Внимательный подписчик узнает в этой колонке наш недавний вебинар. А всем, кто его пропустил, рекомендуем прочитать выдержку в «Хакер» 👇
https://xakep.ru/2023/05/17/ideal-pentest/
https://xakep.ru/2023/05/17/ideal-pentest/
xakep.ru
Идеальный пентест. Как довести заказчика до экстаза
Пентест, то есть проверка инфраструктуры компании на возможность хакерского проникновения, — это распространенная услуга, которую предоставляют ИБ-компании. Однако пентесты бывают очень разными. В этой статье я расскажу, как, на мой взгляд, должны и как не…
👍4🔥2❤🔥1
Forwarded from Хакер — Xakep.RU
Идеальный пентест. Как довести заказчика до экстаза
Пентест, то есть проверка инфраструктуры компании на возможность хакерского проникновения, — это распространенная услуга, которую предоставляют ИБ-компании. Однако пентесты бывают очень разными. В этой статье я расскажу, как, на мой взгляд, должны и как не должны выглядеть результаты таких работ. Думаю, мои советы пригодятся и заказчикам, и исполнителям.
https://xakep.ru/2023/05/17/ideal-pentest/
Пентест, то есть проверка инфраструктуры компании на возможность хакерского проникновения, — это распространенная услуга, которую предоставляют ИБ-компании. Однако пентесты бывают очень разными. В этой статье я расскажу, как, на мой взгляд, должны и как не должны выглядеть результаты таких работ. Думаю, мои советы пригодятся и заказчикам, и исполнителям.
https://xakep.ru/2023/05/17/ideal-pentest/
🔥5👍3❤🔥2👎2❤1
Туллинг для специалистов по безопасности контейнеров
В современной разработке контейнеризация радикально изменила способ, которым мы создаем, развертываем и управляем приложениями. Но с этой новой парадигмой приходит и критическая необходимость в безопасности контейнеров.
Вашему вниманию предлагается несколько категорий и инструментов, которые помогут поддержать уровень защищенности на приемлемом уровне (только free / opensource):
Container image scanning:
- Clair
- Trivy
- Anchore Engine
- Grype
Container orchestration:
- Kubernetes
- Apache Mesos
- Nomad
Runtime protection:
- Tracee
- Sysdig
- Falco
- KuberArmor
Configuration management:
- Ansible
- Chef
- Puppet
Vulnerability management:
- Greenbone
- DefectDojo
Container firewall:
- Calico
- Cilium
- Weave Net
Security information and event management (SIEM):
- ELK
- Wazuh
Identity and access management (IAM):
- Keycloak
- OpenIAM
Continuous integration and deployment (CI/CD):
- Jenkins
- GitLab CI/CD
- Travis CI
- GitHub Actions
- Bamboo
Incident response:
- TheHive
Kubernetes Security:
- Aqua Security
- Sysdig Secure
- Twistlock
В современной разработке контейнеризация радикально изменила способ, которым мы создаем, развертываем и управляем приложениями. Но с этой новой парадигмой приходит и критическая необходимость в безопасности контейнеров.
Вашему вниманию предлагается несколько категорий и инструментов, которые помогут поддержать уровень защищенности на приемлемом уровне (только free / opensource):
Container image scanning:
- Clair
- Trivy
- Anchore Engine
- Grype
Container orchestration:
- Kubernetes
- Apache Mesos
- Nomad
Runtime protection:
- Tracee
- Sysdig
- Falco
- KuberArmor
Configuration management:
- Ansible
- Chef
- Puppet
Vulnerability management:
- Greenbone
- DefectDojo
Container firewall:
- Calico
- Cilium
- Weave Net
Security information and event management (SIEM):
- ELK
- Wazuh
Identity and access management (IAM):
- Keycloak
- OpenIAM
Continuous integration and deployment (CI/CD):
- Jenkins
- GitLab CI/CD
- Travis CI
- GitHub Actions
- Bamboo
Incident response:
- TheHive
Kubernetes Security:
- Aqua Security
- Sysdig Secure
- Twistlock
🔥7❤🔥2👍2
«Крупнейшая ИТ-компания «Маленький софт» получила информацию о том, что в ближайшее время ее инфраструктура будет атакована известной группировкой Всемирная ассоциация отпетых негодяев (ВАОН), АПТ-группой, которая уже прославилась рядом громких взломов.
