Архив рубрики: Уязвимость

PCI DSS 4.0.1 и управление уязвимостями

Добавить комментарий

PCI DSS 4.0.1 и управление уязвимостями

PCI DSS 4.0.1 и управление уязвимостями. Провёл сегодня закрытый вебинар для ИБ-специалистов из банков СНГ про управление уязвимостями в контексте актуального PCI DSS v4.0.1 (вышел в июне 2024, обязателен с 31 марта 2025).

Расклады там следующие:

🔹 Привычные квартальные сканы периметра силами ASV-провайдеров остаются ().

🔹 Также нужно сканировать внутрянку не реже раза в квартал (), 🆕 делать это обязательно с аутентификацией (). Сканить можно самим без привлечения QSA/ASV, но не должно быть конфликта интересов - админам поручать сканирование их же систем нельзя ().

🔹 Непосредственно в документе устанавливаются срок устранения критичных уязвимостей - месяц (). Для других уровней исправлять "within an appropriate time frame" в соответствии с политиками организации.

🔹 Игнорировать некритичные уязвимости нельзя. Ко всем нужно регулярно обращаться и отслеживать изменение критичности ().

Начался приём заявок на ежегодную премию Pentest Award от Awillix

Добавить комментарий

Начался приём заявок на ежегодную премию Pentest Award от Awillix

Начался приём заявок на ежегодную премию Pentest Award от Awillix. Подать заявку можно до 30 июня. Победителей наградят 1 августа. Помимо статуэток подарят технику Apple (ноут, смарфон, часы) , а также спец-призы от спонсоров BIZONE и CyberEd.

Жюри будут оценивать заявки по полноте описания и пруфам, сложности эксплуатации, использованию нестандартных подходов, качеству рекомендаций по устранению уязвимостей и субъективному вау-эффекту. 🙂 Интересны необычные подходы, ресерчи и методики. Чувствительные данные можно не раскрывать.

Номинации:

🔻 Пробив web
🔻 Пробив инфраструктуры
🔻 Мобильный разлом: от устройства до сервера
🔻 Девайс
🔻 «**ck the logic»
🔻 «Раз bypass, два bypass»
🔻 «Ловись рыбка» (фишинг)
🔻 Out of Scope ("нестандартные offensive-находки и открытия")

🔹 Антиноминация: Осторожно грабли ("самые ценные неудачи и полезные уроки в сфере ИБ")

Как и в прошлом году, собираюсь отслеживать и подсвечивать интересное. 😏

Про R-Vision R-EVOlution Conference 2025

Добавить комментарий

Про R-Vision R-EVOlution Conference 2025

Про R-Vision R-EVOlution Conference 2025. Впечатления очень приятные. 🙂 Хорошо пообщались и на сцене, и в кулуарах. На сцене много времени уделили качеству сканирования и контролю активов. 😇

Я выкладывал тезисы и фоточки с мероприятия в лайв-канале. Основные моменты:

🔹 Перевод решений R-Vision на новую единую платформу EVO. Уже перевели VM и SIEM.

🔹 Заход в IT-сегмент - анонс решений CMDB, ITSM, ITAM, DGP. 👍 ИБ-процессы (включая VM) должны начинаться с наведения порядка в инфраструктуре. Иначе толку будет мало.

🔹 Новые фичи VM-а: сканирование в режиме комплаенс, новые агенты, поиск по базе детектируемых уязвимостей из интерфейса 🔥, плейбуки для автоматизации. В роадмапе на 2025 web-сканы, сканирование контейнеров, гипервизоров, расширение покрытия сетевых устройств, детекты без перескана.

Из минусов: в этот раз техническим командам R-Vision не дали слово в основной программе. 🤷‍♂️ В прошлом году мне очень нравилась эта фишечка. А так всё круто. 👍🙂

Апрельский выпуск "В тренде VM": уязвимости в Microsoft Windows, продуктах VMware, Kubernetes и Apache Tomcat

Добавить комментарий

Апрельский выпуск В тренде VM: уязвимости в Microsoft Windows, продуктах VMware, Kubernetes и Apache Tomcat

Апрельский выпуск "В тренде VM": уязвимости в Microsoft Windows, продуктах VMware, Kubernetes и Apache Tomcat. По видяшкам берём паузу, пока только текстом. 🤷‍♂️🙂

