Пока я жду запись выступления... поделюсь с вами немного не стандартной информацией для данного места.. 🙃

Эта неделька у меня вышла безумно насыщенной на события... за неделю я успел:

- Просрать все к чему готовился на протяжении полугода
- Почувствовать на себе ощущения после первой операции в жизни
- Полежать недельку в больнице и понять, что операция была самым приятным из того... что меня ждало дальше
- Выписаться из больницы
- Выступить на PHD 2
- Получить приятненькую наградку на Positive Education Award

На самом деле... ощущения дико паршивые, с одной стороны очень сильно хотелось помочь своим коллегам на PHD и попробовать там реализовать парочку прикольных идей по части мониторинга, но с другой и здоровьем своим нужно было заниматься... та и возможно предстоит им заниматься на протяжении всего лета, если все же все пойдет по грустному сценарию... то улечу еще на пару недель, а то и месяцев в состояние амёбы.

Но как говорится... "наше путешествие не конец, а новое начало", поэтому думаю это повод перезагрузится 😑

Что касаемо выступления, думаю оно прошло хорошо, от себя мягко говоря я ожидал худшего, ибо на репетицию текста... я потратил всего ничего и все выступление проходило исключительно по той структуре, что лежала у меня в голове и вышло довольно неплохо!

Ну и само собой... неожиданная поддержка на протяжении всей этой недели от моих ребят и коллег, что было очень приятно, спасибо вам еще раз всем! 😍

А вот собственно и докладик подъехал 🐰

😁 Долой романтические стереотипы: почему кибербез — это не только хакеры? 😁

Автоматизация нашей M*CTF инфраструктуры подошло к концу... на выходных постараюсь написать об этом и возможно даже залить это к нам на гит, благо сегодня все тесты прошли успешно 🥹

А пока немного про другое, последнее время из-за определенного рода задач в PT... сфокусировался на автоматизации определенных процессов в Windows.. и хочу поделится 3-я крутыми источниками которые во многом упростили мне жизнь в ряде вопросом:

- system32.eventsentry - в основном использовал как большую базу с информацией о том или ином Event ID... и Audit Policy Compliance Validator там крутейший :)
- gpsearch / admx - базы с темплейтами групповых политик
- KodeKloud_Engineer_Labs - довольно полезный набор тасочек для тех кто только залетает в админскую движуху... особенно когда хочется попрактиковаться на конкретных задачах.

Я конечно не такой большой любитель компании Яндекс... особенно после определенного периода стажировки там (правда это было очень давно и неправда...)

Как-то мне мой коллега скинул 2 достаточно крутых "базовых" лекции по Linux... с задачкой посмотреть и возможно чем-то дополнить свой собственный курс:
➡️ Как всё организовано в Linux — КИТ 2024
➡️ Инструменты Linux— КИТ 2024

И "о боже", это просто великолепно, далее я открыл для себя их прошлые стримы... и мне показалось это довольно крутым набором, там конечно в большинстве своем уклон в сторону R'n'D, но мало ли кому будет полезно

➡️ Ссылочка

Я не знаю как мой организм еще ведется на мои охеренные идеи и эксперименты над ним... 👏

Это была одна из самых продуктивных недель... за последние полгода.

Начну пожалуй с новостей:
➡️ Записал теоретическую часть... в студии, для вебинара по школе преподавателей кибербезопасности, надеюсь потом будет возможность вытащить запись сюды...
➡️ Записал подкаст на тему образования кибербеза с Димой, вроде как на следующей недельке должно выйти... эту запись мы откладывали по разным причинам... около месяца, но она все же состоялась, да-п
➡️ Отправили свое рабочее детище под названием PTLAB... на "жесткий" стресс тест (воркшопы и демка Carbon) под названием PSD, ГОСПАДЕ за 3 дня ни одной проблемы, мой мальчик справился... горжусь.
➡️ Принял решение... закончить по окончанию этого учебного года с введением лекций в МТУСИ, это довольно неприятное и тяжелое решение, но кажется пора двигаться дальше и осваивать новые рубежи... иначе у меня не хватит нервных клеток отстаивать то... что было создано мной и моим ребятками, поэтому наша активность под названием "Тестирование уязвимостей" продолжит свою жизнь где-то в другом месте.
➡️ Все забываю отписать, дальнейшие топики по автоматизации откладываются, ибо сейчас я все кое где обкатываю и мне пришло много идей как можно улучшить определенные участки... и я в целом этим и занимаюсь, думаю к ноябрю с этим закончу.

