Мне тут через предложку напомнили о том, что Позитивы когда-то запарились и перевели могучую матрицу MITRE ATT&CK. И сделали они это кстати даже в более приятном интерфейсе, чем в оригинале, за что отдельное спасибо.

Так вот, оказывается они ее еще и продолжают поддерживать в актуальном состоянии – ссылка

Ну а за напоминалку спасибо @readonl7

#BaseSecurity

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Делимся с вами рецептом успеха в кибербезопасности по версии ENISA. Для этого нужен всего лишь старый советский...

Ну а если серьёзно, то в данном документе собраны профайлы основных профессий в информационной безопасности. Можно узнать, какими скиллами необходимо владеть для того, чтобы с уверенностью называть себя экспертом в реагировании на инциденты, пентесте, TI и т.д.

Также здесь описаны основные задачи, которые будет выполнять специалист выбранной профессии. Полезно почитать тем, кто ещё не определился с направлением развития.

#BaseSecurity

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

DevOps полезен всем

Сегодня у нас в меню очень интересный проект - подробная дорожная карта для будущих DevOps специалистов... И не только для них!

Как все мы знаем, ИБ это только надстройка над ИТ. Поэтому хороший безопасник, помимо профильных знаний, также должен иметь крепкие знания касающиеся информационных технологий. На данном ресурсе есть много полезных материалов для изучения Python, Linux, Docker и т.д. Но самое главное - этот roadmap поможет обрести или же укрепить понимание того, как работает микросервисная архитектура изнутри.

Приятного просмотра! И помните, что для выстраивания хорошей защиты нужно также хорошо понимать сам продукт, который вы защищаете. Для атаки это работает также, так что пентестеры тоже не отвертятся.

А, ну и ловите еще один роадмап по девопсу файликом, он чуть менее подробный.

#BaseSecurity #DevSecOps

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Несколько месяцев назад прошла международная конференция по кибербезопасности RSAC 2025 и у нас есть для вас несколько презентаций докладов оттуда.

Architectural Thinking for Secure Design - презентация освещает техники и артефакты для выстраивания безопасной архитектуры приложения.

How Your Engineering Teams Are Being Attacked – It’s Not what You Think - здесь показаны 10 сценариев того, как разработчики ПО могут быть обмануты злоумышленниками.

Revisiting Layered Security: A Robust Approach to Blocking Network Threats - данная презентация посвящена построению многоуровневой защиты от сетевых угроз.

#BaseSecurity

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Недавно наткнулись на список с полезными ютуб-каналами из зарубежного интернета. Сделали его более удобным для вас с кликабельными ссылками.

📹 General Cybersecurity Coverage
- Hak5
- ITProTV
- DC CyberSec
- David Bombal
- Network Chuck
- InfoSec Live
- Security Weekly
- Hack eXplorer
- Cyber CDH
- Black Hills Information Security

📹 Bug Bounty and Ethical Hacking
- The XSS Rat
- Bugcrowd
- Nahamsec
- InsiderPHD
- HackerSploit
- Z-wink University (канал удалён)
- Peter Yaworski
- STÖK
- LiveOverflow
- The Cyber Mentor

📹 Educational and Tutorials (Various Topics)
- Computerphile
- IppSec
- MalwareTechBlog
- The Hated One
- Joe Collins
- The PC Security Channel

📹 Certifications and Career Development
- Outpost Gray
- Professor Messer
- Cyberspatial
- Simply Cyber

📹 Web-Application Security
- OWASP Foundation
- Security Now
- Null Byte

📹 Cloud Security
- Day Cyberwox

📹 Offensive Security and Penetration Testing
- SANS Offensive Operations
- Offensive Security
- Pentester Academy TV

📹 Conferences and Technical Presentations
- Black Hat
- DEFCONConference

📹 Malware Analysis and Forensic
- John Hammond
- 13Cubed
- BlackPerl

#BaseSecurity

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Ну и следом красивая схемка с разбивкой по основным направлениям и технологиям в кибербезе.

#BaseSecurity

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

MITRE ATT&CK у нас дома

Нашли тут матрицу техник, которая вдохновлена всем известным фреймворком от MITRE. В отличие от своей вдохновительницы, эта матрица охватывает атаки на веб-приложений, в то время как MITRE ATT&CK покрывает по большей части инфраструктуру вокруг приложений.

В этой матрице описано много методов атак на приложения, которые использовались APT группировками при реальных инцидентах. Также, помимо самой матрицы, на данном ресурсе есть страница с подробным описанием громких атак на продукты (включая относительно недавний инцидент с криптобиржей ByBit).

#BaseSecurity #AppSec #Pentest

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Держите подгон в виде огромной майндмапы с тулзами красной и синей команды.

За изучение всех этих инструментов полагается ачивка в виде диагноза случайного психического расстройства, выгоревших глаз и больной спины.

#BaseSecurity #AppSec #SOC #Pentest

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Сегодня у нас контент для ушей - выпуск подкаста "Подлодка" про авторизацию и аутентификацию.

Здесь можно послушать про механизмы работы аутентификации, вторые факторы и их плюсы и минусы. Также тут освящаются ошибки в реализации этих механизмов, так что подкаст будет полезен как для синей команды, так и для красной.

Также в описании к подкасту есть много полезных ссылок на руководства по разработке и тестированию механизмов аутентификации.

#AppSec #Pentest #BaseSecurity

🧠 Пакет Знаний | 👨‍🏫 Менторство
📂 Другие каналы

А вот и доклады с оффзона подъехали.

