Туллинг для специалистов по безопасности контейнеров

В современной разработке контейнеризация радикально изменила способ, которым мы создаем, развертываем и управляем приложениями. Но с этой новой парадигмой приходит и критическая необходимость в безопасности контейнеров.

Вашему вниманию предлагается несколько категорий и инструментов, которые помогут поддержать уровень защищенности на приемлемом уровне (только free / opensource):

Container image scanning:

- Clair
- Trivy
- Anchore Engine
- Grype

Container orchestration:

- Kubernetes
- Apache Mesos
- Nomad

Runtime protection:

- Tracee
- Sysdig
- Falco
- KuberArmor

Configuration management:

- Ansible
- Chef
- Puppet

Vulnerability management:

- Greenbone
- DefectDojo

Container firewall:

- Calico
- Cilium
- Weave Net

Security information and event management (SIEM):

- ELK
- Wazuh

Identity and access management (IAM):

- Keycloak
- OpenIAM

Continuous integration and deployment (CI/CD):

- Jenkins
- GitLab CI/CD
- Travis CI
- GitHub Actions
- Bamboo

Incident response:

- TheHive

Kubernetes Security:

- Aqua Security
- Sysdig Secure
- Twistlock

Что тут у нас? Ой, очередное LPE😁

https://github.com/Dec0ne/DavRelayUp


DavRelayUp - a universal no-fix LPE in domain-joined windows workstations where LDAP signing is not enforced (the default settings).


#ad #redteam #pentest #lpe

Apache HTTP-Request-Smuggling (CVE-2023-25690)

Где-то в апреле была шумиха с новой вулной в Apache, когда mod_proxy вместе с правилами RewriteRule и ProxyPassMatch, приводил к HTTP-Request-Smuggling

В первом случае был следующий прикол

Пользователь запрашивает URL https://testik.com/categories/1, а RewriteRule сопоставляет URL и захватывает значение 1 с помощью регулярного выражения ^/categories/(.*). Затем правило переписывает URL на http://testik.com:8080/categories?id=1, добавляя перехваченное значение к переписанному URL в качестве id параметра запроса.

ProxyPassReverse, уже просто заменяет домен и адрес внутреннего сервера на домен и адрес прокси-сервера, чтобы клиент мог правильно переходить по ссылкам и получать доступ к контенту с проксированного внутреннего сервера /categories/ http://example-shop.com:8080/. Весело, да?


Плюс, замечу, что Apache был уязвим еще к CRLF-injection, который нам будет нужен в дальнейшем

Для его эксплуатации мы уже имеем следующиим запрос

GET /categories/1%20HTTP/1.1%0d%0aFoo:%20baarr HTTP/1.1
Host: localhost

И теперь делаем смагглинг запрос

GET /categories/1%20HTTP/1.1%0d%0aHost:%20localhost%0d%0a%0d%0aGET%20/SMUGGLED HTTP/1.1
Host: localhost

И ответ будет следующий

GET /categories.php?id=1 HTTP/1.1
Host: localhost

GET /SMUGGLED HTTP/1.1
Host: backend