а вы создаете безопасный код?)
https://habr.com/ru/companies/StartX/articles/760992/
https://habr.com/ru/companies/StartX/articles/760992/
Хабр
Как научить разработчиков писать безопасный код: взгляд хакера
Команды безопасности верят, что создать продукт без уязвимостей можно, внедряя различные инструменты и практики вроде SAST, DAST и WAF. Эти практики помогают выявить уязвимости в уже написанном коде...
XSStrike - это инструмент для тестирования на уязвимости XSS (межсайтовый скриптинг), который разработан на языке программирования Python. Он предоставляет функции для активного сканирования веб-приложений на наличие уязвимостей XSS и их эксплуатации. Вот некоторые ключевые особенности XSStrike:
👌 Активное сканирование: XSStrike предоставляет возможность проводить активное сканирование веб-приложений на наличие уязвимостей XSS. Он пытается определить уязвимые точки ввода и эксплуатировать их, чтобы проверить, может ли быть выполнен вредоносный JavaScript код на целевой странице.
👌 Поддержка разных типов XSS: XSStrike способен обнаруживать различные типы уязвимостей XSS, включая уязвимости на основе хранимых данных и уязвимости на основе нехранимых данных (DOM-based и рефлективные XSS).
👌 Анализ параметров: Инструмент анализирует параметры запросов и ответов веб-приложения, чтобы выявить потенциально уязвимые точки ввода, через которые может быть выполнен вредоносный JavaScript.
👌 Генерация эксплоитов: XSStrike может генерировать эксплоиты для обнаруженных уязвимостей, что облегчает демонстрацию и документирование уязвимостей.
👌 Интерактивный режим: Инструмент имеет интерактивный режим, который позволяет пользователям взаимодействовать с целевым веб-приложением и проверять уязвимости в реальном времени.
👌 Поддержка параметров атаки: Вы можете настраивать параметры атаки, такие как заголовки HTTP, методы HTTP, пользовательские скрипты и другие параметры, чтобы адаптировать сканирование к вашим потребностям.
👌 Отчеты: XSStrike может генерировать отчеты о результатах сканирования, включая информацию о найденных уязвимостях XSS.
XSStrike является бесплатным и открытым исходным кодом проектом, и его исходный код доступен на GitHub. Он может быть полезным инструментом для разработчиков и тестировщиков безопасности, которые хотят проверить свои веб-приложения на наличие уязвимостей XSS.
Исходный код XSStrike можно найти на GitHub по следующей ссылке:
https://github.com/s0md3v/XSStrike
XSStrike является бесплатным и открытым исходным кодом проектом, и его исходный код доступен на GitHub. Он может быть полезным инструментом для разработчиков и тестировщиков безопасности, которые хотят проверить свои веб-приложения на наличие уязвимостей XSS.
Исходный код XSStrike можно найти на GitHub по следующей ссылке:
https://github.com/s0md3v/XSStrike
Please open Telegram to view this post
VIEW IN TELEGRAM
GitHub
GitHub - s0md3v/XSStrike: Most advanced XSS scanner.
Most advanced XSS scanner. Contribute to s0md3v/XSStrike development by creating an account on GitHub.
Если кто-то думает, с чего начать свой путь в ИБ, то есть такое направление, как SOC
SOC (Security Operations Center) аналитик - это специалист в области информационной безопасности, который отвечает за мониторинг и анализ событий, связанных с безопасностью информации в организации. SOC аналитик играет важную роль в обеспечении безопасности информационных систем и данных компании.
Основные обязанности SOC аналитика включают в себя:
SOC аналитики работают в команде внутри SOC, где они сотрудничают с другими специалистами, такими как инцидент-менеджеры, инженеры безопасности, исследователи угроз и другие профессионалы, чтобы обеспечить надежную защиту информационных активов организации.
Для успешной карьеры в этой области требуется хорошее понимание информационной безопасности, умение анализировать данные, определять угрозы и эффективно реагировать на инциденты безопасности.
Образование и сертификации в области информационной безопасности (например, CISSP, CEH, CompTIA Security+) могут быть полезными для SOC аналитиков.
