🌥 Зарождение облачных технологий. С чего все начиналось?

• Шестьдесят один год назад, в 1963 году, Управление перспективных исследовательских проектов (DARPA), действующее, как известно, в интересах Министерства обороны США, выделило Массачусетскому технологическому институту грант в размере двух миллионов долларов на очень интересную разработку. Она получила наименование Project on Mathematics and Computation, сокращенно — Project MAC, хотя к «макам» (в современном понимании), никакого отношения не имела.

• Целью исследователей, группу которых возглавили ученые-кибернетики Роберт М. Фано и Фернандо Хосе Корбато, стала разработка принципиально новой системы разделения времени, предназначенной для организации совместного доступа к ресурсам электронно-вычислительных машин нескольким удаленным пользователям. Причина интереса к подобным технологиям со стороны военного ведомства, в общем-то, очевидна: компьютеры в те времена были дорогими, и их насчитывалось относительно мало, а потребность в вычислениях росла стремительными темпами.

• В основу Project MAC легла созданная Фернандо Хосе Корбато за несколько лет до этого экспериментальная система Corbato Compatible Time-Sharing System (CTSS), которая позволяла пользователям нескольких подключенных к ЭВМ терминалов обращаться к одной и той же работающей на такой машине программе. Код CTSS переработали и усовершенствовали, в результате чего уже через полгода 200 пользователей в десяти различных лабораториях MIT смогли подключиться к одному компьютеру и централизованно запускать на нем программы. Это событие можно считать отправной точкой в истории развития облачных технологий, поскольку в рамках данного эксперимента был реализован основной лежащий в их основе принцип — многопользовательский режим доступа по требованию к общим вычислительным ресурсам.

• К 1969 году на основе проекта MAC компании Bell Laboratories и General Electric создали многопользовательскую операционную систему с разделением времени Multics (Multiplexed Information and Computing Service), в фундаменте которой лежали заложенные учеными MIT принципы. Помимо организации доступа к приложениям, Multics обеспечивала совместное использование файлов, а также реализовывала некоторые функции безопасности и защиты данных от случайного повреждения. Именно на основе этой системы в ноябре 1971 года Кен Томпсон создал первую версию UNIX, на долгие годы ставшую самой востребованной многопользовательской операционной системой в мире.

• Можно сказать, что с момента появления UNIX в истории развития облачных технологий на некоторое время наступило затишье, поскольку эта система полностью соответствовала требованиям как многочисленных коммерческих предприятий, так и учебных заведений, где она использовалась в образовательном процессе. Затишье продлилось ровно до тех пор, пока в самой Bell Laboratories не решили заменить UNIX более современной ОС, ориентированной в первую очередь на совместное использование аппаратных и программных ресурсов.

• Это решение стало еще одним шагом к развитию современных облачных технологий. Новая система Plan 9, разработкой которой занималась команда создателей UNIX во главе с Кеном Томпсоном, позволяла полноценно работать с файлами, файловыми системами и устройствами вне зависимости от того, на каком подключенном к сети компьютере они расположены физически. Де-факто, эта ОС превращала всю компьютерную сеть в одну глобальную многопользовательскую вычислительную систему с общими ресурсами, доступ к которым осуществлялся по требованию и в соответствии с правами пользователей — то есть, фактически, в некое подобие современного «облака».

• Следующим важным шагом в эволюции облачных систем стало появление виртуальных машин. Но об этом мы поговорим немного позже....

#Разное

🌐 Tor Project и Tails решили объединить усилия.

• 26 сентября 2024 года команды разработчиков открытых проектов Tor Project и Tails сообщили об объединении, чтобы дать своим пользователям инструменты обеспечения безопасности и противодействия цензуре. Также будут развиваться образовательные программы, чтобы больше пользователей знали, как задействовать различные сетевые технологии. В итоге Tails станет ещё популярнее среди пользователей Tor.

