CTEM и паровозик хайпа. Алексей Лукацкий подключился к дискуссии про CTEM. Мне понравился тезис, что для Gartner-а генерация всё новых аббревиатур для продуктовых ниш "один из вариантов выделиться и задавать тон на рынке, чтобы потом все на них ссылались". Кроме того, они так расширяют темы для регулярных исследований рынка и квадрантов. 💰 Сами ниши формируют, сами исследуют, сами консультируют по ним - удобно. 🙂

А почему вендоры начинают кричать, что у них CTEM?

🔹 Они хотят в квадрант. А для входа нужно позиционировать продукты как CTEM. 😏

🔹 Это практически ничего не стоит для разработки, т.к. отличительные фичи CTEM-а размыты и уже реализованы в той или иной мере во всех зрелых VM-решениях на рынке. 🙂

Вот и цепляют вендоры свои вагончики к гартнеровскому паровозику. 🚂

Клиентам придавать большое значение аббревиатуре "CTEM" в описании продукта я бы не советовал. Обращайте внимание на качество реализации базовой функциональности, необходимой для построения VM-процесса.

@avleonovrus #CTEM #Gartner

В следующий вторник, 8 апреля, состоится вебинар "Рынок информационной безопасности: свободные ниши и новые вызовы российских компаний в 2025 году". Организатор мероприятия - Фонд развития интернет-инициатив (ФРИИ).

Выступать будут:

🔹 Илья Королёв, управляющий портфелем ФРИИ. Расскажет про работу фонда.

🔹 Владислав Рассказов, директор по венчурным инвестициям и партнёрствам ГК "Солар". Расскажет про ИБ рынок в России, его структуру, динамику роста и свободные ниши.

🔹 Давид Ордян, СЕО & founder Metascan. Расскажет про запуск EASM-стартапа, поиск первых клиентов и дальнейшее развитие. Выступления Давида я всегда смотрю с большим интересом и стараюсь конспектировать (вот, например, про безопасность периметра 🙂). Уверен, что и в этот раз будет полезно и познавательно, особенно для VM-щиков. 😉

Канал "Управление уязвимостями и прочее" в информационных партнёрах мероприятия. Буду смотреть и делиться впечатлениями. 😇

➡️ Регистрация на сайте
⏰ 08.04.2025 17:00 (МСК)

@avleonovrus #ФРИИ #Solar #Metascan

С 19 по 20 апреля T-Банк проведёт CTF соревнования. В соревнованиях могут принять участия команды до трёх человек. Призы до 420 000 ₽ на команду.

Соревнования будут проходить в двух лигах:

🔸 Лига разработки. Для тех, кто раньше не участвовал в CTF (для разработчиков, SRE- и QA-инженеров, аналитиков и других ИТ-специалистов).

🔸 Лига безопасности. Для тех, кто уже участвовал в CTF или работает в сфере ИБ.

Старт соревнований 19 апреля 9:00 мск, окончание 20 апреля 21:00 мск (всего 36 часов). Участвовать можно онлайн, либо на площадках в Москве, Санкт-Петербурге, Казани, Иннополисе, Екатеринбурге и Новосибирске.

➡️ Регистрация на сайте. Также там есть демозадания (для одного задания есть разбор) и подборка материалов для подготовки.

PS: Будет ли Т-Банк хантить тех, кто хорошо себя покажет на соревнованиях? Думаю, более чем вероятно. 😉 А в ИБ департаменте T-Банка классно, более 6 лет там работал - рекомендую. 🧡

@avleonovrus #TCTF #TCTF2025 #CTF #TBank

Про уязвимость Remote Code Execution - Apache Tomcat (CVE-2025-24813). Apache Tomcat - открытое ПО, предоставляющее платформу для запуска веб-приложений, написанных на языке Java. Уязвимость позволяет удалённому неаутентифицированному злоумышленнику послать на сервер произвольный файл для его последующего выполнения. Причина уязвимости - ошибки в обработке загружаемых файлов сессий и механизме десериализации.

🔻 Бюллетень вендора вышел 10 марта. В нём отмечается, что два условия, необходимые для эксплуатации ("writes enabled for the default servlet" и "file based session persistence with the default storage location") не выполняются в инсталляциях по умолчанию.

🔻 Разбор уязвимости на основе анализа патча и PoC эксплоита были опубликованы 11 марта. Полноценные эксплоиты доступны на GitHub с 13 марта.

🔻 С 17 марта есть признаки эксплуатации уязвимости вживую. 👾 1 апреля уязвимость добавили в CISA KEV.

Уязвимость исправлена в версиях 9.0.99, 10.1.35 и 11.0.3.

@avleonovrus #Apache #Tomcat

В журнале "Information Security" вышел спецпроект по Управлению Уязвимостями с моим участием. 🎉

🔻Цена ошибки: почему важно качественно детектировать уязвимости. Моя выстраданная статья. 🙂 Очень рад, что получилось её выпустить именно в такой манере и с такими мессаджами. 😇

🔻 Патч-менеджмент в действии: автоматизация устранения уязвимостей в инфраструктуре. Статья от Андрей Никонова из Vulns io.