Директор компании, Гилл Бейтс, решил обратиться к команде Авилликс Файт Клаб, чтобы они провели расследование, вычислили преступников и помогли избежать фатальных последствий, ведь в случае удачной атаки пострадает не только Маленький Софт, но и их клиенты» — так начинается сюжет поистине уникальной приключенческой настольной ролевой игры с рабочим названием «Подземелье и кибербезопасность».
Мы придумали сюжет, персонажей и квесты в тематике инфобеза совместно с несравненным главредом портала Cyber Мedia Валерием Ивановым (АКА Гейммастером).
Мы уже обкатали игру на сотрудниках и друзьях Awillix. Планируем развивать ее. А вы бы хотели сыграть?
Директор компании, Гилл Бейтс, решил обратиться к команде Авилликс Файт Клаб, чтобы они провели расследование, вычислили преступников и помогли избежать фатальных последствий, ведь в случае удачной атаки пострадает не только Маленький Софт, но и их клиенты» — так начинается сюжет поистине уникальной приключенческой настольной ролевой игры с рабочим названием «Подземелье и кибербезопасность».
Мы придумали сюжет, персонажей и квесты в тематике инфобеза совместно с несравненным главредом портала Cyber Мedia Валерием Ивановым (АКА Гейммастером).
Мы уже обкатали игру на сотрудниках и друзьях Awillix. Планируем развивать ее. А вы бы хотели сыграть?
👍10🔥2❤🔥1
Вы бы хотели сыграть в «Подземелье кибербезопасности»?
Anonymous Poll
60%
Да, зовите!
27%
Я бы на это посмотрел 😏
12%
Нет 🤓 мне чуждо веселье
👍2⚡1🔥1
Media is too big
VIEW IN TELEGRAM
Мы приняли участие, наверное, в самом забавном, открытом и смелом подкасте про безопасную разработку во всей истории кибербеза. Ни серьезных щей, ни галстуков, ни цензуры. Голый профессиональный опыт, кейсы и самоирония.
Видео выйдет 5 июня на этом канале, подписывайтесь, чтобы не пропустить!
Видео выйдет 5 июня на этом канале, подписывайтесь, чтобы не пропустить!
🔥8❤1
В мире кибербезопасности всегда есть что-то новое, технологичное, иногда даже тревожное. Одно из последних явлений — злоупотребление доменами верхнего уровня (TLD), такими как .zip и .mov. Эти домены, которые выглядят как расширения файлов, стали новым полем для фишинговых атак и распространения вредоносного ПО.
В мае 2023 года Google запустил новые TLD, включая .zip и .mov. С тех пор было зарегистрировано более 1200 новых интернет-адресов, некоторые из которых уже злоупотребляют киберпреступники. Вот несколько примеров:
1. Домен microsoft-office[.]zip был использован для создания поддельной страницы входа в систему, которая имитирует страницу входа Microsoft и пытается украсть учетные данные.
2. Домен officeupdate[.]zip также был зарегистрирован и использован для фишинговых атак.
3. Независимый исследователь mr.d0x продемонстрировал, как злоумышленники могут имитировать интерфейс архиватора файлов в браузере и связывать его с доменом .zip. Фишинговый сайт, который выглядит как WinRAR… Только посмотрите: https://mrd0x.com/file-archiver-in-the-browser/
Эти новые TLD представляют собой серьезную угрозу безопасности. Они открывают новые возможности для фишинга и распространения вредоносного ПО.
Помните, что кибербезопасность — это не одноразовое действие, а постоянный процесс. Как и с любой другой угрозой, есть способы защититься, вот простые и всем понятные рекомендации:
1. Будьте осторожны с любыми файлами, загруженными из Интернета. Перед загрузкой файла можно воспользоваться сервисом https://www.virustotal.com
2. Организациям настоятельно рекомендуется блокировать домены .zip и .mov, поскольку они уже используются для фишинга и, вероятно, будут использоваться все активнее.
3. Образование и осведомленность пользователей имеют высокий вес в кибербезе.
В мае 2023 года Google запустил новые TLD, включая .zip и .mov. С тех пор было зарегистрировано более 1200 новых интернет-адресов, некоторые из которых уже злоупотребляют киберпреступники. Вот несколько примеров:
1. Домен microsoft-office[.]zip был использован для создания поддельной страницы входа в систему, которая имитирует страницу входа Microsoft и пытается украсть учетные данные.
2. Домен officeupdate[.]zip также был зарегистрирован и использован для фишинговых атак.
