Forwarded from Just Security
В прошлом посте мы привели два примера рекомендаций, после которых заказчик тестирования делает вывод — да, хорошо поработали, ценю. Сегодня хочется взглянуть шире и выделить общие принципы хорошего пентеста и признаки качественного отчета.
Forwarded from Just Security
👉 Рекомендации актуальные для любого проекта:
⠀
1. Весь отчет должен быть как ГОСТ: единый стиль изложения, рекомендации в одних падежах, пунктуация, описание рисунков, схем, таблиц. Так, чтобы всем было приятно на него смотреть, а содержание было предельно ясным.
⠀
2. Детальное описание недостатков. Не просто общее описание, а для конкретных случаев: где нашли уязвимость, в каком параметре или модуле (на картинках приведен пример).
⠀
3. Примеры эксплуатации. Показаны найденные баги, прикреплена картинка, как пруф. Читающий может повторить действие с картинки. Также детальное описание процесса тестирования, ссылки на базы уязвимостей ФСТЭК России или техник MITRE.
⠀
4. Рекомендации также прописаны для конкретных случаев, описаны точечные советы, именно для того фреймворка, который использует заказчик. Нет двусмысленности.
⠀
5. Резюме работы с цифрами, рекомендациями и выводом.
⠀
6. Отчет оформлен на основе заданных заказчиком вопросов перед проектом. Затем идет то, что специалисты считают важным и релевантным. Если вопросов не было, то по иерархии критичности всех «находок».
⠀
👉 Как создать условия для качественного пентеста?
⠀
— Ограничивая охват работ или инструментарий исполнителя, заказчик сам себе ставит палки в колёса, получая отчёт, который не имеет никакого отношения к реальному состоянию защиты (при этом потратив время и заплатив деньги за услугу).
⠀
— Услугу оказывает компания, для которой этот вид работ профильный. Она имеет штат квалифицированных специалистов, которые понимают, как добиться результата. Непрофильная компания с большой долей вероятности отдаст заказ на аутсорс с неизвестным итоговым результатом.
⠀
В следующем посте расскажем про все красные флаги 🚩 в отчетах — признаки моветона, дилетантства и просто некачественной работы.
⠀
П.С. Мы не против показать товар лицом — выслать обезличенный пример нашего канонического отчета → по запросу в ЛС или почту, велкам.
⠀
#бенчмарк_пентеста
⠀
1. Весь отчет должен быть как ГОСТ: единый стиль изложения, рекомендации в одних падежах, пунктуация, описание рисунков, схем, таблиц. Так, чтобы всем было приятно на него смотреть, а содержание было предельно ясным.
⠀
2. Детальное описание недостатков. Не просто общее описание, а для конкретных случаев: где нашли уязвимость, в каком параметре или модуле (на картинках приведен пример).
⠀
3. Примеры эксплуатации. Показаны найденные баги, прикреплена картинка, как пруф. Читающий может повторить действие с картинки. Также детальное описание процесса тестирования, ссылки на базы уязвимостей ФСТЭК России или техник MITRE.
⠀
4. Рекомендации также прописаны для конкретных случаев, описаны точечные советы, именно для того фреймворка, который использует заказчик. Нет двусмысленности.
⠀
5. Резюме работы с цифрами, рекомендациями и выводом.
⠀
6. Отчет оформлен на основе заданных заказчиком вопросов перед проектом. Затем идет то, что специалисты считают важным и релевантным. Если вопросов не было, то по иерархии критичности всех «находок».
⠀
👉 Как создать условия для качественного пентеста?
⠀
— Ограничивая охват работ или инструментарий исполнителя, заказчик сам себе ставит палки в колёса, получая отчёт, который не имеет никакого отношения к реальному состоянию защиты (при этом потратив время и заплатив деньги за услугу).
⠀
— Услугу оказывает компания, для которой этот вид работ профильный. Она имеет штат квалифицированных специалистов, которые понимают, как добиться результата. Непрофильная компания с большой долей вероятности отдаст заказ на аутсорс с неизвестным итоговым результатом.
⠀
В следующем посте расскажем про все красные флаги 🚩 в отчетах — признаки моветона, дилетантства и просто некачественной работы.
⠀
П.С. Мы не против показать товар лицом — выслать обезличенный пример нашего канонического отчета → по запросу в ЛС или почту, велкам.
⠀
#бенчмарк_пентеста
Forwarded from Offensive Xwitter
😈 [ k1nd0ne, k1nd0ne ]
I am happy to release a new malware analysis tool.
VISION-Process.
A fast and cross platform Procmon visualization application written in Rust & TS.
https://t.co/M3GBy3Udb7
An demo with QBOT :
https://t.co/MruSaVYG2H
Happy Hunting !
@pr0xylife #DFIR
🔗 https://github.com/forensicxlab/VISION-ProcMon
🔗 https://www.forensicxlab.com/posts/vision-procmon/
🐥 [ tweet ]
I am happy to release a new malware analysis tool.
VISION-Process.
A fast and cross platform Procmon visualization application written in Rust & TS.
https://t.co/M3GBy3Udb7
An demo with QBOT :
https://t.co/MruSaVYG2H
Happy Hunting !
