Архив метки: PositiveTechnologies

Вчера прочитал свою третью и заключительную лекцию "Управление уязвимостями в соответствии с методическими требованиями регуляторов и лучшими практиками" в рамках магистерской программы ИТМО

Вчера прочитал свою третью и заключительную лекцию Управление уязвимостями в соответствии с методическими требованиями регуляторов и лучшими практиками в рамках магистерской программы ИТМО

Вчера прочитал свою третью и заключительную лекцию "Управление уязвимостями в соответствии с методическими требованиями регуляторов и лучшими практиками" в рамках магистерской программы ИТМО.

🇷🇺 Начали с разбора руководства ФСТЭК по организации процесса управления уязвимостями в органе (организации). Рассмотрели структуру, роли участников и операции. Затем перешли к методике оценки уровня критичности уязвимостей ФСТЭК (версия этого года). Подробно разобрали, как рассчитывается уровень и как он определяет сроки устранения уязвимостей. По устранению рассмотрели рекомендательный алгоритм НКЦКИ и методику тестирования обновлений ФСТЭК. Коснулись методики оценки показателя защищённости ФСТЭК и требований по управлению уязвимостями в 117 приказе ФСТЭК.

🌎 Международные best practices рассмотрели на основе PCI DSS 4.0.1. Упомянул и руководство NCSC.

👻 Закончил рассказом о реалиях VM-процесса на основе БОСПУУ и о методах саботажа со стороны IT [1, 2].

Октябрьский "В тренде VM": уязвимости в Cisco ASA/FTD и sudo

Октябрьский В тренде VM: уязвимости в Cisco ASA/FTD и sudo

Октябрьский "В тренде VM": уязвимости в Cisco ASA/FTD и sudo. Традиционная ежемесячная подборка. В этот раз снова без уязвимостей Microsoft. 😲

🗞 Пост на Хабре
🗞 Пост на SecurityLab
🗒 Дайджест на сайте PT

Всего три идентификатора:

🔻 Remote Code Execution - Cisco ASA/FTD (CVE-2025-20333, CVE-2025-20362). Эта цепочка уязвимостей эксплуатируется в атаках с мая 2025 года, но публичных эксплоитов пока нет.
🔻 Elevation of Privilege - Sudo (CVE-2025-32463). Есть признаки эксплуатации вживую, доступно множество публичных эксплоитов.

Прочитал вчера вторую лекцию "Детектирование известных уязвимостей" в рамках магистерской программы ИТМО

Прочитал вчера вторую лекцию Детектирование известных уязвимостей в рамках магистерской программы ИТМО

Прочитал вчера вторую лекцию "Детектирование известных уязвимостей" в рамках магистерской программы ИТМО.

🔹 Разобрали сканирование в режиме "чёрного ящика" по версиям. Сначала показал, как это делать совсем вручную поиском по CPE на сайте NVD. Потом как получить CPE с помощью Nmap и telnet. И наконец как использовать плагин Vulners для Nmap.

🔹Сканирование в режиме "чёрного ящика" с эксплуатацией уязвимости разобрали на примере XSS уязвимости из прошлой лекции.

🔹 Сканирование с аутентификацией разобрали на примере детектирования уязвимостей пакетов Linux хоста. Как делать это вручную по бюллетеням, с помощью ручного Vulners Linux Audit и автоматических утилит Scanvus, OpenSCAP и ScanOVAL. Подробно остановились на структуре OVAL-контента.

💻 Выдал две практические работы: на детектирование / эксплуатацию уязвимости и на написание правил детектирования на языке OVAL.

В середине октября будет моя последняя лекция - про регуляторику. 😇

Сентябрьский "В тренде VM": уязвимости в архиваторах WinRAR и 7-Zip, SAP NetWeaver и TrueConf Server

Сентябрьский В тренде VM: уязвимости в архиваторах WinRAR и 7-Zip, SAP NetWeaver и TrueConf Server

Сентябрьский "В тренде VM": уязвимости в архиваторах WinRAR и 7-Zip, SAP NetWeaver и TrueConf Server. Традиционная ежемесячная подборка. И первая подборка БЕЗ уязвимостей в продуктах Microsoft! 😲🙂

🗞 Пост на Хабре
🗒 Дайджест на сайте PT

Всего восемь идентификаторов трендовых уязвимостей в четырёх продуктах:

🔻 Remote Code Execution - WinRAR (CVE-2025-6218, CVE-2025-8088). Эксплуатируемая RCE при распаковке архивов.
🔻 Remote Code Execution - SAP NetWeaver (CVE-2025-31324, CVE-2025-42999). Эксплуатируемая RCE в компоненте популярной ERP-системы.
🔻 Remote Code Execution - 7-Zip (CVE-2025-55188). Преимущественно Linux-овая RCE при распаковке архивов, есть публичный эксплойт.
🔻 Remote Code Execution - TrueConf Server (BDU:2025-10116, BDU:2025-10115, BDU:2025-10114). Критичные уязвимости популярной российской ВКС.

