Есть раздел по безопасности.

Как составить техническое задание на облачные сервисы

Мы сделали инструкцию для тех, кто готовит техническое задание на услуги облачного провайдера. Внутри – ответы на самые частые вопросы, как технические, так и юридические. Мы старались сделать пособие универсальным, чтобы оно подходило клиентам с самыми разными задачами.

Надеемся, что этот гайд будет вам полезен — прочитайте сами и перешлите специалистам по закупкам.

В блог →

#yacloud_news

Несколько дней назад стал доступен документ "Cloud Native Security Whitepaper" версии 2! Напомню, что версия 1 была выпущена в ноябре 2020. Это время индустрия не стояла на месте, а активно развивалась и документ требовал обновлений. В итоге, в него были добавлены следующие разделы:
- Threat Matrix for Containers
- Use case: Ransomware
- Secure Defaults
- Supply Chain Security
- GitOps
- Security Stack
- Use case: Securing Financial Institutions under EU regulations
- SSDF v1.1 Mapping (Secure Software Development Framework)

Если вы не знакомы с данным документом, то я настоятельно рекомендую вам исправить это недоразумение ;)

Все 28 презентаций с прошедшей MITRE ATT&CKcon 3.0

Поможет понять что это не инцидент ИБ
https://learnk8s.io/troubleshooting-deployments

Империя наносит ответный удар, правда непонятно в какую сторону.

После всеобщего негодования Microsoft все же присвоили уязвимости Follina идентификатор CVE-2022-30190, оценив ее на 7,8 из 10 по CVSS. Официально уязвимыми версиями признаны Microsoft Office Office 2013, Office 2016, Office 2019 и Office 2021, а также выпуски Professional Plus.

Разработчики подготовили и опубликовали дополнительные рекомендации (здесь), включая обходные пути по отключению протокола URL-адресов MSDT с помощью модификации реестра Windows, что обеспечивает открытие Microsoft Office документов из Интернета в режиме защищенного просмотра или Application Guard для Office по умолчанию.

Первые признаки эксплуатации уязвимости в реальности датируются 12 апреля 2022 года, когда в базу вредоносных программ был загружен второй образец, который был заточен под российского клиента, о чем свидетельствует наименование приглашение на интервью.doc в эфир радио Sputnik.

Но все это никак не меняет того, что Microsoft ещё 21 апреля закрыла отчет со ссылкой на то, что проблема была (вовсе не проблема) устранена и не относится к вопросам безопасности.

Впрочем чему удивляться.

Думаю, все слышали фразу о том, что «капля никотина убивает лошадь простой бизнес-системы в результате кибератак может обойтись бизнесу очень дорого». Многие из этого делают вывод, что надо давить на доступность систем, как основной мотиватор тратиться на ИБ. Но…

Рост числа кибератак дает и обратный эффект. Бизнес привыкает к атакам и чуть более спокойнее начинает относиться к неизбежным простоям. Ужас, но не ужас-ужас.

Последнее исследование МакКинзи говорит, что бизнес свои простои оценивает более прагматично, чем кажется тем же ИБшникам. Не закрывает глаза (все-таки простой - это потери), но и не бежит слома голову устранять причины часового простоя от DDoS-атаки или дневного простоя от шифровальщика.

По старой доброй традиции безопасностью в решениях Microsoft занимаются все, кроме самой Microsoft.

0-day уязвимость CVE-2022-30190 в Microsoft Windows Support Diagnostic Tool (MSDT), также известная как Follina, получила общедоступное неофициальное исправление, выпущенное 0patch.
 
Патч адаптирован для следующих уязвимых версий Windows: Windows 11 v21H2, Windows 10 (от v1803 до v21H2), Windows 7 и Windows Server 2008 R2

Тем временем RCE-уязвимость обзавелась PoC-эксплойтом и уже состоит в арсенале почти всего киберподполья.

Сам Редмонд при этом до настоящего времени не выпустил ничего, ограничившись мерами по смягчению последствий для блокировки атак, посоветовав отключить протокол URL-адресов MSDT.

Однако 0patch пошли по другому пути, вместо отключения обработчика протокола URL-адреса MSDT, они добавили очистку предоставленного пользователем пути (в настоящее время отсутствует в сценарии Windows) для предотвращения вывода мастера диагностики Windows из строя в ОС для всех приложений.

0patch отмечают, что не имеет значения, какая версия Office установлена и установлена ли она вообще: уязвимость также может быть использована с помощью других векторов атак.

Чтобы развернуть микропатч в Windows следует использовать 0patch-агент, который автоматически загрузит и применит исправление.

Ожидающим официального патча от Microsoft в первой итерации (когда он выйдет), скорее всего нужно будет откатить обновление и дождаться новых двух: один из них закроет основную проблему, а второй - проблему, которая возникнет после исправления основной.

Если вы планировали провести эти выходные с пользой, то как раз для вас CNCF выложил записи докладов (+ слайды) с недавно прошедших своих сессий:
- KubeCon + CloudNativeCon Europe 2022
- ServiceMeshCon EU 2022
- Kubernetes on Edge Day EU 2022
- Kubernetes Batch + HPC Day EU 2022
- Cloud Native SecurityCon EU 2022
- Kubernetes AI Day EU 2022
- Cloud Native Wasm Day EU 2022
- FluentCon EU 2022
- KnativeCon EU 2022
- GitOpsCon EU 2022
- Cloud Native Telco Day EU 2022
- PrometheusDay EU 2022
- Cloud Native eBPF Day EU 2022

Обратите внимание, что доклады на тему security были не только на Cloud Native SecurityCon, но и в основной программе, и в других сессиях ;)

Наиболее интересные на мой взгляд доклады по security я выделю отдельно.

ТОП-16 ключевых метрик кибербезопасности, составленный на основе опроса 1200 организаций из разных сфер деятельности.
Еще больше интересной статистики можно прочитать в отчете-исследовании "Cybersecurity Solutions for a Riskier World".
Сам отчет прикрепил ниже.