Архивы автора: Александр Леонов

Об авторе Александр Леонов

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно и моих проектах можете прочитать здесь. Приглашаю подписаться на мой канал @avleonovrus "Управление Уязвимостями и прочее" в MAX или в Telegram. Вы можете обсудить мои посты или задать вопросы в группе ВКонтакте. And I invite all English-speaking people to another Telegram channel @avleonovcom.

Выкладываю видео своего выступления на CISO Forum про карту отечественных около-VMных вендоров

1 комментарий

Выкладываю видео своего выступления на CISO Forum про карту отечественных около-VMных вендоров. Как я уже раньше писал, мероприятие мне в этом году очень понравилось. Но команда, которая занималась видео, что-то подкачала. 🤷‍♂️ Особенно по сравнению с прошлым годом, когда продакшен был просто восхитительный. В этом году в зале, где я выступал, снимали на одну камеру и экран, и докладчика. Без какой-либо обработки. В итоге экран со слайдами на видео практически не видно. Пришлось самому садиться и совмещать видео со слайдами. К тому же начали снимать не сразу, поэтому первые несколько минут выступления потеряли. Не попал слайд обо мне и история с чего всё началось: как я написал в телеграмм-канале про карту TAdviser, расписал вендоров, которые там были представлены, а некоторые представители VM вендоров начали мне в личку писать, что я про них забыл. И все заверте…

В целом, это всё, конечно, совсем не фатально. Главное, что заключительная часть с вопросами уцелела - они были очень крутые в этот раз. 🔥

В канале ISCRA Talks дали ссылку на мой канал

Добавить комментарий

В канале ISCRA Talks дали ссылку на мой канал. Приятненько. 😊 Спасибо! Правда описание доклада несколько творчески переработали. В оригинале там было так:

"Доклад будет посвящен Vulnerability Management-у. Для начала немного поговорим о том что это такое, зачем нужно, какие типы решений существуют и как они работают. Я поделюсь взглядом на Vulnerability Management со стороны вендора и со стороны клиента. Затем обсудим как изменилась ситуация после ухода западных вендоров с российского рынка в феврале 2022 и что нас может ждать в будущем."

До встречи в понедельник! С самого выпуска в Бауманке не был, 14 лет уже получается. Очень интересно как там теперь. 🙂

Раз уж меня не будет на онлайн-конференции AM Live по Vulnerability Management-у, поотвечаю на вопросы из программы здесь (1/3)

Добавить комментарий

Раз уж меня не будет на онлайн-конференции AM Live по Vulnerability Management-у, поотвечаю на вопросы из программы здесь (1/3). 😉

Часть 1. РЫНОК СИСТЕМ УПРАВЛЕНИЯ УЯЗВИМОСТЯМИ В РОССИИ

1. Что входит в современное понимание процесса управления уязвимостями (Vulnerability Management)?

Управление уязвимостями это их детектирование и исправление. Остальное всё опционально. Вон Holm Security считают, что в современном Vulnerability Management решении обязательно должен быть Антифишинг встроенный. И чего теперь, не будем VM-решения без встроенного Aнтифишинга за современный VM считать? 🙂 Не ведитесь на маркетинг, обращайте внимание на главное - качество детектирование. А на исправление влияет в первую очередь то, как вы договоритесь со своими админами/девопсами. Коробочное решение за вас это не сделает.

2. Каковы основные драйверы рынка управления уязвимостями?

a. Западные VM-решения отвалились, все кинулись активно импортозамещаться.
b. IT-инфраструктура также импортозамещается. VM-вендоры должны за этим поспевать, поддерживать все эти континенты, 1С-ы, отечественные Linux-ы и прочее. База знаний отечественного VM решения станет сильно отличаться от западного.
c. Регуляторы стали уделять процессу управления уязвимостями гораздо больше внимания.

3. Усложнился ли процесс управления уязвимостями с уходом из России зарубежных вендоров?

Безусловно. Уход VM-вендоров = отвалившиеся VM-процессы. Уход IT-вендоров = поиски решений, которые могут детектировать уязвимости в импортозамещенных продуктах.

4. Обнаруживать уязвимости можно обычным сканером. Что понимается под непосредственно “управлением”?

