Архив рубрики: Темы

Прожектор по ИБ, выпуск №11 (12.11.2023): не верь описаниям, периметр и Аврора для физиков

Прожектор по ИБ, выпуск №11 (12.11.2023): не верь описаниям, периметр и Аврора для физиков. Записали очередной эпизод нашего еженедельного подкаста. В этот раз записывали таким составом:

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Иван Шубин

00:00 Здороваемся и смотрим статистику
02:29 Как Лев съездил на Цифротех
07:52 Не верь описанию уязвимости - может внезапно поменяться (на примере недавней Improper Authorization в Confluence CVE-2023-22518)
11:36 Специалисты из Check Point Research раскрыли уязвимость в Microsoft Access, которая может быть использована злоумышленниками для получения NTLM-токенов пользователя Windows
15:31 Парочка занимательных аномалий из National Vulnerability Database
18:27 Про возраст уязвимости и её трендовость
29:38 Ещё один экран Бесконечного VM-a про сетевой периметр
40:05 Делюсь впечатлениями от покупки первого смартфона на Авроре для физиков
55:19 В преддверии Черной пятницы число веб-атак на ретейл России возросло на 50%
57:27 Минцифры России запускает второй этап программы bug bounty, распространив ее на все ресурсы и системы электронного правительства
01:00:47 В Южной Корее робот насмерть прижал мужчину
01:06:11 Иван рекомендует книгу "How vCISOs, MSPs and MSSPs Can Keep their Customers Safe from Gen AI Risks"
01:10:21 Прощание от Льва

Не верь описанию уязвимости - может внезапно поменяться (на примере недавней Improper Authorization в Confluence CVE-2023-22518)

Не верь описанию уязвимости - может внезапно поменяться (на примере недавней Improper Authorization в Confluence CVE-2023-22518)

Не верь описанию уязвимости - может внезапно поменяться (на примере недавней Improper Authorization в Confluence CVE-2023-22518). Как только эта уязвимость появилась, нам обещали, что злоумышленник никаких данных не получит, максимум повайпает (у вас же дампы есть - восстановите 😏).

"There is no impact to confidentiality as an attacker cannot exfiltrate any instance data."

В итоге через неделю оказалось, что с помощью этой уязвимости можно админа получить.

"This Improper Authorization vulnerability allows an unauthenticated attacker to reset Confluence and create a Confluence instance administrator account."

Упс. Ошибочка вышла. И выяснилось это, когда пошли реальные эксплуатации. 🤷‍♂️

Мораль: если видишь обновление безопасности в критичном софте, то не вчитывайся в описание, а тестируй и катай. Даже, если там про бла-бла-бла Memory Corruption, EoP или DoS. Не жди пока злоумышленники докрутят уязвимость до чего-то полезного. Целее будешь.

Парочка занимательных аномалий из National Vulnerability Database

Парочка занимательных аномалий из National Vulnerability Database

Парочка занимательных аномалий из National Vulnerability Database. Помните в августе была RCE уязвимость в WinRAR CVE-2023-40477? Так вот, NVD не знает такой уязвимости! CVE ID Not Found. 🤤 Сам RARLAB пишет про эту CVE, ZDI пишет, а NVD типа не при делах. Нет такой CVEшки, потеряли. 🤷‍♂️ Вот уж действительно 404. 😄

А вот помните совсем недавно, в октябре, RCE в Exim CVE-2023-42115 была? Трендовая, все дела. Куча публикаций. А чего NVD? Аналогично! CVE ID Not Found. 🙃

У NVD (вместе с Mitre) была всего одна задача, поддерживать реестр CVEшек, и они фейлятся из раза в раз. 😏

Обе уязвимости заводили, кстати, через ZDI, так что подозреваю здесь ошибку на стороне гениев из Trend Micro. А NVD что, им вообще пофиг.

PS: в BDU есть и первая, и вторая. 👍

Нормальные у нас смартфоны, у нас с маркетинговым позиционированием как-то не очень

Нормальные у нас смартфоны, у нас с маркетинговым позиционированием как-то не очень

Нормальные у нас смартфоны, у нас с маркетинговым позиционированием как-то не очень. Обещаю, последний пост про смартфоны. На время отложим эту тему и вернемся к уязвимостям. 😅 Просто как-то грустно смотреть на тонны однотипных токсичных комментариев под постами о российских смартфонах. Кажется беда в том, что людям не объясняют доходчиво весь расклад. Я тот ещё креатор, конечно, но пофантазировать на эту тему могу. 🙂 Я бы делал так.

1. Смартфоны это важная часть нашей жизни. Посмотрите в любом людном месте, в метро например. Чуть менее чем все уткнулись в свои смартфоны и куда-то там увлеченно пальцетычат. Последнее на что смотрит человек перед сном это экран смартфона, первое куда смотрит человек проснувшись это экран смартфона. Такова реальность.

