Российский разработчик решений по информационной безопасности NGR Softlab сообщил о выпуске новой версии программного комплекса Alertix 3.6.3.

Alertix относится к классу решений SIEM (Security information and event management) и позволяет IT-службам в режиме реального времени осуществлять централизованный мониторинг событий информационной безопасности, выявлять возникающие инциденты, оперативно реагировать на угрозы, а также выполнять требования, предъявляемые регуляторами к защите персональных данных, в том числе к обеспечению безопасности государственных информационных систем и объектов КИИ. Благодаря встроенному модулю ГосСОПКА доступен обмен данными об инцидентах с НКЦКИ.

Пользовательский интерфейс SIEM-платформы Alertix

Обновления затронули интерфейс, средства обзора событий и детектирующие компоненты платформы. В Alertix 3.6.3 внедрена концепция SAYT (Search-as-you-type) и усовершенствована логика выполнения запросов к событиям для ускорения поиска. Добавлена возможность редактирования фильтров, внесённых из событий вручную или быстрым способом, а в таблице ресурсов — настройка по ответственному лицу, наличию уязвимостей и другим критериям. Доработкам подвергся доступ к ключевой информации: поля-агрегаторы вынесены в отдельную вкладку каждого события. Также появилась возможность быстрого полнотекстового поиска по клику, что ускоряет расследование подозрений и свободный поиск признаков инцидентов.

С релизом 3.6.3 в составе SIEM-системы появилась страница оценки покрытия инфраструктуры агентами Alertix, позволяющая выявить хосты, на которые необходимо установить агента, а также внести исключения. Улучшены детектирующие компоненты: в сервисе Signal для правил всех типов теперь действуют единые механизмы проверки, а в Anomaly Detection (UEBA) добавлена возможность отключать правила обнаружения и изменять критичность генерируемых событий. Оптимизирован кеш сервиса для повышения производительности. Также в Alertix 3.6.3 были внесены изменения в дизайн страниц и элементы меню, добавлены всплывающие подсказки с целью повышения интуитивности использования платформы.

Компания «Солар» выпустила новую версию брандмауэра Solar Next Generation Firewall 1.3.

Созданное российским разработчиком решение относится к классу межсетевых экранов нового поколения (NGFW). Комплекс обеспечивает защиту корпоративной сети от сетевых атак и вредоносного ПО, а также управление доступом к веб‑ресурсам. Продукт устанавливается в разрыв трафика и проверяет все проходящие через него пакеты данных. При этом механизмы защиты Solar NGFW работают параллельно, но каждый по своим базам сигнатур и правил. Это обеспечивает комплексную проверку трафика на соответствие политике безопасности. Решение также может быть использовано для изоляции сегментов сети с целью снижения площади атаки и отделения общедоступных корпоративных сервисов от внутренних.

Место Solar NGFW в корпоративной IT-инфраструктуре (источник изображения: rt-solar.ru)

В новой версии Solar NGFW 1.3 оптимизирован сетевой стек, который позволяет стабилизировать значения производительности программно-аппаратных платформ, и реализована поддержка протокола SNMP для мониторинга и управления сетевыми устройствами и оборудованием. Также в брандмауэр добавлена возможность объединения нескольких физических сетевых интерфейсов в единый логический канал. Это позволяет увеличить совокупную пропускную способность и обеспечить отказоустойчивость сетевого подключения даже в случае отказа одного из физических интерфейсов.

Кроме того, разработчики упростили конфигурацию политик безопасности в кластере Active/Passive. Для обеспечения бесперебойной работы Solar NGFW создана система комплексной технической поддержки программного обеспечения и аппаратных платформ и аналитического сопровождения. Расширенная поддержка включает выделенного инженера, который закрепляется за клиентом, а SLA по реагированию на обращение составляет не более 30 минут. В рамках аналитического сопровождения проводится регулярный аудит и оптимизация политик NGFW.

Компания Positive Technologies выпустила большое обновление облачного динамического анализатора веб-приложений PT BlackBox Scanner.

