Для платформы DevOps GitLab, которую знает и использует почти каждый программист в своей работе, на этой неделе выпустили исправления от критической уязвимости, которая может привести к выполнению произвольного кода.

Бага, отслеживаемая как CVE-2022-2884 имеет рейтинг 9,9 по CVSS и затрагивает все версии GitLab Community Edition (CE) и Enterprise Edition (EE), начиная с 11.3.4 до 15.1.5, 15.2 до 15.2.3 и 15.3 до 15.3.1.

По своей сути, обнаруженная ошибка в безопасности — это случай удаленного выполнения кода с проверкой подлинности, т.е. злоумышленник, прошедший проверку подлинности, может активировать уязвимость через API импорта GitHub.

Об уязвимости стало известно от специалистов yvvdwf, которые сообщили о проблеме в рамках программы Bug bounty.

Команда GitLab настоятельно рекомендует пользователям как можно скорее обновиться до последней версии.

До сих пор неясно, используется ли эта уязвимость в реальных атаках, но для тех, кто по каким-то причинам не может обновить софт GitLab рекомендует отключить функцию импорта GitHub.

Amazon привлек известных голливудских актеров для продвижения темы многофакторной аутентификации.

Интересно, а у самих актеров включена MFA? А то часто бывает, что тот, кто рекламирует, совершенно не используют то, что он рекламирует 😊

Специальный выпуск Monthly Cloud News, посвященный информационной безопасности в облаке

В беседе Антона Черноусова с Алексеем Миртовым и Евгением Сидоровым окунемся в вопросы терзающие безопасников и разработчиков, ведущих проекты в облаке.

Темы августовского выпуска:

🔹 IT-сотрудники хотят в облака
🔹 Лучше ли безопаснику в облаке?
🔹 Обсудим топ-рисков ИБ в облаках
🔹 Утечки статических Сredentials
🔹 DevSecOps как симбиоз полезных практик для разработки
🔹 Audit Trails и все все все...
🔹 Повышение культуры разработки через обучение ИБ

Регистрируйтесь!

#yacloud_events

https://www.nccoe.nist.gov/get-involved/attend-events/nccoe-devsecops-workshop

NCCoE DevSecOps Workshop
Monday, September 19, 2022 10:00am–3:00pm

The National Institute of Standards and Technology (NIST) will host a virtual workshop on DevSecOps on Thursday, September 19, 2022 at the National Cybersecurity Center of Excellence (NCCoE). DevOps brings together software development and operations, shortening development cycles, making organizations more agile, and taking advantage of cloud-native technology and practices. Industry and government are rapidly implementing these practices, but often do so without a full understanding and consideration of security.

Список для чтения на лето от Sysdig:

A Primer on CSPM, CIEM, CWPP and CNAPP
https://dig.sysdig.com/c/pf-cloud-security-101?x=eftbl7

Anatomy of Cloud Attacks

https://dig.sysdig.com/c/pf-anatomy-of-cloud-attacks?x=hjvo1p

Выложили 1000 правил Yara и 200 поведенческих правил для оконечных устройств для Elastic

Книга "Zero Trust Container Security for Dummies"

Цитата: "Zero Trust security takes a proactive approach to security. Instead of relying on reactive, signature-based protections, Zero Trust security is based on a declarative model in which you define acceptable behavior and block everything else. Allow lists are highly pronoscriptive and minimize the attack surface."

В этой мини книге (50стр) вы найдете хорошую теорию по ZeroTrust для контейнеров и рекламу решений SUSE.

Традиционная справка-доклад о ходе работ по плану от ТК 362 (по состоянию на 29.08.2022).

🤓 Узнайте, как защитить свои облачные ресурсы

Мы запустили курс «Защита облачной инфраструктуры» — он научит:

🔹 использовать облачные сервисы безопасно;
🔹 грамотно настраивать доступ пользователей;
🔹 надёжно контролировать события безопасности.

Преимущества:

🔹 без воды: только нужная информация в коротких видео-уроках по 5–10 минут;
🔹 максимум практики: не только получите знания, но и отработаете их;
🔹 выгодно: 1 час теории и 5 часов практики бесплатно.

Кому подойдёт:

🔹 сотрудникам, отвечающим за информационную безопасность;
🔹 инженера DevOps или SRE;
🔹 разработчикам, интересующимся безопасностью облачных ресурсов.

Регистрируйтесь на курс ➡️ на сайте и прокачивайте навык информационной безопасности.

#yacloud_news

Всем привет!

Как вы знаете, с 1 сентября появились новые требвоания к защите персональных данных. Мы подготовили небольшой чеклист по тому, что нужно сделать чтобы соответствовать новым требованям и ничего не забыть.

https://storage.yandexcloud.net/yc-compliance/Checklist_new_requirements_152-FZ.pdf

Надеюсь будет полезным в работе.

Стали доступны видеозаписи выступлений с Open Source Summit Latin America 2022. Конечно же не обошлось без тем о безопасности Kubernetes. Я для себя выделил:
- "Exploring Runtime Security and Forensic using eBPF" - очень базовый доклад с примерами на Tracee в конце.
- "A Checklist for Security from the Container to the Kubernetes: An Overview End to End " - упоминание chain-bench и двух checklists: Kubernetes Security Checklist и Container Security Checklist.
- "Edit, Debug, & Secure the K8s Manifest Lifecycle: Why is it Important and How Can You Get it Right?" - про жизненный цикл YAML manifests и работа с ними с помощью утилиты monokle (обратите внимание)!
- "Building a Secure By-Design Pipeline with an Open Source Stack" - доклад про kubescape.
- "SOAR with Postee: Automated Incident Response for Cloud Native Risks" - доклад про Postee. Данный доклад можно сравнить с моим докладом про SOAR.
- "MLSecOps with Automated Online and Offline ML Model Evaluations on Kubernetes" - MLSecOps 0_o