Выдвигаюсь на R-Vision R-EVOlution Conference. Наша дискуссия начнётся в 14:00 (подключайтесь! 😉), но я собираюсь посмотреть всё. В первую очередь, конечно, интересен прогресс по VM-решению R-Vision и планы по заявленным IT-продуктам в контексте их использования для улучшения VM-процесса в организациях. 🙂 Буду делиться впечатлениями по горячим следам в live-канале.

@avleonovlive

Апрельский выпуск "В тренде VM": уязвимости в Microsoft Windows, продуктах VMware, Kubernetes и Apache Tomcat. По видяшкам берём паузу, пока только текстом. 🤷‍♂️🙂

🗞 Пост на Хабре
🗒 Дайджест на сайте PT

Всего 11 трендовых уязвимостей:

🔻 Elevation of Privilege - Windows Cloud Files Mini Filter Driver (CVE-2024-30085)
🔻 Spoofing - Windows File Explorer (CVE-2025-24071)
🔻 Четыре эксплуатируемые уязвимости Windows из мартовского Microsoft Patch Tuesday (CVE-2025-24985, CVE-2025-24993, CVE-2025-26633, CVE-2025-24983)
🔻 Три уязвимости VMware "ESXicape" (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226)
🔻 Remote Code Execution - Apache Tomcat (CVE-2025-24813)
🔻 Remote Code Execution - Kubernetes (CVE-2025-1974)

@avleonovrus #втрендеVM #TrendVulns #PositiveTechnologies #SecLab #Windows #Microsoft #PatchTuesday #cldflt #SSD #TyphoonPWN #FileExplorer #FAT #NTFS #MMC #MSC #EncryptHub #ESET #PipeMagic #Win32 #VMware #ESXicape #VMX #HGFS #ESXi #VMwareWorkstation #VMwareFusion #Apache #Tomcat #Kubernetes #IngressNightmare

В следующую пятницу в Алматы состоится AppSecFest 2025. Программа доступна на сайте. Я отобрал для себя доклады, связанные с Vulnerability Management-ом:

Трек Security

🔹 10:40 - Тайны пакетных менеджеров. И где здесь про безопасность?

🔹 14:00 - Анатомия проникновения: DevSecOps глазами атакующего

🔹 14:55 - Host: oops.domain.internal - чит-код на пропуск в инфраструктуру

🔹 16:10 - Твой забытый EC2-инстанс — моя точка входа

Трек Application

🔹 14:30 - Исправляли и не исправили: как мутируют баги

🔹 16:30 - 1С за всех, все на 1С

📺 Собираюсь смотреть в трансляции.

🎫 У меня есть 2 бесплатных билета на площадку от организаторов. Кому нужно, пишите в личку с указанием ФИО, названия организации, должности, почты и телефона. 😉

@avleonovrus #AppSecFest #Kazakhstan #Event

Про TravelLine в Йошкар-Оле. После поста про iSpring появилась возможность посетить офис ещё одной крупной IT-компании города - TravelLine. У них была экскурсия для членов семей и друзей, куда и нас тоже пригласили. 😇 Как и iSpring, компания создана выходцами из Политеха. TravelLine специализируются на сервисах для отелей: бронирование, обновление информации в каналах (booking, островок и т.п.), системы отслеживание состояния номеров и т.д. В клиентах 12000 отелей по всему миру. Выручка 4.8 млрд руб. за 2024 год. 👏

В компании работает 800 человек. В основном из офиса в Йошкар-Оле. Сидят в бывшем здании местного ЦУМ-а. Отсюда впечатляющие фишечки - эскалаторы и ламповая кабинетная рассадка. 🔥👍 А так, всё как в лучших офисах: столовая (до 400 р. компенсируют), тренажёрка, кофепоинты, переговорки и т.д.

Ребята в ДИБе крутые - законтачились. 😉

@avleonovrus #TravelLine #MariEl

Может ли ФСТЭК БДУ заменить NIST NVD (и MITRE CVE Program)? Ок, импортозамещение - это задача стратегическая. А что в краткосрочной перспективе? Если все-таки американские базы уязвимостей перестанут работать, отечественная БДУ ФСТЭК нас спасёт? 🙂

В прошлом году на PHDays проходила дискуссия по поводу национальных баз уязвимостей. И я тогда на правах модератора спрашивал (02:30, 08:04) у Виталия Сергеевича Лютикова, на тот момент заместителя директора ФСТЭК, позиционируется ли БДУ как потенциальная замена NIST NVD. Ответ был отрицательным. БДУ собирает уязвимости в продуктах, которые могут использоваться в российском госсекторе, на объектах КИИ и в отечественном ПО. Задача собирать ВСЕ уязвимости (как в NVD) никогда не ставилась. Поэтому, если вы ищете полноценную российскую замену NVD, то это не БДУ. Во всяком случае в текущем понимании её целей и задач.

Более реалистичной заменой NVD будут являться отечественные Vulnerability Intelligence порталы и платформы. 😉

@avleonovrus #BDU #FSTEC #MITRE #NIST #NVD

Про iSpring в Йошкар-Оле. Не единственная большая IT-компания в городе, но самая заметная. Раньше она в фокус моего внимания не попадала. Когда в первый раз увидел логотип, вспомнились скандальные тренинги личностного роста тоже со "спринг" на конце. 😅 Но нет, это просто похожие названия. iSpring - вендор платформы для корпоративного онлайн‑обучения. Заявляется 61000 компаний-клиентов по всему миру, 2.1 млн. пользователей, 3.5 млрд руб. выручки в 2024 году. 👏

В Йошкар-Оле несколько образовательных IT-проектов iSpring:

🔹 Инфосфера - детская
компьютерная школа
🔹 Инфотех - общеобразовательный лицей
🔹 Институт программных
систем
🔹 Институт iSpring

Часть зданий учебных проектов расположены на "набережной Брюгге", часть рядом. Ещё один большой комплекс строится. Выглядит очень круто и полезно. 👍

В феврале этого года на основателя iSpring Юрия Ускова завели уголовное дело. Сообщают, что из-за сделки с землёй и возможного ущерба в 20 млн рублей. 🤷‍♂️🔬🙄 Надеюсь, что разберутся.

@avleonovrus #iSpring #MariEl

Сходили на музыкальный спектакль на марийском языке в театр драмы имени Шкетана. Я недавно сокрушался, что марийскую речь в Йошкар-Оле на улице не услышишь. Так вот, в марийском театре её очень даже было слышно. Практически только лишь её. 😅 И со сцены, и в зрительном зале. Так что гештальт можно считать закрытым. 😇 Естественно, что спектакли на марийском приходят смотреть в основном мариязычные люди. Но те, у кого уровень владения языком недостаточно высок, могут воспользоваться бесплатным синхронным переводом на русский. Очень круто. 👍

Сама пьеса "Кеҥеж Йӱд" 1957-го года. Про жизнь в марийской деревне: ремонт сельского клуба, "подъём культуры народа", отношения, мелкую коррупцию, эхо войны. Много песен и танцев.

Если кому интересно, запись спектакля без перевода есть на VK Видео. 😉 Мне больше всего нравится номер на 2:11:55.

@avleonovrus #offtopic #MariEl

Почему это нас беспокоит? Ситуация с финансированием MITRE и NIST исключительно внутриамериканская. И она так или иначе разрешится. В этой сфере крутятся миллиарды долларов, работают сотни компаний и многие тысячи специалистов. Они без нас найдут тех, кто будет вести и обогащать базу CVE, и кто будет это финансировать (CISA уже отсыпали MITRE денежек на 11 месяцев 😏).

А нам следует задуматься, почему американские базы CVE-уязвимостей настолько важны для нас. Почему это нас беспокоит?

