4276 cikk
4276 CIKK
Újraértelmezzük az IaC (Infrastructure as Code) alkalmazásának a “funnel” (vízcsatorna) metaforáját, amely azt mutatja, hogy milyen mértékben van a rendszerünk szabályozva, nyomon követhető, és hogy milyen gyorsan lehet javítani benne.
A CISA a Cisco IOS-szal kapcsolatos CVE-2008-4128 nevű új sérülésszerűséget a “Megismert kihasználható sérülésszerűségek” (KEV) katalógusába adta, mivel aktív kihasználás veszélye áll fenn. Ez a sérülésszerűség a cyber támadók gyakori célpontja, és jelentős kockázatot jelent a kormányzati szervezetek számára. A 26-04 számú “Megkötött működési irányelv” értelmében, a kormányzati szervezeteket kötelezik a KEV katalógusban található, magas kockázatú sérülésszerűségek gyors javítására, miközben a kisebb kockázatúakat elhalaszthatják. A CISA minden szervezetet arra kér, hogy hasonló kockázati alapú sérülésszerűségi menedzsment gyakorlatokat alkalmazzon. Az szervek a CISA jelölési folyamatán keresztül bemutathatják a kihasználott sérülésszerűségeket, hogy azok potenciálisan a KEV katalógusba kerüljenek.
A Orosz Föderális Kiberbiztonsági Szolgálat (FSB) továbbra is kihasználja a rossz konfigurációjú hálózati eszközöket világszerte, ami hatással van a különböző kritikus infrastruktúra szektorokra, beleértve a kommunikációt, az energiát és az egészségügyet. Egy friss kiberbiztonsági tanács (CSA) több ügynökségtől, beleértve az NSA, a CISA és az FBI-t, részletezi a FSB kiberaktívus szereplőinek által okozott fenyegetések elleni hatékony módszereket, beleértve az insecure protokolok, például az SNMPv1/v2 lekapcsolását, az SNMPv3 használatát és a erős jelszó szabályok alkalmazását. A hálózati védelemben részt vevőknek javasolják, hogy javítsák a konfigurációkat és figyeljék a rendszereiket, hogy jobban védi őket.
Egy Nathan E. Sanders által írt, The Guardian-ben megjelent esszé a US-ban egyre növekvő ellenállást a mesterséges intelligencia adat központok ellen. Ez a kérdés egy olyan egységes téma lett a politikában, amely a pártok közötti különbségeket átível. Bár a szerzők elismerik a közösségi viták fontosságát a datacenterek gazdasági előnyeiról és hátrányairól, aggályukat fejezik ki, hogy ez a vita eltereli a figyelmet a mesterséges intelligens által okozott szélesebb következményekre, beleértve a mesterséges intelligencia vállalatok hatalmának konsolidációját és a jelentős politikai és pénzügyi befolyásukat.
Trail of Bits új fejezetet vezetett be a “Teszt útmutatóban”, amely a Rust programok biztonsági tesztelésére összpontosít. A fejezet a Rust biztonsági garanciákat, a dinamikus és statikus elemzési technikákat, valamint a Rust kódalapok közvetlen auditálásából szerzett tapasztalokat vizsgálja. A fő témák közé tartoznak a dinamikus tesztelő eszközök, a Miri használata a meghatározatlan viselkedés ellenőrzésére, a Clippy statikus elemzésre, valamint a memória nullázási stratégiák. Emellett a fejezet olyan speciális eszközöket is bemutat, mint a Kani a modellellenőrzéshez, valamint a rust-review, egy automatikus biztonsági auditálásra szolgáló plugin. Az útmutató célja, hogy naprakész legyen a folyamatosan változó Rust ökoszisztémával.
Fedezze fel, hogyan lehet a képződési folyamokban a szigorozási hiányt minimalizálni az Auth0 naplófigyelés, a Token Vault biztonságos token-cserék és a CIBA jóváhagyási folyamok segítségével.
A Unit 42 a Gentlemen ransomware működését vizsgálja, és feltárja a kísérőmodell, amely a gyors növekedését hajtja. További információ itt. A cikk: No Manners Here: The Ruthless Rise of The Gentlemen Ransomware megjelent a Unit 42 oldalán.
Egy ritka kombinált biztonsági/squid posztban, egy húszéves squid proxy hibája HTTP kéréseket leakelhet. Ahogy megszokott, ezt a squid posztot használhatod arra, hogy beszélj a hírekben, amiket még nem fedeztem fel. Blog moderációs szabály.
Az Amazon Web Services EMEA Sarl (AWS) a brit pénzügyi szektor számára egy kritikus harmadik félnek (CTP) minősült a brit kincstár (HM Treasury) szerint. A CTP szabályozás 2025. január 1-jén lépett életbe, és egy olyan keretet hoz létre, amelyen keresztül a Bank of England, PRA és FCA (együtt a brit szabályozók) meghatározhatják a követelményeket az AWS-től, és
A Microsoft legújabb Secure Future Initiative jelentése bemutatja a biztonságos alapok, az AI-alapú védelem és a jövőre kész informatikai biztonság terén elért előményeket. A cikk: Securing our future: July 2026 progress report on Microsoft’s Secure Future Initiative jelent meg először a Microsoft Security Blog-on.
A CISA két új hibaforrást hozott be a “Tanulmányozott kihasználható hibák” (KEV) katalógusába: CVE-2026-48939 (iCagenda) és CVE-2026-56291 (Balbooa Forms), mindkettő a korlátlan fájlmentéshez kapcsolódik. Ezek a hibák jelentős kockázatot jelentenek a kormányzati rendszerek számára. A BOD 26-04 irányelv meghatározza a kormányzati szervek számára a magas kockázatú hibák hatékony kezelésének követelményeit. Bár elsősorban a kormányzati szervekra vonatkozik, a CISA minden szervezetet arra bátorítja, hogy hasonló stratégiákat alkalmazzon a hibaellenőrzéshez. A szervezetek javasolhatják további hibaforrásokat a KEV katalógusba történő beépítésre a CISA jelölési folyamatán keresztül.
Jövőben a fejlett AI-alapú megfigyelőrendszerek széles körben figyelni fognak a nyilvános és magánéletre. Minden szabályszegés, például a lopás vagy a szabálytalan átkelés, és az érintettek hivatalos nyilvántartásába kerül. Ezek a rendszerek azonnal értesítik a szabályt sértezőket és a releváns hatóságokat, valós idejű figyelmeztetéseket biztosítva, nem pedig a hagyományos, késői bírságolási rendszert. Ez a változás egy széles körű végrehajtási képességet eredményez, amely nem csupán a sebességkorlátokat, hanem számos társadalmi szabályt is lefedi.