Шпаргалка по новой линейке IBM Flash System. RIP Storwize.

​​IBM обновила линейку систем хранения данных FlashSystem. Теперь она объединена с моделями Storwize. Плюс вышли новые all-flash системы с софтом от того-же Storwize (ныне называется "Spectrum Virtualize"), в топовых конфигурациях обещают минимальный отклик 70 μs, data reduction до 5:1, до 18M IOPS, до 32PB емкости, итп итд.

Также обновились "головы" IBM SAN Volume Controller. Там теперь новые CPU, 25Gbe и 32G FC.

Сейчас по данным IDC IBM делит 4 место на рынке СХД с Hitachi и Huawei, думаю фейс-лифтинг линейки никак не изменит положение вещей.

WHY KUBERNETES?

Ответ на вопрос, почему стоит использовать Kubernetes, вместо других похожих решений.

https://srcco.de/posts/why-kubernetes.html

GitHub CLI

GitHub запускают официальный CLI. Выглядит адекватно, написан на Go.

https://github.blog/2020-02-12-supercharge-your-command-line-experience-github-cli-is-now-in-beta

Код: https://github.com/cli/cli

Stop using SMB1. Stop using SMB1 . STOP USING SMB1! Даже люди из Microsoft начинают кричать об этом :)

Как удалять SMB и собственно те самые крики:

https://techcommunity.microsoft.com/t5/storage-at-microsoft/stop-using-smb1/ba-p/425858

Записи докладов с CNCF Minsk #5

First part: Cloud Security Posture Management - Aleksandr Slobodanyuk, Senior Security Systems Engineer.
• CSPM - general overview
• Overview of commercial and opensource tools
• How does it work?

Second part: Infrastructure as Code Security - Michael Yudin, Senior Security Systems Engineer & German Babenko, Senior Security Systems Engineer.
• Infrastructure as Code intro
• Security in IaC
• IaC security tools: AWS demo, GCP demo
• Verifying of Terraform code for AWS Cloud with integration of security code scanning tools in IaC pipeline.

https://www.youtube.com/playlist?list=PLwjWMHa5_FX88yf3fapksH9M1OIGM1aNi

Защита информации. Устройства несанкционированного съема информации и борьба с ними
Козлов Сергей Николаевич


Настоящее учебно-практическое пособие подготовлено на основе многолетнего практического опыта ветеранов отечественных спецслужб, специализирующихся на обеспечении безопасности высшего руководства страны и борьбе с терроризмом.

Благодаря представленным в пособии материалам читатель не только сможет ознакомиться с каналами утечки информации, устройствами ее несанкционированного съема (УНСИ) и тактикой преступных элементов при установке и контроле этих устройств, но и получит наглядный и эффективный практикум по организации поиска и локализации УНСИ.

Книга написана простым и доступным для понимания языком, содержит большое количество иллюстраций, что делает ее полезной не только для специалистов в области обеспечения безопасности и работников профильных учебных заведений, но и для широкого круга читателей, чей бизнес предполагает острую конкурентную борьбу.

#dns 🔥🔥🔥 Есть такая технология — DNSSEC. Она позволяет подписывать ответы DNS (это то, что отвечает например за связь домена и IP-адреса), чтобы ответ нельзя было подделать. Внедрение слабое, но есть (требуйте у вашего регистратора или хостера). Но множество клиентов настроены на проверку DNSSEC, если она есть. Корневая зона подписана. Все основные зоны первого уровня — подписаны (включая RU и РФ). Буквально вчера на Дне Кибербезопасности я рассказывал про DNSSEC

Сегодня должна была состояться церемония переподписи корневой зоны. Это выглядит так — избранные «офицеры» имею свои части секретных ключей. Работает это только если сложить всё вместе. Но что-то пошло не так:
https://twitter.com/theiana/status/1227600447289974786

Ключи хранятся в специальном хранилище (HSM), ключи доступа к хранилищу (токены активации) хранятся в специальной сейфе (простите за терминологию, но мне по другому не объяснить, там ларец, заяц, утка и яйцо). СЕЙФ СЛОМАЛСЯ. Криптоофицеры обсуждают, как взломать сейф. Если корневую зону не подписать до 11 апреля, мировой DNSSEC превратится в тыкву. А с ним прекратит нормальное функционирование значительная часть всей системы доменных имен

Кстати. Посмотрел, что пишет об этом российский НЦКЦКЦКЦКЦ и ГосСОПКА:
http://www.gov-cert.ru/
Примерно такая же информация размещена на сайтах Минцифры, Роскомнадзора и Спортлото. Собственно и не то чтобы должны, но при риторике «мимо нас муха не проскочит» я бы назвал это групповым пафосным словоблудием

#dns И раз уж я начал про DNS, сделаю пост для интересующихся (ВНИМАНИЕ — по ссылкам много узкоспециализированной технической информации)

✅ DNSSEC. Руководство регистратора доменов. Декабрь 2016:
Слайды: https://www.slideshare.net/schors/dnssec-71055077
(доклада не существует)

✅ DNSSEC. Руководство оператора. Октябрь 2017:
Слайды: https://www.slideshare.net/schors/enog14-dnssec
Видео Часть 1: https://youtu.be/rrDL7ymvm0A
Видео Часть 2: https://youtu.be/I2UEGPM0_ic
Видео Часть 3: https://youtu.be/RsPEoPWuxoY
Видео Часть 4: https://youtu.be/7e1Wj1wNRaA
Видео Часть 5: https://youtu.be/1b6G4VZJOt0

✅ Безопасность DNS. Популярный обзор современных практик. Сентябрь 2018:
Слайды: https://www.slideshare.net/schors/a-popular-dns-security-overview-modern-theory-and-practice-116166410
Видео: https://youtu.be/wkN1Yqcpj2c

👍 Возможно, под шумок, кто-нибудь решит внедрить DoH, или даже DNSSEC :)

STOP!! You don’t need Microservices.