Новая версия инструмента выполняет более 110 видов проверок на наличие уязвимостей в коде веб-ресурсов. По итогам проверки анализатор формирует отчёт с результатами, который можно скачать. Все обнаруженные уязвимости фильтруются по уровню критичности, что позволяет разработчикам и службам ИБ составить оптимальный план работы по устранению слабых мест веб-приложений.

PT BlackBox Scanner

В обновлённую версию PT BlackBox Scanner вошли десятки улучшений, в числе наиболее значимых отмечаются следующие:

• в два раза ускорен процесс сканирования веб-приложений за счёт оптимизации проверок и исправления ошибок;
• добавлен профиль сканирования периметра приложений — поиск поддоменов и открытых портов. Это позволяет найти ресурсы приложений, которые также могут содержать уязвимости или не предназначены для доступа извне;
• включены новые проверки «1C-Битрикс»: добавлена информация о недавно опубликованных критически опасных уязвимостях, а также дополнительные проверки безопасности конфигурации;
• масштабно обновлены базы знаний отпечатков веб-приложений, известных версионных уязвимостей и сценариев их верификации.

«За последние три года в 63 % случаев именно веб-приложения оказывались начальной точкой проникновения хакеров в инфраструктуру. Неудивительно, что на этом фоне растёт интерес IT-сообщества к инструментам безопасной разработки. Так, в 2023 году число пользователей PT BlackBox Scanner с зарегистрированным аккаунтом удвоилось по сравнению с 2022 годом, а количество уникальных целей сканирования превысило 3800 доменов. В наших планах нарастить темпы обновления продукта и выпускать релизы раз в месяц», — говорится в заявлении Positive Technologies.

PT BlackBox Scanner предоставляется в свободном доступе: чтобы просканировать приложение, его владельцу потребуется только ввести доменное имя ресурса на официальном сайте сервиса. Для доступа ко всем возможностям продукта пользователю необходимо зарегистрироваться и подтвердить, что он владелец сканируемого веб-ресурса.

Компания CrowdStrike, ставшая главной виновницей недавнего сбоя ОС Windows на более 8,5 млн компьютеров, решила изменить политику обновления своего ПО. По информации Dark Reading, против компании уже поданы два коллективных иска, так что она планирует существенно пересмотреть процесс подготовки и массового развёртывания апдейтов.

Чтобы не повторять ошибок прошлого, компания пообещала сформировать новую процедуру тестирования контента, введение дополнительных этапов внедрения ПО и новых проверок его надёжности, а также новые механизмы валидации обновлений. CrowdStrike также попросила двух сторонних вендоров проанализировать её ПО Falcon Sensor, ставшее причиной инцидента. Кроме того, они должны оценить систему контроля качества и механизм выпуска релизов продуктов.

Источник изображения: Surface/unsplash.com

Проблемы CrowdStrike, Microsoft и миллионов пользователей по всему миру начались 19 июля, после выпуска обновления Falcon. Автоматически развёрнутое обновление вызвало сбой ОС по всему миру. Во многих случаях системным администраторам приходилось вручную перезагружать компьютеры, в том числе прибегая к необычным трюкам — в компаниях с большим парком ПК на восстановление ушли дни.

Против CrowdStrike уже подано не менее двух коллективных исков, от имени акционеров компании и со стороны пострадавших заказчиков. Особенно агрессивную позицию занимает Delta Air Lines, потерявшая, по её словам, полмиллиарда долларов — эта и другие компании могут подать собственные иски в скором времени, несмотря на оправдания CrowdStrike и Microsoft.

Причина сбоя оказалась в недостаточно качественном тестировании системы обновлений для Falcon Sensor. Изменения в ней были сделаны ещё в феврале 2024 года, но аудит показал, что они успешно прошли автоматическую валидацию и многоступенчатое тестирование, хотя этого не должно было произойти. Причём проблема не дала о себе знать даже во время ограниченных тестов на реальных пользователях.

Компания Cisco сократит тысячи сотрудников в ходе второго раунда увольнений. По данным Reuters, это связано с тем, что компания намерена сместить фокус внимания на области с высокими темпами роста, включая кибербезопасность и системы искусственного интеллекта (ИИ).

