Архив рубрики: Темы

Вчера ФСТЭК выложили в открытый доступ проект документа "Мероприятия и меры по защите информации, содержащейся в информационных системах"

Добавить комментарий

Вчера ФСТЭК выложили в открытый доступ проект документа Мероприятия и меры по защите информации, содержащейся в информационных системах

Вчера ФСТЭК выложили в открытый доступ проект документа "Мероприятия и меры по защите информации, содержащейся в информационных системах". ФСТЭК предлагает "специалистам в области защиты информации заинтересованных государственных органов власти и организаций" рассмотреть документ и направить предложения по установленной форме на otd22@fstec.ru до 19 февраля.

❗️ Согласно пункту 1.3, "методический документ детализирует мероприятия (процессы)" по защите информации (ЗИ) и "определяет содержание мер" по ЗИ в соответствии с требованиями из 117-го приказа ФСТЭК.

Документ объёмный, 185 страниц.

Структура документа:

1️⃣ Общие положения
2️⃣ Факторы, влияющие на ЗИ
3️⃣ Мероприятия по ЗИ (45 страниц) -❗️ Среди них 3.3. Управление Уязвимостями (рассмотрю содержание подробно в последующих постах)
4️⃣ Меры по ЗИ (129 страниц)

Слово "уязвимость" в различных формах встречается по тексту 104 раза в разных частях документа. 🕵️‍♂️ Будет что пообсуждать. 😉😇

Коллеги из КИТ выложили сегодня "Аналитический отчёт по ключевым изменениям в законодательстве за 2025 год", в котором есть раздел про Управление Уязвимостями

Добавить комментарий

Коллеги из КИТ выложили сегодня Аналитический отчёт по ключевым изменениям в законодательстве за 2025 год, в котором есть раздел про Управление Уязвимостями

Коллеги из КИТ выложили сегодня "Аналитический отчёт по ключевым изменениям в законодательстве за 2025 год", в котором есть раздел про Управление Уязвимостями. Основная идея: "общий сдвиг надзорной логики от формальной проверки наличия мер к оценке реальной способности организаций выявлять, приоритизировать и устранять технические риски".

В отчёте упоминаются следующие документы ФСТЭК, выпущенные в прошлом году:

🔹 Методика оценки критичности уязвимостей (30.06.2025). Указана как ключевой элемент трансформации, т.к. формирует необходимость выстраивания логики обработки уязвимостей.
🔹 Методика проведения пентестов (08.09.2025). ДСП. 🤫
🔹 Методика анализа защищенности ИС (25.11.2025). Единый подход к выявлению уязвимостей.
🔹 Методика оценки показателя состояния технической защиты информации (11.11.2025). Для расчёта КЗИ.
🔹 Порядок проведения сертификации процессов безопасной разработки ПО (18.09.2025). Необходимо демонстрировать "повышение уровня защищенности в динамике".

Добавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара "Эффективное управление уязвимостями: поверхность атаки и комплаенс"

Добавить комментарий

Добавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара Эффективное управление уязвимостями: поверхность атаки и комплаенсДобавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара Эффективное управление уязвимостями: поверхность атаки и комплаенсДобавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара Эффективное управление уязвимостями: поверхность атаки и комплаенсДобавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара Эффективное управление уязвимостями: поверхность атаки и комплаенсДобавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара Эффективное управление уязвимостями: поверхность атаки и комплаенсДобавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара Эффективное управление уязвимостями: поверхность атаки и комплаенсДобавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара Эффективное управление уязвимостями: поверхность атаки и комплаенсДобавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара Эффективное управление уязвимостями: поверхность атаки и комплаенсДобавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара Эффективное управление уязвимостями: поверхность атаки и комплаенсДобавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара Эффективное управление уязвимостями: поверхность атаки и комплаенс

Добавлю ещё по Q&A-секции и роадмапу Alpha Systems из сегодняшнего вебинара "Эффективное управление уязвимостями: поверхность атаки и комплаенс".