Чего-б... вам сюда скинуть, чтобы этот пост содержал хотя бы какую-то полезную составляющую... а держите вот такое 😁

Седьмой выпуск подкаста про кибербез образование 🎶

В этот раз поговорили с Владимиром Николаевым, инженером отдела эксплуатация систем кибербезопасности в Positive Technologies.

Владимир в 22 года, будучи студентом четвертого курса, решил глубже погрузиться в кибербез и начал самостоятельно изучать разные направления. Первое время он никак не мог устроиться на работу и только коллекционировал отказы. Сейчас он работает в Positive Technologies и преподает в МТУСИ 👨‍🏫

👉 Подкаст доступен на Яндекс.Музыке , видео на RuTube и VK.

Таймкоды:
00:22 - О своей деятельности.
5:56 - Путь в кибербезопасность через ROM хакинг.
9:20 - Ожидания от университета.
10:28 - Про платное обучение в вузе.
13:34 - Физика в вузе и поиск первой работы, стажировка в Positive Technologies.
18:30 - Базовые знания и собеседования.
19:25 - Идея создания факультатива в вузе и обучение на старших курсах.
22:50 - Очередная попытка пройти собеседование.
27:48 - Три оффера одновременно и путь в Positive Technologies.
32:34 - Создание образовательной программы по кибербезу в вузе.
40:43 - Как правильно относиться к университету?
44:34 - Что вдохновляет преподавать?
48:41 - Про выбор темы для новой лекции.
54:34 - Как начать преподавать?
01:02:48 - Пожелания студентам первого курса.

Дополнительно: выступление Владимира на Standoff101 и выступление на PHDays 2 👷

#подкаст

Очередной M*CTF позади, а это значит... что можно подвести итоги

Если говорить касательно M*CTF, то было проведено 4 основных ивента:
- M*CTF 2024 Junior Quals
- M*CTF 2024 Quals
- M*CTF 2024 Junior Finals
- M*CTF 2024 Finals

Общий итог по всем ивентам?
- Мы не справились 🙂

Причин на самом деле много и как-то оправдывать себя не хочется, результат плохой и он наводит на довольно резкие выводы, которые озвучивать не очень хочется.

Были и хорошие моменты, которые на самом деле я больше скидываю на "удачу", мы очень хорошо провели школьную часть ивентов, но не без своих косяков.

Я бы мог обвинить ребят в том, что они недобросовестно отнеслись к разработке, плохо прошлись по всем рекомендациям, что были даны заранее, но я придерживаюсь такого мнения "рыба всегда гниет с головы".
Очень вероятно, что все проблемы шли от того, как именно я подошел к организации самих ивентов и отнесся ко многим в формате "ну они и без меня уже могут справиться", это была самая большая ошибка, пустить определенный этап на самотек.

В этом году я провел на самом деле куда больше CTF ивентов... нежели чем просто M*CTF... были как ивенты в RU регионе, так и в EU, но самым важным всегда был и оставался M*CTF Finals, и мне очень грустно, что именно в этом году, он получится таким каким получился.

Ну чтож... все технические проебы я напишу в "Реквием по M*CTF 2024" или как это модно сейчас называть "ретро"

Наверное, самое главное, что я получил очень много вещей которые нужно будет дорабатывать в течение года, думаю можно будет еще разочек попробовать 🥳

Ну и давайте, чтобы этот пост нес какую-то пользу, я приложу довольно интересное чтиво... одного из разработчиков M*CTF 2021, тогда ребята тоже попали не в самую простую ситуацию.

Как-то так...

Конец этого года... был довольно насыщенный на самые разные события... повторю фразу написанную в прошлом году "местами даже хорошо... что он подходит к концу."
Ну и многословным быть тоже не хочется... в этом году подводим итоги так:

- Спасибо всем, кто читает и интересуется всем, что тут происходит, я думаю у нас с вами много крутого впереди 💖
- Я думаю все будет круто 😻
- С наступающим вас, будьте умничками :3 🕺

Ну и давайте под завершение года все же запульну... тот самый обещанный "реквием"

🟠Реквием по MCTF 2024 Finals

Рубрика "интересные факты"

Сидел я тут как-то с одной задачкой сбора всех снепшотов ВМок с конкретных датасторов на vSphere
Собрал довольно нехитрый ps скритец, который под капотом юзает модуль VMware PowerCLI.

