​#devsecops

Мы с вами ознакомились с тем, что такое безопасность на основе тестирования и начали погружаться в мониторинг и реагирование на атаки, в частности разобрались с журналированием и выявлением нарушений. Давайте продолжим и разберемся с обнаружением вторжений и реагированием на инциденты.

Этап обнаружения вторжений является одним из самых важных, т. к. именно в ходе проникновения включается данный этап и потенциальный злоумышленник больше всего взаимодействует с инфраструктурой жертвы. То есть мы говорим именно о мониторинге и анализе сетевого трафика / событий системы, которые, как правило, реализуются посредством следующих инструментов:
- системы обнаружения вторжений (intrusion detection system, IDS) для выявления нелегитимной активности со стороны злоумышленника;
- контроля за соединениями с помощью NetFlow — формата, который используется маршрутизаторами и сетевыми устройствами для журналирования сетевых соединений (это эффективный способ контролировать активность сетевого уровня в среде IaaS, когда невозможно предоставить низкоуровневый доступ);
- контроля систем для отслеживания того, что происходит в инфраструктуре.

О реагировании на инциденты мы говорим в случае, когда проникновение уже произошло. «Спасибо, Кэп!» — скажете вы. Но это пожалуй самый сложный процесс и к нему обычно не готовятся. Для начала просто перечислим фазы реагирования на инциденты безопасности, а далее разберемся с ними подробнее:
✔️Подготовка — необходимо убедиться, что у вас имеется допустимый минимум процессов для реагирования на инциденты.
✔️Идентификация — определиться, является ли аномалия инцидентом нарушения безопасности.
✔️Изоляция — предотвратить дальнейшее проникновение.
✔️Искоренение — избавить организацию от угрозы.
✔️Восстановление — вернуть инфраструктуру в нормальное состояние.
✔️Извлечение уроков — повторно рассмотреть инцидент и сделать выводы.

​#devops

Дорожные карты помогают ИТ- и ИБ-специалистам задать вектор развития, особенно если их поддерживает сообщество.

Ранее мы рассматривали 2 статьи, которые помогут погрузиться в тему DevOps, а сегодня рассмотрим дорожную карту DevOps-инженера. В статье также перечислены некоторые советы, которые помогут разложить все по полкам.

https://proglib.io/sh/8YNkxq59yt

#devops

Компания Экспресс 42, совместно с конференциями Олега Бунина (Онтико), провели первое исследование состояния DevOps в России.

В течение августа 2020 они опросили 889 специалистов и руководителей из разных регионов, отраслей и компаний. В результате получили срез по текущему состоянию инженерных практик и инструментов, проверили гипотезы, как DevOps влияет на производительность и показатели компаний, сравнили результаты с предыдущими исследованиями, выявили тренды развития.

Одной из основных сложностей стало отсутствие данных за прошлый год, поэтому в своем исследовании они опирались на методологию и данные компании DevOps Research and Assessment (DORA) в отчетах Accelerate State of DevOps 2018/2019.

Кратко с результатами исследования можно ознакомиться в статье: https://proglib.io/w/e3414f86

​#pentest #bugbounty #mobile

Разбираемся с тестированием безопасности Android-приложения на основе OWASP Mobile TOP 10: https://proglib.io/w/55c27964

#devsecops

Обширная статья об организации фаззинга исходного кода, которая затрагивает следующие темы:

1. Фаззинг
- Введение
- Эффективно ли тестирование?
- Что такое фаззинг?
- Фаззинг всё ещё популярен?
- Статический анализ
- Непрерывный фаззинг в непрерывной разработке

2. Этапы интеграции фаззинга в проект
- Выбор инструментов для организации фаззинга
- Определение Attack surface
- Анализ целей для фаззинга
- Подбор входных данных
- Написание фаззера
- Сборка и её особенности на разных платформах

3. Фаззинг в облаке
- Фаззинг-ферма от Google
- Почему решение от Google подходит не всем?
- Что получаем в итоге?

https://proglib.io/w/2f6e0460

#career

Небольшой путеводитель по специальностям в сфере кибербезопасности.

https://proglib.io/w/24ad0c90

#pentest #redteam

Hack The Box — одна из самых крутых онлайн-платформ для тестирования и повышения ваших навыков в области тестирования на проникновение и кибербезопасности.

Прохождение многих виртуальных машин можно посмотреть на YouTube или на Хабре у пользователя RalfHacker.

