Geçen haftanın en ilginç haberlerinden, makalelerinden, röportajlarından ve videolarından bazılarına genel bir bakış:
Kuruluşların Dijital Operasyonel Dayanıklılık Yasası (DORA) hakkında bilmesi gerekenler
Bu Help Net Security röportajında Kyndryl Küresel Güvenlik ve Dayanıklılık Lideri Kris Lovejoy, Dijital Operasyonel Dayanıklılık Yasası'nın (DORA) AB genelindeki kuruluşlar üzerindeki, özellikle de BİT risk yönetimi ve siber güvenlik alanındaki etkisini tartışıyor.
Gelişmiş bulut iletişim güvenliği için yapay zeka ve otomasyondan yararlanma
Bu Help Net Security röportajında, Vonage CIO'su ve CISO'su Sanjay Macwan, bulut iletişimine yönelik ortaya çıkan tehditleri ve siber güvenlikte yapay zeka ve otomasyonun rolünü ele alıyor.
OpenARIA: Havacılık Risk Tanımlaması ve Değerlendirmesinin (ARIA) açık kaynak sürümü
MITRE artık Havacılık Risk Tanımlama ve Değerlendirme (ARIA) yazılım paketi OpenARIA'nın açık kaynaklı bir sürümünü sunuyor.
RiskInDroid: Android uygulamalarının açık kaynaklı risk analizi
RiskInDroid (Android için Risk Index), makine öğrenimi tekniklerine dayalı Android uygulamalarının niceliksel risk analizine yönelik açık kaynaklı bir araçtır.
PyRIT: Üretken yapay zeka sistemlerinde riskleri bulmaya yönelik açık kaynaklı çerçeve
Python Risk Tanımlama Aracı (PyRIT), Microsoft'un güvenlik profesyonellerinin ve makine öğrenimi mühendislerinin üretken yapay zeka sistemlerindeki riskleri bulmasına olanak tanıyan açık kaynaklı otomasyon çerçevesidir.
Cisco, kimlik doğrulama belirteçlerini ortaya çıkarabilecek Secure Client VPN kusurunu yaıyor (CVE-2024-20337)
Cisco, Cisco Secure Client kurumsal VPN'sini ve uç nokta güvenlik çözümünü etkileyen iki yüksek önem dereceli güvenlik açığını düzeltti; bunlardan biri (CVE-2024-20337), kimliği doğrulanmamış uzak saldırganlar tarafından kullanıcıların geçerli SAML kimlik doğrulama jetonunu ele geçirmek için kullanılabilir.
Web tabanlı PLC kötü amaçlı yazılımı: Kritik altyapıya yönelik yeni bir potansiyel tehdit
Georgia Tech Mühendislik Fakültesi'nden bir grup araştırmacı, büyük üreticiler tarafından üretilen çoğu PLC'yi hedef alabilecek web tabanlı programlanabilir mantık denetleyici (PLC) kötü amaçlı yazılımı geliştirdi.
Apple, aktif olarak yararlanılan iki iOS sıfır gününü düzeltti (CVE-2024-23225, CVE-2024-23296)
Apple, saldırganlar tarafından istismar edilen iki iOS sıfır gün güvenlik açığını (CVE-2024-23225, CVE-2024-23296) düzeltti.
Yüzlerce kuruluş, NTLM kimlik doğrulama karmalarını çalmayı amaçlayan e-postalarla hedef alındı
Hedef kuruluşların bilgisayar sistemlerine ve ağlarına ilk erişimi sağlama konusunda uzmanlaşmış bir tehdit aktörü, çalışanların NTLM karmalarını çalmak için bubi tuzaklı e-posta eklerini kullanıyor.
TeamCity JetBrains'teki kritik güvenlik açıkları düzeltildi, teknik ayrıntılar yakında yayınlanacak, hızlı bir şekilde yama yapın! (CVE-2024-27198, CVE-2024-27199)
JetBrains, TeamCity On-Premises'ı etkileyen iki kritik güvenlik açığını (CVE-2024-27198, CVE-2024-27199) düzeltti ve müşterilerin bu güvenlik açıklarını derhal düzeltmelerini istiyor.
