Всегда полезно знать мнение ведущих экспертов в твоей области. Интересный проект - цифровая книга получился.

Почему то, правда среди "пророков" не оказалось ни одного крупного заказчика или высокотехнологического бизнеса.
Только вендоры, наука, интеграторы, и про это надо помнить когда изучаешь мнения.

ФБР и CISA выпустили проект небольшого документа с худшими практиками по безопасности. Выглядит как интересная инициатива, особенно, если в финальном документе будут примеры небезопасных практик.

https://www.securityweek.com/cisa-fbi-seek-public-comment-on-software-security-bad-practices-guidance/

Пентагон опубликовал новую версию требований по ИБ для исполнитетелей по госконтрактам в виде модели зрелости по стандарту NIST 800-171 (Protecting Controlled Unclassified Information in Nonfederal Systems and Organizations).
Первый уровень - самооценка, второй - самооценка/внешний аудит, третий - внешний аудит.
К документу приложена оценка стоимости реализации документа, с указанием примерной стоимости часов разных специалистов. Такое не часто встретишь даже в зарубежных стандартах.

https://www.scworld.com/news/pentagon-shares-new-cybersecurity-rules-for-government-contractors

Интересная антиреклама EDR в части собираемых событий. Sysmon занял место ближе к нижней части середины рейтинга.

Интересное сравнение EDR-ов, будем следить за проектом...

Но почему-то не оставляет ощущение, что приведенные события телеметрии - далеко не полный список + интересно посмотреть на то, как выглядят события, какие у них поля и как они отображаются в интерфейсе, поэтому хотелось бы увидеть что-то типа этого... но будем думать, что ребята разовьются и все исходники своего сравнения выложат куда-нибудь в Git, а мы уже сами проведем объективный с подходящей нам точки зрения анализ и сделаем выводы

#MDR

С учётом этой инициативы и этой вступающей в силу директивы https://www.europarl.europa.eu/doceo/document/TA-9-2024-0132_EN.html#noscript2

Через 3 года ситуация с ИБ в ЕС будет значительно другой.

Последняя директива вступающая в силу осенью 2026 устанавливает ответственность разработчиков за уязвимости в продуктах из за которых потребители понесли ущерб или им была недоступна часть функций продукта.

Директива в целом направлена на установление ответственности за выпуск дефективных продуктов: искуственное замедление продуктов, отсутствие механизмов обновления, нераспространения информации о негативных послещствиях обновления и т.д.

Опенсорс исключен из действия директивы

Видео с конференции по практической безопасности Великобритании
bsidesexeter. Доклады для атакующих, защищающих и расследующих подразделений.

https://m.youtube.com/@BsidesExeter/playlists

Вышел проект новой редакция стандарта NIST по переходу на более безопасные алгоритмы:
1. Отказ от режимов ECB и DSA.
2.Отказ от sha-1 и 224 битных хэш функций.
3. Обсуждение перехода на использование квантово устойчивых алгоритмов для цифровых подписей и обмена ключей.

Такие изменения давно напрашиваются, не исключено, что в финальной версии будут более жесткие рекомендации.

https://csrc.nist.gov/pubs/sp/800/131/a/r3/ipd