Ответ очевиден: в России всё ещё широко используется западный коммерческий софт, уязвимости которого собираются в эти базы. Как и уязвимости западного опенсурсного софта/библиотек, составляющих основу практически всего "отечественного ПО". Из технологической зависимости растёт и зависимость от американских баз уязвимостей. 🤷‍♂️

Поэтому следует:

🔹 усиливать настоящее импортозамещение
🔹 избавляться от западных продуктов
🔹 наращивать контроль над опенсурсными проектами

@avleonovrus #NIST #MITRE #NVD #CVE #OpenSource #CISA

На следующей неделе, 23 апреля, планирую участвовать в R-Vision R-EVOlution Conference. В 14:00 начнётся панельная дискуссия "Тотальный VM-разбор: вендор, заказчик и ML против уязвимостей". Очень приятно, что коллеги из R-Vision пригласили в дискуссию представителя Positive Technologies (меня 🙂) и RedCheck (Сергея Уздемира). Не часто конкурентам дают слово на вендорских мероприятиях. Большой респект R-Vision за это! 👍👏

Собираюсь говорить про БОСПУУ, контроль качества сканирования, почему VM-процесс становится ущербным и как может выглядеть осознанный подход к VM-у. В общем, о всех тех вещах, где видится большой потенциал для взаимодействия VM-вендоров, независимо от особенностей их продуктов и маркетинговых стратегий. 🙂 Будет интересно получить обратную связь от участвующих в дискуссии представителей клиентов (Сбертех, Вымпелком, Агроэко).

➡️ Регистрация на сайте
📍 Loft Hall и онлайн

@avleonovrus #RVision #RVisionVM #RVisionConf #Event #PositiveTechnologies #RedCheck

CVE без NIST и MITRE? Кучно пошли новости о проблемах с поддержанием баз CVE уязвимостей от NIST и MITRE:

🔻 NIST может уволить 500 сотрудников. 👋
🔻 ~100к уязвимостей опубликованных до 1 января 2018 в NIST NVD перевили в статус "deffered" ("отложенный") и перестали обновлять. 🤷‍♂️
🔻 MITRE CVE Program может потерять финансирование. 💸

Процитирую свой прошлогодний пост на 25 лет CVE: "Вместо единой нейтральной базы пришли к стремительно растущему недоанализированному огороженному западному мусорному полигону."

Похоже американская система управления настолько деграднула, что и с поддержанием этого мусорного полигона не справляется. 🤷‍♂️

Что будет дальше?

🔹 80% - зальют проблему деньгами и клоунада продолжится. 🤡

🔹 20% - американские CVE-богадельни в NIST и MITRE схлопнутся и CVE Program уйдёт в свободное плавание (всё и так держится на одних CNA-организациях). 🛳️

В целом, довольно пофиг на них. Имхо, нас в России должно волновать не это.

@avleonovrus #NIST #NVD #MITRE #CVE #thoseamericans

Советы ИБ-стартаперам от Давида Ордяна, основателя EASM-вендора Metascan. По мотивам его выступления на вебинаре ФРИИ (видео, слайды).

🔹 Метаскан 4 года выживал при скромной выручке. Ситуация улучшилась с появлением энтерпрайзных заказчиков. Но с ними сложно, т.к. цикл продаж ~1 год. Денег может не хватать. 🤷‍♂️

🔹 Важно то, что вы отдаёте клиенту, а не используемые вами технологии.

🔹 Даже с самым хорошим продуктом, деньги с неба не упадут. Ключевой навык CEO - продажи. Там своя теория.

🔹 Метаскан прошёл через акселератор ФРИИ. Это не только про деньги. Аксель ставит в условия, когда невозможно не делать правильные вещи. Страшно звонить и продавать? Задание: принести 100 записей телефонных звонков. 😉 Иногда одним звонком можно закрыть сделку.

🔹 Важно готовиться к встречам, знать клиента. И не жадничать: делиться экспертизой, иногда демпинговать. Переход сейлов из больших конкурентов может бустануть продажи. 😉

➡️ Подайте заявку на инвестиции + акселератор ФРИИ до 25 апреля.

@avleonovrus #Metascan #ФРИИ

Про "набережную Брюгге" и прочие архитектурные сооружения в Йошкар-Оле эпохи Маркелова. В СМИ это обычно преподносят так: эпатажный бывший глава республики застроил столицу копиями европейских зданий. Вблизи это выглядит несколько иначе. 🙂

🔹 Набережную застраивали с нуля. Раньше там был заболоченный пустырь.

🔹 Построили в основном коммерческие и административные здания в 3-4 этажа. А-ля таунхаусы, но с красочными проработанными фасадами.

🔹 Стилистически есть фламандские и прочие западноевропейские мотивы. Но именно мотивы, это не копии существующих зданий.

🔹 С застройкой в более "традиционном" стиле были сложности. Исторических зданий Царевококшайска (дореволюционное название) осталось немного. А традиционной марийской городской архитектуры вообще не существовало, т.к. все города Марий Эл исторически русские. 🤷‍♂️

В общем, современную архитектуру Йошкар-Олы решили "придумать" через эклектичную переработку западноевропейской. Имхо, получилось симпатично и интересно. 🙂

@avleonovrus #offtopic #MariEl

Некорректная постановка задачи и нереалистичные ожидания со стороны клиентов приводят к ущербному Vulnerability Management процессу. Как сейчас выглядит типичное внедрение VM-процесса в организации? Клиент приходит к VM-вендору и хочет получить от него решение, которое сможет сходу детектировать 100% уязвимостей на 100% активах в его инфраструктуре со 100% достоверностью. 💊 Причём независимо от того какой треш, угар и чад кутежа творится в инфраструктуре клиента. 🤷‍♂️ Ну, не менять же инфру ради какого-то там VM-процесса, правда? 😏

И тут бы VM-вендору сказать, что нет, так не получится... Но кушать все хотят. И обычно VM-вендор делает вид, что такая постановка задачи ему вполне ок. 👌 А клиент делает вид, что у него теперь есть работающий VM-процесс, всё детектится и устраняется. 👨‍💻 Стороны держат покер-фейс, а неудобную тему качества детектирования стараются не замечать. 😐

В результате часть инфраструктуры остаётся в "слепых пятнах". И там, естественно, самое адище. 😈

@avleonovrus #VMprocess #blindspots

Первые впечатления от Йошкар-Олы. "Ааа! Мы и правда выбрались в Марий Эл! Тут вывески дублируются на марийском: кевыт, эмгудо, йолчием!" 😲🤩 Когда до этого знакомишься с языком только в интернете, в основном по песням, очень необычно и приятно видеть его употребление в повседневной жизни. 🙂

Хотя, честно говоря, я пока не видел здесь людей, которые бы разговаривали между собой на марийском. 🤷‍♂️ Это ожидаемо: у марийского всего 258 000 носителей. С 2002 года каждые 10 лет сокращение числа носителей на 100 000 человек. 😨 Да и марийцев в Йошкар-Оле меньше 25% (в среднем по Марий Эл процент повыше - 36%).

Но в любом случае столица республики - самое очевидное место для погружения в марийскую культуру. Чем я и планирую активно заниматься в ближайшую неделю. 🙂 Про VM буду писать урывками и в основном общие размышления. Отпуск. 😇

Вчера были в Марийском театре оперы и балета имени Эрика Сапаева на Дон Кихоте. Фото из театрального музея.

@avleonovrus #offtopic #MariEl

Презент от нашей PR-службы - значок The Best Positive Speaker 2024. 🙂 Вручается за активное участие во внешних коммуникациях: выступление на мероприятиях, написание статей, комментариев СМИ и прочее. Очень приятненько было получить. 😇 Спасибо коллегам!

Размеры значка 25 x 35 мм. Комфортно тяжеленький, металлический. Покрыт качественной яркой эмалью. С небольшим усилием раскрывается как чемоданчик. Изящная штучка. 👍

@avleonovrus #PositiveTechnologies #PR #Award #present #TBPS2024

Классно посидели 😇

Прибыл в студию на съёмку AM Live. Здесь всё по-взрослому. 🙂

➡️ Начало через 25 минут, подключайтесь. 😉

@avleonovlive

Апрельский Microsoft Patch Tuesday. Всего 153 уязвимости, в 2 раза больше, чем в марте. Из них 32 были добавлены между мартовским и апрельским MSPT. Есть 3 уязвимости с признаками эксплуатации вживую:

🔻 EoP - Windows Common Log File System Driver (CVE-2025-29824). Атакующий может получить привилегии SYSTEM. Подробностей пока нет.
🔻 SFB - Microsoft Edge (CVE-2025-2783). Побег из песочницы, есть PoC эксплоита.
🔻 RCE - Microsoft Edge (CVE-2025-24201). Изначально её заводили как уязвимость в WebKit для ОС от Apple. 🤷‍♂️

Также Microsoft исправляли уязвимости с эксплоитами в Kubernetes (CVE-2025-1974, CVE-2025-1097, CVE-2025-1098, CVE-2025-24514, CVE-2025-24513)

Из остальных можно отметить:

🔹 RCE - LDAP (CVE-2025-26670, CVE-2025-26663), TCP/IP (CVE-2025-26686), Microsoft Office (CVE-2025-29794, CVE-2025-29793), RDS (CVE-2025-27480, CVE-2025-27482), Hyper-V (CVE-2025-27491)
🔹 SFB - Kerberos (CVE-2025-29809)

🗒 Полный отчёт Vulristics

@avleonovrus #Vulristics #PatchTuesday #Microsoft #Windows

Что нового по эксплуатируемым уязвимостям из мартовского Microsoft Patch Tuesday (CVE-2025-24985, CVE-2025-24993, CVE-2025-26633, CVE-2025-24983)? Сегодня будет апрельский MSPT. Самое время посмотреть, а есть ли какие-то обновления по уязвимостям из мартовского MSPT, для которых были признаки эксплуатации вживую.

