Архив метки: vulnerability

Стартовал Call For Papers на международный фестиваль по кибербезопасности и технологиям PHDays Fest 2026

Добавить комментарий

Стартовал Call For Papers на международный фестиваль по кибербезопасности и технологиям PHDays Fest 2026

Стартовал Call For Papers на международный фестиваль по кибербезопасности и технологиям PHDays Fest 2026. Фестиваль пройдёт 28-30 мая в Москве.

🏇 Когда можно подать доклад: с 9 декабря и до 9 марта.

⏳ Длительность доклада: 15 или 50 минут.

🗂 Доступно 20 треков: Offense, Defense, Hardware & Firmware Security, OSINT New Blood, Web3, Development General, Development Data, Development Security, OpenSource & OpenSecurity, AI/ML, AI Security, Devices & Technologies, Научпоп, Архитектура ИБ, ИТ-инфраструктура, Security Leader, Next-Generation SOC, Отличные люди в ИБ, Доказательство ИБ, Антикризисный 2026-й год. Описания треков читайте по ссылке, выбрав трек и нажав на i.

В описании Defense указано "Опыт управления уязвимостями", в AI/ML - "Прогнозирование уязвимостей", в Development Security - "Использование AI для поиска и анализа уязвимостей". 🔥 Присматриваюсь и к OpenSource треку, в прошлом году там было неплохо. 😉

Cisco не осилили Vulnerability Management

Добавить комментарий

Cisco не осилили Vulnerability Management

Cisco не осилили Vulnerability Management. 🤷‍♂️ В 2021 году Cisco купили известного и вполне успешного VM-вендора Kenna Security. В пресс-релизе обещали продемонстрировать "unprecedented combined capability".

И вот через 4 года, 9 декабря, Cisco объявили об окончании продаж и завершении жизненного цикла Cisco Vulnerability Management, Vulnerability Intelligence и модуля Application Security (ранее известных как Kenna VM, Kenna VI и AppSec). 🌝

🔹 продажи заканчиваются 10 марта 2026
🔹 продления - до 11 июня 2026
🔹 последний день поддержки - 30 июня 2028

"Cisco будут поддерживать текущие коннекторы, однако не будут разрабатывать какие-либо новые коннекторы и не будут выполнять переходы на новые платформы вендоров или вносить изменения в схемы данных. Алгоритм Cisco Security Risk Score не будет изменяться. Поддержка CVSS4 или EPSS v4 добавляться не будет." Морозят as is. 🥶

Каких-либо замен клиентам не предлагают. 🤷‍♂️

Tenable и Qualys зовут клиентов Cisco к себе.

В этом канале ещё не было поста с записью моего выступления на PHDays в этом году "Vulristics - утилита для анализа и приоритизации уязвимостей"

Добавить комментарий

В этом канале ещё не было поста с записью моего выступления на PHDays в этом году "Vulristics - утилита для анализа и приоритизации уязвимостей". Исправляюсь. 😉

00:00 Кто я такой и о чём буду говорить
01:15 GitHub, название, предназначение
02:15 С чего всё началось? Microsoft Patch Tuesday
03:35 Разбор отчёта Vulristics
08:19 Карточка конкретной уязвимости
10:20 Комментарии к уязвимостям
12:49 Группы уязвимостей
14:12 Анализ произвольных наборов уязвимостей
16:32 Работа с JSON
17:06 Linux Patch Wednesday
19:37 Источники данных (Microsoft, NIST NVD, EPSS, Vulners, AttackerKB, БДУ ФСТЭК, Custom)
32:56 Детектирование уязвимого продукта
37:17 Детектирование типа уязвимости
39:03 Интеграция и автоматизация
43:17 Q&A: Можно ли подать на вход список CPE, найти по ним CVE и получить отчёт?
45:01 Q&A: Можно ли отслеживать расхождения в источниках данных?
46:26 Q&A: Планируется ли использовать LLM-ки?
49:27 Q&A: Будет ли поддержка CVSS 4.0?
51:50 Q&A: Какие планы по развитию на полгода?
53:24 Q&A: Какие ещё базы уязвимостей есть смысл поддержать?

Видео доступно на VK Видео, RUTUBE и YouTube.

🎁 БОНУС! На прошлой неделе вышла статья на Хабре по мотивам этого выступления. Так что, если нет времени смотреть видео, можно там пролистать. 😉

Недавно доченька проходила онлайн-олимпиаду "Безопасный интернет" для 1 класса на Учи.ру

Добавить комментарий

Недавно доченька проходила онлайн-олимпиаду Безопасный интернет для 1 класса на Учи.ру

Недавно доченька проходила онлайн-олимпиаду "Безопасный интернет" для 1 класса на Учи.ру. Ознакомился с содержанием. 🙂

Понравились задания:

🟢 Какие фотографии опасно выкладывать в паблик.
🟢 Схемы развода и опасное общение на маркетплейсах.
🟢 Мошеннические схемы в мобильных играх.
🟢 План действий в случае кражи данных банковской карты.
🟢 Как отличить мошеннические онлайн-курсы.

