#memes #security
https://xn--r1a.website/pathsecure/39

#security #thinkpad

Кажется, скоро буду шить и свой x230

HEADS
NitroPad

#network #security

Рубрика "вредные советы" по управлению локальной сетью.

#security #networking #traidoff #joke

"Сети создаются для Безопасности. Безопасности людей, который пользуются Сетями"

Товарищ поделился очень жизненным видео, описывающим извечную борьбу между безопасностью и удобством.

Коллеги безопасники, учитывайте особенности вашей инфраструктуры!
Коллеги сетевики, учитывайте, что вашу инфраструктуру нужно защищать!

https://www.youtube.com/watch?v=sMlVfdE34-Y&feature=youtu.be

#pentest #security #recommendation

Предлагаю ознакомиться с группой друзей канала.

Записки пентестера. Авторские статьи, тестирование на проникновение, разбор методов атаки и защиты от киберугроз.
@infobes https://xn--r1a.website/infobes

#security #risks #article #habr #theatre

Цепляющая за живое статья о "театре безопасности" в РЖД.

Очень советую к прочтению.

#meme #security #networking #web #bestpractice #waf

Годный получился мем. Делал его 40 минут. Внутри стеганографическое послание, если телеграм его не потер :)

PS: Потер. В комментах к посту оставил файл

PSS: Отпишите в бота, если достали инфу :)

#security #proxy #networking #ad

Давно не было постов. Последние несколько месяцев изучают безопасность виндовой инфраструктуры. И вот совсем недавно столкнулся с интересным кейсом о том, как халатное отношение к внутренней конфигурации инфраструктуры и банальная лень могут привести к компрометации всей корпоративной сети. Решил написать об этом.

Если вы когда-нибудь изучали безопасность виндовых локалок, то наверняка пользовались инструментом Responder. Это довольно удобный и мощный инструмент. В его состав входит возможность отравления запросов к wpad.local - автоконфигурации прокси.

Опытный безопасник наверняка уже понял в чем суть, однако этот пост для молодых специалистов. Поэтому расскажу как это работает и что собственно потенциальный злоумышленник может сделать.

Proxy Auto Configuration (PAC) - очень удобный инструмент, который позволяет с лёгкостью настроить корпоративный прокси сервере для балансировки нагрузки, фильтрации контента и многое другое, но в IT существует извечный конфликт между безопасностью и удобством.

Получить wpad.dat файл можно несколькими способами. Операционная система делает это автоматически:
[1] От DHCP сервера
[2] Через широковещательный запрос к wpad.local
[3] Через запрос к доменному имени wpad.example.com

Именно третий случай был в моём кейсе. Примечательно, что в инфраструктуре заказчика происходила утечка доменного имени из Active Directory. Именно это и послужило вектором атаки. ADшка была настроена на доменное имя лет 5-6 назад. Но к сожалению про это доменное имя забыли. Его аренда истекла и нас удалось взять его под контроль.

Какого же было наше удивление, когда в логах веб сервера мы стали замечать обращения за файлом wpad.dat. После этого смело можно было утверждать о наличии утечки домена.

Помимо того, что пользователи из локальный сети отдавали свои NetNTLMv2 хеши при попытке получить wpad.dat (а в хеше логин и пароль пользователя), нам также удалось навязать пользователям свой прокси сервер через специальный файл конфигураций. Мы просто дали им то, что они хотели :)

Далее появилась возможность перехватывать трафик, идущий из локальной сети через наш прокси. Такие дела.

#security #hardening #linux

Крутой гайд по обеспечению безопасности GNU/Linux систем.

Написано для arch-based дистрибутивов, но указанные на данной странице методы являются лучшими практиками и должны работать почти на каждом дистрибутиве.

#podcast #security

Давно хотел написать пост про подкасты, которые я слушаю. Конечно, я не ограничиваюсь темами IT/Security, но всё-таки хочется соответствовать тематике канала. Поэтому ниже публикую свои любимые подкасты. Советую ознакомиться с каждым из них!

