https://github.com/NuID/nebulousAD

NebulousAD is a tool for auditing Active Directory user passwords against a database of compromised passwords found in data breaches.

#security

#security сертификация

#backoffice_security #Эксперт_администратор_Winodws #Security
Что нужно будет делать:
• администрирование и развитие backoffice инфраструктуры компании
• автоматизация рутинной деятельности и повышение своего КПД написанием скриптов, политик, применением подготовленных образом систем и т.п.
• security-харденинг (мы подскажем что и как)
• интеграция IT-систем и систем безопасности
• внедрение безопасных технологий
• разделение сетей, разграничение полномочий

Основные навыки:
Опыт и знания характерные для админа Windows обязательны. (AD, GPO, etc, CA, ADFS, WSUS, ..., etc...)

Будут плюсом следующие навыки:
• Умение разобраться в том, как технология работает, заглянуть за ширму GUI-интерфейса;
• Продвинутая настройка Linux в том числе на уровне devops (применение salt, ansible, etc)
• Опыт настройки и обновления VMware vSphere в кластере
• Понимание проблем безопасности сетей, построенных на базе MS AD (сколь угодно глубоко)
• Понимание как безопасно администрировать сеть и пользовательские компьютеры
• Хороший бекгрануд по настройке сетей
• Хороший бекграунд по автоматизации
• Опыт исправления инфраструктуры после проведения тестирования на проникновение

Уровень от мидл до синьор. Много работы по харденингу и безопасности в команде крутых специалистов. Модный офис в центре и прочее в комплекте. Важно чтобы человек умел понять как работает технология, копнуть глубже чем это дают на вендорских курсах. ПМ в @one_frz

тут один коллега притащил. почитать чтоли на досуге..

att&ck матрица для кубера, занятно https://www.microsoft.com/security/blog/2020/04/02/attack-matrix-kubernetes/

#kubernetes #security

Один коллега попросил рассказать о новой платформе в ctf-стиле. Дальше повествование от его лица.

Я хочу рассказать о проекте по обучению безопасности, к созданию которого сам приложил руку (даже две) - https://hacktory.ai/

Сейчас там доступно два курса, которые можно попробовать бесплатно.

Первый, "Безопасность WEB", научит искать уязвимости и устранять их в различных аспектах и компонентах Web.

Второй, "Java Secure Programming", тоже основан на опыте пентестеров и призван научить делать ваши Java-приложения безопасными и надёжными. Этот курс продолжает развиваться и дополняться.

Первым 20 пользователям, кто пройдёт любую лабораторную работу и скинет в личку md5 от самого последнего флага в формате Имя лабы - md5(last_flag), я отправлю в ответ код, который позволит активировать доступ на месяц.

Если флаг кем-то уже был сдан, то следующему придётся добывать новый, а код активации выдаётся только один на человека.

Также есть канал @hacktory, где выкладываются анонсы и обучающие материалы.

Ну и буду рад любому фидбеку в личных сообщениях - @rusdacent.

Всем приятного обучающего времяпрепровождения! :)


#ctf #security

небольшая подборка чатов по всяким там безопасностям

SOC/Incident Response:
* [RU] SOС Технологии - https://t.me/phd_soc
* [EN] Incident Response Community - https://t.me/IncidentResponse

Forensics:
* [EN] CyberForensicator

Malware Analysis:
* [EN] Malware Research - https://t.me/MalwareResearch

AppSec:
* [RU] RU.APPSEC - https://t.me/ru_appsec

ICS/SCADA:
* [RU] RUSCADASEC community - https://t.me/RuScadaSec

VM:
* [RU] Vulners Chat - https://t.me/VulnersChat
* [EN] Chat Information Security Automation - https://t.me/avleonovchat

Mitre ATT&CK:
* [RU] ATT&CK™ COMMUNITY RUSSIA - https://t.me/attack_community

#security

набор уязвимых сервисов для обучения

https://github.com/cliffe/SecGen/
https://www.hackthebox.eu/
https://www.vulnhub.com/
https://github.com/rapid7/metasploitable3
http://www.itsecgames.com/

