Как мы снижаем количество ложных срабатываний в мониторинге безопасности
Привет! Меня зовут Сергей, я начинающий аналитик на Второй линии SOC. Команды нашего Отдела SOC каждый день разбирают сработки правил корреляции и разрабатывают эти самые правила, а также поддерживают технические инструменты, которые мы используем. Одна из наших задач — разработать точную логику детектирования для обеспечения качественного мониторинга состояния защищённости корпоративной вычислительной сети, а также подготовить понятную инструкцию по реагированию, чтобы в итоге без проблем передать обработку алертов на Первую линию SOC для дальнейшего разбора возникающих сработок.
🔗 Ссылка:
https://habr.com/ru/companies/ozontech/articles/1079578/
Привет! Меня зовут Сергей, я начинающий аналитик на Второй линии SOC. Команды нашего Отдела SOC каждый день разбирают сработки правил корреляции и разрабатывают эти самые правила, а также поддерживают технические инструменты, которые мы используем. Одна из наших задач — разработать точную логику детектирования для обеспечения качественного мониторинга состояния защищённости корпоративной вычислительной сети, а также подготовить понятную инструкцию по реагированию, чтобы в итоге без проблем передать обработку алертов на Первую линию SOC для дальнейшего разбора возникающих сработок.
🔗 Ссылка:
https://habr.com/ru/companies/ozontech/articles/1079578/
Что такое JailBreak-атаки: почему ИИ нарушает собственные правила и как это работает
Чтобы «взломать» нейросеть, иногда хватит правильно составленного текста. Попросить модель сыграть персонажа без правил, вспомнить покойную бабушку с химзавода, разбить опасный вопрос на цепочку безобидных или просто закодировать его в Base64. Дальше модель обходит собственные ограничения сама, причем из лучших побуждений, так как искренне хочет помочь.
🔗 Ссылка:
https://habr.com/ru/companies/selectel/articles/1083034/
Чтобы «взломать» нейросеть, иногда хватит правильно составленного текста. Попросить модель сыграть персонажа без правил, вспомнить покойную бабушку с химзавода, разбить опасный вопрос на цепочку безобидных или просто закодировать его в Base64. Дальше модель обходит собственные ограничения сама, причем из лучших побуждений, так как искренне хочет помочь.
🔗 Ссылка:
https://habr.com/ru/companies/selectel/articles/1083034/
Закрыли все CVE и оставили admin:admin: зачем VM-специалисту комплаенс
Комплаенс (compliance) - соблюдение внутренних и внешних требований и норм. Это часть системы управления организацией, которая закрывает комплаенс-риски: риски не соответствовать законодательству, нормативным документам, стандартам надзорных органов и отраслевых регуляторов.
🔗 Ссылка:
https://habr.com/ru/articles/1086114/
Комплаенс (compliance) - соблюдение внутренних и внешних требований и норм. Это часть системы управления организацией, которая закрывает комплаенс-риски: риски не соответствовать законодательству, нормативным документам, стандартам надзорных органов и отраслевых регуляторов.
🔗 Ссылка:
https://habr.com/ru/articles/1086114/
Telegram Desktop под атакой прокси: деанонимизация, утечка секретов и RCE с правами SYSTEM
Кратко. Контролируемый прокси мог одним ответом 407 Proxy Authentication Required заставить Telegram Desktop и QtNetwork без предупреждения вовлечь системную NTLM-аутентификацию Windows. В лаборатории мы подтвердили relay до RCE с правами SYSTEM, отдельное раскрытие до 65 КБ heap-памяти за обмен и соответствие последующих патчей техническим деталям нашего конфиденциального отчёта.
🔗 Ссылка:
https://habr.com/ru/articles/1086056/
Кратко. Контролируемый прокси мог одним ответом 407 Proxy Authentication Required заставить Telegram Desktop и QtNetwork без предупреждения вовлечь системную NTLM-аутентификацию Windows. В лаборатории мы подтвердили relay до RCE с правами SYSTEM, отдельное раскрытие до 65 КБ heap-памяти за обмен и соответствие последующих патчей техническим деталям нашего конфиденциального отчёта.
