Дайджест новостей по ИБ за 18 марта — 15 апреля 2019 г.

Блоги:

Рекомендации по внедрению СУИБ, а также по подготовке и прохождению сертификационного аудита ИБ от Андрея Прозорова.

Алексей Комаров поделился подборкой материалов с аналитикой по зарплатам в сфере ИБ в России за 2018 г.

Статьи:

LockerGoga: что именно произошло с Norsk Hydro.

Утилиты для детектирования перехвата HTTPS-трафика: MITMEngine и MALCOLM.

Что полезного можно вытащить из логов рабочей станции на базе ОС Windows.

Взлом прошивок USB-устройств.

Сканирование на уязвимости и безопасная разработка. Часть 1.

Операция ShadowHammer.

На платформе Open Bug Bounty появилась возможность сообщать об утечках данных.

Обнаружение серверов с работающей службой Network File System (NFS) с помощью Lampyre.

Мифы о 152-ФЗ, которые могут дорого обойтись оператору персональных данных.

Исследователи нашли API-ключи в GitHub-хранилищах.

Как киберпреступники используют популярные сериалы для распространения вредоносного ПО.

Stalkerware: средства повседневного шпионажа. Исследование коммерческих приложений-шпионов.

Kubeletmein - утилита для повышения привилегий в кластерах Kubernetes.

Использование AD для обнаружения хостов, не входящих в AD (англ.).

TOP-10 уязвимостей в 2018 г. (англ.).

Вышел CIS Controls V7.1 - лучшие практики в области кибербезопасности для защиты от распространенных угроз (см. обзор от Сергея Борисова).

Документы:
OUCH! Создание паролей – апрельский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Законодательство:

Информационное сообщение ФСТЭК России от 29 марта 2019 г. N 240/24/1525 "О Требованиях по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий" (см. комментарии Алексея Лукацкого). Источник: ФСТЭК.

Информационное сообщение ФСТЭК России от 29 марта 2019 г. N 240/24/1428 "О порядке предоставления Перечня средств измерений, испытательного оборудования, программных (программно-аппаратных) средств и Перечня нормативных правовых актов, методических документов и национальных стандартов, необходимых для выполнения работ по аттестации объектов информатизации, предназначенных для обработки информации, содержащей сведения, составляющие государственную тайну".

Программное обеспечение/сервисы:

Complete Mandiant Offensive VM (Commando VM) - Windows-дистрибутив для проведения тестирования на проникновения и команды атакующих (Red Team).

Shodan Monitor - мониторинг доступных в Интернете устройств. (см. краткое описание).

Аналитика:

Ландшафт угроз для систем промышленной автоматизации. Второе полугодие 2018. Источник: Лаборатория Касперского.

Боты и ботнеты в 2018 году. Статистика атак ботнетов на клиентов организаций. Источник: Лаборатория Касперского.

Информационная безопасность на практике. Итоги 2018 г., перспективы 2019 г. - результаты опроса специалистов по информационной  безопасности,  ИТ-специалистов  и  ТОП-менеджеров российских компаний. финансы.

Уязвимости онлайн-банков: подводим итоги анализа. Источник: Positive Technologies.

Мероприятия:

29.04.2019, 28.05.2019 и 25.06.2019 Управление Роскомнадзора по Ростовской области проводит бесплатные семинары по теме: «Практика применения Федерального закона от 27 июля 2006 г. № 152 ФЗ "О персональных данных».

Ресурсы:

Безопасность АСУ ТП. Вводный курс.

Видео с "OWASP AppSec California 2019".

Видео с "OWASP Russia Meetup Russia #8".

Видео с "BSidesSF 2019".

Презентации с "SANS ICS Security Summit & Training 2019 (March 2019)".

Презентации с XXI Международной конференции «РусКрипто».