2. В настоящее время смартфоны это фактически инструмент американского бигтеха для неоколониального контроля и угнетения. Через смартфоны они моют нашим согражданам мозги, шантажируют нас блокировками российских приложений в апсторах и отключением ключевых сервисов. Такое положение вещей просто унизительно для народа-победителя. "Вспомнишь ли ты, господам подавая салфетки, Тот праведный меч, что завещали великие предки?" (с)

3. Появились люди, настоящие патриоты и подвижники, которые поставили своей целью дать жителям России отечественный смартфон. А как это было сделать в условиях отставания в вычислительной технике? С нуля - практически невозможно. Сделали хитрее. Взяли за основу китайские устройства и начали производить их у нас. Да, пока из западных и китайских комплектующих, но в условиях отсутствия российских аналогов иначе было нельзя. Но самое главное - Операционная Система. Это сердце смартфона, наиболее важная его часть. Написать с нуля это спалить гигантское количество ресурсов и потратить годы на то, чтобы это было хоть как-то функционально похоже на западные аналоги. Нашли решение! В нужный момент перекупили у финнов права на мобильную ОС на основе Linux, которую начали разрабатывать ещё Nokia - в своё время лидеры рынка смартфонов. Американский бигтех Nokia уничтожил, но их наследие осталось жить и развиваться России, в нашей ОС Аврора.

4. Но самое главное было научиться устанавливать на устройство, которое было рассчитано только на богомерзкую, созданную американцами для неоколониального контроля и угнетения OS Android, нашу безопасную отечественную ОС Аврора. И это получилось сделать! Так что всё работает: экран показывает, тачскрин нажимается, нажатие на кнопки отрабатывает корректно, камера снимает, работает wifi, работает мобильный интернет, есть современный браузер и набор базовых приложений, можно звонить и принимать звонки, можно отправлять и принимать смс! Всё это требовало колоссальной работы на уровне драйверов устройств, но это было сделано! И не на одном устройстве, а на множестве. Слава российским инженерам!

5. Раньше смартфоны на ОС Аврора были доступны только корпоративным заказчикам. Но теперь, они стали доступны и тебе, гражданин! Причём по наиболее доступной цене. Бери, пользуйся, твори! Ты можешь использовать этот смартфон для решения своих повседневных задач, можешь использовать его для разработки и отладки софта под ОС Аврора, можешь способствовать, чтобы российские компании выпускали приложения под ОС Аврора. Развитие национальной мобильной инфраструктуры наше общее дело!

Про возраст уязвимости и её трендовость

Про возраст уязвимости и её трендовость

Про возраст уязвимости и её трендовость. В комментах к предыдущему посту Андрей Бешков поднимает правильную тему.

Вспоминаю сводки по эксплуатации уязвимостей от Microsoft. И там статистика показывает что больше всего эксплуатируют не модные «трендовые» а старые давно закрытые уязвимости.

Например как с Conficker который распространялся через уязвимость закрытую за много много месяцев до его появления. 😉

Трендовость уязвимости не зависит модности или наличия патчей. Она зависит от наличия (или экспертной оценки скорого появления) эксплоитов, критичных атак и актуальности уязвимого продукта для клиентов.

Cпорный вопрос: может ли уязвимость признанная трендовой перестать быть трендовой со временем?

Моё текущее мнение, что нет, не может. Так что и конфикеровскую CVE-2008-4250 я бы продолжал держать в списке трендовых. Несмотря на то, что ОС-и, которые она аффектила (Windows 2000/XP/Vista, Windows Server 2003/2008/2008 R2) актуальными быть перестали. 🤷‍♂️

➡️ Опрос

Послушал третий эпизод подкаста КиберДуршлаг про Трендовые Уязвимости

Послушал третий эпизод подкаста КиберДуршлаг про Трендовые Уязвимости

Послушал третий эпизод подкаста КиберДуршлаг про Трендовые Уязвимости. Гостями подкаста в этот раз были Юрий Шкодин и Егор Подмоков из PT Expert Security Center (ESC). Для меня особенно интересный эпизод, т.к. ответ на вопрос куда именно в PT я вышел - вот конкретно к ним. 🙂 Выписал некоторые тезисы.

