Если вы по какой-то причине до сих пор используете обычные базовые образы (вроде debian или ubuntu) и не переходите на distroless, то статья "The vulnerability puzzle: understanding base images and their relationship to CVEs" как раз для вас.

Статья рассматривает уязвимости базовых образов контейнеров, которые могут содержать известные CVE. Отдельное внимание уделено зависимостям, которые могут быть точками входа для атак.

Авторы предлагают меры для минимизации риска, включая использование сканеров уязвимостей и оценку их актуальности.

Всегда полезно знать мнение ведущих экспертов в твоей области. Интересный проект - цифровая книга получился.

Почему то, правда среди "пророков" не оказалось ни одного крупного заказчика или высокотехнологического бизнеса.
Только вендоры, наука, интеграторы, и про это надо помнить когда изучаешь мнения.

ФБР и CISA выпустили проект небольшого документа с худшими практиками по безопасности. Выглядит как интересная инициатива, особенно, если в финальном документе будут примеры небезопасных практик.

https://www.securityweek.com/cisa-fbi-seek-public-comment-on-software-security-bad-practices-guidance/

Пентагон опубликовал новую версию требований по ИБ для исполнитетелей по госконтрактам в виде модели зрелости по стандарту NIST 800-171 (Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations).
Первый уровень - самооценка, второй - самооценка/внешний аудит, третий - внешний аудит.
К документу приложена оценка стоимости реализации документа, с указанием примерной стоимости часов разных специалистов. Такое не часто встретишь даже в зарубежных стандартах.

https://www.scworld.com/news/pentagon-shares-new-cybersecurity-rules-for-government-contractors

Интересная антиреклама EDR в части собираемых событий. Sysmon занял место ближе к нижней части середины рейтинга.

Интересное сравнение EDR-ов, будем следить за проектом...

Но почему-то не оставляет ощущение, что приведенные события телеметрии - далеко не полный список + интересно посмотреть на то, как выглядят события, какие у них поля и как они отображаются в интерфейсе, поэтому хотелось бы увидеть что-то типа этого... но будем думать, что ребята разовьются и все исходники своего сравнения выложат куда-нибудь в Git, а мы уже сами проведем объективный с подходящей нам точки зрения анализ и сделаем выводы

#MDR

С учётом этой инициативы и этой вступающей в силу директивы https://www.europarl.europa.eu/doceo/document/TA-9-2024-0132_EN.html#noscript2

Через 3 года ситуация с ИБ в ЕС будет значительно другой.

Последняя директива вступающая в силу осенью 2026 устанавливает ответственность разработчиков за уязвимости в продуктах из за которых потребители понесли ущерб или им была недоступна часть функций продукта.

Директива в целом направлена на установление ответственности за выпуск дефективных продуктов: искуственное замедление продуктов, отсутствие механизмов обновления, нераспространения информации о негативных послещствиях обновления и т.д.

Опенсорс исключен из действия директивы

Видео с конференции по практической безопасности Великобритании
bsidesexeter. Доклады для атакующих, защищающих и расследующих подразделений.

https://m.youtube.com/@BsidesExeter/playlists

Вышел проект новой редакция стандарта NIST по переходу на более безопасные алгоритмы:
1. Отказ от режимов ECB и DSA.
2.Отказ от sha-1 и 224 битных хэш функций.
3. Обсуждение перехода на использование квантово устойчивых алгоритмов для цифровых подписей и обмена ключей.

Такие изменения давно напрашиваются, не исключено, что в финальной версии будут более жесткие рекомендации.

https://csrc.nist.gov/pubs/sp/800/131/a/r3/ipd