 комментария

Картинка "Средства Детектирования Уязвимостей Сетевого Периметра (СДУСП)" в рамках проекта карты российских около-VM-ных вендоров.

Традиционный disclaimer: Характеристику не нужно воспринимать как описание всех особенностей и возможностей продукта! Тем более не стоит сравнивать продукты между собой только на основе этой характеристики. Если расписывать как каждый продукт детектирует уязвимости, какие именно системы в какой степени поддерживает, какие уникальные проверки и фичи реализует, то по каждому можно книгу написать, а то и не одну. Оставим это маркетологам уважаемых вендоров. 🙂 Здесь задача была другая.

Если какого-то вендора забыл в этой категории или есть вопросы по характеристикам, пишите в личку - обсудим, добавлю/поправлю.

Непосредственно тестил Metascan и СКАНФЭКТОРИ. Решения идеологически разные, но вполне рабочие и команды очень адекватные. 👍

Предыдущая картинка по СДУИ.

GitHub начал блокировать персональные аккаунты сотрудников подсанкционных компаний

2 комментария

GitHub начал блокировать персональные аккаунты сотрудников подсанкционных компаний. Сейчас пострадали сотрудники компании YADRO. Это отечественный вендор серверов и систем хранения данных.

Компания под блокирующими американскими санкциями с 24 февраля 2023 года. В корпоративном GitHub аккаунте YADRO все репозитории теперь в статусе Public archive, т.е. только для чтения. У 6 из 7 человек с Organization permissions в YADRO, все репозитории в статусе Public archive. Только одному почему-то не поблочили.

В частности, заблочили репозиторий популярной утилиты IPMI Tool, которую мантейнит сотрудник компании YADRO Александр Амелькин. Судя по сообщению Александра, учетку GitHub ему тоже засуспендили.

Что тут можно сказать:

1. То, что поблочили корпоративные акки это было ожидаемо. Из тех же соцсеточек и Ютуба удаляют аки компаний только в путь. То, что поблочили личные акки сотрудников это уже что-то новенькое. Обычно тех, кто не под персональными санциями, не трогали. Видимо ситуация изменилась. Этак далеко могут зайти и начать вводить ограничения против бывших сотрудников или вообще не сотрудников, а каким-то образом связанных лиц.
2. Если важно пользоваться именно GitHub (GitLab, Bitbucket и т.п.), связь с компанией под санкциями лучше не светить. 🤫
3. По-хорошему нужно переводить проекты на альтернативные площадки (российские, китайские). Т.к. у меня на GitHub ничего супер-критичного нет, я буду там сидеть пока не заблочат, а потом перееду на российскую площадку. Или вообще хостить код буду у себя на сайте, все равно я там единственный контрибьютор как правило. 🙂

Первые впечатления от мартовского Microsoft Patch Tuesday

3 комментария

Первые впечатления от мартовского Microsoft Patch Tuesday. Довольно лихо, бодрит. 😈

1. Elevation of Privilege - Microsoft Outlook (CVE-2023-23397). Какая-то лютая жесть. 😱

"Уязвимость можно проэксплуатировать, отправив вредоносное электронное письмо жертве с уязвимой версией Outlook. Когда письмо обрабатывается сервером, может быть установлено соединение с устройством, контролируемым злоумышленником, что приведет к утечке Net-NTLMv2 хэша получателя письма. Злоумышленник может использовать этот хэш для аутентификации в качестве жертвы-получателя письма в NTLM relay атаке. Microsoft отмечает, что эта эксплуатация может произойти до того, как электронное письмо будет просмотрено в Preview Pane, а это означает, что для успешной атаки не требуется никакого взаимодействия со стороны жертвы-получателя письма."

Ничего себе EoP! 😄 Существует функциональный эксплоит и есть признаки эксплуатации в реальных атаках.

2. Security Feature Bypass - Windows SmartScreen (CVE-2023-24880). Обходят функциональность Mark of the Web (MoTW). Пишут, что Microsoft Office доверяет документам с MoTW, а значит эта уязвимость упростит распространения малварей. Существует функциональный эксплоит и есть признаки эксплуатации в атаках.

3. Remote Code Execution - HTTP Protocol Stack (CVE-2023-23392). Позволяет атаковать Windows Server 2022 с включенным HTTP/3 и buffered I/O. Тут хотя бы пока без эксплоитов и атак.

4. Remote Code Execution - ICMP (CVE-2023-23415). Послал фрагментированный IP пакет на уязвимый таргет - получил на нем RCE. Пока в теории, но если это действительно будет так жестко, то мало не покажется.

Драфт Vulristics-отчета: https://avleonov.com/vulristics_reports/ms_patch_tuesday_march2023_report_with_comments_ext_img.html
Вроде выглядит прилично, думаю финальный будет выглядеть +- также, только комментариев прибавится.

Александр В. Леонов

Управление Уязвимостями и прочее