Архивы автора: Alexander Leonov

Об авторе Alexander Leonov

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно прочитать здесь. Приглашаю подписаться на мой канал в Telegram @avleonovrus. Я обновляю его чаще, чем этот сайт. Вы можете обсудить мои посты или задать вопросы в @avleonovchat или в группе ВКонтакте. And I invite all English-speaking people to another telegram channel @avleonovcom.

Про TravelLine в Йошкар-Оле

Добавить комментарий

Про TravelLine в Йошкар-Оле
Про TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-ОлеПро TravelLine в Йошкар-Оле

Про TravelLine в Йошкар-Оле. После поста про iSpring появилась возможность посетить офис ещё одной крупной IT-компании города - TravelLine. У них была экскурсия для членов семей и друзей, куда и нас тоже пригласили. 😇 Как и iSpring, компания создана выходцами из Политеха. TravelLine специализируются на сервисах для отелей: бронирование, обновление информации в каналах (booking, островок и т.п.), системы отслеживание состояния номеров и т.д. В клиентах 12000 отелей по всему миру. Выручка 4.8 млрд руб. за 2024 год. 👏

В компании работает 800 человек. В основном из офиса в Йошкар-Оле. Сидят в бывшем здании местного ЦУМ-а. Отсюда впечатляющие фишечки - эскалаторы и ламповая кабинетная рассадка. 🔥👍 А так, всё как в лучших офисах: столовая (до 400 р. компенсируют), тренажёрка, кофепоинты, переговорки и т.д.

Ребята в ДИБе крутые - законтачились. 😉

Может ли ФСТЭК БДУ заменить NIST NVD (и MITRE CVE Program)?

Добавить комментарий

Может ли ФСТЭК БДУ заменить NIST NVD (и MITRE CVE Program)?

Может ли ФСТЭК БДУ заменить NIST NVD (и MITRE CVE Program)? Ок, импортозамещение - это задача стратегическая. А что в краткосрочной перспективе? Если все-таки американские базы уязвимостей перестанут работать, отечественная БДУ ФСТЭК нас спасёт? 🙂

В прошлом году на PHDays проходила дискуссия по поводу национальных баз уязвимостей. И я тогда на правах модератора спрашивал (02:30, 08:04) у Виталия Сергеевича Лютикова, на тот момент заместителя директора ФСТЭК, позиционируется ли БДУ как потенциальная замена NIST NVD. Ответ был отрицательным. БДУ собирает уязвимости в продуктах, которые могут использоваться в российском госсекторе, на объектах КИИ и в отечественном ПО. Задача собирать ВСЕ уязвимости (как в NVD) никогда не ставилась. Поэтому, если вы ищете полноценную российскую замену NVD, то это не БДУ. Во всяком случае в текущем понимании её целей и задач.

Более реалистичной заменой NVD будут являться отечественные Vulnerability Intelligence порталы и платформы. 😉

Про iSpring в Йошкар-Оле

Добавить комментарий

Про iSpring в Йошкар-Оле
Про iSpring в Йошкар-ОлеПро iSpring в Йошкар-ОлеПро iSpring в Йошкар-Оле

Про iSpring в Йошкар-Оле. Не единственная большая IT-компания в городе, но самая заметная. Раньше она в фокус моего внимания не попадала. Когда в первый раз увидел логотип, вспомнились скандальные тренинги личностного роста тоже со "спринг" на конце. 😅 Но нет, это просто похожие названия. iSpring - вендор платформы для корпоративного онлайн‑обучения. Заявляется 61000 компаний-клиентов по всему миру, 2.1 млн. пользователей, 3.5 млрд руб. выручки в 2024 году. 👏

В Йошкар-Оле несколько образовательных IT-проектов iSpring:

🔹 Инфосфера - детская
компьютерная школа
🔹 Инфотех - общеобразовательный лицей
🔹 Институт программных
систем
🔹 Институт iSpring

Часть зданий учебных проектов расположены на "набережной Брюгге", часть рядом. Ещё один большой комплекс строится. Выглядит очень круто и полезно. 👍

В феврале этого года на основателя iSpring Юрия Ускова завели уголовное дело. Сообщают, что из-за сделки с землёй и возможного ущерба в 20 млн рублей. 🤷‍♂️🔬🙄 Надеюсь, что разберутся.

