Я уже когда-то давно упоминал про любопытный сайт, где простыми словами описываются различные уязвимости веб приложений:

⇨ Hacksplaining ⇨ Lesson Library

На текущий момент сайт доступен только через VPN. Не знаю, кто и за что блокирует, но не суть. Там есть раздел, где наглядно описаны и на примерах показаны уязвимости и как их эксплуатируют. К некоторым реализованы интерактивные действия, где вы сами поучаствуете во взломе. Сделано необычно и интересно, всё описано простыми словами.

Даётся минимум теории по выполненным шагам. Но в целом всё понятно. Как говорится, вместо тысячи слов. Проще один раз сделать самому и всё понять. Посмотрите на описание SQL Injection, и сразу поймёте о чём я говорю. Также рекомендую как минимум посмотреть наиболее популярные уязвимости:

▪️Cross-Site Scripting
▪️Command Execution
▪️Directory Traversal
▪️File Upload Vulnerabilities

Из последних нововведений - описание нескольких примеров уязвимостей искусственного интеллекта, доступного публично. Из него, оказывается, можно вытянуть информацию, которая не должна быть доступна широкому кругу лиц. Я об этих вещах раньше не слышал и даже не задумывался. Например, из модели можно вытянуть реальные данные, на которых она обучалась, или заставить её выполнить код из загруженного документа. Это при условии, что её заранее не защитили от этих вещей.

Ресурс будет в первую очередь интересен разработчикам, так как там наглядно показано, как не надо писать код или настраивать ИИ. Админам и девопсам будет просто полезно посмотреть, как обычно ломают веб ресурсы, ИИ, и за какие промахи можно бить по рукам разработчиков. Да и просто интересно ознакомиться для общего образования. Платить не надо, всё бесплатно.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#security #обучение

Последнее время всевозможные блокировки стали капитально напрягать 😡Причём зачастую не знаешь, кто и за что блокирует, соответственно, сразу не понятно, какие меры надо принимать.

Например, у меня через проводной интернет Ростелеком иногда не работает что-то одно, через 4G от Tele2 не работает другое, через Yota не работает третье. Начинаешь всем этим жонглировать, меняя подключения. Причём не работают иногда российские сайты, или точнее сайты на русском языке в домене ru, так как в интернете принадлежность к стране условная.

Если не помогает, то в ход идут VPN. Сначала использую подключение через российских хостеров, где арендуются VPS. Через них частенько нормально работает Cloudflare, хостер Hetzner и ресурсы на нём или Youtube. Не у всех, но иногда может повезти. Если не помогает, переключаюсь на иностранные хостинги.

Вчера не смог установить расширение в Visual Studio Code. Тупо не ставится и всё. Не знаю, кто, что и где блокировал. Переподключаться не хотелось, так как слетели бы открытые подключения. Вышел из ситуации ручной установкой расширения. Для тех, кто не знает, да и для себя, чтобы не забыть, напишу, как это сделать.

Ищите нужное расширение в магазине. У расширений есть своя страничка, где почти всегда есть ссылка на репозиторий с исходным кодом. Мне не попадалось ни одного расширения без исходного кода. В репозитории в релизах обычно есть возможность скачать расширение в формате .vsix.

Скачиваете этот файл, идёте в VS Code, открываете вкладку Extensions. В левом верхнем углу жмёте на три точки и выбираете Install from VSIX. Ну и ставите расширение.

Кому интересно, я когда-то давно писал, как использую VSCode. Информация старая, но актуальнее ничего нет. Давно запланировал записать серию коротеньких роликов по работе с VSCode, но так руки и не дошли. Надеюсь получится реализовать.

Для тех, кто только будет пробовать VSCode и с ним ещё не знаком, ставьте сразу форк VSCodium. Это community версия VSCode с вырезанной телеметрией и брендированием Microsoft. Поддерживает все расширения для VSCode. У меня так руки и не дошли на него переехать.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#vscode

Недавно из комментариев узнал про систему RuSIEM. Она относится к классу продуктов SIEM (Security Information and Event Management). Я в целом далёк от темы безопасности и связанным с этим софтом, так как это отдельное направление в IT. Эта система привлекла меня тем, что у неё есть полностью бесплатная версия RvSIEM, которая занимается только сбором и обработкой логов, анализируя их на наличие содержимого, связанного с защитой и безопасностью.

