Сидим мы значит... и думаем, а как нам создать структуру DC... та не простую, а наполненную всякими OUшками, пользаками, группами... и всяким - всяким, да чтоб еще "prod-like"

По ощущениям... нужно сидеть и кодить на пшелле, но если честно эта задачка из разряда "западло" (даже с учетом LLM) 😂
В итоге я пошел копаться на гите и нашел вот такую красоту:
- https://github.com/BOAScripts/Set-DummyAD

Ну и отдельное спасибо моему коллеге, который поделился еще вот таким "чудом":
- https://github.com/davidprowe/BadBlood

Теперь остается только переписать списки... на слитые "Anonymous France" древнерусских православных юзеров 😁

Мне кажется я этим точно должен поделится...

Сидел я тут и искал хорошенький плейлист на M*CTF и наткнулся на этот шедевр 😈
- https://www.youtube.com/@AllHackingCons/videos

Тип собрал чуть ли не все "хакерские" форумы / конфы и закину все в один огромный плейлист на ютубчике.
Но на самом деле у него много чего интересного есть еще -> https://infocon.org/

Знаете... работа с PTLabом научила меня очень интересной мысли.

Я никогда не могу предсказать где и что у меня отстрельнет и сколько времени мне потребуется чтобы это вернуть к жизни, и так... гипотеза:

"Если у нас упадёт X — сможем ли мы вовремя увидеть Y и за какое Z мы это исправим?"

Тогда мне в голову пришла очень интересная концепция... а что если объединить Chaos Engineering, Grafana, Alert Manager.
В качестве эксперимента... я решил взять своего покемона (без её согласия)... которая замучалась решать различные поломки... что я плодил ей на различных серверах MaxPatrol 10... это и стало так называемым объектом хаоса.

Что-то типо знаете... управляемого хаоса, создай проблему по одной кнопке... и реши примерно так же, "управляемый хаос" как термин звучит очень и очень странно в силу отсутствия субъектности, но надеюсь тут сознание станет самым настоящим ключом.

Я не просто "отключал сервер" - я моделировал реальные отказы компонентов MPX с помощью Ansible, было 2 роли с переключалками (true / false) внутри:

ybei_menya_maxpatrol.yml
- Останавливает агента
- Блокирует сетевой доступ к базе событий
- Удаляет конфигурационные файлы парсинга логов
- Имитирует переполнение диска
- Убивает службы на Core сервере в хаотичном порядке
- Создание X процессов на хосте, что забивает ОЗУ / ЦПУ

res_pls_maxpatrol.yml
- Восстанавливает сервисы
- Восстанавливает сетевые доступы к базе событий
- Перезапускает агент
- Проверяет целостность БД
- Подчищает то чем наспамил на хосте
- Убивает X процессы на хосте, ранее созданные для DDoSа

Архитектура была примерно такой:

[Ansible Server]  
   │  
   ↓ (запускает ybei_menya_maxpatrol.yml)  
[MaxPatrol 10: Collector (true), DB (false), ...] → ломается  
   │  
   ↓ (метрики в Prometheus, логи в Loki)  
[Grafana] → срабатывает алерт → уведомление в Telegram  
   │  
   ↓ (если реакции нет > 1 часа)  
[Ansible Server] → запускает res_pls_maxpatrol.yml  
   │  
   ↓  
[MaxPatrol 10] → восстановлен → Grafana показывает возврат к норме

И знаете... это дало свои плоды, мой покемон выучился и на таких кейсах... довольно круто прокачался в плане траблшутинга, но так и не дошел... до идеи удобного алертинга и мониторинга, на новом исправлю этот недочет... 🤣

В целом это и было целью... на "искусственных" примерах поднять экспертизу по траблшутинга продукта, кажется это было весело 💖

Ну что сказать... кажется можно подвести итоги этого года...

Декабрь выдался... каким-то безумным на события, та и в целом как и весь год.
Мы провели M*CTF и знаете... провели его... во многом выше всех своих ожиданий, это было здорово, надеюсь это не был наш пик, в следующем году... сделаем еще круче 😁

Спасибо большое всем ребятам, что участвовали в разработке и помогали нам организационно, думаю мы правда в этом году молодцы.

А касательно... каких-то личных итогов, многое было...

