Архив рубрики: Темы

Выписал тезисы по статье Алексея Лукацкого про методы приоритизации уязвимостей

Добавить комментарий

Выписал тезисы по статье Алексея Лукацкого про методы приоритизации уязвимостей

Выписал тезисы по статье Алексея Лукацкого про методы приоритизации уязвимостей.

🔹 Количество CVE уязвимостей растёт с большим ускорением; считается, что на одну зарегистрированную уязвимость есть 3 незарегистрированных.
🔹 Исходя из статистики, устранение уязвимостей осуществляется гораздо позже, чем эти уязвимости начинают использовать атакующие.
🔹 Отсутствие выстроенного процесса приоритизации уязвимостей - одна из причин задержек в их устранении.
🔹 Единственного правильного метода приоритизации уязвимостей нет: у каждого свои преимущества, недостатки и область применения.
🔹 Выбор у корпоративных пользователей небогат: довериться методам приоритизации VM-вендора, либо пилить свой процесс (собирая temporal и environmental данные самостоятельно).
🔹 Можно попробовать разработать собственную методику, однако всё равно нужно где-то брать исходные данные. Большинство компаний берут за основу CVSS Base Score + временные метрики (EPSS, Coalition ESS, AI Score, CVE Shield, CISA KEV и т.п.). Каверзные вопросы. Что делать с новыми уязвимостями, по которым еще нет данных? И что делать с уязвимостями, для которых нет, и возможно, не будет данных в CVE (например, с уязвимостями в российских продуктах)? 🤔 Информации по их эксплуатабельности в западных источниках не будет. 😏
🔹 "Уникальная и революционная система приоритизации уязвимостей" = учёт информации о наличии эксплойта, использовании уязвимости в реальных атаках, активности обсуждения в СМИ и соцсетях и т.д. + обработка ML-ем.
🔹 Упрощённые критерии принятия решений (НКЦКИ, SSPP, CISA) всё равно требуют автоматизации и источника информации об активности эксплуатации уязвимостей вживую.

Сидим в кафе за столиком с прикольным видом на рыбок

Добавить комментарий

Сидим в кафе за столиком с прикольным видом на рыбок
Сидим в кафе за столиком с прикольным видом на рыбокСидим в кафе за столиком с прикольным видом на рыбокСидим в кафе за столиком с прикольным видом на рыбок

Сидим в кафе за столиком с прикольным видом на рыбок. Смотрю на них и думаю: вот и в Vulnerability Management-е также. Масса мелких уязвимостей-рыбёшек. Ты с ними возишься, исправляешь по мере сил. А потом в произвольный момент флегматично из-за поворота выплывает супер-мега-критикал акула. 😱 Только в VM-е прикольнее, т.к. маленькая рыбка мгновенно в акулу не превратится, а с уязвимостями такое сплошь и рядом случается. 😏

Есть бородатый анекдот, когда студентам разных специальностей показывают кирпич и спрашивают о чём каждый из них в этот момент думает. Архитектор о том, какой дом можно построить из таких кирпичей, математик о свойствах параллелепипеда и т.д. А курсант военного ВУЗа думает о женщинах. Почему? А он всегда о них думает. 🤷‍♂️😉

На прошлой неделе на сайте РезБеза вышел большой обзор методов приоритизации уязвимостей от Алексея Лукацкого

1 комментарий

На прошлой неделе на сайте РезБеза вышел большой обзор методов приоритизации уязвимостей от Алексея Лукацкого

На прошлой неделе на сайте РезБеза вышел большой обзор методов приоритизации уязвимостей от Алексея Лукацкого. Нашлось там место и для предложенной мной альтернативы CVSS под названием ОСОКА ("Общая Система Оценки Критичности Автоматизируемая"), а также там упоминается моя утилита для приоритизации уязвимостей Vulristics. Видимо действительно пора доводить ОСОКу от разрозненных заметок до спецификации, делать калькулятор и интегрировать её в Vulristics. 🤔

Рассматриваемые в статье методы разбиты на 3 группы:

🔹Зарубежные: CVSS, EPSS, CISA SSVC, CISA KEV, CVEShield (CVE Crowd, CVETrends), CMU SSVC, CVE Prioritizer, Vulners AI Score, Zoom VISS, SSPP

🔹 Российские: методика ФСТЭК, алгоритм НКЦКИ, трендовые уязвимости Positive Technologies, ОСОКА

🔹Проприетарные / закрытые: Coalition ESS, Tenable VPR, Qualys TruRisk, MVSF, PRIOn. Здесь же упоминаются внедряемые технологии приоритизации (VPT): Vulnera VSCORE, Outpost24 VPT, Vulcan, Ridge RidgeBot

Про ситуацию с браузером "Спутник"

Добавить комментарий

Про ситуацию с браузером Спутник

Про ситуацию с браузером "Спутник". Если помните, был такой проект поисковика "Спутник", который не взлетел, и его команда начала пилить Chromium-based браузер с тем же названием. Браузер поддерживал отечественные SSL-сертификаты и был в реестре Минцифры, поэтому был востребован в госах.

