В компании Nucleus задались вопросом, насколько действительно трендовыми являются уязвимости, занесенные в каталог CISA Known Exploited Vulnerabilities, а также на сколько точным было предположение о появлении эксплоита для таких уязвимостей.
Недолго думая, ребята сваяли CISA Known Exploited Vulnerabilities Enrichment Dashboard, который представляет собой дашборд (да табличка просто), в котором данные об уязвимостях из каталога CISA, обогащены данными об оценке EPSS и данными от поставщика TI - компании GreyNoise.

В общем-то, никакой магии и открытий Америки - сделать такой дашборд можно самому при желании🤓
Но раз уж сделали, то почему бы и не воспользоваться. Хотя, не вижу особой ценности в этом для приоритезации устранения уязвимостей в организации, т.к. сам не особо воспринимаю оценку EPSS как полноценный критерий в цепочке принятия решения о необходимости устранения конкретной уязвимости🤷‍♀️

Ну, как бы да🤷‍♀️

Hive Systems второй год подряд публикуют интересное исследование "The Data Breach Perception Problem", где приводят аналитику по инцидентам ИБ за 2021 год, сравнивая статистику от представителей индустрии ИБ, научно-исследовательских статей, новостей в СМИ и поисковых трендов и запросов.
Цель благородная - понять на сколько можно верить различным исследованиям и на что опираться при оценке рисков.

В качестве аналитики от представителя индустрии ИБ выбран отчет Verizon DBIR (категории инцидентов оттуда же), статистика по научным статьям - с ресурса scite.ai, источники СМИ - New York Times и The Guardian, а статистика по поисковым трендам и запросам - от Google.

Из примечательного:
🔶 В исследовательских работах преобладала тема инцидентов, связанных с DoS. При этом можно отметить, что работы с разбором инцидентов категории System Intrusion (malware, ransomware, stolen credentials) цитировались чаще всего.
🔶 СМИ в большинстве своем писали об инцидентах Social Engineering (то, что ближе к народу), System Intrusion и Privilege Misuse (то, что ближе к бизнесу).
Хотя, NY Times немного выделился и много писал также и про DoS-атаки.
🔶 В поисковых трендах можно отметить также повышенные показатели запросов про украденные активы - но это не удивительно, ведь люди часто ищут "что делать, если потерял iphone"😭
🔶 А вот про веб-уязвимости пишут в основном только представители индустрии ИБ и изредка в исследовательских работах. Я, честно говоря, думал, что в научных и околонаучных работах будет больше аналитики по вебу.

ТОП-25 импортозамещенного😁 опенсорсных инструментов кибербезопасности.

Только отшумела история (очередная) про взлом сервиса LastPass (им впору переименоваться в "LastTry" 😁), а тут на очереди уже менеджер паролей в составе продукта Norton LifeLock - но вроде бы "потек" не сам🙂
Как заявили в компании:
🔸 Злоумышленники купили БД с учетными записями различных взломанных сервисов (не уточняется каких) и 01.12.2022 осуществили вход в учетки Norton LifeLock.
🔸 12.12.2022 системы безопасности обнаружили аномалии - большое кол-во неудачных попыток входа в учетки клиентов. Вообще не понятно, то ли 12 числа были аномалии, то ли система поняла, что 01.12.2022 были аномалии...
🔸Всего взломали 6450 учетных записей.
🔸Двухфакторная аутентификация на данных учетках включена НЕ была.
🔸 Злоумышленники получили доступ к персональным данным пользователей (фамилия, имя, номер телефона, почтовый адрес) + доступ к личным хранилищам Norton Password Manager.

В целом, компания Gen Digital (та самая бывшая Symantec) отчиталась, что на молодец и ни в чем не виновата и вообще "защитила 925к учеток". На этом фоне 6к учеток ничто😅
Если б еще оперативно сбросила пароли к этим учеткам и оповестила пользователей, то "цены б ей не было"😉

Идеальных систем и средств защиты не существует, взломать могут каждого и уверяющие в обратном явно ошибаются. Поэтому все чаще внедряются меры защиты, которые призваны максимально замедлить, запутать, обмануть атакующего, т.е. заставить его оценить целесообразность проведения атаки и сделать так, чтобы он плюнул и перестал атаковать активы компании.
В работе "Sludge for Good: Slowing and Imposing Costs on Cyber Attackers" рассмотрены методы "замедления" атакующих и иные техники воздействия на них. Для таких методов в английском языке используют слово "sludge" - дословный перевод (грязь, ил) слуху неприятен, хотя смысл в "вязкости"😉
На скрине приведена сравнительная таблица таких техник по типам реализации, силе воздействия на атакующего и типу потерь, которые он понесет в случае применения соответствующей техники, например деньги, нервы или время🙂