@pr0xylife #DFIR
🔗 https://github.com/forensicxlab/VISION-ProcMon
🔗 https://www.forensicxlab.com/posts/vision-procmon/
🐥 [ tweet ]
Forwarded from Offensive Xwitter
Offensive Xwitter
😈 [ k1nd0ne, k1nd0ne ] I am happy to release a new malware analysis tool. VISION-Process. A fast and cross platform Procmon visualization application written in Rust & TS. https://t.co/M3GBy3Udb7 An demo with QBOT : https://t.co/MruSaVYG2H Happy Hunting…
Forwarded from CyberSecurityTechnologies (-CST-)
#info
OWASP API Security 2023:
- Broken object level authorization
- Broken authentication
- Broken object property level authorization
- Unrestricted resource consumption
- Broken function level authorization
- Server side request forgery
- Security misconfiguration
- Lack of protection from authentication threats
- Improper assets management
- Unsafe consumption of APIs
https://github.com/OWASP/API-Security/tree/master/2023/en/src
OWASP API Security 2023:
- Broken object level authorization
- Broken authentication
- Broken object property level authorization
- Unrestricted resource consumption
- Broken function level authorization
- Server side request forgery
- Security misconfiguration
- Lack of protection from authentication threats
- Improper assets management
- Unsafe consumption of APIs
https://github.com/OWASP/API-Security/tree/master/2023/en/src
Forwarded from GitTools
FacilMap
Безопасная для конфиденциальности универсальная онлайн-карта с открытым исходным кодом, которая сочетает в себе различные сервисы на основе OpenStreetMap и позволяет легко находить места, планировать маршруты и создавать собственные карты с маркерами, линиями и маршрутами.
▫️ Различные стили карты для дорог, топографии, езды на велосипеде, пешеходного туризма, общественного транспорта, водной навигации...
▫️ Поиск мест и отображение информации о них (веб-сайт, часы работы, ...)
▫️ Рассчитывайте маршруты и корректируйте их перетаскиванием. Можно показать профиль высоты.
▫️ Удобный для смартфона интерфейс.
▫️ Создавайте и делитесь пользовательскими картами с маркерами, линиями и маршрутами на них.
и многое многое другое....
https://github.com/FacilMap/facilmap
Site: https://facilmap.org/
#soft #privacy #infosec #map
Безопасная для конфиденциальности универсальная онлайн-карта с открытым исходным кодом, которая сочетает в себе различные сервисы на основе OpenStreetMap и позволяет легко находить места, планировать маршруты и создавать собственные карты с маркерами, линиями и маршрутами.
▫️ Различные стили карты для дорог, топографии, езды на велосипеде, пешеходного туризма, общественного транспорта, водной навигации...
▫️ Поиск мест и отображение информации о них (веб-сайт, часы работы, ...)
▫️ Рассчитывайте маршруты и корректируйте их перетаскиванием. Можно показать профиль высоты.
▫️ Удобный для смартфона интерфейс.
▫️ Создавайте и делитесь пользовательскими картами с маркерами, линиями и маршрутами на них.
и многое многое другое....
https://github.com/FacilMap/facilmap
Site: https://facilmap.org/
#soft #privacy #infosec #map
Forwarded from Proxy Bar
Offline создание администратора Windows 10? 😈
Ога
Всё через встроенные DLL-файлы offlinelsa и offlinesam. Официально, но не очень документировано.
OfflineAddAdmin2 (это новая версия)
Видео туториал
Ога
Всё через встроенные DLL-файлы offlinelsa и offlinesam. Официально, но не очень документировано.
OfflineAddAdmin2 (это новая версия)
Видео туториал
Forwarded from Open Source
Aces
Aces — это утилита командной строки, которая позволяет кодировать любые данные в набор символов по вашему выбору.
Например, вы можете закодировать «Foo Bar» комбинацией этих четырех символов: «HhAa», в результате чего получится последовательность смеха: hHhAhAaahAaaHAHHhHHAhAHhhaHA Истинное значение которой знаете только вы.
Вы также можете использовать смайлики, можете написать шестнадцатеричный/восьмеричный/двоичный/ваш собственный формат, любые символы.
Aces это еще и библиотека, которую можно использовать для кодирования и декодирования.
https://github.com/quackduck/aces
Docs: https://pkg.go.dev/github.com/quackduck/aces
Aces — это утилита командной строки, которая позволяет кодировать любые данные в набор символов по вашему выбору.
Например, вы можете закодировать «Foo Bar» комбинацией этих четырех символов: «HhAa», в результате чего получится последовательность смеха: hHhAhAaahAaaHAHHhHHAhAHhhaHA Истинное значение которой знаете только вы.
Вы также можете использовать смайлики, можете написать шестнадцатеричный/восьмеричный/двоичный/ваш собственный формат, любые символы.
Aces это еще и библиотека, которую можно использовать для кодирования и декодирования.
https://github.com/quackduck/aces
Docs: https://pkg.go.dev/github.com/quackduck/aces
Forwarded from CyberSecurityTechnologies (-CST-)
automated_threat_handbook_v1-2.pdf
1.6 MB
#Whitepaper
#Threat_Research
#WebApp_Security
"OWASP Automated Threats Handbook: Web Applications, Version 1.2".