Не понравились задания:

🔴 Делать LLM-промпты для получения правильных картинок.
🔴 Экранное время и правильный распорядок дня.
🔴 Квантовые компьютеры (и ни слова про криптографию 🤷‍♂️).

Имхо, вместо этого оффтопа полезнее было затронуть темы кибербуллинга, фейковых новостей, защиту личной информации и паролей, фишинг и, разумеется, основы patch и vulnerability management. 😉

Также хотелось бы, чтобы в каждом задании лейтмотивом было: "в любой непонятной ситуации не держи в себе, немедленно расскажи родителям!"

Но, в целом, олимпиада для 1 класса вполне неплохая. 👍

Вчера на сайте ФСТЭК был опубликован важный VM-ный документ - "Методика анализа защищённости информационных систем" от 25 ноября 2025 г

Добавить комментарий

Вчера на сайте ФСТЭК был опубликован важный VM-ный документ - Методика анализа защищённости информационных систем от 25 ноября 2025 г

Вчера на сайте ФСТЭК был опубликован важный VM-ный документ - "Методика анализа защищённости информационных систем" от 25 ноября 2025 г. Основное назначение методики - описать работы по анализу защищённости (выявлению уязвимостей) при аттестации объектов информатизации (77 приказ), а конкретно в ходе:

🔹 аттестации информационных систем (ИС) на соответствие требованиям по защите информации (ЗИ);
🔹 контроля уровня защищённости конфиденциальной информации от НСД и её модификации в ИС;
🔹 оценки соответствия ИС требованиям по ЗИ (испытания) и достаточности принимаемых мер по ЗИ (обеспечению безопасности).

Кроме того, это (первая? 🤔) попытка регулятора определить, что такое Анализ Защищённости (АЗ) как услуга.

Особенно интересны:

🔻 Раздел 3.4. Оценка выявленных уязвимостей. Здесь определяются критерии успешности АЗ.

🔻 Таблицы 2 и 3, содержащие перечни работ в ходе внешнего и внутреннего сканирования и, фактически, определяющие требования к функциональности средств АЗ. 😉

Декабрьский "В тренде VM": уязвимости в Windows, библиотеке expr-eval, Control Web Panel и Django

Добавить комментарий

Декабрьский В тренде VM: уязвимости в Windows, библиотеке expr-eval, Control Web Panel и Django

Декабрьский "В тренде VM": уязвимости в Windows, библиотеке expr-eval, Control Web Panel и Django. Традиционная ежемесячная подборка трендовых уязвимостей. В этот раз достаточно компактная. 💽

🗞 Пост на Хабре
🗞 Пост на SecurityLab
🗒 Дайджест на сайте PT

Всего четыре уязвимости:

🔻 EoP - Windows Kernel (CVE-2025-62215)
🔻 RCE - expr-eval (CVE-2025-12735)
🔻 RCE - Control Web Panel (CVE-2025-48703)
🔻 SQLi - Django (CVE-2025-64459)

🟥 Портал трендовых уязвимостей

Выступал сегодня на ежегодной пресс-конференции Positive Technologies, получившей название "Анатомия цифровых бурь"

Добавить комментарий

Выступал сегодня на ежегодной пресс-конференции Positive Technologies, получившей название Анатомия цифровых бурь
Выступал сегодня на ежегодной пресс-конференции Positive Technologies, получившей название Анатомия цифровых бурьВыступал сегодня на ежегодной пресс-конференции Positive Technologies, получившей название Анатомия цифровых бурьВыступал сегодня на ежегодной пресс-конференции Positive Technologies, получившей название Анатомия цифровых бурьВыступал сегодня на ежегодной пресс-конференции Positive Technologies, получившей название Анатомия цифровых бурьВыступал сегодня на ежегодной пресс-конференции Positive Technologies, получившей название Анатомия цифровых бурьВыступал сегодня на ежегодной пресс-конференции Positive Technologies, получившей название Анатомия цифровых бурьВыступал сегодня на ежегодной пресс-конференции Positive Technologies, получившей название Анатомия цифровых бурь

Выступал сегодня на ежегодной пресс-конференции Positive Technologies, получившей название "Анатомия цифровых бурь". Как и в прошлом году, я представлял статистику по трендовым уязвимостям.

🔹 Трендовых уязвимостей в этом году будет скорее всего чуть меньше, чем в прошлом. Но за 20 дней может ещё случиться много кейсов а-ля React2Shell. 🤷‍♂️ Окончательную статистику по трендовым я подобью уже под оливье. 🎄

🔹 Microsoft - надёжный поставщик трендовых уязвимостей. 😏 Пока доля трендовых уязвимостей от MS даже выше, чем в прошлом году.

🔹 В прошлом году не было трендовых уязвимостей в отечественных продуктах, а в этом есть. Это RCE уязвимости в CommuniGate Pro и TrueConf (массовая эксплуатация!). Предвидим, что доля трендовых уязвимостей в отечественных продуктах будет расти вслед за импортозамещением и повышением интереса со стороны исследователей и злоумышленников.

И что с этим делать? Развивать Vulnerability / Exposure Management. 😉