Вот его часть:

      $datastore = Read-Host `n"Enter datastore (Example: DATASTORE-01)"
        Get-Datastore -Name $datastore | Get-VM | Get-Snapshot |
        Select VM,
        Name,
        @{Name="Creator"; Expression = { ($_.Description | Select-String -Pattern "SnapshotCreator: (.*)").Matches[0].Groups[1].Value -replace "XXXX" }},
        @{Name="Size_snapshot (GB)";Expression={"{0:N2}" -f ($_.SizeGB)}},
        Created,
        @{Name="Days Old";Expression={(New-TimeSpan -End (Get-Date) -Start $_.Created).Days }},
        @{Name="Datastore";Expression={Get-Datastore -Id($_.vm).datastoreidlist}} | Sort-Object -Property SizeGB -Descending | Export-Excel -Path "C:\tmp\Snapshots_$($datastore).xlsx" -TableName "Snapshots" -TableStyle "Medium27" -AutoSize

И заметил такую странную вещь... значения в столбце SizeGB иногда довольно сильно разнятся с тем, что я вижу в UI vSphere, а иногда и совсем это значение равняется - 0

Начал копать... и как выяснилось Get-Snapshot и веб морда сферы ссылаются на разные значения.
Одно возвращает явный размер VMDK файлов которые лежат внутри датастора, а другой размер так называемых delta дисков.

🌟 вот даже маленький топик на эту тему 🌟

Вот такие пироги... 🙃

Ненавижу, но люблю 🤯

В чем история, познакомился я тут как-то с модулем win_package, чтобы удалить виндовый пакетик по его GUID... и лучше бы я этого не делал.

Все делал довольно базово, коннект у меня шел по winrm к доменному хосту по порту 5985:

ansible_connection: winrm
ansible_winrm_transport: ntlm

Казалось бы что тут может пойти не так, а вот что:

[WARNING]: Failed to cleanup running WinRM command, resources might still be in use on the target server
...'Connection aborted.', error(104, 'Connection reset by peer')

Хм... окей, пошли смотреть в winrm.py, что это за warning интересный... обнаруживается вот это:

        except requests.exceptions.Timeout as exc:
            raise AnsibleConnectionFailure('winrm connection error: %s' % to_native(exc))
        finally:
            if command_id:
                # Due to a bug in how pywinrm works with message encryption we
                # ignore a 400 error which can occur when a task timeout is
                # set and the code tries to clean up the command. This happens
                # as the cleanup msg is sent over a new socket but still uses
                # the already encrypted payload bound to the other socket
                # causing the server to reply with 400 Bad Request.
                try:
                    self.protocol.cleanup_command(self.shell_id, command_id)
                except WinRMTransportError as e:
                    if e.code != 400:
                        raise

                    display.warning("Failed to cleanup running WinRM command, resources might still be in use on the target server")

Ладно подумал я... возможно проблема в транспорте и типе подключения, давай поменяет на CredSSP

ansible_connection: psrp
ansible_winrm_transport: credssp

И тут такая же история... но уже с другой ошибкой, которая так же тянется из winrm.py:

  msg: 'Unexpected failure during module execution: Received a WSManFault message. (Code: 995, Machine: xxxxx, Reason: The I/O operation has been aborted because of either a thread exit or an application request.)'
  stdout: ''

Думаю надо еще потыкаться и попробовать удалить пакетик не через модуль win_package, а напрямую через shell модуль, спойлер, наткнулся я на такие же ошибки, но обнаружил любопытный моментик:

[WARNING]: Failure cleaning temp path 'C:\Users\Administrator\AppData\Local\Temp\ansible-moduletmp-XXXXXXXXXXXXXXXXXXXXX': Win32Exception NtSetInformationFile() failed 0x00000001: Incorrect function
changed: [XXXXXXXXXX] => changed=true 
...
...
  rc: 0
  reboot_required: false

То есть когда модуль не может очистить временный файлик, тогда удаление пакета проходит успешно.
Океееей... я пошел гуглить и разбираться почему такое происходит и оказалось, что после исполнения удаления пакетика с помощью транспорта winrm он уходит в ребут и рвет соединение 🙃

ВСЕ, с этим ничего не сделаешь, так работает winrm

Какие остались варианты...
1) Обработка ошибки - обрабатывать конкретную ошибку не стал... ибо увидел, что у неё есть определенная вариативность и страшно представить, сколько я еще потенциальных проблем из-за транспорта мог не поймать
2) ignore_errors: true - ну это совсем плохой вариант
3) block / rescue - а вот это то что нужно, по сути после ошибки мы производим повторное выполнение таски и восстанавливаем winrm подключение

Вот такие пироги...