3. Независимый исследователь mr.d0x продемонстрировал, как злоумышленники могут имитировать интерфейс архиватора файлов в браузере и связывать его с доменом .zip. Фишинговый сайт, который выглядит как WinRAR… Только посмотрите: https://mrd0x.com/file-archiver-in-the-browser/
Эти новые TLD представляют собой серьезную угрозу безопасности. Они открывают новые возможности для фишинга и распространения вредоносного ПО.
Помните, что кибербезопасность — это не одноразовое действие, а постоянный процесс. Как и с любой другой угрозой, есть способы защититься, вот простые и всем понятные рекомендации:
1. Будьте осторожны с любыми файлами, загруженными из Интернета. Перед загрузкой файла можно воспользоваться сервисом https://www.virustotal.com
2. Организациям настоятельно рекомендуется блокировать домены .zip и .mov, поскольку они уже используются для фишинга и, вероятно, будут использоваться все активнее.
3. Образование и осведомленность пользователей имеют высокий вес в кибербезе.
👍5🔥5❤🔥2
Безопасная разработка плотно обосновалась на форумах, посвященных разработке и кибербезопасности, но стала ли она «нормой жизни» для российского IT? Многие компании не спешат внедрять SSDLC-подход в свою работу в силу разных причин, от финансовых затрат до неготовности самих сотрудников работать в новых условиях.
Анастасия Худоярова, DevSecOps-инженер из Awillix, и Владислав Вернер, backend-разработчик из Ozon Tech поговорили о своем видении безопасной разработки, опыте работы в условиях «повышенной кибербезопасности», влиянии SSDLC на рабочие процессы IT-специалиста и роли специалиста по кибербезопасности в этом процессе.
🔗Смотрите на канале Cyber Media
Анастасия Худоярова, DevSecOps-инженер из Awillix, и Владислав Вернер, backend-разработчик из Ozon Tech поговорили о своем видении безопасной разработки, опыте работы в условиях «повышенной кибербезопасности», влиянии SSDLC на рабочие процессы IT-специалиста и роли специалиста по кибербезопасности в этом процессе.
🔗Смотрите на канале Cyber Media
YouTube
Cyber Media #1 / Безопасная разработка: "Кактус" или срочно внедряем / В гостях: Awillix и Ozon Tech
Безопасная разработка плотно обосновалась на форумах, посвященных разработке и кибербезопасности, но стала ли она «нормой жизни» для российского IT? Многие компании не спешат внедрять SSDLC-подход в свою работу в силу разных причин, от финансовых затрат до…
❤🔥4🔥4👍3
Media is too big
VIEW IN TELEGRAM
Pentest award by Awillix
Очередные новости об утечках, опять все обсуждают новую хакерскую группировку, снова русские хакеры во всем виноваты. Хватит это терпеть!
Доколе вся слава будет доставаться преступникам?
Давайте покажем, на что способны этичные хакеры!
Давайте расскажем, кто спасает ИТ-инфраструктуры бизнеса!
Давайте демонстрировать опыт, получать признание рынка и классные призы!
Пентест — самая творческая ИБ-дисциплина, так пусть и в нашей отрасли будет премия. Awillix создает первую независимую премию для этичных хакеров.
Подавайте заявки для участие на сайте. Каждый имеет шанс на победу.
Поддержите новый проект, поделившись новостью с коллегами!
#pentestaward
Очередные новости об утечках, опять все обсуждают новую хакерскую группировку, снова русские хакеры во всем виноваты. Хватит это терпеть!
Доколе вся слава будет доставаться преступникам?
Давайте покажем, на что способны этичные хакеры!
Давайте расскажем, кто спасает ИТ-инфраструктуры бизнеса!
Давайте демонстрировать опыт, получать признание рынка и классные призы!
Пентест — самая творческая ИБ-дисциплина, так пусть и в нашей отрасли будет премия. Awillix создает первую независимую премию для этичных хакеров.
Подавайте заявки для участие на сайте. Каждый имеет шанс на победу.
Поддержите новый проект, поделившись новостью с коллегами!
#pentestaward
🔥9❤6👍6❤🔥3
FIRST BLOOD!
Один мистер из чатика BI.ZONE Bug Bounty умыл нас, заявив про XSS, за что ему почет и уважение! Хороший пример для всех, поддавайтесь, мы ждем)
Но если посмотреть дальше нашего промо-лендинга на тильде, то первая вдумчивая и серьезная заявка пришла уже в день первого анонса премии. Автор описал очень красивый и техничный способ развития атаки от разведки до получения возможности выполнения удаленного кода на платформе крупного семейства продуктов, принадлежащих корпорации Oracle. Обязательно отметим его за скорость на церемонии!