• Сотрудничество Tor Project и Tails преследует несколько ключевых целей:

➡укрепление защиты от слежки и цензуры в интернете;
➡упрощение сотрудничества между проектами и снижение затрат;
➡улучшение образовательных программ для пользователей;
➡расширение возможностей для активистов, журналистов и всех, кто нуждается в безопасности в интернете;
➡интеграция ресурсов и повышение узнаваемости Tails через платформу Tor.

• Руководить объединённой командой будут директора обоих проектов — это Изабель Рафальски из Tor Project и Рут Стейнбергер из Tails. Оба лидера будут совместно управлять проектами, чтобы направить усилия на дальнейшее развитие и интеграцию их технологий, обеспечивающих анонимность и безопасность пользователей в интернете.

#Новости #Tor #Tails

• Новости к этому часу: ирландская комиссия по защите данных (DPC) оштрафовала Meta на 102 млн. баксов! В ходе расследования DPC выяснили, что Meta хранила пароли на серверах компании в виде простого текста.

• Предполагается, что общее число паролей, которые хранились в незашифрованном виде, составляет около 600 млн., а вся эта история началась еще в 2012 году! К слову, к паролям могли иметь доступ около 20 000 сотрудников Meta...

➡️ Источник.

#Новости

🎮 Немного оффтопа или пост выходного дня.

• Олды вспомнят и прослезятся: по ссылке ниже можно поиграть в первую Diablo и даже загрузить свое сохранение для продолжения игры с определенного момента.

➡️ https://d07riv.github.io/diabloweb/

#оффтоп

Доброе утро...🫠

#Понедельник

👨‍💻 Attacking MongoDB.

• MongoDB — это кроссплатформенная документо-ориентированная система управления базами данных. Относясь к категории NoSQL, MongoDB отказывается от традиционной таблично-ориентированной структуры реляционных баз данных в пользу JSON-документов с динамическими схемами, что делает интеграцию данных в приложениях более быстрой и простой.

• Поговорим о защищенности MongoDB. На самом деле MongoDB безопасна в использовании, если вы знаете, что искать и как это настраивать.

• Enumeration:
➡Nmap MongoDB Brute Force Attack;
➡Metasploit MongoDB Login Scanner;
➡Shodan Search for MongoDB Instances;
➡Manual MongoDB Interaction via PyMongo;
➡Common MongoDB Commands;
➡Automating MongoDB Enumeration with Nmap.
• Brute Force:
➡MongoDB Login Methods;
➡Checking for MongoDB Authentication Using Nmap;
➡Manual Brute Forcing;
➡Lack of Authentication in MongoDB Instance.
• Disable Unused Network Interfaces;
• Enable Access Control (Authentication);
• Enable SSL/TLS Encryption;
• Disable HTTP Interface;
• Enable Audit Logging:
➡Set Appropriate File Permissions;
➡Disable Unused MongoDB Features;
➡Enable Firewalls and Limit Access to MongoDB Ports.
• Exploiting Default Admin Users;
• Exploiting Misconfigured Role-Based Access Control (RBAC);
• Leveraging File System Access via MongoDB;
• Leveraging MongoDB API and Insecure Bindings;
• Misconfigured Backup Systems.

#MongoDB #devsecops

👨‍💻 Roadmap для тех, кто собирается в DevOps.

• Многие, кто изучают DevOps, ориентируются на Roadmap.sh. Это классный ресурс, который помогает понять, какие компетенции нужно приобрести в профессии. Но в нём очень много информации, начинающие специалисты рискуют утонуть в деталях.

• Более оптимальный роадмап можно найти на хабре. Он разбит на уровни, фокусирует внимание на том, что в первую очередь понадобится для старта и роста в профессии и содержит ссылки на наши платные и бесплатные курсы. Статья будет полезна разработчикам и системным администраторам, которые хотят перейти в DevOps.