Решение полностью российское, соответственно документация, весь интерфейс, все встроенные фильтры и отчёты полностью на русском, что упрощает эксплуатацию. Я немного разобрался с RvSIEM: развернул, посмотрел, что умеет и как работает. На первый взгляд неплохая система. Кратко расскажу, что конкретно она делает.

RvSIEM умеет принимать логи из различных систем: веб сервера, операционные системы (в том числе Windows), СУБД, почтовые сервера, шлюзы, сетевые устройства и т.д. Она их автоматически парсит, если используются стандартные шаблоны логов этих приложений и собирает по ним аналитику. Например, вычленяет из них IP адреса источников, информацию об учётных данных, если речь идёт о логине, статусы и критичности событий из логов приложений и т.д.

Всё это стекается в общее хранилище на базе Elasticsearch и ClickHouse, там анализируется и строятся отчёты. Например, можно вывести сквозной список всех IP адресов, с которых были подключения, которые не относятся к IP адресам РФ. Можно сделать отдельный отчёт по логинам RDP или в админку самой RvSIEM. Причём отчёты можно выгружать в различных форматах: PDF, DOCX, XSLX, CSV.

Есть стандартные преднастроенные фильтры и отчёты. Можно писать свои. То же самое и к парсерам относится. Используются grok фильтры для парсинга, как в Logstash. С ними нетрудно разобраться и распарсить свой формат логов. Я в своё время это освоил, когда надо было. Управление всё через веб интерфейс, в консоль ходить не обязательно.

Рассказываю, как я всё это установил. Пошёл на сайт и в разделе скачать оставил заявку. На следующий день мне прислали на почту мою учётную запись в ЛК с документацией всей системы RuSIEM. Там есть все ссылки и инструкции на загрузку. Используется общий установщик, а конкретно установку RvSIEM выбираешь при его запуске.

С установкой проблем не возникло, там всё просто. Инструкция на русском, сделал по ней. Хотя по сути там нужно просто скачать скрипт и запустить его. Дальше установщик всё делает сам. Он работает на базе ролей Ansible. Никаких лицензий потом получать не надо.

Дам одну существенную рекомендацию по настройкам Elasticsearch. Он по умолчанию съедает всю оперативную память и его прибивает OOM Killer. У меня было 4GB памяти, сделал 8GB, не помогло, сделал 12GB - тоже не помогло. Elasticsearch регулярно падал, хотя в тестовой системе нагрузки никакой не было. Мне это надоело и я в файл /etc/elasticsearch/jvm.options.d/rusiem.jvm.options добавил настройки:

-Xms4g
-Xmx4g

Они ограничивают потребление в 4GB, что для небольшой нагрузки достаточно. После этого система стала стабильно работать.

RvSIEM умеет собирать логи разными способами. В основном это syslog, NetFlow и свой агент, в том числе для Windows. То есть настройка простая. Например, в Angie можно напрямую отправить логи в RvSIEM в формате syslog:

access_log syslog:server=10.20.1.9:5014,facility=local7,tag=angie,severity=info
error_log syslog:server=10.20.1.9:5014,facility=local7,tag=angie,severity=info

Основное ограничение бесплатной версии - 500 EPS (events per second). Не знаю, что тут конкретно имеется ввиду. Наверное, суммарное количество строк логов в секунду.

Для бесплатной системы функциональность более чем. Не знаю, есть ли у кого-то что-то лучше. Да и в целом мне понравилась система. Довольно быстро разобрался, развернул, посмотрел, как работает. Особых проблем не возникло. Попробуйте, если вам нужен такого рода продукт.

❗️Если заметка вам полезна, не забудьте 👍 и забрать в закладки.

#logs #security #отечественное