#pentestaward
Один мистер из чатика BI.ZONE Bug Bounty умыл нас, заявив про XSS, за что ему почет и уважение! Хороший пример для всех, поддавайтесь, мы ждем)
Но если посмотреть дальше нашего промо-лендинга на тильде, то первая вдумчивая и серьезная заявка пришла уже в день первого анонса премии. Автор описал очень красивый и техничный способ развития атаки от разведки до получения возможности выполнения удаленного кода на платформе крупного семейства продуктов, принадлежащих корпорации Oracle. Обязательно отметим его за скорость на церемонии!
#pentestaward
👍4🔥4😍3❤🔥2
FAQ. Pentest award
Для тех, кто не настолько безотлагательный, разберем самые часто задаваемые вопросы и возражения:
➡️ Нужно прислать вам отчет? Демонстрировать векторы атаки? Выглядит как сбор свежих приватных эксплоитов.
Заявка — это ваш рассказ о лучшем проекте в свободной форме. Речи не идет о раскрытии эксплоитов, любые шаги в цепочке эксплуатации полностью анонимны, детали могут быть скрыты, важен сам подход и идея. Подробности описаны на сайте в разделе «требования к подаче».
➡️ Хотели внедрения и наград, а получили конкурс писателей.
ИБ-компании всегда показывают примеры своей работы с помощью обезличенных отчетов. Это самый простой и распространенный способ оценить квалификацию исполнителя. У Offensive Security отчёт вообще размещен на сайте.
При приеме на работу всегда просят привести пример самого интересного похека. Практика оценки квалификации по обезличенным отчётам существует с момента появления этичного хакинга и наша механика не нова. Если у вас есть конструктивные предложения по развитию проекта — напишите нам, мы всегда рады.
➡️ Вы хотите чтобы я нарушил NDA? Как будут оцениваться работы?
Мы обращаем внимание на развернутое повествование, описание контекста и вводных, примеры эксплуатации, скрины и пруфы наличия уязвимостей, но детали могут быть скрыты. Можете закрасить все чувствительные данные. Подробности описаны на сайте в разделе «критерии оценки».
У нас высокопрофессиональное жюри, которое будет выставлять баллы по общим критериям. В случае вопросов, будем связываться с авторами.
➡️ Как будет проходить награждение?
Мы будем приглашать номинантов и партнеров на церемонию, а также транслировать происходящее онлайн. Информация появится после завершения этапа сбора заявок, следите за новостями.
_____________________________________________________________
Ждем ваших кейсов, у каждого есть шанс на победу!
Подавайте заявки на сайте — https://award.awillix.ru/
⚡️ Для дальнейших вопросов и обсуждений делаем чатик, чтобы не флудить в канале — https://www.tg-me.com/+t85sa1tlzpA2ZGMy добавляйтесь.
#pentestaward
Для тех, кто не настолько безотлагательный, разберем самые часто задаваемые вопросы и возражения:
Заявка — это ваш рассказ о лучшем проекте в свободной форме. Речи не идет о раскрытии эксплоитов, любые шаги в цепочке эксплуатации полностью анонимны, детали могут быть скрыты, важен сам подход и идея. Подробности описаны на сайте в разделе «требования к подаче».
ИБ-компании всегда показывают примеры своей работы с помощью обезличенных отчетов. Это самый простой и распространенный способ оценить квалификацию исполнителя. У Offensive Security отчёт вообще размещен на сайте.
При приеме на работу всегда просят привести пример самого интересного похека. Практика оценки квалификации по обезличенным отчётам существует с момента появления этичного хакинга и наша механика не нова. Если у вас есть конструктивные предложения по развитию проекта — напишите нам, мы всегда рады.
Мы обращаем внимание на развернутое повествование, описание контекста и вводных, примеры эксплуатации, скрины и пруфы наличия уязвимостей, но детали могут быть скрыты. Можете закрасить все чувствительные данные. Подробности описаны на сайте в разделе «критерии оценки».
У нас высокопрофессиональное жюри, которое будет выставлять баллы по общим критериям. В случае вопросов, будем связываться с авторами.
Мы будем приглашать номинантов и партнеров на церемонию, а также транслировать происходящее онлайн. Информация появится после завершения этапа сбора заявок, следите за новостями.
