Дайджест новостей по ИБ за 18 марта

Блоги:

Рекомендации по внедрению СУИБ , а также по подготовке и прохождению сертификационного аудита ИБ от Андрея Прозорова.

Алексей Комаров поделился подборкой материалов с аналитикой по зарплатам в сфере ИБ в России за 2018 г.

Статьи:

LockerGoga: что именно произошло с Norsk Hydro .

Утилиты для детектирования перехвата HTTPS-трафика : MITMEngine и MALCOLM.

Что полезного можно вытащить из логов рабочей станции на базе ОС Windows .

Взлом прошивок USB-устройств .

Сканирование на уязвимости и безопасная разработка . Часть 1.

Операция ShadowHammer.

На платформе Open Bug Bounty появилась возможность сообщать об утечках данных .

Обнаружение серверов с работающей службой Network File System (NFS) с помощью Lampyre.

Мифы о 152-ФЗ , которые могут дорого обойтись оператору персональных данных.

Исследователи нашли API-ключи в GitHub-хранилищах .

Как киберпреступники используют популярные сериалы для распространения вредоносного ПО.

Stalkerware: средства повседневного шпионажа . Исследование коммерческих приложений-шпионов.

Kubeletmein - утилита для повышения привилегий в кластерах Kubernetes.

Использование AD для обнаружения хостов, не входящих в AD (англ.).

TOP-10 уязвимостей в 2018 г. (англ.).

Вышел CIS Controls V7.1 - лучшие практики в области кибербезопасности для защиты от распространенных угроз (см. обзор от Сергея Борисова ).

Документы:
OUCH! Создание паролей – апрельский выпуск ежемесячника по информационной безопасности для пользователей. Источник: SANS.

Законодательство:

Информационное сообщение ФСТЭК России от 29 марта 2019 г. N 240/24/1525 "О Требованиях по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий" (см. комментарии Алексея Лукацкого ). Источник: ФСТЭК.

Информационное сообщение ФСТЭК России от 29 марта 2019 г. N 240/24/1428 "О порядке предоставления Перечня средств измерений, испытательного оборудования, программных (программно-аппаратных) средств и Перечня нормативных правовых актов, методических документов и национальных стандартов, необходимых для выполнения работ по аттестации объектов информатизации, предназначенных для обработки информации, содержащей сведения, составляющие государственную тайну".

Программное обеспечение/сервисы:

Complete Mandiant Offensive VM (Commando VM) - Windows-дистрибутив для проведения тестирования на проникновения и команды атакующих (Red Team).

Shodan Monitor - мониторинг доступных в Интернете устройств. (см. краткое описание ).

Аналитика:

Ландшафт угроз для систем промышленной автоматизации . Второе полугодие 2018. Источник: Лаборатория Касперского.

Боты и ботнеты в 2018 году. Статистика атак ботнетов на клиентов организаций . Источник: Лаборатория Касперского.

Информационная безопасность на практике. Итоги 2018 г., перспективы 2019 г. - результаты опроса специалистов по информационной безопасности , ИТ-специалистов и ТОП-менеджеров российских компаний. финансы.

Уязвимости онлайн-банков : подводим итоги анализа. Источник: Positive Technologies.

Мероприятия:

29.04.2019, 28.05.2019 и 25.06.2019 Управление Роскомнадзора по Ростовской области проводит бесплатные семинары по теме: « Практика применения Федерального закона от 27 июля 2006 г. № 152 ФЗ "О персональных данных ».

Ресурсы:

Безопасность АСУ ТП . Вводный курс.

Видео с " OWASP AppSec California 2019 ".

Видео с " OWASP Russia Meetup Russia #8 ".

Видео с " BSidesSF 2019 ".

Презентации с " SANS ICS Security Summit & Training 2019 (March 2019) ".

Презентации с XXI Международной конференции «РусКрипто» .