Сага Log4J - не что иное как идеальный шторм для хакеров всех мастей и, согласно словам руководителя CISA уязвимости Log4j будут использоваться для вторжений в будущем, ведь если хакеры используют Log4shell, мы, возможно, еще просто не знаем об этом.

Просто вдумайтесь, 32 приложения немецкого производителя программного обеспечения SAP использовали уязвимую библиотеку Apache Log4j. Исправить SAP удалось лишь некоторые из них, выпустив первый набор обновлений безопасности в 2022 году.

В рамках Patch Day SAP объявила о выпуске в общей сложности 11 новых заметок по безопасности, а также 16 дополнительных примечаний и трех обновлений ранее выпущенных примечаний, пропатчив в общей сложности ошибки в 21 приложении.

Наиболее важные из этих замечаний по безопасности касаются уязвимого компонента Log4j, включая более старую проблему, обнаруженную в предыдущем варианте библиотеки и отслеживаемую как CVE-2019-17571 (оценка CVSS 9,8).

Еще одно важное примечание по безопасности (оценка CVSS 8,7), опубликованное SAP на этой неделе, касается межсайтового скриптинга (XSS) и уязвимости внедрения кода в S/4HANA, которые существуют из-за того, что приложение не проверяет загруженные и загруженные файлы.

Первая уязвимость позволяет злоумышленнику с базовыми правами пользователя запускать произвольный код сценария, что приводит к раскрытию или изменению конфиденциальной информации.

Вторая позволяет злоумышленнику с базовыми правами пользователя внедрять опасный контент или вредоносный код, что может привести к изменению важной информации или полностью поставить под угрозу доступность приложения.

Исправлены также ошибки раскрытия информации в Business One, ошибка XSS в Enterprise Threat Detection и проблему раскрытия информации в NetWeaver, все средней серьезности.

Кроме того, компания обновила предыдущие 3 декабрьские исправления для ошибок внедрения кода в NetWeaver AS ABAP, неправильной проверки ввода в 3D Visual Enterprise Viewer и отсутствия проверки авторизации в GRC Access Control.

Столь серьезный набор исправлений говорит о не менее серьезных проблемах, с которыми отрасли придется столкнуться в будущем. Но, мы уже об этом предупреждали.

​​Планы по разработке ГОСТов от ФСТЭК (ТК 362)

В период с 2022 года по 2024 год технический комитет по стандартизации «Защита информации» (ТК 362) планирует разработать и пересмотреть 38 национальных стандартов.

#ГОСТ #план #ФСТЭК

​​Образовательный курс от Тинькофф "Информационная безопасность"

Из чего состоит курс:
• Введение в информационную безопасность
• Понимание сетевой безопасности
• Понимание инфраструктурной безопасности
• Безопасность и атаки на приложения
• DevSecOps
• Архитектура SOC
• Incident Response
• Digitat Forensic & Threat Hunting
• Malware analysis

Заявки на участие принимаются до 3 февраля 2022 г.

Подробности и регистрация

#обучение #январь #февраль
@InfoBezEvents

Вопрос о том, сколько стоит Security Operations Center, звучит постоянно и мне, в рамках множества проектов по проектированию SOC, в которых я участвовал и участвую, приходится часто на него отвечать. Скажу сразу, однозначного ответа на этот вопрос нет и зависит он от множества факторов, которые должны быть определены в [читаем дальше на сайте]

Мы проанализировали более 5,3 миллиардов скомпрометированных уникальных пар эл. почта/пароль (250 млн за 2021 год). 🔥

За все время, начиная с самого первого исследования в 2017 году, нами было проанализировано более 35,5 млрд учетных записей, включая не уникальные. 😎

В 10 самых популярных паролей за все время вошли:

1️⃣ 123456
2️⃣ 123456789
3️⃣ qwerty123
4️⃣ qwerty
5️⃣ 12345
6️⃣ qwerty1
7️⃣ password
8️⃣ 12345678
9️⃣ 1q2w3e
1️⃣0️⃣ 111111

10 самых популярных паролей из утечек только за 2021 год:

1️⃣ qwerty123
2️⃣ qwerty1
3️⃣ 123456
4️⃣ a11111
5️⃣ 123456789
6️⃣ 111111
7️⃣ 112233
8️⃣ 12345678
9️⃣ 12345
1️⃣0️⃣ 000000

10 самых популярных паролей зоны «РУ» за все время:

1️⃣ 123456
2️⃣ qwerty
3️⃣ 123456789
4️⃣ 12345
5️⃣ qwerty123
6️⃣ 1q2w3e
7️⃣ password
8️⃣ 12345678
9️⃣ 111111
1️⃣0️⃣ 1234567890

10 самых популярных кириллических паролей:

1️⃣ йцукен
2️⃣ пароль
3️⃣ любовь
4️⃣ привет
5️⃣ наташа
6️⃣ максим
7️⃣ марина
8️⃣ люблю
9️⃣ андрей
1️⃣0️⃣ кристина

Полное исследование можно найти тут: 👇
https://dlbi.ru/five-billion-password-2021/

​📦 Hack The Box CTF Cheatsheet.

Любопытство — это ключ к совершенству. Один из способов задействовать силу любопытства — хакерские квесты. Они лежат на пересечении игр в альтернативную реальность (ARG) и CTF-соревнований, но не просто развлекают, а дают совершенно реальные навыки.

🖖🏻 Приветствую тебя user_name.

• За несколько прошлых лет Hack The Box стал максимально популярен среди исследователей безопасности всех мастей: он отличается удобным веб-интерфейсом для управления активными инстансами виртуалок, отзывчивой техподдержкой и, что важнее всего, постоянно обновляющемся списком уязвимых хостов.

• Думаю что каждый из Вас имеет представление об этой площадке и более подробно описывать данный сервис не следует. Сегодня, Я поделюсь с тобой полезным репозиторием, в котором собраны HTB машины, с сортировкой по операционным системам и сложности.

🧷 https://github.com/Ignitetechnologies/HackTheBox-CTF-Writeups

Обязательно обрати внимание на дополнительную информацию:
• https://github.com/Ignitetechnologies/Privilege-Escalation
• https://github.com/Ignitetechnologies/Vulnhub-CTF-Writeups
• https://github.com/Ignitetechnologies/TryHackMe-CTF-Writeups
• Полный список #CTF площадок, можешь найти тут: https://news.1rj.ru/str/Social_engineering/1316

Твой S.E.

https://www.enisa.europa.eu/news/enisa-news/beware-of-digital-id-attacks-your-face-can-be-spoofed

The report on remote identity proofing builds on the previous report Remote ID Proofing of ENISA, which makes an analysis of the different methods used to carry out identity proofing remotely. The new report analyses the different types of face recognition attacks and suggests countermeasures. It also validates the security controls introduced in the previous report and offers further recommendations on how to mitigate identified threats.