- Приглашение в IBM / RHEL
- Личное знакомство с ДеХаном и ряда очень и очень крутых экспертов
- Мой любимый PTLab и надеюсь новая фаза его развития
- Автоматизация источников
- Закончился проект который было очень сложно отпускать
- Началось что-то действительно очень крутое и новое

Короче... давайте уже по традиции этого канала:

"местами даже хорошо... что он подходит к концу."

- Спасибо всем, кто читает и интересуется всем, что тут происходит, я думаю у нас с вами много крутого впереди 💖
- Я думаю все будет круто 😻
- С наступающим вас, будьте умничками :3 🕺

Чтож... потихоньку начинаем публиковать труд, который пережил кучу итераций и мнение множества экспертов...
Сейчас хоть не стыдно показать 😮

➡️ PT_LEP_Unix
Роль для настройки на источниках формата событий, правил журналирования, служб журналирования (rsyslog или syslog-ng) и отправки событий syslog через audispd.

➡️ PT_dc_policy
Роль предназначена для добавления следующих политик на контроллерах домена (DC):
- PT_Event_LogReader - политика для сбора событий с целевых хостов, добавления группы MaxPatrol Group LogReader (в ней содержится пользователь под которым идет сбор логов) в локальную группу Event Log Readers.
- PT_Registry_Audit_Settings - политика настройки SACL для записи событий доступа к реестру.
- PT_DC_Audit_Settings - политика настройки контроллеров домена под аудит.
Параметры AAP для контроллеров домена:
- Увеличение размера хранения журналов и автоматическая перезапись событий.
- Добавление разрешения для службы NETWORK SERVICE на чтение журнала Security.
- Принудительное применение параметров расширенного аудита.
- Включение журналирования командной строки в событиях старта процессов.
- Включение журналирования исполняемого PowerShell-кода.
- Включение аудита LDAP-запросов.

- PT_WS_Audit_Settings - политика настройки WS-хостов под аудит.
Параметры AAP для членов домена:
- Увеличение размера хранения журналов и автоматическая перезапись событий.
- Добавление разрешения для службы NETWORK SERVICE на чтение журнала Security.
- Принудительное применение параметров расширенного аудита.
- Включение журналирования командной строки в событиях старта процессов.
- Включение журналирования исполняемого PowerShell-кода.

- PT_SRV_Audit_Settings - политика настройки Server-хостов под аудит.
Параметры AAP для членов домена:
- Увеличение размера хранения журналов и автоматическая перезапись событий.
- Добавление разрешения для службы NETWORK SERVICE на чтение журнала Security.
- Принудительное применение параметров расширенного аудита.
- Включение журналирования командной строки в событиях старта процессов.
- Включение журналирования исполняемого PowerShell-кода.

- PT_Firewall_Rules - политика добавления Firewall правил.
- PT_WS_Audit_User - политика добавления специальной группы MaxPatrol Group AuditUser для проведения аудита системы на WS-хостах.
- PT_SRV_Audit_User - политика добавления специальной группы MaxPatrol Group AuditUser для проведения аудита системы на Server-хостах.
- PT_DC_Audit_User - политика добавления специальной группы MaxPatrol Group AuditUser для проведения аудита системы на DC-хостах.

Создание пользователей:
- Для сбора логов с хоста с дальнейшим добавлением в группу Event Log Readers.
- Для аудита системы с дальнейшим добавлением в группу локального администратора.
- Создание спец.группы для работы с пользователем сбора логов.

- PT_file_and_folder_Generic - политика настройки SACL для записи событий доступа к файлам и каталогам (Контроллеры и члены домена).
- PT_file_and_folder_SYSVOL - политика настройки SACL для записи событий доступа к файлам и каталогам (Контроллеры домена).

Пхпхпх... да... там нет Meta и нет описания зависимостей, ближе к полному релизу... допилю все по феншую 😌

Еще новостей...
- На роль PT_LEP_Unix скоро заедет большой патч... в целом я надеюсь мы скоро сможем перейти на более удобную форму распространения ролей...
- В документации скоро появится еще парочка ролей которые я наклепал за все это время... а вероятно скоро увидим и вообще все... что было сделано за это время

Каждый раз, когда я запускал роль для развертывания + конфигурации Linux VM, Ansible думает по 15 минут. А если нужно было поднять 10+ хостов - уходит час из жизни... SSH-сессии, перезагрузки модулей, простаивающие в очереди таски… пхпхпхпхп это не автоматизация, а психотерапия с таймером.. 😢

И кажется этот момент настал... порылся в гугле, перепробовал разные стратегии... и нашел наверное самое лучшее -> Mitogen - стратегия, которая ускоряет Ansible в 3 - 10 раз.