🔻Как мы автоматизировали процесс VM в крупном промышленном холдинге и обеспечили контроль
устранения уязвимостей. Статья от Андрея Селиванова из R-Vision.

🔻 Сканер-ВС 7 Enterprise: анализ безопасности конфигурации никогда не был таким простым. Статья от Александра Дорофеева из Эшелона.

📔 Сравнение VM-решений: Security Vision VM, Сканер-ВС 7, R-Vision VM, MaxPatrol VM, ScanFactory VM, Vulns io VM

🗣 Круглый стол про VM: VOC, ML, борьба с бэклогом ⬅️ тут участвовал 😉

📔 Сравнение ASM-решений: BIZONE CPT, F6 ASM, Start EASM, ScanFactory VM, Сканер-ВС 7

@avleonovrus #Groteck #InformationSecurityMag #VMprocess

Впечатления от Территории Безопасности 2025. Я в этот раз забыл пофоткать. Иллюстрирую тем, что есть. 🙂

🔻 Общение - огонь!🔥 Очень продуктивно обсудил VM-ные темы на стендах Vulns io, Securitm, RedCheck, HScan. 😇 Пересёкся с бывшими коллегами из T-банка и VK. И просто с друзьями из ИБ-шной тусовочки, с которыми давно не виделся. Имхо, секрет качественного общения в том, что мероприятие однодневное (проще пересечься) и в разнообразной выставочной зоне.

🔻 VM-ная часть трека Анализ Защищённости прошла удачно. В своём выступлении я накидал, как можно оценивать и сравнивать качество детектирования уязвимостей (в продолжение статьи в Information Security). Пора, видимо, это в методику собирать? 🤔 Ставьте 🐳, если пора. На круглом столе представителей VM-вендоров, сервис-провайдеров и клиентов прошлись по прозрачности качества детектирования, AI, трендовым уязвимостям и сложностям VM-процесса. 😇

В общем, всё ТОП. Спасибо большое организаторам и до встречи через год!

@avleonovrus #tb2025 #event #БОСПУУ

Наступательный потенциал. К обсуждению вопроса о сокращении обучения ОС Windows за государственный счёт подключился Алексей Лукацкий с аргументом "А как потом проводить ̶н̶а̶с̶т̶у̶п̶а̶т̶е̶л̶ь̶н̶ы̶е̶ разведывательные операции в киберпространстве, если не останется тех, кто знает, как выглядит Windows? 🪟 А дыры искать в зарубежных продуктах как, если прописывают требования по их запрету?"

Продолжая аналогию с "огненной водой", аргумент можно перефразировать "в стране не будет учёных-наркологов, если не заставлять студентов употреблять горячительное". 🤪

Одно дело, когда группа узких специалистов изучает "силы и средства" потенциального противника для проведения работ в интересах государства. 👍🫡 И совсем другое, когда идёт массовое обучение студентов навыкам администрирования и разработки с использованием проприетарных средств, предоставленных потенциальным противником. 🙄 С внедрением этих средств в инфраструктуры организаций, включая КИИ. Это уже форменное безумие. 🤷‍♂️

@avleonovrus #OS #Microsoft #Windows

Про уязвимость Elevation of Privilege - Windows Cloud Files Mini Filter Driver (CVE-2024-30085). cldflt.sys - это драйвер минифильтра Windows Cloud Files Mini Filter, задача которого представлять хранимые в облаке файлы и папки, как если бы они находились в компьютере. Уязвимость этого драйвера, исправленная в рамках июньского Microsoft Patch Tuesday 2024 года, позволяет атакующему получить привилегии SYSTEM. Причина уязвимости - Heap-based Buffer Overflow (CWE-122).

🔻 Приватный эксплойт был представлен на конкурсе TyphoonPWN 2024 30 мая 2024 года. Его использовали в составе цепочки эксплоитов для осуществления побега из виртуальной машины под управлением VMware workstation (Guest-to-Host-Escape).

🔻 19 декабря 2024 года техническое описание и код эксплоита были опубликованы на сайте SSD Secure Disclosure.

🔻 3 марта в блоге Positive Technologies вышел пост, в котором рассматриваются корни уязвимости и техники эксплуатации.

