Архивы автора: Alexander Leonov

Об авторе Alexander Leonov

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно прочитать здесь. Приглашаю подписаться на мой канал в Telegram @avleonovrus. Я обновляю его чаще, чем этот сайт. Вы можете обсудить мои посты или задать вопросы в @avleonovchat или в группе ВКонтакте. And I invite all English-speaking people to another telegram channel @avleonovcom.

CTEM и паровозик хайпа

Добавить комментарий

CTEM и паровозик хайпа

CTEM и паровозик хайпа. Алексей Лукацкий подключился к дискуссии про CTEM. Мне понравился тезис, что для Gartner-а генерация всё новых аббревиатур для продуктовых ниш "один из вариантов выделиться и задавать тон на рынке, чтобы потом все на них ссылались". Кроме того, они так расширяют темы для регулярных исследований рынка и квадрантов. 💰 Сами ниши формируют, сами исследуют, сами консультируют по ним - удобно. 🙂

А почему вендоры начинают кричать, что у них CTEM?

🔹 Они хотят в квадрант. А для входа нужно позиционировать продукты как CTEM. 😏

🔹 Это практически ничего не стоит для разработки, т.к. отличительные фичи CTEM-а размыты и уже реализованы в той или иной мере во всех зрелых VM-решениях на рынке. 🙂

Вот и цепляют вендоры свои вагончики к гартнеровскому паровозику. 🚂

Клиентам придавать большое значение аббревиатуре "CTEM" в описании продукта я бы не советовал. Обращайте внимание на качество реализации базовой функциональности, необходимой для построения VM-процесса.

Огненная винда

Добавить комментарий

Огненная винда

Огненная винда. На предыдущий пост можно возразить: "Что же ты, Александр, топишь за сокращение обучения Windows-у в ВУЗах, а сам каждый месяц виндовые уязвимости разбираешь? Несостыковочка!"

Вовсе нет. Разбираю их вынужденно, т.к. Windows всё ещё лидирующая ОС в российских корпоративных инфраструктурах, особенно на десктопах. Поэтому уязвимости Windows становятся трендовыми и требуют особого внимания. 🤷‍♂️ А если бы доля Windows снизилась до доли macOS, может и не разбирал бы. 😌

Эта скверная зависимая ситуация - следствие десятилетий очень эффективной политики Microsoft по упрочнению монопольного положения Windows (в т.ч. через работу с ВУЗами) и отсутствия внятных протекционистских мер со стороны государства. 🤷‍♂️

Не получится изменить сложившуюся ситуацию без осознания того, что Microsoft нам не бро, а хитрые вражины неоколонизаторы. И подсаживание на их технологии не идёт нам на пользу. Так же как индейцам не пошли на пользу закупки столь желанной "огненной воды". 😉

Минимизировать обучение ОС Windows за государственный счёт

Добавить комментарий

Минимизировать обучение ОС Windows за государственный счёт

Минимизировать обучение ОС Windows за государственный счёт. Дмитрий Фёдоров в своём посте называет тенденции по отказу от изучения Windows в курсах по ОС в ВУЗах крайне негативными. 🤔 А у меня мнение обратное. Когда я учился в нулевых, у нас был один сплошной Windows. Программирование только под Windows и в Visual Studio. На курсах по ОС всё тоже в основном про Windows, 1-2 лекции про POSIX. Чуть-чуть практики под Linux дали на военной кафедре с МСВС-ом. 🤷‍♂️

Я за то, чтобы в государственных ВУЗах за государственный счёт учили прежде всего отечественным ОС: Linux-дистрибутивам, Kaspersky OS, Авроре и т.д. Чтобы выпускники выходили специалистами по этим системам и были заинтересованы в импортозамещении. Также как выпускники нулевых были заинтересованы в засилье MS.

Про зарубежные ОС тоже можно рассказать: Windows, Apple macOS и iOS, Android, HarmonyOS, Cisco IOS, BSD, AIX, HPUX, Minix и другие. Но факультативно и в равной пропорции. 😉

Patch Management в Vulns.io VM

Добавить комментарий

Patch Management в Vulns.io VM
Patch Management в Vulns.io VM

Patch Management в Vulns.io VM. Попалась на глаза новая раздатка. 🙂 В ней делают акцент на том, что в Vulns.io добавили не просто автопатчилку, а систему управления обновлениями, работающую в некотором процессе:

1. Сбор и отображение информации об обновлениях, исправляющих детектируемые уязвимости.

