https://www.nccoe.nist.gov/get-involved/attend-events/nccoe-learning-series-webinar-preparing-migration-post-quantum

NCCoE Learning Series Webinar: Preparing for the Migration to Post-Quantum Cryptography
Thursday, August 25, 2022 3:00–3:45pm

С пятницей!

Компания Arnica, специализирующаяся на безопасности цепочки поставок ПО, опубликовала отчет об инциденте, который произошел в начале этого месяца, когда злоумышленник заполонил GitHub более чем 35 000 проектами с бэкдором.

Ресерчеры отмечают: что на первый взгляд показалось массовым взломом репозитория, оказалось небольшой автоматизацией, смешанной с небольшим знанием некоторых эзотерических команд git.

В код многих тысяч репозиториев был вставлен код, который отправлял переменные среды на виртуальный частный сервер и запускал код с этого сервера. Как ни странно, эти одинаково написанные бэкдоры, по-видимому, были созданы многими разработчиками в течение многих лет.

GitHub быстро удалил затронутые репозитории и сообщил, что все затронутые репозитории были просто клонами реальных репозиториев и при этом ни один реальный аккаунт не был скомпрометирован.

Примечательно то, как были созданы эти клоны, если не в результате форка: один из способов сделать это — создать второй удаленный локальный клон.

Одна из причин такого приема — запретить GitHub сообщать другим пользователям, что это клон. При этом GitHub связывает коммит клона со страницей того же автора. GitHub выбирает имя и адрес электронной почты последнего коммита и доверяет ему. Таким образом, автор коммита может быть не тем, кто отправляет коммит.

Помимо репосквотинга, такого рода клоны можно использовать для создания скрытых PR для исходных проектов, хотя форк вместо клона сработает так же хорошо.

Исследователи рекомендуют использовать подписание и проверку коммитов с помощью GPG. Однако почти никто этого не делает. Кроме того, для предотвращения такого рода атак решающее значение имеет последовательность.

Все подробности и наглядно - здесь 👇

Стартовал новый проект NCCoE NIST Mitigation of AI/ML Bias in Context

https://www.nccoe.nist.gov/projects/mitigating-aiml-bias-context

Совсем скоро уже выйдет Kubernetes 1.25 и уже сейчас можно присмотреться к новым фичам, изменениям и светлому будущему [1,2,3].

Мы же в первую очередь заострим наше внимание на вещях связанных с security:
1) PodSecurityPolicy (PSP) полностью исчезает из K8s
2) PodSecurity admission (замена PSP) переходит в stable и включен по умолчанию
3) Добавление поддержки user namespaces - фича UserNamespacesSupport и новый параметр spec.hostUsers для Pod (вроде как 6 лет к этому шли) 🔥
4) Forensic Container Checkpointing - можно делать snapshot запущенного контейнера и потом проанализировать его на другой машине незаметно для атакующего 🔥
5) Оптимизации по работе с SELinux
6) Добавление поля SecretRef к запросу NodeExpandVolume
7) Улучшение CVE feed - добавили official-cve-feed label, по которому просто искать и фильтровать
8) Поддержка диапазона портов в классической NetworkPolicy перешла в stable
9) Ephemeral Containers перешли в статус stable
10) Поддержка cgroup v2 перешла в stable 🔥

P.S. Это и хорошее обновление для моего тренинга =)

Минцифры планирует создать реестр недопустимых событий. Пока перечисляемые в рамках текущих подходов риски ИБ для бизнеса — это теория, которая для непрофильных специалистов не очень понятна. Здесь же (если все пройдет правильно) есть возможность показать наглядно, от чего каждая компания должна защитить себя. Но важен не просто список, а верификация каждого события, его демонстрация. Например, реальная остановка оборудования предприятия, после которой топы компании будут точно понимать, что это возможно, какой убыток они понесут и что им нужно сделать, чтобы этого не произошло. Тогда реестр сможет стать точкой отсчета при оценке уязвимости компаний из всех сфер.

Страховая группа Lloyd исключит масштабные кибератаки из страхового покрытия.

Учитывая, что раньше многие страховые исключили прогосударственные кибератаки из страховки, а ее стоимость выросла на 100%, этот способ уйти от необходимости заниматься ИБ скоро перестанет работать.

Вновь придется задумываться о том, что важно, а что нет, на чем сфокусироваться в первую очередь, а чем можно пренебречь?

У нас этот рынок так и не взлетел, а ЦБ не успел установить для него правила игры. Может статься так, что он так и останется уделом редких "инноваторов", - массы будут обходить его стороной. Тем более, что страховка все равно не отменяет обязательных требований по ИБ, установленных регуляторами.

Для платформы DevOps GitLab, которую знает и использует почти каждый программист в своей работе, на этой неделе выпустили исправления от критической уязвимости, которая может привести к выполнению произвольного кода.

Бага, отслеживаемая как CVE-2022-2884 имеет рейтинг 9,9 по CVSS и затрагивает все версии GitLab Community Edition (CE) и Enterprise Edition (EE), начиная с 11.3.4 до 15.1.5, 15.2 до 15.2.3 и 15.3 до 15.3.1.

По своей сути, обнаруженная ошибка в безопасности — это случай удаленного выполнения кода с проверкой подлинности, т.е. злоумышленник, прошедший проверку подлинности, может активировать уязвимость через API импорта GitHub.

Об уязвимости стало известно от специалистов yvvdwf, которые сообщили о проблеме в рамках программы Bug bounty.

Команда GitLab настоятельно рекомендует пользователям как можно скорее обновиться до последней версии.

До сих пор неясно, используется ли эта уязвимость в реальных атаках, но для тех, кто по каким-то причинам не может обновить софт GitLab рекомендует отключить функцию импорта GitHub.

Amazon привлек известных голливудских актеров для продвижения темы многофакторной аутентификации.

Интересно, а у самих актеров включена MFA? А то часто бывает, что тот, кто рекламирует, совершенно не используют то, что он рекламирует 😊