این هشدار را جدی بگیرید: به تازگی یک آسیب پذیری اجرای کد از راه دور بر روی IP Phone WebUI سیسکو شناسایی شده است که به سادگی به دلیل اعمال نادرست مکانیزم ASLR قابل بهره برداری توسط مهاجمین است. به سرعت وصله های امنیتی را اعمال کنید.

#security_advisory
#analysis

@pishgaman_kaipod

کد گزارش آسیب پذیری: KA-9804131

عنوان گزارش: آسیب پذیری اجرای کد از راه دور بر روی WebUI محصول IP Phone شرکت سیسکو

#security_advisory
#report
#threat_intelligence

@pishgaman_kaipod

به تازگی آسیب‌پذیری‌های متعددی در محصول ABB HMI شناسایی شده است. بهره‌برداری موفق از این آسیب‌پذیری‌ها می‌تواند به مهاجم امکان دهد تا از دسترسی قانونی به یک گره‌ سیستمی آسیب‌دیده جلوگیری کند، با دسترسی از راه دور وضعیت منع سرویس به‌وجود آورد، یا کد دلخواهی را وارد و اجرا کند.

#security_advisory
#analysis

@pishgaman_kaipod

کد گزارش آسیب پذیری: KA-9804121

عنوان گزارش: آسیب‌پذیری اعتبارنامه‌های سخت کدگذاری شده رابط مدیریت انسانی «HMI» محصولات ABB

#security_advisory
#report
#threat_intelligence

@pishgaman_kaipod

در طول پروسه تحلیل و بازبینی آخرین تغییرات صورت گرفته بر روی کدهای سرور ایمیل Exim، پژوهشگران امنیت Qualys یک آسیب‌پذیری اجرای کد از راه دور بر روی نسخه 4.87 تا 4.91 کشف و شناسایی کردند.

مهاجمین با بهره برداری از این آسیب‌پذیری می‌توانند از راه دور دستورات دلخواه با استفاده از تابع سیستمی execv() با سطح دسترسی ریشه بر روی سامانه هدف اجرا کنند، بدون اینکه تخریب حافظه‌ای رخ بدهد یا نیاز به استفاده از تکنیک برنامه‌نویسی بازگشتی «Return-Oriented Programming» باشد.

#security_advisory
#analysis

@pishgaman_kaipod

کد گزارش آسیب پذیری: KA-9804132

عنوان گزارش: بازگشت جادوگر - آسیب‌پذیری اجرای کد از راه دور بر روی Exim

#security_advisory
#report
#threat_intelligence

@pishgaman_kaipod

باسلام خدمت اعضای محترم کانال

ضمن تبریک به مناسبت فرارسیدن سال جدید به اطلاع می رساند:
پیرو تغییر سیاست های هیات مدیره شرکت در سال ۹۹، انجام خدمات و سرویس های امنیتی پیشگامان کی پاد به شرکت امن افزار گستر آپادانا منتقل می گردد، لذا این شرکت مستقلاً فعالیت های این حوزه را با رویکردی جدید و مشتری محور، ادامه داده و از این پس با نام امن افزار گستر آپادانا در خدمت شما بزرگواران خواهیم بود.

سپاس از همراهی شما

‏شرکت Cloudflare قبلا DNS 1.1.1.1 که resolver سریع و امن هست رو راه اندازی کرده بود. حالا چند مورد DNS دیگه را معرفی کرده که برای بلاک کردن بدافزارها و IoC ها می شه ازش استفاده کرد:

1.1.1.2
1.0.0.2
1.1.1.3
1.0.0.3

@amnafzar

شرح سناریوهای حمله در لایه های ۲ و ۳ شبکه
@amnafzar

اگر علاقه دارید یک فیلد تخصصی را در حوزه امنیت انتخاب و به درستی در آن اطلاعات عمیقی به دست آورید میتوانید از لینک زیر شروع کنید :


https://t.co/8qN4ny0cjv?amp=1


باتشکر از آقای حمید کشفی

@amnafzar

آخرین نسخه ITIL 4، ITIL است اما شاید برای شما هم جالب باشد که علت نامگذاری آن اصلا ربطی به نسخه بعد از 3 بودن ITIL ندارد! بلکه علت نامگذاری این ویرایش از ITIL، همزمانی انتشار آن با دوره ای است که در آن زندگی می کنیم و آن هم «چهارمین انقلاب صنعتی» تاریخ بشر است. انقلاب صنعتی چهارم، دوره ای است که در آن ظهور فناوری ‌های نوین در حوزه های رباتیک، هوش مصنوعی، نانوتکنولوژی، پردازش کوانتومی، زیست فناوری، اینترنت اشیا و خودروهای خودران صورت می گیرد و عصر حاضر تمامی موارد این انقلاب صنعتی را در بر گرفته است.
از این رو، با توجه به اینکه امروزه فناوری اطلاعات در هسته مرکزی همه کسب و کارها واقع شده است و متخصصان فناوری اطلاعات در سازمان ها و صنایع گوناگون، اهمیت فوق العاده ای پیدا کرده اند، نام گذاری آخرین نسخه ITIL به نام ITIL 4 اشاره ای بر همسویی نسخه جدید، با انقلاب صنعتی چهارم می باشد و منظور نسخه یا ورژن چهارم از این چارچوب، نیست.
@amnafzar

