Заметки VMщика

Про фреймворк антихрупкой ИТ-архитектуры от Инфосистемы Джет и Управление Уязвимостями. 🛠

@avleonovlive

Про исследование безопасности российской облачной инфраструктуры от Cloud Advisor. ☁️

@avleonovlive

Про релиз R-Vision VM 6.6. 🕵️‍♂️

@avleonovrus

Делюсь впечатлениями от ISCRA Talks 2026. 🙂

@avleonovrus

📢 Вечер пятницы – отличный повод обновиться в срочном порядке.

В этот раз вышли обновленные версии TrueConf Server 5.4.9 и 5.5.5, в которых "включены обновления безопасности за сентябрь 2026 года" (источник: https://trueconf.ru/blog/update/trueconf-server-5-4-9_5-5-5). Что это за обновления безопасности, вендор не уточняет.

По информации экспертов CICADA8, была исправлена, как минимум, одна критическая уязвимость, связанная с аутентификацией пользователей на сервере TrueConf. Удаленному атакующему, по сути, достаточно лишь знать имя учетной записи.

Поэтому: всем обновляться прямо сейчас!

Версия с исправлением для Windows: 5.5.5.2056 (на сайте указана другая версия: 5.5.5.10304, но сервер идентифицирует себя как билд 2056).

Про выборы. 🗳🙂

@avleonovlive

В эту субботу выступаю на ИБ-конференции "ISCRA Talks 2026" в МГТУ им. Баумана. 🎤

@avleonovlive

Самые переоцененные и вызывающие наименьшее доверие концепции и заявления в ИБ👎

Тут в исследовании SCF Council участников попросили назвать самые оверхайпнутые концепции и технологии, а также маркетинговый буллшит – пожалуй, самая интересная статистика во всем документе😅
Среди самых переоцененных концепций/технологий есть два явных "лидера": использование генеративного ИИ для SecOps и "Zero Trust как готовый продукт": и если первый "лидер", по моему мнению, скорее пал жертвой больших ожиданий и невысокой эффективностью/боязнью полагаться на решения ИИ, то второй "лидер" заслужил свое место некомпетентностью ИБ-маркетинга🤷
Также в топе оверхайпа:
➡️Блокчейн для нужд ИБ и киберстрахование как замена мерам защиты.
➡️Прогнозы сроков возникновения угроз со стороны квантовых вычислений (наступление "дня Q").
➡️Рассмотрение ISO27001 или SOC 2 в качестве гарантированного доказательства уровня ИБ.
➡️Внедрение стека решений от одного вендора.
➡️Использование оценок и рейтингов для расчета уровня зрелости ИБ.
➡️Эффективность тренингов по повышению осведомленности.

Если посмотреть на топ маркетингового буллшита, то здесь всё стабильно:
➡️Маркировка продуктов "На базе/С использованием ИИ-технологий".
➡️Маркетинг "Next-Gen" или "революционных" решений.
➡️Заявления о "невзламываемости" или соответствия самым высоким стандартам надежности (сравнение с военным уровнем стандартов, military-grade).
➡️Сертификация как гарантия компетентности и заверение в том, что комплаинс равен безопасности.
➡️Повсеместное использование термина "Zero Trust".
➡️Маркетинг, основанный на страхе перед взломом и утечками, + запугивание "квантовым апокалипсом".

#scf #grc #zerotrust #marketing #ai #buzzword #compliance

Продолжение про утечку данных из Metascan-а и риски использования Telegram в рабочих процессах. 🕵️

@avleonovlive

Пара слов про IT Elements. 🎤

@avleonovlive

Operation Dream Job от Lazarus показывает: одного антифишингового обучения недостаточно - нужна эшелонированная защита, чтобы ошибка пользователя не приводила к компрометации всей инфраструктуры организации. 🛡

@avleonovlive

Активно эксплуатируемая уязвимость обхода аутентификации в Microsoft SharePoint, позволяющая в связке с CVE-2026-63520 удалённо выполнять произвольный код на сервере. Доступен публичный эксплойт. 👾

@avleonovlive

Нечеткая логика в ИБ: сокращаю очередь уязвимостей в 7,5 раз, сравниваю с CVSS, EPSS и методикой ФСТЭК

На Хабре разобрали приоритизацию уязвимостей через нечёткую логику. Автор собрал два контура: первый оценивает техническую срочность по CVSS, EPSS и возрасту CVE; второй учитывает доступность компонента, критичность актива и компенсирующие меры. Всего 38 правил с плавными переходами между уровнями срочности.

В эксперименте на 193 120 CVE порог CVSS ≥ 9.0 сформировал очередь из 27 480 записей и охватил 24 уязвимости, позднее добавленные в CISA KEV. Корзина «немедленно» у нечёткой модели — 3 654 записи и 25 таких уязвимостей. Отсюда и сокращение в 7,5 раза: речь о размере выбранной очереди, а не об измеренных трудозатратах команды.

Самая содержательная деталь — проверка без возраста CVE. AUC упал с 0,861 до 0,742: результат заметно зависит от учёта свежести уязвимости. При этом для охвата половины положительных примеров простая взвешенная сумма почти сравнялась с нечёткой моделью: 9 584 против 9 550 задач.

Оговорки существенные: всего 68 положительных примеров; добавление в KEV не устанавливает дату начала эксплуатации. Сравнение с методикой ФСТЭК выполнено с допущениями вместо реального контекста организации.

Кейс полезен как повод проверить собственные правила приоритизации: какой сигнал улучшает очередь и сохраняется ли выигрыш при сравнении с простым методом.

Статья на Хабре

🌚 @poxek | 🌚 @poxek_ai | 📲MAX

CVE-2026-68820 - критическая EoP-уязвимость в Windows AFD.sys, которую группировка Lazarus использует для повышения привилегий до SYSTEM, запуска руткита FudModule и бэкдора ForestTiger. 👾

@avleonovlive

Пара слов по поводу сегодняшней Санта-Барбары. Я, в отличие от многих коллег, впрягаться за юмористов не буду. Имхо, стоит разделять юмор и неприкрытый буллинг конкретного человека. Сачок пишет, что знаком с админом того самого канала с мемами и был на вечеринке, которую он устраивал. Я с этим товарищем не знаком, о его канале раньше не слышал и по вечеринкам не ходок. Зато я знаком с Дмитрием Беляевым: мы записывали вместе подкаст, пересекались в секции на Code IB Итоги, которую я модерировал. Вполне адекватный парень, супер-энергичный, постоянно придумывает и реализует проекты, которые идут на пользу комьюнити. Ну и самопиаром занимается, конечно. Как и все ИБ-блогеры. 🤷‍♂️ Кого-то эта энергичность, возможно, раздражает. Кто-то, возможно, считает его знания недостаточно глубокими в каких-то узкопрофессиональных вопросах. Но это ни в коем случае не является оправданием травли.

Если люди ещё в школе не усвоили, что оскорблять и буллить людей - это плохо, ну значит, усвоят сейчас. Причём исключительно в правовом поле. За вклад в повышение культуры общения можно Дмитрию респектнуть. 👍

Ребята, давайте жить дружно и уважительно относиться друг к другу! 😉

➡️Ⓜ️ MAX | @avleonovrus #antibullying

Лучи поддержки коллегам из Metascan-а в этой неприятной ситуации. ✊

@avleonovlive

На изготовке 🙂

Сентябрьский Microsoft Patch Tuesday - 973 уязвимости, более чем в 2 раза больше августовского. Две EoP-уязвимости Windows уже эксплуатируются в атаках, среди наиболее опасных - RCE в Exchange, DNS и RDS. 🔥

@avleonovlive