Сходили на музыкальный спектакль на марийском языке в театр драмы имени Шкетана

Добавить комментарий

Сходили на музыкальный спектакль на марийском языке в театр драмы имени Шкетана
Сходили на музыкальный спектакль на марийском языке в театр драмы имени ШкетанаСходили на музыкальный спектакль на марийском языке в театр драмы имени Шкетана

Сходили на музыкальный спектакль на марийском языке в театр драмы имени Шкетана. Я недавно сокрушался, что марийскую речь в Йошкар-Оле на улице не услышишь. Так вот, в марийском театре её очень даже было слышно. Практически только лишь её. 😅 И со сцены, и в зрительном зале. Так что гештальт можно считать закрытым. 😇 Естественно, что спектакли на марийском приходят смотреть в основном мариязычные люди. Но те, у кого уровень владения языком недостаточно высок, могут воспользоваться бесплатным синхронным переводом на русский. Очень круто. 👍

Сама пьеса "Кеҥеж Йӱд" 1957-го года. Про жизнь в марийской деревне: ремонт сельского клуба, "подъём культуры народа", отношения, мелкую коррупцию, эхо войны. Много песен и танцев.

Если кому интересно, запись спектакля без перевода есть на VK Видео. 😉 Мне больше всего нравится номер на 2:11:55.

Почему это нас беспокоит?

Добавить комментарий

Почему это нас беспокоит?

Почему это нас беспокоит? Ситуация с финансированием MITRE и NIST исключительно внутриамериканская. И она так или иначе разрешится. В этой сфере крутятся миллиарды долларов, работают сотни компаний и многие тысячи специалистов. Они без нас найдут тех, кто будет вести и обогащать базу CVE, и кто будет это финансировать (CISA уже отсыпали MITRE денежек на 11 месяцев 😏).

А нам следует задуматься, почему американские базы CVE-уязвимостей настолько важны для нас. Почему это нас беспокоит?

Ответ очевиден: в России всё ещё широко используется западный коммерческий софт, уязвимости которого собираются в эти базы. Как и уязвимости западного опенсурсного софта/библиотек, составляющих основу практически всего "отечественного ПО". Из технологической зависимости растёт и зависимость от американских баз уязвимостей. 🤷‍♂️

Поэтому следует:

🔹 усиливать настоящее импортозамещение
🔹 избавляться от западных продуктов
🔹 наращивать контроль над опенсурсными проектами

На следующей неделе, 23 апреля, планирую участвовать в R-Vision R-EVOlution Conference

Добавить комментарий

На следующей неделе, 23 апреля, планирую участвовать в R-Vision R-EVOlution Conference

На следующей неделе, 23 апреля, планирую участвовать в R-Vision R-EVOlution Conference. В 14:00 начнётся панельная дискуссия "Тотальный VM-разбор: вендор, заказчик и ML против уязвимостей". Очень приятно, что коллеги из R-Vision пригласили в дискуссию представителя Positive Technologies (меня 🙂) и RedCheck (Сергея Уздемира). Не часто конкурентам дают слово на вендорских мероприятиях. Большой респект R-Vision за это! 👍👏

Собираюсь говорить про БОСПУУ, контроль качества сканирования, почему VM-процесс становится ущербным и как может выглядеть осознанный подход к VM-у. В общем, о всех тех вещах, где видится большой потенциал для взаимодействия VM-вендоров, независимо от особенностей их продуктов и маркетинговых стратегий. 🙂 Будет интересно получить обратную связь от участвующих в дискуссии представителей клиентов (Сбертех, Вымпелком, Агроэко).

➡️ Регистрация на сайте
📍 Loft Hall и онлайн

CVE без NIST и MITRE?

Добавить комментарий

CVE без NIST и MITRE?

CVE без NIST и MITRE? Кучно пошли новости о проблемах с поддержанием баз CVE уязвимостей от NIST и MITRE:

🔻 NIST может уволить 500 сотрудников. 👋
🔻 ~100к уязвимостей опубликованных до 1 января 2018 в NIST NVD перевили в статус "deffered" ("отложенный") и перестали обновлять. 🤷‍♂️
🔻 MITRE CVE Program может потерять финансирование. 💸

Процитирую свой прошлогодний пост на 25 лет CVE: "Вместо единой нейтральной базы пришли к стремительно растущему недоанализированному огороженному западному мусорному полигону."

Похоже американская система управления настолько деграднула, что и с поддержанием этого мусорного полигона не справляется. 🤷‍♂️

Что будет дальше?

🔹 80% - зальют проблему деньгами и клоунада продолжится. 🤡

🔹 20% - американские CVE-богадельни в NIST и MITRE схлопнутся и CVE Program уйдёт в свободное плавание (всё и так держится на одних CNA-организациях). 🛳️

В целом, довольно пофиг на них. Имхо, нас в России должно волновать не это.