Тут умельцы нашли новый способ стеганографии, который, кстати, работает и через телеграмм - можно до 3000 символов текста записать в один эмоджи. Для упрощения создали даже специальный дешифратор.
В целом, штука работает в любом сайте или формате, в котором поддерживается Unicode. Но в ТГ функционирует только с отдельно отправленными эмоджи (которые прилетают в виде анимированного стикера).

Я тут очередной комментарий давал ребятам из Skillfactory на тему инструментария ИБшников - меня попросили подсказать ресурсы для изучения Wireshark (для тех, кто не сильно в теме - это самый популярный анализатор траффика).

Собственно, я всегда топлю за получение, в первую очередь, практических знаний, а потому просто дал ребятам ссылку на мою подборку материалов по старту карьеры ИБшника, а точнее, на раздел с практическими работами. Но этого мне показалось мало, и я под это дело решил полностью переработать этот раздел. Добавил новые сайты и систематизировал всё по направлениям кибербеза. (О цветовой дифференциации безопасников я когда-то писал тут)

Собственно, самую мякотку из каждого направления распишу тут...

Красная команда.
Тут, пожалуй, нерушимая классика - это hackthebox.com и tryhackme.com. Сайты настолько популярны, что многие джуны, а иногда и миддлы (особенно, на западе) используют профили на них вместо гитхаба - прикрепляют ссылку в резюме с подписью "Топ 1% на сайте..."

Синяя команда.
Долгое время моим любимчиком тут был letsdefend.io из-за того, что ребята давали возможность самому скачать файлы, виртуалки, поколупаться во всём этом (я лучше понимаю инструмент, если настроил его сам). Сейчас ребята ушли полностью онлайн, большая часть лаб проходит на серверах, развёрнутых на их стороне. Поэтому, нового любимчика пока ищу.

Пурпурная (фиолетовая) команда.
Тут, обычно, много споров, кого относить к этой команде, но реверс-инженеры, вроде, вполне вписываются в описание. А, значит, crackmes.one вписывается в эту категорию!

Зелёная команда.
Тут мне подсказали, что у ребят из securecodewarrior.com есть большой массив обучающих материалов по направлению - от теории до, собственно, лабораторок.

Жёлтая команда.
Тут, с одной стороны, голяк. С другой - раздолье. Отдельных сайтов по практике тут нет. Зато, можно развернуться на собственных стендах - хватило бы мощности ПК. Для внедренца, я считаю, лучше всего практиковаться на реальном ПО. И для этого я рекомендую глянуть на другую страницу - стендов для практики. Благо, многие вендора предоставляют демо-версии своих продуктов (из ру-вендоров советую обратить внимание на стенд Кода Безопасности - он самый широкий функционал предоставляет). Да и Опенсорсных решений хватает (если интересует мировой рынок - стенд придётся собирать, в основном, из них - Wazuh, Zabbix, OpenVPN, pfsense...)

В общем, вариантов получения практического опыта много. Что-то устаревает, что-то, наоборот, появляется. Рекомендую отслеживать самим, чтобы ничего не упустить. Хотя, и я на эту страницу инфу постараюсь добавлять по мере её появления.

#киберебзопасность #обучение #войтивайти #база_знаний #образование

Кстати, перевёл свою базу знаний по началу карьеры в ИБ на английский. Потому что, а почему бы и нет? На русском она стабильные несколько сотен просмотров в месяц генерит. Посмотрим, насколько на английском востребована будет)

#кибербезопасность #cybersecurity #войтивайти #база_знаний #образование

Что ж, число подписчиков канала почти удвоилось буквально за день, а значит, это повод как следует представиться и обновить закреп.

Итак...