Ну чтож... видимо не суждено мне обойти PHD стороной...
В этом году меняю доклады на воркшопы, аж на 2... и примерно в одном временном промежутке 😊

Поэтому если кому интересно, рад буду с вами повидаться! 👋

Сперва вы меня сможете найти тут
🪟 Воркшоп: Автоматизация настройки источников SIEM с помощью Ansible
📔 Описание: Воркшоп предоставит участникам практические навыки по автоматизации настройки источников MaxPatrol 10 с помощью Ansible — этот инструмент существенно упростит повседневную работу и повысит эффективность управления системами безопасности.

🌎 Местоположение: Зал 14 «Маркони»
💬 Дата && Время: 24 мая, 10:30 - 12:00
📎 Ссылочка на регистрацию 📎

А потом я пулей побегу на второй воркшоп, где меня попросили помочь и рассказывать вам про платформу GoPhish

🪟 Воркшоп: Создание антифишинговой кампании
📔 Описание: В ходе мастер-класса мы разберем на составные части процесс подготовки сотрудников к выявлению фишинговых атак, научимся разбираться в видах фишинга, попрактикуемся в составлении тестовой атаки для контроля готовности сотрудников и обсудим методы повышения мотивации сотрудников.

🌎 Местоположение: Зал 13 «Гальвани»
💬 Дата && Время: 24 мая, 10:00 - 13:30 (именно я буду в промежутке ~12:15 - 13:30)
📎 Ссылочка на регистрацию 📎

Вот и PHD прошел… что там по статистике:

- 0 посещенных докладов
- 2 прекрасных воркшопа
- Куча приятных встреч и диалогов с прекрасными людьми
- 74588 шагов
- Великолепное завершение PHD в кругу моих любимых ребяток
- 1 проклятый DNS сервер

Всем огромное спасибо с кем успел повидаться и вместе потрогать траву, это было круто! ❤️

Сидим мы значит... и думаем, а как нам создать структуру DC... та не простую, а наполненную всякими OUшками, пользаками, группами... и всяким - всяким, да чтоб еще "prod-like"

По ощущениям... нужно сидеть и кодить на пшелле, но если честно эта задачка из разряда "западло" (даже с учетом LLM) 😂
В итоге я пошел копаться на гите и нашел вот такую красоту:
- https://github.com/BOAScripts/Set-DummyAD

Ну и отдельное спасибо моему коллеге, который поделился еще вот таким "чудом":
- https://github.com/davidprowe/BadBlood

Теперь остается только переписать списки... на слитые "Anonymous France" древнерусских православных юзеров 😁

Мне кажется я этим точно должен поделится...

Сидел я тут и искал хорошенький плейлист на M*CTF и наткнулся на этот шедевр 😈
- https://www.youtube.com/@AllHackingCons/videos

Тип собрал чуть ли не все "хакерские" форумы / конфы и закину все в один огромный плейлист на ютубчике.
Но на самом деле у него много чего интересного есть еще -> https://infocon.org/

Знаете... работа с PTLabом научила меня очень интересной мысли.

Я никогда не могу предсказать где и что у меня отстрельнет и сколько времени мне потребуется чтобы это вернуть к жизни, и так... гипотеза:

"Если у нас упадёт X — сможем ли мы вовремя увидеть Y и за какое Z мы это исправим?"

Тогда мне в голову пришла очень интересная концепция... а что если объединить Chaos Engineering, Grafana, Alert Manager.
В качестве эксперимента... я решил взять своего покемона (без её согласия)... которая замучалась решать различные поломки... что я плодил ей на различных серверах MaxPatrol 10... это и стало так называемым объектом хаоса.

Что-то типо знаете... управляемого хаоса, создай проблему по одной кнопке... и реши примерно так же, "управляемый хаос" как термин звучит очень и очень странно в силу отсутствия субъектности, но надеюсь тут сознание станет самым настоящим ключом.