🔗 Ссылка:
https://habr.com/ru/articles/1086056/
Красная угроза: Android-троян RedWing атакует клиентов российских банков через фейковые приложения и видео
В 2026 году среди вредоносных Android-приложений появился новый претендент на лидерство – RedWing. Это вредоносное ПО начали распространять через Telegram по модели MaaS (Malware-as-a-service, вредоносная программа как услуга) как минимум с начала 2026-го.
🔗 Ссылка:
https://habr.com/ru/companies/F6/articles/1086012/
В 2026 году среди вредоносных Android-приложений появился новый претендент на лидерство – RedWing. Это вредоносное ПО начали распространять через Telegram по модели MaaS (Malware-as-a-service, вредоносная программа как услуга) как минимум с начала 2026-го.
🔗 Ссылка:
https://habr.com/ru/companies/F6/articles/1086012/
Bank — сложная машина со взломом пин-кода, пивотингом и побегом из контейнера
Сложный таск с 6 флагами и 2 машинами. В первой зоне видимости у нас Windows машина с вебом, через который получаем доступ по winrm с первым флагом. Затем на этой машине повышаем привилегии через acl. Далее находим второй сетевой интерфейс, где обнаруживаем другой хост уже с linux на борту. Встречаем еще один веб, в котором нужно подобрать пин-код (третий флаг).
🔗 Ссылка:
https://habr.com/ru/articles/1085490/
Сложный таск с 6 флагами и 2 машинами. В первой зоне видимости у нас Windows машина с вебом, через который получаем доступ по winrm с первым флагом. Затем на этой машине повышаем привилегии через acl. Далее находим второй сетевой интерфейс, где обнаруживаем другой хост уже с linux на борту. Встречаем еще один веб, в котором нужно подобрать пин-код (третий флаг).
🔗 Ссылка:
https://habr.com/ru/articles/1085490/
Forwarded from s0ld13r ch. (s0ld13r)
This media is not supported in your browser
VIEW IN TELEGRAM
Screamer - Fast Network Discovery
Частенько во время пентестов внутрянки приходится сталкиваться с ситуациями когда надо сделать пробу "живых" подсетей при этом не нагружая канал тяжелыми сканами😎
Мой хороший друг Ifrit сделал классную утилиту чтобы решить эту бытовую проблему😺
Установка
AUR (Arch)
BlackArch
💻 github: https://github.com/ifritnoises/screamer
🔗 https://ifritnoises.org/articles/pattern-screamer/
🧢 s0ld13r
Частенько во время пентестов внутрянки приходится сталкиваться с ситуациями когда надо сделать пробу "живых" подсетей при этом не нагружая канал тяжелыми сканами
Мой хороший друг Ifrit сделал классную утилиту чтобы решить эту бытовую проблему
Установка
sudo pipx install --global git+https://github.com/ifritnoises/screamer
AUR (Arch)
yay -S screamerBlackArch
sudo pacman -S screamer🔗 https://ifritnoises.org/articles/pattern-screamer/
Please open Telegram to view this post
VIEW IN TELEGRAM
🔥1
Forwarded from Pentest Notes
Появилось 2 новых RCE в GitLab через regex в CI/CD 🥤
23 сентября GitLab выпустил экстренный патч-релиз (19.2.7 / 19.3.3 / 19.4.1), в котором исправил 2 RCE уязвимости:
➡️ CVE-2026-89078 (CVSS 9.9) - Double-free in regex parser
Авторизованный пользователь может выполнить произвольный код на сервере из-за проблемы двойного освобождения памяти - ошибки, при которой система пытается дважды освободить одну и ту же область памяти. Это происходит при разборе специально созданного регулярного выражения в конфигурации CI/CD.
➡️ CVE-2026-93577 (CVSS 9.9) - Integer overflow in regex compiler
При определенных условиях авторизованный пользователь может выполнить произвольный код на сервере из-за переполнения целого числа при компиляции специально созданного регулярного выражения в конфигурации CI/CD.