@avleonovrus #cldflt #Windows #SSD #PositiveTechnologies #TyphoonPWN

Блогерство. Алексея Лукацкого иногда раздражает, когда его представляют на мероприятиях как блогера. Он пишет, что, блогерство это профессиональная деятельность, подразумевающая определенное качество контента, регулярность публикаций и систематическое извлечение прибыли из этой деятельности (обычно за счёт продажи рекламы). Я с ним согласен. А от себя добавлю, что от блогера ещё ждут поведения шоумена (если не клоуна). Контент блогера должен прежде всего быть развлекательным, а глубина и полезность не столь важны. В общем, аргументов хватает, чтобы не причислять себя к "блогерам". 😉

Хотя меня и не причисляют. 😅 Не, ну серьезно. Вот Артемий Лебедев с ~650к+ подписчиков в одной только телеге - блогер. Среди ИБшников таких охватов ни у кого близко нет и, думаю, не будет. Даже у варезников. 😏

Когда я хочу подсветить свою внерабочую деятельность, я отрекомендовываюсь как "VM-специалист и автор телеграм-канала про Управление Уязвимостями". Коротко, конкретно и ни к чему не обязывает. 😉

@avleonovrus #blogging

Про уязвимости VMware ESXicape (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226). Бюллетень безопасности вендора вышел 4 марта. Все эти уязвимости зарепортили эксперты из Microsoft Threat Intelligence Center. Для всех трёх уязвимостей были признаки эксплуатации вживую и они были добавлены в CISA KEV.

По мнению исследователя Кевина Бомонта, эти уязвимости образуют цепочку уязвимостей, названную "ESXicape". Эксплуатируя её, злоумышленник, имеющий возможность запускать код на виртуальной машине, "может повысить уровень доступа к гипервизору ESX". Потенциально это позволяет скомпрометировать всю виртуализованную инфраструктуру организации.

Уязвимости касаются VMX процесса (Virtual Machine Executable), который выполняется в VMkernel и отвечает за обработку ввода-вывода на устройствах, не критичных к производительности. VMX также отвечает за взаимодействие с пользовательскими интерфейсами, менеджерами снапшотов и удаленной консолью.

🔻Уязвимость состояния гонки TOCTOU (Time-of-Check Time-of-Use) в VMware ESXi и Workstation (CVE-2025-22224), приводящая к записи за пределами допустимого диапазона ("out-of-bounds write"). Злоумышленник с локальными административными привилегиями на виртуальной машине может выполнить код от имени процесса VMX на хосте (то есть в гипервизоре).

🔻Уязвимость произвольной записи в память (Arbitrary Write) в VMware ESXi (CVE-2025-22225). Злоумышленник, имеющий привилегии в процессе VMX, может записать произвольный код в область ядра, что приведёт к побегу из "песочницы".

🔻Уязвимость разглашения информации (Information Disclosure) в VMware ESXi, Workstation и Fusion (CVE-2025-22226). Причина уязвимости чтение за пределами допустимого диапазона (out-of-bounds read) в HGFS. VMware HGFS (Host-Guest File System) - это функция, которая позволяет использовать общие папки между хостовой и гостевой операционными системами в виртуальной машине VMware. Злоумышленник с административными привилегиями на виртуальной машине может извлекать содержимое памяти процесса VMX.

Обновитесь до следующих безопасных версий:

🔹 VMware ESXi 8.0: ESXi80U3d-24585383, ESXi80U2d-24585300
🔹 VMware ESXi 7.0: ESXi70U3s-24585291
🔹 VMware ESXi 6.7: ESXi670-202503001
🔹 VMware Workstation 17.x: 17.6.3
🔹 VMware Fusion 13.x: 13.6.3

@avleonovrus #VMware #ESXicape #VMX #HGFS #ESXi #VMwareWorkstation #VMwareFusion

Приглашаю завтра подключиться к эфирам по Управлению Уязвимостями на AM Live. Всё верно, традиционный ежегодный эфир по VM-у на AM Live раздвоился. ✌️

11:00 - Как выстроить процесс управления уязвимостями. Здесь будут представители Positive Technologies. SolidLab VMS, Security Vision, Vulns io VM, Kaspersky, R-Vision, RedCheck. Крепкий состав из основных игроков российского VM-рынка. 🛡 Модерировать будет Иван Шубин. От PT участвует Павел Попов.

15:00 - Лучшие практики Vulnerability Management. Здесь будут представители Инфосистемы Джет, Angara ASM, RebrandyCo, ScanFactory, BIZONE. Огненная смесь из EASM-вендоров, пентестреров и VM-консалтеров. 🔥 И я там тоже буду в качестве независимого эксперта. 😇 Модерировать будет Лев Палей.

Имхо, следует смотреть оба эфира. В первом ожидаю традиционную тонкую борьбу нарративов, отражающую текущие особенности предложений VM-игроков. 😏 Во втором - срыв покровов относительно реалий VM-а в российских организациях. 😉

@avleonovrus #AntiMalware #AMLive #VMProcess

Дмитрий Черняков из RedCheck приглашает на первый эфир и делает акцент на прозрачности детектирования и контроле покрытия хостов сканами.

Павел Попов приглашает на первый эфир и делает акценты на мультипродуктовости PT как вендора, важности VM как процесса, различиях VM-платформ, необходимости адаптации VM-систем под особенности конкретных компаний.

Лев Палей приглашает на второй эфир (наш) и эффектно снимает шапку. 🙂 Очень рад, что у нас модератором будет именно Лев. На его эфирах всегда весело и легко. Я в предвкушении. 😇