Всем привет!
Если вы на пути (или задумываете) о сдаче экзамена Certified Kubernetes Security Specialist (CKS), то этот вебинар может быть вам полезен.
Ребята из Sysdig рассмотрят:
🍭 Обзор вопросов и их типов, которые будут на экзамене
🍭 Знания каких инструментов из перечня CNCF потребуются/помогут
🍭 Как «управлять временем» при сдаче экзамена – на что обращать внимание в первую очередь
🍭 Обзор примеров из жизни
Вебинар назначен на 20 мая, на 19:00!
Если вы на пути (или задумываете) о сдаче экзамена Certified Kubernetes Security Specialist (CKS), то этот вебинар может быть вам полезен.
Ребята из Sysdig рассмотрят:
🍭 Обзор вопросов и их типов, которые будут на экзамене
🍭 Знания каких инструментов из перечня CNCF потребуются/помогут
🍭 Как «управлять временем» при сдаче экзамена – на что обращать внимание в первую очередь
🍭 Обзор примеров из жизни
Вебинар назначен на 20 мая, на 19:00!
Sysdig
Webinars – Sysdig
Explore Sysdig Webinars and learn how Sysdig is converging security and compliance with DevOps for cloud native production deployments.
Всем привет!
Завтра в 16:00 мы проведем вебинар по нашей любимой теме.
На вебинаре:
🍏 Расскажем про недостатки в дефолтных настройках kubernetes
🍏 Покажем атаку на контейнерный кластер в прямом эфире
🍏 Расскажем и покажем, как оценить угрозы кластера и защититься от них
🍏 Пришлем полезных материалов по теме ИБ в контейнерах
Если интересно — присоединяйтесь, будем рады видеть.
Регистрация
Завтра в 16:00 мы проведем вебинар по нашей любимой теме.
На вебинаре:
🍏 Расскажем про недостатки в дефолтных настройках kubernetes
🍏 Покажем атаку на контейнерный кластер в прямом эфире
🍏 Расскажем и покажем, как оценить угрозы кластера и защититься от них
🍏 Пришлем полезных материалов по теме ИБ в контейнерах
Если интересно — присоединяйтесь, будем рады видеть.
Регистрация
Всем привет!
Хотим мы того или нет, но compliance – неотъемлемая часть ИБ. Например, PCI DSS. И, рано или поздно (для тех, кто имеет отношение к индустрии платежных карт) встанет вопрос – а что делать с требованиями в контейнерных средах?
В статье дается несколько рекомендаций относительно того, как именно можно использовать штатные и не очень возможности для повышения уровня ИБ и выполнении требований стандарта.
Например:
🍭 Firewall configuration. Использование CNI, поддерживающего реализацию Network Policy (подробнее об этом можно почитать тут и тут)
🍭 Encryption of transmission over public networks. Использование Cert-manager для управления X.509 сертификатами
🍭 Use of antivirus software (proactive security). Комбинированный подход с использованием Security Context, Falco и OPA для ограничения потенциальных возможностей контейнера и/или идентификации некорректных действий
🍭 Regularly test security systems and processes. Использование подписи образов на базе Notary совместно сда-да опять оно OPA для контроля запуска только дозволенных в качестве реализации “change detection”
Больше советов и деталей можно найти в статье. Главное помнить, что это не детальный «how to», а скорее размышления на тему, да и реализация compliance-требований в мире ИБ во многом наука творческая ☺️
Хотим мы того или нет, но compliance – неотъемлемая часть ИБ. Например, PCI DSS. И, рано или поздно (для тех, кто имеет отношение к индустрии платежных карт) встанет вопрос – а что делать с требованиями в контейнерных средах?
В статье дается несколько рекомендаций относительно того, как именно можно использовать штатные и не очень возможности для повышения уровня ИБ и выполнении требований стандарта.
Например:
🍭 Firewall configuration. Использование CNI, поддерживающего реализацию Network Policy (подробнее об этом можно почитать тут и тут)
🍭 Encryption of transmission over public networks. Использование Cert-manager для управления X.509 сертификатами
🍭 Use of antivirus software (proactive security). Комбинированный подход с использованием Security Context, Falco и OPA для ограничения потенциальных возможностей контейнера и/или идентификации некорректных действий
🍭 Regularly test security systems and processes. Использование подписи образов на базе Notary совместно с
Больше советов и деталей можно найти в статье. Главное помнить, что это не детальный «how to», а скорее размышления на тему, да и реализация compliance-требований в мире ИБ во многом наука творческая ☺️
elastisys
PCI DSS compliance in Kubernetes-based platforms - elastisys
Kubernetes alone does not help achieve PCI DSS compliance. We cover the 12 requirements of how fintech businesses can make it more compliant.
Привет!
По ссылке доступна еще одна awesome-подборка, на этот раз посвященная плагинам для kubectl!
Плагины структурированы по логическим направлениям: RBAC, Linting, Debugging, Networking, Security, Exec и т.д.