См. вопрос 1. Управление активами, оценка и приоритизация уязвимостей это всё доп. функциональность. "Если вы надетектили уязвимости как-то и приняли решение, что с ними дальше делать (устранять, смягчать, оставить как есть) и сделали отчет для начальства, то поздравляю, это уже Vulnerability Management."

5. Vulnerability Management — это непрерывный процесс или набор разовых лимитированных активностей?

Это набор нескольких непрерывных процессов. "Все, что в "лепестках" должно идти одновременно, параллельно, автоматически. Нет "сканов-ресканов", есть процесс поддержания инвентори/детектов и его улучшения. Разбор и переоценка уязвимостей отдельный процесс. Пушинг их исправления тоже."

6. Как Vulnerability Management связан с Continuous Penetration Testing?

Continuous Penetration Testing это считай сервис сканирования периметра + обработка результатов аналитиками вендора. VM-решение это продукт, а CPT это, по сути, услуга. Также можно спросить: как связан Vulnerability Management и Bug Bounty. Как-то связан: и там уязвимости, и там. Нужно сливать воедино? Если VM-решение позволяет заносить уязвимости из сторонних источников - почему бы и нет.

7. Какими функциями обладают системы (платформы) управления уязвимостями?

Основная - детектирование уязвимостей. И любыми дополнительными на усмотрение маркетологов. Из дополнительных самая полезная это автоматический патчинг, кто это делает - респект.

8. Можно ли управлять уязвимостями без специальных систем?

Без качественных средств детектирования уязвимостей очень тяжко. Если есть продетектированные уязвимости, остальное можно накодить самим или взять open source решение.

9. Какие сотрудники компании должны быть вовлечены в процесс управления уязвимостями?

ТОП-ы, ИБ-подразделение, ИТ-подразделение. У PT про это хорошо расписано.

10. Как выглядит процесс управления уязвимостями в специализированной системе?

Вжух-вжух и сидишь, кайфуешь. 😆 По-всякому оно выглядит. Особенно если не веришь на слово вендору, сравниваешь результаты нескольких детектирующих решений, а потом упорно доказываешь через тикеты, что в детекте проблемы.

11. Как обосновать покупку системы управления уязвимостями?

Совсем без средств детектирования уязвимостей не узнаешь состояние инфраструктуры и она будет деградировать в полнейшее решето. Другое дело какое именно решение брать - тут могут быть варианты. Сочетание "грамм-градус-копейка" для всех будет разным.

Про SberLinux

1 комментарий

Про SberLinux. С одной стороны круто, что появился "дистриб от крупной российской окологосударственной IT компании", как раз о чем я писал в прошлом году. 🙂 С другой стороны, это, конечно, совсем не "бесплатный базовый Linux дистрибутив", который бы хотелось видеть. Видимо такое выпускать мало кому интересно. 🙂 Platform V SberLinux OS Server это прежде всего операционная система для облачной платформы "ГосТех". И декларируемое описание этого дистрибутива заставляет задуматься о том, что же такое "отечественная ОС":

"Дистрибутив ОС GNU/Linux. На 100% бинарно и bug-for-bug совместимый с дистрибутивом ОС RedHat Enterprise Linux версии 8.6 и выше".

Т.е. этот дистрибутив полностью, даже в части нежелательных функций, это такой же RHEL 8. Фактически это аналог AlmaLinux, Rocky Linux, Oracle Linux. Хорошие проекты, но являются ли они российскими ОС? Ну, очевидно нет. Если в американской компании Red Hat вдруг решат добавить бэкдор для систем с российским IP, то bug-for-bug этот бэкдор придет и в SberLinux, и в Гостех.

В описании вакансии QA Engineer (SberLinux) можем прочитать:

"Команда SberLinux OS DevTeam формирует команду создания дистрибутива ОС Linux 100% бинарно-совместимого с Red Hat Enterprise Linux для реализации инициативы технологической независимости от поставок лицензий и предоставления поддержки вендора.

Цель: Обеспечение технологической независимости в части ОС Linux для Группы Сбера."

Но достаточно ли независимости от поставок лицензии и независимой поддержки, для того, чтобы считать ОС российской? Сейчас видимо да.