Публичных эксплоитов для этих уязвимостей пока не появилось. 🤷‍♂️

Первые две уязвимости аналогичны по вектору эксплуатации, различаются только типом уязвимой файловой системы:

🔻 Remote Code Execution - Windows Fast FAT File System Driver (CVE-2025-24985). Целочисленное переполнение или циклический переход (Integer Overflow or Wraparound, CWE-190) в драйвере Fast FAT ОС Windows позволяет неавторизованному злоумышленнику выполнить произвольный код в локальной системе. Для этого злоумышленник должен убедить потенциальную жертву примонтировать специально созданный виртуальный жесткий диск (VHD).

🔻 Remote Code Execution - Windows NTFS (CVE-2025-24993). Переполнение буфера в куче (Heap-based Buffer Overflow, CWE-122) в файловой системе Windows NTFS позволяет несанкционированному злоумышленнику выполнить код в локальной системе. Для этого злоумышленник должен убедить потенциальную жертву примонтировать специально созданный виртуальный жесткий диск (VHD).

Ещё одна уязвимость также требует открытия зловредного файла:

🔻 Security Feature Bypass - Microsoft Management Console "EvilTwin" (CVE-2025-26633). Консоль управления Майкрософт (MMC) - компонент ОС Windows, который используется для создания, сохранения и открытия консолей администрирования для управления оборудованием, программным обеспечением и сетевыми компонентами Windows. MMC позволяет сохранять коллекцию настроек в виде файлов MSC. Для эксплуатации уязвимости злоумышленник должен убедить потенциальную жертву открыть специально созданный MSC файл, что, согласно ZDI, приведёт к выполнению кода в контексте текущего пользователя. Для эксплуатации уязвимости злоумышленники могут использовать фишинг, отправляя электронные письма с вредоносными вложениями или ссылками, ведущими на подконтрольные им ресурсы. Исследователи Trend Micro связывают случаи эксплуатации уязвимости вживую с деятельностью группировки EncryptHub (также известной как Water Gamayun и Larva-208).

И, наконец, классическая уязвимость повышения привилегий:

🔻 Elevation of Privilege - Windows Win32 Kernel Subsystem (CVE-2025-24983). Для эксплуатации уязвимости аутентифицированному пользователю необходимо запустить специально созданную программу, которая в конечном итоге выполнит код с привилегиями SYSTEM. Для успешной эксплуатации уязвимости злоумышленнику необходимо выиграть "race condition". Уязвимость была обнаружена исследователями ESET. Они нашли эксплойт для CVE-2025-24983 на системах, скомпрометированных с использованием бэкдора PipeMagic.

@avleonovrus #MSPT #Microsoft #FAT #NTFS #MMC #MSC #EncryptHub #WaterGamayun #Larva208 #ESET #PipeMagic #Win32

Лев Палей приглашает на второй эфир (наш) и эффектно снимает шапку. 🙂 Очень рад, что у нас модератором будет именно Лев. На его эфирах всегда весело и легко. Я в предвкушении. 😇

Павел Попов приглашает на первый эфир и делает акценты на мультипродуктовости PT как вендора, важности VM как процесса, различиях VM-платформ, необходимости адаптации VM-систем под особенности конкретных компаний.

Дмитрий Черняков из RedCheck приглашает на первый эфир и делает акцент на прозрачности детектирования и контроле покрытия хостов сканами.

Приглашаю завтра подключиться к эфирам по Управлению Уязвимостями на AM Live. Всё верно, традиционный ежегодный эфир по VM-у на AM Live раздвоился. ✌️

11:00 - Как выстроить процесс управления уязвимостями. Здесь будут представители Positive Technologies. SolidLab VMS, Security Vision, Vulns io VM, Kaspersky, R-Vision, RedCheck. Крепкий состав из основных игроков российского VM-рынка. 🛡 Модерировать будет Иван Шубин. От PT участвует Павел Попов.

15:00 - Лучшие практики Vulnerability Management. Здесь будут представители Инфосистемы Джет, Angara ASM, RebrandyCo, ScanFactory, BIZONE. Огненная смесь из EASM-вендоров, пентестреров и VM-консалтеров. 🔥 И я там тоже буду в качестве независимого эксперта. 😇 Модерировать будет Лев Палей.

Имхо, следует смотреть оба эфира. В первом ожидаю традиционную тонкую борьбу нарративов, отражающую текущие особенности предложений VM-игроков. 😏 Во втором - срыв покровов относительно реалий VM-а в российских организациях. 😉

@avleonovrus #AntiMalware #AMLive #VMProcess

Про уязвимости VMware ESXicape (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226). Бюллетень безопасности вендора вышел 4 марта. Все эти уязвимости зарепортили эксперты из Microsoft Threat Intelligence Center. Для всех трёх уязвимостей были признаки эксплуатации вживую и они были добавлены в CISA KEV.

По мнению исследователя Кевина Бомонта, эти уязвимости образуют цепочку уязвимостей, названную "ESXicape". Эксплуатируя её, злоумышленник, имеющий возможность запускать код на виртуальной машине, "может повысить уровень доступа к гипервизору ESX". Потенциально это позволяет скомпрометировать всю виртуализованную инфраструктуру организации.

Уязвимости касаются VMX процесса (Virtual Machine Executable), который выполняется в VMkernel и отвечает за обработку ввода-вывода на устройствах, не критичных к производительности. VMX также отвечает за взаимодействие с пользовательскими интерфейсами, менеджерами снапшотов и удаленной консолью.

🔻Уязвимость состояния гонки TOCTOU (Time-of-Check Time-of-Use) в VMware ESXi и Workstation (CVE-2025-22224), приводящая к записи за пределами допустимого диапазона ("out-of-bounds write"). Злоумышленник с локальными административными привилегиями на виртуальной машине может выполнить код от имени процесса VMX на хосте (то есть в гипервизоре).

🔻Уязвимость произвольной записи в память (Arbitrary Write) в VMware ESXi (CVE-2025-22225). Злоумышленник, имеющий привилегии в процессе VMX, может записать произвольный код в область ядра, что приведёт к побегу из "песочницы".

🔻Уязвимость разглашения информации (Information Disclosure) в VMware ESXi, Workstation и Fusion (CVE-2025-22226). Причина уязвимости чтение за пределами допустимого диапазона (out-of-bounds read) в HGFS. VMware HGFS (Host-Guest File System) - это функция, которая позволяет использовать общие папки между хостовой и гостевой операционными системами в виртуальной машине VMware. Злоумышленник с административными привилегиями на виртуальной машине может извлекать содержимое памяти процесса VMX.

Обновитесь до следующих безопасных версий:

🔹 VMware ESXi 8.0: ESXi80U3d-24585383, ESXi80U2d-24585300
🔹 VMware ESXi 7.0: ESXi70U3s-24585291
🔹 VMware ESXi 6.7: ESXi670-202503001
🔹 VMware Workstation 17.x: 17.6.3
🔹 VMware Fusion 13.x: 13.6.3

@avleonovrus #VMware #ESXicape #VMX #HGFS #ESXi #VMwareWorkstation #VMwareFusion

Блогерство. Алексея Лукацкого иногда раздражает, когда его представляют на мероприятиях как блогера. Он пишет, что, блогерство это профессиональная деятельность, подразумевающая определенное качество контента, регулярность публикаций и систематическое извлечение прибыли из этой деятельности (обычно за счёт продажи рекламы). Я с ним согласен. А от себя добавлю, что от блогера ещё ждут поведения шоумена (если не клоуна). Контент блогера должен прежде всего быть развлекательным, а глубина и полезность не столь важны. В общем, аргументов хватает, чтобы не причислять себя к "блогерам". 😉

Хотя меня и не причисляют. 😅 Не, ну серьезно. Вот Артемий Лебедев с ~650к+ подписчиков в одной только телеге - блогер. Среди ИБшников таких охватов ни у кого близко нет и, думаю, не будет. Даже у варезников. 😏

Когда я хочу подсветить свою внерабочую деятельность, я отрекомендовываюсь как "VM-специалист и автор телеграм-канала про Управление Уязвимостями". Коротко, конкретно и ни к чему не обязывает. 😉

@avleonovrus #blogging

Про уязвимость Elevation of Privilege - Windows Cloud Files Mini Filter Driver (CVE-2024-30085). cldflt.sys - это драйвер минифильтра Windows Cloud Files Mini Filter, задача которого представлять хранимые в облаке файлы и папки, как если бы они находились в компьютере. Уязвимость этого драйвера, исправленная в рамках июньского Microsoft Patch Tuesday 2024 года, позволяет атакующему получить привилегии SYSTEM. Причина уязвимости - Heap-based Buffer Overflow (CWE-122).