7 Minute Security:
7 Minute Security is a weekly information security podcast focusing on penetration testing, blue teaming and building a career in security. The podcast also features in-depth interviews with industry leaders who share their insights, tools, tips and tricks for being a successful security engineer.

> Мой любимый подкаст про пентесты. Автор невероятно позитивный и интересный. Во много вдохновил меня писать свои подкасты.

- Website
- RSS

Мимокрокодил:
Подкаст про Информационную Безопасность, где три специалиста вмест рассуждают о куче вещей, в которых ничего не понимают.
В главных ролях: Денис Рыбин - twitter.com/_ttffdd_, Егор Карбутов - twitter.com/shikarisenpai, Кирилл Воробьев - twitter.com/whitel1st

> Интересный подкаст про секурити от от специалистов из топовых Российских компаний

- Website
- RSS
- TG

Запуск Завтра:
Подкаст о технологиях, меняющих нашу жизнь. Самат Галимов – человек, который решает проблемы. Он работает техническим директором и все время должен находить общий язык с людьми самых разных профессий и помогать им понять друг друга. Хакеры рассказывают ему про безопасность, дата-сайентисты – про машинное обучение и системы распознавания лиц, разработчики – про то, как сделать сервис, которым будут пользоваться миллионы, и не облажаться. Слушайте их разговоры в новом подкасте студии Либо/Либо.

> Подкаст не совсем про секурити, но в каждом выпуске очень много информации о современных технологиях и о том как они работают.

- Website
- RSS
- TG

SDCast:
Подкаст о разработке ПО и его окрестностях

> Совсем недавно узнал об этом подкасте. Очень зашли последние выпуски про AppSec и API.

- Website
- RSS
- TG

Базовый блок:
Подкаст о блокчейн-технологиях.

> Давно слежу за этим подкастам. Слушал его, когда начал изучать принципы работы блокчейна биткоина. Очень классный подкаст. Автор понятно раскладывает всё по полочкам.

- Website
- RSS
- TG

Cybersecurity Architecture Podcast:
Cybersecurity Architecture Podcast aims to help security professionals to rethink their approach to infosec design and simplify their decision-making process while they face the overcrowded innovative cybersecurity market.

> Слушал этот подкаст когда начал изучать тему ZTNA (Zero Trust Network Architecture). Англоязычный подкаст, но довольно интересно послушать о последних продуктах и решениях

- Website
- RSS

Какие еще подкасты по безопасности можете порекомендовать? Пишите в комментарии!

BTW: Для прослушивания подкастов использую AntennaPod на андроид. Обожаю это приложение.

#meme #security #joke

Сделал еще один мем про секурити. На этот раз Shadow IT.

Подготовил его для завтрашнего выступления на конференции КодИБ в Перми. Регайтесь и приходите)

Буду вещать про практику пентестов

BTW: предыдущий мем

UPD: Зацените мой спич в 2019 году

#recomendation #security #pentest

Меня тут в телевизоре показывают.

Рассказываю про пентесты на митапе @DC7342

#pentest #education #security #codib #talk

Долгожданная запись ИБшногоДвижа с CodeIB.

Рассказываю про такие вещи как:
- CTF соревнования как геймификация ИБ
- Формирование локальных сообществ с целью обмена опытом
- Мой опыт проведения занятий со студентами
- Методы получения информации (статьи, подкасты, каналы)

Благодарю коллег за хорошую работу :)

PS: ссылка на пост про высшее образование в ИБ и альтруизм
PSS: в ближайшее время сформирую список моих источников знаний

#security #microservice #article #science

Решил залить на хабр свою статью по теме магистерской диссертации. Материал мне показался довольно интересным. Хочется сразу предупредить, что я пентестер, а не разработчик, и тем более не архитектор. Поэтому кому-то содержание статьи может показаться банальным или вовсе неверным. Но мне интересно исследовать научные вопросы обеспечения авторизации в микросервисной архитектуре. Буду рад любой конструктивной критике или дополнениям в комментариях. Впереди анализ концепции #ZeroTrust, построение лабораторного стенда и формирование методики.

PS: С докладом буду выступать 8 июня на ВУЗовской конференции АСУИТ-22.