Дайджест новостей по ИБ за 12 августа — 09 сентября 2019г.

Блоги:

Алексей Комаров опубликовал выводы исследования "High Alert: Tackling Cyber Security Overload in 2019", проведённого Symantec и связанного с выгоранием персонала ИБ АСУ ТП; поделился рекомендациями по использованию менеджеров паролей; обновил рейтинг ИБ-блогов по версии Яндекса 2019.

Андрей Прозоров поделился кратким опросником по GDPR; подготовил краткий обзор ISO/IEC 27701:2019 "Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines".

Алексей Лукацкий рассказал, как не надо выбирать SIEM.

Сергей Борисов подготовил краткий обзор лучших австралийских ИБ-практик "Australian Government Information Security Manual".

Почему сертифицированные решения не защищают.

Статьи:

Аудит SOC 2: что, как, зачем?

Фаззинг — важный этап безопасной разработки.

Nemesida WAF для NGINX с API и личным кабинетом.

Записки pentester’а: случаи на охоте.

Итоги кибербитвы The Standoff или как PT Expert Security Center следил за атакующими.

Flow-протоколы как инструмент мониторинга безопасности внутренней сети.

Как у меня украли айфон (часть 1, часть 2).

Как защитить аккаунт на «Госуслугах».

Cisco опубликовало руководства по расследованию инцидентов для ASA, IOS, IOS XE и FTD.

Как извлечь пароли WPA2, сохраненные в Windows 10.

Детективная доска. Как анализ графов применяется в расследовании инцидентов.

Атаки на трасты между доменами.

От киберпанка до DevSecOps: 7 книг, ради которых DevSecOps-инженеру английский выучить всё-таки стоит. https://habr.com/ru/post/465921/

Шпаргалка по сбору информации о Windows с помощью Powershell (англ.).

Перебор паролей через Outlook Web Access и Exchange Web Service (англ.).

Журналы:

Вопросы кибербезопасности 5(33) 2019.

Infosecurity Magazine, Q3, 2019, Volume 16, Issue 3. Тема номера: "Киберпреступность и игры".

Документы:

OUCH! Резервные копии – августовский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

OUCH! Мошенничество в социальных сетях – сентябрьский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Программное обеспечение/сервисы:

sploitus.com - веб-поисковик публичных эксплойтов от Vulners.

WSUS Offline Update v8.11 – утилита для локального обновления ОС Windows.

RedHunt Linux Distribution v2 - виртуальная машина от RedHunt Labs для эмуляции действий злоумышленников и поиска угроз.

Вышли новые версии дистрибутивов для проведения аудита ИБ и тестирования на проникновение Kali Linux 2019.3 и BlackArch Linux.

StringSifter - утилита для поиска строк их ранжировании при анализе вредоносных программ (см. описание).

Аналитика:

Модель зрелости безопасности интернета вещей: толчок к развитию безопасных систем.

Incident Response Analytics Report 2018 - статистика по расследованию киберинцидентов за 2018 год. Источник: Kaspersky Lab Security Services.

Утечки конфиденциальной информации в результате действий привилегированных пользователей за 2018 год. Источник: InfoWatch.

  

Ресурсы:

Материалы с IV международной конференции «Безопасность платежей 2019».

Материалы с "Black Hat USA 2019".

Видео с "Derbycon 2019".

Дайджест новостей по ИБ за 01 – 12 августа 2019г.

Блоги:

Алексей Лукацкий описал пять уровней зрелости оценки ущерба от DDoS-атак на сайт организации; прокомментировал новые нормативные акты по ИБ для финансовых организаций.

Андрей Прозоров рассказал об основных положениях европейских рекомендаций по защите ПДн при использовании систем видеонаблюдения; поделился таблицей с примерами штрафов по GDPR.

Статьи:

Сервер двухфакторной авторизации LinOTP.

Сложности применения технологий OCR в DLP-системах.

Криптографические атаки: объяснение для смятённых умов.

Как сократить число уязвимостей при разработке приложений.

Генерируем одноразовые пароли для 2FA в JS с помощью Web Crypto API.

В чем разница между терминами «безопасность информационных технологий» и «кибербезопасность»?

Microsoft отключила VBScript в Internet Explorer 11 по умолчанию (англ.).

Начало работы с ATT&CK: самооценка и проектирование (англ.).

Цифровая криминалистика USB-накопителей в Windows 10 (англ.).

Законодательство:

Типовые нарушения в области персональных данных. Вопросы взаимодействия с операторами при проведении проверок. Источник: Роскомнадзор.

Меры административного воздействия, принятые Роскомнадзором в первом полугодии 2019 года, в отношении операторов, чьи действия были обжалованы субъектами персональных данных. Источник: Роскомнадзор.

Федеральный закон от 2 августа 2019 г. N 264-ФЗ "О внесении изменений в Федеральный закон "О национальной платежной системе" и Федеральный закон "О Центральном банке Российской Федерации (Банке России)". Закон устанавливает для операторов электронных денег и платежной инфраструктуры требования, аналогичные действующим для платежных систем.

