Дайджест новостей по информационной безопасности за июль 2022

Блоги:

Алексей Лукацкий рассмотрел клиентский путь с точки зрения модели угроз (часть 1, часть 2).

Денис Батранков рассказал о распространенных способах обхода двухфакторной аутентификации.

Михаил Емельянников обнаружил нестыковки 325-ФЗ и 152-ФЗ (часть 1, часть 2).

Статьи:

Как трояны проникают в сетевые хранилища (NAS) и как от этого защититься.

  

Как в Тинькофф запускали HashiCorp Vault.

Обзор CIS Controls v8 (англ.).

Google добавила дополнительную опцию для борьбы со спамом в Google-календаре (англ.).

Анализ групп безопасности и списков контроля доступа в Amazon AWS (англ.).

Пример исследования вредоносного pdf-файла с помощью pdf-parser.py (англ.).

Подборка инструкций по защите macOS (англ.).

Подборка опенсорсных утилит для симуляции кибератак (Adversary Simulation Tools). 

Законодательство:

Федеральный закон от 14.07.2022 N 266-ФЗ "О внесении изменений в Федеральный закон "О персональных данных", отдельные законодательные акты Российской Федерации и признании утратившей силу части четырнадцатой статьи 30 Федерального закона "О банках и банковской деятельности". Усилена защита прав субъектов персональных данных. Усилена защита прав субъектов персональных данных.

Федеральный закон от 14.07.2022 № 255-ФЗ "О контроле за деятельностью лиц, находящихся под иностранным влиянием". Иностранным агентам запрещается эксплуатация значимых объектов КИИ, а также обеспечение их безопасности.

Федеральный закон от 14.07.2022 № 259-ФЗ "О внесении изменений в Кодекс Российской Федерации об административных правонарушениях". Вводятся штрафы за нарушение запрета на сбор персональных данных граждан РФ.

Федеральный закон от 14.07.2022 N 325-ФЗ "О внесении изменений в статьи 14 и 14.1 Федерального закона "Об информации, информационных технологиях и о защите информации" и статью 5 Федерального закона "О внесении изменений в отдельные законодательные акты Российской Федерации". Внесение биометрических персональных данных в единую биометрическую систему будет осуществляться без получение согласия их обладателя.

 

Федеральный закон от 14.07.2022 № 339-ФЗ "О внесении изменений в отдельные законодательные акты Российской Федерации". В 63-ФЗ "Об электронной подписи" внесены изменения, связанные с доверенностью.

 

Распоряжение Правительства РФ от 22.06.2022 N 1661-р "Об утверждении перечня ключевых органов (организаций), которым необходимо осуществить мероприятия по оценке уровня защищенности своих информационных систем с привлечением организаций, имеющих соответствующие лицензии ФСБ России и ФСТЭК России". Утвержден перечень из 72 ключевых органов (организаций), которым необходимо осуществить мероприятия по оценке уровня защищенности своих информационных систем.

Указание Банка России от 18.02.2022 N 6071-У "О внесении изменений в Положение Банка России от 17 апреля 2019 года N 683-П "Об установлении обязательных для кредитных организаций требований к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента" Зарегистрировано в Минюсте России 20.06.2022 N 68919. С 1 октября 2022 года дополняются обязательные для кредитных организаций требования к обеспечению защиты информации при осуществлении банковской деятельности в целях противодействия осуществлению переводов денежных средств без согласия клиента.

Информационное сообщение ФСТЭК России от 28 июня 2022 г. N 240/83/1698 "О порядке представления субъектами критической информационной инфраструктуры сведений о результатах присвоения объектам критической информационной инфраструктуры одной из категорий значимости либо об отсутствии необходимости присвоения ему одной из таких категорий". Источник: ФСТЭК. 

Журналы:

Вопросы кибербезопасности № 3 (49).

 

(IN)SECURE Magazine ISSUE 72 (July 2022). 