Примеры того, что можно найти:
🍭 kubectl-who-can // RBAC – утилита, позволяющая понять полномочия по отношению к сущности Kubernetes
🍭 kubectl-neat // Linting – утилита, упрощающая восприятие JSON/YAML вывода, путем «устранения лишней» информации
🍭 kubectl-debug // Debug – запускает контейнер внутри целевого pod для выполнения debugging
🍭 ksniff // Networking – sniffing трафика с использованием wireshark и tcpdump
🍭 kubectl-kubesec // Security – анализ запущенных требований на соответствие требованиям ИБ
🍭 kubectl-enter // Exec – exec на node с использованием kubectl
И многое другое! Надеемся, что каждый найдет что-то интересное/подходящее для себя ☺️
По ссылке доступна еще одна awesome-подборка, на этот раз посвященная плагинам для kubectl!
Плагины структурированы по логическим направлениям: RBAC, Linting, Debugging, Networking, Security, Exec и т.д.
Примеры того, что можно найти:
🍭 kubectl-who-can // RBAC – утилита, позволяющая понять полномочия по отношению к сущности Kubernetes
🍭 kubectl-neat // Linting – утилита, упрощающая восприятие JSON/YAML вывода, путем «устранения лишней» информации
🍭 kubectl-debug // Debug – запускает контейнер внутри целевого pod для выполнения debugging
🍭 ksniff // Networking – sniffing трафика с использованием wireshark и tcpdump
🍭 kubectl-kubesec // Security – анализ запущенных требований на соответствие требованиям ИБ
🍭 kubectl-enter // Exec – exec на node с использованием kubectl
И многое другое! Надеемся, что каждый найдет что-то интересное/подходящее для себя ☺️
GitHub
GitHub - ishantanu/awesome-kubectl-plugins: Curated list of kubectl plugins
Curated list of kubectl plugins. Contribute to ishantanu/awesome-kubectl-plugins development by creating an account on GitHub.
Всем привет!
По ссылке доступно небольшое, но интересное руководство, которое позволит познакомиться с Falco - инструментом обеспечения runtime защиты для контейнеров.
Рассматриваются такие вопросы, как:
🍭 Установка Falco при помощи Helm
🍭 Идентификация «Terminal Shell in Container»
🍭 Идентификация «Contact Kubernetes API Server From Container»
🍭 Идентификация «Checking if shell is a container environment»
Для каждой вредоносной активности приводится пример ее реализации, а также правило Falco, которое позволяет ее идентифицировать.
По ссылке доступно небольшое, но интересное руководство, которое позволит познакомиться с Falco - инструментом обеспечения runtime защиты для контейнеров.
Рассматриваются такие вопросы, как:
🍭 Установка Falco при помощи Helm
🍭 Идентификация «Terminal Shell in Container»
🍭 Идентификация «Contact Kubernetes API Server From Container»
🍭 Идентификация «Checking if shell is a container environment»
Для каждой вредоносной активности приводится пример ее реализации, а также правило Falco, которое позволяет ее идентифицировать.
Falco
An Introduction to Kubernetes Security using Falco
A quick introduction to Kubernetes security monitoring using Falco
Всем привет!
Еще один занятный пример того, как можно объединять Dev, Sec и Ops миры! Что будет, если взять CIS Benchmarks, Inspec (Sec-часть), Ansible (Ops-часть) и Allure (Dev-часть)?
Получится отличный инструмент визуализации текущего состояния hardening элементов ИТ-инфраструктуры по требованиям ИБ
По ссылке доступен проект, автор которого:
🍭 Взял наработки с https://dev-sec.io/
🍭 Добавил образ, который реализует Inspec проверки
🍭 Перенаправил результаты в Allure
Получился наглядный инструмент представления информации о реализованных настройках, позволяющий реализовывать, в том числе, trend-analysis.
А если захочется автоматизировать устранение идентифицированных недостатков при помощи Inspec – всегда можно обратиться к Ansible, материалы которого представлены на все том же https://dev-sec.io ☺️
Еще один занятный пример того, как можно объединять Dev, Sec и Ops миры! Что будет, если взять CIS Benchmarks, Inspec (Sec-часть), Ansible (Ops-часть) и Allure (Dev-часть)?
Получится отличный инструмент визуализации текущего состояния hardening элементов ИТ-инфраструктуры по требованиям ИБ
По ссылке доступен проект, автор которого:
🍭 Взял наработки с https://dev-sec.io/
🍭 Добавил образ, который реализует Inspec проверки
🍭 Перенаправил результаты в Allure
Получился наглядный инструмент представления информации о реализованных настройках, позволяющий реализовывать, в том числе, trend-analysis.
А если захочется автоматизировать устранение идентифицированных недостатков при помощи Inspec – всегда можно обратиться к Ansible, материалы которого представлены на все том же https://dev-sec.io ☺️
GitHub
GitHub - presidenten/cis-benchmark-allure-reporter: Convert dev-sec.io CIS benchmarks to Allure reports
Convert dev-sec.io CIS benchmarks to Allure reports - GitHub - presidenten/cis-benchmark-allure-reporter: Convert dev-sec.io CIS benchmarks to Allure reports
Привет!