Сначала компания была дочкой Ростелекома. В 2018 компания обанкротилась и пересобралась в самостоятельную единицу. В 2022 году компания прекратила техническую поддержку браузера, а в 2023 закрылась окончательно. 🤷‍♂️

А что браузер? Браузер продолжают использовать и сейчас. 😏 Вишенкой на торте является то, что инсталляции браузера лазят за обновлениями на browser-sputnik[.]ru, который перерегистрирован на американскую "Global Internet Telemetry Measurement Collective". 🍒 Не исключено, что какой-то зловред они оттуда в итоге получат. 🫣

Что делать? Сносить браузер "Спутник". Об этом пишет НКЦКИ в своём бюллетене.

А что делать глобально, чтобы такое больше не повторилось - вопрос отдельный.

Тоже сделал мемчик с крутым Юсуфом Дикечем

Добавить комментарий

Тоже сделал мемчик с крутым Юсуфом Дикечем

Тоже сделал мемчик с крутым Юсуфом Дикечем. 😅

🔹 Каждая существующая в инфраструктуре уязвимость должна быть продетектирована.
🔹 Для каждой продетектированной уязвимости должна быть заведена задача на исправление.

Это суровая база. А когда вам говорят, что этого можно не делать, потому что есть какой-то супер-современный инструмент оценки уязвимостей, к этому стоит относиться со скепсисом. 😉

По поводу прошедшего вчера мероприятия Qualys по Patch Management-у

Добавить комментарий

По поводу прошедшего вчера мероприятия Qualys по Patch Management-у

По поводу прошедшего вчера мероприятия Qualys по Patch Management-у. В первую очередь хочу поблагодарить Дмитрия и Никиту за компанию, текстовая трансляция с обсуждением удалась. 🙂👍

Понравилось:

✅ Крутой доклад Eran Livne про Patch Management в Qualys. 👍 Особенно про создание связанных задач на патчинг (сначала на тестовом скоупе, а через неделю на полном скоупе) и про возможность изолировать хосты в качестве митигейшена (остаётся доступ только из облака Qualys). Про новый TruRisk Eliminate было тоже интересно.
✅ Adam Gray красиво обосновал необходимость обязательного патчинга (т.к. prevention толком не работает 🤷‍♂️).

Не понравилось:

❌ Большую часть времени докладчики говорили не про Patch Management, а про другие ИБ темы. Хотелось бы большего фокуса.
❌ Тезисы типа "вам не нужно патчить все уязвимости" не могу принять. 🤷‍♂️ Моя позиция: нужно патчить всё. А workaround-ы это хорошо, но это временные костыли ДО полноценной установки патча.

Про уязвимость Remote Code Execution - Acronis Cyber Infrastructure (CVE-2023-45249)

1 комментарий

Про уязвимость Remote Code Execution - Acronis Cyber Infrastructure (CVE-2023-45249)

Про уязвимость Remote Code Execution - Acronis Cyber Infrastructure (CVE-2023-45249). Благодаря используемым паролям по умолчанию, удалённый неаутентифицированный злоумышленник может получить доступ к серверу Acronis Cyber Infrastructure (ACI) и выполнить на нём произвольный код.

ACI - это гиперконвергентная платформа для хранения, бэкапирования, вычислений, виртуализации и сетевых функций.

🔻 Патчи, исправляющие эту уязвимость, вышли 30 октября 2023 (❗️) года.
🔻 Через 9-10 месяцев, 24 июля этого года, Acronis отметили в бюллетене, что для уязвимости появились признаки эксплуатации вживую. Пишут, что целью эксплуатации была установка криптомайнера. 29 июля уязвимость добавили в CISA KEV.

Ряд источников сообщает о 20 000 сервис-провайдеров, использующих ACI. Я не нашёл подтверждений этому. Возможно тут путаница с Acronis Cyber Protect. Однако, крупных компаний, использующих ACI, наверняка, довольно много. Если вы работаете в такой компании, обязательно обратите внимание.