Вчера прочитал свою третью и заключительную лекцию "Управление уязвимостями в соответствии с методическими требованиями регуляторов и лучшими практиками" в рамках магистерской программы ИТМО.

🇷🇺 Начали с разбора руководства ФСТЭК по организации процесса управления уязвимостями в органе (организации). Рассмотрели структуру, роли участников и операции. Затем перешли к методике оценки уровня критичности уязвимостей ФСТЭК (версия этого года). Подробно разобрали, как рассчитывается уровень и как он определяет сроки устранения уязвимостей. По устранению рассмотрели рекомендательный алгоритм НКЦКИ и методику тестирования обновлений ФСТЭК. Коснулись методики оценки показателя защищённости ФСТЭК и требований по управлению уязвимостями в 117 приказе ФСТЭК.

🌎 Международные best practices рассмотрели на основе PCI DSS 4.0.1. Упомянул и руководство NCSC.

👻 Закончил рассказом о реалиях VM-процесса на основе БОСПУУ и о методах саботажа со стороны IT [1, 2].

Прочитал вчера вторую лекцию "Детектирование известных уязвимостей" в рамках магистерской программы ИТМО.

🔹 Разобрали сканирование в режиме "чёрного ящика" по версиям. Сначала показал, как это делать совсем вручную поиском по CPE на сайте NVD. Потом как получить CPE с помощью Nmap и telnet. И наконец как использовать плагин Vulners для Nmap.

🔹Сканирование в режиме "чёрного ящика" с эксплуатацией уязвимости разобрали на примере XSS уязвимости из прошлой лекции.

🔹 Сканирование с аутентификацией разобрали на примере детектирования уязвимостей пакетов Linux хоста. Как делать это вручную по бюллетеням, с помощью ручного Vulners Linux Audit и автоматических утилит Scanvus, OpenSCAP и ScanOVAL. Подробно остановились на структуре OVAL-контента.

💻 Выдал две практические работы: на детектирование / эксплуатацию уязвимости и на написание правил детектирования на языке OVAL.

В середине октября будет моя последняя лекция - про регуляторику. 😇

Прочитал вчера первую лекцию "Уязвимости и их описание" в рамках магистерской программы ИТМО. Начал с определения уязвимости, типов уязвимостей, прошёлся по своим примерам и указал, с чем играться дальше: VulnHub с Metasploitable 1-2-3, Vulhub, OWASP Juice Shop. Эксплуатация уязвимостей не в фокусе курса, но её важно попробовать. 👾

Затем жизненный цикл уязвимости, инструменты детектирования по карте вендоров, CVE-шки, пока ещё MITRE CVE Org, NIST NVD, БДУ ФСТЭК. Чтобы понимать, какие данные есть в паблике. 🕵️‍♂️

🎯 Подробно про CVSS v3.1 и CVSS 4. Первый - для методики ФСТЭК, второй - для международки. Практическая работа по составлению CVSS векторов и сравнению их с готовыми из NVD/БДУ. Чтобы понять, как мало мы знаем про уязвимости и насколько субъективны оценки критичности. 😉

Бонусом рассказал про приоритизацию уязвимостей с помощью Vulristics по материалам последнего PHDays.

Следующая лекция через неделю - про детектирование. 😇