Вышла финальная вторая версия американского фреймворка по ИБ NIST CSF 2.0.
Рекомендуется к ознакомлению как один из самых прогрессивных.
https://www.nist.gov/blogs/cybersecurity-insights/travel-update-nist-csf-20-herealong-many-helpful-resources
Рекомендуется к ознакомлению как один из самых прогрессивных.
https://www.nist.gov/blogs/cybersecurity-insights/travel-update-nist-csf-20-herealong-many-helpful-resources
NIST
Travel Update! The NIST CSF 2.0 is HERE…Along with Many Helpful Resources…
NIST CSF 2.0 QUICK LINKS | Explore our Full Suite of Resources
👍2
https://www.techrepublic.com/article/crowdstrike-2024-global-threat-report/
CrowdStrike 2024 Global Threat Report: 6 Key Takeaways
Highlights from CrowdStrike’s 2024 report:
Identity-based and social engineering attacks still take center stage.
Cloud-environment intrusions have increased by 75% from 2022 to 2023.
Third-party relationships exploitation makes it easier for attackers to hit hundreds of targets.
CrowdStrike added 34 new threat actors in 2023.
Attackers are compromising networks at a faster rate.
Attackers are targeting periphery networks.
CrowdStrike 2024 Global Threat Report: 6 Key Takeaways
Highlights from CrowdStrike’s 2024 report:
Identity-based and social engineering attacks still take center stage.
Cloud-environment intrusions have increased by 75% from 2022 to 2023.
Third-party relationships exploitation makes it easier for attackers to hit hundreds of targets.
CrowdStrike added 34 new threat actors in 2023.
Attackers are compromising networks at a faster rate.
Attackers are targeting periphery networks.
TechRepublic
CrowdStrike 2024 Global Threat Report: 6 Key Takeaways
Identity-based and social engineering attacks still take center stage, according to the CrowdStrike 2024 Global Threat Report.
👍1
NIST has published the final version of Internal Report (IR) 8472, Non-Fungible Token Security.
https://csrc.nist.gov/pubs/ir/8472/final
https://csrc.nist.gov/pubs/ir/8472/final
CSRC | NIST
NIST Internal or Interagency Report (NISTIR) 8472, Non-Fungible Token Security
Non-fungible token (NFT) technology provides a mechanism to enable real assets (both virtual and physical) to be sold and exchanged on a blockchain. While NFTs are most often used for autographing digital assets (associating one’s name with a digital object)…
Запись семинара NIST по защите данных и приватности с субтитрами.
https://www.nccoe.nist.gov/get-involved/attend-events/cybersecurity-connections-event-and-networking-lunch-data-security-and/post-event-materials
https://www.nccoe.nist.gov/get-involved/attend-events/cybersecurity-connections-event-and-networking-lunch-data-security-and/post-event-materials
NCCoE
Cybersecurity Connections Event and Networking Lunch: Data Security and Privacy | NCCoE
В США стоимость ущерба от мошенничества с криптовалютами за год превысила ущерб от фишинга (BEC -business email compromise ).
https://www.scmagazine.com/news/fbi-cybercrime-cost-americans-over-12-5b-in-2023
https://www.scmagazine.com/news/fbi-cybercrime-cost-americans-over-12-5b-in-2023
SC Media
FBI: Cybercrime cost Americans over $12.5B in 2023
Reported losses suffered by U.S. victims of ransomware attacks jumped 74% last year, according to the agency’s latest IC3 annual report.
"PCI SSC is planning a revision to the currently published version of the Secure Software Standard v1.2.1 and its supporting Program documentation. The PCI Secure Software Standard is one of two standards in the PCI Software Security Framework (SSF)"
https://blog.pcisecuritystandards.org/request-for-comments-pci-secure-software-standard-v1-2-1
https://blog.pcisecuritystandards.org/request-for-comments-pci-secure-software-standard-v1-2-1
blog.pcisecuritystandards.org
Request for Comments: PCI Secure Software Standard v1.2.1
From 11 March to 11 April, eligible PCI SSC stakeholders are invited to review and provide feedback on the currently published version of the PCI Secure Software Standard during a 30-day request for comments (RFC) period.
Forwarded from DevSecOps Talks
Поиск секретов… в видео!
Всем привет!
Нет, это не совсем обычный пост про yet another Secret Finding решение, работающее с исходными кодами.
В этот раз все немного интереснее – поиск секретов в видеоматериалах! Например, кто-то записывал вебинар или инструкцию об использовании продукта и случайно «засветил» важную информацию. Как ее быстро найти?