Я не просто "отключал сервер" - я моделировал реальные отказы компонентов MPX с помощью Ansible, было 2 роли с переключалками (true / false) внутри:

ybei_menya_maxpatrol.yml
- Останавливает агента
- Блокирует сетевой доступ к базе событий
- Удаляет конфигурационные файлы парсинга логов
- Имитирует переполнение диска
- Убивает службы на Core сервере в хаотичном порядке
- Создание X процессов на хосте, что забивает ОЗУ / ЦПУ

res_pls_maxpatrol.yml
- Восстанавливает сервисы
- Восстанавливает сетевые доступы к базе событий
- Перезапускает агент
- Проверяет целостность БД
- Подчищает то чем наспамил на хосте
- Убивает X процессы на хосте, ранее созданные для DDoSа

Архитектура была примерно такой:

[Ansible Server]  
   │  
   ↓ (запускает ybei_menya_maxpatrol.yml)  
[MaxPatrol 10: Collector (true), DB (false), ...] → ломается  
   │  
   ↓ (метрики в Prometheus, логи в Loki)  
[Grafana] → срабатывает алерт → уведомление в Telegram  
   │  
   ↓ (если реакции нет > 1 часа)  
[Ansible Server] → запускает res_pls_maxpatrol.yml  
   │  
   ↓  
[MaxPatrol 10] → восстановлен → Grafana показывает возврат к норме

И знаете... это дало свои плоды, мой покемон выучился и на таких кейсах... довольно круто прокачался в плане траблшутинга, но так и не дошел... до идеи удобного алертинга и мониторинга, на новом исправлю этот недочет... 🤣

В целом это и было целью... на "искусственных" примерах поднять экспертизу по траблшутинга продукта, кажется это было весело 💖

Ну что сказать... кажется можно подвести итоги этого года...

Декабрь выдался... каким-то безумным на события, та и в целом как и весь год.
Мы провели M*CTF и знаете... провели его... во многом выше всех своих ожиданий, это было здорово, надеюсь это не был наш пик, в следующем году... сделаем еще круче 😁

Спасибо большое всем ребятам, что участвовали в разработке и помогали нам организационно, думаю мы правда в этом году молодцы.

А касательно... каких-то личных итогов, многое было...

- Приглашение в IBM / RHEL
- Личное знакомство с ДеХаном и ряда очень и очень крутых экспертов
- Мой любимый PTLab и надеюсь новая фаза его развития
- Автоматизация источников
- Закончился проект который было очень сложно отпускать
- Началось что-то действительно очень крутое и новое

Короче... давайте уже по традиции этого канала:

"местами даже хорошо... что он подходит к концу."

- Спасибо всем, кто читает и интересуется всем, что тут происходит, я думаю у нас с вами много крутого впереди 💖
- Я думаю все будет круто 😻
- С наступающим вас, будьте умничками :3 🕺

Чтож... потихоньку начинаем публиковать труд, который пережил кучу итераций и мнение множества экспертов...
Сейчас хоть не стыдно показать 😮

➡️ PT_LEP_Unix
Роль для настройки на источниках формата событий, правил журналирования, служб журналирования (rsyslog или syslog-ng) и отправки событий syslog через audispd.

➡️ PT_dc_policy
Роль предназначена для добавления следующих политик на контроллерах домена (DC):
- PT_Event_LogReader - политика для сбора событий с целевых хостов, добавления группы MaxPatrol Group LogReader (в ней содержится пользователь под которым идет сбор логов) в локальную группу Event Log Readers.
- PT_Registry_Audit_Settings - политика настройки SACL для записи событий доступа к реестру.
- PT_DC_Audit_Settings - политика настройки контроллеров домена под аудит.
Параметры AAP для контроллеров домена:
- Увеличение размера хранения журналов и автоматическая перезапись событий.
- Добавление разрешения для службы NETWORK SERVICE на чтение журнала Security.
- Принудительное применение параметров расширенного аудита.
- Включение журналирования командной строки в событиях старта процессов.
- Включение журналирования исполняемого PowerShell-кода.
- Включение аудита LDAP-запросов.

- PT_WS_Audit_Settings - политика настройки WS-хостов под аудит.
Параметры AAP для членов домена:
- Увеличение размера хранения журналов и автоматическая перезапись событий.
- Добавление разрешения для службы NETWORK SERVICE на чтение журнала Security.
- Принудительное применение параметров расширенного аудита.
- Включение журналирования командной строки в событиях старта процессов.
- Включение журналирования исполняемого PowerShell-кода.

- PT_SRV_Audit_Settings - политика настройки Server-хостов под аудит.
Параметры AAP для членов домена:
- Увеличение размера хранения журналов и автоматическая перезапись событий.
- Добавление разрешения для службы NETWORK SERVICE на чтение журнала Security.
- Принудительное применение параметров расширенного аудита.
- Включение журналирования командной строки в событиях старта процессов.
- Включение журналирования исполняемого PowerShell-кода.