➡️ https://habr.com/ru/post/773618

#DevOps #Roadmap

📰 Использование досок объявлений в фишинге.

• Фишинг — один из самых распространенных векторов атак на сегодняшний день, и одно из популярнейших направлений Социальной Инженерии.

• В этой статье описаны схемы злоумышленников, которые нацелены на покупателей и продавцов на онлайн-досках объявлений! Содержание следующее:

- Как обманывают пользователей досок объявлений;
- Как злоумышленники выбирают жертв;
- Как обманывают жертву;
- Как выглядят фишинговые страницы;
- Группировки;
- Мошенничество как услуга (Fraud-as-a-Service);
- На какие страны направлен скам с досками объявлений;
- Мануал по ворку;
- Монетизация украденных карт;
- Автоматизация мошенничества с помощью Telegram-бота;
- Как выглядят фишинговые ссылки;
- Обновление ботов;
- Что происходит после перехода по ссылке;
- Прибыль и статистика;
- Как не попасться на удочку воркера.

➡ Читать статью [13 min].

#Фишинг

🔑 NIST предложил новые требования к паролям ради удобства пользователей.

• Национальный институт стандартов и технологий США (NIST) предложил пересмотреть некоторые требования к паролям, чтобы сделать их использование более удобным. Так, предлагается отказаться от обязательного сброса паролей, ограничений на использование определённых символов и контрольных вопросов.

• Институт предлагает больше не требовать от пользователей периодически менять пароли. Это требование исчерпало себя, так как сервисы внедряют использование более надёжных паролей из случайных символов или фраз. Их постоянная смена, напротив, мотивирует пользователей к тому, чтобы использовать более простые и легко запоминающиеся сочетания.

• Рекомендации NIST:

➡верификаторы и CSP (структуры, которые регистрируют аутентификаторы) не должны вводить другие правила составления паролей, в том числе о сочетании различных типов символов;
➡обязаны требовать, чтобы длина пароля составляла не менее восьми символов, а также могут требовать, чтобы она составляла не менее 15 символов;
➡должны разрешать максимальную длину пароля как минимум 64 символа;
➡должны позволять использовать в паролях все печатные символы ASCII [RFC20] и символ пробела;
➡должны принимать в паролях символы Unicode [ISO/ISC 10646], и каждый Unicode-символ должен учитываться как один символ;
➡не должны устанавливать иные правила составления паролей;
➡не должны требовать периодической смены паролей, однако верификаторы обязаны производить её принудительно, если есть доказательства компрометации;
➡не должны разрешать пользователям хранить подсказки, доступные неаутентифицированном лицам;
➡не должны предлагать пользователям использовать проверки на основе знаний или контрольные вопросы при выборе пароля;
➡обязаны проверять весь введённый пароль полностью.

• Если рекомендации NIST будут приняты к окончательной версии документа, то они не станут обязательными для всех, но могут мотивировать компании и организации к отказу от многих устаревших практик.

• К слову, что касается периодической смены паролей, то Microsoft еще в 2019 году убрали эти требования из базового уровня безопасности для персональных и серверных версий Windows 10. Об этом я уже упоминал вот тут: https://xn--r1a.website/it_secur/2006

#Разное

👾 DOCGuard.

• Что нужно делать, если перед вами документ сомнительного происхождения? Ответ прост: проверить файлик через определенные инструменты или загрузить на специализированные ресурсы. Одним из таких ресурсов является DOCGuard, который проверит документ на наличие известных уязвимостей, подозрительных скриптов и ссылок на фишинговые ресурсы.

• Но тут немного не об этом. Ценность ресурса представляет совершенно другой функционал, который будет полезен пентестерам и специалистам в области информационной безопасности. У DOCGuard есть очень интересная страница с примерами вредоносных документов, которые не детектят большинство антивирусов, что позволяет мониторить новые техники и методы. Пользуйтесь: https://app.docguard.io/examples

#Malware