Архив за месяц: Декабрь 2024

Можно 10 лет строить информационную безопасность организации, потратив колоссальное количество сил и ресурсов, и за 10 дней потерять всю инфраструктуру из-за атаки злоумышленников

Добавить комментарий

Можно 10 лет строить информационную безопасность организации, потратив колоссальное количество сил и ресурсов, и за 10 дней потерять всю инфраструктуру из-за атаки злоумышленников

Можно 10 лет строить информационную безопасность организации, потратив колоссальное количество сил и ресурсов, и за 10 дней потерять всю инфраструктуру из-за атаки злоумышленников. А то и за 10 часов. Почему? Возможных причин может быть масса. 🤷‍♂️

🔹 Ослабили контроль, переключили фокус внимания с ИБ на другие вопросы.
🔹 Стало меньше ресурсов и на ИБ перестало хватать денег.
🔹 Почему-то решили, что "да кому мы нужны, не будут нас атаковать".
🔹 Внутренняя ИБ-команда сменилась на гораздо более слабую и этот момент оказался незамеченным.
🔹 Слишком понадеялись на подрядчиков, которые должны были оказывать сервисы ИБ, но почему-то не оказали. Или подрядчики сменились.

Пост-фактум все умные и готовы яростно пинать крайнего. А где ж все эти аналитики были хотя бы месяц назад? Чего молчали? 😏

ИБ дело тонкое, сложное, трудно оцениваемое. Вместо "волшебных" NG-инструментов лучше инвестировать в базовые осязаемые процессы. В том числе в Управления Уязвимостями.

В следующую среду (11.12) подвожу итоги VM-ного года на VK Security Сonfab MAX

Добавить комментарий

В следующую среду (11.12) подвожу итоги VM-ного года на VK Security Сonfab MAX

В следующую среду (11.12) подвожу итоги VM-ного года на VK Security Сonfab MAX. 😇 Выписал доклады про уязвимости:

Трек #1
12:10 Александр Леонов - Vulnerability Management в 2024: кризис NVD, трендовые уязвимости года и как их исправлять ⚡️😉
12:50 Николай Панченко - Почему харденинг в K8s важен и как он спасает от «реальных» уязвимостей
13:30 Павел Пархомец - Через тернии к IaC: наша эволюция сканирования распределенной инфраструктуры

Трек #2
13:20 Анатолий Иванов - Несколько уязвимостей, которые найдет каждый. И одну - не только лишь все (этично)
15:00 Петр Уваров - На пути к Bug Bounty 2.0
15:30 Юрий Ряднина - Как хакеры ломают социальные сети
15:55 Максим Казенков - Открытые порты - открытые угрозы: как их вовремя обнаружить
16:25 Всеволод Кокорин - MXSS: Как обманывать парсеры html
17:45 Илья Сидельников, Александр Мельников - Поиск и приоритизация уязвимостей в зависимостях

➡️ Регистрация ещё открыта

Трансляция будет!

Подробности на @VK_Security

Про уязвимость Spoofing - Windows NTLM (CVE-2024-43451)

Добавить комментарий

Про уязвимость Spoofing - Windows NTLM (CVE-2024-43451)

Про уязвимость Spoofing - Windows NTLM (CVE-2024-43451). Уязвимость из ноябрьского Microsoft Patch Tuesday. Для неё сразу были признаки эксплуатации вживую. Уязвимость связана с устаревшей MSHTML платформой, которая до сих пор используется в Windows. Для эксплуатации уязвимости пользователь должен минимально провзаимодействовать со зловредным URL-файлом: щёлкнуть по нему правой кнопкой мыши, удалить его или перенести в другую папку. Открывать вредоносный файл не требуется. В результате злоумышленник получает NTLMv2 хэш пользователя, который может использовать для аутентификации.

👾 По данным компании ClearSky, уязвимость используется для распространения Spark RAT - трояна удаленного доступа с открытым исходным кодом.

Про уязвимость Spoofing - Microsoft Exchange (CVE-2024-49040)

Добавить комментарий

Про уязвимость Spoofing - Microsoft Exchange (CVE-2024-49040)

Про уязвимость Spoofing - Microsoft Exchange (CVE-2024-49040). Уязвимость из ноябрьского Microsoft Patch Tuesday. Некорректно сформулированная политика обработки хедера P2 FROM позволяет злоумышленнику сделать так, чтобы его email-адрес выглядел легитимным для жертвы (например, как адрес коллеги по работе). Что, естественно, значительно повышает эффективность фишинговых атак. 😏🪝 Уязвимости подвержены Exchange Server 2019 и Exchange Server 2016.

