Получил сегодня новогодний подарок от коллег из АЛТЭКС-СОФТ в красивой белой коробке. Внутри, помимо поздравительной открытки:
🔹 Адвент-календарь с шоколадочками. 🙂
🔹 Настолка "Я не робот". 🎲
🔹 Умная гирлянда ROXIMO и новогоднее украшение. 🎄
Просто ТОП и по содержанию, и по оформлению! 👍
Спасибо большое, АЛТЭКС-СОФТ! 😇 С праздником!
Сегодня ходили на "Снежную Королеву" в театр танца Гжель и, пока шло действо, я размышлял, как можно приземлить сказку на ситуацию с VM-процессом в организации. 🙂
🔹 Кай и Герда драйвят VM в отделе инфраструктурной безопасности. Всё складывается успешно, пока CTO (Снежная Королева) не переманивает Кая курировать устранение уязвимостей со стороны IT. Кай "ловит звезду" и превращается в недоговороспособного чудака, напрочь стопорящего VM-процесс. Герда пытается разрулить ситуацию.
🔹 Совещание Герды с CISO и CIO (Принц и Принцесса) проходит отлично: накинули ресурсов и увеличили бюджет. 🤩 А вот CFO (Разбойник) не проникся - бюджет срезают. 😢 Но получается задружиться с ERP-инженером (Северный Олень).
🔹 И вот после проникновенного выступления Герды на совместном совещании Кай осознаёт неправоту и становится таким, каким и был… Лол, конечно нет. 😅 Максимум получается выработать договорённости, чтобы криво-косо перезапустить VM-процесс. 👍🙏
+- Happy End! 😏
Некоторые мысли на фоне вчерашних печальных событий.
🔹 Американское руководство опустилось до киднеппинга президента независимого государства и представляет это как какую-то доблесть. 🤷♂️🤦♂️ Люди без понятия о совести, чести, законности. Они и использование бэкдоров, встроенных в американские IT/ИБ продукты точно так же оправдают. Скорейшее и повсеместное выпиливание американских продуктов должно быть задачей государственной важности.
🔹 Безопасность (физическая в том числе) - это самое важное, и её стоимость должна быть пропорциональна серьёзности угроз. Если вы цель номер 1 для сверхдержавы, то и инвестиции в безопасность должны быть соответствующими.
🔹 Определяющее значение имеют люди. Никакие предосторожности не сработают, если вас фактически сдали свои. С людьми нужно работать.
Сегодня сходили на рождественский концерт "Двенадцать месяцев" в католический собор на Малой Грузинской. Рождественский Ангел и Дед Мороз (❗️) рассказывали классическую сказку в сопровождении хора "Мелодия" ДМШ им. С.М. Майкапара, музыкантов и песочной анимации.
Хор очень понравился. Вспомнил своё хоровое детство-юношество. 😇 Особенно понравилась композиция на стихи Бродского "В холодную пору" (тут в исполнении другого хора).
"…из глубины Вселенной, с другого её конца,
звезда смотрела в пещеру. И это был взгляд Отца."
Было очень мило и духоподъёмно. Ну и готический собор, конечно, очень красивый.
Итоговое количество CVE уязвимостей, которые были добавлены в 2025 году - 48185. Об этом пишет Jerry Gamblin, разработчик CVE.icu, и я ему доверяю. 👌
Здесь возникает соблазн сказать, что этот набор CVEшек является каким-то осмысленным. Например, что это ВСЕ уязвимости, которые были обнаружены за прошлый год. А далее схватиться за голову: "Ах, как много!" 😱 И начать продвигать идеи, что их все невозможно устранять безусловным патчингом, необходимо выделять и патчить ТОЛЬКО самые критичные ИЗ НИХ. А в этом вам помогут наши решения… СТОП!
Беда в том, что это НЕ все уязвимости, найденные за прошлый год. Это уязвимости, заведённые некоторым клубом CNA организаций. Огромная разница! Почему именно эти организации в клубе? Почему одни заводят очень много CVEшек, а другие ничего? Как эти CVEшки соотносятся с инфраструктурой конкретной организации в локации X?
Нам до необходимого описания ВСЕХ уязвимостей, как до луны пёхом. А 48185? Просто цифирь. 😉
Сходили сегодня в кино на "Простоквашино". Фильм вполне неплох. Авторы бережно отнеслись и к литературному первоисточнику Успенского, и к мультфильму 1978 года. Некоторые отклонения от оригинала, как по мне, пошли фильму на пользу.
🔹 Кажется, первый раз во франшизе было прямо сформулировано, что шестилетний мальчик, ушедший из дома из-за того, что ему не дали оставить кота, поступил неправильно, и что так делать нельзя. Когда телёнок Гаврюша убегает из дома ночью в проливной дождь и вся троица ищет его по деревне, Дядя Фёдор проговаривает, что теперь понимает чувства мамы и папы, когда он ушёл из дома. И когда родители приезжают за ним в Простоквашино, он извиняется и обещает так больше никогда не делать. 👍
🔹 К поискам Дяди Фёдора привлекают милицию. 👍 Хоть и в комичном виде. 🤷♂️
🔹 Троица чужого ничего без спроса не берёт (ну, кроме самого дома 😏) и ценный клад не находит. Тр-тр Митя и корова оказываются в их пользовании безвозмездно и с ведома хозяев. 👍
Залил видеозапись своего выступления на ежегодной пресс-конференции Positive Technologies, которая прошла 11 декабря под названием "Анатомия цифровых бурь". Я кратко рассказал, что такое трендовые уязвимости и зачем нужно их выделять, охарактеризовал трендовые уязвимости 2025 года, поругал Microsoft, подсветил уязвимости в отечественных продуктах и что с этим всем делать (развивать VM-процесс в организациях 🙂).
Также ответил на вопрос, является ли отечественное ПО более безопасным и надёжным. ИМХО, продукты отечественных вендоров вряд ли будут безопаснее западных, но переходить на них всё равно стоит. 😉
Логика здесь следующая. Чем меньше популярных западных продуктов будет использоваться в России, тем меньше российские организации будут страдать от массовой (в общемировом масштабе) эксплуатации критических уязвимостей в них. ⬇️👍 В первую очередь это касается продуктов Microsoft и западных сетевых устройств (Cisco, Fortinet, Palo Alto).
Да, конечно, от таргетированных атак отказ от этих продуктов полностью не защитит. При необходимости злодеи любые российские продукты расковыряют, уязвимости найдут, эксплоиты напишут и в малвари свои встроят. НО в том-то и дело, что для таких таргетированных атак потребуется инструментарий, разработанный специально для компрометации российских организаций и нигде больше не применимый, что сделает атаки гораздо сложнее и дороже, а значит, их будут проводить гораздо реже. 😉👍
Это мой личный блог. Всё, что я пишу здесь - моё личное мнение, которое никак не связано с моим работодателем. Все названия продуктов, логотипы и бренды являются собственностью их владельцев. Все названия компаний, продуктов и услуг, упоминаемые здесь, упоминаются только для идентификации. Упоминание этих названий, логотипов и брендов не подразумевает их одобрения (endorsement). Вы можете свободно использовать материалы этого сайта, но было бы неплохо, если бы вы разместили ссылку на https://avleonov.ru и отправили мне сообщение об этом на me@avleonov.com или связались со мной любым другим способом.