Forwarded from Ivan Begtin (Ivan Begtin)
Typogram [1] диаграммы для тех кто не забыл что такое ASCII и псевдографику в терминалах. Реализовано в виде Javascript библиотеки от Google, содержит множество примитивов и позволяет рисовать майндмапы, деревья, гриды, послойные диаграммы и даже графики с временными рядами.
Выглядит так просто что просто прекрасно. Можно сказать воплощение принципа clean & simple при этом идеально выглядело бы встроенным в Markdown и поддерживаемом Markdown редакторами.
Причём, в отличие от Mermaid, другой библиотеки для диаграмм, в typogram объекты описываются типографически, а не семантически. Это рисунок из символов превращаемый в схему, а не слова/язык разметки.
Ссылки:
[1] https://google.github.io/typograms/
[2] https://github.com/mermaid-js/mermaid
#opensource #digramming #cleanandsimple
Выглядит так просто что просто прекрасно. Можно сказать воплощение принципа clean & simple при этом идеально выглядело бы встроенным в Markdown и поддерживаемом Markdown редакторами.
Причём, в отличие от Mermaid, другой библиотеки для диаграмм, в typogram объекты описываются типографически, а не семантически. Это рисунок из символов превращаемый в схему, а не слова/язык разметки.
Ссылки:
[1] https://google.github.io/typograms/
[2] https://github.com/mermaid-js/mermaid
#opensource #digramming #cleanandsimple
👍1
Forwarded from Записки админа
🛠 Hotspot - GUI для работы с данными от perf.
На Github проекта доступно описание, снимки экрана, примеры работы и информация о репозиториях для установки...
https://github.com/KDAB/hotspot
#perf #tool
На Github проекта доступно описание, снимки экрана, примеры работы и информация о репозиториях для установки...
https://github.com/KDAB/hotspot
#perf #tool
Forwarded from CyberSecurityTechnologies (-CST-)
GenSym.pdf
858.7 KB
#Research
"Compiling Parallel Symbolic Execution with Continuations", 2023.
]-> https://github.com/Generative-Program-Analysis/GenSym
"Compiling Parallel Symbolic Execution with Continuations", 2023.
]-> https://github.com/Generative-Program-Analysis/GenSym
Forwarded from The Bug Bounty Hunter
Forwarded from Записки админа
This media is not supported in your browser
VIEW IN TELEGRAM
🛠 Любопытный tui тренажёр для обучения основам работы в терминале.
https://github.com/learnbyexample/TUI-apps/tree/main/CLI-Exercises
#tui #cli #shell
https://github.com/learnbyexample/TUI-apps/tree/main/CLI-Exercises
#tui #cli #shell
Forwarded from Security
По ссылке ниже представлены инструменты для проведения различных методов атак на WiFi :
• General WiFi Information;
• Noteworthy Tools of Different Categories;
• Attack/PenTesting;
• Denial of Service;
• Encryption Attack;
• WEP/WPA/WPA2;
• WPS;
• Injection;
• Rogue AP/Fake AP/ MITM;
• Sniffing;
• Wardriving;
• Miscellaneous Attacking Tools;
• Information Gathering;
• Defence/Detection;
• Libraries/General Purpose Tools;
• Visualization;
• Localisation;
• Configuration/setup;
• Monitoring.
👉 Подписаться
Please open Telegram to view this post
VIEW IN TELEGRAM
Forwarded from Пост Лукацкого
Ты весь такой бравый, отличник, заканчиваешь ВУЗ по ИБ-специальности с красным дипломом, устраиваешься в солидную и известную компанию на престижную работу инженера по ИБ и через две недели узнаешь, что 👆 Так кончается детство и наступает зрелость 🌱
ЗЫ. Интересно, у него под звездочками "ucke" или "rustrate"?
ЗЫ. Интересно, у него под звездочками "ucke" или "rustrate"?
Please open Telegram to view this post
VIEW IN TELEGRAM
👍2
Forwarded from white2hack 📚
Учебник Docker для новичков, компиляция материалов, 2023
В этом учебнике объединяются статьи, позволяющие освоить Docker в кратчайшие сроки фактически с самого нуля.
