infosec
57.1K subscribers
1.94K photos
109 videos
84 files
1.94K links
Copyright: @SEAdm1n

Вакансии: @infosec_work

Информационная безопасность. Литература для ИТ специалистов. Пентест, DevOps, Администрирование.

Приобрести рекламное размещение: https://telega.in/c/it_secur

РКН: https://vk.cc/cN3VCI
Download Telegram
Инциденты в Enterprise редко происходят из-за одной уязвимости.

Чаще — из-за накопленного техдолга по информационной безопасности, который годами откладывали на потом.

На открытом уроке:
- разберём что именно считается техдолгом ИБ: процессы, конфигурации, уязвимости, требования и управленческие решения
- покажем, как перейти от ощущений и тревог к измеримым метрикам и управляемым приоритетам.

Вы узнаете:
- как формировать реестр техдолга ИБ, считать покрытие и TTR, использовать риск-скоринг и модель «риск × стоимость × влияние».
- обсудим, какие задачи закрывать быстрыми улучшениями, а какие требуют стратегических изменений
- отдельно разберём ремедиацию: backlog, SLA, ownership и security gates.

🚀Встречаемся 26 января в 20:00 МСК в преддверии старта курса «CISO / Директор по информационной безопасности».

Регистрация открыта: https://otus.pw/eP0j/

Так же доступна регистрация на другие открытые уроки на странице курса.

Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576
Please open Telegram to view this post
VIEW IN TELEGRAM
4🔥1
Ну что, вот и завершилось хакерское соревнование Pwn2Own Automotive 2026, в ходе которого исследователи заработали 1 млн. 47 тыс. баксов и продемонстрировали 76 ранее неизвестных уязвимостей в автомобильных операционных системах и устройствах зарядки электромобилей.

На первом месте оказалась команда Fuzzware.io, которая сумела заработать $213 тыс. Обладатели второго места (Team DDOS) получили $95 тыc., а третьего (Synacktiv) - $85 тыс.

Краткий список осуществленных атак есть на скриншоте выше. В соответствии с условиями конкурса детальная информация о всех продемонстрированных 0-day уязвимостях будет опубликована только через 90 дней, которые даются на подготовку производителями обновлений с устранением уязвимостей.

➡️ https://www.zerodayinitiative.com/pwn2own
➡️ https://www.opennet.ru/pwn2own

#Новости
Please open Telegram to view this post
VIEW IN TELEGRAM
6🔥308👍863
This media is not supported in your browser
VIEW IN TELEGRAM
• Б - Безопасность.

Англичанин приехал в Италию, чтобы посетить футбольный матч "Аталанты" с "Пармой". За день до этого он гулял по городу и добрался до "Адзурри д′Италия" (стадион в городе Бергамо, используемый в качестве домашнего футбольным клубом "Аталанта").

Арена была не очень гостеприимна: туриста встретили закрытыми воротами. Правда, его это совершенно не остановило...

Он подошел к воротам, через которые обычно выезжает клубный автобус. Там стоял кодовый замок, а комбинацию цифр болельщик, конечно же, не знал. Он взглянул на логотип "Аталанты", на котором указан год основания клуба, и решил испытать удачу: ввел 1907, после чего ворота открылись! Так англичанин прогулялся по территории и даже смог пройти непосредственно к газону стадиона "Аталанты".

#Новости
13😁17731👍22😈32🔥21🤩1💩1
А вы знали, что история возникновения штрих-кода появилась еще в 1932 году? Технику его создания предложил американский студент Уоллес Флинт, который в то время учился в Гарвардском университете. Основной его задачей была максимальная автоматизация торговых процессов.

Согласно идее студента, к каждому товару в ассортименте супермаркета "привязывалась" оригинальная перфокарта. Покупатели просто выбирали бы перфокарты и передавали их менеджеру. Тот сканировал их специальным устройством, после чего поступал сигнал на ленточный конвейер, который доставлял нужный товар со склада. Далее покупатель получал счет и оплачивал его, а в общую базу данных супермаркета вносилась информация о покупке. К сожалению, в то время реализовать подобную задумку было сложно. А вернее дорого.

Но в 1948 году идея вновь всплывает на поверхность. В это время Бернард Силвер и Норман Вудленд развили идею Флинта, сами того не подозревая. Они просто услышали разговор владельца одного из магазинов о том, что было бы хорошо автоматически считывать информацию о каждом продукте перед продажей. Их это заинтересовало и началась активная работа.

Вудленд бросает свою учебу в аспирантуре, которая мешает ему сосредоточится на решении целиком, и уезжает в Майами. Там он к нему и приходит решение: он вспоминает как изучал азбуку Морзе. Песок пляжа, на котором он пробует изобразить точки и тире, наталкивает его на мысль о передаче содержания с помощью линий различной толщины.

