Архив рубрики: ФСТЭК

На сайте ФСТЭК 30 января был опубликован документ с рекомендациями по харденингу Samba

Добавить комментарий

На сайте ФСТЭК 30 января был опубликован документ с рекомендациями по харденингу Samba

На сайте ФСТЭК 30 января был опубликован документ с рекомендациями по харденингу Samba. Samba - пакет программ, которые позволяют обращаться по сети к файлам и принтерам на различных операционных системах по протоколу SMB/CIFS. Имеет клиентскую и серверную части. Является свободным программным обеспечением под лицензией GPL.

Всего в документе 14 страниц. Требования по настройке приводятся на пяти страницах и сгруппированы по темам:

🔹 Настройка общего доступа
🔹 Расширенные настройки
🔹 Настройки аудита ПО
🔹 Проверка недостатков конфигурации

Требования содержат конкретные параметры, которые необходимо настроить, и команды, которые необходимо выполнить. Значит будет просто разрабатывать проверки на соответствие и скрипты для конфигурирования. 👍

На семи страницах документа представлены перечни:

🔸 Подсистем
🔸 Уровней журналирования
🔸 Значений для команды full_audit:prefix
🔸 Событий, фиксируемых командами full_audit:success и full_audit:failure
🔸 Типов приоритета

У Елены Борисовны Торбенко, начальника управления ФСТЭК, был сегодня интересный доклад на Инфофоруме

Добавить комментарий

У Елены Борисовны Торбенко, начальника управления ФСТЭК, был сегодня интересный доклад на Инфофоруме

У Елены Борисовны Торбенко, начальника управления ФСТЭК, был сегодня интересный доклад на Инфофоруме. В 2025 году было проверено более 700 значимых объектов КИИ, выявлено 1200 нарушений и недостатков обеспечения безопасности, из которых 80% являются типовыми. Заведено >600 дел по 13.12.1 и 19.7.15 КоАП.

Среди типовых недостатков указали "непроведение мероприятий по выявлению и анализу уязвимостей на значимых объектах КИИ, наличие уязвимого ПО на значимых объектах КИИ".

Имхо, формулировать это в терминах VM-процесса (нарушение сроков по детектированию, SLA на устранение и т.п.) было бы лучше, но внимание к теме в любом случае радует. 👍😇

Отдельно подчеркнули VM-ные проблемы:

🔻 Отсутствие процесса инвентаризации сведений о ЗОКИИ → лишнее ПО, создающее угрозы ИБ.
🔻 Использование зарубежного ПО без поддержки вендором.
🔻 Недооценка уязвимостей в соответствии с руководством ФСТЭК по организации VM-процесса.
🔻 Низкая периодичность выявления уязвимостей ("1 раз в год").

Американское VM-ное комьюнити переваривает статью по итогам квартальной встречи NIST ISPAB о перспективах NIST NVD

Добавить комментарий

Американское VM-ное комьюнити переваривает статью по итогам квартальной встречи NIST ISPAB о перспективах NIST NVD

Американское VM-ное комьюнити переваривает статью по итогам квартальной встречи NIST ISPAB о перспективах NIST NVD. Если коротко: NIST не может и не хочет обогащать все уязвимости в NVD, у них лапки. 🐾

🔹 Растущий бэклог по непроанализированным уязвимостям предлагают называть другим словом, не предполагающим, что их когда-нибудь разберут. 🤡

🔹 Обогащать теперь стараются преимущественно уязвимости из CISA KEV, уязвимости в ПО, используемом федеральными агентствами, и ПО, которое NIST определяет как критическое. То есть фактически работают по схеме БДУ ФСТЭК. Может, у ФСТЭК и подглядели. 😉

🔹 Спят и видят, как бы передать все функции по обогащению на сторону CNA. Полная децентрализация и бесконтрольность приведёт к ещё более замусоренным данным, но на это всем пофиг. 😏

🔹 При этом к CISA Vulnrichment и GCVE относятся критически. 🤷‍♂️🙂

На сайте ФСТЭК 16 января был опубликован документ с рекомендациями по харденингу SAP-систем

Добавить комментарий

На сайте ФСТЭК 16 января был опубликован документ с рекомендациями по харденингу SAP-систем

На сайте ФСТЭК 16 января был опубликован документ с рекомендациями по харденингу SAP-систем. В документе 6 страниц текстовых рекомендаций и таблица на 9 страниц, содержащая объекты контроля (параметры, роли, сервисы и учетные записи), действия, безопасные значения/результаты и наименования продуктов, требующих настройки.