🔻 Приватный эксплойт был представлен на конкурсе TyphoonPWN 2024 30 мая 2024 года. Его использовали в составе цепочки эксплоитов для осуществления побега из виртуальной машины под управлением VMware workstation (Guest-to-Host-Escape).

🔻 19 декабря 2024 года техническое описание и код эксплоита были опубликованы на сайте SSD Secure Disclosure.

🔻 3 марта в блоге Positive Technologies вышел пост, в котором рассматриваются корни уязвимости и техники эксплуатации.

@avleonovrus #cldflt #Windows #SSD #PositiveTechnologies #TyphoonPWN

Пощупал новый мессенджер MAX от VK. Разработкой занимается новое юрлицо "Коммуникационная платформа". Мессенджер позиционируется как будущий супер-апп, аналог китайского WeChat. Мне он в первую очередь интересен в качестве площадки для ведения канала, если Telegram заблокируют.

По первой (бета?) версии расклад такой:

🔹 Есть мобильные приложения, приложения под win и macOS, веб-версия. Обещают клиент под Linux. Регистрация по номеру телефона. Ников и ссылок на профиль нет.

🔹 Каналов пока нет, но уже есть групповые чаты.

🔹 Возможности форматирования текста богаче, чем в Telegram. Дополнительно есть заголовок, выделение красным, подчёркивание. Лимиты на сообщения с картинкой большие - 4000 символов. 👍 Изображение непривычно ниже текста. 👎

🔹 Экспортировать историю сообщений из чата нельзя.

🔹 Есть боты. По умолчанию добавляется бот GigaChat от Сбера.

В целом, пока для моих задач не юзабельно, но перспективы есть. Буду отслеживать развитие.

@avleonovrus #MAXmessenger #VK #Channels

Наступательный потенциал. К обсуждению вопроса о сокращении обучения ОС Windows за государственный счёт подключился Алексей Лукацкий с аргументом "А как потом проводить ̶н̶а̶с̶т̶у̶п̶а̶т̶е̶л̶ь̶н̶ы̶е̶ разведывательные операции в киберпространстве, если не останется тех, кто знает, как выглядит Windows? 🪟 А дыры искать в зарубежных продуктах как, если прописывают требования по их запрету?"

Продолжая аналогию с "огненной водой", аргумент можно перефразировать "в стране не будет учёных-наркологов, если не заставлять студентов употреблять горячительное". 🤪

Одно дело, когда группа узких специалистов изучает "силы и средства" потенциального противника для проведения работ в интересах государства. 👍🫡 И совсем другое, когда идёт массовое обучение студентов навыкам администрирования и разработки с использованием проприетарных средств, предоставленных потенциальным противником. 🙄 С внедрением этих средств в инфраструктуры организаций, включая КИИ. Это уже форменное безумие. 🤷‍♂️

@avleonovrus #OS #Microsoft #Windows

Впечатления от Территории Безопасности 2025. Я в этот раз забыл пофоткать. Иллюстрирую тем, что есть. 🙂

🔻 Общение - огонь!🔥 Очень продуктивно обсудил VM-ные темы на стендах Vulns io, Securitm, RedCheck, HScan. 😇 Пересёкся с бывшими коллегами из T-банка и VK. И просто с друзьями из ИБ-шной тусовочки, с которыми давно не виделся. Имхо, секрет качественного общения в том, что мероприятие однодневное (проще пересечься) и в разнообразной выставочной зоне.

🔻 VM-ная часть трека Анализ Защищённости прошла удачно. В своём выступлении я накидал, как можно оценивать и сравнивать качество детектирования уязвимостей (в продолжение статьи в Information Security). Пора, видимо, это в методику собирать? 🤔 Ставьте 🐳, если пора. На круглом столе представителей VM-вендоров, сервис-провайдеров и клиентов прошлись по прозрачности качества детектирования, AI, трендовым уязвимостям и сложностям VM-процесса. 😇

В общем, всё ТОП. Спасибо большое организаторам и до встречи через год!

@avleonovrus #tb2025 #event #БОСПУУ

В журнале "Information Security" вышел спецпроект по Управлению Уязвимостями с моим участием. 🎉

🔻Цена ошибки: почему важно качественно детектировать уязвимости. Моя выстраданная статья. 🙂 Очень рад, что получилось её выпустить именно в такой манере и с такими мессаджами. 😇

🔻 Патч-менеджмент в действии: автоматизация устранения уязвимостей в инфраструктуре. Статья от Андрей Никонова из Vulns io.

🔻Как мы автоматизировали процесс VM в крупном промышленном холдинге и обеспечили контроль
устранения уязвимостей. Статья от Андрея Селиванова из R-Vision.

🔻 Сканер-ВС 7 Enterprise: анализ безопасности конфигурации никогда не был таким простым. Статья от Александра Дорофеева из Эшелона.

📔 Сравнение VM-решений: Security Vision VM, Сканер-ВС 7, R-Vision VM, MaxPatrol VM, ScanFactory VM, Vulns io VM

🗣 Круглый стол про VM: VOC, ML, борьба с бэклогом ⬅️ тут участвовал 😉

📔 Сравнение ASM-решений: BIZONE CPT, F6 ASM, Start EASM, ScanFactory VM, Сканер-ВС 7

@avleonovrus #Groteck #InformationSecurityMag #VMprocess

Про уязвимость Remote Code Execution - Apache Tomcat (CVE-2025-24813). Apache Tomcat - открытое ПО, предоставляющее платформу для запуска веб-приложений, написанных на языке Java. Уязвимость позволяет удалённому неаутентифицированному злоумышленнику послать на сервер произвольный файл для его последующего выполнения. Причина уязвимости - ошибки в обработке загружаемых файлов сессий и механизме десериализации.

🔻 Бюллетень вендора вышел 10 марта. В нём отмечается, что два условия, необходимые для эксплуатации ("writes enabled for the default servlet" и "file based session persistence with the default storage location") не выполняются в инсталляциях по умолчанию.

🔻 Разбор уязвимости на основе анализа патча и PoC эксплоита были опубликованы 11 марта. Полноценные эксплоиты доступны на GitHub с 13 марта.

🔻 С 17 марта есть признаки эксплуатации уязвимости вживую. 👾 1 апреля уязвимость добавили в CISA KEV.

Уязвимость исправлена в версиях 9.0.99, 10.1.35 и 11.0.3.

@avleonovrus #Apache #Tomcat

С 19 по 20 апреля T-Банк проведёт CTF соревнования. В соревнованиях могут принять участия команды до трёх человек. Призы до 420 000 ₽ на команду.

Соревнования будут проходить в двух лигах:

🔸 Лига разработки. Для тех, кто раньше не участвовал в CTF (для разработчиков, SRE- и QA-инженеров, аналитиков и других ИТ-специалистов).

🔸 Лига безопасности. Для тех, кто уже участвовал в CTF или работает в сфере ИБ.

Старт соревнований 19 апреля 9:00 мск, окончание 20 апреля 21:00 мск (всего 36 часов). Участвовать можно онлайн, либо на площадках в Москве, Санкт-Петербурге, Казани, Иннополисе, Екатеринбурге и Новосибирске.

➡️ Регистрация на сайте. Также там есть демозадания (для одного задания есть разбор) и подборка материалов для подготовки.