Кодировку надо было как-то считывать, и Вудленд с Сильвером придумали использовать для этого технологию передачи звука в кино, придуманную за два десятка лет до них Лу де Форестом, которая заключалась в "просвечивании" разной интенсивности цвета, наносимого по краю кинопленки.

Уже в 1949 году друзья получили патент на свое изобретение (их код выглядел как "яблоко", полоски расположены были по кругу, как на фото выше).

Однако на этапе конструирования, уже работая в IBM, куда их пригласили как авторов приглянувшейся руководству компании перспективной идеи, изобретатели столкнулись с проблемой считывания кода, а точнее — с проблемой создания адекватного устройства.

Их первый "сканер" представлял из себя устройство размером со стол, крышка которого была прозрачной, а под крышкой были мощные лампы. Получаемый сигнал передавался на осциллограф, который должен был фиксировать результат. Первые испытания закончились пожаром: лампы раскалили крышку, бумага задымилась, но, тем не менее, первый результат был получен.

Проблема считывания кода выглядела нерешаемой, и тем более не решаемой была проблема обработки полученной информации. Эта задача возлагалась на ЭВМ, но ЭВМ тех лет были чрезвычайно громоздки и еще только учились решать задачи сложнее арифметических действий.

По итогу в IBM официально закрыли проект, Вудленд и Сильвер продают свой патент в компанию RCA за $15000. RCA вцепляется в идею шрих-кода, и много лет экспериментирует с ней, пробуя заинтересовать им торговлю. Они первые догадались применить для сканирования кода лазер!

У компании есть и первые успехи: их кодом начинают пользоваться при железнодорожных и морских перевозках.

В конце концов, их активность оказывается замеченной: в начале 70-х американский союз супермаркетов объявляет конкурс на лучший код.

Корпорация IBM мгновенно "возвращается в игру". Создается рабочая группа во главе Джорджа Лорера. Вместе с математиком Дэвидом Савиром они приступают к решению. Тут кто-то из ветеранов IBM вспоминает про двух талантливых ребят, занимавшихся у них этой проблемой в 50-е. Сильвера к тому времени уже нет в живых, но Вудленд не растерял своих способностей, и он с азартом включается в работу.

Лорер находит "ахиллесову пяту" концентрического кода, и предлагает вместо него линейный: это очень упрощает процесс сканирования и резко повышает его качество, количество ошибок при считывании резко снижается.

В итоге именно простое и элегантное решение от IBM пришлось по вкусу американской торговле, и 3 апреля 1973 года считается рождением UPC (Universal Product Code). Так и пошло...

#Разное
451👍3683👻1💊1
Команда Google Project Zero опубликовали информацию об уязвимости в WhatsApp* для Android после того, как компания не смогла исправить её в течение 90 дней.

Суть заключается в том, что злоумышленник может назначить контакт жертвы администратором группы и отправлять вредоносный файл, который автоматически загрузится на целевое устройство без какого-либо взаимодействия со стороны человека. Этот медиафайл будет загружен в базу данных MediaStore, и если он сможет выйти за пределы этой среды, то будет использоваться как эксплойт, позволяющий атаковать жертв без какого-либо взаимодействия.

Для использования уязвимости необходимо знать номер телефона жертвы. А для успешной эксплуатации у жертвы должна быть включена автоматическая загрузка медиафайлов (по умолчанию установлена автозагрузка через Wi-Fi).

Google Project Zero сообщил об этой уязвимости в частном порядке 1 сентября 2025 года, предоставив стандартные 90 дней на исправление проблемы. 4 декабря вышло частичное исправление для устранения этой уязвимости, но полное исправление всё ещё находится в разработке. С тех пор не было опубликовано никаких апдейтов.

Ранее упоминалась только уязвимость WhatsApp для Android. Тем, кто использует эту версию, рекомендуют включить расширенную конфиденциальность чата, перейдя в него, нажав на значок с тремя точками, выбрав "Информация о группе" и активировав соответствующую опцию. Однако пользователи могут быть уязвимы в ситуациях, когда их уже добавили в группу без ведома, и атака началась. Поэтому также лучше отключить автоматическую загрузку медиа, перейдя в "Настройки" - "Хранилище и данные" - "Автоматическая загрузка медиафайлов".

➡️ https://project-zero.issues.chromium.org

*Принадлежит компании Meta, признанной экстремистской и запрещенной в РФ

#Исследование
Please open Telegram to view this post
VIEW IN TELEGRAM
5👍2317🔥97731
💻 Интерактивный тренажер по SQL.

Нашел очень крутой и бесплатный курс по SQL, благодаря которому можно научиться формулировать, создавать и отлаживать запросы SQL, создавать реляционные базы данных и изучить различные типы SQL-запросов;

Курс является практическим и содержит 22 урока, 10 тестов и 173 интерактивные задачи! Каждый шаг включает минимальные теоретические аспекты по базам данных или языку SQL, примеры похожих запросов и пояснение к реализации.