Если в феврале Cisco уволила порядка 4 тыс. человек, то теперь, не исключено, под сокращение попадёт несколько больше. Вероятнее всего, компания объявит о непростых кадровых решениях уже в будущую среду в ходе очередного квартального отчёта. В своё время Reuters сообщила о февральских увольнениях ещё до того, как об этом объявила сама компания, поэтому её источники могут считаться довольно надёжными. При этом в июле 2023 года штат Cisco составлял 84,9 тыс человек.

Источник изображения: Hunters Race/unsplash.com

После сообщения Reuters об очередных сокращениях акции компании упали в цене приблизительно на 1 %, всего они подешевели за год более чем на 9 %. Сейчас компания страдает от малого спроса и проблем с цепочками поставок для своего основного бизнеса. Это заставляет её диверсифицировать бизнес — например, в марте закрыта сделка по покупке за $28 млрд компании Splunk, занимающейся обеспечением кибербезопасности. Покупка позволит снизить зависимость от «разовых» продаж, стимулируя бизнес, связанный с продажей технологических решений по подпискам.

Кроме того, компания пытается интегрировать ИИ в свои продукты и в мае подтвердила намерение добиться в 2025 году продаж ИИ-решений на $1 млрд. В июне компания основала миллиардный фонд для инвестиций в ИИ-стартапы вроде Cohere, Mistral AI и Scale AI. На тот момент компания объявила, что за последние годы приобрела 20 связанных с ИИ компаний.

Увольнения — последнее из событий такого рода в технологической индустрии, позволяющая сократить издержки в текущем году, чтобы компенсировать большие инвестиции в ИИ. Всего, по данным портала Layoffs.fyi, с начала года в 393 технокомпаниях уволили более 126 тыс. человек. Ранее в августе Dell объявила о сокращении более 10 % рабочей силы — около 12,5 тыс. человек, в основном из отделов продаж и маркетинга.

Энрике Ниссим (Enrique Nissim) и Кшиштоф Окупски (Krzysztof Okupski), исследователи из компании IOActive, занимающейся вопросами безопасности обнаружили уязвимость в чипах AMD, выпускаемых с 2006 года или, возможно, даже раньше, которая позволяет вредоносному ПО проникать настолько глубоко в систему, что во многих случая её проще выбросить, чем пытаться восстановить, пишет ресурс Wired.

Получившая идентификатор CVE-2023-31315 с высоким уровнем опасности (CVSS 7,5) уязвимость была названа исследователями Sinkclose. Уязвимость позволяет злоумышленникам с привилегиями уровня ядра ОС (Ring 0) получать привилегии Ring -2 и устанавливать вредоносное ПО, которое очень сложно обнаружить.

Источник изображения: AMD

Благодаря Sinkclose злоумышленники могут изменять настройки одного из самых привилегированных режимов процессора AMD — SMM, предназначенного для обработки общесистемных функций, таких как управление питанием и контроль оборудования, даже если включена блокировка SMM. Эта уязвимость может использоваться для отключения функций безопасности и внедрения на устройство постоянного, практически необнаруживаемого вредоносного ПО.

Ring -2 изолирован и невидим для ОС и гипервизора, поэтому любые вредоносные изменения, внесённые на этом уровне, не могут быть обнаружены или исправлены инструментами безопасности, работающими в ОС. Вредоносное ПО, известное как буткит, которое обходит антивирусные инструменты и потенциально невидимо для операционной системы, предоставляет хакеру полный доступ для вмешательства в работу компьютера и наблюдения за её активностью.

По словам Окупски, единственный способ обнаружить и удалить вредоносное ПО, установленное с помощью SinkClose — это физическое подключение с помощью программатора SPI Flash и сканирование памяти на наличие вредоносного ПО.

Полные сведения об уязвимости будут представлены исследователями на конференции DefCon в докладе «AMD Sinkclose: Universal Ring -2 Privilege Escalation». Исследователи говорят, что предупредили AMD об уязвимости в октябре прошлого года, и не сообщали о баге почти 10 месяцев, чтобы дать AMD больше времени для устранения проблемы.