PS: Будет ли Т-Банк хантить тех, кто хорошо себя покажет на соревнованиях? Думаю, более чем вероятно. 😉 А в ИБ департаменте T-Банка классно, более 6 лет там работал - рекомендую. 🧡

@avleonovrus #TCTF #TCTF2025 #CTF #TBank

В следующий вторник, 8 апреля, состоится вебинар "Рынок информационной безопасности: свободные ниши и новые вызовы российских компаний в 2025 году". Организатор мероприятия - Фонд развития интернет-инициатив (ФРИИ).

Выступать будут:

🔹 Илья Королёв, управляющий портфелем ФРИИ. Расскажет про работу фонда.

🔹 Владислав Рассказов, директор по венчурным инвестициям и партнёрствам ГК "Солар". Расскажет про ИБ рынок в России, его структуру, динамику роста и свободные ниши.

🔹 Давид Ордян, СЕО & founder Metascan. Расскажет про запуск EASM-стартапа, поиск первых клиентов и дальнейшее развитие. Выступления Давида я всегда смотрю с большим интересом и стараюсь конспектировать (вот, например, про безопасность периметра 🙂). Уверен, что и в этот раз будет полезно и познавательно, особенно для VM-щиков. 😉

Канал "Управление уязвимостями и прочее" в информационных партнёрах мероприятия. Буду смотреть и делиться впечатлениями. 😇

➡️ Регистрация на сайте
⏰ 08.04.2025 17:00 (МСК)

@avleonovrus #ФРИИ #Solar #Metascan

CTEM и паровозик хайпа. Алексей Лукацкий подключился к дискуссии про CTEM. Мне понравился тезис, что для Gartner-а генерация всё новых аббревиатур для продуктовых ниш "один из вариантов выделиться и задавать тон на рынке, чтобы потом все на них ссылались". Кроме того, они так расширяют темы для регулярных исследований рынка и квадрантов. 💰 Сами ниши формируют, сами исследуют, сами консультируют по ним - удобно. 🙂

А почему вендоры начинают кричать, что у них CTEM?

🔹 Они хотят в квадрант. А для входа нужно позиционировать продукты как CTEM. 😏

🔹 Это практически ничего не стоит для разработки, т.к. отличительные фичи CTEM-а размыты и уже реализованы в той или иной мере во всех зрелых VM-решениях на рынке. 🙂

Вот и цепляют вендоры свои вагончики к гартнеровскому паровозику. 🚂

Клиентам придавать большое значение аббревиатуре "CTEM" в описании продукта я бы не советовал. Обращайте внимание на качество реализации базовой функциональности, необходимой для построения VM-процесса.

@avleonovrus #CTEM #Gartner

Огненная винда. На предыдущий пост можно возразить: "Что же ты, Александр, топишь за сокращение обучения Windows-у в ВУЗах, а сам каждый месяц виндовые уязвимости разбираешь? Несостыковочка!"

Вовсе нет. Разбираю их вынужденно, т.к. Windows всё ещё лидирующая ОС в российских корпоративных инфраструктурах, особенно на десктопах. Поэтому уязвимости Windows становятся трендовыми и требуют особого внимания. 🤷‍♂️ А если бы доля Windows снизилась до доли macOS, может и не разбирал бы. 😌

Эта скверная зависимая ситуация - следствие десятилетий очень эффективной политики Microsoft по упрочнению монопольного положения Windows (в т.ч. через работу с ВУЗами) и отсутствия внятных протекционистских мер со стороны государства. 🤷‍♂️

Не получится изменить сложившуюся ситуацию без осознания того, что Microsoft нам не бро, а хитрые вражины неоколонизаторы. И подсаживание на их технологии не идёт нам на пользу. Так же как индейцам не пошли на пользу закупки столь желанной "огненной воды". 😉

@avleonovrus #Windows #Microsoft

Минимизировать обучение ОС Windows за государственный счёт. Дмитрий Фёдоров в своём посте называет тенденции по отказу от изучения Windows в курсах по ОС в ВУЗах крайне негативными. 🤔 А у меня мнение обратное. Когда я учился в нулевых, у нас был один сплошной Windows. Программирование только под Windows и в Visual Studio. На курсах по ОС всё тоже в основном про Windows, 1-2 лекции про POSIX. Чуть-чуть практики под Linux дали на военной кафедре с МСВС-ом. 🤷‍♂️

Я за то, чтобы в государственных ВУЗах за государственный счёт учили прежде всего отечественным ОС: Linux-дистрибутивам, Kaspersky OS, Авроре и т.д. Чтобы выпускники выходили специалистами по этим системам и были заинтересованы в импортозамещении. Также как выпускники нулевых были заинтересованы в засилье MS.

Про зарубежные ОС тоже можно рассказать: Windows, Apple macOS и iOS, Android, HarmonyOS, Cisco IOS, BSD, AIX, HPUX, Minix и другие. Но факультативно и в равной пропорции. 😉

@avleonovrus #BMSTU #OS #Microsoft #Windows #Linux

Patch Management в Vulns.io VM. Попалась на глаза новая раздатка. 🙂 В ней делают акцент на том, что в Vulns.io добавили не просто автопатчилку, а систему управления обновлениями, работающую в некотором процессе:

1. Сбор и отображение информации об обновлениях, исправляющих детектируемые уязвимости.

2. Загрузка обновлений в локальное хранилище с проверкой целостности. Обновления для прикладного ПО под Linux и Windows сейчас скачиваются с сайтов вендоров, но скоро будут скачиваться централизованно из облака Vulns.io. Системные обновления берутся напрямую из MS Updates/WSUS или Linux-репозиториев.

3. Проверка безопасности обновлений и ручной перевод обновления в "доверенное". Проверку нужно выполнять самостоятельно, возможно по методике ФСТЭК.

4. Создание задач на автоматическую установку "доверенных" обновлений.

Актуальный перечень систем и софтов, для которых поддерживается обновление, содержится в файле (раздел "Обновляемое программное обеспечение"). 😉

@avleonovrus #PatchManagement #VulnsIO

Про уязвимость Remote Code Execution - Kubernetes (CVE-2025-1974). Неаутентифицированный злоумышленник с доступом к сети подов может выполнить произвольный код в контексте контроллера ingress-nginx. Это может привести к утечке секретов, доступных контроллеру. А при стандартной установке контроллер имеет доступ ко всем секретам кластера.

🔹 24 марта в блоге компании Wiz вышел write-up по этой уязвимости, названной IngressNightmare (наряду с CVE-2025-1097, CVE-2025-1098 и CVE-2025-24514). Исследователи Wiz зафиксировали 6500 уязвимых контроллеров, доступных непосредственно из Интернет. 😱 Кроме того, в блоге Kubernetes сообщают, что сеть подов часто может быть доступна для всех рабочих нагрузок в частном облаке (VPC), или даже для всех, кто подключен к корпоративной сети. А сам ingress-nginx используется в 40% кластеров Kubernetes.

🔹 С 25 марта для этой уязвимости доступен публичный эксплойт на GitHub. 😈

Обновите ingress-nginx до версий v1.12.1, v1.11.5 или выше!

@avleonovrus #Kubernetes #IngressNightmare

Посмотрел вебинар по применению BI.ZONE GRC для управления уязвимостями и комплаенсом. Очень толковое и насыщенное мероприятие. 👍

🔹 Много времени уделили управлению IT-активами как основе для всех доменов практической безопасности, включая комплаенс, защиту инфраструктуры и данных. Для эффективного учёта активов IT и ИБ необходимо действовать сообща и наращивать автоматизацию.

🔹 Говоря о VM-е Кирилл Карпиевич покритиковал цикл Gartner-а и игру IT-шников в докажи-покажи. 🔥 Я оценил. 🙂👍 Он рассказал, как СберTex использует BI.ZONE GRC для поддержания единого реестра активов, собирая в него данные из изолированных ЦОД-ов с помощью MaxPatrol VM, Kaspersky KSC и Сканер-ВС.

🔹 Андрей Шаврин рассказал, что в комплаенсе важно искать пересечение требований, а работы по внедрению начинать с аудита. С помощью BI.ZONE GRC в дочерних компаниях "МУЗ‑ТВ" автоматизировали работу с ПДН.

Сами интерфейсы GRC-системы не показали, надеюсь на live-демо в следующий раз. 😉

@avleonovrus #BIZONE #VMprocess #ComplianceManagement

Расскажу про свой проект Vulristics на киберфестивале PHDays. CFP на PHDays завершился, все доклады отобрали. 👍

Меня спросили недавно: "Неужели сотрудники Positive Technologies тоже проходят через CFP?!" Да, тоже! 🙂 Квот нет и заявки отбирают по общим для всех правилам. А заявок в этом году было более 800!