Примерно для таких случаев команда GitLab разработала собственное решение(которое выложила в open source) , анализирующая видео с YouTube!
Работает по следующему принципу:
🍭 Разбитие видео на frames
🍭 Использованием Optical Character Recognition (OCR) для каждого frame
🍭 Анализ полученного текста с использованием известных Secret Patterns
Больше деталей, например, о том какие технологии используются «внутри», какова архитектура, как и почему команда GitLab их выбрала, какие из них дают лучший frame rate analysis – обо всем этом можно узнать в статье. Интересно и необычно, рекомендуем!
P.S. Кроме того в статье можно найти информацию об особенностях распознавании секретов в видеоматериалах (пусть и «расшифрованных») в сравнении с анализом исходных кодов
Всем привет!
Нет, это не совсем обычный пост про yet another Secret Finding решение, работающее с исходными кодами.
В этот раз все немного интереснее – поиск секретов в видеоматериалах! Например, кто-то записывал вебинар или инструкцию об использовании продукта и случайно «засветил» важную информацию. Как ее быстро найти?
Примерно для таких случаев команда GitLab разработала собственное решение
Работает по следующему принципу:
🍭 Разбитие видео на frames
🍭 Использованием Optical Character Recognition (OCR) для каждого frame
🍭 Анализ полученного текста с использованием известных Secret Patterns
Больше деталей, например, о том какие технологии используются «внутри», какова архитектура, как и почему команда GitLab их выбрала, какие из них дают лучший frame rate analysis – обо всем этом можно узнать в статье. Интересно и необычно, рекомендуем!
P.S. Кроме того в статье можно найти информацию об особенностях распознавании секретов в видеоматериалах (пусть и «расшифрованных») в сравнении с анализом исходных кодов
Forwarded from SecAtor
Исследователи из Лаборатории Касперского представили аналитику по итогам 2023 года в отношении спама и фишинга.
Статистические показатели не радуют: 45,60% писем по всему миру и 46,59% писем в Рунете были спамом, причем 31,45% всех спамовых писем были отправлены из России.
По телеметрии показатели также растут: решения ЛК заблокировали 135 980 457 вредоносных почтовых вложений и 709 590 011 попыток перехода по фишинговым ссылкам, включая более 62 тысяч в Telegram.
Киберпреступники чаще всего таргетировали фишинг на геймеров под видом рассылки выгодных предложений, приглашений к тестированию новых версий игр и участию в сделках с внутриигровыми ценностями.
Традиционно задействовалась схема со льготами и компенсациями, особенно по части налогов. Для этого дизайн сайтов, предлагающих компенсации, в деталях соответствовал реальным ресурсам налоговых органов США, Великобритании, Сингапура, Франции и других стран.
Скамеры в 2023 году заманивали жертв не только деньгами. Так, была придумана довольно оригинальная схема, где пользователей приглашали поучаствовать в лотерее, чтобы выиграть визу для иммиграции в другую страну ради работы или учебы.
Помимо выплат и лотерей, в 2023 году мошенники распространяли предложения быстрого заработка: задания, опросы и тп.
Но самым прибыльным для киберподполья в 2023 году являлся фишинг, направленный на кражу учетных данных криптокошельков. Для этого хакеры имитировали новый проект CryptoGPT (с мая 2023 года — LayerAI), а также криптовалютную биржу CommEX.
Криптовалюту в качестве приманки использовали и скам-ресурсы, заманивая предложениями заработка через «чудесный» скрипт.
Примечательно, что в 2023 году киберпреступники также расширили свой арсенал приманок. Например, попался сайт, имитирующий электронную книгу о пенсионной реформе, для ознакомления с которой нужно было зарегистрироваться и оформить бесплатную подписку, привязав к аккаунту банковскую карту.
Значительная доля фишинговых атак в 2023 году приходилась на социальные сети и мессенджеры. В русскоязычном сегменте стала популярной тема голосования за участников онлайн-конкурсов, благодаря которой злоумышленники получали доступ к аккаунту WhatsApp жертвы.
Учитывая рост популярности Telegram 2023 году злоумышленники придумали тонну приманок для пользователей мессенджера. Не обошлось без ИИ и QR, которые, можно сказать, стали одними из главных трендов в сфере фишинга и сама.
Не обошлось в 2023 году и без писем от вымогателей. Например, в декабре фиксировалась рассылка, в которой злоумышленники угрожали разослать близким получателя видео интимного характера, якобы снятое в результате взлома устройства.