Сегодня прочитал гостевую лекцию по Управлению Уязвимостями в СибГУ имени академика М

Сегодня прочитал гостевую лекцию по Управлению Уязвимостями в СибГУ имени академика М

Сегодня прочитал гостевую лекцию по Управлению Уязвимостями в СибГУ имени академика М. Ф. Решетнёва. Давненько я не делал гостевых обзорных лекций о VM-е для ВУЗов. Последний раз было года 2 назад. Структура лекции осталась +- той же: Анализ Защищённости, Управление Активами, собственно Управление Уязвимостями и Управление Обновлениями. Но содержание довольно сильно изменилось. Обновил всю статистику, добавил про проекты для offensive-практики и про CVSS v4. Переделал раздел про Методику оценки критичности уязвимостей ФСТЭК на новую версию от 30.06.2025. Раздел про использование Vulristics для приоритизации уязвимостей тоже расширил. 😉 Всего вышло 220 слайдов.

Лекция прошла отлично. Было ~26 человек. Под конец обсудили интересные вопросы про управление экспозициями и перспективы CVSS 4 в России (я надеюсь, что перспектив не будет 😉).

Большое спасибо администрации СибГУ и лично Вячеславу Золотареву за приглашение выступить! 👍 Было здорово! 🤝

Компания Positive Technologies попала в свежий отчёт IDC "Worldwide Device Vulnerability and Exposure Management Market Shares, 2024"

Компания Positive Technologies попала в свежий отчёт IDC Worldwide Device Vulnerability and Exposure Management Market Shares, 2024

Компания Positive Technologies попала в свежий отчёт IDC "Worldwide Device Vulnerability and Exposure Management Market Shares, 2024". 🎉 Диаграмма из отчёта была опубликована в блоге Tenable. Если верить диаграмме, у Positive Technologies 2,4% мирового рынка DVEM оцененного в $ 2,6 млрд и растущего на 8,1%.

"Эта презентация IDC рассматривает рыночные доли ведущих вендоров на рынке управления уязвимостями и экспозициями устройств за 2024 год.

«Переход к управлению экспозициями — это не просто смена стратегии; это фундаментальная эволюция в том, как организации воспринимают и снижают риски. Принимая управление экспозициями, бизнес переходит к проактивному, целостному подходу, который выявляет, приоритизирует и устраняет экспозиции ещё до того, как они станут угрозами»."

К сожалению, ссылку на extract Tenable не распространяют. 🤷‍♂️ Доступ к отчёту на сайте IDC стоит $7,500.00. 🙂 Будем ждать подробности. 😉

Прочитал вчера первую лекцию "Уязвимости и их описание" в рамках магистерской программы ИТМО

Прочитал вчера первую лекцию Уязвимости и их описание в рамках магистерской программы ИТМО

Прочитал вчера первую лекцию "Уязвимости и их описание" в рамках магистерской программы ИТМО. Начал с определения уязвимости, типов уязвимостей, прошёлся по своим примерам и указал, с чем играться дальше: VulnHub с Metasploitable 1-2-3, Vulhub, OWASP Juice Shop. Эксплуатация уязвимостей не в фокусе курса, но её важно попробовать. 👾

Затем жизненный цикл уязвимости, инструменты детектирования по карте вендоров, CVE-шки, пока ещё MITRE CVE Org, NIST NVD, БДУ ФСТЭК. Чтобы понимать, какие данные есть в паблике. 🕵️‍♂️

🎯 Подробно про CVSS v3.1 и CVSS 4. Первый - для методики ФСТЭК, второй - для международки. Практическая работа по составлению CVSS векторов и сравнению их с готовыми из NVD/БДУ. Чтобы понять, как мало мы знаем про уязвимости и насколько субъективны оценки критичности. 😉

Бонусом рассказал про приоритизацию уязвимостей с помощью Vulristics по материалам последнего PHDays.

Следующая лекция через неделю - про детектирование. 😇