Рекомендации разделены на 12 групп:

1. Управление обновлениями
2. Учётные записи и пароли по умолчанию
3. Неиспользуемая функциональность и сервисы
4. Открытые интерфейсы и администрирование
5. Параметры профиля и конфигурации безопасности
6. Шифрование и защита каналов связи
7. Контроль доступа и разделение полномочий
8. Доверенные соединения и RFC
9. Логирование и аудит
✳️ 10. Безопасность данных
✳️ 11. Управление доступом и безопасной разработки
✳️ 12. Использование отладчика

Последние 3 группы ✳️ не отражены в таблице, только в тексте документа.

Документ интересный и, на фоне медленного импортозамещения ERP-систем, более чем актуальный. 👍

В России проработают вопрос создания центра проведения сравнительного анализа средств защиты информации

Добавить комментарий

В России проработают вопрос создания центра проведения сравнительного анализа средств защиты информации

В России проработают вопрос создания центра проведения сравнительного анализа средств защиты информации. Поручение об этом дал Михаил Мишустин по итогам форума "Цифровые решения".

🫡 Ответственные: Минцифры, Минобрнауки, ФСТЭК и ФСБ совместно с заинтересованными органами власти.

⏳ Срок: до 30 января 2026 г.

Инициатива выглядит интересно и актуально. 🔥 ИБ-вендоров в России множество, а продуктов - тем более. Насколько эти продукты адекватно решают заявленные задачи - вопрос нетривиальный. 🤯

По-хорошему тут нужно выделять классы СЗИ и для каждого класса прописывать типовые функциональные возможности и сценарии тестирования. Затем проводить тестирование вживую на стендах и делать выводы о качестве реализации функциональных возможностей в каждом конкретном решении. 🤔

Тогда можно будет выдавать достаточно объективные рекомендации:

⚖️ Организациям по выбору СЗИ
💡 ИБ-вендорам по доработке СЗИ

Было бы круто как-нибудь поучаствовать там по теме САЗ. 😇

Вчера на сайте ФСТЭК был опубликован важный VM-ный документ - "Методика анализа защищённости информационных систем" от 25 ноября 2025 г

Добавить комментарий

Вчера на сайте ФСТЭК был опубликован важный VM-ный документ - Методика анализа защищённости информационных систем от 25 ноября 2025 г

Вчера на сайте ФСТЭК был опубликован важный VM-ный документ - "Методика анализа защищённости информационных систем" от 25 ноября 2025 г. Основное назначение методики - описать работы по анализу защищённости (выявлению уязвимостей) при аттестации объектов информатизации (77 приказ), а конкретно в ходе:

🔹 аттестации информационных систем (ИС) на соответствие требованиям по защите информации (ЗИ);
🔹 контроля уровня защищённости конфиденциальной информации от НСД и её модификации в ИС;
🔹 оценки соответствия ИС требованиям по ЗИ (испытания) и достаточности принимаемых мер по ЗИ (обеспечению безопасности).

Кроме того, это (первая? 🤔) попытка регулятора определить, что такое Анализ Защищённости (АЗ) как услуга.

Особенно интересны:

🔻 Раздел 3.4. Оценка выявленных уязвимостей. Здесь определяются критерии успешности АЗ.

🔻 Таблицы 2 и 3, содержащие перечни работ в ходе внешнего и внутреннего сканирования и, фактически, определяющие требования к функциональности средств АЗ. 😉

Завершая тему компрометации F5, стоит отметить, что подобные атаки неизбежно будут проводиться и против отечественных IT/ИБ вендоров

Добавить комментарий

Завершая тему компрометации F5, стоит отметить, что подобные атаки неизбежно будут проводиться и против отечественных IT/ИБ вендоров

Завершая тему компрометации F5, стоит отметить, что подобные атаки неизбежно будут проводиться и против отечественных IT/ИБ вендоров. У них также могут слить незакрытые задачи на устранение уязвимостей и исходный код, что приведёт к массовой эксплуатации 0day уязвимостей. 😱 Как снизить такие риски? 🙂

Имхо, государству стоит определить вендоров, наиболее интересных злоумышленникам - прежде всего разработчиков решений, доступных из Интернет: систем удалённого доступа, CMS, CRM, e-learning, почты, мессенджеров и т.п.

Помимо повышенных требований к этим "периметровым" продуктам (отсутствие НДВ), необходимо ужесточить требования к вендорам:

🔻 Их инфраструктура должна соответствовать современным требованиям ИБ (хотя бы в объёме 117 приказа ФСТЭК).
🔻 Они обязаны отвечать за уязвимости и их сокрытие, а данные об уязвимостях должны быть доступны для изучения.
🔻 Их продукты должны быть выставлены на багбаунти.

Кто не тянет - тем не место в "импортозамещательных" реестрах. 😉