SOC (Security Operations Center) аналитик - это специалист в области информационной безопасности, который отвечает за мониторинг и анализ событий, связанных с безопасностью информации в организации. SOC аналитик играет важную роль в обеспечении безопасности информационных систем и данных компании.
Основные обязанности SOC аналитика включают в себя:
• Мониторинг: Анализ трафика в сети, журналов событий, системных сообщений и других источников, чтобы выявить потенциальные угрозы и аномалии. • Детекция: Определение и классификация инцидентов безопасности, таких как вторжения, вредоносные атаки, атаки отказа в обслуживании и другие аномалии. • Реагирование: Реагирование на обнаруженные инциденты, включая определение исходящего от них воздействия и предпринятие соответствующих шагов для их устранения и минимизации ущерба. • Анализ: Глубокий анализ инцидентов с целью понимания их характера, методов атаки, используемых инструментов и мотивации злоумышленников. • Работа с инструментами безопасности: Использование специализированных инструментов и программного обеспечения для мониторинга и обнаружения угроз, таких как SIEM (Security Information and Event Management) системы. • Разработка правил и сценариев: Создание и настройка правил и сценариев для обнаружения угроз, а также обеспечение их актуальности. • Соблюдение нормативных требований: Обеспечение соблюдения законодательства и нормативных требований в области информационной безопасности. • Документирование: Заведение отчетов и документации о проведенных исследованиях инцидентов и предпринятых действиях.SOC аналитики работают в команде внутри SOC, где они сотрудничают с другими специалистами, такими как инцидент-менеджеры, инженеры безопасности, исследователи угроз и другие профессионалы, чтобы обеспечить надежную защиту информационных активов организации.
Для успешной карьеры в этой области требуется хорошее понимание информационной безопасности, умение анализировать данные, определять угрозы и эффективно реагировать на инциденты безопасности.
Образование и сертификации в области информационной безопасности (например, CISSP, CEH, CompTIA Security+) могут быть полезными для SOC аналитиков.
Столкнулся при работе с Kali Linux, может будет кому полезно
Библиотека glibc, также известная как libc6 (C библиотека версии 6), является стандартной библиотекой языка программирования C для систем на базе Linux и других Unix-подобных операционных систем. Эта библиотека предоставляет множество функций, которые позволяют программистам разрабатывать прикладное программное обеспечение для Linux и Unix-систем.
Она включает в себя функции для работы с файлами, работой с памятью, сетевыми операциями, потоками и многими другими задачами, которые могут понадобиться при разработке приложений.
libc6 является одной из важных частей операционной системы Linux и обеспечивает базовую инфраструктуру для работы множества программ.
Эта библиотека поставляется с операционной системой Linux и обновляется регулярно, чтобы исправлять ошибки, улучшать производительность и добавлять новые функции.
Библиотека glibc, также известная как libc6 (C библиотека версии 6), является стандартной библиотекой языка программирования C для систем на базе Linux и других Unix-подобных операционных систем. Эта библиотека предоставляет множество функций, которые позволяют программистам разрабатывать прикладное программное обеспечение для Linux и Unix-систем.
Она включает в себя функции для работы с файлами, работой с памятью, сетевыми операциями, потоками и многими другими задачами, которые могут понадобиться при разработке приложений.
libc6 является одной из важных частей операционной системы Linux и обеспечивает базовую инфраструктуру для работы множества программ.
Эта библиотека поставляется с операционной системой Linux и обновляется регулярно, чтобы исправлять ошибки, улучшать производительность и добавлять новые функции.
Народ - я тут сайт пилю по ИБ, контент интересный, новости, общение и тд. Скоро анонсирую.
Вопрос к вам. Надо форум приделать к сайту или чата достаточно?
Вопрос к вам. Надо форум приделать к сайту или чата достаточно?
Anonymous Poll
51%
Форум надо обязательно!
49%
ТГ чата достаточно, форум прошлый век!
Ребят, видео с ИБ не связано, хоть чувак и в маске, но я всем советую посмотреть. Не мог не поделиться со своими подписчиками.
https://youtu.be/oSVz9_BKSY4?si=Sb1lcMjop35UHRzW
https://youtu.be/oSVz9_BKSY4?si=Sb1lcMjop35UHRzW
YouTube
⚡️ НАС ЖДУТ ПЛОХИЕ ВРЕМЕНА, ПРИСТЕГНИТЕ РЕМНИ. ИЗРАИЛЬ И УКРАИНА – ЭТО ТОЛЬКО НАЧАЛО.
