Forwarded from CyberSecurityTechnologies (-CST-)
#tools
#Threat_Research
CVE2CAPEC - Get CVE, CWE, CAPEC, MITRE ATT&CK Techniques data automatically
https://github.com/Galeax/CVE2CAPEC
#Threat_Research
CVE2CAPEC - Get CVE, CWE, CAPEC, MITRE ATT&CK Techniques data automatically
https://github.com/Galeax/CVE2CAPEC
👍2
Forwarded from DevSecOps Talks
Gitlabcis: анализ GitLab на соответствие CIS
Всем привет!
Недавно GitLab представили собственную разработку – Gitlabcis.
Как нетрудно понять из названия он используется для того, чтобы проверять корректность конфигураций GitLab на соответствие одноименному CIS Benchmark.
Просто устанавливается, легко конфигурируется и быстро работает!
Из возможностей хотелось бы отметить:
🍭 Выдача результатов содержит Reason, в которой указано, почему настройка (не) соответствует требованиям
🍭 Есть возможность получения рекомендаций о том, как и что можно поправить (вплоть до «откройте XXX, выберите YYY и нажмите ZZZ)
Но не обошлось и без ограничений – реализовать автоматизированные проверки всего и вся не всегда просто/возможно. Все, что сейчас не реализовано, Авторы описали вот тут.
Больше подробностей, как обычно, в repo проекта и в официальной документации. А если вам хочется узнать roadmap развития утилиты, то он есть в статье из поста 😊
Всем привет!
Недавно GitLab представили собственную разработку – Gitlabcis.
Как нетрудно понять из названия он используется для того, чтобы проверять корректность конфигураций GitLab на соответствие одноименному CIS Benchmark.
Просто устанавливается, легко конфигурируется и быстро работает!
Из возможностей хотелось бы отметить:
🍭 Выдача результатов содержит Reason, в которой указано, почему настройка (не) соответствует требованиям
🍭 Есть возможность получения рекомендаций о том, как и что можно поправить (вплоть до «откройте XXX, выберите YYY и нажмите ZZZ)
Но не обошлось и без ограничений – реализовать автоматизированные проверки всего и вся не всегда просто/возможно. Все, что сейчас не реализовано, Авторы описали вот тут.
Больше подробностей, как обычно, в repo проекта и в официальной документации. А если вам хочется узнать roadmap развития утилиты, то он есть в статье из поста 😊
about.gitlab.com
New CIS GitLab Benchmark scanner boosts security and compliance
GitLab's gitlabcis scanner determines level of compliance for GitLab projects. Learn how to install and use the tool with this tutorial, as well as what's on the roadmap.
Forwarded from Love. Death. Transformers.
OpenDiLoCo: An Open-Source Framework for Globally Distributed Low-Communication Training
Обучение multidatacenter сеток все еще большая и сложная штука, для начала стоит понимать что
- скорость интернета не однородна
- на больших расстояниях могут копится ошибки
- пропускная способность сети может быть недостаточной
собственно большой папир и репа про то как учить в ОЧЕНЬ распределенном сетапе
блогпост от авторов имплементации
Обучение multidatacenter сеток все еще большая и сложная штука, для начала стоит понимать что
- скорость интернета не однородна
- на больших расстояниях могут копится ошибки
- пропускная способность сети может быть недостаточной
собственно большой папир и репа про то как учить в ОЧЕНЬ распределенном сетапе
блогпост от авторов имплементации
Forwarded from ML&|Sec Feed (Борис_ь с ml)
Recent advancements in LLM Red-Teaming: Techniques, Defenses, and Ethical Considerations
https://arxiv.org/html/2410.09097v1
https://arxiv.org/html/2410.09097v1
Forwarded from AppSec Journey
Недавно распиналась в рассказе о том, что без харденинга инфры безопасность кода имеет крайне опосредованную ценность👊
Решила найти пару примеров про харденинг. Тут же и поймем, что это за зверь такой?:)
Примеры, что надо захарденить в виде чеклиста - https://dev-sec.io
Оно же, на гитхабе - https://github.com/dev-sec
DevSecOps vs Continious Hardening - https://www.acrosec.jp/narrow-devsecops-vs-open-devsecops-which-camp-are-you-in/?lang=en (кстати, оч прикольно)
Ну и конечно, чеклисты по харденингу всего, что только пожелаете - https://devsecopsguides.com/docs/checklists/kubernetes/ (тут просто переключитесь на что-то помимо дженкинса😉)
Решила найти пару примеров про харденинг. Тут же и поймем, что это за зверь такой?:)
Примеры, что надо захарденить в виде чеклиста - https://dev-sec.io
Оно же, на гитхабе - https://github.com/dev-sec
DevSecOps vs Continious Hardening - https://www.acrosec.jp/narrow-devsecops-vs-open-devsecops-which-camp-are-you-in/?lang=en (кстати, оч прикольно)
Ну и конечно, чеклисты по харденингу всего, что только пожелаете - https://devsecopsguides.com/docs/checklists/kubernetes/ (тут просто переключитесь на что-то помимо дженкинса😉)
Please open Telegram to view this post
VIEW IN TELEGRAM
GitHub
DevSec Hardening Framework
Security + DevOps: Automatic Server Hardening. DevSec Hardening Framework has 51 repositories available. Follow their code on GitHub.