❌ Моя основная заявка на доклад "Руководство ФСТЭК по Управлению Уязвимостями в 2025 году и его расширение" не прошла CFP в Defense трек. 😔 Бывает. 🤷‍♂️ Про усиление роли Руководства в работе государственных и финансовых организаций и сочетание его с БОСПУУ я обязательно расскажу в другой раз. 🙂

✅ Зато прошла заявка на доклад "Vulristics - утилита для анализа и приоритизации уязвимостей" в трек OpenSource & OpenSecurity. 🎉 Расскажу, как я 5 лет развиваю этот проект и использую его практически ежедневно. 😎

🎟 Билеты на закрытую часть уже в продаже. Это пожертвование от 1500 р. в один из благотворительных фондов. 👍

@avleonovrus #PHDays #PHDaysFest #PHDays2025 #PHD2025 #event #PositiveTechnologies

25 апреля в Казахстане пройдёт третий AppSecFest. На мероприятии будет 2 конференц-зоны:

🔹 Sec Zone посвящена безопасности приложений: SAST, DAST, IAST, API, IaC, Cloud Security, Pentesting, Bug Bounty, Vault, WAF, Web 3.0 Security, Secure SDLC, DevSecOps, управление уязвимостями, угрозы, регуляторные требования, атака/защита приложений.

🔹 App Zone посвящена разработке ПО: Mobile, Web, X-Platform, Frontend/Backend, Microservices, Docker/K8s, Big Data, Cloud, Blockchain, AI, ML, Web 3.0, архитектура, DevOps, CI/CD, Agile, UI/UX, качество кода.

🚩 В рамках мероприятия пройдут CTF-соревнования.

➡️ Call For Papers до 1 апреля включительно. Отличная возможность выступить и понетворкиться за пределами РФ. 😉 Ожидается 1000+ участников.

Канал "Управление Уязвимостями и прочее" в информационных партнёрах мероприятия. 🙂

@avleonovrus #AppSecFest #Kazakhstan #Event

Про уязвимость Remote Code Execution - Veeam Backup & Replication (CVE-2025-23120). Veeam B&R - клиент-серверное ПО для централизованного резервного копирования виртуальных машин в средах VMware vSphere и Microsoft Hyper-V.

Уязвимость, вызванная ошибкой десериализации (CWE-502), позволяет злоумышленнику выполнить произвольный код на уязвимом сервере. Необходимые условия: сервер Veeam должен быть в домене Active Directory, а злоумышленник должен быть аутентифицирован в этом домене.

Бюллетень вендора вышел 19 марта. А уже 20 марта в блоге компании watchTowr Labs появился разбор уязвимости. Скорее всего, скоро появится PoC эксплоита на основе этого описания.

До 2022 года продукты Veeam были популярны в России, и, вероятно, ещё остались активные инсталляции.

❗️ Компрометация системы бэкапирования помешает быстрому восстановлению инфраструктуры после атаки шифровальщика. 😉

Обновитесь до версии 12.3.1 и, по возможности, отключите сервер B&R от домена.

@avleonovrus #Veeam #Backup #Replication #watchTowrLabs

В этот четверг, 27 марта, в 11:00 состоится вебинар по использованию BI.ZONE GRC для управления уязвимостями и комплаенсом.

Выступать будут:

🔹 Андрей Быков, руководитель BI.ZONE GRC. Расскажет про само решение.

🔹 Кирилл Карпиевич, специалист по анализу уязвимостей "СберТех". Расскажет о сложностях управления уязвимостями в крупнейшем облачном провайдере.

🔹 Андрей Шаврин, начальник отдела информационной безопасности "МУЗ‑ТВ". Расскажет как выстроить комплаенс по ПДН и КИИ для группы компаний.

Обещают сделать упор на управление активами и рассказать "какие процессы можно автоматизировать минимум на 80%". Звучит интригующе. 🙂

Телеграм-канал "Управление Уязвимостями и прочее" в информационных партнёрах мероприятия. Собираюсь посмотреть и поделиться впечатлениями.

➡️ Регистрация на сайте

@avleonovrus #BIZONE #VMprocess #ComplianceManagement

Полный CTEM. У Дениса Батранкова вышел пост про то, что "VM больше не спасает", но есть продвинутая альтернатива - CTEM. Я своё мнение по поводу CTEM высказал в прошлом году и оно не изменилось: это очередной бессмысленный маркетинговый термин от Gartner. Всё "новое" в CTEM-е давно реализовано в VM-решениях.

Посудите сами:

🔹 Разве VM-решения детектируют только CVE и не детектируют мисконфигурации?
🔹 VM-решения приоритизируют уязвимости только по CVSS без учёта признаков наличия эксплоитов и эксплуатации в реальных атаках?
🔹 VM-щики не сканируют периметр?

Это же смехотворно. Всё это даже урезанным Nessus-ом можно делать. Апологеты CTEM придумали удобное соломенное чучело под названием "обычный VM" и решительно его побеждают. 🙂

Но заметьте о чём они молчат: о контроле качества детектирования, покрытия активов, выполнения тасков на устранение (БОСПУУ). То, что является основой, конкретно, проверяемо и требует значительных ресурсов для реализации. 😉

@avleonovrus #Gartner #CTEM #VMprocess #БОСПУУ

SOC и VOC на одном уровне? Как по мне, выделение Vulnerability Operation Center на одном уровне организационной структуры с Security Operation Center - неплохая идея.

Конечно, в SOC можно, при желании, перевести практически любые ИБ-процессы организации, включая VM. И так частенько делают. Но, думаю никто не будет спорить, что всё же основная задача SOC - детектирование инцидентов и реагирование на них. И, имхо, хорошо, когда SOC на этой реактивной функции и специализируется.

В VOC же можно собрать всё, что касается проактивной безопасности - выявление, приоритизацию и устранение всевозможных уязвимостей (CVE/БДУ, конфигураций, своего кода), технический compliance, контроль состояния СЗИ и САЗ. В общем всё то, что повышает безопасность инфраструктуры и усложняет проведение атак, а значит облегчает работу SOC. 😉

Однако структура департамента ИБ - это, часто, политический вопрос, а не вопрос практической полезности и целесообразности. 😏

@avleonovrus #VOC #VMprocess #SOC

Что за зверь "Vulnerability Operation Center"? VOC - не самый распространённый термин, но на западе встречается. Одни компании (небольшие вендоры, такие как Hackuity, Patrowl, YOGOSHA) определяют его как платформу или утилиту для управления уязвимостями, которая имеет преимущества перед "традиционными VM-решениями". Другие (сервис-провайдеры, такие как Orange Cyberdefense и Davidson), определяют VOC как структурные подразделения организаций.

Между VOC и VM примерно такая же смысловая неразбериха, как была межу SOC и SIEM. 🙂 И я склонен разрешать её аналогичным образом. VOС - структурное подразделение организации, специалисты которого реализуют VM-процесс, используя одно или несколько VM-решений для детектирования, приоритизации и устранения уязвимостей (с одним решением удобнее 🙂). VM-процесс может быть выстроен, например, в соответствии с "Руководством по организации процесса управления уязвимостями в органе (организации)" ФСТЭК и расширен с учётом БОСПУУ. 😉

@avleonovrus #VOC #VMprocess

Канал "Управление Уязвимостями и прочее" снова засветился в рейтинге Топ-108 лучших телеграм-каналов по ИБ. В категории "Авторские".

Правда, в прошлом году в аналогичном рейтинге я был на третьей позиции, а в этом уже на шестой. 😅 И даже не один, а в компании с Алексеем Комаровым и Денисом Батранковым. Но всё равно очень приятненько. 😇

Рейтинг подготовили Sachok и Пакет Безопасности. Каналы выбирались голосованием уважаемого экспертного совета. Почти Оскар, лол. 😄 Главным критерием было качество контента. Каналы ранжировались по количеству голосов в своей категории.

PS: Самый лучший канал с ИБ-мемами однозначно Memekatz. Пролистал всё до начала, орал в голосинушку. 😆

@avleonovrus #rating #Telegram #achievement

Compliance-сканирование в R-Vision VM. Эта фича была в роадмапе R-Vision на Q1. Уложились. 👍

Пока реализованы только низкоуровневые технические стандарты CIS Benchmarks БЕЗ маппинга на высокоуровневые (PCI DSS, ISO 27001 и т.п.). Полный список не предоставляют, но сообщают, что это стандарты "для различных ОС Linux и Windows, сетевых устройств Cisco, ПО (Apache Tomcat, Microsoft Exchange и др.) и СУБД (Oracle, MSSQL и др.)".

