Встречаем ещё один новый подход к управлению уязвимостями — Proactive Vulnerability Patch Management Lifecycle (PVPM)🤔

Да, это не шутка, под капотом старый добрый патч-менеджмент, но приправленный приоритизацией — куда уж нам без неё😁
Следуя современным тенденциям, автор использует четырехбуквенные аббревиатуры и периодически подшучивает над вендорами и пытается обратить внимание Gartner к своей работе👨‍💻

Если отбросить в сторону шутки и присмотреться к PVPM, то увидим, что он состоит из трех фаз:
➡️Инвентаризация — классический этап, основной целью которого является определение неиспользуемого ПО (которое проще удалить, чем обновлять).
➡️Приоритизация — на данном этапе происходит приоритизация обновления ПО, основываясь на четырех критериях, о которых написано ниже.
➡️Автоматическая установка обновлений — тот самый автопатчинг с упором на обязательное тестирование и автоматизацию.

Для этапа приоритизации автор тоже не поскупился и ввёл название Stakeholder-Specific Patching Prioritization (SSPP)😐
Дерево принятия решения основывается на четырех критериях:
🔸Attack History — были ли атаки, использующие уязвимости в рассматриваемом ПО?
🔸Exploit History — публиковались ли эксплойты или иные данные, позволяющие проэксплуатировать уязвимость в рассматриваемом ПО?
🔸Vulnerability History — есть ли в целом информация о возможных уязвимостях (CVE) в рассматриваемом ПО?
🔸Current Exposure — участвует ли ПО в процессе обработки данных и в какой зоне (интернет/интранет/локально)?

В итоге всё сводится к трём действиям:
🛠 Удалению неиспользуемого ПО
🛠 Настройке и применению автопатчинга
🛠 "Бездействию", а точнее — обновлению ПО по необходимости

🤔 Подход не лишен недостатков, как и любой другой, но интересен и вполне применим. Думаю, что Александру Леонову точно понравится😄
#cve #vulnerability #prioritization #ssvc #patchmanagement

CSA (Cloud Security Alliance) завершила цикл документов "The Six Pillars of DevSecOps" выпуском про мониторинг и измерение эффективности внедряемого процесса DevSecOps в организациях🛠

В работе подробно рассмотрены:
➡️Важные метрики, связанные с подпроцессами устранения уязвимостей, моделирования угроз и мер защиты, а также реагирования на инциденты.
➡️Сравнение уровней зрелости команд/организаций на основании OWASP DevSecOps maturity model (DSOMM).
➡️Универсальная схема процесса DevSecOps, включающая в себя основные этапы, виды деятельности и инструменты, позволяющая оценить и наметить точки мониторинга и измерения эффективности.
➡️Перечень возможных метрик, которые можно обсчитывать на каждом этапе процесса DevSecOps, для оценки эффективности и уровня его зрелости.

#devsecops #dsomm #metrics #maturity

Универсальная модель угроз для облачной инфраструктуры от PrimeHarbor Technologies and Securosis☁️
В документе описываются присущие любой облачной инфраструктуре типы злоумышленников, их цели, объекты атак, векторы и последовательность атак. В конце данной модели угроз приведен разбор пяти распространенных видов атак.
p.s. Обратите внимание на последний пункт в перечне типов злоумышленников😁

#cloud #threat #modelling

Ребята из Splunk спросили финансовых директоров компаний из чего складываются финансовые убытки при простое вследствие инцидентов ИТ/КБ и вот что мы имеем в итоге:
🔣Упущенная выгода (доход) – лидирует с отрывом от остальных категорий. По мнению опрошенных CFO именно эти потери являются ключевыми, а на восстановление доходов требуется 75 дней.
🔣Регуляторные штрафы – очевидная категория для зарубежных компаний (и для отечественных, если примут оборотные штрафы за утечки).
🔣Штрафы за нарушение SLA в рамках договорных отношений с партнерами/клиентами.
🔣Затраты на урегулирование правовых вопросов (судебные издержки, оплата юридических услуг).
🔣Затраты на восстановление "здоровья" бренда – да, чтобы восстановить подпорченную репутацию надо серьезно вложиться. В среднем уходит минимум 60 дней на восстановление привлекательности бренда (возвращение клиентов и т.п.).
🔣Затраты на маркетинг и пиар – да, связано с предыдущим видом расходов, но здесь всё более точечно (занести чего-нибудь инвесторам и покровителям из правительства). Чтобы отбить упавшую стоимость акций необходимо в среднем 79 дней.
🔣Затраты на восстановление производительности.
🔣Выкуп злоумышленнику – да, более половины CFO рекомендуют своему руководству заплатить выкуп ибо понимают, что длительный простой приведет к еще большим финансовым издержкам.
🔣Затраты на закупку оборудования для восстановления инфраструктуры.
🔣Увеличение выплат сотрудникам (переработки, найм новых сотрудников).
🔣Страховые выплаты.
🔣Затраты на восстановление резервных копий.

Если обратить внимание на наиболее частые причины простоев, то в топе ожидаемо (почти) человеческий фактор, а сбой ПО/железа и кибератаки чуть позади🧐