⚠️ Мой БЕСПЛАТНЫЙ VPN для просмотра роликов без ограничений: https://reg.ms/multichell_vpn
Чтобы зайти и подписаться на мой ютуб-канал – включите VPN
👁 Узнай всё, что знает о тебе военком или враги, в боте «Глаз Бога»: https://eog.zone/glaz2
✅ Лучший VPN…
Чтобы зайти и подписаться на мой ютуб-канал – включите VPN
👁 Узнай всё, что знает о тебе военком или враги, в боте «Глаз Бога»: https://eog.zone/glaz2
✅ Лучший VPN…
Уже слышали про новые способы мошенничества? Если нет, рассказываю.
В конце 2023 года телефонные мошенники стали рассылать сотрудникам сообщения от имени их руководителей в Телеграм. Под прицел попали госсектор, коммерческие предприятия, медицинские и образовательные организации, правоохранительные органы. Специалисты информационной безопасности не исключение.
Узнал у ребят из Start X, как их пытались обмануть по новой схеме. Да уж, мошенники и спецов по ИБ не постесняются.
Разбор одного из таких звонков с подробным описанием техник мошенников опубликован у ребят в блоге на Хабре.
А чтобы помочь сотрудникам защитить данные, команда Start X запустила курс «Безопасная работа в мессенджерах», к которому открыла доступ на месяц.
Будьте на страже своих данных)
В конце 2023 года телефонные мошенники стали рассылать сотрудникам сообщения от имени их руководителей в Телеграм. Под прицел попали госсектор, коммерческие предприятия, медицинские и образовательные организации, правоохранительные органы. Специалисты информационной безопасности не исключение.
Узнал у ребят из Start X, как их пытались обмануть по новой схеме. Да уж, мошенники и спецов по ИБ не постесняются.
Разбор одного из таких звонков с подробным описанием техник мошенников опубликован у ребят в блоге на Хабре.
А чтобы помочь сотрудникам защитить данные, команда Start X запустила курс «Безопасная работа в мессенджерах», к которому открыла доступ на месяц.
Будьте на страже своих данных)
👩💻Вакансия: Инженер по информационной безопасности
⏳ Занятость: полная, полный день.
📍 Локация: удаленно, но в пределах РФ.
🗒 Оформление: по ТК РФ.
В команду группы сервиса киберучений центра информационной безопасности мы ищем многофункционального инженера по информационной безопасности.
🔵 В задачи будет входить:
• Разработка обучающих сценариев по различным тематикам информационной безопасности: от этичного хакинга, до расследования инцидентов и форензики.
• Участие в подготовке практических заданий по информационной безопасности: как с использованием средств защиты, так и без таковых.
• Тестирование и корректировка разработанных обучающих сценариев совместно с командой проекта.
• Администрирование средств защиты информации различных типов (NGFW, SIEM, NTA, EDR, Sandbox, IRP, Deception, BAS, PAM). Их конфигурирование для нужд сценариев и практических заданий.
• Разработка нового контента для SIEM (правила корреляции с проработкой корреляционной логики, парсеры), IRP/SOAR (сценарии/playbook)
• Разработка интеграции SIEM и IRP/SOAR со смежными системами
• Проработка технических решений, стендовое моделирование kill-chain
• Проведение тестирования новых продуктов ИБ и анализ их применимости для реализации обучающих сценариев
• Обмен опытом с коллегами (демонстрации полученного опыта, наполнение внутренней базы знаний)
• Оказание технических консультаций заказчикам в рамках проводимых киберучений
• Участие в проработке архитектуры платформы киберучений
🟣 Требования:
• Понимание принципов создания систем защиты информации, практической информационной безопасности (методы атак и защиты от них)
• Навыки этичного хакинга, практические знания в области анализа защищенности информационных систем
• Практический опыт работы с инцидентами ИБ, анализ журналов ОС и СЗИ, понимание процесса реагирования на инциденты
• Хорошее знание и практический опыт работы с одним или несколькими ИБ-решениями (SIEM, NGFW, NTA, EDR, Sandbox, IRP, Deception, BAS, PAM)
• Знание Windows и Linux на уровне администратора (развертывание и настройка системы, troubleshooting, настройка аудита, просмотр журналов компонентов СЗИ, управление службами)
• Грамотная речь и умение излагать мысли в понятной форме
🟢 Условия работы:
● Есть возможность удаленной работы (в пределах территории РФ).