CNCF подготовил отличный материал по обеспечению ИБ в supply chain - Software Supply Chain Best Practices!
В прилагаемой статье рассмотрены 5 областей, на которые стоит обратить внимание:
🍭 Securing the Source Code //Доступы к SCM, создание ролевых моделей, branching, тестирование исходного кода
🍭 Securing the Materials //Использование SCA, формирование SBOM, отслеживание и управление зависимостями, управление trusted package managers и repositories
🍭 Securing the Build Pipelines //Безопасность build workers, максимальная стандартизация pipeline между проектами, реализация принципа pipeline as code
🍭 Securing the Artefacts //Подпись артефактов, защита используемых registry, использование криптографии (если/где необходимо)
🍭 Securing Deployments //Контроль целостности используемых артефактов, контроль актуальности артефактов
Материал получился обширный (45 страниц) и интересный. В статье есть как и общие рекомендации («Важно выстроить процесс управления доступом с соблюдением принципа least privilege»), так и вполне конкретные («Реализуйте commit sign»). Крайне рекомендуем к прочтению!
CNCF подготовил отличный материал по обеспечению ИБ в supply chain - Software Supply Chain Best Practices!
В прилагаемой статье рассмотрены 5 областей, на которые стоит обратить внимание:
🍭 Securing the Source Code //Доступы к SCM, создание ролевых моделей, branching, тестирование исходного кода
🍭 Securing the Materials //Использование SCA, формирование SBOM, отслеживание и управление зависимостями, управление trusted package managers и repositories
🍭 Securing the Build Pipelines //Безопасность build workers, максимальная стандартизация pipeline между проектами, реализация принципа pipeline as code
🍭 Securing the Artefacts //Подпись артефактов, защита используемых registry, использование криптографии (если/где необходимо)
🍭 Securing Deployments //Контроль целостности используемых артефактов, контроль актуальности артефактов
Материал получился обширный (45 страниц) и интересный. В статье есть как и общие рекомендации («Важно выстроить процесс управления доступом с соблюдением принципа least privilege»), так и вполне конкретные («Реализуйте commit sign»). Крайне рекомендуем к прочтению!
GitHub
tag-security/supply-chain-security/supply-chain-security-paper/CNCF_SSCP_v1.pdf at main · cncf/tag-security
🔐CNCF Security Technical Advisory Group -- secure access, policy control, privacy, auditing, explainability and more! - cncf/tag-security
Всем утра!
В конце апреля вышла новая версия container security комбайна Prisma Cloud Compute Edition.
Из крупного:
🍏 Palo Alto добавили интеграцию со своим движком Wildfire для онлайн-проверки вредоносов;
🍏 значительно расширили функционал встроенного WAF — теперь есть интеграция с reCAPTCHA, возможность защиты API и написание собственных правил;
🍏 добавили маппинг событий безопасности на атаки из матрицы MITRE ATT&CK и отображение их на новом дэшборде.
Помимо этого, добавили кастомизацию встроенных ролей, поддержку языка Go для скана репозиториев, заменили шрифты в интерфейсе и многое другое.
Подробности по ссылке.
В конце апреля вышла новая версия container security комбайна Prisma Cloud Compute Edition.
Из крупного:
🍏 Palo Alto добавили интеграцию со своим движком Wildfire для онлайн-проверки вредоносов;
🍏 значительно расширили функционал встроенного WAF — теперь есть интеграция с reCAPTCHA, возможность защиты API и написание собственных правил;
🍏 добавили маппинг событий безопасности на атаки из матрицы MITRE ATT&CK и отображение их на новом дэшборде.
Помимо этого, добавили кастомизацию встроенных ролей, поддержку языка Go для скана репозиториев, заменили шрифты в интерфейсе и многое другое.
Подробности по ссылке.
Всем привет!
Достаточно провокационный заголовок под названием47 ронинов «47 Things To Become a Kubernetes Expert» содержит в себе интересную статью, в которой кратко собрана информация об:
🍭 API
🍭 Implementing controllers
🍭 Components and their collaborations
🍭 Resources
🍭 Networking
🍭 Monitoring
🍭 Access control
Каждый «домен» содержит перечень вопросов и небольшие, но емкие, ответы на них, а иногда и ссылки "на почитать". А что бы вы добавили/убрали из этого списка?
Достаточно провокационный заголовок под названием
🍭 API
🍭 Implementing controllers
🍭 Components and their collaborations
🍭 Resources
🍭 Networking
🍭 Monitoring
🍭 Access control
Каждый «домен» содержит перечень вопросов и небольшие, но емкие, ответы на них, а иногда и ссылки "на почитать". А что бы вы добавили/убрали из этого списка?
Blog of @ymmt2005
47 Things To Become a Kubernetes Expert - Blog of @ymmt2005
I've been leading a project team for 3 years and have developed a large system around Kubernetes. In this article, I'd like to share my knowledge and findings o…
Всем привет!