Крайне желательно, чтобы вы знакомились с материалами раздела "Обязательные для изучения материалы" в том порядке, в котором они для вас подготовлены. Это существенно облегчит вам знакомство с этой увлекательной темой. Тем не менее, вы всегда можете выбрать именно тот раздел, который вам нравится больше всего прямо сейчас!
Happy Dockering! 😄
#book
В этом учебнике объединяются статьи, позволяющие освоить Docker в кратчайшие сроки фактически с самого нуля.
Крайне желательно, чтобы вы знакомились с материалами раздела "Обязательные для изучения материалы" в том порядке, в котором они для вас подготовлены. Это существенно облегчит вам знакомство с этой увлекательной темой. Тем не менее, вы всегда можете выбрать именно тот раздел, который вам нравится больше всего прямо сейчас!
Happy Dockering! 😄
#book
Forwarded from white2hack 📚
Uchebnik_Docker.pdf
1.7 MB
Учебник Docker для новичков, компиляция материалов, 2023
Forwarded from Cybred
https://github.com/morpheuslord/HackBot
Как WormGPT, но бесплатный. Чат-бот без цензуры, который умеет отвечать на любые вопросы по кибербезопасности. Создан на базе модели Meta-LLama2.
Как WormGPT, но бесплатный. Чат-бот без цензуры, который умеет отвечать на любые вопросы по кибербезопасности. Создан на базе модели Meta-LLama2.
GitHub
GitHub - morpheuslord/HackBot: AI-powered cybersecurity chatbot designed to provide helpful and accurate answers to your cybersecurity…
AI-powered cybersecurity chatbot designed to provide helpful and accurate answers to your cybersecurity-related queries and also do code analysis and scan analysis. - morpheuslord/HackBot
Forwarded from Cybred
https://lana.codes/lanavdb/
Lana Codes Vulnerability Database (LANAVDB) — база данных уязвимостей от команды lana.codes, которые они находят в плагинах Wordpress.
По каждой написан небольшой райтап с примерами кода, инфографикой, PoC и даже поднятым тестовым стендом.
Для подавляющей части уязвимостей уже есть свой шаблон для Nuclei, их можно найти тут.
Lana Codes Vulnerability Database (LANAVDB) — база данных уязвимостей от команды lana.codes, которые они находят в плагинах Wordpress.
По каждой написан небольшой райтап с примерами кода, инфографикой, PoC и даже поднятым тестовым стендом.
Для подавляющей части уязвимостей уже есть свой шаблон для Nuclei, их можно найти тут.
Forwarded from Cybred
https://github.com/noraj/haiti
CLI-утилита для идентификации хэшей. Лучшая альтернатива дефолтного hash-identifier из Kali Linux. Поддерживает более 519 алгоритмов и выдает готовые команды для John The Ripper и hashcat.
CLI-утилита для идентификации хэшей. Лучшая альтернатива дефолтного hash-identifier из Kali Linux. Поддерживает более 519 алгоритмов и выдает готовые команды для John The Ripper и hashcat.
Forwarded from Cybred
https://github.com/jehna/humanify/
LLM-Based деобфускатор для Javascript. Под капотом использует Babel — для восстановления исходников на уровне AST, webcrack — для нормализации и ChatGPT/llama2 — чтобы вернуть переменным человекочитаемый вид.
Гайд по комплексному анализу Javascript файлов в 2023 году я публиковал тут.
LLM-Based деобфускатор для Javascript. Под капотом использует Babel — для восстановления исходников на уровне AST, webcrack — для нормализации и ChatGPT/llama2 — чтобы вернуть переменным человекочитаемый вид.
Гайд по комплексному анализу Javascript файлов в 2023 году я публиковал тут.
GitHub
GitHub - jehna/humanify: Deobfuscate Javascript code using ChatGPT
Deobfuscate Javascript code using ChatGPT. Contribute to jehna/humanify development by creating an account on GitHub.
