А вот и обещанный подкаст с моим участием. 🙂
---
"▶️ Новый подкаст уже доступен в YouTube
👀 Переходите по ссылке, смотрите и оставляйте свои комментарии. Нам очень важно ваше мнение.
🗣 Гостем выпуска стал Александр Леонов, автор телеграм-канала «Управление уязвимостями и прочее». Эксперт рассказал об особенности VM в России. Как на процесс управления уязвимостями повлияли исход иностранных вендоров, тренд на импортозамещение и нововведения регуляторов."
Выпустил эпизод про июньский Microsoft Patch Tuesday. В целом, совпало с первыми впечатлениями, но добавил спуфинг в OneNote и подсветил уязвимости с "Proof-of-Concept Exploit" в CVSS Temporal. Ну и добавил деталей, как обычно.
———
Hello everyone! This episode will be about Microsoft Patch Tuesday for June 2023, including vulnerabilities that were added between May and June Patch Tuesdays. This time there were only 3 vulnerabilities used in attacks or with a public exploit. And only one of them is more or less relevant.
TOP of the Vulristics report
00:38 Memory Corruption – Microsoft Edge (CVE-2023-3079)
01:12 Remote Code Execution – GitHub (CVE-2023-29007)
01:40 Spoofing – Microsoft OneNote (CVE-2023-33140)
02:01 10 vulnerabilities CVSS Temporal Metrics "Proof-of-Concept Exploit"
No exploits or signs of exploitation in the wild
03:10 Remote Code Execution – Windows Pragmatic General Multicast (PGM) (CVE-2023-29363, CVE-2023-32014, CVE-2023-32015)
04:02 Remote Code Execution – Microsoft Exchange (CVE-2023-32031, CVE-2023-28310)
05:27 Elevation of Privilege – Microsoft SharePoint (CVE-2023-29357)
И о важном: вышел трейлер Babylon 5: The Road Home. К рисовке теперь вообще вопросов нет. Анимация очень даже приличная.
Есть вопрос к теням. В сериале они были загадочными могущественными существами, сравнимыми с ворлонцами, с которыми можно было справиться только хитростью. А здесь похожи то ли на жуков в "Звёздном десанте", то ли на зергов из StarCraft. 🙄
Сюжет тоже вызывает вопросы. Арка с перемещением Babylon 4 во времени была просто шедевром. Особенно серия "War Without End, Part II", где Деленн из будущего умоляет Шеридана "Do not go to Z'ha'dum". 🙂 Как задумано, как сыграно. Будет ли что-то сопоставимое в этом анимационном фильме, несмотря на схожую завязку? Практически уверен, что нет и это будет одноразовый аттракцион для фанатов, ну что-то вроде Babylon 5: The Lost Tales.
Но это не повод не смотреть. Хотя бы из-за участия Питера Юрасика в озвучании Лондо. "On the positive side, at least we have a good view of the show, eh Sheridan". 😊 Релиз под конец лета, 15 августа.
Выпустил эпизод про майский Microsoft Patch Tuesday. Первые впечатления оказались вполне верными. Добавил ещё 4 уязвимости, которые выглядят многообещающе, расширил описание и указал на пару странностей в EPSS.
———
Hello everyone! This episode will be about Microsoft Patch Tuesday for May 2023, including vulnerabilities that were added between April and May Patch Tuesdays. As usual, I use my open source Vulristics project to analyse and prioritize vulnerabilities. I took the comments about the vulnerabilities from the Qualys, Tenable, Rapid7, ZDI Patch Tuesday reviews. It's been a long time since we've had such tiny Patch Tuesday. 57 CVEs, including CVEs appeared during the month. And only 38 without them! 😄
Urgent
00:45 Memory Corruption – Microsoft Edge (CVE-2023-2033)
Critical
01:17 Security Feature Bypass – Secure Boot (CVE-2023-24932)
02:55 Memory Corruption – Microsoft Edge (CVE-2023-2136)
High
03:11 Remote Code Execution – Windows OLE (CVE-2023-29325)
04:20 Elevation of Privilege – Windows Win32k (CVE-2023-29336)
05:19 Remote Code Execution – Windows Network File System (CVE-2023-24941)
06:07 Remote Code Execution – Windows Pragmatic General Multicast (PGM) (CVE-2023-24943)
06:58 Remote Code Execution – Windows Lightweight Directory Access Protocol (LDAP) (CVE-2023-28283)
07:31 Remote Code Execution – Microsoft SharePoint (CVE-2023-24955)
Национальные особенности cелебрити-маркетинга по ИБ
2016 год. Конференция RSA. Компания Qualys проводит встречу с Рами Малеком, актером, исполнившим главную роль в сериале про хакеров Мистер Робот.