Буквально на днях появился очередной Awesome! На этот раз посвященный тематике SCA. Скоро надо будет делать Awesome на Awesome’ы (хотя, такой, вероятно, уже есть).
Все достаточно стандартно:
🍭 Статьи и книги для «почитать»
🍭 Немного курсов по тематике (free/paid)
🍭 Информация об инструментах (open source/enterprise)
Надеемся, что repo будет развиваться (появился он совсем-совсем недавно) и материалов будет больше, т.к. тема supply chain attacks достаточно актуальна в последнее время
Буквально на днях появился очередной Awesome! На этот раз посвященный тематике SCA. Скоро надо будет делать Awesome на Awesome’ы (хотя, такой, вероятно, уже есть).
Все достаточно стандартно:
🍭 Статьи и книги для «почитать»
🍭 Немного курсов по тематике (free/paid)
🍭 Информация об инструментах (open source/enterprise)
Надеемся, что repo будет развиваться (появился он совсем-совсем недавно) и материалов будет больше, т.к. тема supply chain attacks достаточно актуальна в последнее время
GitHub
GitHub - hysnsec/awesome-sca: A curated list of Software Component Analysis (SCA) books, courses - free and paid, videos, tools…
A curated list of Software Component Analysis (SCA) books, courses - free and paid, videos, tools, and tutorials. - hysnsec/awesome-sca
Привет!
По ссылке можно найти полезную утилиту - Outdated, которая позволит идентифицировать устаревшие версии образов контейнеров.
Работает она достаточно просто:
🍭 «Пробегает» по namespaces и pods, которые в них размещены
🍭 Для каждого pod собирается информация об image (включая image init-container’ов)
🍭 После происходит «чистка» полученного перечня за счет устранения дубликатов образов
🍭 Утилита собирает данные об image tags в registry
🍭 Сообщает о расхождениях в версиях
Установка достаточно простая, требуется krew. Отдельно хочется отметить semver – подход к наименованию версий образов. Если Вы еще не решили, как это делать у себя, то semver может стать отличной отправной точкой! ☺️
По ссылке можно найти полезную утилиту - Outdated, которая позволит идентифицировать устаревшие версии образов контейнеров.
Работает она достаточно просто:
🍭 «Пробегает» по namespaces и pods, которые в них размещены
🍭 Для каждого pod собирается информация об image (включая image init-container’ов)
🍭 После происходит «чистка» полученного перечня за счет устранения дубликатов образов
🍭 Утилита собирает данные об image tags в registry
🍭 Сообщает о расхождениях в версиях
Установка достаточно простая, требуется krew. Отдельно хочется отметить semver – подход к наименованию версий образов. Если Вы еще не решили, как это делать у себя, то semver может стать отличной отправной точкой! ☺️
GitHub
GitHub - replicatedhq/outdated: Kubectl plugin to find and report outdated images running in a Kubernetes cluster
Kubectl plugin to find and report outdated images running in a Kubernetes cluster - replicatedhq/outdated
Привет!
Если вам интересно тестирование на проникновение (в частности – web приложения), но вы не знали с чего начать, то этот материал сможет помочь!
Ребята из PortSwigger не только подготовили лабораторные работы, но и сделали собственный Learning Path – как на их взгляд лучше всего погружаться в тему.
Рассматриваются такие вещи как:
🍭 Server side topics (SQL injection, Authorization, Directory Traversal…)
🍭 Client side topics (XSS, CSRF, WebSockets…)
🍭 Advanced topics (Insecured deserealiztion, HTTP request smuggling, OAuth authentication…)
Для каждого раздела приводится текстовое описание, немного виде-материалов и, конечно же, лабораторные работы! Все «приправлено» небольшой геймификацией, чтобы было еще интереснее проходить секции и учиться ☺️
Если вам интересно тестирование на проникновение (в частности – web приложения), но вы не знали с чего начать, то этот материал сможет помочь!
Ребята из PortSwigger не только подготовили лабораторные работы, но и сделали собственный Learning Path – как на их взгляд лучше всего погружаться в тему.
Рассматриваются такие вещи как:
🍭 Server side topics (SQL injection, Authorization, Directory Traversal…)
🍭 Client side topics (XSS, CSRF, WebSockets…)
🍭 Advanced topics (Insecured deserealiztion, HTTP request smuggling, OAuth authentication…)
Для каждого раздела приводится текстовое описание, немного виде-материалов и, конечно же, лабораторные работы! Все «приправлено» небольшой геймификацией, чтобы было еще интереснее проходить секции и учиться ☺️
portswigger.net
All Web Security Academy topics | Web Security Academy
An overview of all topics, from beginner to expert level, through the Web Security Academy - brought to you by PortSwigger. Create an account to get started.
Всем привет!
Держите на удачу заметку.
Talisman - утилита выявления секретов (SSH ключи, токены и пр) в локальных git-репозиториях, размещённых на рабочих станциях разработчиков. Она умеет не только искать секреты, но и предотвращать их публикацию либо на этапе commit, либо на этапе push.
