Сегодня хочу со всеми поделиться записью выступления и слайдами со своего доклада "Сочетание несочетаемого в Kubernetes: удобство, производительность, безопасность" c HighLoad++ 2022 Msk.

Буду рад ответить на любые вопросы ;)

Гигант виртуализации VMware во вторник выпустила срочные обновления для исправления трех проблем безопасности.

Одна из них включает ошибку выхода из виртуальной машины, продемонстрированную на хакерском конкурсе GeekPwn 2022, проводимом китайской Tencent Keen Security Lab.

Уязвимость VM escape, задокументированная как CVE-2022-31705, использовалась исследователем Ant Security Юхао Цзяном в системах, на которых установлены полностью исправленные продукты VMware Fusion, ESXi и Workstation.

VMware описала ошибку как уязвимость записи за пределы кучи в контроллере USB 2.0 (EHCI). Эксплойт получил главный приз на Geekpwn.

Согласно бюллетеню, VMWare присвоила ей рейтинг CVSS 9,3 и предупредила, что злоумышленник с локальными административными привилегиями на виртуальной машине может использовать эту проблему для выполнения кода.

На ESXi эксплуатация содержится в песочнице VMX, тогда как на Workstation и Fusion это может привести к RCE на машине, где установлена Workstation или Fusion.

Компания выпустила исправления, охватывающие пару ошибок внедрения команд и обхода каталогов, затрагивающих VMware vRealize Network Insight (vRNI).

Уязвимость в vRNI REST API также оценивается VMware как критическая с максимальной базовой оценкой CVSSv3 9,8, поскольку злоумышленник, имеющий сетевой доступ к vRNI REST API, может выполнять команды без аутентификации.

Друзья!
Мы рады объявить старт регистраций на XVI CISO-FORUM 2023. Главный девиз 23 года: МОБИЛИЗУЙСЯ! Темы для обсуждения в этот раз:
✅ NEW ARRIVALS: что ждать CISO сегодня? Какие взлеты и падения предстоят сегодня?

✅ АНТИПЛЕНАРКА: Информационная безопасность в условиях нехватки людских ресурсов. Где и что болит?

✅ ИНТЕРВЬЮ НА СЦЕНЕ: доступно о недопустимом. Недопустимые события в сфере кибербезопасности.

✅ БЛИЦ. От и до: оборотные штрафы за утечку персданных.

✅ ПРЕВЬЮ. NGFW: Кто из вендоров NGFWнестей? Отличительные особенности хорошего NGFW

✅ НАДЕЖДА И ОПОРА. К чему нас приведет доминирование отечественного софта и железа? И многое другое.

Обещаем лучших спикеров и кейсы, мастер-классы и теплую атмосферу нетворкинга.

📅14 апреля 2023 года
📌 Холидей Инн Сокольники

Регистрируйтесь на форум сами и зовите коллег.

Я уже писал про участие в семинаре Gartner, где они представляли свои прогнозы по ИБ на 2023+ годы, но забыл написать про них. И так, 8 тенденций:
📌 рост влияния темы приватности
📌 консолидация сервисов по защите web и периметра в единой платформе
📌 проекты Zero Trust будут терпеть часто неудачу
📌 при взаимодействии с третьими лицами ИБ будет выходить на первый план (тут и защитв от атак на цепочку поставок, и взаимоотношения с поставщиками и т.п.)
📌 принятие нормативки по борьбе с шифровальщиками
📌 атаки на АСУ ТП
📌 киберустойчивость войдет в повестку большинства гендиректоров
📌 многие компании создатут комитеты по ИБ (или замгендиров по ИБ), а также включат в систему оценку руководителей вопросы кибербеза

https://csrc.nist.gov/news/2022/aes-draft-fips-197-update-available-for-comment

Начат процесс правок в стандарт шифрования AES.

Интересное исследование рынка труда США с оценкой какие направления профессий наиболее востребованы в свете изменений технологий.

В том числе показано место ИБ. Из 4 наиболее перспективных направлений ИБ упомянуто только в облачных вычислениях, но целых 2 раза.