Если интересно в каких странах можно легально заплатить выкуп операторам шифровальщиков, то загляните сюда 😉

Все обсуждают очередной (где-то я уже видел этот сценарий) взлом компании Okta и следят за падением их акций (сейчас модно следить за торгами после инцидентов КБ) 😵
Параллельно саркастически припоминают бизнес-модель Okta (по 2 бакса за пользователя SSO) и увольнение редтим-команды весной этого года🤪

Топ-25 дефектов (CWE), приведших к появлению уязвимостей за период с 01.07.2022 по 01.07.2023.
Помимо номера дефектов, описания и количества уязвимостей, связанных с ним, приведена информация о средней базовой оценке CVSSv3 и количестве активно эксплуатируемых уязвимостей согласно каталогу CISA KEV.

Источник➡️ENISA Threat Landscape 2023

После закрытия бесплатного доступа к API Twitter и массового исхода сообщества ИБ из него в децентрализованную социальную сеть Mastodon, скоропостижно скончался полезный ресурс cvetrends.com, где можно было почерпнуть информацию о "трендовых" уязвимостях, обсуждаемых в твиттере😢
Но, свято место пусто не бывает🙂На замену пришел ресурс cvecrowd.com🔥 Почти всё то же самое, только в качестве источника берутся посты с социальной сети Mastodon. Это мы одобряем👍

#cve #trends #prioritization

Неминуемо приближается Черная пятница, а значит настало время тратить деньги, хотя это и стало делать сложнее🤷
Уже по традиции можно посмотреть скидки на различные курсы, сервисы и утилиты по направлению ИБ в репозитории InfoSec Black Friday Deals ~ "Friday Hack Fest" 2023 Edition 🔥

Еще можно заглянуть в Awesome Black Friday/Cyber Monday Deals - 2023 - здесь также можно найти скидки на книги, утилиты, сервисы различных направлений🛍

Если бы для уязвимостей делали рекламу к Черной пятнице😂

Организация Health-ISAC опубликовала в ноябре небольшой документ-брошюру о риск-ориентированном подходе к приоритезации устранения уязвимостей🧐

В документе подчеркивается важность и сложность процесса приоритезации устранения уязвимостей и приводится краткое описание критериев и инструментов, которые можно использовать в этом процессе:
🔸Базовая оценка CVSS - пожалуй, самый неоднозначный совет от Health-ISAC. В брошюре идет речь про использование базовой оценки CVSS как самого простого критерия для выбора что исправлять😐 Еще и говоря про базовую оценку, зачем-то показывают временные и контекстные метрики CVSS, про которые ни слова далее 🤷
Но, благо, они пишут, что можно захлебнуться в огромном количестве уязвимостей с высокой и критической оценкой CVSS😵
🔸Известные эксплуатируемые уязвимости - речь идет про использование каталога CISA KEV.
🔸Контекст и размещение устройства - уязвимости на устройствах, доступных из сети Интернет, должны устраняться как можно скорее, также как и на тех, через которые можно будет проникнуть в критичные системы.
Немного подсветили момент, что в зависимости от размещения устройства и типа уязвимости (RCE,LPE и т.п.) можно также менять SLA для устранения уязвимостей👍
🔸Ценность актива - важный критерий, но не без нюансов (для начала - кто и как это будет делать). В идеале надо оценить ценность количественно, но это сложно. Поэтому можно для начала ввести "качественную" категоризацию.
🔸Компенсирующие меры - использование функционала средств защиты для устранения возможности эксплуатации уязвимости, тестирование эксплоитов, моделирование атак и т.п.
🔸EPSS - приводится как достойная замена CVSS в процессе приоритезации. Плюсы и минусы также известны.
🔸SSVC - методология приведена как достойный инструмент для принятия решения о необходимости устранения уязвимостей.
🔸Политика и метрики - очевидные вещи, что без задокументированного, согласованного со всеми заинтересованными сторонами и измеряемого процесса вряд ли получится что-то внятное и рабочее💻
#vulnerability #prioritization

Тернистый путь попадания уязвимости в базу NVD🤯

Схема составлена на основе информации из открытых источников для "легитимно" обнаруживаемых уязвимостей😅
Источник: Patrick Garrity.
#cve #nvd #vulnerability #cve #cwe #cvss

И с нами снова рубрика "Статистика вещь неблагодарная, но интересная"🧐
Hive Systems опубликовали аналитику за 2023 год по тому, как в различных источниках (TI, СМИ, поисковики, научно-исследовательские ресурсы), освещались инциденты кибербезопасности.

В целом, всё стабильно – разве что про социальную инженерию стали меньше писать🙂
#research #breach #attack #incident