Почему это крутотень?
1) Одно SSH-соединение вместо тысячи - Ansible традиционно открывает новую сессию для каждой задачи Mitogen оставляет один канал открытым и гоняет через него все задачи.
2) Кэширование "на лету" - модули (типа copy или file) грузятся один раз, а не по 50.
3) Параллельность работает КАК И ДОЛЖНА РАБОТАТЬ - хосты не стоят в очереди... Mitogen динамически распределяет задачи между активными соединениями -> медленные серверы не тянут за собой все.

На самом деле поюзав этого зверя... я скостил разворачивание и конфигурацию хостов с 15-и минут аж до 6 на 1 хост, пачка и совсем за ~20 минут настраивается...
Есть конечно проблемки... Mitogen работает не на все модули, но кто нам мешает допилить 😊

В общем... всем кто работает с Ansible, настоятельно рекомендую... да да

➡️ Github / Документация

Сегодня с коллегой словили довольно занятный кейс 💃

Решили на Windows 11 24H2 (OS build 26100) снять дамп LSASS. Казалось бы - рутина, никаких сюрпризов. Отключаешь Defender, вырубаешь PPL и идёшь дальше жить спокойно

Но не тут-то было

Под админом - access denied
Ладно, думаем, может SeDebugPrivilege не хватило
Пробуем уже из под SYSTEM - там-то прав точно должно быть с запасом

И снова access denied 😳😳😳😳😳

Вот тут я слегка приуныл...
На десятке с таким не сталкивался: базово отключил Defender + PPL - и LSASS дампится без плясок с бубном... а тут - внезапно стена.

Поковырялись, потыкались, и в итоге решил пойти по максимально злому пути:
"если непонятно, что именно мешает - проще снести всё к чертям, протестить, а потом откатить назад" 🤣

В процессе наткнулся на вот такого зверя:
🤯 https://github.com/ionuttbara/windows-defender-remover

Инструмент, конечно, топорный, но задачу свою выполнил на отлично - после прогона дамп LSASS спокойно снялся

Вот такой любопытный кейс с Windows 11
Надо будет отдельно разобраться, что именно в 11-ой блокирует дамп даже при базовом отключении Defender и PPL - явно там что-то ещё под капотом, но вот что пока не очень понимаю 😳

Сегодня со мной произошло маленькое профессиональное "чудо" 🫠

Я наконец-то применил знания, полученные на сертификации RHCSA… спустя 6 лет

Иногда кажется, что половина того, что учишь, так и останется «на всякий случай».
А потом наступает тот самый рабочий кейс - и ты понимаешь, зачем всё это было 😳

🟠 Притча о том, как я RAID воскрешал (почти)

Хочу в 4 утра поделится с вами двумя вещицами:

🔊 Awesome Black Hat Arsenal
По сути это такой "священный свиток тёмной магии", только без необходимости смотреть трёхчасовой доклад с Black Hat, где чувак в худи с видом «я сейчас переверну индустрию» в конце слайда невнятно показывает ссылку на GitHub.

Это "awesome-list" для red team / pentest / exploit dev, аккуратно собранный из тулзов, которые всплывали на конференциях Black Hat.

То есть вместо сценария:
"О боже, Кенни, он опять выложил "революционный" фреймворк!"
- Погнали вручную перебивать ссылку с YouTube, пока автор листает слайд 0.7 секунды.

Ты получаешь:
"О, смотри, уже всё собрано... категории есть... инструменты есть... ссылки кликабельные (но не все 😏)... можно жить."

🪟 CVE2CAPEC
Тут мне если честно лень придумывать такое же красивое описание... поэтому я просто дам идею и описание тулы... как я это юзаю.

CVE2CAPEC - это утилита/датасет для сопоставления уязвимостей из базы MITRE с шаблонами атак CAPEC.

Идея тут такая - перевести конкретную уязвимость (CVE) в более общий "паттерн атаки" (CAPEC), чтобы понять к какому классу атак она относится.
Юзал для составления сценариев... вроде даже помогало.