❇️در شرایطی که ممکن است به خاطر مقوله کرونا ویروس وقت فراقت بیشتری را در بیزینس و کسب و کار خود داشته باشید، زمان خوبی است تا به مقوله امنیت نرم افزارها، محصولات و سامانه های شرکت خود بپردازید تا پس از عبور از این مرحله رکود، قدرتمند تر به بازار برگردید.
تیم متخصص ما اماده است تا با در نظر گرفتن وضعیت اقتصادی فعلی شرکت ها سرویس های زیر را به صورت غیرحضوری به انجام برساند:



🔅تست نفوذ و ارزیابی امنیتی اپ های موبایلی (Mobile App Analysis)
🔅تست نفوذ و ارزیابی امنیتی نرم افزار ها سامانه ها (Web App Analysis)
🔅تست نفوذ و ارزیابی امنیتی نرم افزار و پروتکل (Software and Protocol Analysis)
🔅بررسی و تحلیل امنیتی کد (Source Code Auditing)
🔅تست کارایی (Load/Stress) سامانه های نرم افزاری (Performance Testing)
🔅مشاوره ISO-15408/CC در جهت اخذ مجوز امنیتی محصول از آزمایشگاه های افتا
🔅ارزیابی وضع موجود، مشاوره و دریافت راهکارها جهت بهبود امنیت و کیفیت خدمات
🔅ماشین مجازی امن (VPS) ۳ ماهه





📩کافی است درخواست خود حداکثر تا 31 فروردین ماه با ایمیل info@amnafzar.net در میان بگذارید تا از شرایط ویژه بهرمند شوید.

@amnafzar

اگر اکانت توییتر دارید حتما به این موتور جستجو سر بزنید
https://en.whotwi.com/
(واقعا هیچ جا امنیت نداریم).
@amnafzar

🔵محصول Fortify WebInspect نسخه 19.20
با قابلیت های جدید



✅API (Rest and SOAP) advanced pentest
✅Modern Web application Pentest
✅Support Compiliance PCI DSS, DISA STIG, NIST 800-53, ISO 27K, OWASP, and HIPPAA.
✅Intgration with Burp, Postman and Selenium WebDriver





لایسنس غیررسمی به فروش می رسد، جهت ثبت سفارش لطفا با ادرس ایمیل : info@amnafzar.net در ارتباط باشید.

کشف چند آسیب پذیری از WhatsApp web:



Open Redirect + CSP Bypass + Persistent XSS + FS read permissions + potential for RCE

https://github.com/weizman/CVE-2019-18426

@amnafzar

با WAF شاید چند ثانیه دیرتر به نرم افزار شما حمله شود!
ترکیب packet filtering و یا بهره گیری از RASP محافظت بهتری را ارائه خواهد داد!
@amnafzar

#ITIL4
مدیریت دسترس پذیری در ITIL 4
توجه به میزان در دسترس بودن سرویس، امری ضروری در چرخه ایجاد ارزش سرویس به شمار می رود.

مدیریت دسترس پذیری متاثر از ظرفیت سنجی صحیح، توجه به رویدادها، سرعت پاسخ دهی به رخدادها و تشخیص سریع و پاسخ بهینه به مشکلات است.

1️⃣ گام نخست در مدیریت دسترس پذیری هر سرویس، سنجش سطح انتظار از دسترس پذیری سرویس براساس مدیریت سطح خدمات (SLM) است. این موضوع با توجه به نیاز مشتریان و ذینفعان سرویس، زمان ارائه خدمت ⏱ (به عنوان مثال، 7*24)، میزان عرضه و تقاضا ⚖️ و نیز ظرفیت متناسب با آن و از طریق مدیریت ظرفیت 📈، تعیین می گردد.
2️⃣ گام دوم در مدیریت دسترس پذیری، توجه به رویدادهایی است که می تواند باعث بروز وقفه در ارائه سرویس شود، که راهکار آن استفاده از مدیریت رویدادها می باشد. 🛎
3️⃣ گام سوم موثر بر دسترس پذیری سرویس، شناسایی به موقع مشکلات جهت حل ریشه ای 🔍 آن و جلوگیری از بروز مجدد رخدادها است.
نتیجه گیری: محاسبه دوره ای وقفه های موجود در سرویس براساس شاخص‌های کلیدی عملکرد می تواند سطح مغایرت با توافقنامه های سطح سرویس را تعیین و نقاط قوت و ضعف و بحرانی سرویس را مشخص کند.
لذا تعیین و محاسبه شاخص های کلیدی عملکرد 🔢📊 ، توسط افراد خبره، موجب بهبود سطح دسترس پذیری سرویس شده و تداوم کسب و کار را به ارمغان خواهد آورد.
@amnafzar

Privacy is the First!
@amnafzar