Как ставится:
Утилита может запускаться на ОС Windows, Linux, Mac OSX. Установка выполняется одним из следующих образов:
🍡Как git hook на уровне глобального шаблона git hook template
🍡Как git hook для конкретного репо
Как работает:
После установки Talisman автоматически запускает проверки на наличие секретов до того как будет выполнен commit или push. В случае, если был обнаружен секрет, утилита выведет отчёт с указанием названия файла и типа секрета в нем.
Что сканирует:
Talisman запускает следующие проверки:
🍡Вшитые значения в формате base 64, hex и пр.
🍡Содержимое файлов - выявление паролей и ключевых фраз
🍡Размер файла - сканирование больших файлов, потенциально содержащих ключи и другие данные
🍡Энтропия - сканирование контента с потенциально высокой энтропией
🍡Номера кредитных карт
🍡Имена файлов - сканирование имён файлов и расширений, которые могут потенциально подходить под файлы с чувствительными данными
Ещё немного деталей:
🍡Можно настраивать правила игнора, например, для файлов или кочевых слов, задавать свои шаблоны поиска секретов, устанавливать уровни критичности и пр
🍡При использовании force push конструкция не работает
🍡Если нужно запускать несколько hook-ов, то можно воспользоваться такими инструментами как pre-commit и husky
🍡У утилиты есть CLI и ее можно встроить в CI/CD для сканирования истории в репо на наличие секретов или генерации отчета в формате html
Более подробную информацию можно посмотреть тут: https://github.com/thoughtworks/talisman
Держите на
Talisman - утилита выявления секретов (SSH ключи, токены и пр) в локальных git-репозиториях, размещённых на рабочих станциях разработчиков. Она умеет не только искать секреты, но и предотвращать их публикацию либо на этапе commit, либо на этапе push.
Как ставится:
Утилита может запускаться на ОС Windows, Linux, Mac OSX. Установка выполняется одним из следующих образов:
🍡Как git hook на уровне глобального шаблона git hook template
🍡Как git hook для конкретного репо
Как работает:
После установки Talisman автоматически запускает проверки на наличие секретов до того как будет выполнен commit или push. В случае, если был обнаружен секрет, утилита выведет отчёт с указанием названия файла и типа секрета в нем.
Что сканирует:
Talisman запускает следующие проверки:
🍡Вшитые значения в формате base 64, hex и пр.
🍡Содержимое файлов - выявление паролей и ключевых фраз
🍡Размер файла - сканирование больших файлов, потенциально содержащих ключи и другие данные
🍡Энтропия - сканирование контента с потенциально высокой энтропией
🍡Номера кредитных карт
🍡Имена файлов - сканирование имён файлов и расширений, которые могут потенциально подходить под файлы с чувствительными данными
Ещё немного деталей:
🍡Можно настраивать правила игнора, например, для файлов или кочевых слов, задавать свои шаблоны поиска секретов, устанавливать уровни критичности и пр
🍡При использовании force push конструкция не работает
🍡Если нужно запускать несколько hook-ов, то можно воспользоваться такими инструментами как pre-commit и husky
🍡У утилиты есть CLI и ее можно встроить в CI/CD для сканирования истории в репо на наличие секретов или генерации отчета в формате html
Более подробную информацию можно посмотреть тут: https://github.com/thoughtworks/talisman
GitHub
GitHub - thoughtworks/talisman: Using a pre-commit hook, Talisman validates the outgoing changeset for things that look suspicious…
Using a pre-commit hook, Talisman validates the outgoing changeset for things that look suspicious — such as tokens, passwords, and private keys. - thoughtworks/talisman
Добрейшего утречка чудесной пятнички!
И вновь продолжается бой! Незримый бой между защитниками в сияющих доспехах и ордами гнусных посягателей на наши приложения!
Но!
У воинов света есть Гендальф Белый, который в решающий момент (а хотя то, где он был до этого??) взмахнёт своим посохом и применением очень сильного колдунства заставит приложения защищать себя самим!
Хотя, звучит так себе...
Куда лучше, если мы оставим это дело компетентным специалистам, а дедушку Гендальфа оставим рассматривать своё дерево с дяденьками и тётенькой.
А компетентные же специалисты могут ознакомиться с интересным решением Sqreen, являющимся комплексной платформой защиты приложений.
Что оно из себя представляет? Ничего сложного:
🍩 Microagent для установки в приложение
🍩 Security engine для защиты прилоежния в реальном времени
🍩 Облачный control plane системы - Sqreen Platform
Как все это работает? Очень просто!
