вторник, 13 августа 2019 г.

Дайджест новостей по ИБ за 01 – 12 августа 2019г.


Блоги:
Алексей Лукацкий описал пять уровней зрелости оценки ущерба от DDoS-атак на сайт организации; прокомментировал новые нормативные акты по ИБ для финансовых организаций.

Андрей Прозоров рассказал об основных положениях европейских рекомендаций по защите ПДн при использовании систем видеонаблюдения; поделился таблицей с примерами штрафов по GDPR.

Статьи:

Сложности применения технологий OCR в DLP-системах.

Криптографические атаки: объяснение для смятённых умов.

Как сократить число уязвимостей при разработке приложений.

Генерируем одноразовые пароли для 2FA в JS с помощью Web Crypto API.


Microsoft отключила VBScript в Internet Explorer 11 по умолчанию (англ.).

Начало работы с ATT&CK: самооценка и проектирование (англ.).


Законодательство:
Типовые нарушения в области персональных данных. Вопросы взаимодействия с операторами при проведении проверок. Источник: Роскомнадзор.

Меры административного воздействия, принятые Роскомнадзором в первом полугодии 2019 года, в отношении операторов, чьи действия были обжалованы субъектами персональных данных. Источник: Роскомнадзор.

Федеральный закон от 2 августа 2019 г. N 264-ФЗ "О внесении изменений в Федеральный закон "О национальной платежной системе" и Федеральный закон "О Центральном банке Российской Федерации (Банке России)". Закон устанавливает для операторов электронных денег и платежной инфраструктуры требования, аналогичные действующим для платежных систем.

пятница, 2 августа 2019 г.

Дайджест новостей по ИБ за 08 июля — 01 августа 2019г.

Блоги:
Алексей Лукацкий привел пример модели зрелости бизнес-взгляда к ИБ для подразделения по работе с персоналом (HR); выделил несколько функциональных блоков, которые должны реализовываться в рамках корпоративной ИБ; составил ряд вопросов, на которые нужно ответить прежде чем использовать аутсорсинговый SOC.

Получение информации о хостах и установленном ПО с помощью Kaspersky Security Center 11 API (англ.).

Статьи:

Судебная практика: разоблачение завербованного агента ФСБ.



Top 12 API для обеспечения кибербезопасности (англ.).

Управление Windows Updates с помощью ABC-Update (англ.).

Защита учетных данных с помощью Credential Guard и HVCI (англ.).

Учетные записи пользователей как индикаторы компрометации (англ.).



Причины, по которым генеральные директора (CEO) могут быть уволены за нарушение кибербезопасности.



Структура MITRE’s ATT&CK: от таксономии к антологии (англ.).

Требования по обеспечению информационной безопасности от Microsoft для партнеров, участвующих в программе Cloud Solution Provider, Control Panel Vendors и консультантов (англ.).

Журналы:
Вопросы кибербезопасности № 2 (30), № 3 (31) Спецвыпуск, № 4 (32).

Документы:
OUCH! Виртуальные частные сети (VPN) – июльский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

CIS Controls Microsoft Windows 10 Cyber Hygiene Guide - пошаговое руководство по настройкам безопасности Windows 10. Источник: CIS.

Методические рекомендации по категорированию объектов критической информационной инфраструктуры, принадлежащих субъектам критической информационной инфраструктуры, функционирующим в сфере связи". Источник: Ассоциация     документальной электросвязи.

Законодательство:
План проведения плановых проверок юридических лиц и индивидуальных предпринимателей по вопросам экспортного контроля на 2019 год. Источник: ФСТЭК.

Приказ Федеральной службы безопасности Российской Федерации от 19.06.2019 № 281 "Об утверждении Порядка, технических условий установки и эксплуатации средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, за исключением средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры Российской Федерации" (см. комментарии Алексея Лукацкого).

Приказ Федеральной службы безопасности Российской Федерации от 19.06.2019 № 282 "Об утверждении Порядка информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры Российской Федерации" (см. комментарии Алексея Лукацкого)

Соответствие Astra Linux Special Edition требованиям приказа ФСТЭК России № 17 и приказа ФСТЭК России № 239.

Программное обеспечение/сервисы:
amass - инструмент для сбора информации.