Комментируя сообщение исследователей, компания AMD указала в заявлении для Wired на сложность использования уязвимости в реальных сценариях, поскольку злоумышленникам требуется доступ на уровне ядра. В ответ исследователи заявили, что подобные уязвимости выявляются в Windows и Linux практически каждый месяц. Они отметили, что опытные хакеры, спонсируемые государством, которые могут воспользоваться Sinkclose, вероятно, уже обладают методами использования подобных уязвимостей.

Как ожидают исследователи, для компьютеров с Windows патчи против Sinkclose будут интегрированы в обновления, которыми производители компьютеров поделятся с Microsoft. Исправления для серверов, встраиваемых систем и Linux-машин могут быть более пошаговыми и ручными; для Linux это будет частично зависеть от дистрибутива.

AMD указала в заявлении, что уже приняла меры по смягчению последствий для своих процессоров EPYC и AMD Ryzen для настольных и мобильных систем, а дополнительные исправления для встроенных процессоров появятся позже.

Согласно AMD, уязвимость имеется в следующих чипах:

• EPYC 1-го, 2-го, 3-го и 4-го поколений.
• EPYC Embedded 3000, 7002, 7003 и 9003, R1000, R2000, 5000 и 7000.
• Ryzen Embedded V1000, V2000 и V3000.
• Ryzen 3000, 5000, 4000, 7000 и 8000 серий.
• Ryzen 3000 Mobile, 5000 Mobile, 4000 Mobile и 7000 Mobile серий.
• Ryzen Threadripper 3000 и 7000 серий.
• AMD Threadripper PRO (Castle Peak WS SP3, Chagall WS).
• AMD Athlon 3000 серии Mobile (Dali, Pollock).
• AMD Instinct MI300A.

UPD 11.08.2024: патчи не получат Ryzen 1000, 2000 и 3000, а также Threadripper 1000 и 2000. Не упомянуты и Ryzen 9000 с Ryzen AI 300, но в этих процессорах уязвимость наверняка устранена ещё до их выхода на рынок.

UPD 21.08.2024: Ryzen 3000 всё-таки получит патчи против Sinkclose.

Delta Air Lines обрушилась с критикой на компанию CrowdStrike, ставшую виновницей глобальных сбоев IT-инфраструктуры. Как сообщает The Register, в CrowdStrike заявили, что предлагали авиакомпании помощь, но не получили ответа. Глава Delta утверждает, что предложение о помощи было незначительным и поступило слишком поздно, а теперь пытается «обвинить жертву» в письме.

В прошлом месяце CrowdStrike выпустила дефектное обновление своего защитного ПО Falcon, в результате чего BSOD настиг более 8 млн Windows-систем. В случае с Delta, по данным юристов компании, проблема затронула более 37 тыс. компьютеров, нарушив планы более 1,3 млн пассажиров. Впоследствии Delta пригрозила иском CrowdStrike и Microsoft, заявив, что инцидент обошёлся ей в $500 млн убытков. Представители потенциальных ответчиков уже заявили, что предлагали компании помощь, но не дождались ответа.

Источник изображения: Icons8 Team / Unsplash

В письме CrowdStrike к Delta разработчик ПО обвинил авиакомпанию в том, что именно действия её специалистов привели к столь масштабным последствиям, текст схожего содержания отправила и Microsoft, обвинившая Delta в использовании устаревших IT-решений. В авиакомпании считают, что никаким образом не несут ответственность за неправильно работающее ПО, не говоря уже о сбое других систем по всему миру. Сейчас CrowdStrike грозит и коллективный иск со стороны инвесторов.

В ходе препирательств выяснились интересные подробности. К тому времени, как глава CrowdStrike связался с главой Delta (один раз ночью 22 июля), с момента инцидента прошло почти четыре дня и Delta восстановила свои критические системы и работу большинства прочих компьютеров. По словам компании, предложение помощи поступило «слишком поздно», а телефонный звонок был «бесполезным и несвоевременным». В Delta отрицают, что разработчик ПО якобы «без устали» работал, пытаясь восстановить системы Delta.

Более того, утверждается, что после того, как компьютеры с Windows начали отключаться по всему миру, CrowdStrike не приняла срочных мер и не оценила должным образом масштаб и последствия сбоя. А единственная помощь в первые 65 часов после инцидента заключалась в ссылке на общедоступный сайт с советом провести ручную перезагрузку пострадавших ПК и удалить сбойные файлы. Хуже того, обновление для автоматизированного устранения проблемы, вышедшее 21 июля, само содержало дополнительный баг, из-за чего многие машины не смогли заработать без дополнительного вмешательства.

