https://gcatoolkit.org/mission-based-orgs/
"Cybersecurity threats are an all-too-common part of modern life online. Fortunately, there are resources to help implement a cybersecurity program. This set of free tools, guidance, and training is designed to help organizations take key cybersecurity steps and be more secure."

6-го января Гартнер обновил свой Magic Quadrant for Application Security
Testing

И некоторые компании этот отчет свободно распространяют

ЦБ подготовил еще один проект нового указания по отчетности "Об объеме, формах, сроках и порядке составления и представления в Банк России отчетности профессиональных участников рынка ценных бумаг, организаторов торговли и клиринговых организаций, а также другой информации", в котором вводится отчетность 0420433 по выполнению требований по защите информации.

Разработчики Cisco исправили ошибки в VPN-маршрутизаторах Small Business серий RV160, RV260, RV340 и RV345. Некоторые из них могли привести к выполнению произвольного кода с привилегиями root.

Самая серьезная дыра — это ошибка удаленного выполнения кода CVE-2022-20699 (с оценкой CVSS 10,0). Уязвимость в модуле SSL VPN гигабитных VPN-маршрутизаторов Cisco Small Business RV340, RV340W, RV345 и RV345P может позволить удаленному злоумышленнику, не прошедшему проверку подлинности, выполнить произвольный код на уязвимом устройстве.

Основной причиной уязвимости являются недостаточная проверка границ, выполняемая при обработке определенных HTTP-запросов. Злоумышленник может воспользоваться этой уязвимостью, отправив вредоносные HTTP-запросы на уязвимое устройство, выступающее в роли шлюза SSL VPN. Успешный эксплойт может позволить злоумышленнику выполнить код с привилегиями root.

Компания также устранила две критические проблемы в веб-интерфейсе управления маршрутизаторами Small Business RV: CVE-2022-20700 (с оценкой CVSS 10) и CVE-2022-20701 (с оценкой CVSS 9,0).

Эти уязвимости связаны с недостаточной эффективностью механизмов принудительной авторизации. Злоумышленник может воспользоваться багами, отправив определенные команды на уязвимое устройство. Успешный эксплойт может позволить злоумышленнику повысить привилегии до root и выполнять произвольные команды в уязвимой системе». читает рекомендацию.

Среди других исправлены также критические уязвимости CVE-2022-20708 (с оценкой CVSS 10,0) и CVE-2022-20703 (с оценкой CVSS 9,3), которые были связаны с внедрением команд и обходом проверки цифровой подписи соответственно.

Прокачены и другие уязвимости высокой и средней степени серьезности, которые позволяли выполнить произвольный код или команды, вызвать состояние отказа в обслуживании (DoS), получить частичные административные привилегии, просмотреть или изменить информацию, перезаписать или загрузить определенные файлы.

Необходимо поскорее накатить обновления для линейки Cisco Small Business, ведь PoC под некоторых серьезные баги уже доступен общественности. При этом отметим, что обходные пути для решения этих проблем отсутствуют.

https://www.nist.gov/itl/executive-order-improving-nations-cybersecurity

Today, NIST is announcing the release of five new documents called for in the EO:

Software Security Practices

Software Supply Chain Security Guidance Under Executive Order (EO) 14028 Section 4e
NIST Special Publication 800-218, Secure Software Development Framework (SSDF) Version 1.1: Recommendations for Mitigating the Risk of Software Vulnerabilities
Software Security Labeling

Recommended Criteria for Cybersecurity Labeling of Consumer Internet of Things (IoT) Products
Recommended Criteria for Cybersecurity Labeling of Consumer Software
Consumer Cybersecurity Labeling Pilots: The Approach and Feedback

👨🏻‍💻 Открытые практикумы DevOps, Linux, White hacking, AWS и Golang by Rebrain: расписание на Февраль

👉Регистрация

- 8 февраля DevOps: Как жить если у вас появился nginx?
- 9 февраля Linux: Linux. Что Вы хотите узнать? / Сессия вопросов-ответов
- 9 февраля White Hacking: Обезличивание данных по 152-ФЗ
- 10 февраля AWS: Учимся управлять несколькими аккаунтами AWS сразу
- 15 февраля DevOps: Модульное управление инфраструктурой с помощью Terraform + Terragrunt
- 16 февраля Linux: Маршрутизатор на базе Linux
- 16 февраля White Hacking: Основы сканирования сетей, знакомство с утилитой nmap
- 17 февраля AWS: Serverless: пожалуйста, не надо
- 22 февраля DevOps: Подходы к автоматическому тестированию (АТ)
- 24 февраля Golang:Context в Go
- 24 февраля AWS: Делаем статический сайт на AWS безопасно

Посмотреть программу практикумов и записаться бесплатно. Успевайте зарегистрироваться. Количество мест строго ограничено! Запись практикума DevOps by Rebrain в подарок за регистрацию!

#реклама

Antivirus Event Analysis Cheat Sheet version 1.9.0.

It includes updates in almost all sections

add special indicators for all kinds of Microsoft Exchange exploitation activity (ProxyLogon, ProxyShell etc.)

moves Ransomware indicators to highly relevant column

https://www.nextron-systems.com/2022/02/06/antivirus-event-analysis-cheat-sheet-v1-9-0/

первый пост в серии по разделу ответственности в public cloud.

https://medium.com/anton-on-security/who-does-what-in-cloud-threat-detection-a7a4f44e7672

Росстандарт утвердил ГОСТ Р 59548-2022 "Защита информации. Регистрация событий безопасности. Требования к регистрируемой информации", который был введен в действие с 1-го февраля 2022 года.

В пару с ГОСТом по регистрации событий, Росстандарт утвердил еще и ГОСТ Р 59547-2021 "Защита информации. Мониторинг информационной безопасности. Общие положения", который введен в действие с 4-го января 2022 года.