"Чтобы поймать преступника, нужно мыслить как преступник". В эпоху Интернета киберпреступников можно назвать неуловимыми злодеями, которым для совершения преступлений не требуется показывать своего лица, и даже не обязательно находиться в одной стране с жертвой атаки, а все их действия могут остаться анонимными. Чтобы понять как действует злоумышленником, нужно самому стать им. Но как быть в этом случае специалисту по информационной безопасности, если нарушать законодательство - плохая идея, а понять как мыслит злоумышленник все же необходимо?
User
Управление уязвимостями в CMDB
Управление уязвимостями в маленьких компаниях отличается от управления уязвимостями в многочисленных компаниях. Ситуация может ухудшаться если большая компания является разработчиком множества продуктов, предоставляет услуги аутсорсинга, при этом все это реализуют микро и макрокоманды со своим стеком, своим железом, своими админами.
Мне как безопаснику, который решил взяться за централизованное, удобное для всех и не бесящее устранение уязвимостей с возможностью отчетности для руководства, предстояло изменить само видение процесса устранения уязвимостей.
Статья покажет, как достаточно дешево, без покупки дорогостоящих систем управления уязвимостями на базовом уровне реализовать эффективный процесс управления уязвимостями.
Конечно, можно помимо сканера уязвимостей купить к нему и систему управления уязвимостями и платить десятки тысяч долларов в год за лицензирование данной системы.
Научная гипотеза происхождения Карлсона
Карлсон знаком нам всем с детства, а вы когда-нибудь задумывались, как он был устроен?
Из чего был сделан пропеллер на его спине? Откуда взялся человек, обладающий недоступной для всех нас возможностью парить в воздухе? Как винт крепился к человеческому телу и вращался в нём? Почему весёлый человек был такого маленького роста?
Кем же он был: человек, робот или, может быть, кибернетический организм с электронным мозгом?
Проще всего его необычность списать на фантазию ребенка или писательницы Астрид Линдгрен, но не будем с этим спешить. Есть и доводы в пользу его реального существования.
Как, вы думаете, на самом деле был устроен странный незнакомец, так ловко жонглирующий законами физики? Давайте сегодня, 1 Апреля 2021 года, вместе найдем ответ на этот животрепещущий вопрос.
Очумелые ручки: как мы пишем плагины для платформы Atlassian
Всем привет, я Java-разработчик в ЮMoney.
В этой статье я хочу поговорить о том, какой профит можно получить от оптимизации действующих в компании инструментов, почему это стоит делать и с чего лучше начинать. На примере стека Atlassian и Bitbucket-плагина, который мы используем в ЮMoney, я расскажу и покажу всё в деталях.
Детальная настройка браузера Firefox
Вот уже пару лет, как я рекомендую всем моим знакомым использовать Firefox, как браузер для повседневного серфинга в интернете. Я люблю этот браузер за его гибкость в настройке, скорость и заботу о приватности. Много раз на форумах меня спрашивали про какие-то отдельные случаи по настройке, поэтому я решил написать статью с подробным описанием настроек, как шпаргалку для себя и чтобы делится ею, в случае новых вопросов.
Надеюсь она немножко поможет в популяризации этого чудесного браузера.
10 удивительно полезных базовых функций Python
Те, кто работает с Python, знают, что этот язык хорош благодаря своей обширной экосистеме. Можно даже сказать, что язык программирования не выделялся бы ничем особенным, если бы не его замечательные пакеты, которые добавляют новые функции к основным.
В качестве примера можно привести NumPy. Инструменты работы с матрицами хороши и в базовом Python, но использование NumPy улучшает все во много раз. Кроме того, у этого языка есть несколько крутых возможностей, которые делают его еще более функциональным. Используя эти возможности, вы можете уменьшить количество зависимостей, освободить время и упростить сам процесс разработки. Давайте посмотрим, что это за возможности.
Площадки по пентесту в 2024 году. Самый полный guide
Давно хотели что-то хакнуть? Да не было возможности? Представляю вашему вниманию крайне полный список площадок для пентеста и самостоятельного обучения.
Как стать тестировщиком или что я узнал за время становления на этот путь
Привет, Хабр! В этот пост я хочу вынести опыт на тему начинания в сфере тестирования. Здесь не будут описаны техники и правила.