Для распространения вредоносных файлов мошенники в 2023 году продолжили маскировать свои рассылки под письма от государственных органов.
На самом деле, отчет получился достаточно объемный и содержательный, всего не перескажешь, особенно массу примеров и инфографики. Так что настоятельно рекомендуем.
Статистические показатели не радуют: 45,60% писем по всему миру и 46,59% писем в Рунете были спамом, причем 31,45% всех спамовых писем были отправлены из России.
По телеметрии показатели также растут: решения ЛК заблокировали 135 980 457 вредоносных почтовых вложений и 709 590 011 попыток перехода по фишинговым ссылкам, включая более 62 тысяч в Telegram.
Киберпреступники чаще всего таргетировали фишинг на геймеров под видом рассылки выгодных предложений, приглашений к тестированию новых версий игр и участию в сделках с внутриигровыми ценностями.
Традиционно задействовалась схема со льготами и компенсациями, особенно по части налогов. Для этого дизайн сайтов, предлагающих компенсации, в деталях соответствовал реальным ресурсам налоговых органов США, Великобритании, Сингапура, Франции и других стран.
Скамеры в 2023 году заманивали жертв не только деньгами. Так, была придумана довольно оригинальная схема, где пользователей приглашали поучаствовать в лотерее, чтобы выиграть визу для иммиграции в другую страну ради работы или учебы.
Помимо выплат и лотерей, в 2023 году мошенники распространяли предложения быстрого заработка: задания, опросы и тп.
Но самым прибыльным для киберподполья в 2023 году являлся фишинг, направленный на кражу учетных данных криптокошельков. Для этого хакеры имитировали новый проект CryptoGPT (с мая 2023 года — LayerAI), а также криптовалютную биржу CommEX.
Криптовалюту в качестве приманки использовали и скам-ресурсы, заманивая предложениями заработка через «чудесный» скрипт.
Примечательно, что в 2023 году киберпреступники также расширили свой арсенал приманок. Например, попался сайт, имитирующий электронную книгу о пенсионной реформе, для ознакомления с которой нужно было зарегистрироваться и оформить бесплатную подписку, привязав к аккаунту банковскую карту.
Значительная доля фишинговых атак в 2023 году приходилась на социальные сети и мессенджеры. В русскоязычном сегменте стала популярной тема голосования за участников онлайн-конкурсов, благодаря которой злоумышленники получали доступ к аккаунту WhatsApp жертвы.
Учитывая рост популярности Telegram 2023 году злоумышленники придумали тонну приманок для пользователей мессенджера. Не обошлось без ИИ и QR, которые, можно сказать, стали одними из главных трендов в сфере фишинга и сама.
Не обошлось в 2023 году и без писем от вымогателей. Например, в декабре фиксировалась рассылка, в которой злоумышленники угрожали разослать близким получателя видео интимного характера, якобы снятое в результате взлома устройства.
Для распространения вредоносных файлов мошенники в 2023 году продолжили маскировать свои рассылки под письма от государственных органов.
На самом деле, отчет получился достаточно объемный и содержательный, всего не перескажешь, особенно массу примеров и инфографики. Так что настоятельно рекомендуем.
Securelist
Отчет «Лаборатории Касперского» по спаму и фишингу за 2023 год
Отчет содержит статистику по спаму и фишингу за 2023 год, а также описывает основные тренды: искусственный интеллект, фишинг в мессенджерах, многоязычные BEC-атаки и др.
Linux foundation выпустила open source антифрод под одной из самых мягких лицензий - apache 2.0.
https://www.linuxfoundation.org/press/linux-foundation-launches-tazama-for-real-time-fraud-management?
https://www.linuxfoundation.org/press/linux-foundation-launches-tazama-for-real-time-fraud-management?
www.linuxfoundation.org
Linux Foundation Launches Tazama: A Revolutionary Open Source Solution for Real-Time Fraud Management
Tazama is the first open source platform for financial monitoring and fraud detection.
Forwarded from Privacy Advocates
🌐Международной организацией по стандартизации (International Organization for Standardization) был опубликован стандарт 29100:2024 «Информационная технология. Методы и средства обеспечения безопасности. Концепция защиты персональных данных» (Information technology - Security techniques - Privacy framework). В стандарте сформулированы принципы и меры по защите неприкосновенности частной жизни.