Atomic Threat Coverage — фреймворк, основанный на методологии предвидения ИБ-угроз, обнаружения и реагирования на них (видео с PHD 9, wiki, ATC Analytics Dashboard (demo:password) ) ).

SSL Configuration Generator - генератор SSL-настроек для веб-серверов.

Kali Linux для Raspberry Pi 4 и в облачном провайдере DigitalOcean - дистрибутив для проведения тестирований на проникновение и аудитов ИБ.

Wireless Passwords From Airports And Lounges Around The World - Wi-Fi-пароли в аэропортах и залах ожиданий.

Аналитика:
State of Application Security at S&P Global World's 100 Largest Banks - результаты оценки защищенности веб-ресурсов и мобильных приложений 100 крупнейших мировых банков. Источник: ImmuniWeb.


Мероприятия:
27.08.2019, 24.09.2019 Управление Роскомнадзора по Ростовской области проведет бесплатные семинары по теме: «Практика применения Федерального закона от 27 июля 2006 г. № 152 ФЗ «О персональных данных».

22 августа 2019 года в Москве состоится семинар «Цифровизация. Кибербезопасность: цифровые риски и пути их минимизации».

Ресурсы:

Видео с "OISF 2019".

Видео и презентации с "Pass the SALT 2019".

Материалы с "Hack in Paris 2019".

вторник, 9 июля 2019 г.

Дайджест новостей по ИБ за 01 — 08 июля 2019г.

Блоги:
Андрей Прозоров порекомендовал проводить оценку воздействия на защиту данных (DPIA) при внедрении средств контроля и мониторинга ИБ в европейских офисах компании.



Статьи:
Чем Windows 10 Timeline может быть полезен криминалисту.



Фишинг как услуга и методы обхода антифишинговых средств защиты (англ.).

Microsoft Teams может быть использован для загрузки и запуска вредоносов (англ.).

Обзор мероприятия "Pass-The-Salt 2019" (англ.).

Законодательство:

Программное обеспечение/сервисы:
OWASP ZAP 2.8.0 - бесплатный сканер уязвимостей веб-приложений.

Мероприятия:
Онлайн-соревнование «Кибервызов. Новый уровень» от Ростелеком.

Ресурсы:
«Наша игра» – интеллектуальное шоу по информационной безопасности (по мотивам популярной передачи «Своя игра»).

вторник, 2 июля 2019 г.

Дайджест новостей по ИБ за 17 июня — 01 июля 2019г.


Блоги:
Алексей Лукацкий рассказал про сервисные и процессные модели SOC; рассказал почему не срабатывают страшилки про киберугрозы и хакеров.

Неправомерное воздействие на КИИ: уголовная ответственность ее владельцев и эксплуатантов.

Статьи:
Роль TI-средств и фидов в выявлении инцидентов.

Руководство по внутренней ИБ-документации. Что, как и зачем.


Я был в семи словах от того, чтобы стать жертвой таргетированного фишинга.


Роскомнадзор присоединился к флешмобу в Twitter, но пользователи не оценили креатив.

Сравнительный обзор сканеров уязвимостей для веб-приложений: OWASP ZAP, W9scan, Wapiti, Arachni, Paros, Tenable.io, Burp Suite Pro, Acunetix.



Интернет проект security.txt — знакомство с еще одним .well-known файлом.


Что не так с федеральным законом «Об электронной подписи» (63-ФЗ), и как это можно исправить.

Как в Windows подменить одну программу другой.

Дизассемблеры и декомпиляторы исполняемых файлов.

Новая функция Wayback Machine позволит увидеть все изменения страницы.




Законодательство:
Приказ ФСТЭК России от 28 июня 2019 г. N 126 "Об утверждении обзора правоприменительной практики ФСТЭК России в рамках контроля за соблюдением лицензионных требований при осуществлении деятельности по технической защите конфиденциальной информации и деятельности по разработке и производству средств защиты конфиденциальной информации за 2018 год" (комментарии Валерия Комарова).

Программное обеспечение/сервисы:
BackBox Linux 6 - linux-дистрибутив для проведения тестирований на проникновение.

BlackScreen.Report - веб-сервис для отслеживания административных и уголовных дел за публикации в интернете (см. описание).

CPR-Zero - база уязвимостей, обнаруженных специалистами Check Point (см. описание).

Ресурсы:
Видео с "BSides London 2019".

Видео с "BSides Cleveland 2019".