Я очень люблю модель “Цветового круга кибербезопасности”, предложенную Эйприл Райт и описанную Луисом Кременом в этой статье. Уже как-то раз писал по ней свой материал, подробно рассказывая о ней. Но решил максимально ужать информацию, чтобы добавить в мою базу знаний. Эта модель позволит неплохо сориентироваться в существующих направлениях кибербезопасности и прикинуть возможные векторы развития. Основные тезисы:

- Переход между разными направлениями информационной безопасности возможен, но, часто, по сложности он почти равен полной смене сферы деятельности
- Есть три команды “основных” цветов - Красная, Синяя и Жёлтая. Три команды “промежуточных” цветов - Пурпурная, Зелёная и Оранжевая. А так же “Белая команда”, которая стоит особняком от всех
- Переход между позициями “одной команды”, “одного цвета” - наиболее простой. Обычно, на них требуются +- одинаковые навыки
- Переход между смежными цветами - более сложен. Потребуется получить доп.навыки
- Переход между цветами, не граничащими друг с другом, обычно, самый сложный (хотя, есть исключения - о них можно почитать по ссылкам в базе знаний)

Red Team
Одна из двух “классических” ИБшных команд, так же известная, как наступательная безопасность, Offensive Security. Занимается тем, что пытается “взломать” выстроенную защиту”, ища в ней слабые места и имитируя злоумышленника. Эти ребята, так же, занимаются исследованиями в области ИБ, поисками Zero Day - уязвимостей и т.д. Если вы пришли в ИБ осознанно, то, с вероятностью 90%, сделали это насмотревшись на изображение этой команды в фильмах\играх, или же просто услышали, о том, что хакерством можно заниматься легально

Blue Team
Вторая классическая команда, существование которой признаётся всеми учебниками по ИБ. Оборонительная безопасность, Defensive Security. Занимается тем, что, собственно, защищает системы - обнаруживает взлом, реагирует на него, останавливает хакеров и т.д.

Purple Team
Вот тут уже начинаются сложности. Существование этой команды признают далеко не все теоретики, но её упоминание вполне можно встретить в довольно старой литературе. Обычно специалистов этого направления характеризуют, как людей, которые сочетают техники и приёмы Красной и Синей команд. Но, сразу оговорюсь - с “промежуточниыми” цветами, находящимися на стыке всё довольно сложно - чёткого критерия отнесения к этим командам нет. Если к этой команде относить классического “администратора безопасности в компании на сотню человек” (который покрывает обязанности и красной, и синей, а, часто, ещё и жёлтой команды), то это окажется самой универсальной командой, переход в которую возможен почти откуда угодно. И из которой, в свою очередь, можно перейти почти куда угодно.

Yellow Team
С этой команды начинается ересь, которую пока не признают классические учебники по ИБ, что, я надеюсь, когда-нибудь изменится. Это команда, выделенная авторами концепции из классической “синей” команды. Специалисты из этого направления, собственно, строят защиту - разрабатывают, проектируют, настраивают СЗИ

Green Team
Ещё одна команда “промежуточного” цвета. По сути, она специализируется на безопасной разработке, на внедрение в процесс разработки приложений средств защиты информации. То есть, основная цель команды - поиск уязвимостей прямо в коде и их устранение, по-возможности, на самых ранних этапах.

Orange Team
Команда, которая занимается образовательным аспектом информационной безопасности. Это и различные преподаватели вузов и онлайн-школ, и методисты курсов. Сюда же можно отнести и Security Champions, и людей, занимающихся Security Awareness, и любого, кто задействован в образовательной деятельности.

White Team
Эта команда, с одной стороны, держится особняком от всего цветового круга, но, при этом, тесно взаимодействует во всеми остальными “цветами”. За счёт этого переход в неё и из неё возможен почти в любое направление, но в таком случае придётся изучать одинаково большое количество новой информации. К этому направлению, обычно, относят специалистов по документации, различных аудиторов и управленцев.

#войтивайти #база_знаний #образование

Долго думал, что же такое написать в канале в честь праздника, и решил просто сделать подборку женских авторских блогов на русском языке, связанным с темой кибербеза! Девушки в этой профессии заняты почти во всех направлениях, поэтому, постарался хоть немного систематизировать все каналы.