Аналитика:

«Доктор Веб»: обзор вирусной активности для мобильных устройств в июне 2022 года.

Telecom & Trust Services Incidents in 2021: Over-The-Top (OTT) Challenges Emerging - отчет об инцидентах 2021 года в сфере телекоммуникационных и трастовых услуг. Источинк: ENISA. 

Разное:

Видео с OISF 2022.

 

Видео с CyberWeek 2022.

 

Видео с Инфофорум-Сочи 2022.

Дайджест новостей по информационной безопасности за июнь 2022

Блоги:

Алексей Лукацкий подготовил обзор RSA Conference и стандарта управления ИБ ISM3; описал способ оценки актуальности индикаторов компрометации.

 

Ксения Шудрова опубликовала пошаговую инструкцию по моделированию угроз по Методике оценки угроз безопасности информации от ФСТЭК.

 

Французский уполномоченный орган по вопросам защиты персональных данных CNIL опубликовал «Ответственность действующих лиц в контексте государственных заказов», связанным с соблюдением GDPR. 

Статьи:

Судебная практика: уголовное дело за создание читов для игр World of Tanks и World of Warships.

Значимые изменения в 187-ФЗ с 2019-го года с пояснениями и пополнениями.

Загадочное дело о Raspberry Pi в шкафу для сетевого оборудования.

 

Использование офисных документов в кибератаках.

Black-box тестирование сотовой сети: как операторы защищают абонентов от хакерских атак.

Как обойти требование аккаунта Microsoft для установки Windows 11.

Пример списка с чувствительными данными для семьи на непредвиденный случай типа ухода из жизни.

 

Создаём собственный VPN-сервис на базе VPS-сервера.

Требования ГОСТ на автоматизированные системы в ИБ-проектах. Что изменилось и как это применять?

Аутсорсинг ИБ в России: принципы выбора и доверия, MSSP или SECaaS.

OSINT: исследование веб-сайтов.

Сетевой шлюз безопасности (SWG): переход на отечественные продукты.

 

Использование Google Analytics не соответствует правилам GDPR. 

Способы разведки от Red Team (англ.).

Adobe Reader блокирует антивирусное сканирование загруженных PDF-документов (англ.).

Обход песочницы с помощью имени файла (англ.).

Безопасность API (англ.).

 

Google I/O 2022: Android Privacy, Platform & Security (англ.).

Законодательство:

Приказ Минцифры России от 02.03.2022 N 156 "Об утверждении Порядка защиты сетей связи и информационных систем операторов связи от несанкционированного доступа к ним и передаваемой по ним информации при функционировании системы обеспечения вызова экстренных оперативных служб по единому номеру "112" Зарегистрировано в Минюсте России 01.06.2022 N 68676. С 1 сентября 2022 г. вступает в силу Порядок защиты сетей связи и информационных систем операторов связи от несанкционированного доступа к ним и передаваемой по ним информации при функционировании системы обеспечения вызова экстренных оперативных служб по единому номеру "112".

Приказ ФСТЭК России от 24 июня 2022 г. N 111 "Об утверждении Обзора правоприменительной практики ФСТЭК России в рамках контроля за соблюдением лицензионных требований при осуществлении деятельности по технической защите конфиденциальной информации и деятельности по разработке и производству средств защиты конфиденциальной информации за 2021 год". Источник: ФСТЭК.

Типовое техническое задание на выполнение работ по оценке уровня защищенности информационной инфраструктуры. Источник: Минцифры.

 

Условия по защите информации. Источник: ЦБ РФ.

 

Проект национального стандарта ГОСТ Р "Защита информация. Разработка безопасного программного обеспечения.  Руководство по проведению статического анализа программного обеспечения". Источник: ФСТЭК. 

Журналы:

(IN)SECURE Magazine ISSUE 71.5 (June 2022). Тема номера "RSA Conference 2022". 

Аналитика:

Безопасность роутеров в 2021 году. Источник: Касперский.