Для примера показывают 16 стандартов для Ubuntu 24.04 , Rocky Linux 8/9, RHEL 8/9, Microsoft Windows Server 2016/2022, Windows 10/11, Cisco NX-OS, Cisco IOS XR7.x/XE17.x/17.x, Cisco ASA.

❗ Есть возможность загружать собственные проверки в YAML файлах. Формат немного напоминает Wazuh SCA, но не он. Вполне вероятно, что формат кастомный. Стандарты CIS из коробки реализованы на таких же ямликах. Формат гибкий. Например, позволяет проверять переменные, инициализируемые результатами выполнения команды на хосте (sshexec). 👍

@avleonovrus #RVision #RVisionVM #Compliance #CIS

О сертификации VM-продуктов по качеству детектирования. Моё мнение - такая сертификация должна быть. Добровольная или обязательная, государственная или негосударственная. Но хоть какая-то должна быть. Это ненормально, когда вендор может начать продавать буквально любой треш, а задача оценки качества детектирования уязвимостей (равно как и ответственность в случае инцидента) целиком ложится на клиента. 🤷‍♂️ Рыночек тут не порешает.

Такая сертификация должна гарантировать приемлемый уровень качества детектирования уязвимостей для типичной IT-инфраструктуры российской организации.

И тут встают очень интересные вопросы:

🔹 Какая инфраструктура типичная? Кто это может решить? У кого есть такая статистика?

🔹 Результаты работы какого средства детектирования (с каким движком и контентом) должны браться за эталон?

🔹 Как будут решаться спорные вопросы?

Если с этим определиться, то создание автоматических тестов становится делом техники.

@avleonovrus #Detection #Comparison #VMcertification

Мартовский Linux Patch Wednesday. Всего уязвимостей: 1083. 😱 879 в Linux Kernel. 🤦‍♂️ Для двух уязвимостей есть признаки эксплуатации вживую:

🔻 Code Injection - GLPI (CVE-2022-35914). Старая уязвимость из CISA KEV, но впервые была исправлена 3 марта в Linux репозитории RedOS.
🔻 Memory Corruption - Safari (CVE-2025-24201). В Linux репозиториях исправляется в пакетах WebKitGTK.

19 уязвимостей с признаками наличия публичного эксплоита. Из них можно выделить:

🔸 Remote Code Execution - Apache Tomcat (CVE-2025-24813)
🔸 Command Injection - SPIP (CVE-2024-8517)
🔸 Memory Corruption - Assimp (CVE-2025-2152)
🔸 Memory Corruption - libxml2 (CVE-2025-27113)

Для уязвимости Elevation of Privilege - Linux Kernel (CVE-2022-49264), своего эксплоита пока нет, но в описании обращают внимание на то, что уязвимость напоминает известный PwnKit (CVE-2021-4034).

🗒 Полный отчёт Vulristics

@avleonovrus #LinuxPatchWednesday #Vulristics #Linux #Tomcat #SPIP #Assimp #libxml2 #CISAKEV

Про уязвимость Spoofing - Windows File Explorer (CVE-2025-24071). Уязвимость из мартовского Microsoft Patch Tuesday. VM-вендоры не выделяли её в своих обзорах. Спустя неделю, 18 марта, в блоге исследователя 0x6rss вышел write-up по этой уязвимости и PoC эксплоита. По его словам, уязвимость активно эксплуатируется вживую и, возможно, эксплойт для этой уязвимости продавался в даркнете с ноября прошлого года.

В чём суть. Когда файловый менеджер Windows видит в папке файл типа .library-ms, он автоматически начинает его парсить. Если файл содержит ссылку на удалённую SMB-шару, инициируется NTLM handshake для аутентификации. И если SMB-шару контролирует злоумышленник, то он может перехватить NTLMv2 хеш, побрутить его или использовать в атаках pass-the-hash.

Но ведь такой файл нужно как-то подсунуть пользователю? Оказывается, уязвимость эксплуатируется при распаковке архива (ZIP/RAR), содержащего зловредный файл. Сам файл открывать не нужно.

Супер-эффективно для фишинга. 😱

@avleonovrus #Windows #FileExplorer

Евгений Баклушин выложил у себя папку Телеграм-каналов по ИБ. Там каналы (15 шт.), которые он читает без пропусков: авторские блоги и одно СМИ. Очень приятно, что "Управление Уязвимостями и прочее" там тоже есть. 😇

✅ Проштудировал папку, подписался на четыре канала, о которых раньше не знал. Подборка отличная. 👍

➡️ Добавляйте себе и скидывайте коллегам. 😉

@avleonovrus #Telegram #folder

Ну, можно поиграться.

Про уязвимость Remote Code Execution - SINAMICS S200 (CVE-2024-56336). SINAMICS S200 - система сервоприводов для высокодинамического управления движением, разработанная компанией Siemens. Эта система может использоваться, например, для работы с деталями: их позиционирования в процессе сборки, перемещения в конвейерных системах, высокоточной обработки.

Суть уязвимости в том, что загрузчик устройства разблокирован (unlocked bootloader), что позволяет проводить инъекцию вредоносного кода и устанавливать недоверенную (и вредоносную) прошивку. Эксплуатируя уязвимость, злодеи могут реализовывать разнообразные диверсии.

Siemens патчи (пока?) не выпустили. Рекомендуют "защищать сетевой доступ к устройствам с помощью соответствующих механизмов". 😉

Признаков эксплуатации вживую и готовых эксплоитов пока нет. Уязвимость подсветили в бюллетене CISA и добавили в БДУ ФСТЭК (может косвенно свидетельствовать об использовании SINAMICS S200, на российских предприятиях).

@avleonovrus #Siemens #SINAMICS

О сравнении VM-продуктов. Имхо, сравнение VM-продуктов по опросникам, а-ля Cyber Media, это, конечно, лучше, чем ничего, но не сказать, что особенно полезно. 🤷‍♂️

🔻 В таких сравнениях обычно уделяют мало внимания тому, уязвимости в каких системах умеет детектировать VM-решение (а это самое главное!).

🔻 Но даже если представить, что мы вынесем в опросник все поддерживаемые системы и аккуратненько сопоставим декларируемые возможности каждого VM-решения, то и этого будет недостаточно. Декларировать можно всё что угодно, а ты поди проверь качество реализации. 😏

Имхо, при проведении сравнений необходимо выполнять практическое тестирование хотя бы на минимальном количестве стендов:

🔹 Типичный Windows десктоп и сервер
🔹 Типичный Linux десктоп и сервер
🔹 Типичное сетевое устройство (на Cisco IOS?)

Провести их сканирование в режиме с аутентификацией разными VM-продуктами, сопоставить результаты и предложить VM-вендорам объяснить расхождения. Это будет уже хоть что-то. 😉

@avleonovrus #Detection #Comparison

Мартовский выпуск "В тренде VM": уязвимости Microsoft, PAN-OS, СommuniGate и кто должен патчить хосты с развёрнутым прикладом.

📹 Ролик на VK Видео, RUTUBE, YouTube
🗞 Пост на Хабре
🗒 Дайджест на сайте PT

Содержание:

🔻 00:00 Вступление
🔻 00:41 Elevation of Privilege - Windows Ancillary Function Driver for WinSock (CVE-2025-21418)
🔻 01:22 Elevation of Privilege - Windows Storage (CVE-2025-21391)
🔻 02:04 Authentication Bypass - PAN-OS (CVE-2025-0108)
🔻 03:19 Remote Code Execution - CommuniGate Pro (BDU:2025-01331)
🔻 04:37 VM-ная загадка: кто должен патчить хосты с развёрнутым прикладом
🔻 07:21 Про дайджест трендовых уязвимостей

Кстати, продакшн нам делают ребята из brocast.team. Очень толковые и внимательные к деталям. 👍 Сложные приколюшечки типа 03:49 сами придумывают и реализуют. 😮 А склеечки какие аккуратненькие делают - ммм. Работать с ними одно удовольствие. 😇 Рекомендую!