На какие вопросы стоит знать ответы прежде чем начать использовать микросервисы.

https://medium.com/@ebin/stop-you-dont-need-microservices-dc732d70b3e0

Дописал вот такой вот bash скриптец, который чекает состояние Linux системы (CentOS / Fedora) возможно кому то пригодится

Что проверяет и отображает:

* Системную информацию (IP, имя машины, дистрибутив, архитектура)
* Использование CPU / Memory (в целом на сколько загружены проц, память)
* Использование ЖД (сколько процентов занято)
* Когда последний раз перезагружалась система
* Что примонтировано
* Средняя загрузка
* Провекра статуса systemctl служб

Ссылка на git тоже имеется.

Скрины + описание:

https://sys-adm.in/sections/os-nix/881-bash-sbor-informatsii-o-sisteme.html

👨🏼‍💻 По ссылке разбор CVE-2019-19886, с пояснением, и примером. Автор показывает, как реализуется атака, и роняет Nginx.

#security #modsecurity #nginx

Нашел офигенную(?) штуку для кубов, со слов пары одменов с работы - они довольны.

A web-based, highly extensible platform for developers to better understand the complexity of Kubernetes clusters. https://octant.dev

https://github.com/vmware-tanzu/octant

добрые люди перевели DORA отчет на русский
https://habr.com/ru/post/488212/

DAST for web - подборка инструментов (free)

Zed Attack Proxy (ZAP) - мощный мультиплаформенный инструмент от OWASP для тестировоания безопасности веб-приложений. Инструмент написан на Java , поддерживает автоматическое сканирование, аутентификацию, Ajax spiders, фаззинг, тестирование веб-сокетов. Под ZAP есть плагин Jenkins. Статья про интеграцию.

Wfuzz - инструмент написан на Python, поддерживает аутентификацию, cookies fazzing, мультипоточность, вывод в html, прокси и SOCK

Wapiti - инструмент для опытных пользователей без GUI и веб-интерфейса, имеет поддержку аутентификации с помощью Kerberos и NTLM, умеет првоерять на XXE inj, слабую конфигурацию .htaccess, искать конфиденциальную информацию в резервных копиях

W3af - один из самых популярных инструментов тестироования на Python, есть GUI, легко разваричивается, имет большую базу уязвимостей, расширяется с помощью плагинов. Полный перечень плагинов.

Vega - инструмент на Java с GUI, имеет возможность проверять настройки безопасности TLS / SSL, SSL MITM, расширяется с помощью API-интерфейса модуля JavaScript

Более широкий перечень DAST можно найтти на странице OWASP здесь

Наверняка забыл еще какие-то интересные фичи. Вспомните - пишите в лс )

#dast #tools

"Hands-On Security in DevOps: Ensure continuous security, deployment, and delivery with DevSecOps Kindle Edition"

Содержание
1) DevSecOps Драйверы и проблемы
2) Цель безопасности и метрики
3) Программа и организация обеспечения безопасности
4) Требования безопасности и соответствие
5) Пример из практики: Программа обеспечения безопасности
6) Архитектура безопасности, структура общих модулей, принципы проектирования
7) Практика моделирования угроз и безопасный дизайн
8) Безопасный код, базовый уровень, инструменты и лучшие практики
9) Пример: непрерывные выпуски с безопасностью по умолчанию
10) План тестирования безопасности и кейсы
11) Советы по тестированию WhiteBox
12) Инструменты тестирования безопасности

#literature

IKEv2 IPsec virtual private networks : understanding and deploying IKEv2, IPsec VPNs, and FlexVPN in Cisco IOS
Bartlett, Graham

The IKEv2 protocol significantly improves VPN security, and Cisco’s FlexVPN offers a unified paradigm and command line interface for taking full advantage of it. Simple and modular, FlexVPN relies extensively on tunnel interfaces while maximizing compatibility with legacy VPNs. Now, two Cisco network security experts offer a complete, easy-tounderstand, and practical introduction to IKEv2, modern IPsec VPNs, and FlexVPN.

О функции определения конфликтов в виндовом DHCP + скрипт проверки активности данной функции.

http://techgenix.com/dhcp-servers-conflict-detection/?utm_source=email&utm_medium=tgnewsletter&utm_campaign=tgweekly-200211&hq_e=el&hq_m=1935455&hq_l=10&hq_v=dcfb8202f3

#powershell #Microsoft #DHCP

Key Management Interoperability Protocol (KMIP)

Текущая спецификация KMIP 2.0: https://docs.oasis-open.org/kmip/kmip-spec/v2.0/os/kmip-spec-v2.0-os.html

wiki en: https://en.wikipedia.org/wiki/Key_Management_Interoperability_Protocol

wiki ru: https://ru.wikipedia.org/wiki/KMIP

KMIP разрабатывается OASIS, больше подробностей:

https://www.oasis-open.org/committees/tc_home.php?wg_abbrev=kmip

OSS KMIP Server написанный на python:
https://pykmip.readthedocs.io/en/latest/index.html

OSS KMIP Server написанный на java:
https://www.ibm.com/developerworks/library/se-kmip4j/

#KMIP #Security

Офигеннейший подкаст от @d0znpp с самым известным юристом силиконовой долины Леонардом Грайвером:

https://youtu.be/ysOdh8nOl6U

В подкасте есть все: захватывающие истории кидания через х.й фаундеров инвесторами; тупые русские инвесторы; наивные CTO; как защититься Фаундеру в долине и пр.

10 пегих дудочников из 10