2023 год. Фестиваль PHDays 12. Компания Авангард Медиа проведет встречу с Виктором Рыбиным, музыкантом, лидером группы Дюна, исполнившим такие хиты как "Страна лимония", "Коммунальная квартира", "Привет с большого бодуна" и другие.
"Фестиваль в самом разгаре.
И уже совсем скоро, в 14:40, к нам на стенд придёт гость - Музыкант Виктор Рыбин.
Он расскажет об опыте защиты личных данных в Сети. А после всех ждёт розыгрыш призов (регистрируемся на нашем стенде!)."
Кроме шуток, офигенный гость. 🤩 Кусаю локти, что сегодня не на PHDays. Если кто-то из читателей будет, возьмите для меня автограф плз!🙏🙂
Про историю Vulnerability Management-а. Иногда люди говорят публично что-то странное, но делают это настолько уверенно, что сам начинаешь в себе сомневаться. Вдруг они лучше знают? Ну или может ты их не так понял? Вот, например, посмотрел ролик "Traditional Vulnerability Management is Dead!" с Stefan Thelberg, CEO Holm Security. Это те ребята, которые считают, что без встроенного Антифишинга VM уже не VM.
В начале Stefan Thelberg заявляет про историю Vulnerability Assessment-а (Vulnerability Management-а) буквально следующее:
1. Оригинальная идея Vulnerability Assessment-а появилась в гайдлайнах NIST-а.
2. Прошло 20 лет и появились первые Vulnerability Assessment продукты.
3. Большая часть Vulnerability Assessment продуктов родились из опенсурсного проекта OpenVAS.
4. Один из наиболее распространенных продуктов на рынке, Nessus, это коммерческий форк OpenVAS.
5. Прошло ещё несколько лет и около 2000-го появилось несколько больших компаний: Rapid7, Tenable, Qualys.
То, что VA/VM родился из каких-то публикаций NIST-а не проверишь особо, организация в 1901 году основана, вполне вероятно что-то и было в 80х. Но заявление, что сначала был OpenVAS, а потом Nessus это очень странно. Первая версия The Nessus Project вышла в 1998 как GPL проект. Первая версия XSpider (тогда Spider) также появилась в 1998, а в 2000 он стал публично доступным. Компания Qualys была основана в 1999, Rapid7 в 2000, Tenable в 2002, Positive Technologies в 2002. Проект OpenVAS (GNessUs) появился не раньше 2005-го как форк последней опенсурсной версии Nessus-а, т.к. сам Nessus с 2005 года стал проприетарным продуктом Tenable.
Вот и думай теперь, то ли Stefan Thelberg говорит о том, о чем понятия не имеет. То ли он как-то странно называет OpenVAS-ом оригинальный Nessus 1998-го года. Но даже говорить, что другие VM продукты родились из Nessus-а или OpenVAS-а более чем странно, как минимум потому что другие продукты (Qualys, Rapid7 Nexpose, XSpider/MaxPatrol) не используют и не использовали NASL-скрипты, которые составляют основу Nessus. Может, конечно, у самих Holm Security движок это OpenVAS и они всех по себе меряют, не знаю. 😏
Немного про остальной ролик. Само обоснование почему традиционный VM уже не живой это отличный пример борьбы с "соломенным чучелом". Определяют "традиционный VM" так, как удобно. Что он, дескать, не поддерживает новые технологии (облака, IoT, SCADA). Добавляют свой спорный тезис, что обучение пользователей через Антифишинг это тоже обязательная часть VM. И дальше получившееся удобное "соломенное чучело" атакуют. Хотя чего бы "традиционному VM-у" не поддерживать все типы активов, которые в организации есть - непонятно. Да и какой-то проблемы прикрутить к VM-у Антифишинг, если так уж хочется, тоже нет.
Выкладываю видео своего выступления на CISO Forum про карту отечественных около-VMных вендоров. Как я уже раньше писал, мероприятие мне в этом году очень понравилось. Но команда, которая занималась видео, что-то подкачала. 🤷♂️ Особенно по сравнению с прошлым годом, когда продакшен был просто восхитительный. В этом году в зале, где я выступал, снимали на одну камеру и экран, и докладчика. Без какой-либо обработки. В итоге экран со слайдами на видео практически не видно. Пришлось самому садиться и совмещать видео со слайдами. К тому же начали снимать не сразу, поэтому первые несколько минут выступления потеряли. Не попал слайд обо мне и история с чего всё началось: как я написал в телеграмм-канале про карту TAdviser, расписал вендоров, которые там были представлены, а некоторые представители VM вендоров начали мне в личку писать, что я про них забыл. И все заверте…
В целом, это всё, конечно, совсем не фатально. Главное, что заключительная часть с вопросами уцелела - они были очень крутые в этот раз. 🔥