Довольно долго практикую такую вещь - выкладываю все мысли на бумагу или схемы

Очень круто помогает разгружать мозги.

Один знакомый тут заметил у меня заметочки в обсидиане... попросил выкидывать в какую-то группу.

Без понятия чем это может быть кому-то полезно, но держите, мало ли интересно.

➡️ Link

Сюда это писать не хочется, ибо кажется, что совсем не формат.

Боже, как мне надоело, что про этот ИИ вокруг все говорят и говорят...

Куда ни зайдешь - везде одно и то же: "ИИ заменит админов", "ИИ напишет всё за тебя","ИИ теперь DevOps", "ИИ умеет в Ansible лучше людей".
И каждый раз звучит так, будто завтра можно просто отдать ему доступы в прод и уйти пить кофе 😏

Но тут попалось видео Learn Linux TV, где автор нормально проверяет Claude Code на реальном Ansible-проекте.
Не на игрушечном "установи nginx" (кто-то вообще на других примерах ansible показывает?!!), а на более менее приемлемой домашней лаборатории.

И вот тут стало интереснее... я посмотрел на это все... и решил повторить на своей домашней инфре 😳

Что я понял?

Claude Code реально смог разобраться в структуре проекта, понять, где что лежит, предложить изменения, поправить существующие playbookи и в целом вести себя не как генератор случайного YAML, а как помощник, который умеет копаться в кодовой базе, ну и README он хорошо написал по моему шаблону.

Но магии, конечно, не случилось.

В какой-то момент он попытался создать новый playbook для того, что уже было реализовано в проекте... то есть классическая история... вроде умный, вроде помогает, но без ревью может наделать лишнего или вообще увести не туда.

И, честно, вывод такой: ИИ - это не замена системному администратору и не волшебная кнопка "сделай инфраструктуру".
Это скорее очень быстрый джун, которому можно дать задачу, но потом обязательно проверить, что он там наворотил ☕️

Для Ansible, рефакторинга, поиска по проекту, черновиков задач и рутины - да, полезно...
Для "вот тебе прод, делай что хочешь, лишь бы оно работало" - нет, спасибо, я еще жить хочу...

Короче, ИИ не отменяет знания... он просто делает боль чуть менее больной, если рядом есть человек, который понимает, что именно надо проверить.
Связка понимающий специалист + AI агент - выглядит очень мощно
Связка джун + AI агент - выглядит очень и очень опасно для всего, до чего дотянется AI агент

Недавно еще получил доступ к AIOps от RHEL, потыкаюсь... может мнение изменится в лучшую сторону... но пока ощущение черного ящика никуда не уходит...

p.s. но ai-connect от ansible, действительно удобная штука... тут придраться сложно, так что всем кто активно юзает ansible - рекомендую

Пришли ко мне с одной задачкой... ну я за неё и сел... ☕️

Обожаю Windows, обожаю ACL, обожаю права, обожаю атрибуты, обожаю моменты, когда ты вроде бы всё понял, а потом AD такая:
"Не-не-не, ты понял не всё старина"

Разбирался с dMSA при тестировании BadSuccessor-like сценариев и внезапно уперся в очень показательный нюанс... в общем вот..

🟠 Притча о том, как я разбирался с dMSA при тестировании BadSuccessor-like сценариев

24 июля в 15:30 в Московском офисе Positive Technologies пройдет митап для начинающих специалистов. Это возможность познакомиться с коллегами Позитива, различными направлениями в компании и послушать реальный опыт коллег.

В программе:
➡️ Владимир Николаев, эксперт PT Lab, погрузит во внутрянку агентов Caldera
➡️ Андрей Михайлов, младший инженер PT Lab, расскажет, как создаются лабораторные стенды для практики
➡️ Евгений Копытин, специалист отдела анализа защищенности веб-приложений, раскроет полный потенциал SSRF
➡️ Приглашенный Спикер и тема останутся сюрпризом 🫥

А еще будет экскурсия по офису, пицца, призы за лучшие вопросы и неформальное общение🍕

Заполни форму регистрации по ссылке, если собираешься прийти

🟥Важно: количество мест ограничено, после регистрации дождись письма с подтверждением участия и подробностями мероприятия

До встречи на митапе!🙂

Для тех кто пропустил наш митап 😁