Огненная винда

Огненная винда

Огненная винда. На предыдущий пост можно возразить: "Что же ты, Александр, топишь за сокращение обучения Windows-у в ВУЗах, а сам каждый месяц виндовые уязвимости разбираешь? Несостыковочка!"

Вовсе нет. Разбираю их вынужденно, т.к. Windows всё ещё лидирующая ОС в российских корпоративных инфраструктурах, особенно на десктопах. Поэтому уязвимости Windows становятся трендовыми и требуют особого внимания. 🤷‍♂️ А если бы доля Windows снизилась до доли macOS, может и не разбирал бы. 😌

Эта скверная зависимая ситуация - следствие десятилетий очень эффективной политики Microsoft по упрочнению монопольного положения Windows (в т.ч. через работу с ВУЗами) и отсутствия внятных протекционистских мер со стороны государства. 🤷‍♂️

Не получится изменить сложившуюся ситуацию без осознания того, что Microsoft нам не бро, а хитрые вражины неоколонизаторы. И подсаживание на их технологии не идёт нам на пользу. Так же как индейцам не пошли на пользу закупки столь желанной "огненной воды". 😉

Минимизировать обучение ОС Windows за государственный счёт

Минимизировать обучение ОС Windows за государственный счёт

Минимизировать обучение ОС Windows за государственный счёт. Дмитрий Фёдоров в своём посте называет тенденции по отказу от изучения Windows в курсах по ОС в ВУЗах крайне негативными. 🤔 А у меня мнение обратное. Когда я учился в нулевых, у нас был один сплошной Windows. Программирование только под Windows и в Visual Studio. На курсах по ОС всё тоже в основном про Windows, 1-2 лекции про POSIX. Чуть-чуть практики под Linux дали на военной кафедре с МСВС-ом. 🤷‍♂️

Я за то, чтобы в государственных ВУЗах за государственный счёт учили прежде всего отечественным ОС: Linux-дистрибутивам, Kaspersky OS, Авроре и т.д. Чтобы выпускники выходили специалистами по этим системам и были заинтересованы в импортозамещении. Также как выпускники нулевых были заинтересованы в засилье MS.

Про зарубежные ОС тоже можно рассказать: Windows, Apple macOS и iOS, Android, HarmonyOS, Cisco IOS, BSD, AIX, HPUX, Minix и другие. Но факультативно и в равной пропорции. 😉

Patch Management в Vulns.io VM

Patch Management в Vulns.io VM
Patch Management в Vulns.io VM

Patch Management в Vulns.io VM. Попалась на глаза новая раздатка. 🙂 В ней делают акцент на том, что в Vulns.io добавили не просто автопатчилку, а систему управления обновлениями, работающую в некотором процессе:

1. Сбор и отображение информации об обновлениях, исправляющих детектируемые уязвимости.

2. Загрузка обновлений в локальное хранилище с проверкой целостности. Обновления для прикладного ПО под Linux и Windows сейчас скачиваются с сайтов вендоров, но скоро будут скачиваться централизованно из облака Vulns.io. Системные обновления берутся напрямую из MS Updates/WSUS или Linux-репозиториев.

3. Проверка безопасности обновлений и ручной перевод обновления в "доверенное". Проверку нужно выполнять самостоятельно, возможно по методике ФСТЭК.

4. Создание задач на автоматическую установку "доверенных" обновлений.

Актуальный перечень систем и софтов, для которых поддерживается обновление, содержится в файле (раздел "Обновляемое программное обеспечение"). 😉

Про уязвимость Remote Code Execution - Kubernetes (CVE-2025-1974)

Про уязвимость Remote Code Execution - Kubernetes (CVE-2025-1974)

Про уязвимость Remote Code Execution - Kubernetes (CVE-2025-1974). Неаутентифицированный злоумышленник с доступом к сети подов может выполнить произвольный код в контексте контроллера ingress-nginx. Это может привести к утечке секретов, доступных контроллеру. А при стандартной установке контроллер имеет доступ ко всем секретам кластера.