🔸В России адаптирована как ГОСТ Р ИСО/МЭК 29100-2021 «Информационная технология. Методы и средства обеспечения безопасности. Основы обеспечения приватности» предыдущая версия этого стандарта от 2018г.
🔸В России адаптирована как ГОСТ Р ИСО/МЭК 29100-2021 «Информационная технология. Методы и средства обеспечения безопасности. Основы обеспечения приватности» предыдущая версия этого стандарта от 2018г.
ISO
ISO/IEC 29100:2024
Information technology — Security techniques — Privacy framework
👍1
https://www.infosecurity-magazine.com/news/nsa-top-10-cloud-security/
"The top 10 cloud security mitigation strategies are:
1.Uphold the Cloud Shared Responsibility Model
2.Use Secure Cloud Identity and Access Management Practices.
3.Use Secure Cloud Key Management Practices.
4.Implement Network Segmentation and Encryption in Cloud Environments.
5.Secure Data in the Cloud.
6.Defending Continuous Integration/Continuous Delivery (CI/CD) Environments.
7.Enforce Secure Automated Deployment Practices through Infrastructure as Code.
8.Account for Complexities Introduced by Hybrid Cloud and Multi-Cloud Environments.
9.Mitigate Risks from Managed Service Providers in Cloud Environments.
10.Manage Cloud Logs for Effective Threat Hunting.
Each strategy comes with an additional cybersecurity information sheet detailing how to implement it."
"The top 10 cloud security mitigation strategies are:
1.Uphold the Cloud Shared Responsibility Model
2.Use Secure Cloud Identity and Access Management Practices.
3.Use Secure Cloud Key Management Practices.
4.Implement Network Segmentation and Encryption in Cloud Environments.
5.Secure Data in the Cloud.
6.Defending Continuous Integration/Continuous Delivery (CI/CD) Environments.
7.Enforce Secure Automated Deployment Practices through Infrastructure as Code.
8.Account for Complexities Introduced by Hybrid Cloud and Multi-Cloud Environments.
9.Mitigate Risks from Managed Service Providers in Cloud Environments.
10.Manage Cloud Logs for Effective Threat Hunting.
Each strategy comes with an additional cybersecurity information sheet detailing how to implement it."
Infosecurity Magazine
NSA Launches Top 10 Cloud Security Mitigation Strategies
The advisory is associated with ten companion cybersecurity information sheets detailing how to implement each strategy
Forwarded from Управление Уязвимостями и прочее
Повелитель CVEшек: кризис NVD. На сайте NVD сейчас висит баннер:
"NIST в настоящее время работает над созданием консорциума для решения проблем программы NVD и разработки улучшенных инструментов и методов. Во время этого перехода вы увидите временные задержки в анализе. Приносим извинения за неудобства и просим вас проявить терпение, пока мы работаем над улучшением программы NVD."
Фактически это привело к тому, что NVD полностью прекратили обогащать данные по CVE (CVSS, CWE, CPE). И в мировом около-VM-ном комьюнити нарастают панические настроения. Все привыкли использовать общедоступный контент NVD и относились к его обновлению как к чему-то разумеющемуся. Оказалось, что всё может прекратиться и разбираться откуда брать технические данные для каждой уязвимости придётся самим. 🤷♂️ Самоорганизовываться, как детишкам в "Повелителе мух" Голдинга. 🙂🐚🐷🪰
Я пока верю, что это временные трудности, которые решатся реорганизацией NVD. Но если нет, то занятно будет посмотреть к чему это приведёт. 🌝
@avleonovrus #NVD
"NIST в настоящее время работает над созданием консорциума для решения проблем программы NVD и разработки улучшенных инструментов и методов. Во время этого перехода вы увидите временные задержки в анализе. Приносим извинения за неудобства и просим вас проявить терпение, пока мы работаем над улучшением программы NVD."
Фактически это привело к тому, что NVD полностью прекратили обогащать данные по CVE (CVSS, CWE, CPE). И в мировом около-VM-ном комьюнити нарастают панические настроения. Все привыкли использовать общедоступный контент NVD и относились к его обновлению как к чему-то разумеющемуся. Оказалось, что всё может прекратиться и разбираться откуда брать технические данные для каждой уязвимости придётся самим. 🤷♂️ Самоорганизовываться, как детишкам в "Повелителе мух" Голдинга. 🙂🐚🐷🪰
Я пока верю, что это временные трудности, которые решатся реорганизацией NVD. Но если нет, то занятно будет посмотреть к чему это приведёт. 🌝
@avleonovrus #NVD