Forwarded from Управление Уязвимостями и прочее
Самая важная часть Vulnerability Management-а не имеет прямого отношения к уязвимостям. Подумал, что если суммировать весь опыт практического внедрения VM-а и выделить самое важное, то это будет оно.
В первую очередь у безопасника VM-щика должна голова болеть не об автоматически продетектированных на каком-то скоупе уязвимостях, а о том, что где-то есть какие-то IT-активы, о которых он вообще ни сном, ни духом.
По закону подлости именно там будет основное адище и именно там будут резвиться злоумышленники. А когда произойдёт инцидент, VM-щику будет нечего сказать кроме "а я не знал, что у нас такие активы есть" и вид он будет иметь весьма бледный. 😱
К существующей в организации системе инвентаризации должно быть максимальные недоверие. У вас действительно нет неучтённых активов? А если найду? (с)
Вопросы навскидку к системе инвентаризации:
🔹 А филиалы все? А дочерние/купленные компании все?
🔹 А десктопы все? И ноутбуки все? И у удалёнщиков, которые по VPN-у не подключаются? И на всех ОС?
🔹 А сервера все? И которые не в домене? И которые в закрытых сетках? И которые в облаке? И которые на других внешних хостингах когда-то подрядчиками развенуты? А ERP-система? А Kubernetes?
🔹 А сетевые устройства все?
А вот телефония? А вот камеры? А вот СКУДы? А вот экраны в переговорках? А вот система бронирования переговорок?
Можно до бесконечности продолжать.
Поддерживать такую систему инвентаризации в актуальном состоянии это прям работа-работа. И это имеет мало общего с тем, что обычно VM-вендоры говорят: ну вот вы сеточки просканите, получите активы и запустите VM-сканы с аутентификацией. Нет, ребята. Может посканить сеточку (ещё нужно понимать какую и получить права), поснифать трафик (опять же где именно), сделать выгрузку из AD (опять же из какого именно) и т.д. это и неплохо, но это скорее нужно для того, чтобы найти ошибки в основной системе инвентаризации активов, а не её замена.
Когда есть информация, что активы в принципе есть, можно копать вглубь:
🔸 А кто ответственный за актив? Кто должен обновлять этот актив? С какой периодичностью это делается? Что будет, если обновление по факту не производится.
🔸 А что это за актив? Какая у него критичность?
🔸 А можем ли мы сканировать этот актив на уязвимости? А если не можем, то как мы будем с этим активом дальше жить?
🔸 Откажемся от использования актива, купим сканер, напишем свой сканер, будем руками проверять?
🔸 Если это сервер/десктоп можно уже инвентаризацией софтов заниматься и тоже прикидывать есть ли у нас средства для детектирования уязвимостей для этих софтов и как жить, если нет. Откажемся от использования софта, купим сканер, напишем свой сканер, будем руками проверять?
Посыл такой:
➕ С более-менее адекватной инвентаризацией активов и возможностью транслировать политики в сторону IT нам (крамола!) возможно и детектировать уязвимости не так и важно. Видим хосты и то, что они полностью обновляются раз в месяц - отлично. Скорее всего там всё +- нормально. Если видим хост с EOL операционкой, то тоже сканировать на уязвимостей излишне - нужно мигрировать. Если видим хост, который не обновлялся год, то тоже сканировать смысла нет - критичных уязвимостей за год гарантированно набежит, нужно разбираться почему процесс регулярного обновления не сработал.
➖ А вот когда у нас нормальной инвентаризации активов нет, то VM-процесс будет напоминать мальчика, который увлеченно ковыряет в грязной луже палочкой. Ну, чего-то там сканим, как-то эти сканы разбираем, какие-то таски на обновление заводим, как-то эти таски закрывают. Можно график нарисовать. Насколько этой активности достаточно и насколько она вообще реальный уровень защищенности повышает - да пёс его знает. Соблазнительно сказать: а вот мы пока на ограниченном скоупе запустимся, а потом - ух! Как расширимся на всё! Очень маловероятно, что это расширение действительно произойдет, т.к. в итоге мало кто в этом расширении скоупа оказывается заинтересован. Так что гораздо лучше изначательно правильно акценты расставлять.
