Повелитель CVEшек: кризис NVD. На сайте NVD сейчас висит баннер:

"NIST в настоящее время работает над созданием консорциума для решения проблем программы NVD и разработки улучшенных инструментов и методов. Во время этого перехода вы увидите временные задержки в анализе. Приносим извинения за неудобства и просим вас проявить терпение, пока мы работаем над улучшением программы NVD."

Фактически это привело к тому, что NVD полностью прекратили обогащать данные по CVE (CVSS, CWE, CPE). И в мировом около-VM-ном комьюнити нарастают панические настроения. Все привыкли использовать общедоступный контент NVD и относились к его обновлению как к чему-то разумеющемуся. Оказалось, что всё может прекратиться и разбираться откуда брать технические данные для каждой уязвимости придётся самим. 🤷‍♂️ Самоорганизовываться, как детишкам в "Повелителе мух" Голдинга. 🙂🐚🐷🪰

Я пока верю, что это временные трудности, которые решатся реорганизацией NVD. Но если нет, то занятно будет посмотреть к чему это приведёт. 🌝

@avleonovrus #NVD

Изучив рейтинг OWASP Top Ten, исследователи из Лаборатории Касперского решили поделиться своими соображениями по поводу распределения наиболее значимых уязвимостей через призму наработанного опыта, представив собственный рейтинг.

Для этого собрали данные из выборки проектов по анализу защищенности веб-приложений за 2021–2023 гг.

География анализируемых приложений - преимущественно Россия, Китай и страны Ближнего Востока.

Подавляющее большинство проектов (83%) было выполнено методом черного и серого ящиков, что позволило выявлять четыре из пяти (с доступом к исходному коду) наиболее распространенных типов уязвимостей.

Несмотря на то, что метод белого ящика позволяет найти больше уязвимостей в приложении, анализ методом черного и серого ящиков помогает посмотреть на приложение с точки зрения злоумышленника и выявить наиболее приоритетные для устранения уязвимости.

Теперь, подробнее по результатам.

Почти 70% всех проанализированных приложений содержали уязвимости, связанные с недостатками контроля доступа. Почти половина всех обнаруженных уязвимостей была среднего уровня риска, еще 37% — высокого. 

На втором месте - раскрытие чувствительной информации, но данная категория в отличие от первой содержит больше уязвимостей низкого уровня риска.

Популярность облачной и микросервисной архитектуры постоянно растет, что, в свою очередь, увеличивает поверхность для атак типа SSRF. Более половины приложений (57%) содержали уязвимость, которая позволяла злоумышленнику взаимодействовать с внутренними сервисами в обход логики приложения.

За 2021–2023 годы наибольшее количество проблем высокого уровня риска относились к SQL-уязвимостям, но только только 43% всех изученных веб-приложений содержали уязвимость данного типа, которые могут привести к получению конфиденциальных данных или RCE.

XSS-уязвимости, несмотря на статистику в 61%, оказались на 5 месте, поскольку в большинстве случаев данная уязвимость имела средний уровень риска.

Шестую строчку заняли уязвимости, связанные с недостатками аутентификации, из них 47% среднего уровня риска, но были и серьезные, позволявшие получить доступ к веб-приложению от имени клиента заказчика.

Чуть меньше половины приложений имело небезопасные настройки конфигурации, начиная от включенного режима отладки и до не включенной аутентификации.

Более трети всех приложений позволяли проводить атаки, направленные на подбор учетных данных.

На 9 месте с 22% - это слабые пароли, а 10-ая, но не менее важная категория распространенных уязвимостей — использование компонентов с известными ошибками.

Более подробно ознакомиться с каждой категорией и примерами можно в отчете, где помимо самих уязвимостей представлены также и конкретные рекомендации по каждой из них.

Тот редкий случай когда безопасность на первом месте =)

🌐 Во имя безопасности: выяснили, зачем российские компании внедряют SD-WAN

Около половины российских компаний с филиальной сетью планируют использовать технологию SD-WAN для повышения уровня безопасности. Среди других топ-мотиваторов внедрения — более активный переход на облачные сервисы, упрощённое управление филиальной сетью и эффективное использование ресурсов компании. Причем решение от «Лаборатории Касперского» — в числе наиболее часто внедряемых.

Более подробно об опыте российских компаний области программно-определяемых сетей можно прочитать в совместном исследовании «Лаборатории Касперского» и информационно-аналитического агентства TelecomDaily.

https://therecord.media/cyber-trust-mark-internet-of-things-devices-fcc-approval

"The Federal Communications Commission approved a voluntary cybersecurity labeling program for wireless consumer Internet of Things (IoT) products.

The program allows manufacturers to put a new “U.S Cyber Trust Mark” on devices that comply with cybersecurity standards developed by the National Institute of Standards and Technology (NIST), including what the White House described last year as “unique and strong default passwords, data protection, software updates, and incident detection capabilities.”

После следующего инцидента ИБ теперь можно говорить "Гартнер разрешил" 😉
https://www.theregister.com/2024/03/18/gartner_infosec_failure_advice/

https://blog.pcisecuritystandards.org/items-noted-for-improvement-infi-worksheet-discontinued

"After detailed discussions with community stakeholders, PCI SSC is discontinuing the Items Noted for Improvement (INFI) Worksheet, which was introduced with PCI DSS v4.0. "

Интересное интервью про то как появилась одна из самых крупных компаний в РФ по ИБ .