Дайджест новостей по ИБ за 06 — 27 мая 2019г.

Блоги:

Алексей Лукацкий сформулировал ключевые области, которые стоит брать во внимание во время оценки ущерба от возможных инцидентов ИБ; привел обзор когнитивных искажений, которые могут приводить к неправильной оценке рисков кибербезопасности.

Валерий Комаров привел примеры возможных правовых последствий использования несертифицированных средств защиты информации.

Судебная информация: Для получения информации о том, как обрабатываются в банке его персональные данные, гражданин должен прийти лично.

Статьи:

 Как защитить свой ПК/ноубук и уничтожить информацию на флешке, HDD или SSD.

Почему прошивки с открытым исходным кодом важны для безопасности.

В ОС Windows обнаружена критическая RCE-уязвимость (CVE-2019-0708).

Сравнение промышленных систем обнаружения вторжений: ISIM vs. KICS.

Введение о слепой инъекции blind XSS.

Социальная инженерия с помощью программ Universal Windows Platform (APPX).

Противостояние 2019: Jet Security Team заняла первое место в защите.

Нашумевшие утечки данных пользователей за январь — апрель 2019.

В 19% популярнейших Docker-образов нет пароля для root.

Опасность внутриигрового сбора данных.

Топ-10 VPN-сервисов.

Обзор систем противодействия банковскому мошенничеству (антифрод).

Продаём под электронный ключ правительство, коммерсантов, квартиры. (версия УЦ СКБ Контур).

«Коммерсантъ» раскрыл участившуюся схему кражи денег у терминалов Сбербанка.

Лучшие практики для обеспечения информационной безопасности избирательных систем (англ.).

Распространенные небезопасные настройки, связанные с миграцией на почтовые сервисы Microsoft Office 365, и рекомендации по их устранению (англ.).

R-пакеты для кибербезопасности (англ.).

Специальные ключи реестра для Windows 10 (англ.).

Журналы:

Infosecurity Magazine, Q2, 2019, Volume 16, Issue 2. Тема номера: "Сила нейродиверсификации".

Документы:

The Sedona Conference Commentary on Data Privacy and Security Issues in Mergers & Acquisitions Practice - документ об обеспечении безопасности данных и защите персональных данных в случае слияния или поглощения организаций (см. краткий обзор от Натальи Храмцовской).

Законодательство:

Положение ЦБ РФ 09.01.2019 N 672-П "Положение о требованиях к защите информации в платежной системе Банка России".

Положение ЦБ РФ 17.04.2019 N 683-П "Положение об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента".

Положение ЦБ РФ от 17.04.2019 N 684-П "Положение об установлении обязательных для некредитных финансовых организаций требований к обеспечению защиты информации при осуществлении деятельности в сфере финансовых рынков в целях противодействия осуществлению незаконных финансовых операций".

Программное обеспечение/сервисы:

poma.nsfocus.com - веб-сервис от NSFOCUS для анализа вредоносных файлов.

Kali Linux 2019.2 - дистрибутив для тестирования на проникновение.

Nessus Essentials (бывш. Nessus Home) - бесплатный сканер уязвимости для личного использования. Предназначен для использования студентами, преподавателями и людьми, начинающими карьеру в области кибербезопасности, помогающий легко и быстро освоить оценку уязвимости и отточить свои навыки.

Vulmap - скрипт для обнаружения уязвимого ПО для Windows и Linux-систем (см. описание).

Аналитика:

Спам и фишинг в первом квартале 2019 года. Источник: Лаборатории Касперского.

Ресурсы:

Видео с "NolaCon 2019".

Дайджест новостей по ИБ за 15 апреля — 06 мая 2019 г.

Блоги:

Алексей Лукацкий предлагает использовать метод "Пять "Зачем" или "Пять "Почему" для того, чтобы понять зачем заниматься обеспечением ИБ в организации.

Дмитрий Кузнецов обосновал почему аппарат УЗИ не является значимым объектом КИИ.

Советы по повышению безопасности персонального сайта от Алексея Комарова.

Статьи:

Стартапы и информационная безопасность.

Аудит ИБ в крупных компаниях: инструкция по применению.

Методы обхода WAF.

Киберпреступники используют цифрового двойника для кардинга.

Чем опасна фейковая техподдержка.

Обзор инструментов для проведения тестирования на проникновение внутренней сети.

Защищаем Windows 10 встроенными средствами.

Microsoft объявила об изменениях в обновлениях для Windows 7; опубликовала Security baseline (DRAFT) для Windows 10 v1903 и Windows Server v1903 - проект  «фреймворка настроек безопасности» (см. описание).

Введение в сетевые политики Kubernetes для специалистов по безопасности.

Шпаргалка по обеспечению информационной безопасности Docker.

Как внедрить DMARC/DKIM/SPF для защиты от спуфинга и фишинга (англ.).

Как предвидеть ИБ-угрозы (англ.).

Языки программирования, которые должны изучать ИБ-специалисты (англ.).

Установка Windows Sandbox в Windows 10 Home (англ.).

Утилиты для работы с MITRE ATT&CK: Hartong’s threat hunting Splunk app, DetectionLab, PoSh_ATTCK, ATT&CK Navigator, Atomic Red Team Tests  (англ.).