Можем довести до абсурда. Допустим, в России есть некая ООО "Гигасофт". Эта компания заключает OEM договор с Microsoft на выпуск ОС Gigasoft Doors, которая на 100% бинарно и bug-for-bug совместима с Microsoft Windows. Потому что это Microsoft Windows и будет, только "Windows" везде на "Doors" заменено и логотип изменен. Лицензии можно приобретать у ООО "Гигасофт", за поддержкой тоже к ним. Это что же получается, Gigasoft Doors будет отечественной ОС, обеспечивающей "технологическую независимость"? Ну, странно ведь получается, как думаете?

Опубликована программа ISCRA Talks 2023

Добавить комментарий

Опубликована программа ISCRA Talks 2023. Получилось представительно. 👍 4 выступления от Positive Technologies (учитывая, что я тоже про опыт работы в PT и MaxPatrol 8 буду рассказывать - почти 5 😄), два от Лаборатории Касперского. Также Эшелон, Доктор Веб, Джеты, Сбер, Евраз и другие. Все темы сугубо практические и технические. 🔥

У меня план пока следующий. Приехать к началу в 10:30. В 11:00 моё часовое выступление. После него до 14:45 буду слушать доклады в первой секции. Потом перерыв на пообедать/пообщаться/пошататься по ГЗ. 😇 И наконец переместиться в третью секцию где-то до 17:00. Остальное посмотреть уже в записи.

Алексей Лукацкий выложил слайды своей презентации по VM-у от 2008 года

Добавить комментарий

Алексей Лукацкий выложил слайды своей презентации по VM-у от 2008 года. Я тогда ещё в универе учился и ни о каких сканерах уязвимостей не задумывался. "Будь я нескромен, сказал бы, что я - пророк 😊". В целом да, справедливо, всё в примерно эту сторону и развивается. Пару слайдов я даже не удержусь, стащу для своей презы. 😉

Хочется, правда, обратить внимание, что все слайды (кроме одного - "рост сканирующих возможностей") про то, что нам делать с имеющейся информацией об уязвимостях инфраструктуры. С чем нам ещё интегрироваться, какие ещё управляющие воздействия на основе факта наличия уязвимостей сделать. Как будто бы информация об уязвимостях для всех активов организации уже есть или может быть тривиальна получена. И эта информация достоверна, полна и достаточна. Это, разумеется, не так. Это никогда не было так и долго ещё не будет. Просто редко кто-то смотрит под капот, как на самом деле работают детекты и какие ограничения у них есть. А запроса на открытые базы детектов уязвимостей, которые позволяли бы хотя бы приблизительно оценивать "слепые пятна" у средств Управления Уязвимостями (Сканеров Уязвимостей, СДУИ - как угодно) как не было, так и нет. И со стороны VM-вендоров он не появится, им туда лезть невыгодно. Он должен подниматься снизу, формулируйте и задавайте им неудобные вопросы, товарищи!

Первые впечатления от майского Microsoft Patch Tuesday

2 комментария

Первые впечатления от майского Microsoft Patch Tuesday. Давненько не было таких малюсеньких Patch Tuesday. 57 CVE с учетом набежавших за месяц. А если смотреть выпущенные только во вторник, то всего 38! 😄

1. Memory Corruption - Microsoft Edge (CVE-2023-2033). Наиболее критичная, но вендоры не подсвечивают. Это уязвимость в Chrome, о которой три недели трубят. Естественно касается и Edge. Есть в CISA KEV.
2. Security Feature Bypass - Secure Boot (CVE-2023-24932). Уязвимость используется в BlackLotus UEFI bootkit.
3. Memory Corruption - Microsoft Edge (CVE-2023-2136). Ещё одна критичная уязвимость в Chrome, есть в CISA KEV.
4. Elevation of Privilege - Windows Win32k (CVE-2023-29336). Пишут, что возможно уязвимость эксплуатируется при открытии зловредного RTF файла. Есть в CISA KEV.
5. Remote Code Execution - Microsoft SharePoint (CVE-2023-24955). Уязвимость продемонстрирована на Pwn2Own Vancouver.

Полный отчет Vulristics