Забираем отсюда: https://stepik.org/course/63054/

#SQL
Please open Telegram to view this post
VIEW IN TELEGRAM
5🔥3012👍5🤔3🤓2
24 года назад программист по имени Брэм Коэн в одиночку совершил революцию в сфере технологий обмена файлами - он создал BitTorrent. В начале двухтысячных новый протокол обмена файлами изменил ход развития Интернета.

«Наконец-то заработало моё новое приложение BitTorrent, оно доступно по ссылке ниже», — написал Коэн на доске объявлений Yahoo!.. Это было 2-го июля 2001 года.


Вероятно, за всю историю ИТ это была одна из самых лаконичных PR-кампаний в поддержку запуска нового продукта. Не впечатлил и "дизайн" официального сайта с чёрным текстом на белом фоне: весь сайт - несколько строк HTML-кода. Тогда никто не мог представить, какую роль в развитии всего Интернета сыграет BitTorrent.

Полное отсутствие маркетинговой составляющей Брэм компенсировал за счёт технических характеристик продукта. Он ранее работал в стартапе, команда которого трудилась над одноранговой сетью MojoNation. Потом у проекта закончилось финансирование, и 25-летний разработчик сосредоточился на развитии собственного проекта - протокола для обмена файлами.

Коэн был не единственным в этой нише. Обмен файлами набирал обороты, и появлялись десятки новых приложений. Например, к началу двухтысячных файлообменная пиринговая сеть Napster успела побыть первопроходцем на волне популярности обмена MP3-треками и получить иск от группы Metallica за слив демоверсии их новой песни. Это привело к смерти и реинкарнации Napster в статусе музыкального сервиса.

Однако BitTorrent явно отличался от конкурентов, сосредоточив внимание на скорости загрузки файлов и децентрализации сети. Вместо того, чтобы просто делиться файлом с одним человеком за раз, один файл могли раздавать сразу несколько пользователей. Чем больше пользователей участвовало в раздаче, тем выше становилась скорость загрузки.

Идея децентрализации была довольно новой на тот момент. В большинстве инструментов для обмена файлами была реализована централизованная инфраструктура, доступ к которой осуществлялся с помощью единого управляющего софта. BitTorrent же позиционировался как открытый протокол.

Через несколько месяцев после публичного релиза BitTorrent появились первые "торрент-сайты", которые позволяли пользователям загружать и обмениваться музыкой, фото, софтом и фильмами. Раньше распространять такие тяжёлые файлы (часто полученные нелегально) среди широкой аудитории было накладно из-за слишком больших затрат на обеспечение высокой пропускной способности и хранение этих файлов.

Технология, лежащая в основе BitTorrent, позволяла размещать на сайтах-файлообменниках не сами файлы, а торренты (.torrent). Как оказалось, как раз эта технология и перевернула игру.

Файл метаданных с расширением .torrent - это, по сути своей, словарь, содержащий информацию о том, какие файлы привязаны к торренту, каким образом и из каких источников они будут скачаны.

В начале 2000-х, когда торренты набирали обороты, это заметили интернет-провайдеры. В какой-то момент на BitTorrent приходилась треть суммарного интернет-трафика во всем мире.

Но обработка такого количества трафика оказалось тяжёлой задачей для инфраструктуры многих интернет-провайдеров. Поэтому некоторые из них начали ограничивать, фильтровать торрент-трафик.

Брэм Коэн со временем преобразовал свой проект в технологический стартап BitTorrent Inc и привлёк миллионы долларов венчурных инвестиций.

BitTorrent Inc не имела ничего общего с пиратскими сайтами и сосредоточилась на разработке BitTorrent, помогая артистам и другим правообладателям делиться контентом.

Одна из самых удачных сделок BitTorrent - это покупка клиента uTorrent у шведского разработчика Людвига Стригеуса в 2006 году. Сегодня uTorrent по-прежнему является едва ли не самым популярным торрент-клиентом. Кстати, Стригеус тоже добился успеха, но уже с сервисом Spotify.

С годами затраты на обеспечение высокой пропускной способности снизились, поэтому BitTorrent частично утратил своё конкурентное преимущество. Однако это по-прежнему хорошая технология, которую помимо обычных людей, используют и крупные организации, включая Google и NASA.

#Разное
9❤‍🔥43👍32🔥1482🫡1
Запускаем новый курс — DevSecOps на практике

⚙️ Знаете, в чём главная фишка DevSecOps?
Безопасность перестаёт быть «тормозом» для разработки. Вместо бесконечных проверок «после релиза» — всё встроено в пайплайн. Код проходит SAST, контейнер — сканируется, инфраструктура — проверяется на compliance. В итоге релизы выходят быстрее, а не медленнее.