1. Трендовые уязвимости - уязвимости, которые эксплуатируются сейчас (на которые есть эксплоиты) или которые будут эксплуатироваться в ближайшее время. Это те уязвимости, на которые заказчики должны обратить внимание в первую очередь в своей инфраструктуре.
2. Трендовых уязвимостей не должно быть везде в инфраструктуре или только в DMZ? Дискуссионный вопрос, нужно исходить из модели рисков. Трендовая уязвимость на тестовом стенде внутри IT-инфраструктуры это не очень важная уязвимость.
3. Трендовость Уязвимости зависит от уязвимого продукта. Они могут быть очень специфичными: Church Management система, управления автомобилями и т.п. Необходимо учитывать реальные возможности по детектированию. Продукты, которые неинтересны ни нам, ни заказчикам, мы добавляем в black list, который, при необходимости, пересматриваем.
4. Исходные данные для оценки трендовости собираем из баз уязвимостей, бюллетеней безопасности вендоров, социальных сетей и мессенджеров, баз эксплоитов, публичных репозиториев кода.
5. Фолзы детектов уязвимостей, отчего они? Например, в детекте уязвимостей Windows по KB-шкам. Могут быть ошибки роботов-сборщиков данных. Может быть задержка реагирования на изменение в контенте вендора. Может быть вендор ПО предоставляет информацию об обновлениях недостаточно прозрачно.
6. Форки Open Source продуктов, которые не фиксят и не сообщают об уязвимостях исходного продукта. Призываем вендоров за этим следить. И желательно, чтобы вендоры публиковали информацию о своих уязвимостях в одном месте, идеально в БДУ ФСТЭК.
7. Сложности с детектами. Версионные детекты: уязвимость в выключенной фиче или выключенном ПО это уязвимость? Детекты с эксплуатацией: проверка не сработала, а насколько этому можно верить? Насколько правильно проверки реализованы и на основе каких эксплоитов?
8. Пользовательские детекты для софтов и уязвимостей - крутая тема. Идём в эту сторону.
9. Для отладки детектов необходимы реальные стенды с уязвимыми продуктами. Здесь вопросы с оценкой популярности софта (невозможно поддерживать всё) и нотификациями о выпуске новых версий софта. В эти темы тоже идём.
10. Доставка трендовых уязвимостей в MP VM за 12 часов. Трендовые уязвимости, как правило, начинают эксплуатировать через 24 часа (плюс это требование ФСТЭК из методики оценки критичности). Из них 12 нужно VM вендору на реализацию проверки и 12 нужны клиенту на детекты и исправление. Для более быстрой доставки идём к тому, что в базе MP VM будут все уязвимости, не только те, для которых есть детекты. Нужно будет только быстро добавлять детекты (возможно силами самих клиентов). Ассетная модель позволяет получить сработки без пересканирования по имеющимся данным.
11. BugBounty может использоваться для контроля известных уязвимостей сетевого периметра и выполнения SLA (например хантер может сдавать известные уязвимости старше 30 дней).
12. HCC PT Essentials это минимальный набор требований к конфигурациям, которые обязательно должны выполняться. Идём в сторону возможности реализовывать свои проверки.
13. Идеальный VM вендор. Прозрачность по текущим и будущим фичам (открытый roadmap). Улучшение покрытия продуктов. Самостоятельность заказчиков в плане наполнения базы знаний уязвимостей и детектов, возможность делиться этим контентом через маркетплейс. Метапродукты работающие с минимальным количеством людей. Автоматизированное исправление уязвимостей с аппрувом от IT.

Прожектор по ИБ, выпуск №10 (06.11.2023) с Иваном Шубиным: не суй TMUI, балансеры и Бесконечный VM

Прожектор по ИБ, выпуск №10 (06.11.2023) с Иваном Шубиным: не суй TMUI, балансеры и Бесконечный VM. Записали новый эпизод с небольшим опозданием, но в усиленном составе:

🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Максим Хараск, "Global Digital Space"
🔸 Иван Шубин

00:00 Здороваемся и смотрим статистику по просмотрам. Меньше 100 просмотров за неделю не набрали - печаль. 😔
02:33 Лев сходил на конференцию Норникеля "обратного типа", где ему подарили табличку, а также провёл бесплатную ПоИБэшечку
09:29 RCE и SQLi в F5 BIG-IP. "Не суй наружу свой TMUI"
12:34 Опрос "Что вы используете в качестве балансировщика нагрузки в вашей организации (в России)?"
19:13 Атаки на Госуслуги в Германии и России. У нас-то получше ситуация
20:23 Вайпилка для Confluence
25:35 RCE в Apache ActiveMQ
27:55 У Битрикс обнаружили 8 уязвимостей, в их числе RCE
31:14 Активность небезызвестного ботнета Mozzi ушла в небытие
32:34 Более 40 стран навсегда откажутся от уплаты выкупов хакерам-вымогателям
36:10 Мем недели: Решил выпускник ВУЗа выбрать, каким направлением ИБ он будет заниматься…
38:00 Аниме-новелла про Управление Уязвимостями? Обсуждаем, что бы это могла быть за игра, выбираем варианты на первом "скриншоте", приглашаем поучаствовать в разработке 😉
46:16 Скарлетт Йоханссон судится с разработчиками приложения, использовавшего ее голос без разрешения
49:50 Прощание от Максима Хараска и лучи добра для chaikae!