2. Загрузка обновлений в локальное хранилище с проверкой целостности. Обновления для прикладного ПО под Linux и Windows сейчас скачиваются с сайтов вендоров, но скоро будут скачиваться централизованно из облака Vulns.io. Системные обновления берутся напрямую из MS Updates/WSUS или Linux-репозиториев.

3. Проверка безопасности обновлений и ручной перевод обновления в "доверенное". Проверку нужно выполнять самостоятельно, возможно по методике ФСТЭК.

4. Создание задач на автоматическую установку "доверенных" обновлений.

Актуальный перечень систем и софтов, для которых поддерживается обновление, содержится в файле (раздел "Обновляемое программное обеспечение"). 😉

Про уязвимость Remote Code Execution - Kubernetes (CVE-2025-1974)

Добавить комментарий

Про уязвимость Remote Code Execution - Kubernetes (CVE-2025-1974)

Про уязвимость Remote Code Execution - Kubernetes (CVE-2025-1974). Неаутентифицированный злоумышленник с доступом к сети подов может выполнить произвольный код в контексте контроллера ingress-nginx. Это может привести к утечке секретов, доступных контроллеру. А при стандартной установке контроллер имеет доступ ко всем секретам кластера.

🔹 24 марта в блоге компании Wiz вышел write-up по этой уязвимости, названной IngressNightmare (наряду с CVE-2025-1097, CVE-2025-1098 и CVE-2025-24514). Исследователи Wiz зафиксировали 6500 уязвимых контроллеров, доступных непосредственно из Интернет. 😱 Кроме того, в блоге Kubernetes сообщают, что сеть подов часто может быть доступна для всех рабочих нагрузок в частном облаке (VPC), или даже для всех, кто подключен к корпоративной сети. А сам ingress-nginx используется в 40% кластеров Kubernetes.

🔹 С 25 марта для этой уязвимости доступен публичный эксплойт на GitHub. 😈

Обновите ingress-nginx до версий v1.12.1, v1.11.5 или выше!

Посмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсом

Добавить комментарий

Посмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсом

Посмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсом. Очень толковое и насыщенное мероприятие. 👍

🔹 Много времени уделили управлению IT-активами как основе для всех доменов практической безопасности, включая комплаенс, защиту инфраструктуры и данных. Для эффективного учёта активов IT и ИБ необходимо действовать сообща и наращивать автоматизацию.

🔹 Говоря о VM-е Кирилл Карпиевич покритиковал цикл Gartner-а и игру IT-шников в докажи-покажи. 🔥 Я оценил. 🙂👍 Он рассказал, как СберTex использует BI.ZONE GRC для поддержания единого реестра активов, собирая в него данные из изолированных ЦОД-ов с помощью MaxPatrol VM, Kaspersky KSC и Сканер-ВС.

🔹 Андрей Шаврин рассказал, что в комплаенсе важно искать пересечение требований, а работы по внедрению начинать с аудита. С помощью BI.ZONE GRC в дочерних компаниях "МУЗ‑ТВ" автоматизировали работу с ПДН.

Сами интерфейсы GRC-системы не показали, надеюсь на live-демо в следующий раз. 😉

Расскажу про свой проект Vulristics на киберфестивале PHDays

Добавить комментарий

Расскажу про свой проект Vulristics на киберфестивале PHDays

Расскажу про свой проект Vulristics на киберфестивале PHDays. CFP на PHDays завершился, все доклады отобрали. 👍

Меня спросили недавно: "Неужели сотрудники Positive Technologies тоже проходят через CFP?!" Да, тоже! 🙂 Квот нет и заявки отбирают по общим для всех правилам. А заявок в этом году было более 800!

❌ Моя основная заявка на доклад "Руководство ФСТЭК по Управлению Уязвимостями в 2025 году и его расширение" не прошла CFP в Defense трек. 😔 Бывает. 🤷‍♂️ Про усиление роли Руководства в работе государственных и финансовых организаций и сочетание его с БОСПУУ я обязательно расскажу в другой раз. 🙂

✅ Зато прошла заявка на доклад "Vulristics - утилита для анализа и приоритизации уязвимостей" в трек OpenSource & OpenSecurity. 🎉 Расскажу, как я 5 лет развиваю этот проект и использую его практически ежедневно. 😎

🎟 Билеты на закрытую часть уже в продаже. Это пожертвование от 1500 р. в один из благотворительных фондов. 👍