https://gtfobins.github.io/
#linux #exploits #security #pentest

https://habr.com/ru/post/493778/
#scan #zap #security

🔎 Snoop.

Snoop - инструмент разведки на основе открытых данных. Если ещё не встречались с утилитой ранее - попробуйте обязательно, и автору фидбека накидайте.

#security #фидбечат #osint

Sysdig подготовили 12 рекомендаций по поводу сканирования образов контейнеров.

Рассказывают о скане на этапе сборки, так и в реджистри. Ну и немного рекламируют свою платформу

#kubernetes #security

https://martinheinz.dev/blog/19
#docker #security #vuln #scan

Не рекламы ради. Такие инструменты хочется поддержать
#pentest #security

https://www.kickstarter.com/projects/flipper-devices/flipper-zero-tamagochi-for-hackers

https://tttttt.me/zhovner_hub/940

🆖 Тут ребята взяли и прокачали секурити для Nginx. Запаковали это всё в образ и выложили на Github. Из коробки у нас доступен WAF, антивирусная проверка и подкрученные настройки безопасности. Интересно. https://github.com/bunkerity/bunkerized-nginx

#nginx #security

https://chriswiegman.com/2019/11/protecting-your-docker-socket-with-traefik-2/
#docker #socket #traefik #security

https://bbva.github.io/apicheck/
#api #rest #security #devsecops

Вооооот. А еще я наклепал лабу по linux hardening... По большей части это компиляция из известных ресурсов, моего там практически нет. В целом это выглядит как чистый хахреднинг, но на самом деле он лежит в разделе про ansible, потому что тут довольно неплохие задачи которые позволят прокачать свои умения в этом продукте. Так шо объединяем приятное с полезным - инфраструктура как код и сесурити, шобы злобный хацкер не майнил бетховенов на вашем железе!

https://github.com/bykvaadm/OS/tree/master/devops/ansible/lab4

#linux #hardening #security #ansible

https://www.marcolancini.it/2020/blog-semgrep-for-cloud-security/
#security #SAST

https://sequoia-pgp.org/blog/2021/01/26/202101-sq-release/
#pgp #pki #security #tool

🔓 PAM модуль, для специальных паролей, при вводе которых можно выполнять заранее предопределённые действия на сервере.

https://github.com/nuvious/pam-duress

#фидбечат #pam #security

🔧 А вы знали, что в authorized_keys файле можно указывать не только сам ключ, но и дополнительные команды, или ограничения? Чуть подробнее об этом вот здесь: https://twitter.com/cyb3rops/status/1395009709787258882

А вообще, увидел я это в очередном, казалось бы, очевидном мануале по усилению безопасности SSH: https://blog.zsec.uk/locking-down-ssh-the-right-way/

#ssh #security #напочитать

Kubernetes API Access Security Hardening

Подборка рекомендаций по защите вашего кластера Kuberntetes. Можно использовать использовать статью как чек-лист.

👉 https://bit.ly/3CQOVZk

#kubernetes #security

Ускорение установки HTTPS-соединений

Саймон Харн рассказал о том, как HTTPS-сертификаты влияют на производительность сайта — "The Performance Cost of EV Certificates".

Есть три основных типа HTPS-сертификатов: Domain Validation (DV), Organisation Validation (OV), Extended Validation (EV). DV-сертификаты выдаются на основе факта принадлежности домена, как в Let's Encrypt. OV- и EV-сертификаты выдаются организациям за оплату.

EV-сертификат предоставляет большее количество информации для пользователя, но по-большому счёту он не сильно отличается от OV. Вы могли видеть, что сайт использует EV-сертификат, когда в адресной строке рядом с иконкой замка зелёным текстом отображался владелец сертификата. С версии Chrome 77 такие сертификаты отображаются обычным значком замка без зелёного текста.

OV-сертификаты валидируются на стороне веб-сервера отправкой запроса на сервер организации, выдавшей сертификат. EV-сертификаты не могут валидироваться на стороне веб-сервера, поэтому их валидация происходит на клиенте, замедляя установку HTTPS-соединения. Задержка наиболее заметна в странах бывшего СССР, в Восточной Австралии, Канаде и большинстве стран Африки. Некоторые организации сталкивались с минутной задержкой для пользователей в Китае. Эта проблема решается переходом на OV-сертификат.

#http #performance #security

https://simonhearne.com/2020/drop-ev-certs/

🛠 SSHLog - инструмент для логирования (и мониторинга в реальном времени) всей активности пользователя после установки им SSH подключения...

https://github.com/sshlog/agent

Реализовано всё с помощью eBPF. Авторы позаботились, и собрали пакеты для популярных дистрибутивов. Достаточно просто добавить репозиторий и установить из него необходимое.

#ssh #security #logs

Кучно пошло на тему инфобеза, вернее нестандартных приемов!

Еще один забавный метод - прокси, которая разбирает хендшейки протоколов и в зависимости от - пробрасывает в нужный сервис. SSH и HTTPS на одном порту :) Эдакий черный вход "для своих" :)

https://github.com/yrutschle/sslh

Подсказаал: @infras123


#ssh #security #proxy

awesome-tunneling - коллекция селфхостед туннелей на любой случай. Сгруппировано по областям применения и возможностям.

https://github.com/anderspitman/awesome-tunneling

#tunnel #security #network