LibreOffice выпустила патчи для устранения трех уязвимостей

Первую уязвимость (CVE-2022-26305) разработчики охарактеризовали как некорректную валидацию сертификата при проверке подписи макросов. Благодаря ей злоумышленник может выполнить произвольный код с помощью макросов, создав сертификат с определенным серийным номером, а также со строкой эмитента, которая идентична той, что встречается в проверенном сертификате. В результате LibreOffice будет считать, что сертификат выдан проверенной организацией.
Второй баг (CVE-2022-26306), связанный со статичным вектором инициализации при шифровании, позволяет атакующему получить доступ к пользовательским настройкам и ослабить защиту устройства.
Последняя из устраненных уязвимостей (CVE-2022-26307) относится к плохо зашифрованному мастер-ключу. С ее помощью можно провести брутфорс сохраненных паролей.

Если у вас установлен пакет LibreOffice, обязательно обновите его до версий 7.2.7, 7.3.2 и 7.3.3.

Google устранил 27 уязвимостей браузера Chrome

Вышла новая версия браузера Chrome под номером 104, в которой были устранены 27 уязвимостей. Самые опасные из них получили высокую степень риска, но критических обнаружено не было. Также не упоминается о наличии рабочих эксплойтов, которые бы использовались в реальных кибератаках.

Релиз доступен для всех поддерживаемых ОС, включая мобильные устройства.

Что же такое цифровая криминалистика и реагирование на инциденты? (DFIR)
DFIR — это междисциплинарный набор задач и процессов, направленных на расследование инцидента кибербезопасности. Он сочетает в себе традиционные действия по реагированию на инциденты (планирование, моделирование инцидентов и реагирования на них, документирование ИТ-архитектуры и разработку плэйбуков) с методами цифровой криминалистики.
В то время как традиционные IR обычно содержат ограниченное количество элементов, связанных с процессами расследования, DFIR уделяет больше внимания цифровой форензике.

Что такое цифровая форензика?
Цифровая форензика — это отрасль криминалистики, охватывающая цифровые технологии. Специалисты ИБ сосредоточены на восстановлении, расследовании и изучении материалов, обнаруженных на цифровых устройствах. Конечная цель — подтвердить, была ли кибератака, каково ее влияние, причина и доказательство, свидетельствующее, что инцидент произошел, что нужно предпринять, чтобы схожих инцидентов не происходило в будущем.
Как и в любом криминалистическом расследовании, скорость имеет решающее значение, особенно если атака или компрометация продолжаются. Быстрые действия могут помочь остановить активный киберинцидент.
Активный компьютер, сеть или устройство постоянно производят данные, которые могут иметь решающее значение для расследования, даже если они простаивают. Со временем возрастает риск того, что эти данные будут удалены, перезаписаны или иным образом изменены. Многие артефакты сильно зависят от состояния компьютера сразу после инцидента. Криминалистам необходимо действовать быстро, чтобы собрать всю эту информацию до того, как она будет потеряна.

Приходите к нам на MFD 2022!

Мероприятие для всех профессионалов из индустрии информационной безопасности и сочувствующих! Спикеры подсветят тренды ИБ, инструменты для расследований корпоративных (и не только!) инцидентов, расскажут об интересных кейсах, инструментах и поделятся экспертизой. И не забываем про кулуарное общение, кучу лайфхаков и новостей с полей!

Ждем всех 15 сентября, отель «Вега Измайлово»

Ссылка и регистрация здесь:
http://events.oxygensoftware.ru/

Что такое реакция на инцидент?
Реагирование на инциденты (IR) — это набор действий, которые компания выполняет, когда они находятся в разгаре инцидента кибербезопасности. Для целей IR киберинцидент может быть определен как любое событие, которое ставит под угрозу конфиденциальность, целостность и/или доступность информации — основные принципы информационной безопасности.
Деятельность IR, как правило, основывается на плэйбуке, разработанном для максимально быстрого резервного копирования и запуска ИТ-инфраструктуры при одновременном снижении общего ущерба от инцидента. Эти платформы предназначены для поддержки усилий по восстановлению, но в более широком смысле они также помогают организациям достичь киберзрелости и профессионализма. Это может помочь усилить защиту, в первую очередь предотвращая атаки и инциденты, затрагивающие бизнес.

Почему DFIR важен для кибербезопасности?

