В Лаборатории Касперского решили немного иначе взглянуть на резонансный инцидент с XZ Utils, на этот раз - через объектив видеокамеры, открывая тем самым новый интерактивный формат для исследований угроз.

Разыграть социнженерную драму в лицах экспертам Kaspersky GReAT определенно удалось и, следуя названию видео, можно констатировать, что получился действительно «нескучный разбор инцидента с XZ Utils».

В общем, смотрите сами: Youtube, RuTube, VK. Мы уже.

Куберов безопасности день!

Мой коллега, Сергей Канибор (R&D Luntry, @useful_security и сооавтор канала @k8security) сходил на подкаст, где ведущим был Лёша Федулаев (руководитель направления Cloud Native Security, MTC Web Services, @ever_secure). Так же гостем подкаста был Вадим Шелест (руководитель группы анализа защищенности Wildberries, @purple_medved).

Кто и зачем ломает контейнеры? Разбираемся в пентесте K8s — в подкасте [SafeCode Live]

Сломали вебчик, а что дальше? Мы оказываемся в контейнере внутри K8s. Что злоумышленник может сделать дальше и может ли вообще что-либо сделать? Об этом мы узнаем в новом выпуске подкаста. А гости расскажут крутые истории из практики.

Поговорим про: 
— отличия пентеста контейнеров от пентеста веба и инфраструктуры; 
— компетенции специалиста, который этим занимается;
— уязвимости и способы защитить контейнеры.

https://news.1rj.ru/str/safecode_channel/74

Слушать и смотреть можно тут

https://www.youtube.com/watch?v=PfxP0hKy7zU
https://podcasts.apple.com/us/podcast/safecode-live/id1705272703
https://music.yandex.ru/album/28211808
https://vk.com/podcasts-222298328

Passkey получают поддержку от Альянса FIDO в виде 2 поддерживающих проектов :

1. "The Credential Exchange Protocol (CXP). CXP "aims to standardize the technical process for securely transferring [passkeys] between platforms," avoiding the risk of "user lock-in" and the unsecure migration process of exporting credentials from a conventional password manager"

2." Passkey Central, a website offering an implementation guide and set of informational resources and tools for supporting and facilitating passkey adoption "


https://www.wired.com/story/passkey-portability-fido-alliance/

https://www.passkeycentral.org/home

Отчет от SOC специализирующегося на защите морского транспорта. На вскидку какой либо специфики не увидел.
https://marlink.com/news/news-resources/marlink-security-operations-centre-report-shows-continued-evolution-of-maritime-cyber-threats/

Интресный опрос 500 CISO. С корректным описанием выборки. Жаль только, что статистики по расходам нет никаких.

https://www.trellix.com/solutions/mind-of-the-ciso-crossroads/

Если вы по какой-то причине до сих пор используете обычные базовые образы (вроде debian или ubuntu) и не переходите на distroless, то статья "The vulnerability puzzle: understanding base images and their relationship to CVEs" как раз для вас.

Статья рассматривает уязвимости базовых образов контейнеров, которые могут содержать известные CVE. Отдельное внимание уделено зависимостям, которые могут быть точками входа для атак.

Авторы предлагают меры для минимизации риска, включая использование сканеров уязвимостей и оценку их актуальности.

Всегда полезно знать мнение ведущих экспертов в твоей области. Интересный проект - цифровая книга получился.

Почему то, правда среди "пророков" не оказалось ни одного крупного заказчика или высокотехнологического бизнеса.
Только вендоры, наука, интеграторы, и про это надо помнить когда изучаешь мнения.

ФБР и CISA выпустили проект небольшого документа с худшими практиками по безопасности. Выглядит как интересная инициатива, особенно, если в финальном документе будут примеры небезопасных практик.

https://www.securityweek.com/cisa-fbi-seek-public-comment-on-software-security-bad-practices-guidance/

Пентагон опубликовал новую версию требований по ИБ для исполнитетелей по госконтрактам в виде модели зрелости по стандарту NIST 800-171 (Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations).
Первый уровень - самооценка, второй - самооценка/внешний аудит, третий - внешний аудит.
К документу приложена оценка стоимости реализации документа, с указанием примерной стоимости часов разных специалистов. Такое не часто встретишь даже в зарубежных стандартах.

https://www.scworld.com/news/pentagon-shares-new-cybersecurity-rules-for-government-contractors