Vulnerabilità di software, hardware e sistemi: zero-day, CVE sfruttate, exploit, patch e vulnerability management, con analisi tecniche e contromisure.
80 articoli
Relazione di Massimiliano Brolli al 10° Cyber Crime Conference 2019 su injection e Remote Code Execution come cause di data breach: patching, hardening, sviluppo sicuro del codice e limiti dei WAF.
Vulnerability Management: perché un processo senza risorse e strumenti non funziona, tra scarsa cultura aziendale, scansioni occasionali, ruoli come il Vulnerability Analyst e raccordo con Patch Management.
Vulnerabilità delle reti 4G e 5G: Authentication Relay Attack, aLTEr, ToRPEDO e Piercer consentono di leggere messaggi, tracciare i dispositivi e manipolare il traffico DNS tramite celle effimere.
Vulnerabilità di WinRAR trovata da CheckPoint con il binary fuzzing di WinAFL: unacev2.dll, compilata nel 2006, gestisce gli archivi ACE e presenta un bug di tipo Absolute Path Traversal.
Honeypot IoT di NETSCOUT: nei 120 giorni analizzati il 94% del traffico di attacco sfrutta l’exploit Huawei Router, in aumento del 218% tra dicembre 2018 e gennaio 2019, per lo più con varianti di Mirai.
Meltdown e Spectre sono vulnerabilità hardware nel disegno delle CPU divulgate il 3 gennaio 2018: accesso in sola lettura a dati riservati, varianti come NetSpectre e Foreshadow e patch solo parziali.
Pwnie Award 2018 assegnati alla Black Hat: Intel AMT, Chainspotting, Meltdown e Spectre, ROBOT, Bitfi e Holey Beep, più il Lifetime Achievement Award a Michał Zalewski, autore dello scanner p0f e del fuzzer AFL.
Obsolescenza tecnologica del software: rischi come gli RCE e contromisure di security by design (stack, open source, patching automatico) e long-term security (assessment, segregazione, WAF).
Fata Informatica presenta Sentinet3 Security Analyzer, modulo di Sentinet3 che scansiona la rete per rilevare vulnerabilità note, con database di oltre 60000 referenze, dashboard e report per il risk management.
Meltdown e Spectre, annunciate il 3 gennaio 2018 da Project Zero, Cyberus Technology e dall’Universita di Graz, derivano da predizione di salto ed esecuzione speculativa e Meltdown legge memoria riservata via cache.
Come ordinare gli interventi sulle vulnerabilità in base al rischio: ranking, limiti dei metodi approssimati e struttura del CVSS, dalla versione 1 del febbraio 2005 alla versione 3 del 2015, con la metrica di base.
Rassegna di vulnerabilità degli smartphone, da BlueBorne a KRACK, Meltdown e Spectre, chaiOS, il carattere Telugu e Cloak & Dagger, con le versioni di Android, Windows Mobile e iPhone vulnerabili o risolte.
Una volta al mese, gratis: la rassegna dei migliori articoli della rivista ICT Security. Ti cancelli quando vuoi.