https://www.techrepublic.com/article/gartner-analyst-12-technologies-to-accelerate-growth-engineer-trust-and-sculpt-change-in-2022/

9. Privacy-enhancing computation

Besides dealing with maturing international privacy and data protection legislation, CIOs must avoid any loss of customer trust resulting from privacy incidents, he said. Gartner expects 60% of large organizations to use one or more privacy-enhancing computation techniques by 2025.

PEC techniques protect personal and sensitive information at a data, software or hardware level. They securely share, pool and analyze data without compromising confidentiality or privacy, according to Gartner.

10. Cybersecurity mesh

Data is only useful if enterprises can trust it," Groombridge said. "Today, assets and users can be anywhere, meaning the traditional security perimeter is gone. This requires a cybersecurity mesh architecture."

CSMA helps provide an integrated security structure and posture to secure all assets, regardless of location, he said. By 2024, organizations adopting a CSMA to integrate security tools to work cooperatively will reduce the financial impact of individual security incidents by an average of 90%, according to Gartner.

https://www.microsoft.com/security/blog/2021/10/20/new-microsoft-sysmon-report-in-virustotal-improves-security/

для тех кто до сих пор воспринимает VT как +60 антивирусов напоминаем, что на VT есть вкладка Behaviour по сути являющаяся выводом работы сразу нескольких песочниц.

Вебинар «Библиотека решений по безопасности»

Мы представляем Security Solutions Library — это набор примеров и рекомендаций, собранных в публичном репозитории на GitHub. Решения библиотеки представлены от команды безопасности на основе опыта и реальных задач от клиентов платформы. На вебинаре наши эксперты расскажут о библиотеке, разберут общую структуру решений и покажут примеры.

Вебинар будет полезен:
✅ Менеджерам по IT-безопасности
✅ IT-архитекторам
✅ DevОps-инженерам
✅ ИТ-менеджерам
✅ CIO, CTO и CISO

Зарегистрируйтесь на мероприятие по ссылке →

#yacloud_events

https://medium.com/mitre-attack/introducing-attack-v10-7743870b37e3 - вышла новая, 10-я версия, матрицы MITRE ATT&CK. Буду обновлять и свой перевод и маппинг

10 Types of Web Vulnerabilities that are Often Missed, OWASP Top 10 Over Time

Сегодня у нас на очереди снова веб, а именно 10 уязвимостей, которые часто упускают.

Среди них:
- HTTP/2 Smuggling
- XXE via Office Open XML Parsers
- SSRF via XSS in PDF Generators
- XSS via SVG Files
- Blind XSS
- Web Cache Deception
- Web Cache Poisoning
- h2c Smuggling
- Second Order Subdomain Takeovers
- postMessage bugs

А на картинке вы, кстати, видете, как менялся OWASP Top 10 с 2004 по 2021 год.

#dev

Про Vulnerability Management и конфы. Смотрю на списки конференций по ИБ, грущу. Из специализированных сплошной SOC, DLP, AntiFraud, криптография. Общие ориентированы либо на руководителей, либо на хардкорный офенсив. К тому же они как правило очень сильно региональные. Есть тематические вендорские мероприятия и их много, но они понятно ради чего делаются и CFP там в принципе нет. То, что на оффлайновые мероприятия в наши ковидные времена особенно не наездишься тоже понятно.

Было бы классно замутить международное мероприятие чисто по Vulnerability Management. От комьюнити (прям в широком смысле) и для комьюнити. Ради контента и развития горизонтальных связей, а не маркетинга. Чего бы хотелось:

1. Полный онлайн.
2. Никакой региональной специфики. В качестве формальной прописки выбрать что-нибудь подчеркнуто нейтральное и карликовое типа Тувалу.
3. Все доклады на английском, чтобы не заморачиваться с переводом.
4. Все доклады через CFP и голосование программного комитета.
5. Адресно пригласить спикеров/блоггеров от VM вендоров, исследователей, разработчиков опенсурсных утилит и контента.

Теоретически (и на крайняк) можно было бы провести вообще без бюджета. Стримить через YouTube или Twitch, в эфир выводить через Zoom или Skype. Тех, кто по техническим причинам не смог подключиться (а такие накладки неизбежны) добавить как видео запись, а ответы на вопросы собрать через комментарии.

Идея с конфой не заглохла. Фидбек на идею был полностью положительный, решил что нужно это делать. Как минимум попробовать. Каких-то завышенных ожиданий нет, даже если соберем 5 спикеров (и я буду среди них) и 10 зрителей, это будет вполне себе успех как по мне. Но первоначальная реакция на идею достаточно обнадеживает. Посмотрим как будет развиаться. По плану с ноября запустить CFP и начать адресно приглашать интересных спикеров.

From idea to implementation. We will host an independent Vulnerability Management conference. CFP launch in a week. https://vmconf.pw/
#vmconf #vmconf22 #vulnerabilitymanagement

Franken-phish: TodayZoo built from other phishing kits - Microsoft Security Blog
https://www.microsoft.com/security/blog/2021/10/21/franken-phish-todayzoo-built-from-other-phishing-kits/

P.S. phishing domains will block with Sys-Admin BLD soon

Common Threat Matrix for CI/CD Pipeline

В рамках доклада “Attacking and Securing CI/CD Pipeline” на конференции CODE BLUE 2021 Opentalks вышла матрица угроз MITRE ATT&CK для CI/CD: Threat Matrix for CI/CD Pipeline. Частично она переиспользует идеи, предложенные SLSA, расширяя перечень потенциальных угроз и мер безопасности. Про многое я писал в серии постов по моделированию угроз CI/CD [1,2,3] и возможности извлечения секретов из CI.

Очень понравился перечень мер безопасности, который сильно пересекается с тем, что прорабатывал я в рамках аналогичной активности (но не успел пока выложить в открытый доступ). Не стоит забывать, что создание модели угроз и требований ИБ для таких широких процессов, как сборка и деплой - это всегда про кастомизацию. Кому-то будет важно ограничить прямой доступ к CD, отделив процесс отдельной системой (например, AWX, для которого есть свой набор security практик) и закрыв PAM'ом. Для кого-то верификация сигнатур в CI/CD может быть очень дорогим процессом и они ограничиваются проставлением метатэгов на уровне централизованного репозитория артефактов. Сама по себе мера "Hardening CI/CD pipeline servers" может завезти вереницу проверок и возможных "переключателей" (пример вариации настроек).

#ops