Привет, а мы сегодня на Offzone.

Доклады неплохие, и конкурсы интересные. Не хватает только бесплатной еды (бесплатная вода есть)

Так уж получилось, что мы попали под недавнюю багу в обновлении windows. Мы, настроенные порешать таски на второй день, решили взять ноут, но вот обновлять винду было ошибкой. Grub перестал загружаться, и выяснялось это как раз в тот момент, когда сели решать таски. 😥

Ну а в общем по офзону всё как всегда - куча активностей, докладов и мерча. И не менее важная фишка - постоянные очереди на стендах. Но проводить время всё равно приятно и интересно.

🎉 Друзья, а тем временем нас уже более 500! 🎉

Большое спасибо каждому из вас за то, что вы с нами! 💖 Ваша поддержка и активность вдохновляют нас делать контент еще лучше!

Оставайтесь с нами, впереди много интересного! 🙌

#REDtalk

💥 Привет, недавно я делал пост про странную логику Bloodhound-CE при работе с Owned и High Value пользователях.
Проблема была в кривом отображении UI и сбросе данных после перезагрузки при ручной пометке через Neo4j.

Я пошел смотреть исходники и обнаружил преинтереснейшую вещь — В отличии от предыдущего бладхаунда, тут, помимо приложухи и Neo4j в стек добавилась Postgres. Если раньше аутентификация проводилось только через bolt в Neo4j, то тут добавляется еще и аутентификация в саму GUI. Вот эта инфа, и другие настройки, типа Custom Queries хранятся в постгресе.

И (уже не первый раз) я удивился, когда увидел, что там в отдельной таблице хранятся данные об Owned и High-Value нодах.

bloodhound=# select * from asset_group_selectors;
---+------------------+------------------+---+----+-------------------------------+------------------------------
 1 | S-1-<SNIP>-17251 | S-1-<SNIP>-17251 | f |  1 | 2024-09-02 09:34:55.977957+00 | 2024-09-02 09:34:55.977957+00
 1 | S-1-<SNIP>-7261  | S-1-<SNIP>-7261  | f |  3 | 2024-09-02 10:51:05.968531+00 | 2024-09-02 10:51:05.968531+00
 1 | S-1-<SNIP>-13965 | S-1-<SNIP>-13965 | f |  4 | 2024-09-02 10:51:10.386376+00 | 2024-09-02 10:51:10.386376+00
 1 | S-1-<SNIP>-21856 | S-1-<SNIP>-21856 | f |  5 | 2024-09-02 11:29:49.443476+00 | 2024-09-02 11:29:49.443476+00
(4 rows)
bloodhound=# select * from asset_groups;
      name       |     tag      | system_group | id |          created_at           |          updated_at           
-----------------+--------------+--------------+----+-------------------------------+-------------------------------
 Owned           | owned        | t            |  1 |                               | 
 Admin Tier Zero | admin_tier_0 | t            |  2 | 2024-08-28 12:34:58.093203+00 | 2024-08-28 12:34:58.093203+00
(2 rows)

Из запроса можно увидеть 2 таблицы, одна из которых (нижняя) содержит теги и ID этих тегов, вторая (верхняя) совмещает SID объектов AD с этими ID. То-есть у меня в бладхаенде есть 4 пользака, помеченные как Owned.

И после перезагрузки все свойства system-tags, что было отмечено в Neo4J обнуляются и устанавливаются вот эти четыре.
Нет слов, одни эмоции, не знаю, зачем разработчики сделали такую логику. Наверное стоит завести Issue на гитхабе

#redteam

SOC на аутсорсе 💰 или in-house SOC 🧃
Что бы выбрали вы?
Мы как то рассказывали, что это такое и в чем отличия, поговорим теперь о работе в данных организациях с точки зрения сотрудника, понятно, то что есть в одной компании, будет отсутствовать в другой, но так как я поработал и там и там расскажу о тех моментах, с которыми мне пришлось столкнуться.

Начнем с SOC-а на аутсорсе.

Плюсы➕:

1. Четкое разграничение ответственности
Моя первая работа в качестве SOC аналитика началась именно там, поначалу безумно нравилось тем, что при заключении договора, есть четкая документация, в рамках которой ты работаешь, в целом все понятно и прозрачно, кому что писать, у кого что спрашивать;

2. Работодатель более охотно оплачивает курсы, платные митапы
Компания заинтересована в вашем развитии, т.к. вы тот актив, который приносит деньги, и от качества предоставляемой услуги, зависит удовлетворенность заказчика и следовательно продление\подписание новых контрактов;

3. Большая команда
Как правило именно тут команда SOC будет больше, т.к. такой SOC создается под несколько компаний, а следовательно больше людей - больше компетенций.

Минусы➖:

1. Не вовлеченность заказчика
Как и многие мои коллеги, я столкнулся с проблемой, что услуга SOC приобреталась с целью отчета перед регулятором о том, что инфраструктуру мониторят, а если это так, то у вас целый букет проблем
Запросы о предоставлении дополнительной информации, необходимой для расследования инцидента, могут висеть неделями, рекомендации об устранении инцидента могут игнорироваться, а сбор дополнительных событий будет расцениваться как попытка саботажа и отвергнута по причине излишней нагрузки на сеть;

2. Ощущение работы в пустую
Вытекает из предыдущего минуса, и начинаешь ощущать это тогда, когда хочешь сделать что то хорошо, тратишь на решение какой то проблемы время, но от твоих идей отказываются за ненадобностью;

3. Достаточно высокая нагрузка
Как правило на мониторинге находятся несколько компаний и периодически случается так, что иногда не хватает времени на то, что бы нормально поесть.

Итог:
На мой взгляд, это отличное место для старта карьеры, как правило, в таких SOC-ах, большая часть процессов выстроена и следовательно не нужно изобретать велосипед. Сотрудников больше чем в in-house, следовательно всегда есть человек, который может что-то подсказать. Но я там не смог долго проработать по ряду причин, одна из которых это ощущение работы в пустую.

Был ли у вас опыт работы в SOC-е на аутсорсе, и с какими нюансами работы сталкивались вы?

В следующей статье, расскажу про нюансы работы в in-house SOC-е
#SOC #blueteam #REDtalk