В самом низу находится Microagent, представляющий из себя набор библиотек, инструментирующийся в приложение на этапе сборки. Он производит мониторинг активностей внутри приложения, например вызовы и выполнение функций, и его, приложения, взаимодействие с внешним миром - сетевые подключения и тд
Помимо прочего, Microagent содержит Security engine, выполняющий функции:
🍩 Runtime Application Self Protection (RASP): Engine изучает поведение приложения и детектит аномалии любого типа
🍩 Content Security Policy: здесь агент уже заглядывает в заголовки пакетов на предмет обнаружения атак типа XSS
🍩 In-App Web Application Firewall (In-App WAF): настоящий WAF, который знает как работает его приложение и блокирует попытки выполнения Cross-site Scripting (XSS), Local File Inclusion (LFI), NoSQL Injection, and Shell Injection
И модулем управления ко всему этому служит облачная Sqreen Platform, которая является интерфейсом управления и мониторинга для человека. Агент постоянно синхронизируется с платформой для обновления политик защиты и отправки логов и событий для последующей корреляции и отображения понятных ивентов и красивых дашбордов.
И конечно, нельзя не упомянуть, что так как серебряной пули, убивающей всех врагов одним выстрелом разом, не бывает (как и Гендальфа для наших приложений) использование одной лишь тулзы без правильно выстроенных процессов ИБ, вряд ли будет защищать приложение на должном уровне.
Ведь, как известно, без процесса ты Стартап, а с процессом - Энтёрпрайз!
Ссылочка на сайт разработчика как всегда 👇, надеемся, вам будет интересно!:
https://www.sqreen.com
И вновь продолжается бой! Незримый бой между защитниками в сияющих доспехах и ордами гнусных посягателей на наши приложения!
Но!
У воинов света есть Гендальф Белый, который в решающий момент (а хотя то, где он был до этого??) взмахнёт своим посохом и применением очень сильного колдунства заставит приложения защищать себя самим!
Хотя, звучит так себе...
Куда лучше, если мы оставим это дело компетентным специалистам, а дедушку Гендальфа оставим рассматривать своё дерево с дяденьками и тётенькой.
А компетентные же специалисты могут ознакомиться с интересным решением Sqreen, являющимся комплексной платформой защиты приложений.
Что оно из себя представляет? Ничего сложного:
🍩 Microagent для установки в приложение
🍩 Security engine для защиты прилоежния в реальном времени
🍩 Облачный control plane системы - Sqreen Platform
Как все это работает? Очень просто!
В самом низу находится Microagent, представляющий из себя набор библиотек, инструментирующийся в приложение на этапе сборки. Он производит мониторинг активностей внутри приложения, например вызовы и выполнение функций, и его, приложения, взаимодействие с внешним миром - сетевые подключения и тд
Помимо прочего, Microagent содержит Security engine, выполняющий функции:
🍩 Runtime Application Self Protection (RASP): Engine изучает поведение приложения и детектит аномалии любого типа
🍩 Content Security Policy: здесь агент уже заглядывает в заголовки пакетов на предмет обнаружения атак типа XSS
🍩 In-App Web Application Firewall (In-App WAF): настоящий WAF, который знает как работает его приложение и блокирует попытки выполнения Cross-site Scripting (XSS), Local File Inclusion (LFI), NoSQL Injection, and Shell Injection
И модулем управления ко всему этому служит облачная Sqreen Platform, которая является интерфейсом управления и мониторинга для человека. Агент постоянно синхронизируется с платформой для обновления политик защиты и отправки логов и событий для последующей корреляции и отображения понятных ивентов и красивых дашбордов.
И конечно, нельзя не упомянуть, что так как серебряной пули, убивающей всех врагов одним выстрелом разом, не бывает (как и Гендальфа для наших приложений) использование одной лишь тулзы без правильно выстроенных процессов ИБ, вряд ли будет защищать приложение на должном уровне.
Ведь, как известно, без процесса ты Стартап, а с процессом - Энтёрпрайз!
Ссылочка на сайт разработчика как всегда 👇, надеемся, вам будет интересно!:
https://www.sqreen.com
Sqreen
Application Security Management Platform | Sqreen
Learn more about Sqreen's application security platform that helps teams protect applications, increase visibility and secure code.
Всем привет!
Google выпустили инструмент, который помогает визуализировать и анализировать open source элементы, используемые в разработке – deps.dev!
Крайне простой, интуитивно понятный инструмент, который позволяет:
🍭 Построить табличку зависимостей рассматриваемого элемента. Или граф, если Вам так больше нравится
🍭 Собрать информацию о Security Advisories, Licenses, Dependencies и Dependents
🍭 Сделать diff версий элементов, что наглядно покажет разницу (добавлено/удалено)
Для некоторых зависимостей формируется OpenSSF ScoreCard, в которой содержится информация о статусе прохождения проверок по группам (CII-Best-Practices, Code-Review, Security-Policy, SAST и т.д.) и ссылки на полезные материалы по теме. На наш взгляд, крайне интересный инструмент, которым можно пользоваться!
Google выпустили инструмент, который помогает визуализировать и анализировать open source элементы, используемые в разработке – deps.dev!