🔹 24 марта в блоге компании Wiz вышел write-up по этой уязвимости, названной IngressNightmare (наряду с CVE-2025-1097, CVE-2025-1098 и CVE-2025-24514). Исследователи Wiz зафиксировали 6500 уязвимых контроллеров, доступных непосредственно из Интернет. 😱 Кроме того, в блоге Kubernetes сообщают, что сеть подов часто может быть доступна для всех рабочих нагрузок в частном облаке (VPC), или даже для всех, кто подключен к корпоративной сети. А сам ingress-nginx используется в 40% кластеров Kubernetes.

🔹 С 25 марта для этой уязвимости доступен публичный эксплойт на GitHub. 😈

Обновите ingress-nginx до версий v1.12.1, v1.11.5 или выше!

Посмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсом

Посмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсомПосмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсом

Посмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсом. Очень толковое и насыщенное мероприятие. 👍

🔹 Много времени уделили управлению IT-активами как основе для всех доменов практической безопасности, включая комплаенс, защиту инфраструктуры и данных. Для эффективного учёта активов IT и ИБ необходимо действовать сообща и наращивать автоматизацию.

🔹 Говоря о VM-е Кирилл Карпиевич покритиковал цикл Gartner-а и игру IT-шников в докажи-покажи. 🔥 Я оценил. 🙂👍 Он рассказал, как СберTex использует BI.ZONE GRC для поддержания единого реестра активов, собирая в него данные из изолированных ЦОД-ов с помощью MaxPatrol VM, Kaspersky KSC и Сканер-ВС.

🔹 Андрей Шаврин рассказал, что в комплаенсе важно искать пересечение требований, а работы по внедрению начинать с аудита. С помощью BI.ZONE GRC в дочерних компаниях "МУЗ‑ТВ" автоматизировали работу с ПДН.

Сами интерфейсы GRC-системы не показали, надеюсь на live-демо в следующий раз. 😉

Расскажу про свой проект Vulristics на киберфестивале PHDays

Расскажу про свой проект Vulristics на киберфестивале PHDays

Расскажу про свой проект Vulristics на киберфестивале PHDays. CFP на PHDays завершился, все доклады отобрали. 👍

Меня спросили недавно: "Неужели сотрудники Positive Technologies тоже проходят через CFP?!" Да, тоже! 🙂 Квот нет и заявки отбирают по общим для всех правилам. А заявок в этом году было более 800!

❌ Моя основная заявка на доклад "Руководство ФСТЭК по Управлению Уязвимостями в 2025 году и его расширение" не прошла CFP в Defense трек. 😔 Бывает. 🤷‍♂️ Про усиление роли Руководства в работе государственных и финансовых организаций и сочетание его с БОСПУУ я обязательно расскажу в другой раз. 🙂

✅ Зато прошла заявка на доклад "Vulristics - утилита для анализа и приоритизации уязвимостей" в трек OpenSource & OpenSecurity. 🎉 Расскажу, как я 5 лет развиваю этот проект и использую его практически ежедневно. 😎

🎟 Билеты на закрытую часть уже в продаже. Это пожертвование от 1500 р. в один из благотворительных фондов. 👍

25 апреля в Казахстане пройдёт третий AppSecFest

25 апреля в Казахстане пройдёт третий AppSecFest

25 апреля в Казахстане пройдёт третий AppSecFest. На мероприятии будет 2 конференц-зоны:

🔹 Sec Zone посвящена безопасности приложений: SAST, DAST, IAST, API, IaC, Cloud Security, Pentesting, Bug Bounty, Vault, WAF, Web 3.0 Security, Secure SDLC, DevSecOps, управление уязвимостями, угрозы, регуляторные требования, атака/защита приложений.

🔹 App Zone посвящена разработке ПО: Mobile, Web, X-Platform, Frontend/Backend, Microservices, Docker/K8s, Big Data, Cloud, Blockchain, AI, ML, Web 3.0, архитектура, DevOps, CI/CD, Agile, UI/UX, качество кода.

🚩 В рамках мероприятия пройдут CTF-соревнования.

➡️ Call For Papers до 1 апреля включительно. Отличная возможность выступить и понетворкиться за пределами РФ. 😉 Ожидается 1000+ участников.

Канал "Управление Уязвимостями и прочее" в информационных партнёрах мероприятия. 🙂