Forwarded from linkmeup
Ничего особо интересного, просто Debian, запущенный внутри WebAssembly прямо в браузере, доступный хоть с телефона.
До чего всё же техника дошла.
https://webvm.io/
До чего всё же техника дошла.
https://webvm.io/
WebVM
WebVM - Linux virtualization in WebAssembly
Linux virtual machine, running in the browser via HTML5/WebAssembly. Networking and graphics supported.
👍1
Forwarded from PWN AI (Artyom Semenov)
Фаззинг директорий - вещь которая не только является "базой" для веб-пентестеров, но ещё и также полезным методом в поисках информации в интернете.... да-да
Думаю большинство, кто в теме - слышали о популярных инструментах типо gobuster или ffuf ... Они работали по классическому принципу, когда необходим был словарь для фаззинга. Это создавало некоторые ограничения, т.к данные из словаря не могли мутировать в зависимости от контекста. Чтобы решить эту проблему - с двух ног в дверь врывается решение, совмещающее ffuf и ... llm.
brainstorm ... Работает это следующим образом - вы делаете обычный фаззинг через ffuf, используя словарик, затем в модельку, которая должна быть запущена через Ollama - подаются результаты, которые были получены в ходе фаззинга и LLM создаёт новый словарик на основании результатов - который по идее должен обеспечить более лучшее покрытие. По дефолту такой цикл запускается 50 раз, однако вам ничего не мешает сделать и 100 циклов и больше т.к вы используете локальную модель.
К примеру, мне нужно поискать .pdf на сайте. Это будет выглядеть вот так:
Тут есть 2 фаззера, один для поиска файлов, другой - Main Fuzzer, ориентирован на поиск директорий.
подробнее на сайте Invicti (Нужно запустить специальную ракету, которая позволит пролететь сквозь ограничение. 3 буквы которые нельзя называть).
Думаю большинство, кто в теме - слышали о популярных инструментах типо gobuster или ffuf ... Они работали по классическому принципу, когда необходим был словарь для фаззинга. Это создавало некоторые ограничения, т.к данные из словаря не могли мутировать в зависимости от контекста. Чтобы решить эту проблему - с двух ног в дверь врывается решение, совмещающее ffuf и ... llm.
brainstorm ... Работает это следующим образом - вы делаете обычный фаззинг через ffuf, используя словарик, затем в модельку, которая должна быть запущена через Ollama - подаются результаты, которые были получены в ходе фаззинга и LLM создаёт новый словарик на основании результатов - который по идее должен обеспечить более лучшее покрытие. По дефолту такой цикл запускается 50 раз, однако вам ничего не мешает сделать и 100 циклов и больше т.к вы используете локальную модель.
К примеру, мне нужно поискать .pdf на сайте. Это будет выглядеть вот так:
python fuzzer_shortname.py "ffuf -w ./fuzz.txt -u http://target.com/FUZZ" "document.pdf" --cycles 25
Тут есть 2 фаззера, один для поиска файлов, другой - Main Fuzzer, ориентирован на поиск директорий.
подробнее на сайте Invicti (Нужно запустить специальную ракету, которая позволит пролететь сквозь ограничение. 3 буквы которые нельзя называть).
Forwarded from CyberSecurityTechnologies (-CST-)
eBPF_Sec_Model.pdf
1.5 MB
#Whitepaper
#Threat_Research
"eBPF Security Threat Model", 2024.
]-> eBPF Verifier Code Review (.pdf)
]-> https://github.com/ebpffoundation/publications
#Threat_Research
"eBPF Security Threat Model", 2024.
]-> eBPF Verifier Code Review (.pdf)
]-> https://github.com/ebpffoundation/publications
Forwarded from Alaid TechThread
8_Исправлять_—_не_искать_Роман_Лебедь_вер_2.pdf
4.3 MB
Safeliner - AI решение для исправления уязвимостей в коде