Крайне простой, интуитивно понятный инструмент, который позволяет:
🍭 Построить табличку зависимостей рассматриваемого элемента. Или граф, если Вам так больше нравится
🍭 Собрать информацию о Security Advisories, Licenses, Dependencies и Dependents
🍭 Сделать diff версий элементов, что наглядно покажет разницу (добавлено/удалено)
Для некоторых зависимостей формируется OpenSSF ScoreCard, в которой содержится информация о статусе прохождения проверок по группам (CII-Best-Practices, Code-Review, Security-Policy, SAST и т.д.) и ссылки на полезные материалы по теме. На наш взгляд, крайне интересный инструмент, которым можно пользоваться!
Привет!
Однажды Компания А попросила Компанию Б разработать web-приложение. Компания Б согласилась и наняла Подрядчика для выполнения части работ. Web-приложение было разработано и в момент поддержки выяснилось, что Подрядчик использовал некоторый собственно-изготовленный образ, а вот Dockerfile для него приложить забыл…
К чему все это?
В статье описан подход к reverse-engineering образа контейнера для воссоздания Dockerfile. А с примером, описанным выше, может встретиться каждый.
Что сделал автор:
🍭 Сохранил образ в tar-формате, распаковал
🍭 Используя JQ получил информацию из manifest.json
🍭 Провел послойный анализ образа через .history
🍭 …
🍭 Получил данные, которые позволят воссоздать Dockerfile!
Трудно сказать, насколько подобный образ применим для «массового использования», однако для выполнения локальных задач (если кто-то забыл/удалил/не отдал/иное Dockerfile) описанный подход вполне возможен ☺️
P.S. Preview не работает, поэтому дублируем ссылку: https://theartofmachinery.com/2021/03/18/reverse_engineering_a_docker_image.html
Однажды Компания А попросила Компанию Б разработать web-приложение. Компания Б согласилась и наняла Подрядчика для выполнения части работ. Web-приложение было разработано и в момент поддержки выяснилось, что Подрядчик использовал некоторый собственно-изготовленный образ, а вот Dockerfile для него приложить забыл…
К чему все это?
В статье описан подход к reverse-engineering образа контейнера для воссоздания Dockerfile. А с примером, описанным выше, может встретиться каждый.
Что сделал автор:
🍭 Сохранил образ в tar-формате, распаковал
🍭 Используя JQ получил информацию из manifest.json
🍭 Провел послойный анализ образа через .history
🍭 …
🍭 Получил данные, которые позволят воссоздать Dockerfile!
Трудно сказать, насколько подобный образ применим для «массового использования», однако для выполнения локальных задач (если кто-то забыл/удалил/не отдал/иное Dockerfile) описанный подход вполне возможен ☺️
P.S. Preview не работает, поэтому дублируем ссылку: https://theartofmachinery.com/2021/03/18/reverse_engineering_a_docker_image.html
Всем привет!
Простая и крайне понятная утилита, которая анализирует Dockerfile на соответствия требованиям ИБ.
В текущей редакции реализованы проверки:
🍭 Missing content trust
🍭 Missing USER sentence in dockerfile
🍭 Possible text plain password in dockerfile
🍭 Recursive copy found
🍭 Use of COPY instead of ADD
🍭 Use image tag instead of SHA256 hash
🍭 Generic credential // AWS Manager ID // AWS MWS key // EC Private Key // Google API key // Slack Webhook
Автор взял за основу материалы Snyk, добавил немного от GitLeaks и подготовил набор regex, которые используются для анализа. Вариант, быть может, и простой, но имеет место быть (особенно, когда под рукой нет ничего другого).
Простая и крайне понятная утилита, которая анализирует Dockerfile на соответствия требованиям ИБ.
В текущей редакции реализованы проверки:
🍭 Missing content trust
🍭 Missing USER sentence in dockerfile
🍭 Possible text plain password in dockerfile
🍭 Recursive copy found
🍭 Use of COPY instead of ADD
🍭 Use image tag instead of SHA256 hash
🍭 Generic credential // AWS Manager ID // AWS MWS key // EC Private Key // Google API key // Slack Webhook
Автор взял за основу материалы Snyk, добавил немного от GitLeaks и подготовил набор regex, которые используются для анализа. Вариант, быть может, и простой, но имеет место быть (особенно, когда под рукой нет ничего другого).
GitHub
GitHub - cr0hn/dockerfile-security: Static security checker for Dockerfiles
Static security checker for Dockerfiles. Contribute to cr0hn/dockerfile-security development by creating an account on GitHub.
Привет!
По ссылке доступен сайт конференции DevSecCon24, который состоится 23 и 24 июня 2021 года, регистрация бесплатная!
О чем будут говорить на конференции?
🍭 I Spy: An Insecure Delivery Pipeline
🍭 Show don't tell - Bringing sec and dev together with visual code maps
🍭 Threat Modeling Wins for Agile AppSec
🍭 Fine-Grained Role-Based Access Control For Linux With OPA And LDAP
🍭 Implementing Policy as Code through Open Policy Agent
🍭 Runtime Security using eBPF and OPA
И не только! Больше информации о докладах (включая краткую agenda, а не только название) можно найти на сайте ☺️
P.S. Обратите внимание на то, что доклады зависят от выбранного временного региона (US, EMEA и т.д.). Например, для EMEA доклады будут 24 июня, начиная с 13:00 по Мск
По ссылке доступен сайт конференции DevSecCon24, который состоится 23 и 24 июня 2021 года, регистрация бесплатная!