Для компаний, у которых возник инцидент в сфере информационной безопасности, восстановление рабочих процессов является первостепенной задачей, но помимо восстановления работы важно также понять, как и почему произошел инцидент.
DFIR направлен на обеспечение более глубокого понимания картины инцидента, достигаемого с помощью всестороннего и сложного процесса расследования. Специалисты DFIR собирают и проверяют большие объемы данных, чтобы определить, кто атаковал их, как злоумышленники проникли в периметр, какие именно шаги предприняли для взлома систем и что специалисты компании могут сделать, чтобы инцидентов по схожему сценарию больше не происходило.

Эта информация также часто используется для создания судебного дела против выявленных правонарушителей. Информация собирается с использованием процесса цифровой криминалистики, который помогает следователям обнаруживать и сохранять цифровые доказательства.

Как доказать, что киберпреступник атаковал бизнес, и устранить последствия?

Для этого используется цифровая криминалистика и реагирование на инциденты (DFIR) — это специализированная область, посвященная выявлению, устранению и расследованию инцидентов кибербезопасности. Цифровая криминалистика включает в себя сбор, сохранение и анализ улик для составления полной и подробной картины событий. В то же время реагирование на инцидент обычно направлено на сдерживание, остановку и предотвращение атаки.

В сочетании цифровая криминалистика и реагирование на инциденты обеспечивают бесперебойную работу предприятия, выявляя и закрывая уязвимости в системе безопасности, а также предоставляют доказательства, необходимые для выдвижения обвинений против злоумышленников, которые нацелились на вашу компанию.

А учитывая, насколько дорогостоящей и разрушительной может быть всего одна атака, важно знать, как реагировать на инцидент кибербезопасности.

Что такое процесс расследования инцидента информационной безопасности?

Процесс расследования инцидента — это общепринятый метод, которым сотрудники службы информационной безопасности пользуются для сбора и сохранения цифровых доказательств с намерением выстроить цепочку событий. Он состоит из трех ключевых шагов.

• Сбор
На данном этапе создаются точные копии исследуемых устройств, обычно с помощью дубликатора жесткого диска или специализированных программных инструментов. Оригинальные носители защищены от несанкционированного доступа.

• Анализ
На этом этапе специалисты анализируют собранные данные, регистрируя все найденные доказательства, которые подтверждают или опровергают гипотезу. Непрерывный анализ проводится для реконструкции событий и действий во время инцидента, помогая сделать выводы о том, что произошло и какие события привели к инциденту (неправомерное использование инсайдерской информации, хакерская атака и т.д.).

• Отчет
После завершения расследования результаты и выводы, обнаруженные аналитиками, представляются в отчете, понятном нерядовому персоналу. Эти отчеты передаются тем, кто заказал расследование, и обычно попадают в руки сотрудников правоохранительных органов, отдела кадров или руководящему составу компании. Реагирование на инциденты обеспечивает бесперебойную работу предприятия, выявляя и закрывая уязвимости в системе безопасности, а также предоставляет доказательства, необходимые для выдвижения обвинений против злоумышленников, целью которых стала атака на компанию.

Учитывая, насколько дорогостоящей и разрушительной может стать даже одна атака, важно знать, как правильно реагировать на инцидент кибербезопасности.

Какие типы данных собирают аналитики в ходе расследования инцидента ИБ?
На этапе сбора информации аналитики ищут различные данные, которые помогут им в расследовании.
Образы дисков — это побитовые копии, сделанные с цифровых носителей данных, обычно жестких дисков. Иногда изображения могут быть взяты с USB-накопителей, SD-карт и т.д.
Образы памяти — оперативная память компьютера может быть записана специальным программным обеспечением, аналогично образу диска. Сбор образов (дампов) оперативной памяти крайне важен, потому что следы некоторых передовых методов, используемых злоумышленниками, невозможно обнаружить на жестких дисках.
Данные приложения — если образ диска или памяти недоступен или неактуален, сотрудники ИБ обратятся к данным приложения, включающим в себя логи хоста, сетевых устройств и программного обеспечения.

Почему цифровые доказательства важны?

Цифровые доказательства ничем не отличаются от обычных улик. Они содержат важную информацию, переданную или сохраненную на цифровом устройстве во время совершения преступления, и должны соответствовать ключевым критериям:
• достоверность — подтверждать реальные факты;
• допустимость — иметь форму, отвечающую требованиям расследования;
• логичность — демонстрировать логическую связь между доказательствами, сведениями и обстоятельствами инцидента.

