Исследователи из компании Kollective, занимающейся разработкой программно-определяемых сетей доставки контента, провели опрос среди двух сотен американских и британских организаций. Они обнаружили, что почти половине компаний на закрытие известной уязвимости нужен целый месяц. Расскажем, почему так происходит, и что с этим можно сделать.
Рубрика «уязвимости» - 10
Исследование: половина компаний патчит уязвимости в течение месяца — почему?
2018-09-15 в 11:13, admin, рубрики: 1cloud, meltdown, spectre, Блог компании 1cloud.ru, ИБ, информационная безопасность, патчи, уязвимости
Эксперт Positive Technologies обнаружил возможность раскрытия ключей шифрования в Intel ME
2018-09-12 в 13:08, admin, рубрики: intel, Intel ME, Блог компании Positive Technologies, информационная безопасность, уязвимости, шифрование
Изображение: Unsplash
Intel устранила серьезную уязвимость в прошивке Intel ME. Эксперт Positive Technologies Дмитрий Скляров обнаружил ошибку в работе механизмов обеспечения безопасности MFS — файловой системы, которую ME использует для хранения данных. В результате эксплуатации этой уязвимости злоумышленники могут манипулировать состоянием MFS и извлечь некоторые важные секреты.Читать полностью »
Спецкурс Group-IB: “Безопасность мобильных приложений”
2018-09-07 в 10:12, admin, рубрики: android, iOS, mobile top 10, OWASP, Аналитика мобильных приложений, Блог компании «Group-IB», информационная безопасность, ИУ-8, мгту, мобильные приложения, разработка мобильных приложений, Тестирование мобильных приложений, уязвимости
Всем привет!
Специалисты Group-IB, одной из ведущих международных компаний по предотвращению и расследованию киберпреступлений и мошенничеств с использованием высоких технологий, подготовили осенний двухмесячный курс про уязвимости мобильных приложений. Мы приглашаем всех, кто интересуется информационной безопасностью мобильных технологий, подать заявку на обучение.
Курс стартует 4 октября 2018 года. Прием заявок до 15 сентября.
Читать полностью »
Foreshadow: предвестник неприятностей?
2018-09-03 в 13:12, admin, рубрики: Foreshadow, SGX, аппаратные уязвимости, атакие, Блог компании Selectel, уязвимости
Текущий 2018 год интересен тем, что чуть ли не каждый месяц появляется информация о новых аппаратных уязвимостях: Spectre и Meltdown.
Совсем недавно — пару недель назад! — были опубликованы громкие новости об уязвимостях Foreshadow и L1Terminal Fault, которые, как сообщается, могут обойти даже механизм SGX (Sofware Guard Extensions), ранее считавшийся практически невзламываемым.
Насколько опасны эти уязвимости? Можно ли от них защититься и если можно, то как? Обо всём этом мы поговорим ниже.
Security Week 32: Fortnite-Android-драма
2018-08-27 в 11:18, admin, рубрики: android, Блог компании «Лаборатория Касперского», бэкдоры, звенья цепи, информационная безопасность, опять скрипит потертое седло, уязвимостиТот ловкий момент, когда ты написал пророческий дайджест. В прошлом выпуске речь шла о рисках безопасности в Android, в частности об уязвимостях типа Man-in-the-disk, а также о неспортивном (все ради денег) поведении компании Epic Games, отказавшейся размещать игру Fortnite в магазине Google Play. 25 августа пасьянс сошелся: Google с ее магазином, Epic Games с ее бета-версией Fortnite и даже man-in-the-disk-уязвимость вступили в интимную связь, породив среднего размера скандальчик.
Изначально речь шла о том, что технически неподкованные игроки в Fortnite, не найдя Android-версию в официальном магазине Google Play Store, пойдут искать ее куда-нибудь еще и установят на смартфон что-нибудь не то. Если сейчас со смартфона зайти в аппстор и поискать там Fortnite, Google даже покажет вам специальное сообщение, как на картинке наверху, чтобы вы не ставили из магазина приложения-клоны. Но, как выяснилось, инсталлятор Fortnite сам по себе уязвим — по сценарию не то чтобы совсем ужасному, но все же.
Читать полностью »
Security Week 31: Пятьдесят оттенков небезопасности в Android
2018-08-21 в 10:17, admin, рубрики: android, Блог компании «Лаборатория Касперского», бэкдоры, звенья цепи, информационная безопасность, уязвимости
Давно мы что-то не писали про безопасность Android. В целом ситуация там вроде бы неплохая: таких серьезных проблем, как трехлетней давности баг Stagefright, пока не находили. С 2016 года развивается программа Android One, в которой устройства среднего уровня получают единую версию ОС и, соответственно, максимально быструю доставку обновлений безопасности. Скорость доставки апдейтов до традиционных вендоров тоже, по данным Google, ускорилась.