Именно об этом наш новый курс:
🟡9 модулей, 48 занятий, 90% практики;
🟡инструменты: Docker, Kubernetes, Terraform, Vault, Ansible, Prometheus;
🟡финальный экзамен в стиле OSCP — только реальные задачи;
🟡опыт авторов: внедрение Zero Trust, построение SOC, DevSec-инструменты для Burp Suite.

Узнать программу
🗓 Старт курса 2 февраля

По данным Gartner, за последние 3 года запрос на специалистов DevSecOps вырос в разы. Компании осознали: «сначала сделать, потом чинить» — слишком дорого. Поэтому инженеры, которые умеют внедрять безопасность в CI/CD, сегодня — одна из самых востребованных профессий в ИБ и DevOps.


⬇️ Начать обучение
🥇 По всем вопросам @CodebyManagerBot
Please open Telegram to view this post
VIEW IN TELEGRAM
👍6🔥432
Если вам интересна тема анализа трафика и выявление вредоносных активностей, то обратите внимание на этот ресурс: https://www.malware-traffic-analysis.net. Тут очень много ценной информации, включая образцы трафика реальных вредоносных программ. Еще там есть инструкции с разбором дампов трафика и необходимые пояснения для изучения.

Также посмотреть дампы трафика можно на https://github.com/thongsia/Public-Pcaps и https://github.com/tatsuiman/malware-traffic-analysis.net. Здесь образцы будут не такие свежие, но зато их довольно много для различных видов вредоносов.

#Security #Malware
8👍18❤‍🔥64🔥3
Совсем недавно в продаже появилось новое издание книги: Контролируемый взлом. Библия социальной инженерии. По нашей хорошей традиции предлагаю разыграть 8 книг в бумажной версии! Описание следующее:

Приведено 130 практических примеров атак, даны примеры фишинговых писем, подробно разобран используемый злоумышленниками программный инструментарий. Предложена методика создания 10 000 сценариев учебных атак. Особое внимание уделено использованию в социальной инженерии и фишинге современных технологий искусственного интеллекта.


Этот конкурс не предусматривает каких-либо условий. Всё что необходимо - нажать на кнопку под этим постом. Доставка для победителей бесплатная в зоне действия СДЭК. Итоги подведём 31 января в 11:00, при помощи бота, который рандомно выберет 8 победителей. Удачи

P.S. Не забывайте ставить огонек под этим постом 🔥 это помогает проводить такие розыгрыши чаще =)

#Конкурс
Please open Telegram to view this post
VIEW IN TELEGRAM
21🔥23410👍3
Расскажу вам о забавном баге в аппаратном обеспечении МФУ Xerox, который проявлялся очень странным образом: при использовании ксерокса и копировании документа он заменял цифры в оригинале!

Мы привыкли к тому, что ксерокс, хоть и технологичное устройство, но в общем его функции достаточно банальны — сделать копию с оригинала. Интуитивно мы предполагаем, что ксерокс работает как связка сканера с принтером: отсканировали изображение, получили картинку и отправили её на принтер. Именно так и работали ранние ксероксы.

Но устройства усложнялись, появились МФУ, в которых уже была встроена довольно сложная программная начинка. Видимо, в этом и заключалась причина ошибки, которую в 2013 году обнаружил немец Дэвид Крисель в МФУ фирмы Xerox.

Совершенно случайно Дэвид заметил, что при ксерокопировании некоторых документов с цифрами устройство периодически заменяло цифру "6" на "8", а цифру "2" на "1". Согласитесь, что это крайне странное поведение для ксерокса. Тем более, что в нём был отключён алгоритм распознавания текста и пользователь выполнял простое ксерокопирование.

Оказалось, что в устройстве использовался алгоритм компрессии графики JBIG2. Этот алгоритм фактически выполняет распознавание текста и заменяет графическое изображение на символы. При появлении схожих символов алгоритм подбирал им замену из библиотеки уже распознанных букв и цифр.

Понятно, что распознавание текста позволяет существенно сжать исходный файл. Другой вопрос, зачем этот алгоритм применялся при простом ксерокопировании. Интересно, что при недостаточном качестве сканирования алгоритм может заменить ещё и "2" на "7" или даже "1" на "3".

Компания Xerox не сразу признала свою ошибку. Поупиравшись какое-то время, Xerox всё-таки выпустили обновлённую прошивку для своих устройств. Но многочисленные пользователи должны её скачать и установить, а это делают далеко не все.

Кроме того, этот же алгоритм используется не только в большинстве устройств фирмы Xerox, но и в устройствах и программах других фирм. А теперь представьте, что при очередном ксерокопировании устройство заменит, например, номер вашего паспорта или сумму вашей зарплаты в бухгалтерской ведомости... Такая вот история.

#Разное
646🔥17👍11😁431👻1