https://csrc.nist.gov/projects/cryptographic-module-validation-program

NIST Revises Special Publications 800-140C and 800-140D for the CMVP
NIST has published revisions of two Special Publications (SP) that identify security functions and sensitive security parameter generation and establishment methods allowed within the context of the Cryptographic Module Validation Program (CMVP):

NIST SP 800-140Cr1, CMVP Approved Security Functions
NIST SP 800-140Dr1, CMVP Approved Sensitive Security Parameter Generation and Establishment Methods
Each publication introduces the security function naming conventions that will be used for validation submissions and certificates. The revisions also add and remove references to other standards and recommendations. For a complete list of changes, see the Document Revisions section at the end of each publication.

Новый RFC 9234 по защите от утечек маршрутов в Интернет разработан благодаря россиянам. Хоть где-то нас еще не выпиливают и не изгоняют!

https://store.isaca.org/s/community-event?id=a334w000004o9psAAA

Virtual Summit—Risk Management Techniques for the Real World

Исследование "Kubernetes Privilege Escalation: Excessive Permissions in Popular Platforms". В нем авторы решили взять разные популярные решения (AKS, EKS, GKE, OCP, Antrea, Calico, Cilium, WeaveNet) - и посмотреть, как у них обстоят дела с правами.

По итогу:
- В 62.5% есть DaemonSets с мощными правами
- И в 50% побег из любого контейнера на Node приведет к полной компрометации кластера

Также они релизнули rbac-police, которая с помощью самобытных правил на Rego позволяет идентифицировать мощные права и пути повышения привилегий в Kubernetes кластере. Часть этих правил они еще добавили в Checkov, а еще в папке prevent они выложили пару политик для OPA Gatekeeper.

Я долго ломал голову почему нельзя было все эти правила сразу оформить в виде политик для Policy Engine - ведь так наиболее правильно и полезней, да и трудностей сделать это никаких нет. И потом понял, что rbac-police это развитие sa-hunter, который является скриптом для пентестеров!

https://store.isaca.org/s/community-event?id=a334w000004dtZeAAI

We’re excited to bring you ISACA Conference Africa 2022! Join us virtually from the comfort of your own home or office. We look forward to bringing you the latest insights from industry leaders and opportunities to network with fellow professionals as you prepare you for the increasing challenges of the fast-changing, and diversifying technology landscape.

Есть раздел по безопасности.

Как составить техническое задание на облачные сервисы

Мы сделали инструкцию для тех, кто готовит техническое задание на услуги облачного провайдера. Внутри – ответы на самые частые вопросы, как технические, так и юридические. Мы старались сделать пособие универсальным, чтобы оно подходило клиентам с самыми разными задачами.

Надеемся, что этот гайд будет вам полезен — прочитайте сами и перешлите специалистам по закупкам.

В блог →

#yacloud_news

Несколько дней назад стал доступен документ "Cloud Native Security Whitepaper" версии 2! Напомню, что версия 1 была выпущена в ноябре 2020. Это время индустрия не стояла на месте, а активно развивалась и документ требовал обновлений. В итоге, в него были добавлены следующие разделы:
- Threat Matrix for Containers
- Use case: Ransomware
- Secure Defaults
- Supply Chain Security
- GitOps
- Security Stack
- Use case: Securing Financial Institutions under EU regulations
- SSDF v1.1 Mapping (Secure Software Development Framework)

Если вы не знакомы с данным документом, то я настоятельно рекомендую вам исправить это недоразумение ;)

Все 28 презентаций с прошедшей MITRE ATT&CKcon 3.0