Есть вопрос к теням. В сериале они были загадочными могущественными существами, сравнимыми с ворлонцами, с которыми можно было справиться только хитростью. А здесь похожи то ли на жуков в "Звёздном десанте", то ли на зергов из StarCraft. 🙄
Сюжет тоже вызывает вопросы. Арка с перемещением Babylon 4 во времени была просто шедевром. Особенно серия "War Without End, Part II", где Деленн из будущего умоляет Шеридана "Do not go to Z'ha'dum". 🙂 Как задумано, как сыграно. Будет ли что-то сопоставимое в этом анимационном фильме, несмотря на схожую завязку? Практически уверен, что нет и это будет одноразовый аттракцион для фанатов, ну что-то вроде Babylon 5: The Lost Tales.
Но это не повод не смотреть. Хотя бы из-за участия Питера Юрасика в озвучании Лондо. "On the positive side, at least we have a good view of the show, eh Sheridan". 😊 Релиз под конец лета, 15 августа.
Выпустил эпизод про майский Microsoft Patch Tuesday. Первые впечатления оказались вполне верными. Добавил ещё 4 уязвимости, которые выглядят многообещающе, расширил описание и указал на пару странностей в EPSS.
———
Hello everyone! This episode will be about Microsoft Patch Tuesday for May 2023, including vulnerabilities that were added between April and May Patch Tuesdays. As usual, I use my open source Vulristics project to analyse and prioritize vulnerabilities. I took the comments about the vulnerabilities from the Qualys, Tenable, Rapid7, ZDI Patch Tuesday reviews. It's been a long time since we've had such tiny Patch Tuesday. 57 CVEs, including CVEs appeared during the month. And only 38 without them! 😄
Urgent 00:45Memory Corruption – Microsoft Edge (CVE-2023-2033)
High 03:11Remote Code Execution – Windows OLE (CVE-2023-29325) 04:20Elevation of Privilege – Windows Win32k (CVE-2023-29336) 05:19Remote Code Execution – Windows Network File System (CVE-2023-24941) 06:07Remote Code Execution – Windows Pragmatic General Multicast (PGM) (CVE-2023-24943) 06:58Remote Code Execution – Windows Lightweight Directory Access Protocol (LDAP) (CVE-2023-28283) 07:31Remote Code Execution – Microsoft SharePoint (CVE-2023-24955)
Национальные особенности cелебрити-маркетинга по ИБ
2016 год. Конференция RSA. Компания Qualys проводит встречу с Рами Малеком, актером, исполнившим главную роль в сериале про хакеров Мистер Робот. 2023 год. Фестиваль PHDays 12. Компания Авангард Медиа проведет встречу с Виктором Рыбиным, музыкантом, лидером группы Дюна, исполнившим такие хиты как "Страна лимония", "Коммунальная квартира", "Привет с большого бодуна" и другие.
"Фестиваль в самом разгаре.
И уже совсем скоро, в 14:40, к нам на стенд придёт гость - Музыкант Виктор Рыбин.
Он расскажет об опыте защиты личных данных в Сети. А после всех ждёт розыгрыш призов (регистрируемся на нашем стенде!)."
Кроме шуток, офигенный гость. 🤩 Кусаю локти, что сегодня не на PHDays. Если кто-то из читателей будет, возьмите для меня автограф плз!🙏🙂
Про историю Vulnerability Management-а. Иногда люди говорят публично что-то странное, но делают это настолько уверенно, что сам начинаешь в себе сомневаться. Вдруг они лучше знают? Ну или может ты их не так понял? Вот, например, посмотрел ролик "Traditional Vulnerability Management is Dead!" с Stefan Thelberg, CEO Holm Security. Это те ребята, которые считают, что без встроенного Антифишинга VM уже не VM.
В начале Stefan Thelberg заявляет про историю Vulnerability Assessment-а (Vulnerability Management-а) буквально следующее:
1. Оригинальная идея Vulnerability Assessment-а появилась в гайдлайнах NIST-а. 2. Прошло 20 лет и появились первые Vulnerability Assessment продукты. 3. Большая часть Vulnerability Assessment продуктов родились из опенсурсного проекта OpenVAS. 4. Один из наиболее распространенных продуктов на рынке, Nessus, это коммерческий форк OpenVAS. 5. Прошло ещё несколько лет и около 2000-го появилось несколько больших компаний: Rapid7, Tenable, Qualys.
То, что VA/VM родился из каких-то публикаций NIST-а не проверишь особо, организация в 1901 году основана, вполне вероятно что-то и было в 80х. Но заявление, что сначала был OpenVAS, а потом Nessus это очень странно. Первая версия The Nessus Project вышла в 1998 как GPL проект. Первая версия XSpider (тогда Spider) также появилась в 1998, а в 2000 он стал публично доступным. Компания Qualys была основана в 1999, Rapid7 в 2000, Tenable в 2002, Positive Technologies в 2002. Проект OpenVAS (GNessUs) появился не раньше 2005-го как форк последней опенсурсной версии Nessus-а, т.к. сам Nessus с 2005 года стал проприетарным продуктом Tenable.