Возможности настройки привилегии и безопасности интерфейса WMI
Давным-давно, когда трава была зеленее, а интернет безопаснее, в ИТ родилась инициатива Web Based Enterprise Management (WBEM). Первоначально спонсируемая в 1996 году такими компаниями как Cisco Systems, Intel и Microsoft, она получила широкое распространение и реализацию на различных платформах: от MAC OS до Redhat. WBEM четко документирован, основан на стандартах Интернета и представляет собой иной подход к управлению системами, отличный, например, от SNMP протокола.
Адаптация WBEM для Windows получила название WMI (Windows management interface) и впервые была представлена в Windows XP. Нам известно, что системы обновляются быстрее, чем их компоненты и многие уязвимости, бывшие ранее удобным инструментом управления, кочуют из версии в версию. В этой статье я хочу описать как выполняются задачи WMI и как избежать потенциальных рисков.
Как стать этичным хакером в 2021 году
Добрый день, друзья. Я достаточно долго шёл к этому посту, перелопатил немало форумов, телеграм каналов, ютуб каналов, прочитал комментариев, изучил слитых курсов и я думаю что теперь я готов написать данный пост. Путь я свой начал вообще не из хакинга и даже не из тестирования и сетевого администрирования а самого обычного digitial маркетинга, поэтому объяснять все буду достаточно прозрачно даже для людей не в теме.
Начну с того что понятие "этичный хакер" - для меня это что-то вроде слова "маркетолог". То есть в общем обо всем и ни о чем вообще. В хакинге как и во многих отраслях нужна специализация. Когда приходят какие то заказы на этичный взлом они, как правило приходят на команду, и в этой команде есть уже какая-то специализация.
Часть материала я взял у Codeby здесь и тут, которые я считаю обязательными к изучению, часть позаимствовал из своего личного XMIND, часть из телеграм каналов
Начну с того что Хакинг делится на следующие области:
Подробное руководство по Autopsy
Autopsy — это программа с открытым исходным кодом, которая используется для выполнения криминалистических операций с жесткими дисками и смартфонами.
Этот инструмент применяется:
- правоохранительными органами
- местной полицией
- корпоративными отделами безопасности
Основное предназначение программы — расследование улик киберпреступлений, но также Autopsy может использоваться для восстановления удаленной информации.
Содержание:
- Создание нового проекта
- Источники данных
- Просмотр содержимого
- Типы файлов:
- По расширению
- Документы
- Исполняемые файлы
- По типам MIME
- Типы файлов:
- Удаленные файлы
- Файлы по размеру
- Полученные результаты
- Извлеченный контент
- Метаданные
- Корзина
- Загрузки из интернета
- Ключевые слова
- Извлеченный контент
- Timeline
- Discovery
- Изображения/Видео
- Тегирование
- Создание отчетов
Первым делом скачаем Autopsy.
Создание нового проекта
Запускаем Autopsy в Windows и нажимаем "New Case".
Вводим название проекта, а также выбираем базовый каталог, чтобы все данные сохранялись в одном месте.
n8n. Автоматизация ИБ со вкусом смузи
В компаниях, где отлажены процессы ИБ, а также в центрах реагирования и мониторинга используется ПО, позволяющее автоматизировать принятия решений по возникающим инцидентам, но даже при этом многим до сих пор приходится писать скрипты для автоматизации рутинных операций. Что делать, если автоматизировать рутину вам хочется, но не хочется покупать дорогостоящее специализированное решение, разбираться с ним и потом долго настраивать его под свои нужды? А еще больше не хочется изобретать велосипед со скриптами и делать нечто свое, попутно изучая программирование и работу с БД?
Источник
TL;DR: Telegram, REST API, Shodan, DNS-over-HTTPS. Пишем бота в Telegram для парсинга инфы с shodan и поиска эксплойтов на exploit-db. Находим баг в работе n8n.
Ответ есть – добро пожаловать во фронтенд
Одна строка, которая ускорила клонирование в 100 раз
refspec
во время git fetch
ускоряет шаг клонирования в 100 раз. Группа Engineering Productivity отвечает за поддержку инженеров, которые создают и развёртывают программное обеспечение в Pinterest. Наша команда поддерживает ряд инфраструктурных сервисов и часто работает над крупными проектами — перенос всего программного обеспечения на Bazel, создание платформы непрерывной доставки под названием Hermez. Они же поддерживают монорепозитории, куда ежедневно присылают по несколько сотен коммитов, и это ещё не все их задачи.
Как сделать nginx безопасным
TL;DR: абсолютно устойчивых систем не существует, поэтому ответ — никак. Но можно значительно упростить себе жизнь с помощью Docker-контейнера bunkerized-nginx. О том, чем он отличается от стандартного образа nginx и что интересного умеет, поговорим под катом.