- PT_Firewall_Rules - политика добавления Firewall правил.
- PT_WS_Audit_User - политика добавления специальной группы MaxPatrol Group AuditUser для проведения аудита системы на WS-хостах.
- PT_SRV_Audit_User - политика добавления специальной группы MaxPatrol Group AuditUser для проведения аудита системы на Server-хостах.
- PT_DC_Audit_User - политика добавления специальной группы MaxPatrol Group AuditUser для проведения аудита системы на DC-хостах.

Создание пользователей:
- Для сбора логов с хоста с дальнейшим добавлением в группу Event Log Readers.
- Для аудита системы с дальнейшим добавлением в группу локального администратора.
- Создание спец.группы для работы с пользователем сбора логов.

- PT_file_and_folder_Generic - политика настройки SACL для записи событий доступа к файлам и каталогам (Контроллеры и члены домена).
- PT_file_and_folder_SYSVOL - политика настройки SACL для записи событий доступа к файлам и каталогам (Контроллеры домена).

Пхпхпх... да... там нет Meta и нет описания зависимостей, ближе к полному релизу... допилю все по феншую 😌

Еще новостей...
- На роль PT_LEP_Unix скоро заедет большой патч... в целом я надеюсь мы скоро сможем перейти на более удобную форму распространения ролей...
- В документации скоро появится еще парочка ролей которые я наклепал за все это время... а вероятно скоро увидим и вообще все... что было сделано за это время

Каждый раз, когда я запускал роль для развертывания + конфигурации Linux VM, Ansible думает по 15 минут. А если нужно было поднять 10+ хостов - уходит час из жизни... SSH-сессии, перезагрузки модулей, простаивающие в очереди таски… пхпхпхпхп это не автоматизация, а психотерапия с таймером.. 😢

И кажется этот момент настал... порылся в гугле, перепробовал разные стратегии... и нашел наверное самое лучшее -> Mitogen - стратегия, которая ускоряет Ansible в 3 - 10 раз.

Почему это крутотень?
1) Одно SSH-соединение вместо тысячи - Ansible традиционно открывает новую сессию для каждой задачи Mitogen оставляет один канал открытым и гоняет через него все задачи.
2) Кэширование "на лету" - модули (типа copy или file) грузятся один раз, а не по 50.
3) Параллельность работает КАК И ДОЛЖНА РАБОТАТЬ - хосты не стоят в очереди... Mitogen динамически распределяет задачи между активными соединениями -> медленные серверы не тянут за собой все.

На самом деле поюзав этого зверя... я скостил разворачивание и конфигурацию хостов с 15-и минут аж до 6 на 1 хост, пачка и совсем за ~20 минут настраивается...
Есть конечно проблемки... Mitogen работает не на все модули, но кто нам мешает допилить 😊

В общем... всем кто работает с Ansible, настоятельно рекомендую... да да

➡️ Github / Документация

Сегодня с коллегой словили довольно занятный кейс 💃

Решили на Windows 11 24H2 (OS build 26100) снять дамп LSASS. Казалось бы - рутина, никаких сюрпризов. Отключаешь Defender, вырубаешь PPL и идёшь дальше жить спокойно

Но не тут-то было

Под админом - access denied
Ладно, думаем, может SeDebugPrivilege не хватило
Пробуем уже из под SYSTEM - там-то прав точно должно быть с запасом

И снова access denied 😳😳😳😳😳

Вот тут я слегка приуныл...
На десятке с таким не сталкивался: базово отключил Defender + PPL - и LSASS дампится без плясок с бубном... а тут - внезапно стена.

Поковырялись, потыкались, и в итоге решил пойти по максимально злому пути:
"если непонятно, что именно мешает - проще снести всё к чертям, протестить, а потом откатить назад" 🤣

В процессе наткнулся на вот такого зверя:
🤯 https://github.com/ionuttbara/windows-defender-remover

Инструмент, конечно, топорный, но задачу свою выполнил на отлично - после прогона дамп LSASS спокойно снялся

Вот такой любопытный кейс с Windows 11
Надо будет отдельно разобраться, что именно в 11-ой блокирует дамп даже при базовом отключении Defender и PPL - явно там что-то ещё под капотом, но вот что пока не очень понимаю 😳