📗 Книга дня: Martin Lee — Cyber Threat Intelligence

Книга Мартина ли познакомит с историей, терминологией и методами, применяемыми в области кибербезопасности, при этом всё очень системно (как и любим).

Внутри про угрожающую среду, вредоносные атаки, сбор, генерацию и применение разведданных, атрибуцию, а также юридические и этические аспекты. Отдельно отметим разбор масштабных атак: WannaCry, NotPetya, Solar Winds, VPNFilter и взлом Target, с анализом реальных данных, которые были доступны до и после атаки.

Ссылка на книгу

Когда джун справился с первым инцидентом

А почитайте в пятницу классное исследование Positive Technologies об атаках группы Lazy Koala на страны СНГ.

Самый «кайфовый» вывод. Тактика и софт — простейшие, но эффективные. Часто мы стараемся обращать внимание на сложные схемы, забывая, что нет ничего хуже старого доброго фишинга.

🏴‍☠️ Дедушка-пират

В Липецке сотрудники полиции задержали пенсионера, подозреваемого в несанкционированных действиях с игровой приставкой PS3. В случае признания его вины, мужчина может получить срок до двух лет либо обязан будет выплатить штраф на сумму 200 тысяч рублей.

По данным следствия дедуля попытался увеличить свои доходы через прошивку PS3, что позволило бы использовать на консоли нелицензионное ПО.
Но его смогли задержать и остановить порчу бизнес-репутации компании Sony Interactive Entertainment.

Судя по новости, задержание выглядело примерно как на фото.

В деле снова прожарка вакансий. Что-то мы всё про пентест, но OSINT-спецов тоже ищут.

Компания: Инфотекс
Сколько платят: хз, но просите от 150 и выше
Опыт: 1-3 года (2 подходит судя по скиллам)

Что делать: искать, собирать и анализировать инфу по нужным объектам из открытых источников. Участвовать в разработке продуктов компании и налаживать процессы.

Работа в офисе, плюшек не так много, как в корпорациях, но есть ДМС и питание за счет компании. В целом почему бы и нет.

Главный минус: работа в Москве, офис. Так что забудьте про 150. Просите 200. Вы цены видели вообще?

Откликайтесь здесь

💅 Подборка полезных материалов за неделю:

— Netsparker
— Что такое REST
— Модель OSI
— Что такое HSTS

Ну и ещё читайте классную и масштабную книгу Мартина Ли о кибербезопасности 🫡

Всем чипсинкам доброе утро!

🥲 Безопасная разработка: XXE

Продолжаем наш небольшой цикл материалов. В этот раз покажем типичный уязвимый код для XXE, а также как можно предотвратить атаку.

Больно?

📙 Книга дня: J.D. — The Greatest Guide for Beginners to the Linux
Commands and Linux Operating System

Ребят, проще руководства по Linux для начинающих вы вряд ли найдете. Внутри всё, что нужно для начала знакомства с ОС: команды, навигация и особенности Linux. Чуть больше 100 страниц примеров и детальных объяснений что к чему.

Ссылка на книгу

💉 Безопасная разработка: Host Header Injection

HTTP заголовок Host — потенциальный вектор для атаки. В этой статье покажем, как с помощью простых шагов можно обезопасить веб-ресурс от инъекций этого типа.

Этот пост мы посвящаем каждому герою, который пытался объяснить эксплойт бабуле.

Тут «Коммерсантъ» пишет, что скоро домены будут регистрировать через Госуслуги

Проект закона предполагает использование Единой системы идентификации и авторизации (ЕСИА) для проверки данных тех, кто регистрирует домены, однако это касается исключительно администраторов доменов в российских зонах .ru и .рф.

Депутат Горелкин указал, что предложение направлено на противодействие фишингу, якобы система «Антифишинг», запущенная Минцифры в 2022 году не работает (а кто-то о ней слышал?).

Сейчас для регистрации доменов .ru и .рф требуют предъявление личных данных администратором, включая удостоверения личности. Но эксперты говорят, что эта информация редко подвергается фактической проверке + может быть основана на украденных данных.

Ну тут нужен опрос...

📨 Безопасная разработка: SSRF

Продолжаем наш цикл со статьей о подделке запросов на стороне сервера. Покажем типичный уязвимый код, как смягчить последствия и дадим основные рекомендации по безопасности.