_____________________________________________________________
Ждем ваших кейсов, у каждого есть шанс на победу!
Подавайте заявки на сайте — https://award.awillix.ru/
#pentestaward
Please open Telegram to view this post
VIEW IN TELEGRAM
👍5🔥4❤🔥3👏1
This media is not supported in your browser
VIEW IN TELEGRAM
Жюри Pentest Awards by Awillix
Просим любить и жаловать 👏
1. Илья Карпов. Руководитель отдела исследований кибербезопасности и разработки сценариев киберучений в Национальном киберполигоне. Зарегистрировал более 300 CVE, топ-5 BDU ФСТЭК. Сооснователь сообщества Ruscadasec и группы исследователей ScadaXSecurity.
2. Александр Герасимов. Сооснователь Awillix.
3. Павел Топорков (Paul Axe). Независимый исследователь. Багхантер, докладчик на международных конференциях, автор уязвимостей нулевого дня в таких известных продуктах как Siemens, Redis, OpenStack.
4. Егор Богомолов. Генеральный директор Singleton Security и управляющий директор школы CyberEd, которая дает 6 грантов на обучение на любом своем курсе всем, кто займет вторые места в премии🤩
5. Роман Панин. Руководитель blue team в МТС. Строил с нуля и развивал процессы ИБ в ФинТехе, Нефтянке и Телекоме. Автор телеграм-канала «Пакет Безопасности».
6. Роман Шемякин. Lead Application Security Engineer at Yandex.
7. Михаил Сидорук. Руководитель управления анализа защищенности, BI.ZONE — компания, которая дарит 6 билетов OFFZONE, всем кто займет первые места.
8. Евгений Андрюхин. Специалист по тестированию на проникновение сертифицированный OSCP/OSCE/OSWE/CRTP/Attacking Active Directory with Linux/ Cloud Security: AWS Edition/ Windows Kernel Programming Course by Pavel Yosifovich.
9. Николай Хечумов. Senior Security Engineer в Avito. Автор утилиты для поиска секретов DeepSecrets.
Теперь вы знаете, кому строить глазки, чтобы получить оценку повыше 😏 ну а если серьезно, все критерии оценки работ давно есть на сайте — https://award.awillix.ru/
Ждем ваших работ!
#pentestaward
Просим любить и жаловать 👏
1. Илья Карпов. Руководитель отдела исследований кибербезопасности и разработки сценариев киберучений в Национальном киберполигоне. Зарегистрировал более 300 CVE, топ-5 BDU ФСТЭК. Сооснователь сообщества Ruscadasec и группы исследователей ScadaXSecurity.
2. Александр Герасимов. Сооснователь Awillix.
3. Павел Топорков (Paul Axe). Независимый исследователь. Багхантер, докладчик на международных конференциях, автор уязвимостей нулевого дня в таких известных продуктах как Siemens, Redis, OpenStack.
4. Егор Богомолов. Генеральный директор Singleton Security и управляющий директор школы CyberEd, которая дает 6 грантов на обучение на любом своем курсе всем, кто займет вторые места в премии🤩
5. Роман Панин. Руководитель blue team в МТС. Строил с нуля и развивал процессы ИБ в ФинТехе, Нефтянке и Телекоме. Автор телеграм-канала «Пакет Безопасности».
6. Роман Шемякин. Lead Application Security Engineer at Yandex.
7. Михаил Сидорук. Руководитель управления анализа защищенности, BI.ZONE — компания, которая дарит 6 билетов OFFZONE, всем кто займет первые места.
8. Евгений Андрюхин. Специалист по тестированию на проникновение сертифицированный OSCP/OSCE/OSWE/CRTP/Attacking Active Directory with Linux/ Cloud Security: AWS Edition/ Windows Kernel Programming Course by Pavel Yosifovich.
9. Николай Хечумов. Senior Security Engineer в Avito. Автор утилиты для поиска секретов DeepSecrets.
Теперь вы знаете, кому строить глазки, чтобы получить оценку повыше 😏 ну а если серьезно, все критерии оценки работ давно есть на сайте — https://award.awillix.ru/
Ждем ваших работ!
#pentestaward
👍10❤🔥5🔥4
Ждем заявки от профи и новичков, важно лишь пытливый ум и способность донести его плоды до совета жюри. Напомним номинации.
Подавайте заявки на сайте — https://award.awillix.ru/
Поддержите проект, поделившись новостью с коллегами.
#pentestaward
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
👍4❤3🔥2