https://attack-community.org/event/

The eight EU ATT&CK Community Workshop will take place, in virtual format, on 22 October 2021 from 2pm CET until 6pm CET. The workshop is supported by CERT-EU, CIRCL and the MITRE Engenuity Center for Threat-Informed Defense. It is organized by practitioners and for practitioners with an interest in the use of the MITRE ATT&CK® Framework in Prevention, Detection/Hunting and Response.

Австралийский ACSC предлагает поучаствовать в челендже по реагированию на инциденты и форензике. Все инструкции и материалы выложены на https://t.co/5TplwGrx0G https://t.co/WJoXLVC7Z1
— Alexey Lukatsky (@alukatsky) Sep 5, 2021

Недавно вышел достаточно увесистый отчет "Kubernetes Control Plane Vulnerability Assessment", в рамках которого аудиторы рассматривают, что и как может атакующий, получивший доступ к Node (на пример, через побег из контейнера).

Весь анализ происходит на K8s версии 1.21.0 и идет в разрезе темы multi-tenancy и безопасности Control Plane. Правда по факту тут они касаются только node-based multi-tenancy, а других подходов, что рассматривает сейчас рабочая группа не затрагивают.

По отчету есть небольшая запись в блоге "Looking at the Kubernetes Control Plane for Multi-Tenancy". Но по мне она совсем не передает сути работы и лучше читать оригинал - там много классных, тонких моментов для ценителей ;)

Ключевые слова по отчету это: Taints & Tolerations, Node Authorizer, NodeRestriction. Не знаете, что это и зачем нужно в security - читайте отчет и со всем разберетесь!

Вишенкой на торте является раздел "Threat Model".

​​Известная своими громкими «крестовыми походами» на компании-миллиардеры банда вымогателей Ragnar Locker обещает применять жесткие санкции к своим нынешним и потенциальным жертвам, которые будут ими уличены в связях с правоохранительными органами, спецслужбами или инфосек компаниями.

К «нарушителям тишины» хакеры будут применять репрессивные меры и сливать украденные данные независимо от этапа переговоров и выплаты выкупа, планка которого у Ragnar и без того достаточно высока. В случае с Capcom сумма выкупа достигла 11 млн. долларов.

Аналогичные действия будут предприниматься и в ситуации с обращением к «профессиональным переговорщикам» или специалистам по по восстановлению данных, которые, по мнению хакеров, так или иначе сотрудничают со спецслужбами.

Учитывая, что Ragnar Locker вручную развертывают полезные нагрузки, предварительно проводя тщательную разведку сетевых ресурсов, резервных копий компании и других конфиденциальных файлов до этапа шифрования, вымогатели теперь каждый раз будут готовиться к возможным утечкам, реализуя максимально высокий репетиционный или экономический ущерб для нарушителей своего нового джентльменского соглашения.

Дополнительные тактические уловки, к которым прибегают операторы ransomware, - не что иное, как ответная реакция на попытки лишить компании-жертвы возможности оплаты выкупа, которые предпринимаются правительствами ряда стран на законодательном и административном уровнях.

Рынок трансформируется и обретает новые контуры в виде появления datamarketplace, переходу к тайным операциям и переговорам без анонсирования атак на сайтах утечек, соглашения о ненападении на критические отрасли или объекты, ребрендинг и качественное обновление арсенала вредоносных программ, собственно о чем мы писали последнее время.

Уверены, первые показательные утечки будут весьма резонансны, особенно зная характер клиентов Ragnar Locker, а в целом будет понятен профит нового метода, который также может быть быстро заимствован и другими группами.

​​Очередной zeroday для пользователей Windows.

Ошибка удаленного выполнения кода с высокой степенью опасности CVE-2021-40444 (CVSS: 8,8) обнаружена в движке браузера Windows MSHTML. Компания заявила, что уязвимость используется в целевых атаках посредством специально созданных документов Microsoft Office, которые позволяют  злоумышленнику захватить уязвимую систему.

Проблема кроется в возможности создания вредоносного элемента управления ActiveX, который будет использоваться документом Microsoft Office (Word, Excel и PowerPoint), где реализован механизм визуализации браузера. Да, да, того самого браузера для установки других браузеров - Internet Explorer. Конечно злоумышленнику нужно убедить пользователя открыть документ, но это уже как говорится дело техники.

Хотя патч еще не доступен, Microsoft заявила, что по умолчанию Office открывает документы из Интернета в режиме защищенного просмотра или Application Guard для Office, что по заявлению представителей компании должно предотвратить атаку. Однако уже просочились сведения, что обнаруженные атаки, направлены против клиентов, использующих Microsoft 365 и Office 2019 в Windows 10.

В свою очередь Агентство по кибербезопасности CISA уже призвало пользователей и администраторов реализовать необходимые меры защиты, предложенные Microsoft в целях снижения риска.

Introduction to OWASP Top 10 2021

OWASP выпустили драфт документа OWASP Top 10 2021!

Из нового, что отсутствовало в последнем Top 10 2017:
- A04:2021-Insecure Design
- A08:2021-Software and Data Integrity Failures
- A10:2021-Server-Side Request Forgery

Также по списку поднялись уязвимости класса A06:2021 – Vulnerable and Outdated Components, что автоматически повышает перспективы инструментов SCA.

В начале этого года Wallarm также представили свою версию Top10, основанную на анализе базы данных Vulners.

#web #dev

Повышение квалификации по ИТ и ИБ со скидкой 50% от государства.
https://цифровыепрофессии.рф/catalog

ZeroNights 2021

Выложили записи и слайды с Zero Nights 2021. Самое интересное для этого канала находится в секции Defensive Track.

- О метриках с практической точки зрения - доклад про метрики (в частности про те, что были приведены в HP MagicNumbers), а также немного про OWASP SAMM и ASVS.
- Побег из контейнера: Kubernetes - доклад, где название говорит само за себя от автора @k8security. Доклад начинается с вводной части о работе k8s, после чего приводятся способы побега из контейнера через capabilities, маунты и CVE (есть очень много полезных ссылок).
- CVEhound: проверка исходников Linux на известные CVE - доклад про проблемы инструментов SCA и поиск CVE в Linux с помощью CVEhound.
- DevSecOps на Open Source: бурление в стакане - про построение классического процесса на базе gosec, trufflehog, defectdojo, semgrep и т.д. Автор также поделился пайплайнами gitlab в public.
- Атаки на микросервисные приложения: методы и и практические советы - доклад про то, на что надо обращать внимание с точки зрения безопасности, когда речь заходит о микросервисах (как проверять безопасность аутентификации, авторизации, какими инструментами, где брать чеклисты).
- Лезем невидимой рукой аппсека в релизные сборки - доклад про поиск уязвимостей в мобилках и написание своей тулы CheckKarlMarx.

Все слайды можно найти здесь.

#talks #dev #ops