GitHub push koruması artık genel depolar için varsayılan olarak açık
API anahtarları veya belirteçler gibi sırların yanlışlıkla çevrimiçi olarak sızdırılmasını önlemeyi amaçlayan bir güvenlik özelliği olan GitHub push koruması, tüm genel depolar için varsayılan olarak açıktır.
Yazılım havuzlarının güvenliğinin sağlanması daha iyi OSS güvenliğine yol açar
Kötü amaçlı yazılım paketleri GitHub, PyPI ve npm kayıt defteri gibi genel yazılım depolarında her gün görülüyor.
Anlık yapay zeka riskleri ve yarının tehlikeleri
GitGuardian'ın geliştiricisi ve güvenlik savunucusu Mackenzie Jackson, geçen hafta Bsides Zagreb'de izleyicilere “En temel düzeyde, yapay zeka kötü niyetli saldırganlara süper güçler verdi” dedi.
VMware, ESXi, Workstation, Fusion ve Cloud Foundation'daki kritik kusurları yamalıyor
VMware, ESXi, Workstation, Fusion ve Cloud Foundation'da bazıları saldırganların sanal alandan kaçmasına izin verebilecek dört güvenlik açığını (CVE-2024-22252, CVE-2024-22253, CVE-2024-22254, CVE-2024-22255) düzeltti. ve ana makinede kod yürütün.
Kimlik avcıları, sahte Okta SSO sayfaları aracılığıyla FCC'yi ve kripto sahiplerini hedef alıyor
Lookout araştırmacıları, yeni bir kimlik avı kampanyasının, kullanıcıları ve çalışanları hedeflemek için Federal İletişim Komisyonu (FCC) ve çeşitli kripto para birimi platformları için sahte Okta tek oturum açma (SSO) sayfalarını kullandığını keşfetti.
Siber olgunluk değerlendirmesi neden standart uygulama haline gelmeli?
Riski anlamak bir şeydir, ancak kuruluşunuzun gerçekleşen bu risklere dayanmak için gerekenlere sahip olup olmadığını nasıl anlarsınız?
Yazılım tedarik zinciri güvenliğini DevSecOps CI/CD işlem hatlarına entegre etme
Bu Help Net Security videosunda, Endor Laboratuvarları Güvenlik Araştırmacısı Henrik Plate, kuruluşların güvenlik önlemlerine hazırlıklılığını artırmak amacıyla yazılım tedarik zinciri güvenlik güvencesinin çeşitli yapı taşlarını CI/CD hatlarına entegre etmek için uygulanabilir önlemler sağlayan bu rapordan bahsediyor. Bulutta yerel uygulamaların geliştirilmesinde ve devreye alınmasında tedarik zinciri güvenliği.
Siber güvenlik sektöründe yeni ücretlendirme trendleri
Siber güvenlik liderleri birkaç yıldır önemli siber rollerde yetenek eksikliğiyle boğuşuyor. Artan finansal gereksinimler ve genişleyen sorumluluklar karşısında bu liderler, daha az kaynakla daha fazlasını başarma ve birden fazla güvenlik işlevini kapsayan roller oluşturma yönünde artan baskı altındadır.
API entegrasyonlarını güvende tutmanın 5 yolu
API entegrasyonları genellikle çalışanların kişisel bilgileri (PII), şirketlerin mali bilgileri ve hatta müşterilerin ödeme kartı verileri gibi hassas verileri işler.
Hibrit iş gücünüzü güvence altına alın: Şifreli depolamanın avantajları
Bu Help Net Security videosunda, Kingston Technology Saha Uygulama Mühendisi Ryan Amparo, hibrit iş gücü için şifrelenmiş harici SSD'lerin ve USB'lerin faydalarını tartışıyor.
Kuruluşlar, güvenlik açığı bulunan uygulamaları bilerek yayınlıyor
Checkmarx'a göre şirketlerin %92'si, şirket içinde geliştirilen uygulamalardaki güvenlik açıkları nedeniyle önceki yılda bir ihlal yaşamıştı.