Начнём с технарей...
@asleep_book - личный блог пентестерки из команды Cult
@s3Ch1n7 - Лада Антипова, Incident Response Team Lead из Angara Technologies Group
@xbshsuwiow83 - OSINT analyst, подчищающая за собой цифровой след. По некоторым данным, объект известен под кодовым именем Татьяна)
@verestnikova - Дарья Верестникова, генеральный директор STCrypt

Дальше у нас на очереди мастера слова...
@PR_machine_Nika - Остросюжетные кейсы из российского и международного опыта по коммуникациям в ИТ и кибербезопасности.
@kiberbezpravil - Канал IT-журналиста «Коммерсантъ» Татьяны Исаковой об информационных технологиях и кибербезопасности
@enzach - лайв-блог Александры Борисосовой, Head of SMM & Community из компании BI.ZONE

Девушки трудятся во всех сферах, связанных с кибербезом...
@es_ca_blog - Екатерина Рудая, продакт, специализирующийся на ИБ-продуктах
@doroninainc - Екатерина Доронина, Маркетолог и ко-фаундер ИБ-стартапа
@recruitersblog - Ирина Чой, Recruitment PMиз компании BI.ZONE

И напоследок пара блогов, про авторок которых информацию нарыть не вышло...)
@bimbosec
@v01dch4nn3l

Продолжаем разговор о базе знаний по старту карьеры в кибербезопасности

CTF (Capture The Flag) - это такая специфичная олимпиада, ну или хакатон (кому какая аналогия ближе) от мира кибербезопасности, точнее, от его красной части… По сути, это соревнование по легальному взлому с целью добыть ключи (флаги) в том или ином приложении.

Соревновательный дух, проверка себя, возможность выиграть неплохие призы - это, конечно, всё отлично, но, помимо этого, участие в CTF может принести пользу и в других аспектах.

Так, например, если вы только планируете поступать в вуз на направление информацимонной безопасности, участие в его CTF может помочь вам заранее наладить контакты, а, иногда, и вовсе, дать бонус при поступлении (если говорить про российские вузы, то они не сильно любят создавать сайты под свои CTF - лучше искать информацию по соцсетям, мессенджерам и сайтам самого вуза).

Если же вы уже занимаетесь поиском работы в кибербезопасности, а, особенно, в направлении red team, то команды, хорошо показавшие себя в CTF (особенно, в CTF, проводимых или спонсируемых этими компаниями), часто, вне очереди получают приглашения на интервью.

По ссылке постарался собрать основные сайты крупных CTF и прикрутить к ним фильтры по стране и организатору. Для добавления своего соревнования в список, можете писать в комментариях к посту..

#войтивайти #база_знаний #образование

Весна - это время, когда множество компаний запускают набор на свои стажировки. Поэтому, самое время вспомнить о моей подборке компаний, которые проводят ИБ-стажировки. Сразу уточню - в подборку попали как компании, в которых набор идёт вотпрямщас, так и компании, которые запускали наборы за последний год.

Как всегда, прикрутил фильтры - по локациям, направлениям ИБ и по типу компании. Но лучше уточняйте актуальную информацию на сайте стажировки - год от года могут меняться как направления, так и офисы\города, в которых проходят стажировки.

Ну а для всех, кто ищет свою первую работу... "Счастливых вам голодных игр!" (с)

Вопрос в подвохом, но попробуйте ответить не вглядываясь в мелкие детали...

Не смотря на подвох в предыдущем посте, большая часть голосовавших ответили верно - на скрине, действительно, обыкновенный Excel.

К чему, вообще, был этот опрос?.. Пост, на самом деле, не про плагиат или что-то подобное. Он совсем о другом... Давайте начну с двух коротких примеров, которые случились за последние пару недель (и которые, собственно, натолкнули меня на мысль о посте).

1. Мне в личку пишет человек за небольшой карьерной консультацией по ИБ. Вопросы начинает задавать довольно типовые, поэтому, я ему привычно кидаю ссылку на свою базу знаний. Через какое-то время он возвращается после беглого её изучения и задаёт следующий вопрос -

а можете посоветовать какую-то доп информацию по иб , чтобы самому разбираться или может курсы какие-то , если они есть ?

