Управление Уязвимостями и прочее

Напишу пару слов по поводу удаления национального мессенджера MAX и других приложений VK из Google Play. У меня с 2024 года Android-смартфон, на котором я принципиально не входил в аккаунт Google. Соответственно и Google Play, который без входа в аккаунт не работает, я НЕ использую. 🙂 Могу ответственно сказать: без Google Play жить вполне можно. Практически все нужные мне приложения есть в RuStore и F-Droid (оттуда я Termux беру). На крайний случай есть встроенный магазин Xiaomi GetApps. Так что сейчас удаление приложений из Google Play никак на мне не сказывается. Чего нельзя сказать об ограничениях, которые Google начнут внедрять с сентября. По этой теме ждём блокировки отечественных приложений в Android, которые будет весьма сложно обходить. 🤷‍♂️ То, что приложения VK выпилили из сторов, - конечно, весьма печально. Хоть это и было предсказуемо. С другой стороны, возможно лишившись доступа к значительной доле пользователей западных мобильных устройств, руководство VK займёт более активную позицию в направлении создания и внедрения Национальной Мобильной ОС. 🙏 Сейчас VK, по идее, становятся одними из главных интересантов в этом. ➡️Ⓜ️ MAX | @avleonovrus #Google #GooglePlay #Android #VK #MAXmessenger #НМОС #RuStore #FDroid #Xiaomi #GetApps #Termux

VM-ный миф № 1: качество детектирования уязвимостей у всех САЗ (Средств Анализа Защищённости) одинаковое. Хочу сделать мини-серию постов о популярных заблуждениях относительно Vulnerability Management-решений и процессов. И начну с самого вредного, на мой взгляд. Что детектирование уязвимостей - это что-то не особенно сложное, и практически любой IT/ИБ-вендор может вкатиться в область VM и быстро выпустить решения с тем же качеством детектирования уязвимостей, что и у лидеров рынка. По моему мнению, это обусловлено самой природой средств детектирования (в широком смысле). Такое средство получает доступ к некоторым активам для анализа, делает НЕЧТО, в результате чего клиент получает отчёт с обнаруженными проблемами. Как именно это НЕЧТО реализуется, по большому счёту остаётся за кадром. Это может быть какая-то примитивная логика, дающая результаты со множеством false positive и false negative-ошибок. А может быть чрезвычайно сложная логика, на реализацию, тестирование и поддержание которой тратятся внушительные ресурсы вендора. Приведу аналогию из области медицины. Чтобы выявлять аномалии в лёгких человека, можно прослушивать их примитивной полой трубкой ("дышите - не дышите"). Можно прослушивать их, используя более продвинутый стетоскоп. 🩺 Но для более-менее серьёзных исследований требуются установки для рентгенографии, компьютерной томографии (КТ) или магнитно-резонансной томографии (МРТ). Назначение всех этих инструментов - выявлять аномалии в лёгких (можно условно назвать их "средствами детектирования уязвимостей лёгких"), однако реализация этих инструментов требует совершенно разного технологического уровня, совершенно разных финансовых затрат, а сами инструменты обеспечивают несопоставимый уровень качества детектирования проблем. В медицине ни у кого не набирается наглости выдавать обычный стетоскоп за современный аппарат МРТ или КТ. К сожалению, в кибербезопасности - области гораздо более новой, чем медицина, и гораздо менее регулируемой, попытки выдать наспех слепленную суррогатную поделку за зрелое решение - вполне обычное дело. Так на рынке появляются VM-продукты с очень примитивной функциональностью детектирования, которые превращают процесс управления уязвимостями в профанацию. 🤦‍♂️ Хочется надеяться, что постепенная стандартизация процесса детектирования уязвимостей, а также развитие программ (обязательной?) сертификации средств анализа защищённости с проверкой их функциональных возможностей, сделают продажу таких "котов в мешке" невозможной. 🙏 Но пока, к сожалению, оценка качества детектирования остаётся делом самих клиентов. ➡️Ⓜ️ MAX | @avleonovrus #Detection #VMprocess #VMmyth

