Ещё один экран Бесконечного VM‑а. Как и обещал в прошлом Прожекторе, выкладываю. 🙂 Свеженанятый VM-щик Олег Игнатов взялся за анализ безопасности сетевого периметра и зашёл проконсультироваться к Светлане Надеждиной, руководителю департамента IT.
На всякий случай Disclaimer. Все персонажи, события и конфигурации являются вымышленными, любые совпадения случайны. То, что говорит Светлана, это фантазия на тему типичного периметра типичной организации.
Прожектор по ИБ, выпуск №10 (06.11.2023) с Иваном Шубиным: не суй TMUI, балансеры и Бесконечный VM. Записали новый эпизод с небольшим опозданием, но в усиленном составе:
🔸 Александр Леонов, "Управление уязвимостями и прочее"
🔸 Лев Палей, "Вести из Палей"
🔸 Максим Хараск, "Global Digital Space"
🔸 Иван Шубин
00:00 Здороваемся и смотрим статистику по просмотрам. Меньше 100 просмотров за неделю не набрали — печаль. 😔
02:33 Лев сходил на конференцию Норникеля "обратного типа", где ему подарили табличку, а также провёл бесплатную ПоИБэшечку
09:29 RCE и SQLi в F5 BIG-IP. "Не суй наружу свой TMUI"
12:34 Опрос "Что вы используете в качестве балансировщика нагрузки в вашей организации (в России)?"
19:13 Атаки на Госуслуги в Германии и России. У нас-то получше ситуация
20:23 Вайпилка для Confluence
25:35 RCE в Apache ActiveMQ
27:55 У Битрикс обнаружили 8 уязвимостей, в их числе RCE
31:14 Активность небезызвестного ботнета Mozzi ушла в небытие
32:34 Более 40 стран навсегда откажутся от уплаты выкупов хакерам-вымогателям
36:10 Мем недели: Решил выпускник ВУЗа выбрать, каким направлением ИБ он будет заниматься…
38:00 Аниме-новелла про Управление Уязвимостями? Обсуждаем, что бы это могла быть за игра, выбираем варианты на первом "скриншоте", приглашаем поучаствовать в разработке 😉
46:16 Скарлетт Йоханссон судится с разработчиками приложения, использовавшего ее голос без разрешения
49:50 Прощание от Максима Хараска и лучи добра для chaikae!
Выпустил ролик на 12 минут по итогам октября для своих англоязычных ресурсов. Интенсивный и интересный месяц был. Я вышел на новую работу, активно дорабатывал Vulristics, запустил Linux Patch Wednesday (пока не получил значительного отклика, но вижу здесь перспективы), традиционно проанализировал Microsoft Patch Tuesday, разобрался с кучей других уязвимостей и даже тему с обучением VM‑у дальше продвинул. И ноябрь тоже бурно начался. Посмотрим, что в итоге выйдет. 🙂
—
Hello everyone! October was an interesting and busy month for me. I started a new job, worked on my open source Vulristics project, and analyzed vulnerabilities using it. Especially Linux vulnerabilities as part of my new Linux Patch Wednesday project. And, of course, analyzed Microsoft Patch Tuesday as well. In addition, at the end of October I was a guest lecturer at MIPT/PhysTech university.
00:29 Back to Positive Technologies
00:59 Vulristics NVD Data Source
02:20 Vulristics Custom Data Source
03:22 Linux Patch Wednesday Project
04:16 Linux Patch Wednesday October 2023
05:49 Microsoft Patch Tuesday October 2023
09:12 Other Vulnerabilities October 2023
10:14 Miercom released a report "Vulnerability Management Competitive Assessment"
10:54 Vulners presented AI Score v2
11:31 My PhysTech Lecture
Под конец недели пришла в голову идея игрушки-обучалки по Vulnerability Management‑у. Рабочее название "Бесконечный VM". 😁 По сюжету Олег Иванович Игнатов устраивается на работу в компанию ООО "ГазБанкСервис" и получает от своей начальницы, Анны Михайловны Смирновой, задачу — внедрить в организации Vulnerability Management процесс.
Как вам? Поиграли бы в такое?
"Как устроено Управление Уязвимостями в российских организациях" — анонимный опрос для магистерской работы в МИФИ. Меня попросили пошарить ссылку на опрос:
Всем привет! Меня зовут Анастасия, я учусь в МИФИ.