2. Обсуждаем с подругой-методистом курсов направления в ИБ, я ей кидаю ссылку на материал, который по содержанию, считаю, наверное лучшим (ну или, как минимум, одним из лучших) на русском языке, и получаю в ответ

господи, опять эта адская схема…

Собственно, как эти случаи связаны с постом выше? Всё просто - интерфейсы все трёх продуктов сделаны с минимально оглядкой на конечного пользователя. Они сделаны удобными, понятными, нативными для их создателей. И это, на самом деле, применимо не только к этим трём примерам. Это общая беда всего инфобеза (и не только), которая пришла ещё с тех времён, когда на пользователей GUI старшие товарищи смотрели свысока, неодобрительно поцокивая "совсем молодые разленились, вот мы-то в своё время знать не знали, что такое этот ваш GUI, всё в консоли!"

И, с одной стороны - да, человек, который занимается ИТ или хочет вкатиться в эту область, должен уметь искать информацию, вычленять нужное себе из объёмного и не всегда структурированного массива данных - с этим сложно поспорить... Но с другой... Как будто, многие ИБ-компании используют это, как повод полностью забить на дизайн, на удобство использования, что достаточно сильно затрудняет знакомство с их продуктом. На самом деле, идея "вдохновиться" работающим удобным интерфейсом у кого-то другого - это далеко не худшее решение. Некоторые, вообще, создают всё с нуля, не задумываясь о минимальном удобстве. Но люди, работающие с excel и люди, работающие с МСЭ - это, обычно, всё же, немного разные люди. Поэтому то, что удобно для первых - будет далеко не всегда удобно для вторых.

Да, если тебе надо, если у тебя нет выхода, если очень сильно хочется - можно освоить, что угодно, можно привыкнуть к любому интерфейсу (главное - не заработать в процессе привыкания Стокгольмский синдром), можно добыть информацию из любой базы данных. И да, предъявлять претензии по удобству интерфейса open-source проектам, даже к своим - наверное, не очень правильно (хотя, заметку на исправление и доработку интерфейса я себе сделал, так как вопросы такого типа - они не единичные. Это лишь последний, который я получил)... В первую очередь, конечно, вопросы к компаниям.

Возможно, во мне говорят отголоски студенческих лет, в которые я в качестве подработки занимался дизайном. (Про качество того дизайн я, лучше, скромно промолчу. А то, точно, получу что-то типа "чья бы корова...") Но надежда на то, что ситуация изменится, во мне всё ещё теплится)

Ну и, под конец просто вставлю цитату из комментариев к этому посту... (Да-да, в начале поста я немного слукавил - идея этого поста зародилась у меня ещё тогда)

Порекомендуйте, пожалуйста, обучение для UX-дизайнеров в ИБ?)

Пользуетесь ли вы туннелями в Minecraft?

Ещё недавно этот вопрос имел более-менее однозначное значение... Но на днях вышла одна любопытная научная работа, посвящённая созданию бота для этой компьютерной игры, который позволяет затуннелировать ваш траффик и замаскировать его под игровую сессию. По сути, пара безумных учёных взяла игровой клиент и создала на его основе практически полноценный недетектируемый существующими средствами защиты VPN.

Эффективность у этого способа пока небольшая - сами авторы пишут, что максимальная скорость передачи данных составляет 350 кБит/с, чтобы максимально сильно приблизиться к игровому траффику, но сам факт, что кто-то задался таким вопросом, не может не забавлять. Плюс, не удивлюсь, если через какое-то время умельцы докрутят этого бота так, что он начнёт выдавать вполне приличные показатели. С другой стороны, если он начнёт приобретать популярность, то и вычислять его тоже научатся.

Решил немного дополнить информацию по карьерным возможностям в ИБ.