Вот и думай теперь, то ли Stefan Thelberg говорит о том, о чем понятия не имеет. То ли он как-то странно называет OpenVAS-ом оригинальный Nessus 1998-го года. Но даже говорить, что другие VM продукты родились из Nessus-а или OpenVAS-а более чем странно, как минимум потому что другие продукты (Qualys, Rapid7 Nexpose, XSpider/MaxPatrol) не используют и не использовали NASL-скрипты, которые составляют основу Nessus. Может, конечно, у самих Holm Security движок это OpenVAS и они всех по себе меряют, не знаю. 😏
Немного про остальной ролик. Само обоснование почему традиционный VM уже не живой это отличный пример борьбы с "соломенным чучелом". Определяют "традиционный VM" так, как удобно. Что он, дескать, не поддерживает новые технологии (облака, IoT, SCADA). Добавляют свой спорный тезис, что обучение пользователей через Антифишинг это тоже обязательная часть VM. И дальше получившееся удобное "соломенное чучело" атакуют. Хотя чего бы "традиционному VM-у" не поддерживать все типы активов, которые в организации есть - непонятно. Да и какой-то проблемы прикрутить к VM-у Антифишинг, если так уж хочется, тоже нет.
Выкладываю видео своего выступления на CISO Forum про карту отечественных около-VMных вендоров. Как я уже раньше писал, мероприятие мне в этом году очень понравилось. Но команда, которая занималась видео, что-то подкачала. 🤷♂️ Особенно по сравнению с прошлым годом, когда продакшен был просто восхитительный. В этом году в зале, где я выступал, снимали на одну камеру и экран, и докладчика. Без какой-либо обработки. В итоге экран со слайдами на видео практически не видно. Пришлось самому садиться и совмещать видео со слайдами. К тому же начали снимать не сразу, поэтому первые несколько минут выступления потеряли. Не попал слайд обо мне и история с чего всё началось: как я написал в телеграмм-канале про карту TAdviser, расписал вендоров, которые там были представлены, а некоторые представители VM вендоров начали мне в личку писать, что я про них забыл. И все заверте…
В целом, это всё, конечно, совсем не фатально. Главное, что заключительная часть с вопросами уцелела - они были очень крутые в этот раз. 🔥
Алексей Лукацкий выложил слайды своей презентации по VM-у от 2008 года. Я тогда ещё в универе учился и ни о каких сканерах уязвимостей не задумывался. "Будь я нескромен, сказал бы, что я - пророк 😊". В целом да, справедливо, всё в примерно эту сторону и развивается. Пару слайдов я даже не удержусь, стащу для своей презы. 😉
Хочется, правда, обратить внимание, что все слайды (кроме одного - "рост сканирующих возможностей") про то, что нам делать с имеющейся информацией об уязвимостях инфраструктуры. С чем нам ещё интегрироваться, какие ещё управляющие воздействия на основе факта наличия уязвимостей сделать. Как будто бы информация об уязвимостях для всех активов организации уже есть или может быть тривиальна получена. И эта информация достоверна, полна и достаточна. Это, разумеется, не так. Это никогда не было так и долго ещё не будет. Просто редко кто-то смотрит под капот, как на самом деле работают детекты и какие ограничения у них есть. А запроса на открытые базы детектов уязвимостей, которые позволяли бы хотя бы приблизительно оценивать "слепые пятна" у средств Управления Уязвимостями (Сканеров Уязвимостей, СДУИ - как угодно) как не было, так и нет. И со стороны VM-вендоров он не появится, им туда лезть невыгодно. Он должен подниматься снизу, формулируйте и задавайте им неудобные вопросы, товарищи!
Методические документы регуляторов, связанные с Управлением Уязвимостями. В презентации, которую я сейчас готовлю к ISCRA Talks, будет слайд про документы регуляторов связанные с VM-ом, выпущенные за последние 1,5 года. Если я что-то важное пропустил, напишите мне, пожалуйста, в личку или комментом в пост в ВК.
4. ФСТЭК "Рекомендации по безопасной настройке операционных систем Linux". Рекомендации распространяются на настройку НЕсертифицированных ОС (Debian, Ubuntu, CentOS Stream, Alma Linux, Rocky Linux, openSUSE и прочего) "до их замены на сертифицированные отечественные операционные системы". Я разбирал эти рекомендации.
Это мой личный блог. Всё, что я пишу здесь - моё личное мнение, которое никак не связано с моим работодателем. Все названия продуктов, логотипы и бренды являются собственностью их владельцев. Все названия компаний, продуктов и услуг, упоминаемые здесь, упоминаются только для идентификации. Упоминание этих названий, логотипов и брендов не подразумевает их одобрения (endorsement). Вы можете свободно использовать материалы этого сайта, но было бы неплохо, если бы вы разместили ссылку на https://avleonov.ru и отправили мне сообщение об этом на me@avleonov.com или связались со мной любым другим способом.
