☄️ Новости недели. Пока мы отдыхали, рынок подогнал несколько значимых новостей:

➖ Релиз GitLab 16.4 принес более 100 улучшений на платформе #DevSecOps, в том числе: настраиваемые роли, рабочие области для частных проектов, массовые обновления статусов уязвимостей.

➖ Релиз OpenTofu, долгожданной альтернативы с открытым исходным кодом Terraform в качестве инструмента подготовки кода.

Red Hat OpenShift в облачную инфраструктуру Oracle Red Hat OpenShift внедрят в облачную инфраструктуру Oracle, чтобы предложить клиентам более широкий выбор при развертывании приложений в Oracle Cloud Infrastructure (OCI).

#devops #opentofu #gitlab #redhat #oci #oracle

@DevOpsKaz

🔥 5 инструментов DevSecOps для Kubernetes в 2024 году

1️⃣ StackRox

Силовое поле для экосистемы Kubernetes. Постоянно отслеживает подозрительную активность и потенциальные угрозы в кластерах, выявляет сложные угрозы и реагирует на них до того, как они нанесут ущерб.

2️⃣ Devtron

Помощник для занятых команд DevOps, которые хотят защитить свои среды Kubernetes, не жертвуя временем. Shift Security Left, автоматическое исправление уязвимостей и непрерывный мониторинг.

3️⃣ OWASP Kubernetes Security

Швейцарский нож безопасности Kubernetes. Сканирует образы контейнеров и ресурсы, выявляет небезопасные конфигурации, проверяет на соответствие безопасности.

4️⃣ Snyk

Рентген мира контейнеров, помогает увидеть уязвимости до того, как они станут проблемами. Сканирует образы контейнеров, анализирует состав ПО. Легко подключается к вашему конвейеру CI/CD.

5️⃣ Checkov

Cканирует шаблоны IaC на предмет неправильных конфигураций и проблем безопасности, проверяет на соответствие безопасности, поддерживает несколько облаков.

🔗 Повысьте уровень безопасности Kubernetes и спите крепче! Не забудьте поделиться с коллегами 😉

#devops #devsecops #kubernetes #k8s

@DevOpsKaz

🛡 Защита API — узнайте, как повысить безопасность с помощью подробного руководства

👉 В статье вы узнаете про:

➖ Целенаправленное использование JWT
➖ Механизмы безопасного хранения
➖ Заявление об использовании токена
➖ Управление временными метками
➖ Безопасное использование алгоритмов при разработке API
➖ Подписание и проверка
➖ Безопасное управление ключами
➖ Использование хранилищ ключей

Пользуйтесь и делитесь с коллегами 🤝

#devsecops #devops #api #apisecurity

@DevOpsKaz

🔥 DevSecOps и Kubernetes

На платформе TryHackMe нашли раздел K8s Best Security Practices — он помогает изучить важные аспекты безопасности в Kubernetes-кластерах и научиться защищать свои приложения и данные. Здесь есть учебные материалы, лабораторные и практические задания.

📌 На все про все уйдет около 1 часа.

Раздел покрывает темы:

— Service Accounts
— RBAC
— API запросы
— Сканирование образов, SecurityContext и т.д

#devsecops #kubernetes

@DevOpsKaz 😛

🛡 Разбираемся с заголовками безопасности HTTP

Content Security Policy (CSP) для предотвращения XSS-атак, HTTP Strict Transport Security (HSTS) для принудительного использования HTTPS, и другие заголовки на реальных проектах.

👉 Руководство построено по структуре:

— Политики
— Сценарий атаки
— Защита на Apache
— Защита на Nginx

Гайд поможет улучшить защиту веб-приложений и разобраться во взаимодействии заголовков с другими компонентами безопасности.

Пользуйтесь и делитесь с коллегами 🫡

#devsecops #http

@DevOpsKaz 😛

🛡 Разбираемся с уязвимостями платежей

В продолжение поста про заголовки безопасности HTTP, рассказываем про безопасность платежей. Уязвимости в платежных системах могут проявляться по-разному:

➖ Манипуляция ответами: Хакеры перехватывают и изменяют ответы сервера во время проведения платежной транзакции.
➖ Атаки на проверку карт: Сценарии используют украденные данные карт для проверки их действительности.
➖ Межсайтовый скриптинг (XSS): Внедрение вредоносного кода для захвата платежных данных пользователей.
➖ SQL-инъекции: Внедрение вредоносных данных с целью манипуляции базами данных, где хранятся платежные данные.

👉 Руководство построено по структуре:

— Сценарий атаки
— Пример несоответствующего кода
— Поток атаки в несоответствующем коде
— Пример совместимого кода

Зная эти сценарии и используя примеры, вы сможете обезопасить платежные данные и узлы своих клиентов. Пользуйтесь и делитесь с коллегами 🫡

#devsecops

@DevOpsKaz 😛

🔥 Полный гайд по тестированию на проникновение в Kubernetes

👉 Сохраняйте в закладки советы по настройке безопасной инфраструктуры на базе Kubernetes.

Содержание гайда:

— DNS
— Node
— Pod
— Etcd
— Kube-proxy
— Role-Based Access Control
— Стороннее ПО
— Облака
— Автоматизация эксплуатации

Эта wiki-страница поможет защитить ваши кластеры и их компоненты уже на самых ранних этапах развертывания.

#k8s #kubernetes #devsecops

@DevOpsKaz 😛

☄️ Cheat sheet для защиты ваших кластеров Kubernetes

👉 Нашли для вас интересную шпаргалку, которая поможет усилить безопасность Kubernetes — в ней советы по 4 основным разделам:

— Безопасность компонентов Kubernetes
— Network Security
— Безопасность pods и других объектов
— Kubernetes credentials и data security

Также в нашем блоге вы можете прочесть статью «Лучшие практики безопасности Kubernetes за 5 шагов» , чтобы уж точно не пропустить никакую деталь.

#kubernetes #k8s #k8ssec #devsecops

@DevOpsKaz 😛

Abusing GitLab Runners
#gitlab #devsecops

Не самая новая техника hijack'а других gitlab runner'ов, но тем не менее эффективная, если вы получаете доступ к gitlab и/или токен раннера. В этой статье автор хотел бы объяснить, что такое Runners, как они работают и как вы можете использовать их во время пентестов.

➡️Research

➡️Github PoC

Использование:

usage: hijack-runner.py [-h] [--target TARGET] [--register REGISTER] [--attack ATTACK] [--tag TAG]
                        [--clone]

Abuse GitLab Runners

optional arguments:
  -h, --help           show this help message and exit
  --target TARGET      The GitLab instance to target
  --register REGISTER  Register a token
  --attack ATTACK      Use Runner token to steal data
  --tag TAG            Taglist separated with commas
  --clone              Will clone the repo locally

🌚 @poxek | 📺 YT | 📺 RT | 📺 VK | 🌚 Магазин мерча