#pentest

Mind map для пентеста веб-приложений

​#devsecops

Как мы выяснили, непрерывная безопасность охватывает следующие категории:
- Безопасность на основе тестирования,
- Мониторинг и реагирование на атаки (ч. 1 и ч. 2),
- Оценка рисков и усиление безопасности.

Последняя категория в большей степени относится к человеческому фактору, однако при правильном подходе автоматизировать можно любой процесс, поэтому верный подход к управлению рисками должен преследовать следующие цели:
- оценка рисков должна проводиться в пределах небольших итераций, а также максимально часто и быстро;
- приоритет должен быть отдан задачам, которые ориентированы на DevOps;
- оценка рисков должна производиться в рамках команд по безопасности и эксплуатации.

Что касается усиления безопасности или регулярного тестирования безопасности, то оно представляет собой процесс, который внедряется в жизненный цикл продукта, чтобы оказать нагрузку на меры безопасности и смоделировать поведение атакующего.

Традиционно тестирование безопасности включает три области:
- оценку безопасности приложений и инфраструктуры изнутри посредством сканирования уязвимостей, фаззинга, статического анализа кода или контроля конфигурации;
- использование услуг сторонних фирм для проверки безопасности основных сервисов;
- запуск Bug Bounty программ.

#CVE #poc

CVE-2020-27955

Очередная 🚀 от небезызвестного исследователя Dawid Golunski. На этот раз Git <= 2.29.2 подвержен критической уязвимости через расширение git-lfs, которое позволяет удаленным
злоумышленникам выполнять произвольный код в системе Windows после
операции клонирования.

Git LFS (Large File Storage) — расширение Git с открытым исходным кодом для управления версиями больших файлов. Оно заменяет большие файлы (аудио, видео, наборы данных и графику) текстовыми указателями внутри Git, сохраняя при этом содержимое файла на удаленном сервере, например GitHub.com или GitHub Enterprise.

Описание: https://proglib.io/w/e3af1696

Акцент на имени исследователя вначале был сделан не случайно. Так, Dawid Golunski ранее находил уязвимости высокой степени критичности в MySQL, WordPress, Wget, SquirrelMail, Zend Framework и т.д. Список также можно увидеть на его сайте.

#pentest #redteam

Root Me — онлайн-платформа, предлагающая более 350 задач и более 130 виртуальных сред, позволяющих применить на практике и проверить свои навыки взлома в различных сценариях. Бросьте вызов своим навыкам взлома!

​#pentest

🔎 Исследователи из Positive Technologies постоянно радуют различными руководствами, результатами исследований, а также интересными и неочевидными находками. На этот раз актуальное руководство от PT SWARM по внедрению SQL-кода. И не где-нибудь, а в Microsoft SQL Server.

https://proglib.io/w/b44b7488

#hacktivity #writeup

DOM Based XSS с помощью postMessage в Facebook

Напомню, что XSS на основе DOM (DOM XSS) возникает, когда приложение содержит некоторый клиентский JavaScript, который обрабатывает данные из ненадежного источника небезопасным способом, обычно путем записи данных обратно в DOM.

Не так давно исследователь Youssef Sammouda обнаружил две уязвимости, первая из которых позволяла злоумышленнику отправлять сообщения из разных источников с помощью метода postMessage из домена facebook.com. Уязвимый endpoint принимает контролируемый пользователем контент в параметрах запроса и создает объект с данными, предоставленными для отправки с postMessage в окно открытия.

Вторая уязвимость связана с предыдущей и заключается в том, что сценарий небезопасно создает и отправляет форму на основе данных, полученных в сообщениях через Eventlistener.

А самое главное, что все подробно описано и наглядно показано. К слову, на данном сайте исследователь описывает все уязвимости, которые он нашел в рамках программы Bug Bounty от Facebook.

Если вы не знакомы с XSS, а уж тем более с DOM XSS, то ставьте 🤔.

#pentest #practice

XSS-атака

Почему межсайтовое выполнение сценариев или межсайтовый скриптинг (XSS, англ. Cross-Site Scripting) правильнее называть атакой, а не уязвимостью? Дело в том, что XSS является лишь одним из возможных способов эксплуатации уязвимости определенного класса.

Подробнее можно ознакомиться с довольно качественной статьей на хабре. Не обращайте внимание на год, ведь тема не теряет свою актуальность.