● Развитие в компании — быстрый рост для амбициозных и эффективных сотрудников.
● Работу в команде крутых экспертов по информационной безопасности.
● Профессиональное обучение и сертификации за счёт компании.
● Оформление по ТК РФ.
● Заработную плату по результатам собеседования + премии по итогам работы и другие способы мотивации.
● Социальный пакет с возможностью выбора между ДМС, изучением иностранных языков
и абонементом в фитнес-центр.
● Буфеты на территории компании, бесплатные завтраки для тех, кто любит приехать в офис пораньше.
● Возможность принять участие в ключевых конференциях по ИБ
в качестве спикеров и участников, сразиться с хакерами на PHD и поучаствовать в CTF.
● Совместный досуг на выбор: бег, велоспорт, борд, лыжи, пинг-понг, квизы или просто PlayStation.
● Даем возможность запустить свой продукт, если он релевантен нашей стратегии.
Контакт @AlexandraKononenko
⏳ Занятость: полная, полный день.
📍 Локация: удаленно, но в пределах РФ.
🗒 Оформление: по ТК РФ.
В команду группы сервиса киберучений центра информационной безопасности мы ищем многофункционального инженера по информационной безопасности.
🔵 В задачи будет входить:
• Разработка обучающих сценариев по различным тематикам информационной безопасности: от этичного хакинга, до расследования инцидентов и форензики.
• Участие в подготовке практических заданий по информационной безопасности: как с использованием средств защиты, так и без таковых.
• Тестирование и корректировка разработанных обучающих сценариев совместно с командой проекта.
• Администрирование средств защиты информации различных типов (NGFW, SIEM, NTA, EDR, Sandbox, IRP, Deception, BAS, PAM). Их конфигурирование для нужд сценариев и практических заданий.
• Разработка нового контента для SIEM (правила корреляции с проработкой корреляционной логики, парсеры), IRP/SOAR (сценарии/playbook)
• Разработка интеграции SIEM и IRP/SOAR со смежными системами
• Проработка технических решений, стендовое моделирование kill-chain
• Проведение тестирования новых продуктов ИБ и анализ их применимости для реализации обучающих сценариев
• Обмен опытом с коллегами (демонстрации полученного опыта, наполнение внутренней базы знаний)
• Оказание технических консультаций заказчикам в рамках проводимых киберучений
• Участие в проработке архитектуры платформы киберучений
🟣 Требования:
• Понимание принципов создания систем защиты информации, практической информационной безопасности (методы атак и защиты от них)
• Навыки этичного хакинга, практические знания в области анализа защищенности информационных систем
• Практический опыт работы с инцидентами ИБ, анализ журналов ОС и СЗИ, понимание процесса реагирования на инциденты
• Хорошее знание и практический опыт работы с одним или несколькими ИБ-решениями (SIEM, NGFW, NTA, EDR, Sandbox, IRP, Deception, BAS, PAM)
• Знание Windows и Linux на уровне администратора (развертывание и настройка системы, troubleshooting, настройка аудита, просмотр журналов компонентов СЗИ, управление службами)
• Грамотная речь и умение излагать мысли в понятной форме
🟢 Условия работы:
● Есть возможность удаленной работы (в пределах территории РФ).
● Развитие в компании — быстрый рост для амбициозных и эффективных сотрудников.
● Работу в команде крутых экспертов по информационной безопасности.
● Профессиональное обучение и сертификации за счёт компании.
● Оформление по ТК РФ.
● Заработную плату по результатам собеседования + премии по итогам работы и другие способы мотивации.
● Социальный пакет с возможностью выбора между ДМС, изучением иностранных языков
и абонементом в фитнес-центр.