#security

Тут подсказали что уже есть более обширные подборки пентест-лабораторий, вот список

https://captf.com/practice-ctf/
https://unaalmes.hispasec.com/login
https://365.csaw.io/
https://defcon2018.ctfd.io/
https://ctf.hackucf.org/challenges
http://ctf.infosecinstitute.com/index.php
https://junior.stillhackinganyway.nl/home#challenge-information
https://challenges.re
https://angstromctf.com
https://3206.innotecsystem.com/home
https://hack.me
http://www.cipher-ctf.org/CaptureTheFlag.php
https://www.cybergamesuk.com/code-crackers
https://atenea.ccn-cert.cni.es/home
https://www.hackthebox.eu/
http://ctfs.me/
https://ctf365.com/
https://overthewire.org/wargames
https://www.hacking-lab.com/
https://www.picoctf.com
https://ctftime.org/
https://www.pentestit.ru/
https://shellterlabs.com/en/
https://ringzer0team.com/
https://challenges.ka0labs.org
https://www.sans.org/netwars/continuous/
https://www.sans.org/netwars/cybercity
https://www.vulnhub.com/
https://exploit-exercises.com
https://w3challs.com/
http://smashthestack.org/wargames.html
https://www.hackthissite.org/
https://www.pentesterlab.com/exercises/
https://www.root-me.org/
https://www.enigmagroup.org/
https://www.hackthis.co.uk/levels/
http://www.kioptrix.com/blog/test-page/
http://bright-shadows.net/
https://microcorruption.com/login
http://www.dvwa.co.uk/
https://www.owasp.org/index.php/
https://sourceforge.net/projects/metasploitable/
https://bitcoinchallenge.codes
https://backdoor.sdslabs.co
http://io.netgarage.org
https://ctf.hitcon.org
http://hackthis.co.uk.
https://ctf.secadmin.es
https://uni.hctf.fun/pages/home
https://ctf-classic.ihacklabs.com/
http://ctf.hackmadrid.org/home
https://ctf.honeycon.eu
https://tryhackme.com/
https://github.com/cliffe/SecGen/
http://www.itsecgames.com/
https://hacktory.ai
https://www.amanhardikar.com/mindmaps/Practice.html

#security

Вооооот. А еще я наклепал лабу по linux hardening... По большей части это компиляция из известных ресурсов, моего там практически нет. В целом это выглядит как чистый хахреднинг, но на самом деле он лежит в разделе про ansible, потому что тут довольно неплохие задачи которые позволят прокачать свои умения в этом продукте. Так шо объединяем приятное с полезным - инфраструктура как код и сесурити, шобы злобный хацкер не майнил бетховенов на вашем железе!

https://github.com/bykvaadm/OS/tree/master/devops/ansible/lab4

#linux #hardening #security #ansible

защищаем апишный роут в nginx

действия не сложные, но приходится делать не часто, потому не помню всё наизусть и каждый раз гуглить приходится, а потому запишу сюды, чтобы было.

Дано: апи, и N подрядчиков которые будут туда ходить. на границе с интенрнетами стоит nginx.
Задача: максимально защитить доступ к апи для внешних сервисов. (подходит в том числе для pcidss)

1) каким либо способом генерим сертификаты. Хорошо описано вот здесь: https://habr.com/ru/post/213741/#comment_10231686
По сути нам нужно будет получить пару для УЦ, пару для nginx, и N пар для клиентов. там же написано как это подключить, чтобы требовало проверки, используя ssl_client_certificate и ssl_verify_client on;
2) для того чтобы ходить могли только конкретные сертификаты, нужно рассказать nginx какие из них доверенные. это сделать можно например проверяя сериал или хеш сертификата, в данном случае сериал. получаем его так:

cert=filename.crt
serial=$(openssl x509 -in ${cert} -text -noout | grep -A1 Serial | grep -v Serial | tr -d ' ') && \
echo classic serial: $serial && \
echo \$ssl_client_serial: $(echo $serial | tr -d ":" | tr '[:lower:]' '[:upper:]')

и интегрируем

    map $ssl_client_serial $reject {
        default 1;
        ..........C5CE16 0; #client1
        ..........635A2D60 0; # client2
    }
    server {
....
      location / { deny all; }
      location /secret {
        if ($reject) { return 403; }

тут мы запрещаем ходить везде кроме особого роута, чтобы клиент не мог случайно попасть на случайно открытые роуты которые ему не предназначены (когда разраб накосяпорил и выставил какой-то роут с дебагом или метриками)
3) получаем список ip подрядчика и пишем в роуте стандартные allow-deny

        allow 1.2.3.4 # client1
...
        deny all;

4) в качестве дополнительной проверки передаём апстриму инфу о том что за клиент пришёл

proxy_set_header X-Subject-Name $ssl_client_s_dn;

Таким образом, только конкретный ip только имея конкретный сертификат может сходить только на конкретный роут и о том какой пришёл клиент узнаёт бекэнд.

#nginx #security