Так что это за зверь такой, XSS-атака? XSS позволяет злоумышленнику внедрить вредоносный код на страницу веб-приложения и отправить его обратно в браузер пользователя, где этот код будет выполнен. Причиной этому являются доверительные отношения разработчика приложения к входным данным или некорректная фильтрация входных данных.

Разновидности XSS-атак:

✔️Постоянная (хранимая) XSS, при которой вредоносный код хранится на стороне сервера (например, в базе данных) и отдается каждому пользователю, посещающему зараженную страницу
✔️Непостоянная (отраженная) XSS, при которой пользователю необходимо посетить специально сформированную ссылку
✔️XSS в DOM-модели, которая возникает на стороне клиента во время обработки данных внутри JavaScript сценария.

Подробнее с каждой разновидностью ознакомимся в следующих постах, а сейчас вы можете попрактиковаться на тестовых лабораториях от компании PortSwigger. Переходите по каждой кликабельной ссылке и повышайте мастерство эксплуатации XSS-атак.👇

https://proglib.io/w/8831f5f0

#OSINT

Мы с вами рассматривали тему OSINT и разбирались с инструментами, которые можно использовать для автоматизации работы. Кроме того, на канале приводились специальные ключевые слова (дорки) для поисковой системы Google, которые позволяют отфильтровать ненужные результаты поиска и отыскать только то, что вас интересует.

Сегодняшний материал позволит поставить все на свои места. В статье приводятся источники и инструменты OSINT, методы сбора информации при проведении OSINT, ссылки на обучающие материалы и многое другое.

https://proglib.io/sh/qx6W2tumAo

#pentest #redteam #book

Black Hat Python: Python Programming for Hackers and Pentesters 1st Edition (2015)

Автор: Justin Seitz

Специалисты по ИБ выбирают Python, когда появляется необходимость в создании инструментов автоматизации, которые включают в себя всевозможные фаззеры, прокси и даже эксплойты.

Если вы заинтересованы в решении задач информационной безопасности, Python — отличный язык для изучения по многим причинам. Теперь, если бы разработчики Metasploit одумались и перешли с Ruby на Python, сообщество было бы единым.

Книга включает пошаговые инструкции о том, как:
✔️читать и писать сетевые пакеты;
✔️сканировать сеть;
✔️автоматизировать такие задачи, как кейлоггинг и снятие скриншотов;
✔️защищать приложений от взлома и атак;
✔️писать вирусы и защищать от них свои приложения;
✔️повышать привилегии и писать инструменты, которые могут понадобиться для аудита и атак на веб-приложения /инфраструктуру.

Кроме того, книга отлично подойдёт как веб-разработчикам, так и разработчикам сетевых приложений.

Подписывайтесь на наш основной канал @proglibrary, чтобы не пропускать новые статьи и квизы!

#bugbounty #pentest #recon

Прокачиваем знания и навыки в Bug Bounty и разведке с помощью четвёртого издания Bug Hunter's Methodology (3е издание).

Видео

#pentest

Подделка запросов на стороне сервера (Server-side request forgery, SSRF) — это веб-уязвимость, которая предоставляет злоумышленнику возможность отправлять запросы от имени скомпрометированного хоста.

Успешная атака SSRF часто может привести к несанкционированным действиям или доступу к данным внутри организации либо в самом уязвимом приложении, либо в других серверных системах, с которыми приложение может взаимодействовать. В некоторых ситуациях уязвимость SSRF может позволить злоумышленнику выполнить произвольное выполнение команды.

В презентации достаточно подробно описана природа данной уязвимости, а также способы ее нахождения и эксплуатации с множеством примеров.

https://proglib.io/w/5b93de56

#pentest

Kali Linux — один из лучших дистрибутивов для проведения тестирования на проникновение. Сложно поверить, но его популярность выросла после показа в нескольких эпизодах сериала Mr. Robot. Дистрибутив включает весь арсенал, предназначенный для тестирования безопасности веб-приложений, инфраструктур на базе различных ОС, WiFi-сетей и многого другого.

Буквально вчера вышел релиз 2020.4, который включил в себя следующие нововведения:

— ZSH is the new default shell
— Bash shell makeover
— Partnership with tools authors
— Message at the login
— AWS image refresh
— Packaging Guides
— New Tools & Updates
— NetHunter Updates
— Win-KeX 2.5
— Vagrant & VMware

Подробности