Но не то чтобы стало совсем хорошо. Недавно мы писали про необычный Android-смартфон, притворяющийся десятым айфоном, в котором какая-либо защита данных пользователя вовсе отсутствует. Но это экзотика. А вот компания Kryptowire проанализировала (новость) прошивки множества обычных смартфонов, которые продаются по всему миру. В 25 разных моделях были обнаружены серьезные прорехи в безопасности.
Читать полностью »
Разница между красными, синими и фиолетовыми командами
2018-08-10 в 14:11, admin, рубрики: blue team, cybersecurity, red team, антивирусная защита, Блог компании Издательский дом «Питер», информационная безопасность, кибербезопасность, книги, Тестирование IT-систем, уязвимости
Здравствуйте, коллеги. Напоминаем, что не так давно у нас вышли две классные классические книги о хакинге и анализе вредоносного ПО. А также на подходе великолепная книга о дистрибутиве Kali Linux. Тем не менее, мы по-прежнему полагаем, что тема компьютерной безопасности у нас охвачена не полностью и хотели бы поинтересоваться вашим мнением о книге Юрия Диогенеса и Эрдала Озкая о взаимодействии Red Team и Blue Team при проверке информационной безопасности на предприятии.
Под катом предлагаем статью, описывающие отличия в работе Красных и Синих команд и позволяющую понять, в чем заключаются обязанности Фиолетовых команд.
Кстати, рекомендуем программерскик и непрограммерские статьи в блоге сегодняшнего автора — там интересно!
Читать полностью »
Уязвимости из OWASP Top 10. A1: 2017 – Injections (Часть 1)
2018-08-06 в 9:18, admin, рубрики: http, injection, OWASP, OWASP Top 10 2017, sql, Блог компании Газинформсервис, информационная безопасность, инъекции, пароли, стандартизация, уязвимостиОписание уязвимостей — это одно, а вот попробовать найти уязвимость и поработать с ней — совсем другое дело. Именно для этих целей создаются и развиваются специальные приложения, в которых намеренно оставлены уязвимости. Если набрать в поисковой системе запрос «Purposely vulnerable app», вы найдете ни один десяток ссылок.
В этом цикле мы начнем разбирать уязвимости из OWASP Top 10, и в качестве полигона я буду использовать такое намеренно уязвимое приложение. В моем случае это будет OWASP Mutillidae II. Это не то, чтобы самый лучший вариант, но в нем уязвимости структурированы именно так, как нужно для образовательных целей.
Обнаружен новый вариант атаки Spectre с возможностью удаленного получения данных по сети
2018-07-27 в 15:33, admin, рубрики: net spectre, spectre, атаки, информационная безопасность, Сетевые технологии, уязвимости
Ранее в этом году уже были показаны типы атак Spectre и Meltdown. Они позволяют атаковать жертву с минимальным использованием ресурсов. Специальным образом сформированный JavaScript может быть использован для выполнения атаки Spectre. Облачные сервисы, насколько можно было понять, находятся в безопасности — оба типа атак применимы лишь к проникновению на дискретные сетевые ресурсы.
Сейчас появилась информация о новом типе атаки. Ее предоставили исследователи из Грацского технологического университета имени Карла и Франца. В раскрытии нового типа атаки принимал участие и специалист по кибербезопасности Дэниэл Грасс, который обнаружил исходную атаку Meltdown. Что касается новинки, то она получила название NetSpectre. Ее особенность в том, что злоумышленник может удаленно считать данные памяти без выполнения какого-либо кода на системе жертвы.
Читать полностью »
PVS-Studio как SAST решение
2018-07-25 в 7:48, admin, рубрики: C, c/c++, C#, c++, CVE, cwe, devops, java, pvs-studio, SAST, Блог компании PVS-Studio, информационная безопасность, надежность программ, ошибки в коде, ошибки в программе, Программирование, Си, статический анализ кода, управление разработкой, уязвимости
До недавнего времени в своих статьях мы позиционировали PVS-Studio как инструмент для выявления ошибок в коде. При этом мы почти не рассматривали PVS-Studio в контексте безопасности. Попробуем немного исправить эту ситуацию и взглянем на инструмент с точки зрения тестирования защищённости приложений и DevSecOps практик.
Читать полностью »