Red Teaming — комплексная имитация атак. Методология и инструменты
Источник: Acunetix
Red Teaming (атака «красной команды») – это комплексная имитация реальных атак с целью оценки кибербезопасности систем. «Красная команда» представляет собой группу пентестеров (специалистов, выполняющих тест на проникновение в систему). Они могут быть как нанятыми со стороны, так и сотрудниками вашей организации, но во всех случаях их роль одинакова — имитировать действия злоумышленников и пытаться проникнуть в вашу систему.
Наряду с «красными командами» в кибербезопасности существует и ряд других. Так, например, «синяя команда» (Blue Team) работает вместе с красной, но ее деятельность направлена на повышение безопасности инфраструктуры системы изнутри. «Пурпурная команда» (Purple Team) является связующим звеном, помогая двум другим командам в разработке стратегии нападения и мер защиты. Тем не менее, редтиминг является одним из наименее понятных методов управления кибербезопасностью, и многие организации по-прежнему неохотно используют эту практику.
В этой статье мы подробно объясним, что кроется за понятием Red Teaming, и как внедрение практик комплексной имитации реальных атак может помочь улучшить безопасность вашей организации. Цель статьи — показать, как этот метод может значительно повысить безопасность ваших информационных систем.
1. Обучение пользователей основам ИБ. Борьба с фишингом
На сегодняшний день сетевой администратор или инженер ИБ тратит уйму времени и сил, чтобы защитить периметр сети предприятия от различных угроз, осваивает все новые системы предотвращения и мониторинга событий, но даже это не гарантирует ему полной защищенности. Социальная инженерия активно используется злоумышленниками и может нести за собой серьезные последствия.
Как часто вы ловили себя на мысли: “Хорошо бы устроить проверку для персонала на предмет грамотности в ИБ”? К сожалению, мысли упираются в стену непонимания в виде большого числа задач или ограниченности времени рабочего дня. Мы планируем рассказать вам о современных продуктах и технологиях в области автоматизации обучения персонала, которые не будут требовать длительной подготовки для проведения пилотов или внедрения, но обо всем по порядку.
Байки из жизни пентестеров, или Чем они рискуют, пытаясь взломать вашу компанию
Продолжаем делиться с вами крутыми материалами по теме информационной безопасности, которые обнаружили в сети. И не могли обойти вниманием достойный англоязычный подкаст Darknetdiaries. Один из его эпизодов – это разговор двух опытных пентестеров (Гари и Джастина).
Они рассказывают историю о том, чем для них обернулся однажды аудит безопасности. Пентестеры взломали входы в помещения и ИТ-инфраструктуру суда, а всего несколько часов спустя оказались там же, но как подсудимые. Доказать невиновность им удалось только месяцы спустя, так что историю можно вполне считать драматичной, если бы не чувство юмора рассказчиков.
Делимся находкой и для удобства пересказываем историю от третьего лица. Пентестеры раскрывают лишь малую часть приемов, которые используют в работе, чтобы не дарить информацию тем, кто решит воспользоваться ею в преступных целях.
Оригинал для желающих тут – и в аудио, и в текстовом формате.
Как кибербезопасность трансформирует рынок ИТ (часть 3)
Новое применение Captive Portal для проведения MiTM атак
Тема проведения Man in the Middle атаки в контексте Captive Portal стара как мир. Как правило ведется речь о поднятии фейковой беспроводной точки доступа с собственным Captive порталом. Сегодня я покажу совершенно другой вектор атаки, выходящий за грани WiFi и применимый в том числе и в проводных Ethernet сетях.
Security Week 36: критическая уязвимость в Slack
Атака на десктопное приложение, использующее фреймворк Electron, проводится в два этапа: исследователь сначала нашел способ задействовать два HTML-тега — area и map, а потом с их помощью загрузил скрипт, выполняющий произвольный код на машине жертвы. Сценарий выглядит просто: злоумышленник делится файлом, по клику на него выполняется вредоносный код. Альтернативный вариант — кража сессии пользователя с понятными последствиями: полный доступ к данным корпоративного чата. Информацию о баге передали разработчикам через платформу HackerOne в январе. В марте самую серьезную часть проблемы — запуск кода — устранили, но вендор еще полгода тянул время, не разрешая публикацию данных об уязвимости без особой на то причины.
Information
- Rating
- Does not participate
- Registered
- Activity