● Буфеты на территории компании, бесплатные завтраки для тех, кто любит приехать в офис пораньше.
● Возможность принять участие в ключевых конференциях по ИБ
в качестве спикеров и участников, сразиться с хакерами на PHD и поучаствовать в CTF.
● Совместный досуг на выбор: бег, велоспорт, борд, лыжи, пинг-понг, квизы или просто PlayStation.
● Даем возможность запустить свой продукт, если он релевантен нашей стратегии.
Контакт @AlexandraKononenko
Современные виды социальной инженерии
😱Голосовые звонки (вишинг), когда мошенник при звонке выдает себя за коллегу или ответственное лицо и просит совершить действия, приводящие к краже данных или денег.
😱Личные сообщения в мессенджерах, например, fakeboss-атаки, когда злоумышленники взламывают или подделывают аккаунты генеральных директоров и обращаются к сотрудникам компаний «за помощью».
😱Применение инструментов удаленного доступа, когда мошенник убеждает сотрудника предоставить доступ к компьютеру, представившись специалистом службы поддержки.
😱Всплывающие окна в браузере, когда пользователь атакуется многократно всплывающими окнами. Если человек теряет бдительность, то легко нажимает кнопку перехода на вредоносный сайт.
😱Атаки на «мусорные корзины» — для поиска конфиденциальной информации в папке «Корзина» на устройствах сотрудников.
😱Ловля «на живца» — это метод, при котором злоумышленник размещает приманку, например, флешку с надписью «Прибыль 2024». Нашедший приманку пользователь заражает систему вирусом.
😱«Ты – мне, я – тебе» — вид мошенничества, при котором вредоносное ПО маскируется под антивирус или другие полезные утилиты, которые могут помочь пользователю.
😱Претекстинг используется злоумышленниками для создания предлога, под которым мошенник может привлечь внимание. Таким предлогом может быть проверка данных, интернет-опрос, история или ситуация, предполагающая выманивание денег.
😱Голосовые звонки (вишинг), когда мошенник при звонке выдает себя за коллегу или ответственное лицо и просит совершить действия, приводящие к краже данных или денег.
😱Личные сообщения в мессенджерах, например, fakeboss-атаки, когда злоумышленники взламывают или подделывают аккаунты генеральных директоров и обращаются к сотрудникам компаний «за помощью».
😱Применение инструментов удаленного доступа, когда мошенник убеждает сотрудника предоставить доступ к компьютеру, представившись специалистом службы поддержки.
😱Всплывающие окна в браузере, когда пользователь атакуется многократно всплывающими окнами. Если человек теряет бдительность, то легко нажимает кнопку перехода на вредоносный сайт.
😱Атаки на «мусорные корзины» — для поиска конфиденциальной информации в папке «Корзина» на устройствах сотрудников.
😱Ловля «на живца» — это метод, при котором злоумышленник размещает приманку, например, флешку с надписью «Прибыль 2024». Нашедший приманку пользователь заражает систему вирусом.
😱«Ты – мне, я – тебе» — вид мошенничества, при котором вредоносное ПО маскируется под антивирус или другие полезные утилиты, которые могут помочь пользователю.
😱Претекстинг используется злоумышленниками для создания предлога, под которым мошенник может привлечь внимание. Таким предлогом может быть проверка данных, интернет-опрос, история или ситуация, предполагающая выманивание денег.
Что вы обычно читаете по теме информационной безопасности?
Ответьте, пожалуйста, на несколько вопросов ниже — это займет у вас не больше пяти минут.
Пройти опрос 👉 https://forms.gle/4pEDpxaWrpUeNZhS9
Ответьте, пожалуйста, на несколько вопросов ниже — это займет у вас не больше пяти минут.
Пройти опрос 👉 https://forms.gle/4pEDpxaWrpUeNZhS9
Google Docs
Что вы читаете по теме информационной безопасности?
Привет! Мы хотим понять, где постят самые лучшие новости и материалы в сфере ИБ и надеемся, что вы сможете нам в этом помочь. Ответьте, пожалуйста, на несколько вопросов ниже — это займет у вас не больше пяти минут.