Почитал принятый 8 июля ФЗ "О поддержке развития технологий искусственного интеллекта в Российской Федерации". С мнением, что он написан для создания монополии (вернее дуополии) на ИИ для Сбера и Яндекса, я не согласен. Там действительно вводятся требования к "суверенным моделям" (посерьёзнее) и "национальным моделям" (послабее), но я бы не сказал, что в этих требованиях содержится что-то невыполнимое. ИМХО, эту инициативу по регулированию ИИ можно только приветствовать. Конечно, нужно форсированно развивать отечественные компетенции в ИИ, а не подсаживаться на зарубежные модели, а тем более сервисы. Оставьте Gemini, ChatGPT, Grok и прочее "для дома, для семьи", а в важных для страны областях будьте любезны использовать суверенное и национальное. 😉 Национальным и суверенным моделям будут предусмотрены преференции и меры поддержки. Пока самая большая и явная плюшка - снятие вопросов по авторскому праву на материалы, используемые при обучении моделей: "2. Не является нарушением авторских и (или) смежных прав обращение к информации, содержащейся в объектах авторского и (или) смежного права, в целях практического применения положений, составляющих содержание объектов авторского и (или) смежного права, включающее в том числе в рамках компьютерной обработки извлечение, сравнение, классификацию и анализ закономерностей, тенденций и корреляций, содержащихся в этих объектах авторского и (или) смежного права, а также воспроизведение посредством краткосрочной записи в память электронных вычислительных машин исключительно для обучения суверенной и (или) национальной больших фундаментальных моделей искусственного интеллекта при условии, если разработчиком используется экземпляр такого произведения, полученный им правомерно, либо если этот объект авторского и (или) смежного права был доведен до всеобщего сведения и доступен для анализа без ограничения техническими средствами." Весьма любопытно, насколько подробно в документе прописаны традиционные ценности: "Статья 4. Общие принципы правового регулирования отношений в сфере разработки, внедрения и применения больших фундаментальных моделей искусственного интеллекта. Правовое регулирование отношений в сфере разработки, внедрения и применения больших фундаментальных моделей искусственного интеллекта основывается на следующих принципах: ... 6) учет и уважение традиционных российских духовно-нравственных ценностей - обеспечение применения больших фундаментальных моделей искусственного интеллекта на основе таких ценностей, как жизнь, достоинство, права и свободы человека, патриотизм, гражданственность, служение Отечеству и ответственность за его судьбу, высокие нравственные идеалы, крепкая семья, созидательный труд, приоритет духовного над материальным, гуманизм, милосердие, справедливость, коллективизм, взаимопомощь и взаимоуважение, историческая память и преемственность поколений, единство народов России;" Вполне себе формулировки государственной идеологии ("суверенного традиционализма"?), которой стоило бы руководствоваться не только при регулировании искусственного интеллекта. 😉 ➡️Ⓜ️ MAX | @avleonovrus #AI #Sber #Yandex #ideology

Узнал сегодня, что при МГТУ им. Баумана организуются летние образовательные программы по Информационной Безопасности для школьников (что-то типа пионерских лагерей). Для 7-8 классов длительность 1 неделя, для 9-11 классов длительность 1-2 недели. Занятия будут вести преподаватели кафедры ИУ10 "Защита информации", приглашённые эксперты и специалисты из ведущих компаний отрасли. Участники программы погрузятся в мир информационной безопасности и на практике освоят её основные направления. Они будут расследовать киберинциденты, анализировать цифровые следы, разбирать реальные кейсы, а также решать CTF- и олимпиадные задачи. Полученные знания ребята применят, работая над собственными командными проектами. Также они побывают на профильных экскурсиях, познакомятся с ИБ-компаниями и пообщаются с экспертами отрасли. Я тоже планирую поучаствовать в программе в качестве эксперта и рассказать про Управление Уязвимостями. 