Небезызвестный товарищ Рафик Рехман обновил свою CISO MindMap и предлагает нам в ближайший ИБэшный год сфокусироваться на следующих задачах:
🔹Повышение киберустойчивости.
🔹Сокращение и консолидация инструментов кибербезопасности.
🔹Создание бренда для команды кибербезопасников.
🔹Изучение работы бизнес-приложений и компонент из которых они состоят.
🔹Изучение и получение опыта использования новых технологий (AI, ML, DevSecOps и т.п.).
🔹Автоматизация безопасности, особенно в части метрик, инвентаризации и рисков.

Ещё один подход к приоритезации устранения уязвимостей, основанный на использовании оценки CVSS, EPSS и информации из каталога CISA KEV.

За основу берется методика от FIRST по совместному использованию оценок CVSS и EPSS. Для разграничения приоритетов в качестве пограничных значений берутся средневзвешенные значения CVSS=6 и EPSS=0.2, которые делят график на четыре квадранта.

Итого имеем 5 приоритетов:
1️⃣ CVE есть в каталоге CISA KEV  - суперкритично, т.к. уже эксплуатируются.
2️⃣ CVE из верхнего правого квадранта - опасные уязвимости, которые могут нанести критический ущерб активам, и при этом имеют высокую вероятность использования злоумышленниками.
3️⃣ CVE из нижнего правого квадранта - опасные уязвимости, но с невысокой вероятностью использования злоумышленниками.
4️⃣ CVE из верхнего левого квадранта - уязвимости, эксплуатация которых не нанесет большого ущерба активам, но большой вероятностью использования злоумышленниками.
5️⃣ CVE из нижнего левого квадранта - оставшиеся уязвимости с низкой оценкой CVSS и невысокой вероятностью использования.

Алгоритм можно использовать в боевом режиме, хотя, как и любой иной, он не лишен минусов - многие CVE могут отсутствовать в каталоге CISA KEV, но при этом активно эксплуатироваться. Да и в целом для свежих уязвимостей инструмент не сильно удобен, но кто мешает периодически пересматривать приоритет? Был бы только инструмент автоматизации.
Для данной методики приоритезации есть инструмент, который можно доработать под свои нужды.

DevOps threat matrix. Версия от Microsoft.

Агентство CISA обновило модель зрелости нулевого доверия имени себя - CISA's Zero Trust Maturity Model Version 2.0.
В новой версии определили четыре уровня зрелости вместо трех, и конкретизировали критерии достижения уровней зрелости.

Вот такие метрики, с помощью которых бизнес оценивает эффективность работы программы кибербезопасности в организации, зафиксировал Splunk по итогам опроса респондентов в своём свежем исследовании "The State of Security 2023".

Сегодня первый четверг мая, а значит пора отмечать Всемирный день пароля!
Когда же на смену этому дню придет Беспарольный день? Судя по таблице, с каждым годом пароль надо делать все длиннее и длиннее, а значит аутентификация без пароля будет становиться всё более востребованной.

Вчера гуманный и справедливый суд в США вынес обвинительный приговор бывшему CISO Uber Джо Салливану.
Господин Салливан не смог уйти от наказания за сокрытие утечки данных 57 млн клиентов компании UBER и в итоге получил три года условного срока, хотя прокурор требовал целых 15 месяцев тюремного заключения.

Из интересного:
🔹Судья отметил, что действия Джо Салливана, несмотря на сокрытие им инцидента, помогли свести к минимуму последствия от утечки. При этом было отмечено, что в будущем подобные дела будут рассматриваться более жестко.
🔹В адрес судьи пришло более 180 писем в защиту Джо Салливана, с описанием его заслуг и большого влияния на развитие отрасли кибербезопасности.
🔹Судья также отметил, что Трэвису Каланику, бышему CEO Uber, следовало бы также сесть на скамью подсудимых, т.к. он несет такую же ответственность за преступление, что и Джо Салливан.

Дело Ex-CISO Uber вызвало большой резонанс в сфере кибербезопасности, особенно на фоне того, что в США довольно распространены случаи выплат злоумышленникам выкупов при инцидентах ИБ. В связи с этим ФБР даже заявило, что не будет предъявлять обвинения тем, кто одобряет такие выплаты группам злоумышленников, при условии, что они (группы) не связаны с РФ и нападениями на объекты критической инфраструктуры.

Визуализация изменения количества уязвимостей в каталоге CISA KEV по вендорам и дате их добавления (от Nucleus Security).
По выводам всем всё очевидно - их описал у себя в канале Александр Леонов, у которого я и подсмотрел про новую инфографику по каталогу CISA KEV.
#красивоепроуязвимости