В рамках магистерской работы я провожу исследование по управлению уязвимостями и собираю статистику, как организовано управление уязвимостями в организациях нашей страны.
Прошу поучаствовать в анонимном опросе, обещаю поделиться результатами!!
Опрос действительно анонимный, указывать организацию или заходить под google аккаунтом не требуется.
Вопросы:
🔻 К какой сфере принадлежит ваша компания?
🔻 Численность сотрудников вашей компании?
🔻 Как взаимосвязаны в вашей организации функция управления уязвимостями и функция управления изменениями?
🔻 Какое подразделение несет ответственность за управление уязвимостями?
🔻 Опишите проблемы при организации взаимодействия между ИТ и ИБ подразделениями при организации управления уязвимостями
Если кто-то хочет/может поделиться с Анастасией практическим опытом по организации VM-процесса, пишите ей в личку.
11 ноября стартует ещё один онлайн-курс по Управлению Уязвимостями, на этот раз от компании Инсека. Продлится он 6 недель. Обещают 30 часов теории, 30 часов практики, стоимость удовольствия 64 800 ₽.
Судя по общему описанию модулей, из практики будет подробно про CVSS, эксплуатацию EternalBlue, сканирование инфры с помощью Nessus Essentials, сканирование веб-приложения с помощью Acunetix, сканирование периметра с помощью Metascan, экспорт данных из Vulners API для приоритизации уязвимостей. По теории вроде все основные темы заявлены. Про ФСТЭК-овские методики аж 1,5 модуля. 👍 На мой вкус было бы неплохо побольше добавить про Asset Management (про критичность активов вижу только в 5.1) и согласование безусловных регулярных обновлений.
Бесплатно дают доступ к 4 урокам: про публичные источники данных об уязвимостях (увидел там скриншот с моим телеграмм-каналом — приятно 😊), различные виды сканирований (внешнее, внутреннее, в режиме белого и чёрного ящика), лаба на сканирование уязвимостей (образы для VirtualBox c Nessus Essentials и Windows-таргетом дают готовые; по итогам нужно скинуть результаты детекта), особенности сканирования внешнего периметра и веб-приложений.
В целом, выглядит как вполне неплохой начальный курс для вкатывания в тему Vulnerability Management‑а. Без особой жести и нагрузки. И вендерно-нейтральный. Почитать, потыкать лабы, понять нравится таким заниматься или не особо. Ну или как повод освежить знания и получить сертификат тоже почему бы и нет. 😉 Говорят, что самое эффективное обучение, когда большая часть материала вам уже знакома. Nessus Essentials с ограничением на 16 IP-адресов и без комплаенс-сканов это, конечно, совсем не для реальной жизни. Да и все продукты Tenable и Acunetix сейчас в России не особо актуальны. Но для учебных целей, в качестве первого опыта, почему бы и нет. А Metascan и Vulners это вполне себе практически полезные инструменты.
Если дадут доступ курсу, то тоже пройду и поделюсь впечатлениями. Мне это в первую очередь интересно со стороны "как люди учат VM‑у", но вполне возможно почерпну там что-то такое, с чем раньше не сталкивался. 🙂
Больше курсов по Vulnerability Management‑у хороших и разных!
Лекцию в Физтехе успешно отчитал. Но без косяков не обошлось. 😅 В основном из-за того, что это был онлайн.
🔹 Во-первых, соседи снизу решили прекрасным субботним утром посверлить монолит.👷♂️ Поэтому приходилось несколько раз прерываться, чтобы всей аудиторией послушать чарующие звуки перфоратора. 🤦♂️
🔹 Во-вторых, как видно на фото, моя физиономия всё время была на экране, слайдам оставалось мало места и текст на них, видимо, плохо читался, особенно с задних рядов. 🔍🤷♂️
Онлайн это очень удобно для спикера. Не нужно никуда ехать, можно выспаться, нет возни с заказом пропуска и т.д. 😇 Но с другой стороны, вероятность накладок выше. Будем иметь в виду.
В остальном же прошло удачно. Рассказывал вполне связно, фидбек был позитивный. Опять же, прибавилось 8 новых подписчиков из числа студентов и канал уверенно перевалил за 3000. Ура! 🥳