Источник изображения: Sven Piper/unsplash.com

В Delta говорят о миллиардах долларов, вложенных в IT-решения, а причиной затянувшегося восстановлении IT-систем стало то, что компания слишком полагалась на CrowdStrike и Microsoft. В частности, сообщается, что около 60 % критически важных приложений Delta и связанных с ними данных, включая системы резервирования, зависят от Windows и Falcon. Доверие к производителям ПО сыграло злую шутку.

В CrowdStrike в ответ заявили, что Delta упорно продвигает вводящий в заблуждение нарратив. Утверждается, что Джордж Курц позвонил представителю авиакомпании в течение четырёх часов после инцидента 19 июля, а начальник службы безопасности разработчика наладил прямой контакт с коллегами из Delta через считаные часы после инцидента. При этом команды обеих компаний тесно сотрудничали уже спустя несколько часов, причём CrowdStrike предоставляла гораздо большую поддержку, чем просто ссылка на сайт с базовыми сведениями.

Косвенным доказательством является то, что один из членов совета директоров Delta опубликовал в LinkedIn заявление о том, что глава CrowdStrike и его команда проделали невероятную работу, круглосуточно трудясь в сложных условиях для устранения неполадок. В Delta отказались от дальнейших комментариев, но после слов благодарности судиться с виновниками инцидента, безусловно, будет труднее. В письме CrowdStrike снова призвала Delta прекратить попытки уйти от ответственности и сообщить клиентам и акционерам всё, что известно об инциденте, предшествующих решениях и о принятых мерах.

Компания Microsoft заявила, что её руководитель Сатья Наделла (Satya Nadella) напрямую связался с руководителем авиакомпании Delta Air Lines во время глобального сбоя Windows-систем, вызванного проблемным обновлением защитного ПО CrowdStrike. Но, как передаёт The Register, ответа на предложение помощи он так и не дождался. Сейчас юристы Microsoft защищаются от выдвигаемых авиакомпанией обвинений — та намерена взыскать $500 млн с Microsoft и CrowdStrike.

В прошлом месяце CrowdStrike выпустила обновление, вызвавшее «синий экран смерти» на 8,5 млн системах под управлением Windows. Позже Microsoft обвинила Евросоюз, законодательно определивший обязанность разработчика предоставлять создателям сторонних программ низкоуровневый доступ к ядру ОС, что в значительной степени и привело к катастрофическим сбоям.

Delta пришлось вручную восстанавливать работу 40 тыс. серверов, а из-за сбоя пришлось отменить 5000 рейсов. Пострадали и другие авиалинии, а также железные дороги, банки, медицинские организации — но у Delta на восстановление работоспособности систем ушло очень много времени. Сбой CrowdStrike вскрыл и другие проблемы Delta в IT-сфере. Так, информационные системы компании оказались недостаточно гибкими в критический момент.

Источник изображения: Miguel Ángel Sanz/unsplash.com

Юристы CrowdStrike также сообщили о «вводящем в заблуждение нарративе» о том, что CrowdStrike ответственна за IT-решения Delta и её реакцию на сбой, передаёт DataCenter Dynamics. Сообщается, что CrowdStrike предлагала техническую помощь Delta — глава компании Джордж Куртц (George Kurtz) лично обратился к гендиректору Delta, но, как и Сатья Наделла, ответа удостоен не был. Crowdstrike ожидает, что Delta объяснит публике, акционерам и, возможно, суду, почему CrowdStrike должна отвечать за действия и поведение Delta во время инцидента.

Представитель Microsoft заявил, что комментарии Delta «неполные, ложные, вводящие в заблуждение и разрушительные для Microsoft и её репутации». Подчёркивается, что Delta не пользовалась облачными сервисами Microsoft, вместо этого заключив сделку с IBM в 2021 году и Amazon (AWS) в 2022-м. Другими словами, обязанности по восстановлению систем официально лежали на других облачных операторах.