🗞 Пост на Хабре
🗒 Дайджест на сайте PT

Всего 11 трендовых уязвимостей:

🔻 Elevation of Privilege - Windows Cloud Files Mini Filter Driver (CVE-2024-30085)
🔻 Spoofing - Windows File Explorer (CVE-2025-24071)
🔻 Четыре эксплуатируемые уязвимости Windows из мартовского Microsoft Patch Tuesday (CVE-2025-24985, CVE-2025-24993, CVE-2025-26633, CVE-2025-24983)
🔻 Три уязвимости VMware "ESXicape" (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226)
🔻 Remote Code Execution - Apache Tomcat (CVE-2025-24813)
🔻 Remote Code Execution - Kubernetes (CVE-2025-1974)

Может ли ФСТЭК БДУ заменить NIST NVD (и MITRE CVE Program)?

Добавить комментарий

Может ли ФСТЭК БДУ заменить NIST NVD (и MITRE CVE Program)?

Может ли ФСТЭК БДУ заменить NIST NVD (и MITRE CVE Program)? Ок, импортозамещение - это задача стратегическая. А что в краткосрочной перспективе? Если все-таки американские базы уязвимостей перестанут работать, отечественная БДУ ФСТЭК нас спасёт? 🙂

В прошлом году на PHDays проходила дискуссия по поводу национальных баз уязвимостей. И я тогда на правах модератора спрашивал (02:30, 08:04) у Виталия Сергеевича Лютикова, на тот момент заместителя директора ФСТЭК, позиционируется ли БДУ как потенциальная замена NIST NVD. Ответ был отрицательным. БДУ собирает уязвимости в продуктах, которые могут использоваться в российском госсекторе, на объектах КИИ и в отечественном ПО. Задача собирать ВСЕ уязвимости (как в NVD) никогда не ставилась. Поэтому, если вы ищете полноценную российскую замену NVD, то это не БДУ. Во всяком случае в текущем понимании её целей и задач.

Более реалистичной заменой NVD будут являться отечественные Vulnerability Intelligence порталы и платформы. 😉

Почему это нас беспокоит?

Добавить комментарий

Почему это нас беспокоит?

Почему это нас беспокоит? Ситуация с финансированием MITRE и NIST исключительно внутриамериканская. И она так или иначе разрешится. В этой сфере крутятся миллиарды долларов, работают сотни компаний и многие тысячи специалистов. Они без нас найдут тех, кто будет вести и обогащать базу CVE, и кто будет это финансировать (CISA уже отсыпали MITRE денежек на 11 месяцев 😏).

А нам следует задуматься, почему американские базы CVE-уязвимостей настолько важны для нас. Почему это нас беспокоит?

Ответ очевиден: в России всё ещё широко используется западный коммерческий софт, уязвимости которого собираются в эти базы. Как и уязвимости западного опенсурсного софта/библиотек, составляющих основу практически всего "отечественного ПО". Из технологической зависимости растёт и зависимость от американских баз уязвимостей. 🤷‍♂️

Поэтому следует:

🔹 усиливать настоящее импортозамещение
🔹 избавляться от западных продуктов
🔹 наращивать контроль над опенсурсными проектами

На следующей неделе, 23 апреля, планирую участвовать в R-Vision R-EVOlution Conference

Добавить комментарий

На следующей неделе, 23 апреля, планирую участвовать в R-Vision R-EVOlution Conference

На следующей неделе, 23 апреля, планирую участвовать в R-Vision R-EVOlution Conference. В 14:00 начнётся панельная дискуссия "Тотальный VM-разбор: вендор, заказчик и ML против уязвимостей". Очень приятно, что коллеги из R-Vision пригласили в дискуссию представителя Positive Technologies (меня 🙂) и RedCheck (Сергея Уздемира). Не часто конкурентам дают слово на вендорских мероприятиях. Большой респект R-Vision за это! 👍👏

Собираюсь говорить про БОСПУУ, контроль качества сканирования, почему VM-процесс становится ущербным и как может выглядеть осознанный подход к VM-у. В общем, о всех тех вещах, где видится большой потенциал для взаимодействия VM-вендоров, независимо от особенностей их продуктов и маркетинговых стратегий. 🙂 Будет интересно получить обратную связь от участвующих в дискуссии представителей клиентов (Сбертех, Вымпелком, Агроэко).

➡️ Регистрация на сайте
📍 Loft Hall и онлайн