Фичи роадмапа на 2026 в довольно общем виде:

🔸 "Живой каталог активов", "Система, которая видит и понимает". Видимо, будет AI-автоматизация для актуализации описания активов.

🔸 "PREDICTIVE ECOSYSTEM", "Система, которая предсказывает и действует". Видимо, стоит ждать AI-алерты по уязвимостям и, возможно, автоматизацию действий по устранению.

Из Q&A:

🔹 Лицензируется по FQDN и по IP, перемещать можно.
🔹 Обновление сигнатур ежесуточное или ручное через встроенный механизм.
🔹 Аудит AD есть.
🔹 K8s сканируют. Контроль контейнеров Q2-3.
🔹 Харденинг сетевых устройств Q2-3.
🔹 Комплаенс облаков - нет и не планируется.
🔹 Настройка сканов safe/aggressive есть.
🔹 Отчёты настраиваемые. Дельта-отчётов нет, но планируется.
🔹 Интеграция с SIEM по rsyslog, с тикетницами по email/API (по запросу), планируют интеграцию с SECURITM SGRC.

Посмотрел сегодня вебинар-практикум "Эффективное управление уязвимостями: поверхность атаки и комплаенс" от компании Alpha Systems

Добавить комментарий

Посмотрел сегодня вебинар-практикум Эффективное управление уязвимостями: поверхность атаки и комплаенс от компании Alpha SystemsПосмотрел сегодня вебинар-практикум Эффективное управление уязвимостями: поверхность атаки и комплаенс от компании Alpha SystemsПосмотрел сегодня вебинар-практикум Эффективное управление уязвимостями: поверхность атаки и комплаенс от компании Alpha SystemsПосмотрел сегодня вебинар-практикум Эффективное управление уязвимостями: поверхность атаки и комплаенс от компании Alpha SystemsПосмотрел сегодня вебинар-практикум Эффективное управление уязвимостями: поверхность атаки и комплаенс от компании Alpha SystemsПосмотрел сегодня вебинар-практикум Эффективное управление уязвимостями: поверхность атаки и комплаенс от компании Alpha SystemsПосмотрел сегодня вебинар-практикум Эффективное управление уязвимостями: поверхность атаки и комплаенс от компании Alpha SystemsПосмотрел сегодня вебинар-практикум Эффективное управление уязвимостями: поверхность атаки и комплаенс от компании Alpha SystemsПосмотрел сегодня вебинар-практикум Эффективное управление уязвимостями: поверхность атаки и комплаенс от компании Alpha SystemsПосмотрел сегодня вебинар-практикум Эффективное управление уязвимостями: поверхность атаки и комплаенс от компании Alpha Systems

Посмотрел сегодня вебинар-практикум "Эффективное управление уязвимостями: поверхность атаки и комплаенс" от компании Alpha Systems. Компания существует три года, у них десятки клиентов.

🖼 Вводную часть построили на сравнении ИБ в компании и здоровья человека: проактивный VM - аналог "чекапа организма". Решение ALPHASENSE SYMBIOTE 3.0 (2.0 было в сентябре) позиционируют как альтернативу сложному, долгому, ограниченному пентесту. Движутся в сторону Continuous Exposure Management.

📺 В части кейсов рассказали про перечисление пользователей в MS OWA, RCE - Apache Struts (CVE-2017-5638). RCE - MS RDP "BlueKeep" (CVE-2019-0708).

🔧 В лайв-демо показали процесс работы VM-аналитика: фильтрацию уязвимостей, переход в карточку уязвимости, изучение информации по уязвимости (есть эксплоиты👍, KEV нет), заведение задачи во встроенной тикетнице, отслеживание устранённых задач. Также показали контроль конфигурации (SCAP-контент, CIS-бенчмарки, ФСТЭК).