Специалисты DFIR соберут эту информацию и сохранят ее в безопасном месте, чтобы предотвратить ее «загрязнение». Но это не единственные доказательства, которые они собирают.
Также оценке и проработке подлежат:

Аналогичные доказательства — сопоставимые инциденты или события, которые могут иметь отношение к пониманию рассматриваемого дела.

Свидетельства, построенные на отдельных наблюдениях, — истории и отчеты третьих сторон, которые могут поддержать гипотезу при анализе инцидента. Неподтвержденные доказательства неприемлемы в суде, но могут быть полезны в ходе расследования инцидента.

Косвенные доказательства — тип аргументов на основе ряда фактов. Также могут пониматься как гипотеза, основанная на известной информации, либо быть полезными при расследовании.

Личностные свидетельства — показания отдельных экспертов, которые могут помочь доказать намерение, мотив и возможность злоумышленников.

Как хранить цифровые улики?

Теоретически сбор цифровых улик и доказательств должен быть таким же простым, как извлечение жесткого диска, зараженного программой-вымогателем. Но на практике все не так просто.

Некоторые типы цифровых доказательств считаются изменчивыми или непостоянными, поскольку данные доступны только тогда, когда устройство подключено к сети или к источнику питания. Между тем, энергонезависимые цифровые доказательства постоянно хранятся в памяти. Это могут быть данные во флэш-памяти или даже на компакт-диске. Во многих случаях сотрудники ИБ не могут и не будут отключать устройства, чтобы сохранить цифровые доказательства.
Из-за этих особенностей DFIR-специалисты обычно начинают с дублирования жесткого диска с помощью создания его образа — процесса, который создает точную побитовую копию диска, подвергшегося атаке или участвовавшего в инциденте. Как правило, при проведении расследования аналитики будут работать исключительно с этим образом. Это позволяет им исследовать и проверять гипотезы на диске, не затрагивая фактические улики.
Процесс создания образа также генерирует криптографические хеш-значения, которые используются для дальнейшей проверки подлинности образа диска. По возможности собранные доказательства будут храниться в безопасном месте, где их можно сохранить с дополнительной физической защитой и гарантией, что ни один элемент не будет скомпрометирован, и получить к ним доступ позже.

Какой опыт и навыки необходимы для DFIR?

DFIR — это междисциплинарная сфера, которая сочетает в себе навыки межличностного общения и специальных технических знаний. Члены команды DFIR, как правило, обладают уникальным сочетанием навыков, качеств и опыта.

Экспертиза файловой системы — понимание того, как применять основы цифровой криминалистики с помощью программных агентов для анализа файловых систем, включая удаленные данные.

Экспертиза памяти — возможность анализировать изменчивые формы доказательств, такие как оперативная память, на наличие признаков компрометации чрезвычайно полезна, особенно для определенных вариантов вредоносного ПО, которые невозможно обнаружить на диске.

Сетевая экспертиза — понимание того, как анализировать сетевую активность, остается очень полезным навыком в мире форензики.

Сортировка вредоносных программ — реверс-инжиниринг вредоносного ПО может помочь командам DFIR выявить конкретные штаммы и эффективнее устранить ущерб, причиняемый атаками.

Анализ логов — часто автоматизируется для экономии времени, но остается очень ценным навыком для обнаружения аномальной активности в системе.

Разработка программного обеспечения — глубокое понимание разработки программного обеспечения может помочь DFIR-командам лучше понять, что они защищают.

Умение программировать и писать плейбуки — может изменить правила игры.

Коммуникация — хорошая коммуникация является жизненно важным компонентом реагирования на инциденты, будь то с членами команды, пострадавшими организациями или руководством.

Работа в команде — команды DFIR никогда не работают в одиночку. Реагирование на инциденты — это ситуация с высоким уровнем стресса, которая требует от членов команды понимания того, как делегировать задачи друг другу и координировать свои усилия для достижения общей цели.

Аналитическое мышление — возможность собирать информацию, оспаривать собственные предположения и проверять гипотезы может помочь командам прийти к более верным выводам. Это сложный навык для развития, но он чрезвычайно ценен для DFIR.

Это длинный список навыков и областей знаний, и организациям может быть трудно найти квалифицированных специалистов с соответствующим опытом. Многие компании обращаются к внешним консультантам или сторонним поставщикам для удовлетворения своих потребностей в цифровой криминалистике и реагировании на инциденты.