Добавил ссылки на описание разных направлений - какие скиллы нужны, чем занимается специалист и т.д. Вписал (там, где получилось найти) актуальные медианные зарплаты на российском и мировом рынках (статистику взял с Хабра, isecjobs и glassdoor). Ну а на десерт прописал субъективные критерии, по которым мне регулярно поступают вопросы - насколько тяжело найти удалёнку в конкретном направлении, и насколько гибким можно быть, переходя рынка одной страны на рынок другой.

"Рынок зарплат специалистов в сфере кибербезопасности перегрет. Зарплаты специалистов могут доходить до 230к рублей!" (с)

Именно такая статья вышла в честь первого апреля в Коммерсантъ. (Чтоб не гнать лишний траффик этим шутникам можете ознакомиться с текстом тут) Но, я решил представить, что эта статья была не шуточной, и поделиться своим (очень важным) мнением на её счёт...

Итак, небольшой исторический экскурс. Давайте вернём 2017 год! У России (как и у большинства постсоветских, да и у всех развивающихся стран) в тот момент уже было "Три пути - вебкам, закладки и АйТи" (с). Люди приходящие в АйТи и диджитал профессии из регионов получали весьма неплохие для этих самых регионов деньги по простой причине - грамотные специалисты достаточно легко могли найти удалёнку на Мск\СПб, а то и, вовсе, на зарубежном рынке. Как итог - работодателям в регионах приходилось поднимать зарплаты, чтобы удержать, если не лучших, то, хотя бы, средних специалистов.

Безопасников тогда это раздолье обходило стороной - безопасник на удалёнке - это что-то немыслимое для большинства компаний в те годы. А, значит, ни Мск, ни СПб не "пылесосили" регионы (ну, разве что, с целью релокации, на которую готово было не так много людей, так как в таком случае росла не только ЗП, но и стоимость жизни). Поэтому, в зарплатах средних разработчиков и средних безопасников из регионов тогда наблюдалась очень хорошая разница.

Но шли годы. И ситуация с тех пор сильно изменилась. А некоторые работодатели, видимо, до сих пор не готовы это принять. Особенно на зарплатах ИБшников из регионов сказались последние пять лет. Сначала ковид заставил кучу работодателей в тех же Мск\СПб перевести на удалёнку множество сотрудников. В том числе, и безопасников. Потом они задумались - "а, если безопасники работают на удалёнке в нашем городе, что мешает начать нам их набирать со всей страны?.." Ну а начавшаяся война и связанный с ней дефицит специалистов привели к тому, что столицы (особенно, бигтех) начали активно "пылесосить" регионы в поиске грамотных специалистов, как это было с теми же разработчиками. Как итог - зарплаты безопасников потянулись к зарплатам разработчиков.

При этом, до зарплат разработчиков они пока так и не дотянулись, и дефицит специалистов заполнить всё ещё не удалось. Поэтому, говорить о перегретости, на мой взгляд, как минимум, странно. Проблемы, ограничивающие потенциал роста зарплат, безусловно есть, но они стоят не слишком остро. Из таких проблем, лично, я на ближайшем горизонте вижу три пункта:

1. ГТшники, КИИшники и прочие ребята, которым удалёнка вряд ли светит в ближайшем будущем - рост зарплат добирается и до них, но в последнюю очередь - чтобы не перескочили в более перспективные направления.
2. Джуны-пентестеры, которыми в ближайшее время может перенасытиться рынок из-за обилия онлайн-курсов по пентесту, как самому романтизированному поп-культурой направлению ИБ (подробнее писал тут)
3. Практически полная невозможность ухода на удалёнку на международный рынок, живя в РФ. И сложность в релокации - это, пожалуй, единственный общий для всех направлений фактор, который ограничивает рост зарплат. Но, действительно, актуальным для регионов он станет лишь когда Мск\СПб приблизятся к закрытию своей потребности в ИБшниках. А до этого пока, боюсь, далековато...

Пропал на какое-то время, но причина была уважительная. Отпуск + то, что на скрине. Судя по всему, скоро будет серия постов про поиск работы на международном рынке (как только разгребусь с документами для релокации)