Утекли исходные коды инструментов APT34 - иранской кибершпионской группы (англ.).

Злоумышленники используют историю переписки для создания доверия и рассылки вредоносных файлов по электронной почте (англ.).

Документы:
Безопасность объектов критической информационной инфраструктуры организации. Общие рекомендации. Источник: АРСИБ.

Security Extensions for PROFINET - концепция безопасности протокола PROFINET.

Законодательство:

Постановление Правительства РФ от 13 апреля 2019 г. № 452 “О внесении изменений в постановление Правительства Российской Федерации от 8 февраля 2018 г. N 127”. Скорректированы правила категорирования объектов КИИ.

Программное обеспечение/сервисы:

EvtxECmd - парсер Windows Event Log (evtx).

Venator - macOS-утилита для проактивной защиты (англ.).

Guardicore Threat Intelligence – база вредоносных IP-адресов и доменов, обнаруженнных с помощью продуктов компании Guardicore.

Трансформеры: Бамблби. Защитник - бесплатная игра для мобильных устройств от «Лаборатории Касперского», целью которой является повышение осведомленности подростков в сфере ИБ.

Аналитика:

Обзор несанкционированных переводов денежных средств за 2018 год. Источник: Банк России.  

 

Ресурсы:

Видео с "BSides Orlando 2019".

Видео с "BSides Charm 2019".

Видео с "ИБ АСУ ТП КВО 2019".

Видео с "Black Hat Asia 2019".

Презентации с "Релавэкспо 2019" с ИБ-секций (архив №1, архив №2).

Дайджест новостей по ИБ за 18 марта — 15 апреля 2019 г.

Блоги:

Рекомендации по внедрению СУИБ, а также по подготовке и прохождению сертификационного аудита ИБ от Андрея Прозорова.

Алексей Комаров поделился подборкой материалов с аналитикой по зарплатам в сфере ИБ в России за 2018 г.

Статьи:

LockerGoga: что именно произошло с Norsk Hydro.

Утилиты для детектирования перехвата HTTPS-трафика: MITMEngine и MALCOLM.

Что полезного можно вытащить из логов рабочей станции на базе ОС Windows.

Взлом прошивок USB-устройств.

Сканирование на уязвимости и безопасная разработка. Часть 1.

Операция ShadowHammer.

На платформе Open Bug Bounty появилась возможность сообщать об утечках данных.

Обнаружение серверов с работающей службой Network File System (NFS) с помощью Lampyre.

Мифы о 152-ФЗ, которые могут дорого обойтись оператору персональных данных.

Исследователи нашли API-ключи в GitHub-хранилищах.

Как киберпреступники используют популярные сериалы для распространения вредоносного ПО.

Stalkerware: средства повседневного шпионажа. Исследование коммерческих приложений-шпионов.

Kubeletmein - утилита для повышения привилегий в кластерах Kubernetes.

Использование AD для обнаружения хостов, не входящих в AD (англ.).

TOP-10 уязвимостей в 2018 г. (англ.).

Вышел CIS Controls V7.1 - лучшие практики в области кибербезопасности для защиты от распространенных угроз (см. обзор от Сергея Борисова).

Документы:
OUCH! Создание паролей – апрельский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Законодательство:

Информационное сообщение ФСТЭК России от 29 марта 2019 г. N 240/24/1525 "О Требованиях по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий" (см. комментарии Алексея Лукацкого). Источник: ФСТЭК.

Информационное сообщение ФСТЭК России от 29 марта 2019 г. N 240/24/1428 "О порядке предоставления Перечня средств измерений, испытательного оборудования, программных (программно-аппаратных) средств и Перечня нормативных правовых актов, методических документов и национальных стандартов, необходимых для выполнения работ по аттестации объектов информатизации, предназначенных для обработки информации, содержащей сведения, составляющие государственную тайну".

Программное обеспечение/сервисы:

Complete Mandiant Offensive VM (Commando VM) - Windows-дистрибутив для проведения тестирования на проникновения и команды атакующих (Red Team).

Shodan Monitor - мониторинг доступных в Интернете устройств. (см. краткое описание).

Аналитика:

Ландшафт угроз для систем промышленной автоматизации. Второе полугодие 2018. Источник: Лаборатория Касперского.

Боты и ботнеты в 2018 году. Статистика атак ботнетов на клиентов организаций. Источник: Лаборатория Касперского.

Информационная безопасность на практике. Итоги 2018 г., перспективы 2019 г. - результаты опроса специалистов по информационной  безопасности,  ИТ-специалистов  и  ТОП-менеджеров российских компаний. финансы.

Уязвимости онлайн-банков: подводим итоги анализа. Источник: Positive Technologies.

Мероприятия:

29.04.2019, 28.05.2019 и 25.06.2019 Управление Роскомнадзора по Ростовской области проводит бесплатные семинары по теме: «Практика применения Федерального закона от 27 июля 2006 г. № 152 ФЗ "О персональных данных».

Ресурсы:

Безопасность АСУ ТП. Вводный курс.

Видео с "OWASP AppSec California 2019".

Видео с "OWASP Russia Meetup Russia #8".

Видео с "BSidesSF 2019".

Презентации с "SANS ICS Security Summit & Training 2019 (March 2019)".

Презентации с XXI Международной конференции «РусКрипто».