https://www.nccoe.nist.gov/get-involved/attend-events/nccoe-learning-series-trusted-cloud-and-hardware-enabled-security

NCCoE Learning Series: Trusted Cloud and Hardware Enabled Security

Вебинар July 28, 2022 по вышедшим в апреле документам NIST по аппаратной безопасности облаков.

https://cloudsecurityalliance.org/artifacts/sensitive-data-in-the-cloud/

Результаты опроса CSA 450 человек по размещению конфиденциальной информации в облаке.

Пора возвращаться к исходной цели создания блога - писать про ИБ с точки зрения бизнеса, а не вот это вот все ;-) Начнем с customer journey map и ее применения в целях ИБ. Это будет серия заметок

#privacy #events

Когда: 25 июля в 18:30 (по мск)
Где: онлайн
Тема: New 152-ФЗ? Что. Кому. И как
Спикеры: Алексей Мунтян, Анастасия Петрова, Роман Мартинсон, Екатерина Басниева, Артём Дмитриев, Борис Покровский
Организатор: RPPA.ru
Язык: русский
Стоимость: бесплатно
Трансляция: здесь

💬Программа

18:30 - 18:35 Открытие, Алексей Мунтян, Кристина Боровикова, RPPA
18:35 - 18:50 Практическое значение поправок для бизнеса, Анастасия Петрова, Советник, АЛРУД
18:50 - 19:05 Обзор Изменений, Роман Мартинсон, Екатерина Басниева, Старшие консультанты, Cybersecurity и Privacy, Kept
19:05 - 19:10 Обзор результатов опроса, Артём Дмитриев, Comply
19:10 - 19:40 Дискуссия, Модератор: Алексей Мунтян, Спикеры: все, а также Борис Покровский, юрисконсульт, Яндекс

Я думаю, что сегодня все понятно просто по стартовой картинке =)

Да, оказывается уже есть OWASP Kubernetes Top 10! Проект молодой и еще не до конца доделанный - на текущие момент описано 7 или 10 пунктов (хотя и у тех 7 внутри не все еще готово). По задумке авторов каждый из пунктов состоит из разделов:
- Overview
- Denoscription
- How to Prevent
- Example Attack Scenarios
- References

Сам рейтинг:
K01:2022 Insecure Workload Configurations
K02:2022 Supply Chain Vulnerabilities
K03:2022 Overly Permissive RBAC Configurations
K04:2022 Lack of Centralized Policy Enforcement
K05:2022 Inadequate Logging and Monitoring
K06:2022 Broken Authentication Mechanisms
K07:2022 Missing Network Segmentation Controls
K08:2022 Secrets Management Failures
K09:2022 Misconfigured Cluster Components
K10:2022 Outdated and Vulnerable Kubernetes Components

Какое мое мнение по этому рейтингу? Напишу в завтрашнем посте ;)

При роботизации Риски ИБ могут иметь физические проявления https://tass.ru/sport/15280405

͏Atlassian исправила критическую уязвимость, связанную с жестко запрограммированными учетными данными в приложении Questions For Confluence (версии 2.7.34, 2.7.35 и 3.0.2) для Confluence Server и Confluence Data Center.

По данным Atlassian, приложение установлено на более чем 8000 серверах Confluence.

CVE-2022-26138 возникает, когда приложение установлено и включено в любой из двух служб, что приводит к созданию учетной записи пользователя Confluence с именем disabledsystemuser.

Учетная запись disabledsystemuser создается при установке приложения с жестко заданным паролем и добавляется в группу пользователей confluence, что по умолчанию позволяет просматривать и редактировать все неограниченные страницы в Confluence.

Удаленный злоумышленник, не прошедший проверку подлинности и знающий жестко закодированный пароль, может воспользоваться ошибкой, чтобы войти в Confluence и получить доступ к любым страницам.

В Atlassian не располагают информацией об использовании уязвимости в дикой природе, правда с оговоркой: «пока что».

Все дело в том, что жестко закодированный пароль легко получить после загрузки и просмотра уязвимых версий приложения.

Администраторам следует обратить внимание, что удаление приложения Questions for Confluence не устраняет уязвимость и вектор атаки.

Для понимания потенциальных угроз следует проверить наличие проблемной учетной записи пользователя disabledsystemuser, а также возможную несанкционированную аутентификацию, следуя этим инструкциям.

Учетную запись можно удалить, но лучше всего накатить обновления. Исправленная версия приложения прекратит создание проблемной учетной записи пользователя и удалит ее, если она есть.

https://cloudsecurityalliance.org/press-releases/2022/07/20/cloud-security-alliance-releases-guidance-on-third-party-vendor-risk-management-in-healthcare/

Cloud Security Alliance Releases Guidance on Third-Party Vendor Risk Management in Healthcare