@avleonovrus #втрендеVM #TrendVulns #PositiveTechnologies #SecLab #Windows #Microsoft #PatchTuesday #AFDsys #WindowsStorage #PANOS #PaloAlto #Assetnote #GreyNoise #CommuniGatePro #CyberOK #VMprocess #Linux #PostgreSQL #Linux #BrocastTeam

Дуров в Дубае. Сообщают, что Дурову разрешили покинуть Францию на "несколько недель" и 15 марта он вылетел в Дубай. Что это значит для перспектив Телеграма в России? Видятся 2 варианта:

🔹 Дуров мог сдать и слить всё, что только можно французам и дать подкреплённые гарантии дальнейшего сотрудничества. Если так, то послабления в мерах пресечения для Дурова ничего не значат, комментариев от него не последует, а через "несколько недель" он вернётся во Францию. При этом раскладе ничего не меняется, движемся по треку блокировок.

🔹 Это результат чьих-то договорённостей. Тогда разрешение на временный выезд может быть удобной схемой, по которой Дуров вытаскивает свою тушку из Франции, а все стороны "сохраняют лицо". Во Францию он не вернётся, его формально объявят в розыск, а через какое-то время мы увидим интервью Павла Валерьевича про то как Телеграм противостоит внешнему давлению. Тогда возможно возвращение Телеграма к развитию в качестве нейтральной договороспособной площадки.

@avleonovrus #Telegram

Очень злой мир. Невольно отслеживаю схемы IT-мошенничества (давно уже не только "телефонного"). С каждым днём схемы всё изощрённее. Нет такой гнусности на которую не пойдут злодеи, чтобы получить доступ к банковским счетам и госуслугам жертв. Звонки "от следователя" примелькались? Так вот вам про "код от домофона". И ещё миллион сценариев. 😕

На всё более сложные схемы безопасники выдают всё более сложные рекомендации. Вот, например, хабропост от коллег по PT ESC-у про угон аккаунтов в Telegram. Очень крутой. 👍 Но там ~40к символов! 😨 "Схемы, о которых все должны знать". Бабушка в преддеменции, которой смартфон с телегой нужен для общения с внучкой тоже должна это проштудировать? 🙄

Какая-то жуткая гонка на выживание. Не отвечай, не нажимай, подозревай, не расслабляйся, будь в курсе всех схем. А чуть отстал и не уяснил очередной злодейский тренд - сам виноват, лох и мамонт.

Этот наш чудный IT-мирок фундаментально сломан, ребята. 🤷‍♂️ И вина безопасников в этом тоже, безусловно, есть.

@avleonovrus #HumanVM

Безусловные регулярные обновления - путь реалиста. Ставшие публичными кейсы Silent Patching-а демонстрируют беспомощность Vulnerability Management-а перед реальностью, в которой мы знаем об уязвимостях продуктов только то, что нам по доброй воле сообщает вендор. Дал информацию вендор - мы разбираем CVE-шки и умничаем о приоритетах их устранения в конкретной инфре. Не дал - мы пребываем в сладких иллюзиях, что всё безопасно вплоть до начала массовых инцидентов. 🤷‍♂️

Можно сколько угодно ворчать, что вендор не должен иметь возможности скрывать инфу по уязвимостям в собственных продуктах. Но они скрывают! 🙂

Единственный вариант снизить риски - принять реальность такой, как она есть. Наши знания об уязвимостях ограничены. Видишь в инфре не обновленный до последней версии софт - обнови его! Семь бед - один apt-get update && apt-get upgrade! 😅 Может обновление не исправляет критичную уязвимость, а может исправляет. 😉 Достоверно нам об этом знать не дано. 🤷‍♂️

@avleonovrus #silentpatching #Remediation #URP

Про Silent Patching на примере кейса Аспро. Эта компания предлагает услуги по запуску и миграции сайтов с использованием своего решения на базе 1С-Битрикс.

14 октября 2024 года центр кибербезопасности белорусского хостинг-провайдера HosterBy сообщил об обнаружении цепочки взломов веб-сайтов на основе решения Аспро (по большей части интернет-магазинов). RCE уязвимость связана с использованием небезопасной PHP-функции unserialize. Уязвимы версии Аспро:Next до 1.9.9.

6 февраля 2025 в блоге Аспро вышел пост, в котором они презентовали бесплатный скрипт-патчер, исправляющий уязвимость. 👍 Но там же они пишут, что сами нашли и исправили эту уязвимость ещё в 2023 году, но "намеренно не афишировали детали".

✅ Те, кто платили Аспро за поддержку и обновлялись до последней версии, были в безопасности.

❌ А те, кто обновлялись только при детекте уязвимости - нет. Информации по уязвимости не было. Ни CVE, ни BDU. 😏

И вендор ответственности за сокрытие не несёт. 🤷‍♂️

@avleonovrus #silentpatching #Аспро #Bitrix

Разбор VM-ной вакансии: Руководитель отдела анализа защищенности в Почту России. Продолжаю разбирать профильные вакансии.

Судя по перечню задач, в Почте России к анализу защищённости помимо VM-а (и контроля периметра) включают:

🔹 контроль конфигураций
🔹 проведение Pentest-ов
🔹 развёртывание Honeypot-ов

Последнее странновато, т.к. это скорее вотчина команды детекта атак.

"Агрегирование статистики и составление отчётов по итогам этапов процесса" предполагается делать в MS PowerBI. А импортозамес? 😏

Немало интригует фраза про управление VM-процессом "без прямого использования сканирований и результатов работы сканеров уязвимостей". То ли самому сканы запускать не придётся, то ли они вообще без сканов обходятся. 🤔

VM-процесс нужно будет выстраивать по "методологии ФСТЭК", а устранение уязвимостей контролировать "с учётом реалий инфраструктуры". 😉

🟥 Вакансия из PT Career Hub - проекта Positive Technologies по подбору сотрудников в дружественные компании.

@avleonovrus #PTCareerHub #vacancy #ПочтаРоссии

Мартовский Microsoft Patch Tuesday. 77 CVE, из которых 20 были добавлены в течение месяца. В этот раз целых 7 уязвимостей с признаками эксплуатации вживую:

🔻 RCE - Windows Fast FAT File System Driver (CVE-2025-24985)
🔻 RCE - Windows NTFS (CVE-2025-24993)
🔻 SFB - Microsoft Management Console (CVE-2025-26633)
🔻 EoP - Windows Win32 Kernel Subsystem (CVE-2025-24983)
🔻 InfDisc - Windows NTFS (CVE-2025-24991, CVE-2025-24984)
🔻 AuthBypass - Power Pages (CVE-2025-24989) - в веб-сервисе Microsoft, можно игнорить

Уязвимостей с публичными эксплоитами нет, есть ещё 2 с приватными:

🔸 RCE - Bing (CVE-2025-21355) - в веб-сервисe Microsoft, можно игнорить
🔸 SFB - Windows Kernel (CVE-2025-21247)

Среди остальных можно выделить:

🔹 RCE - Windows Remote Desktop Client (CVE-2025-26645) and Services (CVE-2025-24035, CVE-2025-24045), MS Office (CVE-2025-26630), WSL2 (CVE-2025-24084)
🔹 EoP - Windows Win32 Kernel Subsystem (CVE-2025-24044)

🗒 Полный отчёт Vulristics

@avleonovrus #Vulristics #PatchTuesday #Microsoft #Windows

Следующее мероприятие, на котором я планирую выступить - форум "ТЕРРИТОРИЯ БЕЗОПАСНОСТИ 2025: все pro ИБ" 3 апреля. В рамках технологической панели "А ты точно умеешь это детектировать? Правила детекта уязвимостей" у меня будет 20-минутный доклад "Уровни сравнения качества детектирования уязвимостей".

О чём расскажу:

🔹 Зачем нужно заниматься оценкой качества детектирования уязвимостей и как это связано с БОСПУУ.

🔹 Примеры публичных сравнений качества детектирования. Спасибо Алексею Лукацкому за напоминание про сравнение Principled Technologies 2019 года. 👍 Оказывается у меня был про него содержательный пост в англоязычном канале. 😇 Ну и про сравнение PentestTools (2024) и Securin (2023) тоже добавлю.

🔹 Уровни сравнения: просто по CVE, по CVE с учётом метода детекта, практическое сравнение на стендах. Возможно какие-то ещё? 🤔

Если у кого есть что вкинуть по теме, пишите в личку - буду рад пообщаться. И до встречи на Территории Безопасности!

@avleonovrus #tb2025 #event #БОСПУУ #Detection