Mart 2024 Yaması Salı tahmini: Popüler bir çerçeve güncellendi
Microsoft, aktif sürümleri desteğin sonuna yaklaşırken kullanıcıları işletim sistemlerini güncellemeye zorlamaya başlıyor.
Hassas sağlık verilerinin korunmasına yönelik düzenleme zorluklarını aşmak
Bu Help Net Security videosunda ClearDATA'nın CISO'su Chris Bowen, dijital sağlık şirketlerinin kullanıcılarına karşı daha şeffaf olmasının önemini vurguluyor.
Yapay zeka araçları şirketleri veri hırsızlığı riskiyle karşı karşıya bırakıyor
Code42'ye göre, içeriden gelen veri kaybı, yapay zeka ve üretken yapay zeka (GenAI) gibi yeni ortaya çıkan teknolojilerin sorunu daha da karmaşık hale getirmesi ve hızlı eyleme ihtiyaç duyulduğunu göstermesi nedeniyle güvenlik açısından giderek artan bir tehdit oluşturmaya devam ediyor.
Kimlik, fidye yazılımı ve kritik altyapı tehdidi trendlerinde büyük değişiklikler
Bu Help Net Security videosunda, IBM X-Force Stratejik Tehdit Analizi Müdürü Michelle Alvarez, 2024 X-Force Tehdit İstihbaratı Endeksi'ni tartışıyor ve ekibin geçen yıl küresel angajmanlarında gözlemlediği başlıca tehditleri ve eğilimleri ve bu değişimlerin nasıl oluştuğunu ortaya koyuyor 2024 ve sonrasındaki tehdit ortamı.
%95'i Yüksek Lisans'ın kimlik avı tespitini daha zorlu hale getirdiğine inanıyor
LastPass'a göre yanıt veren BT ve güvenlik uzmanlarının %95'inden fazlası, sosyal mühendislik saldırılarının geçen yıl daha karmaşık hale geldiğine inanıyor.
Geleceği güvence altına almak: Eğitim sektöründeki siber güvenlik sorunlarının ele alınması
Trustwave'in CISO'su Kory Daniels, bu Help Net Security videosunda mevcut tehdit ortamının hem üniversiteler hem de öğrenciler için yaratabileceği etkiye ışık tutuyor.
Etkin bir yönetişim kontrol programı nasıl oluşturulur?
Bir kuruluş olarak başarınız, özellikle siber alanda, güvenlik duruşunuza bağlıdır. Dijital tehditlerin süregelen gelişimini hesaba katmak için mevcut kontrol ortamını ele alan ve gelecekteki risk ortamına hazırlanmanıza yardımcı olan sağlam yönetişim kontrol programları uygulamanız gerekir.
Bir siber suçlunun cezalandırılması bir fark yaratacak mı?
10 Ocak'ta bir Fransız vatandaşı 3 yıl hapis ve 5 milyon dolar para cezasına çarptırıldı. Elektronik dolandırıcılık ve ağırlaştırılmış kimlik hırsızlığı yapmak için komplo kurma suçunu kabul etmişti. 22 yaşındaki oyuncu başlangıçta 29 yıl parmaklıklar ardında kalmıştı.
Fotoğraflar: BSidesZagreb 2024
BSidesZagreb, bilgi güvenliği profesyonellerinin ve meraklılarının bir araya gelmesi, fikir alışverişinde bulunması ve işbirliği yapması için tasarlanmış, topluluk katılımıyla yürütülen, kar amacı gütmeyen ücretsiz bir konferanstır. Help Net Security, 1 Mart'ta gerçekleşen 2024 baskısına sponsor oldu ve işte etkinlikten fotoğraflar.
Haftanın yeni infosec ürünleri: 8 Mart 2024
Check Point, Delinea, Pentera ve Sentra'nın piyasaya sürdüğü geçen haftanın en ilginç ürünlerine bir göz atalım.