«Доктор Веб»: обзор вирусной активности для мобильных устройств в мае 2022 года.

 

Mac Security Test & Review 2022 - результаты майского тестирования антивирусов для macOS (англ.). Источник: AV-Comparatives.

Real-World Protection Test February-May 2022 - результаты тестирования механизмов предотвращения заражения антивирусов для Windows (англ.). Источник: AV-Comparatives.

 

Mobile Security Review 2022 - результаты майского тестирования антивирусов для Android (англ.). Источник: AV-Comparatives.

Разное:

Презентация Алексея Мунтяна "Рассмотрение механизмов и специфики применения GDPR".

Видео с ITISCONF 2022 "Штабные киберучения".

«Аэрофлот» против Роскомназдора. Разбор спора от команды Б-152. 

Дайджест новостей по информационной безопасности за май 2022 г

Блоги:

Алексей Лукацкий описал примеры событий SOC при использовании личных устройств; предлагает научиться создавать собственный контент обнаружения (часть 1, часть 2).

Михаил Емельянников привел доводы, почему всем, кто работает с биометрией, нужна аккредитация.

   

Андрей Прозоров поделился презентациями по GDPR и Privacy и про стандарты и руководства по управлению ИБ при взаимодействии с поставщиками.

Денис Батранков опубликовал статистику часто используемых хакерами уязвимостей 2021 года.

Судебная практика: ст.274 УК РФ за повреждение заводских пломб и отключение СЗИ.

Статьи:

Security awareness в QIWI: видео, плакаты, лекции, стикеры.

Управление уязвимостями (Vulnerability Management) в новых реалиях.

OSINT по спутниковым изображениям.

Инструменты OSINT для геолокации: моря, горы, улицы.

OSINT самолетов, пароходов и поездов.

Вред в отношении информационной приватности.

Аудит события входа пользователей в Windows.

Bug Bounty: как белым хакерам заработать в России на поиске уязвимостей.

Как Авито закрыли все объявления частных пользователей защитными номерами.

Как запретить автоматическое обновление до Windows 11?

Импортозамещение: системы анализа трафика, обнаружения и предотвращения атак (NTA / NDR).

Всемирный день пароля: как цифровая информация обзавелась защитой?

Подборка OSINT-расширений для Google Chrome.

Сравнение сканеров уязвимостей MaxPatrol 8 и RedCheck Enterprise.

Обзор EDR: Cisco Advanced Malware Protection (AMP), FortiEDR (FEDR), CheckPoint SandBlast Forensics, Kaspersky KATA и KM.

Использование NMAP для сканирования узлов в кластерах балансировки нагрузки (англ.).

Обнаружение подозрительных правил перенаправлений электронной почты в Office 365 (англ.).

Как посмотреть все кэшированные DNS-записи в Windows (англ.).

Журналы:

Вопросы кибербезопасности № 2 (48).

Законодательство:

Указ Президента Российской Федерации от 01.05.2022 № 250 "О дополнительных мерах по обеспечению информационной безопасности Российской Федерации" (см. комментарии Алексея Лукацкого).

 

Информационное сообщение о разработке нового раздела банка данных угроз безопасности информации, содержащего сведения об угрозах безопасности информации. Источник: ФСТЭК.

Отчет о результатах деятельности технического комитета по стандартизации "Защита информации" (ТК 362) за 2021 год. Источник: ФСТЭК.

Программное обеспечение/сервисы:

KeePass 2.51 - менеджер паролей.

 

Kali Linux 2022.2 - Linux-дистрибутив для тестирования на проникновение.

MetaDefender Cloud - облачный антивирусный сканер.

BUG BOUNTY RU - платформа позволяет участвовать в программах вознаграждений за обнаруженные уязвимости.

 

Ресурсы:

Cisco Cloud Controls Framework - фреймвор, который описывает набор защитных мер для облачных сред (см. описание от Алексея Лукацкого).

 

Видео с Positive Hack Days 11.