🙂 В завершение программы участники представят и защитят свои проекты на итоговом выступлении. Лучшие проекты старшеклассников будут рекомендованы для участия в заключительном этапе олимпиады "Шаг в будущее" по профилю "Инженерное дело: информационная безопасность и криминалистика". 😉 Всё это будет проходить в новых кампусах Бауманки. В общем, если ваш ребёнок интересуется информационной безопасностью, обратите внимание. Хорошая возможность познакомиться с профессией. Смены стартуют с 13 июля, последняя начнётся 27 июля. Организаторы говорят, что на первую смену набрали больше, чем планировали, а вот на вторую и третью ещё есть свободные места. Для подписчиков канала по коду "avleonovrus" предусмотрена скидочка. 😇 ➡️Ⓜ️ MAX | @avleonovrus #education #BMSTU #BAUMANTECH #CTF #родительство

Посмотрел короткий ролик с демонстрацией работы ОС "Альт Мобильный" на смартфонах OnePlus 6T, Xiaomi Redmi Note 12 Pro 4G и PinePhone, а также портативных консолях Powkiddy и Anbernic. Ролик был снят на XIII научно-практической конференции OSday, прошедшей в начале июня. ALT Mobile выглядит прикольно - вполне себе достойный кандидат на роль Национальной Мобильной Операционной Системы. Насколько я понимаю, устройства на базе Rockchip (PinePhone Pro, PinePhone, PineTab 2) являются референсными для разработки Мобильного Альта. А вот портирование на устройства на процессоре Snapdragon (OnePlus 6T и Xiaomi Redmi Note 12 Pro 4G) было выполнено усилиями сообщества. Новый OnePlus 6T сейчас продаётся примерно за 25 000 ₽ (на Ozon есть варианты примерно за 10 000 ₽, но есть подозрения, что это refurbished), а Xiaomi Redmi Note 12 Pro 4G - примерно за 13 000 ₽. Это, к слову, о том, сколько сейчас стоит взять устройство на поиграться. 😉 Имхо, комбинация более-менее стандартного и доступного китайского железа с отечественными ОС - это сейчас наиболее жизнеспособный вариант создания массовых устройств для физических лиц. Но, конечно, хотелось бы, чтобы в продаже появились устройства с уже предустановленной ALT Mobile, т.к. самостоятельную установку осилят не только лишь все. На устройствах работают приложения из репозитория Сизиф, а также Android-приложения, запускаемые через Waydroid. Waydroid - это свободный и открытый уровень совместимости, предназначенный для запуска Android-приложений в операционных системах на базе Linux. В отличие от традиционных эмуляторов, Waydroid использует контейнерную технологию LXC, что позволяет запускать Android непосредственно на ядре хост-системы и обеспечивает производительность, близкую к нативной. Помимо иконок приложений, типичных для GNOME Shell, на скриншотах можно рассмотреть Google Play, а также Telegram. Telegram там, скорее всего, установлен как нативный Linux-клиент. Было бы очень интересно посмотреть, как через Waydroid работают RuStore и наиболее популярные отечественные приложения. 😉 ➡️Ⓜ️ MAX | @avleonovrus #AltMobile #ALTLinux #Linux #Android #Waydroid #GNOME #RuStore #Smartphones #opensource #НМОС #Rockchip #Snapdragon #PinePhone #PineTab #OnePlus #Xiaomi #XiaomiRedmiNote #Powkiddy #Anbernic #mobile

Коллеги из Kaspersky готовятся релизить Kaspersky Vulnerability Management 1.0 - первую коммерческую версию VM-решения, анонсированного в сентябре прошлого года. 16 июля они проведут вебинар, на котором обещают показать: 🔹 архитектуру решения, его функциональные возможности и планы по развитию продукта; 🔹 демо интерфейса: обзор управления обнаруживаемыми активами; 🔹 карточки найденных уязвимостей и перечень проанализированного ПО; 🔹 функциональность анализа соответствия с основными профилями сканирования; 🔹 примеры готовых отчётов и процесс настройки шаблонов. Также на сайте выложили довольно прикольный рекламный ролик. Что-то в стиле фильма Трон. Стильненько, красиво. 