Привет, друзья! 🌟

Рад приветствовать вас на своем канале! 🎉
Здесь я буду делиться с вами разнообразным контентом о кодинге 💻 и кибербезопасности 🔒, а также рассказывать о своем увлекательном пути в этих направлениях. 🚀

Вы увидите не только полезные советы и обучающие материалы, но и мои проекты 🛠, которые я создаю.
Будут фотографии моего рабочего места 📸, процесс разработки и многое другое! ✨

Если вам интересно пройти этот путь со мной, то жду Вас! ❤️

«Вам придется сказать «нет» многим хорошим вещам, чтобы иметь возможность сказать «да» многим великим вещам». — Стив Джобс

Чтение кода вручную — это трудоемкий процесс. Он также подвержен ошибкам, поскольку легко упустить важные детали. Как разработчики и тестировщики на проникновение, мы должны найти способ автоматизировать этот процесс. SAST — это метод, который может помочь нам в этой задаче.


SAST — это не серебряная пуля. Он применим только для случаев использования с доступом к исходному коду для проектов с открытым исходным кодом или тестирования на проникновение методом белого ящика. Однако он может помочь вам найти некоторые легкие пути и сэкономить время.

Статическое тестирование безопасности приложений (SAST) — это подмножество статического анализа кода, используемое для повышения безопасности и надежности кода. SAST обнаруживает старые зависимости, обнаружение секретов, логические ошибки, которые приводят к уязвимостям, и многое другое. SAST включает тестирование, которое влияет на кибербезопасность вторично, например, визуальную сложность кода, неоднозначность кода и неинтуитивные практики, которые могут привести к уязвимостям.

Я бы разделил свой подход к SAST на три категории:

Обнаружение уязвимостей: я использую такие инструменты, как Semgrep , Bandit , Nodejsscan , чтобы находить векторы атак в коде. Обычно можно найти легкие фрукты, такие как несанкционированные входные данные, плохую криптографию или уязвимые библиотеки. Кстати, в версии Semgrep PRO больше правил; она бесплатна, если в проекте не более 10 разработчиков.

Обнаружение секретов: Gitleaks , Trufflehog или Grep могут помочь вам найти секреты в коде. Это важно, поскольку секреты могут использоваться для повышения привилегий или доступа к конфиденциальным данным. Обычно строки подключения к базе данных, ключи API или пароли хранятся в коде.

Неправильные конфигурации: такие инструменты, как Checkov или Trivy, могут помочь вам найти неправильные конфигурации. Неправильные конфигурации обычно находятся в файлах "инфраструктура как код" (IaC), но могут быть и в самом коде. Примером может служить неправильно настроенный файл docker-compose, который выставляет базу данных в Интернет. Для сканирования Dockerfiles я рекомендую комбинацию hadolint и grype
Дополнительная информация: https://dkb-zh.gitlab-pages.ics.muni.cz/vulnerability-management/web-guides-external/docs/guide_iac_sast/#docker

Рекомендации гидов:
1. Как начать секретное обнаружение.
2. Как автоматизировать обнаружение секретов
3. Как начать работу с конвейерами SAST
4. Как начать работу с IaC SAST

Источник - тут

Cybersecurity for Beginners by Raef Meeuwisse

«Если вас не беспокоит кибербезопасность, значит, вы недостаточно о ней знаете».

🚨 Новая угроза для пользователей macOS

Исследователи из Elastic Security Labs выявили новую малварь под названием Banshee, которая атакует устройства на macOS. Этот стилер, продающийся в даркнете за $3000 в месяц, нацелен на архитектуры x86_64 и ARM64.

⏺️ Banshee крадет данные из популярных браузеров и криптовалютных кошельков, включая Safari, Chrome, Firefox, Brave, и другие. Он вытаскивает файлы cookie, учетные данные, историю посещений, а также системную информацию, данные из iCloud Keychain и Notes.

🌚 Стилер оснащен антиотладочными мерами, что позволяет ему избегать обнаружения и работать более эффективно. Владельцам "яблочной" техники стоит быть начеку.

#cybersecurity

🚀 Nebul

Nebula - это передовой инструмент для этического хакинга на основе ИИ, созданный для ускорения процесса обнаружения уязвимостей.

Он отличается революционной функцией обработки естественного языка, которая позволяет пользователям вводить команды в свободной форме, что значительно упрощает перевод намерений в действия.

Nebula в настоящее время поддерживает интеграцию с ведущими инструментами этического хакинга, включая:

- NMAP
- OWASP ZAP
- Crackmapexec
- Nuclei

Обширная дорожная карта Nebula предусматривает непрерывное добавление новых инструментов, охватывая весь спектр технологий, используемых этичными хакерами во всем мире.

▪ Github

Источник - тут

#cybersecurity

Открытые инструменты для превентивной защиты и ИБ-аудита

Есть два ключевых подхода к защите ИТ-систем:
⏺ Реактивный – это реагирование на атаки и реализованные ИБ-риски, в том числе восстановление данных, установка патчей и обновлений, прочие активности.
⏺ Превентивный подход - подразумевает обнаружение и минимизацию возможных угроз

Так же в данной статье раскрыты инструменты для выявления уязвимостей, такие как:
1. Trivy
2. Kube-bench
3. Docker Bench for Security
4. Kube-hunter
5. Kubescape
6. Open-appsec
7. APIClarity

Источник - тут

#cybersecurity

Конец Notion в России!
Все российские аккаунты отрубят уже 9 сентября — рассылка компании.
Все записи надо выгрузить до 8-го числа — иначе их попросту сотрут

Выгружаем все данные, пока способ ещё работает:

1️⃣ Зайти в Настройки.
2️⃣ Зайти ещё раз в Настройки.
3️⃣ Вкладка Export Content — скачивание всего контента.

🖥 Инструменты обнаружения вторжений и защиты от них

1. badkarma – Простой сценарий Python, используемый для обнаружения и блокировки злонамеренных точек доступа и ловушек с использованием атаки Karma, таких как Wi-Fi Pineapple.

2. EvilAP_Defender – Защита беспроводной сети от фальшивых точек доступа.

3. huntpineapples – Инструмент для поиска и обнаружения Wi-Fi Pineapple в сети.

4. kismetclient – Python-клиент для взаимодействия с сервером Kismet.

5. kismet – Обнаружитель беспроводных сетей, сниффер и система обнаружения вторжений.

#cybersecurity

▪️Мастхэв утилита, если у вас Windows — WinUtil позволит настроить ОС под себя и даже сделать свою сборку системы.

Оцените сами: она позволяет удалить из Windows весь мусор, быстро установить нужные приложения, а самое главное — создать уникальный образ ОС, в котором сразу после установки будет всё необходимое.

Запускаем в PowerShell от имени администратора командой:

irm https://christitus.com/win | iex

Теперь ваш компьютер действительно принадлежит вам.