• Практика Alibaba Cloud Zero Trust: микроизоляция идентичности и сети в производственных сетях Практика Alibaba Cloud Zero Trust: микроизоляция идентичности и сети в производственных сетях
  • Уязвимость удаленного выполнения кода инфраструктуры Apache Struts2 Уязвимость удаленного выполнения кода инфраструктуры Apache Struts2

Введение в тему Директор по безопасности — ваш аналитический центр экспертов по безопасности Как стать начальником службы безопасности

  • Уязвимость нулевого дня для Windows Local Privilege Escalation (LPE) продается в темной паутине

    В темной паутине продается уязвимость нулевого дня Windows Local Privilege Escalation (LPE), которая, как сообщается, затрагивает несколько версий операционной системы Windows, включая самую последнюю. Информация об этом тревожном событии появилась на подпольном рынке, где участники угроз предоставили подробные спецификации и возможности уязвимости.

  • [CVE-2024-32002] Уязвимость удаленного выполнения кода в программе контроля версий Git Code с POC/Exploit

    CVE-2024-32002 - уязвимость в Git, позволяющая получить RCE git clone во время работы. Создав репозитории с подмодулями определенным образом, злоумышленник может выполнить вредоносные хуки, записав файлы в каталог .git/, используя нечувствительную к регистру обработку символических ссылок в файловой системе.

    Письмо от 28 мая 2024 года от Постоянного представителя
    01,4К0
  • Корпоративный сервер GitHub подвержен серьезной уязвимости обхода аутентификации с высоким риском

    Уязвимость обхода аутентификации в GitHub Enterprise Server (GHES) при использовании единой авторизации SAML с дополнительными криптографическими утверждениями может быть использована злоумышленником для подмены ответа SAML с целью настройки и получения привилегий администратора сайта. Это позволит злоумышленнику получить несанкционированный доступ к экземпляру без предварительной аутентификации.

    Письмо Постоянного представителя от 22 мая 2024 года
    01,2 тыс.0
  • Институт безопасности искусственного интеллекта (ИИ) при правительстве Великобритании запускает новую платформу оценки безопасности ИИ

    Компания Artificial Intelligence Security Research выпустила Inspect, платформу тестирования с открытым исходным кодом, предназначенную для оценки безопасности и производительности моделей ИИ. Inspect обнаруживает основные знания, рассуждения и автономность моделей ИИ, способствуя развитию глобального сообщества ИИ, а Inspect становится краеугольным камнем исследований безопасности ИИ.

    Письмо Постоянного представителя от 17 мая 2024 года
    01,5 тыс.0
  • Google Cloud по ошибке удаляет учетные записи пользователей, что приводит к потере данных и длительному простою бизнеса

    Как сообщает The Guardian, недавно в облачных сервисах Google произошел крупный, невиданный ранее инцидент с неправильной конфигурацией, в результате которого был удален аккаунт облачной подписки австралийского фонда UniSuper и на неделю прервано обслуживание.
    UniSuper - это некоммерческий пенсионный фонд, который управляет огромной суммой денег - около 125 миллиардов долларов - и насчитывает более полумиллиона инвесторов.
    Хотя компания UniSuper создавала резервные копии данных в двух облачных регионах Google Cloud, этот крупный инцидент был вызван удалением учетных записей, в результате чего были потеряны обе резервные копии одновременно, что не обеспечило защиты.
    Хорошо, что у UniSuper были резервные копии данных и у других провайдеров хранения, что позволило минимизировать ущерб от этого инцидента и ускорить процесс восстановления данных UniSuper в Google Cloud.

    Письмо от 13 мая 2024 года от Постоянного представителя
    01,3 тыс.0
  • Брандмауэр Palo Alto Networks подвержен уязвимости Zero-Day, хакерские группы используют имплантированный бэкдор для кражи данных

    Критическая уязвимость нулевого дня (CVE-2024-3400) в программном обеспечении PAN-OS компании Palo Alto Networks активно эксплуатируется хакерской группой UTA0218 в рамках атакующей кампании под кодовым названием "Operation Midnight Eclipse". Уязвимость позволяет злоумышленникам установить бэкдор Python, получить системные привилегии, осуществить боковое перемещение и кражу данных в сети жертвы. Затронутые устройства включают межсетевые экраны PAN-OS 10.2, PAN-OS 11.0 и PAN-OS 11.1 с включенным шлюзом GlobalProtect и телеметрией устройства. Palo Alto Networks выпустила сообщение о безопасности с исправлением и рекомендует пользователям как можно скорее обновить систему.

    Письмо от 7 мая 2024 года от Постоянного представителя
    01,7 тыс.0
  • Как обнаружить злоумышленников на ранних этапах цепочки киберубийств

    Как обнаружить и остановить подозрительную активность до того, как она перерастет в более серьезную угрозу. Например, используя технологию OSINT (Open Source Intelligence) и мониторинг сетевого трафика, организации могут на шаг опередить злоумышленников и защитить свои сети и конфиденциальные данные от разрушительных кибератак.

    Письмо от 24 апреля 2024 года от Постоянного представителя
    01,5 тыс.0
  • Открытое программное обеспечение Grafana Platform SQL Injection High Risk Vulnerability

    В открытом программном обеспечении grafana существует уязвимость инъекции, когда злоумышленник может использовать post-запрос к /api/ds/query api, а затем модифицировать файл "rawSql" для выполнения вредоносной sql-строки, что приводит к слепой sql-инъекции, основанной на времени, и представляет угрозу компрометации базы данных.

    Письмо Постоянного представителя от 23 апреля 2024 года
    01,7 тыс.0
  • Финансирование данных: оценка потенциального масштаба ассетизации данных

    Развитие китайского рынка факторов данных идет по пути от ресурсоемкости к активизации, и характерной особенностью активизации данных является то, что данные могут играть роль фактора производства благодаря циркуляции в более широком диапазоне за пределами генерирующего субъекта.
    Что касается конкретных методов оценки данных активов, то основными из них, разработанных в существующей литературе, являются затратный метод, рыночный метод, метод дохода и метод техники оценки. Что касается затратного метода, то, несмотря на то, что он характеризуется простотой работы и легкостью посадки, ему также присущи такие недостатки, как легкая недооценка стоимости и сложность точного измерения. Для рыночного подхода, хотя он может быть более объективным и действительно отражать стоимость данных активов, и легко принимается рынком, но из-за необходимости иметь открытый и активный торговый рынок, поэтому его трудно широко практиковать в краткосрочной перспективе. Что касается доходного подхода, то, хотя он может лучше подчеркнуть внутреннюю стоимость данных, трудно надежно измерить будущие доходы активов данных, поэтому его также трудно применить в работе. Что касается метода техники оценки, то, хотя его преимущества заключаются в том, что он полностью отражает истинную стоимость данных, не требует активного рынка и не нуждается в точном измерении будущих доходов активов данных, он все еще находится на стадии исследования, поскольку для обучения модели необходимо заранее получить большой объем данных о стоимости активов данных.

    Письмо Постоянного представителя от 18 марта 2024 года
    02,5 тыс.0
  • Скорость и "скрытые опасности": скрытый кризис, стоящий за индустрией мгновенной доставки

    Состояние отрасли В настоящее время потребление жителей демонстрирует онлайн тенденцию, вместе с изменением основной силы потребления, спрос на услуги мгновенной доставки растет еще больше. Данные показывают, что почти 25% потребителей пользуются услугами мгновенной доставки более 10 раз в месяц, а потребители, которые пользуются услугой ежемесячно...

    Письмо Постоянного представителя от 11 марта 2024 года
    01,8К0
Загрузить больше сообщений