👍 Закадровый текст: "Каждая IT-инфраструктура скрывает риски: уязвимости, ошибки конфигурации, устаревшее ПО. Но найти их недостаточно. Важно понять, что действительно угрожает бизнесу и устранить это вовремя. Наше решение объединяет функционал обнаружения, приоритизации и контроля устранения уязвимостей в единый процесс. Обнаруживайте и устраняйте слабые места в инфраструктуре, пока они не превратились в инциденты. Решение для управления уязвимостями - Kaspersky Vulnerability Management." К релизу они сделали новый лендинг и буклет в pdf. Kaspersky Vulnerability Management позиционируется как новое решение «Лаборатории Касперского» корпоративного уровня для централизованного управления уязвимостями и мисконфигурациями. Решение помогает выявлять и устранять уязвимости в IT-инфраструктурах, приоритизировать их с учетом реальных рисков и автоматизировать процессы исправления. В буклете заявляется, что 1️⃣ Система помогает выявлять и устранять уязвимости в IT/OT инфраструктурах, приоритизировать их с учетом реальных рисков и автоматизировать процессы устранения. 2️⃣ Kaspersky Vulnerability Management станет частью Open Single Management Platform - единого центра управления решениями Лаборатории Касперского в области EPP, EDR, XDR и SIEM. 3️⃣ Платформа позволит быстро строить карту сети для управления активами, легко интегрироваться с решениями Лаборатории Касперского для индустриальной безопасности, Threat Intelligence и другими продуктами, а также обеспечит богатый набор отчетов и виджетов. 4️⃣ AI-функциональность решения дополнит мультиагентная GenAI‑система Сбера для автоматизации проверки защищенности инфраструктуры. Проект реализуется в рамках технологического партнерства «Лаборатории Касперского» и Сбера, направленного на создание AI-решений для повышения уровня кибербезопасности бизнеса. На лендинге и в буклете заявляется следующая функциональность: [ Читайте полностью в посте на сайте avleonov.ru ] ➡️Ⓜ️ MAX | @avleonovrus #Kaspersky #KasperskyVM #VulnerabilityManagement #VM #VulnerabilityScanning #VulnerabilityDetection #VulnerabilityRemediation #AssetManagement #assets #Misconfiguration #PatchManagement #Scanning #NetworkScanning #KES #KSC #EPP #EDR #XDR #SIEM #ThreatIntelligence #REST #API #Windows #Linux #OT #Sber #AI #GenAI #Vulnerabilities #webinar #announce

Мы отмечаем День семьи, любви и верности не восьмого июля, а девятого, потому что это годовщина нашей свадьбы. В этом году ещё и цифра красивая - 10 лет. Но это только по формальной дате регистрации. Так-то мы вместе уже 23 года (с первого курса Бауманки), а знакомы и того больше - 25 лет (с девятого класса). 😇 Встретить своего человека, с которым можно прожить всю жизнь, - это такая редкость и такая удача, которую практически невозможно объяснить рационально. Это дар свыше, за который ежедневно стоит быть благодарным. 🙏 И, конечно, следует понимать хрупкость и уязвимость этого дара. Ничего не гарантировано, в жизни может случиться всякое. Есть только текущий момент. И если он наполнен счастьем, любовью и взаимопониманием, то лучше ничего не может быть. Поздравляю всех (с прошедшим 🙂) Днём семьи, любви и верности! Тем, кто уже нашёл свою вторую половинку - цените и держитесь за своё счастье! А тем, кто пока не нашёл - желаю обязательно найти! ➡️Ⓜ️ MAX | @avleonovrus #family #relationships #anniversary #годовщина #праздник #дыбр

История о том, как 15-летний школьник с помощью ChatGPT нарушил работу анимешной стриминговой платформы, весьма показательна. Киберполиция Токио арестовала 15-летнего ученика первого класса старшей школы из города Токородзава (префектура Сайтама) по подозрению "в воспрепятствовании деятельности компании путём обмана". По версии следствия, парень массово отменил подписки на сервис Bandai Channel примерно для 46 800 учётных записей, что нарушило работу компании. Bandai Channel (バンダイチャンネル) - японский стриминговый сервис аниме, принадлежащий Bandai Namco Filmworks. Он работает с 2002 года и предлагает по подписке или за отдельную плату тысячи аниме-сериалов, фильмов и OVA. Сервис ориентирован главным образом на пользователей в Японии. Подозреваемый признал вину и заявил: "У меня не было личной неприязни к компании". Следствие утверждает, что школьник, используя ChatGPT, проанализировал логику работы сервиса, обнаружил уязвимость в системе и написал программу, которая автоматически отправляла ложные запросы на отмену подписок. Атака продолжалась 4 ноября прошлого года с 17:00 до 20:46. После того как компания обнаружила вредоносную активность и заблокировала доступ по IP, подросток около 30 раз менял свой IP-адрес и продолжал отправлять вредоносные запросы. 