Дайджест новостей по ИБ за 08 июля — 01 августа 2019г.

Блоги:

Алексей Лукацкий привел пример модели зрелости бизнес-взгляда к ИБ для подразделения по работе с персоналом (HR); выделил несколько функциональных блоков, которые должны реализовываться в рамках корпоративной ИБ; составил ряд вопросов, на которые нужно ответить прежде чем использовать аутсорсинговый SOC.

Получение информации о хостах и установленном ПО с помощью Kaspersky Security Center 11 API (англ.).

Статьи:

Обзор рынка средств (модулей) доверенной загрузки (СДЗ, МДЗ).

Судебная практика: разоблачение завербованного агента ФСБ.

Концепция безопасной инфраструктуры.

Создание zip-бомбы.

Top 12 API для обеспечения кибербезопасности (англ.).

Управление Windows Updates с помощью ABC-Update (англ.).

Защита учетных данных с помощью Credential Guard и HVCI (англ.).

Учетные записи пользователей как индикаторы компрометации (англ.).

DKIM: достоинства и недостатки (англ.).

Введение в физическое тестирование на проникновение (англ.).

Причины, по которым генеральные директора (CEO) могут быть уволены за нарушение кибербезопасности.

Подборка утилит для проведения тестирования на проникновение и реверс-инжениринга Android-приложений (англ.).

Как предотвратить утечку данных? (англ.).

Структура MITRE’s ATT&CK: от таксономии к антологии (англ.).

Требования по обеспечению информационной безопасности от Microsoft для партнеров, участвующих в программе Cloud Solution Provider, Control Panel Vendors и консультантов (англ.).

Журналы:

Вопросы кибербезопасности № 2 (30), № 3 (31) Спецвыпуск, № 4 (32).

Документы:

OUCH! Виртуальные частные сети (VPN) – июльский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

CIS Controls Microsoft Windows 10 Cyber Hygiene Guide - пошаговое руководство по настройкам безопасности Windows 10. Источник: CIS.

Методические рекомендации по категорированию объектов критической информационной инфраструктуры, принадлежащих субъектам критической информационной инфраструктуры, функционирующим в сфере связи". Источник: Ассоциация     документальной электросвязи.

Законодательство:

План проведения плановых проверок юридических лиц и индивидуальных предпринимателей по вопросам экспортного контроля на 2019 год. Источник: ФСТЭК.

Приказ Федеральной службы безопасности Российской Федерации от 19.06.2019 № 281 "Об утверждении Порядка, технических условий установки и эксплуатации средств, предназначенных для обнаружения, предупреждения и ликвидации последствий компьютерных атак и реагирования на компьютерные инциденты, за исключением средств, предназначенных для поиска признаков компьютерных атак в сетях электросвязи, используемых для организации взаимодействия объектов критической информационной инфраструктуры Российской Федерации" (см. комментарии Алексея Лукацкого).

Приказ Федеральной службы безопасности Российской Федерации от 19.06.2019 № 282 "Об утверждении Порядка информирования ФСБ России о компьютерных инцидентах, реагирования на них, принятия мер по ликвидации последствий компьютерных атак, проведенных в отношении значимых объектов критической информационной инфраструктуры Российской Федерации" (см. комментарии Алексея Лукацкого)

Соответствие Astra Linux Special Edition требованиям приказа ФСТЭК России № 17 и приказа ФСТЭК России № 239.

Программное обеспечение/сервисы:

amass - инструмент для сбора информации.

Atomic Threat Coverage — фреймворк, основанный на методологии предвидения ИБ-угроз, обнаружения и реагирования на них (видео с PHD 9, wiki, ATC Analytics Dashboard (demo:password) ) ).

SSL Configuration Generator - генератор SSL-настроек для веб-серверов.

Kali Linux для Raspberry Pi 4 и в облачном провайдере DigitalOcean - дистрибутив для проведения тестирований на проникновение и аудитов ИБ.

Wireless Passwords From Airports And Lounges Around The World - Wi-Fi-пароли в аэропортах и залах ожиданий.

Аналитика:

State of Application Security at S&P Global World's 100 Largest Banks - результаты оценки защищенности веб-ресурсов и мобильных приложений 100 крупнейших мировых банков. Источник: ImmuniWeb.

Обзор основных типов компьютерных атак в кредитно-финансовой сфере в 2018 году. Источник: ФинЦЕРТ Банка России.

Мероприятия:

27.08.2019, 24.09.2019 Управление Роскомнадзора по Ростовской области проведет бесплатные семинары по теме: «Практика применения Федерального закона от 27 июля 2006 г. № 152 ФЗ «О персональных данных».

22 августа 2019 года в Москве состоится семинар «Цифровизация. Кибербезопасность: цифровые риски и пути их минимизации».

Ресурсы:

Видеозапись семинара «Управление уязвимостями: стандарты, реальность, инструменты» от DataLine.

Видео с "OISF 2019".

Видео и презентации с "Pass the SALT 2019".

Материалы с "Hack in Paris 2019".