С Днём Победы! 09.05.1945
От героев былых времен
Не осталось порой имен, —
Те, кто приняли смертный бой,
Стали просто землей и травой.
Только грозная доблесть их
Поселилась в сердцах живых.
Этот вечный огонь,
Нам завещанный одним, мы в груди храним.
Для англоязычного канала собрал эквиритмический перевод из нескольких публично доступных.
По поводу российского аналога TCP/IP, часть 3. Нашли о чем речь? 2 дня назад на Секлабе вышла статья "Секреты нового российского транспортного протокола RUSTP/UDTP", где утверждается, что технология, которая описывается на сайте ipv17.ru это как раз то, о чем шла речь на встрече с президентом. Могу предположить, что логика была такая:
1. С президентом разговаривал Александр Владимирович Селютин, председатель совета директоров группы компаний «Техноджет».
2. В интернете нашли презентацию 2019 года под авторством Александра Селютина "Проект .v17 ИНТЕРНЕТ+". Там фигурирует некий протокол rustp/udtp.
3. Делается предположение, что директор Техноджет и автор презентации это один и тот же Александр Селютин, а проект .v17 это как раз и есть тот самый "российский аналог TCP/IP".
4. Дальше по ".v17" и "rustp/udtp" ничего не находится, но находится проект с похожим названием http://ipv17.ru/ (последний пост с видео 6 лет назад). Делается второе предположение, что ".v17" и "ipv17" это одно и тоже. При том, что по "rustp", "Селютин", "Selytin" на сайте ничего не ищется. И вся дальнейшая техническая критика идет в сторону ipv17 и OOO Инкомтех.
Т.е. вполне допускаю, что Александр Владимирович Селютин, председатель совета директоров ГК «Техноджет», действительно имел в виду ipv17 в своём выступлении, но пока это не видится таким очевидным. Ждем более весомых пруффов. Желательно от самого Александра Владимировича.
Методические документы регуляторов, связанные с Управлением Уязвимостями. В презентации, которую я сейчас готовлю к ISCRA Talks, будет слайд про документы регуляторов связанные с VM-ом, выпущенные за последние 1,5 года. Если я что-то важное пропустил, напишите мне, пожалуйста, в личку или комментом в пост в ВК.
1. НКЦКИ "Критерии для принятия решения по обновлению критичного ПО, не относящегося к open-source". Рекомендательный алгоритм, помогающий принять решение: установить обновление с риском привнести НДВ (недекларированные возможности)/блокировку функциональности или не обновлять с риском получить эксплуатацию уязвимости. Этого алгоритма я касался в выступлении на PHDays 11 и писал скрипты автоматизации проверок по нему в рамках опенсурсного проекта Monreal.
2. ФСТЭК "Методика оценки уровня критичности уязвимостей программных, программно-аппаратных средств". Описывает каким образом можно получить общую оценку критичности уязвимости и выставить требования по оперативности исправления. Я писал комментарии по этой методике.
3. ФСТЭК "Методика тестирования обновлений безопасности программных, программно-аппаратных средств". Описывает какими способами искать НДВ в обновлениях безопасности. Мои комментарии к этой методике: Часть 1, Часть 2, Часть 3.
4. ФСТЭК "Рекомендации по безопасной настройке операционных систем Linux". Рекомендации распространяются на настройку НЕсертифицированных ОС (Debian, Ubuntu, CentOS Stream, Alma Linux, Rocky Linux, openSUSE и прочего) "до их замены на сертифицированные отечественные операционные системы". Я разбирал эти рекомендации.
5. ФСТЭК "Руководство по организации процесса управления уязвимостями в органе (организации)". Подробное описание этапов процесса, участников процесса и выполняемых ими операций. Я написал комментарии к проекту руководства "процесс не для человеков" и "место автоматического детектирования уязвимостей".
По поводу предыдущей картинки, вынесу из комментов в ВК.
1. В другом качестве картинки нет, стащил из аккаунта Nucleus в соцсеточке, на сайте у них не нашел. 🤷♂️ Но это просто статистика по второй колонке из CISA KEV.
2. "Возможно большее количество уязвимостей говорит о большей распространенности и большем числе продуктов вендора. А Linux - здесь наверное только linux kernel?" Да, Linux это только Linux Kernel, а Microsoft это все продукты Microsoft, включая Windows Kernel. Но то, что продукты Microsoft наиболее активно атакуются - факт. Отказ от продуктов Microsoft поднимет защищённость хотя бы по логике "если у вас нет собаки, её не отравит сосед". 🙂
3. "Как эппл и адоб умудрились заслужить столько?" У Adobe основной генератор дырок это PDF reader. Apple macOS, к сожалению, достаточно популярная десктопная ОС, для неё регулярно находят критичные RCE уязвимости. В основном в ядре и WebKit. Средств администрирования и защиты информации для macOS меньше и они не так развиты. Поэтому, имхо, устройства Apple в инфраструктуре это даже большая проблема, чем продукты Microsoft.
Nucleus Security нарисовали красивую картинку по CISA KEV уязвимостям. Навели статистику по вендорам. К статистике наведенной по всем уязвимостям из NVD я отношусь обычно скептически - непонятно то ли у вендора такие дырявые продукты, то ли вендор наоборот ответственно подходит к уязвимостям в своих продуктах и заводит CVE на каждый чих. Здесь же рассматриваются только уязвимости с признаками эксплуатации в реальных атаках, просто так в CISA KEV не попадают. Поэтому вполне справедливо будет сделать вывод: если у вас инфраструктура на продуктах Microsoft, то уровень риска у вас соответствует этому громадному кружку, а если на Linux, то гораздо меньшему кружку (его так сразу и не заметишь). Выпиливайте у себя Microsoft! Хотя бы стратегически двигайтесь в этом направлении. Тоже касается и других больших кружков: CISCO, Apple, Oracle, Adobe. Google выпилить скорее всего не получится - это вездесущий Chromium. 🙂
С Днём Радио! 1,5 года (даже чуть больше, 1 год и 10 месяцев 🙂) в НИИ Радио, моё первое место работы на полставки, позволяют мне считать себя в какой-то степени причастным. 😅 Классное было времечко: первая полноценная практика администрирования Linux/Solaris и разработки на C, bash, немножко Java и php. Настоящий вычислительный кластер на Sun Blade! Зарплата, правда, была скорее символической. Но уже можно было не запариваться по поводу стипендии от слова совсем. 🙂
Заметил, что проект руководства по управлению уязвимостями, который был публично доступен на сайте ФСТЭК с 31 марта по 17 апреля для сбора отзывов, с сайта убрали. Видимо теперь уже до доработанного официального релиза. Поэтому ту публичную версию от 31 марта заливаю сюда. Чтобы было понятно к чему относятся мои комментарии про "процесс не для человеков" и "место автоматического детектирования уязвимостей". Кроме того, после официального релиза будет интересно посмотреть, что изменилось по сравнению с проектом.
Это мой личный блог. Всё, что я пишу здесь - моё личное мнение, которое никак не связано с моим работодателем. Все названия продуктов, логотипы и бренды являются собственностью их владельцев. Все названия компаний, продуктов и услуг, упоминаемые здесь, упоминаются только для идентификации. Упоминание этих названий, логотипов и брендов не подразумевает их одобрения (endorsement). Вы можете свободно использовать материалы этого сайта, но было бы неплохо, если бы вы разместили ссылку на https://avleonov.ru и отправили мне сообщение об этом на me@avleonov.com или связались со мной любым другим способом.