Официальный релиз:
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-1-released/
Публичного PoC пока нет, но уверен, скоро появится)
💫 @pentestnotes
23 сентября GitLab выпустил экстренный патч-релиз (19.2.7 / 19.3.3 / 19.4.1), в котором исправил 2 RCE уязвимости:
Авторизованный пользователь может выполнить произвольный код на сервере из-за проблемы двойного освобождения памяти - ошибки, при которой система пытается дважды освободить одну и ту же область памяти. Это происходит при разборе специально созданного регулярного выражения в конфигурации CI/CD.
При определенных условиях авторизованный пользователь может выполнить произвольный код на сервере из-за переполнения целого числа при компиляции специально созданного регулярного выражения в конфигурации CI/CD.
Официальный релиз:
https://docs.gitlab.com/releases/patches/patch-release-gitlab-19-4-1-released/
Please open Telegram to view this post
VIEW IN TELEGRAM
YouTube
Я установил Ghidra от АНБ, чтобы вам не пришлось ставить её на Kali Linux
Ghidra от АНБ — это не просто бесплатный аналог IDA Pro. В этом видео показываю, на что способна Ghidra на Kali Linux: декомпилятор, дизассемблер и инструменты для реверс-инжиниринга.
Я анализирую собственную программу, написанную мной, в образовательных…
Я анализирую собственную программу, написанную мной, в образовательных…
Наконец-то я нашёл время сделать ролик 🎬, а то простои печально бьют по алгоритмам YouTube 📉
Также пришлось попрощаться с роликом про Adaptix C2, над которым я старался 😐
Поэтому думаю, вам не будет сложно накидать разные комментарии для продвижения 💬
Это сейчас очень важно для канала 👾
🔗 Ссылка:
https://youtube.com/watch?v=nQOoVMhoUB8
⬆️ [Прошлый пост]
🍩 [Поддержать]
Также пришлось попрощаться с роликом про Adaptix C2, над которым я старался 😐
Поэтому думаю, вам не будет сложно накидать разные комментарии для продвижения 💬
Это сейчас очень важно для канала 👾
🔗 Ссылка:
https://youtube.com/watch?v=nQOoVMhoUB8
⬆️ [Прошлый пост]
🍩 [Поддержать]
🔥1
Fsecurity | HH pinned «Наконец-то я нашёл время сделать ролик 🎬, а то простои печально бьют по алгоритмам YouTube 📉 Также пришлось попрощаться с роликом про Adaptix C2, над которым я старался 😐 Поэтому думаю, вам не будет сложно накидать разные комментарии для продвижения 💬 Это…»
Разбор CVE-2026-83557 в jackson-databind: почему не всех CVE надо бояться
Утро четверга. Вы открываете таск-трекер, а там тикет от сканера зависимостей: «jackson-databind, CVE-2026-83557, критично, патчить». Ссылка на GitHub-бюллетень, CVSS, слово «полиморфная десериализация», и через двадцать минут у вас уже согласован hotfix на прод в пятницу в 18:00.
Стоп. Я проделал обратное: взял описание, собрал работающий эксплойт и выполнил его на уязвимой и пропатченной версиях. Рассказываю, почему для большинства проектов тут хватает тикета «в ближайший релиз», без всякого горения. И заодно о том, почему не каждой CVE из сканера стоит верить на слово.
🔗 Ссылка:
https://habr.com/ru/articles/1087034/
Утро четверга. Вы открываете таск-трекер, а там тикет от сканера зависимостей: «jackson-databind, CVE-2026-83557, критично, патчить». Ссылка на GitHub-бюллетень, CVSS, слово «полиморфная десериализация», и через двадцать минут у вас уже согласован hotfix на прод в пятницу в 18:00.
Стоп. Я проделал обратное: взял описание, собрал работающий эксплойт и выполнил его на уязвимой и пропатченной версиях. Рассказываю, почему для большинства проектов тут хватает тикета «в ближайший релиз», без всякого горения. И заодно о том, почему не каждой CVE из сканера стоит верить на слово.
🔗 Ссылка:
https://habr.com/ru/articles/1087034/
Сентябрьский «В тренде VM»: уязвимости TeamCity, TrueConf, SharePoint, Windows и Zimbra Collaboration
🔗 Ссылка:
https://habr.com/ru/companies/pt/articles/1086646/
🔗 Ссылка:
https://habr.com/ru/companies/pt/articles/1086646/
👏2🔥1