🧮System Security Context Vector (SSCV) Framework

Ещё одна методика приоритизации устранения уязвимостей🤪 Скоро закончатся уникальные аббревиатуры под названия каждой новой методики😂
В рамках данного подхода вычисляется контекстная оценка риска (CRS) на основе базовой оценки уязвимости по CVSS 3.1 и с учетом контекста (защищенности) рассматриваемой ИТ-системы.
Контекст (защищенность) ИТ-системы вычисляется на основе значений 6 метрик (критериев):
1️⃣ Актуальность версии операционной системы (Operating System Currency)
2️⃣ Доступность ИТ-системы по сети (Network Exposure)
3️⃣ Используемые механизмы контроля доступа (Access Control)
4️⃣ Тип защиты конечных точек (Endpoint Protection)
5️⃣ Категория обрабатываемых данных (Data Sensitivity Level)
6️⃣ Статус установки патчей (Patch Status)

Из основных плюсов:
🔗Понятные критерии контекста.
🔗Возможность автоматизации подсчета метрик и оценки CRS.
🔗Подробное руководство и калькулятор расчета оценки.
Из явных минусов:
🔗Не учитывается бизнес-критичность ИТ-системы.
🔗В расчете присутствуют нормализующие и корректирующие коэффициенты, что не очень прозрачно.
🔗Нет статистических данных, позволяющих оценить корректность расчета на больших количествах уязвимостей, и математических обоснований использования рекомендованных коэффициентов (из предыдущего пункта).

Ссылки:
📥Официальный сайт
📥Github

#cvss #sscv #prioritization #vm #vulnerability #context

🛡 Application Attack Matrix — созданная сообществом MITRE-подобная матрица тактик, техник и процедур используемых злоумышленниками при атаках на веб-приложения.

🟡Матрица включает 41 технику, сгруппированную по 7 тактикам, которые, в свою очередь, организованы по 4 фазам атак на веб-приложения.
🟡В качестве основной причины создания отдельной матрицы заявляется то, что MITRE ATT&CK фокусируется на техниках, покрывающих инфраструктуру и конечные точки/технологии (ОС, сети, облака, мобильные устройства и контейнеры), "не заглядывая" на уровень веб-приложений. При этом в самой матрице описано половина техник, присутствующих в "материнской" матрице.
🟡Для каждой (ну почти) техники есть описание, возможные подтехники, примеры процедур, меры противодействия, методы обнаружения.
🟡Есть разбор (довольно неплохой) 24 "громких" атак (Regression,PyLoose, XZ-Utils Backdoor, и т.п.).
🟡Авторы обещают поддерживать и развивать проект.

#mitre #matrix #appsec #application #ttp #mitigation