#Threat_Research
#WebApp_Security
"OWASP Automated Threats Handbook: Web Applications, Version 1.2".
Forwarded from CyberSecurityTechnologies
Forwarded from HackGit
ChatGPT Prompts for Bug Bounty
A list of ChatGPT Prompts for Web Application Security, Bug Bounty, and Pentesting.
https://github.com/TakSec/chatgpt-prompts-bug-bounty
A list of ChatGPT Prompts for Web Application Security, Bug Bounty, and Pentesting.
https://github.com/TakSec/chatgpt-prompts-bug-bounty
Forwarded from ProgramsHub
DevSecOps 🔱
Collection and #Roadmap for everyone who wants #DevSecOps. Hope your #DevOps are more safe 😎
https://github.com/hahwul/DevSecOps
Collection and #Roadmap for everyone who wants #DevSecOps. Hope your #DevOps are more safe 😎
https://github.com/hahwul/DevSecOps
Forwarded from HackGit
lurk-sonar
Download source code of all projects in a SonarQube instance.
https://github.com/topscoder/lurk-sonar
#bugbounty #opsec #infosec #sonarqube
Download source code of all projects in a SonarQube instance.
https://github.com/topscoder/lurk-sonar
#bugbounty #opsec #infosec #sonarqube
Forwarded from HackGit
Red Team Playground
The Red Team Playground is a #Dockerized vulnerable testing lab for learning and practicing #RedTeam concepts.
Docker network containing many vulnerable targets for practicing Red Teaming concepts (initial access, priv esc, persistence, lateral, C2, evasion, etc).
https://github.com/minispooner/red-team-playground
The Red Team Playground is a #Dockerized vulnerable testing lab for learning and practicing #RedTeam concepts.
Docker network containing many vulnerable targets for practicing Red Teaming concepts (initial access, priv esc, persistence, lateral, C2, evasion, etc).
https://github.com/minispooner/red-team-playground
Forwarded from Управление Уязвимостями и прочее
Про дипломные проекты в ВУЗах. Недавно спрашивали про актуальные темы для диплома в области ИБ.
Имхо, самые классные дипломные проекты получаются, когда студенты пишут о том, чем на работе уже занимаются. Так и работа продвигается, и текст можно в документации переиспользовать (или наоборот из существующей документации взять), и новизну с полезностью проще обосновать.
Если это не вариант, то можно дипломный проект воспринимать как инструмент для последующего трудоустройства. Смотрим на рынок - ищем "компанию мечты", выясняем чем они занимаются, выбираем тему из того, что хорошо будет смотреться на будущем собесе. 😏 Допустим компания это вендор какого-то продукта по ИБ, в разработке которого нам было бы интересно поучаствовать. Собираем проблемы/тренды для этого класса продуктов (для VM-а недавно скидывал) и попытаемся предложить для какой-нибудь из проблем свое решение. Такой дипломный проект это отличная тема для разговора на собесе (важно: даже если про тему диплома написано в резюме, не забудьте голосом акцентировать внимание на этом!). Будете выглядеть уже не как "белый лист", а как специалист с некоторым практическим опытом, который может приносить пользу практически с первого дня. Это дорогого стоит. Ну и в процессе подготовки дипломного проекта неизбежно прокачаетесь в нужную сторону. 😉
Брать тему совсем с потолка или переделывать чужой диплом про мясокомбинат с помощью ChatGPT не советую. 🙂 Конечно, может и такое прокатить, но польза от этого всего будет минимальная.
@avleonovrus #насспрашивают
Имхо, самые классные дипломные проекты получаются, когда студенты пишут о том, чем на работе уже занимаются. Так и работа продвигается, и текст можно в документации переиспользовать (или наоборот из существующей документации взять), и новизну с полезностью проще обосновать.
Если это не вариант, то можно дипломный проект воспринимать как инструмент для последующего трудоустройства. Смотрим на рынок - ищем "компанию мечты", выясняем чем они занимаются, выбираем тему из того, что хорошо будет смотреться на будущем собесе. 😏 Допустим компания это вендор какого-то продукта по ИБ, в разработке которого нам было бы интересно поучаствовать. Собираем проблемы/тренды для этого класса продуктов (для VM-а недавно скидывал) и попытаемся предложить для какой-нибудь из проблем свое решение. Такой дипломный проект это отличная тема для разговора на собесе (важно: даже если про тему диплома написано в резюме, не забудьте голосом акцентировать внимание на этом!). Будете выглядеть уже не как "белый лист", а как специалист с некоторым практическим опытом, который может приносить пользу практически с первого дня. Это дорогого стоит. Ну и в процессе подготовки дипломного проекта неизбежно прокачаетесь в нужную сторону. 😉
Брать тему совсем с потолка или переделывать чужой диплом про мясокомбинат с помощью ChatGPT не советую. 🙂 Конечно, может и такое прокатить, но польза от этого всего будет минимальная.
@avleonovrus #насспрашивают