Первоначальные исправления для этой уязвимости, опубликованные 12 ноября, были через 2 дня отозваны. Их установка приводила к сбоям. Новые исправления были опубликованы Microsoft только 27 ноября.

👾 Kaspersky уже наблюдали попытки эксплуатации этой уязвимости. Об этом они написали в блогпосте от 26 ноября.

Отмодерировал сегодня секцию "Анализ защищённости и расследование инцидентов" на Код ИБ Итоги 2024

Добавить комментарий

Отмодерировал сегодня секцию Анализ защищённости и расследование инцидентов на Код ИБ Итоги 2024

Отмодерировал сегодня секцию "Анализ защищённости и расследование инцидентов" на Код ИБ Итоги 2024. И выступил там же. 🙂 Осознал, что модерировать секцию гораздо сложнее, чем выступать в ней. Особенно, когда там не только общение по заготовленному списку вопросов, но и доклады. Когда просто участвуешь в секции с докладом, то выступил и сидишь-кайфуешь, изредка задавая вопросы и отвечая на них. А модератор до конца секции в напряжении. 😬 Нужно и дискуссию направлять, и аудитории давать высказаться, и следить за временем, чтобы его на все выступления хватило. ⌚️🤹 Большое спасибо организаторам, что заранее порезали время на слоты, а участникам за пунктуальность! 👍 По времени вписались идеально. 😇

🔹 В своём докладе я сделал экспресс-обзор текущего списка трендовых уязвимостей 2024 года. Скоро будет расширенная версия. 😉
🔹 Основной факт секции: 47% инцидентов ИБ связаны с необновлёнными активами.
🔹 Большой отклик получили темы про атаки через подрядчиков и инсайдеров. 🙂

Должен ли VM-щик в задаче на устранение уязвимости указывать конкретный патч, который нужно установить на хосте?

Добавить комментарий

Должен ли VM-щик в задаче на устранение уязвимости указывать конкретный патч, который нужно установить на хосте?

Должен ли VM-щик в задаче на устранение уязвимости указывать конкретный патч, который нужно установить на хосте? Я думаю так:

🔻 Eсли есть простой способ отдавать такую информацию в IT, то нужно это делать. Например, если такие рекомендации выдаёт сканер уязвимостей.

🔻 Если же это требует трудоёмкого ресёрча, то заниматься этим не следует. Иначе это превратится в очередное "докажи-покажи". И вместо построения VM-процесса для повышения безопасности всей организации вы будете выяснять какая уязвимость какой KB-шкой закрывается. Такое себе. 😏

Важно не забывать, что если уязвимость детектируется на хосте, то это уже косяк IT. В идеале всё должно фикситься в рамках процесса безусловного регулярного патчинга. А сканы на уязвимости должны лишь подтверждать, что всё действительно регулярно обновляется. 🟢👍 Если IT внедрять такой процесс не готовы, то пусть возятся с исправлением конкретных продетектированных уязвимостей, включая поиск нужных патчей. 😉

Про уязвимость Elevation of Privilege - Windows Task Scheduler (CVE-2024-49039)

Добавить комментарий

Про уязвимость Elevation of Privilege - Windows Task Scheduler (CVE-2024-49039)

Про уязвимость Elevation of Privilege - Windows Task Scheduler (CVE-2024-49039). Уязвимость из ноябрьского Microsoft Patch Tuesday. Для неё сразу были признаки эксплуатации вживую. Для эксплуатации уязвимости, аутентифицированный злоумышленник запускает на целевой системе специальное приложение. Атака может быть произведена из AppContainer - ограниченной среды, в которой приложения получают доступ только к специально предоставленным ресурсам. Однако, с помощью этой уязвимости, злоумышленник может поднять свои права до уровня Medium Integrity и получить возможность выполнять функции RPC, доступные только привилегированным учётным записям.

ESET сообщают, что с помощью этой уязвимости злоумышленники из RomCom исполняли зловредный код вне песочницы Firefox, а затем запускали скрытые PowerShell процессы для скачивания и запуска зловредного ПО с C&C серверов.

👾 На GitHub есть код бэкдора, эксплуатирующего эту уязвимость.