О чем будут говорить на конференции?
🍭 I Spy: An Insecure Delivery Pipeline
🍭 Show don't tell - Bringing sec and dev together with visual code maps
🍭 Threat Modeling Wins for Agile AppSec
🍭 Fine-Grained Role-Based Access Control For Linux With OPA And LDAP
🍭 Implementing Policy as Code through Open Policy Agent
🍭 Runtime Security using eBPF and OPA
И не только! Больше информации о докладах (включая краткую agenda, а не только название) можно найти на сайте ☺️
P.S. Обратите внимание на то, что доклады зависят от выбранного временного региона (US, EMEA и т.д.). Например, для EMEA доклады будут 24 июня, начиная с 13:00 по Мск
DevSecCon - The DevSecOps Community for All
DevSecOps Security Conference | DevSecCon
DevSecCon24, a global, vendor-neutral, community-driven conference that enables the integration of security into their development practices.
Всем привет!
По ссылке доступен проект KubeSploit, поддерживаемый компанией CyberArk. При помощи него можно реализовать:
🍭 «Побег» из контейнера при помощи mount
🍭 «Побег» из контейнера при помощи docker.sock
🍭 «Побег» из контейнера при помощи эксплуатации CVE-2019-5736
🍭 Сканирование кластера Kubernetes на наличие CVE
🍭 Сканирование портов
🍭 Идентификация дополнительной информации в кластере
Также ребята сделали mapping на MITRE ATT&CK («классическую» версию), а для каждого из недостатков, идентифицируемых решением, подготовили описание возможных способов их устранения. "Поиграться" с решением можно на Katacoda.
Если Вам интересны подобные проекты, то рекомендуем обратить внимание на проект Kubernetes Goat (который, кстати, недавно обновился, чуть подробнее можно почитать тут)
P.S. Поздравляем всех с наступающим праздником!!! Отличнейшего отдыха!!!
По ссылке доступен проект KubeSploit, поддерживаемый компанией CyberArk. При помощи него можно реализовать:
🍭 «Побег» из контейнера при помощи mount
🍭 «Побег» из контейнера при помощи docker.sock
🍭 «Побег» из контейнера при помощи эксплуатации CVE-2019-5736
🍭 Сканирование кластера Kubernetes на наличие CVE
🍭 Сканирование портов
🍭 Идентификация дополнительной информации в кластере
Также ребята сделали mapping на MITRE ATT&CK («классическую» версию), а для каждого из недостатков, идентифицируемых решением, подготовили описание возможных способов их устранения. "Поиграться" с решением можно на Katacoda.
Если Вам интересны подобные проекты, то рекомендуем обратить внимание на проект Kubernetes Goat (который, кстати, недавно обновился, чуть подробнее можно почитать тут)
P.S. Поздравляем всех с наступающим праздником!!! Отличнейшего отдыха!!!
GitHub
GitHub - cyberark/kubesploit: Kubesploit is a cross-platform post-exploitation HTTP/2 Command & Control server and agent written…
Kubesploit is a cross-platform post-exploitation HTTP/2 Command & Control server and agent written in Golang, focused on containerized environments. - cyberark/kubesploit
Всем привет!
У него была возможность анализа 45 языков, 22 форматов (CSS, HTML, JSON, YAML…), 17 tooling форматов (Ansible, Puppet, Terraform…), abusive copy paste, ошибок написанияи, конечно же, пинта чистого эфира!
Это описание проекта Mega-Linter, в котором, как вы уже успели догадаться собраны всевозможные linting-проверки, а количество поддерживаемого «всего» просто потрясает!
У проекта есть собственная документация, в которой отлично описаны возможности по настройке инструмента, инструкции по установке и quick start guide.
А в одном из последних обновлений (версия 4.35.0) появился приятный бонус для ИБ – «Add trivy security check of all built Mega-Linter docker images»
У него была возможность анализа 45 языков, 22 форматов (CSS, HTML, JSON, YAML…), 17 tooling форматов (Ansible, Puppet, Terraform…), abusive copy paste, ошибок написания
У проекта есть собственная документация, в которой отлично описаны возможности по настройке инструмента, инструкции по установке и quick start guide.
А в одном из последних обновлений (версия 4.35.0) появился приятный бонус для ИБ – «Add trivy security check of all built Mega-Linter docker images»
GitHub
GitHub - oxsecurity/megalinter: 🦙 MegaLinter analyzes 50 languages, 22 formats, 21 tooling formats, excessive copy-pastes, spelling…
🦙 MegaLinter analyzes 50 languages, 22 formats, 21 tooling formats, excessive copy-pastes, spelling mistakes and security issues in your repository sources with a GitHub Action, other CI tools or l...