🤪 Тогда же в ноябре прошлого года компания обратилась в полицию Токио. В ходе расследования, основанного на анализе сетевых журналов и других цифровых следов, следователи установили личность подозреваемого. Тут возникает вопрос: если инцидент произошёл ещё в ноябре прошлого года, почему школьника задержали только сейчас? В оригинальной новости упоминается, что в июне этого года того же школьника уже арестовывали по подозрению в нарушении закона о запрете несанкционированного доступа к чужим учётным записям. Возможно, в июне правоохранители проверили его компьютер и обнаружили следы атаки на Bandai Channel. Тут можно сказать следующее: 🔻 С современными ИИ-сервисами (а тем более с автономными агентами) реализовывать полноценные атаки могут даже школьники без какой-либо вменяемой мотивации. Аргумент "Да кому мы нужны, чтобы нас ломать?" уже вообще не работает. Кому ломать всегда найдётся. Единственный вариант - постоянно повышать уровень защиты, чтобы реализация атак становилась всё сложнее и дороже. 🔻 Следите за своими детьми. Парень пару часиков помаялся ерундой и нажил себе проблемы на ровном месте. Если вы не объясните доходчиво своим детям, что можно делать, а что является очень даже уголовно наказуемым, то они запросто во что-нибудь такое вляпаются. ➡️Ⓜ️ MAX | @avleonovrus #ChatGPT #OpenAI #AI #LLMSecurity #cybercrime #Japan #anime #StreamingService #Streaming #BandaiChannel #BandaiNamco #law #kids #родительство

На сайте Positive Technologies вышло исследование "Рынки монетизации уязвимостей". Сделаю краткую выжимку. Основная идея: уязвимости - это ценный ресурс, представляющий интерес как для специалистов по кибербезопасности, так и для злоумышленников. Поэтому вокруг уязвимостей сформировались параллельные рынки монетизации. ⚖️ Легальный рынок Багбаунти является основным легальным способом монетизации уязвимостей. Компании выплачивают исследователям вознаграждения за найденные уязвимости в системах, продуктах и сервисах. Основной фокус багбаунти-программ составляет внешняя поверхность атаки: веб-приложения, API и корпоративная инфраструктура. 96% исследователей работают с веб-приложениями, а с ОС и ПО - лишь 38%. Чаще всего выявляют XSS, ошибки контроля доступа и конфигураций. Компании могут запускать собственные программы или использовать платформы вроде HackerOne, Bugcrowd и Standoff Bug Bounty. Стоимость размещения компаний на платформе составляет около 1 млн ₽ в год в России и 15 000 - 50 000 $ за рубежом. Размер выплат зависит от критичности уязвимости. Максимальные вознаграждения за отдельные типы уязвимостей достигают 2,4 млн ₽. 🌫 Серый рынок Серый рынок монетизации уязвимостей занимает промежуточное положение между легальными багбаунти-программами и теневыми площадками. Исследователи передают данные об уязвимостях посредникам или специализированным компаниям, а дальнейшее использование информации часто остается непрозрачным. Как правило, брокеров интересуют эксплоиты для 0-day-уязвимостей, стоимость которых может достигать 2,5 млн $. 🚫 Нелегальный рынок Теневые форумы представляют нелегальный рынок уязвимостей. 0-day уязвимости там ценятся выше всего и они чаще всего выставляются на продажу: 49% всех объявлений. Объявления о продаже 1-day уязвимостей встречаются реже и составляют 11% от общего числа. В 38% объявлений речь идёт не о продаже, а о покупке данных о конкретной уязвимости. Наиболее востребованы уязвимости удаленного выполнения кода (RCE) и повышения привилегий (LPE), на которые приходится 43% и 25% объявлений о продаже уязвимостей соответственно. Основные цели: интернет сервисы (36%) и корпоративное ПО (33%). Стоимость уязвимостей определяется их эксплуатационной ценностью. Наибольший интерес представляют редкие и сложные