Специальный выпуск Monthly Cloud News, посвященный информационной безопасности в облаке

В беседе Антона Черноусова с Алексеем Миртовым и Евгением Сидоровым окунемся в вопросы терзающие безопасников и разработчиков, ведущих проекты в облаке.

Темы августовского выпуска:

🔹 IT-сотрудники хотят в облака
🔹 Лучше ли безопаснику в облаке?
🔹 Обсудим топ-рисков ИБ в облаках
🔹 Утечки статических Сredentials
🔹 DevSecOps как симбиоз полезных практик для разработки
🔹 Audit Trails и все все все...
🔹 Повышение культуры разработки через обучение ИБ

Регистрируйтесь!

#yacloud_events

https://www.nccoe.nist.gov/get-involved/attend-events/nccoe-devsecops-workshop

NCCoE DevSecOps Workshop
Monday, September 19, 2022 10:00am–3:00pm

The National Institute of Standards and Technology (NIST) will host a virtual workshop on DevSecOps on Thursday, September 19, 2022 at the National Cybersecurity Center of Excellence (NCCoE). DevOps brings together software development and operations, shortening development cycles, making organizations more agile, and taking advantage of cloud-native technology and practices. Industry and government are rapidly implementing these practices, but often do so without a full understanding and consideration of security.

Список для чтения на лето от Sysdig:

A Primer on CSPM, CIEM, CWPP and CNAPP
https://dig.sysdig.com/c/pf-cloud-security-101?x=eftbl7

Anatomy of Cloud Attacks

https://dig.sysdig.com/c/pf-anatomy-of-cloud-attacks?x=hjvo1p

Выложили 1000 правил Yara и 200 поведенческих правил для оконечных устройств для Elastic

Книга "Zero Trust Container Security for Dummies"

Цитата: "Zero Trust security takes a proactive approach to security. Instead of relying on reactive, signature-based protections, Zero Trust security is based on a declarative model in which you define acceptable behavior and block everything else. Allow lists are highly pronoscriptive and minimize the attack surface."

В этой мини книге (50стр) вы найдете хорошую теорию по ZeroTrust для контейнеров и рекламу решений SUSE.

Традиционная справка-доклад о ходе работ по плану от ТК 362 (по состоянию на 29.08.2022).

🤓 Узнайте, как защитить свои облачные ресурсы

Мы запустили курс «Защита облачной инфраструктуры» — он научит:

🔹 использовать облачные сервисы безопасно;
🔹 грамотно настраивать доступ пользователей;
🔹 надёжно контролировать события безопасности.

Преимущества:

🔹 без воды: только нужная информация в коротких видео-уроках по 5–10 минут;
🔹 максимум практики: не только получите знания, но и отработаете их;
🔹 выгодно: 1 час теории и 5 часов практики бесплатно.

Кому подойдёт:

🔹 сотрудникам, отвечающим за информационную безопасность;
🔹 инженера DevOps или SRE;
🔹 разработчикам, интересующимся безопасностью облачных ресурсов.

Регистрируйтесь на курс ➡️ на сайте и прокачивайте навык информационной безопасности.

#yacloud_news

Всем привет!

Как вы знаете, с 1 сентября появились новые требвоания к защите персональных данных. Мы подготовили небольшой чеклист по тому, что нужно сделать чтобы соответствовать новым требованям и ничего не забыть.

https://storage.yandexcloud.net/yc-compliance/Checklist_new_requirements_152-FZ.pdf

Надеюсь будет полезным в работе.

Стали доступны видеозаписи выступлений с Open Source Summit Latin America 2022. Конечно же не обошлось без тем о безопасности Kubernetes. Я для себя выделил:
- "Exploring Runtime Security and Forensic using eBPF" - очень базовый доклад с примерами на Tracee в конце.
- "A Checklist for Security from the Container to the Kubernetes: An Overview End to End " - упоминание chain-bench и двух checklists: Kubernetes Security Checklist и Container Security Checklist.
- "Edit, Debug, & Secure the K8s Manifest Lifecycle: Why is it Important and How Can You Get it Right?" - про жизненный цикл YAML manifests и работа с ними с помощью утилиты monokle (обратите внимание)!
- "Building a Secure By-Design Pipeline with an Open Source Stack" - доклад про kubescape.
- "SOAR with Postee: Automated Incident Response for Cloud Native Risks" - доклад про Postee. Данный доклад можно сравнить с моим докладом про SOAR.
- "MLSecOps with Automated Online and Offline ML Model Evaluations on Kubernetes" - MLSecOps 0_o

Для тестирования доступен ТЕЛЕГРАМ-БОТ с функцией поиска уязвимостей по идентификаторам CVE и BDU, а также с возможностью подписаться на обновления БДУ; мгновенно получить топ 10 уязвимостей: по вендорам, по АСУ ТП и т.д.

Ссылка на бота:

@BDU_HELPbot