Flipper Zero — мнение пентестера после двух лет «полевой» эксплуатации
#flipperzero

«Дельфин-тамагочи» от Flipper Devices Inc. не нуждается в представлении, но хайп вокруг этого хакерского мультитула уже поутих. Теперь пользователи разделились на два лагеря: одни считают Flipper Zero крутым инструментом, другие не понимают, зачем его купили.

Один из наших пентестеров и социальных инженеров согласился поделиться впечатлениями от использования этого устройства. Он честно рассказал, полезен ли Flipper для проведения тестов на проникновение, какие задачи позволяет выполнять на объектах клиентов и стоит ли устройство своих денег. Рассмотрим плюсы и минусы девайса, с которыми приходится сталкиваться в «полевых» условиях.

А зачем вообще может понадобиться Flipper?
Не все киберпреступники орудуют по ту сторону монитора: некоторые под разными предлогами проникают в офисы компаний, оставляют там закладки и уходят незамеченными. Поэтому тесты на физическое проникновение — важное направление нашей работы.

➡️ Читать далее

🌚 @poxek

Обзор курса Certified Bug Bounty Hunter (CBBH) от HTB Academy
#htb #сертификация #CBBH

Приветствую, в этой статье Руслан рассказал о курсе и итоговом экзамене HTB CBBH. Надеюсь, что это даст понимание всем, кто собирается проходить курс и сдавать экзамен в будущем.

О курсе
HTB Certified Bug Bounty Hunter (HTB CBBH) — это практическая сертификация, которая оценивает навыки кандидатов в области поиска ошибок и тестирования веб-приложений. Обладатели сертификата HTB Certified Bug Bounty Hunter будут обладать технической компетентностью в областях поиска ошибок и тестирования на проникновение веб-приложений на среднем уровне.

➡️ Читать далее

🌚 @poxek

Тонкости импортозамещения CMS. Собираем Bug Bounty и БДУ по реестру отечественного ПО
#bugbounty #ФСТЭК

Статья про поиск 0day в отечественных продуктах, таких как CMS. В статье Дмитрий Прохоров напомнил, что Shodan не панацея, рассказал про поиск 0day в CMSках white и black box'ом, а также про регистрацию CVE БДУ и как оно происходит в наших реалиях.

➡️ Читать далее

🌚 @poxek

Я в отпуск 🫡

p.s. ночью оформил заказ мерча на 100к ₽. Так что ждите информации после моего отпуска :)

Кому ещё не отправил, не переживайте, под вашу ситуацию уже нашел решение, осталось сделать)

Пожелайте хорошего отпуска 🕺

😈 STEIN: ИБ, OSINT — авторский канал от известного OSINT-расследователя. В нём множество обучающих материалов по кибер-разведке и профайлингу с массой полезных инструментов:

· OSINT-разведка: идентификация пользователя по заданной местности
· GEOINT: поиск местоположения по фото
· AlphaBay: Как ошибка в Opsec привела к поимке «короля» даркнета
· OSINT: Нахождение секретной техники ВВС США по фото

📨 Подписывайся и осваивай искусство поиска, оно откроет перед тобой массу возможностей!

Ищите себя в прошмандовках посетителях Positive Hack Days Fest 2
#phd2

https://disk.yandex.ru/d/3mgFqa1q1JYrzg

🌚 @poxek

Генерация модели угроз с помощью AI
#gpt #mistral #gemini #azure #threatmodeling

STRIDE GPT - это инструмент моделирования угроз на основе нейросетей, который использует большие языковые модели (LLM) для создания моделей угроз и деревьев атак для заданного приложения на основе методологии STRIDE. Пользователь дает нейросети данные о приложении, такие как тип приложения, методы аутентификации, а также информацию о том, работает ли приложение с Интернетом или обрабатывает конфиденциальные данные. Затем модель генерирует результаты на основе предоставленной информации.

➡️ Есть статья от VK "Руководство по моделированию угроз для разработчиков"

➡️ Доклад от разработка STRIDE GPT

🛠 Демо можете глянуть ТУТ

Веб-интерфейс поддерживает самые популярные LLM: OpenAI API, Google AI API, Microsoft Azure API, Mistral API. Также, вы можете загрузить диаграмму архитектуры вашего приложения ( у вас ведь есть визуализация архитектуры приложения?))
Можно генерировать:
➡️Модель угроз
➡️Дерево потенциальных атак
➡️Исправления, которые предлагает AI
➡️Модель оценки рисков по DREAD
➡️Пишет тест кейсы на Gherkin

Кому такая штука полезна?
➡️Руководители ИБ
➡️Разработчики
➡️Архитекторы ИТ/ИБ
➡️Аналитики ИБ

Установка:

Ручная установка

git clone https://github.com/mrwadams/stride-gpt.git; cd stride-gpt; python3 -m venv venv; source venv/bin/activate; pip install -r requirements.txt

Установка современного человека

docker pull mrwadams/stridegpt:latest

Запуск:

Ручной

streamlit run main.py

Переходите по URL, который написан в консоли

Нормальный

docker run -p 8501:8501 mrwadams/stridegpt

Переходите на http://localhost:8501
Выполните шаги в интерфейсе Streamlit, чтобы использовать STRIDE GPT

p.s. скоро выйдет новый выпуск подкаста с нейросетевым гостем

🌚 @poxek | 📹 YouTube

Осталось всего несколько часов до закрытия Call Of Papers на Pentest Award.
Я уже подал :)
Жду ваших работ ;)

➡️ https://award.awillix.ru/

🌚 @poxek