@avleonovrus #AssetManagement
В первую очередь у безопасника VM-щика должна голова болеть не об автоматически продетектированных на каком-то скоупе уязвимостях, а о том, что где-то есть какие-то IT-активы, о которых он вообще ни сном, ни духом.
По закону подлости именно там будет основное адище и именно там будут резвиться злоумышленники. А когда произойдёт инцидент, VM-щику будет нечего сказать кроме "а я не знал, что у нас такие активы есть" и вид он будет иметь весьма бледный. 😱
К существующей в организации системе инвентаризации должно быть максимальные недоверие. У вас действительно нет неучтённых активов? А если найду? (с)
Вопросы навскидку к системе инвентаризации:
🔹 А филиалы все? А дочерние/купленные компании все?
🔹 А десктопы все? И ноутбуки все? И у удалёнщиков, которые по VPN-у не подключаются? И на всех ОС?
🔹 А сервера все? И которые не в домене? И которые в закрытых сетках? И которые в облаке? И которые на других внешних хостингах когда-то подрядчиками развенуты? А ERP-система? А Kubernetes?
🔹 А сетевые устройства все?
А вот телефония? А вот камеры? А вот СКУДы? А вот экраны в переговорках? А вот система бронирования переговорок?
Можно до бесконечности продолжать.
Поддерживать такую систему инвентаризации в актуальном состоянии это прям работа-работа. И это имеет мало общего с тем, что обычно VM-вендоры говорят: ну вот вы сеточки просканите, получите активы и запустите VM-сканы с аутентификацией. Нет, ребята. Может посканить сеточку (ещё нужно понимать какую и получить права), поснифать трафик (опять же где именно), сделать выгрузку из AD (опять же из какого именно) и т.д. это и неплохо, но это скорее нужно для того, чтобы найти ошибки в основной системе инвентаризации активов, а не её замена.
Когда есть информация, что активы в принципе есть, можно копать вглубь:
🔸 А кто ответственный за актив? Кто должен обновлять этот актив? С какой периодичностью это делается? Что будет, если обновление по факту не производится.
🔸 А что это за актив? Какая у него критичность?
🔸 А можем ли мы сканировать этот актив на уязвимости? А если не можем, то как мы будем с этим активом дальше жить?
🔸 Откажемся от использования актива, купим сканер, напишем свой сканер, будем руками проверять?
🔸 Если это сервер/десктоп можно уже инвентаризацией софтов заниматься и тоже прикидывать есть ли у нас средства для детектирования уязвимостей для этих софтов и как жить, если нет. Откажемся от использования софта, купим сканер, напишем свой сканер, будем руками проверять?
Посыл такой:
➕ С более-менее адекватной инвентаризацией активов и возможностью транслировать политики в сторону IT нам (крамола!) возможно и детектировать уязвимости не так и важно. Видим хосты и то, что они полностью обновляются раз в месяц - отлично. Скорее всего там всё +- нормально. Если видим хост с EOL операционкой, то тоже сканировать на уязвимостей излишне - нужно мигрировать. Если видим хост, который не обновлялся год, то тоже сканировать смысла нет - критичных уязвимостей за год гарантированно набежит, нужно разбираться почему процесс регулярного обновления не сработал.
➖ А вот когда у нас нормальной инвентаризации активов нет, то VM-процесс будет напоминать мальчика, который увлеченно ковыряет в грязной луже палочкой. Ну, чего-то там сканим, как-то эти сканы разбираем, какие-то таски на обновление заводим, как-то эти таски закрывают. Можно график нарисовать. Насколько этой активности достаточно и насколько она вообще реальный уровень защищенности повышает - да пёс его знает. Соблазнительно сказать: а вот мы пока на ограниченном скоупе запустимся, а потом - ух! Как расширимся на всё! Очень маловероятно, что это расширение действительно произойдет, т.к. в итоге мало кто в этом расширении скоупа оказывается заинтересован. Так что гораздо лучше изначательно правильно акценты расставлять.
@avleonovrus #AssetManagement
👍1
Forwarded from white2hack 📚