➡️ Q&A и роадмап

Коллеги из СайберОК поделились своей методикой CybVSS (CyberOK Vulnerability Scoring System) по оценке критичности уязвимостей и определению трендовых уязвимостей

Добавить комментарий

Коллеги из СайберОК поделились своей методикой CybVSS (CyberOK Vulnerability Scoring System) по оценке критичности уязвимостей и определению трендовых уязвимостей

Коллеги из СайберОК поделились своей методикой CybVSS (CyberOK Vulnerability Scoring System) по оценке критичности уязвимостей и определению трендовых уязвимостей.

Формула расчёта:

"CybVSS = latest_cvss_bs^2 * spread * exploitability * mentions * k_kev, где:

🔹 latest_cvss_bs — базовая оценка CVSS последней версии;
🔹 spread — распространенность (количество хостов, затронутых уязвимостью);
🔹 exploitability — эксплуатируемость (количество эксплойтов);
🔹 mentions — цитируемость (количество постов);
🔹 k_kev — наличие факта эксплуатации уязвимости.

С точки зрения математического анализа, основное внимание уделяется уязвимостям, чье значение CybVSS превышает 100. Такие уязвимости классифицируются как трендовые, что подразумевает их высокую значимость и потенциальную актуальность в контексте потенциальных эксплуатаций злоумышленниками."

Практика расчёта требует уточнения, но выглядит интересно. 👍 И круто, что в паблике. 😉

Выпустил Vulristics 1.0.11: добавил Server-Side Request Forgery (SSRF) как отдельный тип уязвимости

Добавить комментарий

Выпустил Vulristics 1.0.11: добавил Server-Side Request Forgery (SSRF) как отдельный тип уязвимости

Выпустил Vulristics 1.0.11: добавил Server-Side Request Forgery (SSRF) как отдельный тип уязвимости. Я стараюсь использовать в Vulristics очень небольшое количество базовых типов уязвимостей (около 20) и всё сводить к ним. За небольшим исключением, это те же типы, которые использует Microsoft. И Microsoft не любят SSRF.

SSRF - это уязвимость, при которой злоумышленник может заставить сервер выполнить несанкционированные запросы к внутренним или внешним ресурсам.

Microsoft, как правило, заводят SSRF-ки как EoP, Information Disclosure или RCE. 🤯

Я же SSRF относил к Command Injection, по той логике, что создание запроса можно считать формой выполнения команды. Но, конечно же, это такое себе. 🙄

Поэтому я решил добавить отдельный тип SSRF (с критичностью 0,87), чтобы не заниматься больше мысленной эквилибристикой. 🙂 На иконке я отрисовал наковальню (игра слов с "forge" - кузница). Также залил иконку на avleonov.com, чтобы HTML-отчёты Vulristics корректно отображались.

Сегодня меня спросили: как скачать базу уязвимостей с сайта NVD?

Добавить комментарий

Сегодня меня спросили: как скачать базу уязвимостей с сайта NVD?

Сегодня меня спросили: как скачать базу уязвимостей с сайта NVD? Если нужны данные из NIST NVD по всем уязвимостям, проще всего скачать архивированные фиды в формате JSON.

Запускаем скрипт: 

import requests

BASE = "https://nvd.nist.gov/feeds/json/cve/2.0/"

for year in range(2002, 2027):  # при необходимости расширяем диапазон
    fname = f"nvdcve-2.0-{year}.json.zip"
    url = BASE + fname
    print("Качаю", fname)

    with requests.get(url, stream=True, timeout=300) as r:
        r.raise_for_status()
        with open(fname, "wb") as f:
            for chunk in r.iter_content(8192):
                if chunk:
                    f.write(chunk)

Скрипт пишет: 

Качаю nvdcve-2.0-2002.json.zip
...
Качаю nvdcve-2.0-2026.json.zip

И скачивает в текущую директорию zip-архивы с JSON-чиками, которые затем можно обработать по своему усмотрению. 😉