для обнаружения уязвимости с высоким потенциалом применения. В 47% объявлений цена на уязвимости не указывается. Цена 0-day уязвимостей на чёрном рынке может быть до 20 раз выше, чем в багбаунти-программах. На этом рынке также активно развивается сервисная модель. Уже около 7% объявлений об услугах связаны с покупкой или продажей услуг по эксплуатации уязвимостей в программном обеспечении. При этом 0-day уязвимости упоминаются в 40% таких объявлений, что подтверждает их высокую востребованность. Теневой рынок формирует развитую экосистему продажи информации об уязвимостях, но связан с рисками мошенничества и уголовного преследования. 💡 Рекомендации Компаниям следует сочетать технические и аналитические меры защиты: использовать багбаунти для непрерывного поиска уязвимостей, кибериспытания для проверки реальных сценариев атак и threat intelligence для мониторинга угроз и теневых площадок. Важно придерживаться проактивного подхода: регулярно анализировать поверхность атаки, выявлять и устранять уязвимости до их эксплуатации злоумышленниками, повышая киберустойчивость и снижая потенциальный ущерб. ➡️Ⓜ️ MAX | @avleonovrus #PositiveTechnologies #PositiveResearch #BugBounty #StandoffBugBounty #HackerOne #Bugcrowd #VulnerabilityResearch #Research #VulnerabilityManagement #ThreatIntelligence #AttackSurface #ZeroDay #Exploit #ResponsibleDisclosure #CyberThreats #DarkWeb #Cybercrime

В блоге компании Sysdig вышел пост о первой хорошо задокументированной агентной ransomware-кампании JADEPUFFER. Суть там в следующем. Первоначальный доступ злоумышленники получили через опубликованный в Интернет сервер Langflow (платформа для создания и развертывания AI-агентов и workflow), проэксплуатировав уязвимость CVE-2025-3248. Эта уязвимость позволяет удалённому неаутентифицированному атакующему с помощью специально сформированного HTTP-запроса выполнить на сервере произвольный код. Далее злоумышленники запустили адаптивную и полностью автоматизированную кампанию, дошли до целевой системы и пошифровали базу данных продакшена. 🤖🤷‍♂️ При компрометации базы эксплуатировалась уязвимость обхода аутентификации в Nacos (CVE-2021-29441). Nacos - платформа для динамического обнаружения сервисов, управления конфигурациями и администрирования сервисов. Эксперты Sysdig приводят следующие аргументы в пользу того, что эти действия выполнялись полностью автоматически: 🔻 Все полезные нагрузки доставлялись через RCE-уязвимость в Langflow в виде Python-кода, закодированного в Base64. Декодированные полезные нагрузки содержат большое количество комментариев, объясняющих, почему выполняется каждое действие. Там есть приоритизация целей по "окупаемости" (Return on Investment), определение "самой крупной" базы данных и описание назначения каждого шага. Люди обычно не добавляют комментарии к каждой команде вида python3 -c, а LLM делают это по умолчанию. 🔻 Слишком быстрая диагностика и исправление ошибок. Например, за 30-50 секунд был пройден полный цикл от неудачной попытки входа до диагностики причины ошибки, исправления кода и успешной аутентификации. 🔻 Во время атаки LLM читала обычный текст, найденный в системе, и принимала решения на его основе, а не просто искала совпадения по шаблонам. Такое поведение повторялось даже в разных сессиях с интервалом в несколько недель. Ну и более 600 осмысленных пейлоадов, выполненных за короткий промежуток времени... Не очень похоже на человека с фиксированным набором утилит. 😉 Мораль? Если не будете детектировать и устранять уязвимости, мисконфигурации и прочие экспозиции, то вас рано или поздно взломают и пошифруют. Это произойдёт с нечеловеческой скоростью и эффективностью и не потребует от злоумышленника особой квалификации. 👾👻 Эксперты Sysdig описывают следующие этапы атаки (здесь я буду обозначать LLM-агента, проводившего атаку, тоже как "JADEPUFFER"): [ Читайте полностью в посте на сайте avleonov.ru ] ➡️Ⓜ️ MAX | @avleonovrus #JADEPUFFER #Sysdig #AgenticAI #AI #LLM #Ransomware #Langflow #Nacos #Python #Exposure #PostgreSQL #MinIO #MySQL #JWT