По предварительным оценкам Microsoft, Delta, в отличие от её конкурентов, не модернизировала свою IT-инфраструктуру. Компании предлагается раскрыть, как именно она пользовалась сервисами IBM и AWS. Министерство транспорта США начало собственное расследование сбоя Delta и других компаний.

«Группа Астра» сообщила о получении сертификата Федеральной службы по техническому и экспортному контролю на систему централизованного управления доменом ALD Pro.

Программный комплекс ALD Pro предназначен для автоматизации и централизованного управления рабочими станциями, иерархией подразделений и групповыми политиками, а также прикладными сервисами для IT-инфраструктур организаций различного масштаба. Продукт может использоваться в качестве замены Microsoft Active Directory и учитывает интересы администраторов и пользователей компаний, переходящих на отечественный софт. ALD Pro включён в дорожную карту «Новое общесистемное программное обеспечение»; решению присвоен статус «особо важного продукта» в рамках программы Минцифры России.

Выданный ФСТЭК России сертификат подтверждает соответствие ALD Pro требованиям по безопасности информации, устанавливающим уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий. Продукт соответствует 4-му уровню доверия и располагает набором декларируемых в технических условиях функциональных возможностей.

Источник изображения: aldpro.ru

Решение подходит не только для информационных систем общего пользования (ИСОП) II класса, но также для государственных информационных систем (ГИС), информационных систем персональных данных (ИСПДн) и автоматизированных систем управления техническими процессами (АСУ ТП) до 1-го класса защищённости включительно. Кроме того, программный комплекс можно применять на значимых объектах критической информационной инфраструктуры, в том числе 1-ой категории.

«Сегодня заказчики активно переходят с зарубежных решений на отечественные. Мы понимаем, что внедряемый софт должен быть не только функциональным, но и надёжным, и получение сертификата ФСТЭК России — это документальное подтверждение безопасности ALD Pro. Защищённость всегда была и будет одним из ключевых приоритетов нашей команды, нам важно предоставлять клиентам стабильные и качественные решения», — говорится в сообщении «Группы Астра».

В число продуктов, предлагаемых ВТБ, вошли не только банковские услуги, но и IT-решения. По данным пресс-службы организации, средний и малый бизнес сможет при посредничестве ВТБ получить доступ к средствам защиты информации, разработанным российским «Холдингом Т1» и его же облачным сервисам. Оформить подписки на продукты можно непосредственно в отделениях банка.

Распознавание и предотвращения кибератак будет осуществлять экосистема НОТА КУПОЛ. Она включает инструменты против взлома и кражи данных, программное обеспечение и программно-аппаратные комплексы, а также систему управления средствами сетевой защиты. Дополнительно клиенты смогут заказать аудит систем информационной безопасности бизнеса — локальную сеть исследуют на наличие уязвимостей, проведут тесты на возможность проникновения и оценят, насколько её характеристики соответствуют требованиям закона.

Источник изображения: Sebastian Herrmann/unsplash.com

Предоставляется и облачная платформа, доступная для любой сферы деятельности. Облако позволит создать единое цифровое пространство для сотрудников, поможет защитить данные и оптимизировать затраты на IT-инфраструктуру, говорит компания. Доступен сервис Т1 Облако: Т1 диск, СУБД (PostgreSQL, Mongo DB, Regisrty) и вычислительные мощности. В банке утверждают, что уровень защиты информации в облаке позволяет размещать в нём и обрабатывать персональные и финансовые данные.

По словам представителя ВТБ, отмечается рост бизнес-инвестиций в облачное ПО и решения, связанные с защитой информации. Средний чек по итогам первой половины 2024 года вырос год к году на 12 %. При этом в портфолио ВТБ уже имеется более 35 продуктов нефинансового профиля. Например, клиентам доступна круглосуточная юридическая поддержка, помощь с бухгалтерской отчётностью и сервисы по предоставлению ДМС и автоматизация командировок, отмечено в релизе.

ВТБ активно занимается импортозамещением IT-систем и сервисов и уже сообщалось, что расходы структуры на эти цели составят 90 млрд руб., в первую очередь речь идёт о тратах на ПО.