Посмотреть можно как на ютубе, так и в вк. Ещё на сайте оффзона для каждого доклада можно скачать презентацию

Запасаемся чаем со сладостями и приятного вам просмотра!

#AI #AppSec #Pentest #BaseSecurity #DevSecOps #SOC #SecArch

🧠 Пакет Знаний | 👨‍🏫 Менторство
📂 Другие каналы

Держите качественный разбор подходов IAM и PAM.

В посте коротко расписаны функции каждого подхода. Также приведены инструменты, с помощью которых эти подходы можно применить. Ну и на десерт приведена табличка с различиями IAM и PAM.

#BaseSecurity

🧠 Пакет Знаний | 👨‍🏫 Менторство
📂 Другие каналы

Делимся агрегатором новостей по кибербезопасности.

Здесь собраны как новостные статьи с популярных сайтов, так и исследования энтузаистов на гитхабе. Статьи можно фильтровать по датам, типу (пост, новость, видео и т.д.) и категориям, которых аж 11 штук:
- Application Security
- Cloud Security
- Cryptography
- Exploit Development
- Computer Forensics
- Industrial Control Systems
- Network Security
- Reverse Engineering
- Social Engineering
- Operating System
- Malware Analysis

Помимо этого, есть ещё интересный раздел со всеми CVE. Внутри каждого топика можно найти описание уязвимости, номер CWE, присвоенный рейтинг CVSS, и самое интересное - статьи, связанные с выбранной CVE.

Выглядит как очень удобный сервис для того, чтобы быть в курсе всех событий в мире ИБ. Заменит вам 150 вкладок с новостями в браузере и столько же подписок на новостные телеграм каналы.

#BaseSecurity

🧠 Пакет Знаний | 👨‍🏫 Менторство
📂 Другие каналы

Сегодня понедельник, а значит что? Правильно - лучшие статьи прошедшей недели.

Начнём с улучшения защиты вашей системы. Первая статья рассказывает о том, как защитить ваш веб-сайт от ботов, которые создают большую нагрузку и нагружают вашу систему.

После улучшения веба идём работать с инфрой - защитим Kubernetes на уровне ядра Linux. Далее у нас остаются ещё домены AD, которые тоже не помешало бы обезопасить. В этом нам помогут две статьи - Повышение защищённости Active Directory часть 1 и часть 2 (Да, первая часть вышла в апреле, но кто начинает смотреть сиквел без просмотра оригинала?).

Что ж, над защитой поработали, теперь время порадовать и ребят из красной команды. Держите разборы кейсов с багбаунти:
1) баг с использованием NULL в имени пользователя;
2) статья о том, как придумать интересный вектор атаки для обычного IDOR и повысить его в глазах триажеров.

Ещё хотелось бы поделиться обделённой вниманием статьёй с разбором атаки gadget chain, приводящей к RCE.

Далее у нас довольно подробный разбор техник разведки в MITRE ATT&CK.

Ну и под конец немного практики - создаём личный OSINT-комбайн на основе Google Sheets.

#Pentest #AppSec #DevSecOps #SecArch #BaseSecurity

🧠 Пакет Знаний | 👨‍🏫 Менторство
📂 Другие каналы

Самое время проверить себя и своих коллег на профпригодность.

Сегодня хотим рассказать вам о тесте Security Champion, который подскажет, какие моменты нужно подтянуть для прохождения предстоящих собесов.

Тест состоит из 20 вопросов, которые основаны на реальных кейсах взломов приложений. Вопросы посвящены следующим темам:
• Вывод информации в браузер (XSS)
• Обработка данных форм
• Предотвращение CRLF
• Предотвращение RCE
• Работа с SQL

В конце прохождения вам покажут диаграмму с оценкой скиллов по этим темам. Тест хоть и короткий, но вопросы интересные и сложные.

#BaseSecurity

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Всем привет! В этот прекрасный понедельник продолжаем радовать вас интересными статьями с хабра за прошедшую неделю.

Сегодня наша подборка будет состоять в основном из теоретической базы по сетевым технологиям. Первая статья посвящена протоколу DNS и его надстройке DNSSEC.

Следующая статья посвящена протоколу HTTP, а точнее про работу кэширования в этом протоколе. В тексте подробно рассказано про:
- заголовки, связанные с кэшированием;
- определение возраста ответа с примерами;
- распространённые мифы и заблуждения.

Дальше у нас идёт текст про технологию WiFi. В статье освящаются протоколы безопасности (WPA2, WPA3), их различие и современные методы аутентификации.

Ну и под конец парочка статей более практической направленности:
- Разбор уязвимости Blind LDAP Injection на примере CTF таска;
- Разбор пентеста пет-проекта. Хорошая статья, в которой качественно описаны отчёты об уязвимостях.

#BaseSecurity #Pentest

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Тут у Security Vision в их материале для студентов есть интересные статейки.

Они расписали вопросы для собеседований и кейсы вместе с правильными ответами. Заучивать наизусть конечно будет излишне, но ознакомиться точно не помешает, чтобы примерно понимать, что вас ждёт на собесе.

Статьи доступные по следующим специальностям:
- Архитектор безопасности
- Аналитик IT-безопасности
- Специалист SOC
- Администратор систем безопасности
- Программист систем защиты ИБ
- Инженер ИБ
- Инженер по тестированию ПО
- Консультант по ИБ
- Разработчик ПО в сфере кибербезопасности

#BaseSecurity

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Освежаем базу.

В статье автор описывает HTTP с точки зрения безопасности. В тексте нам напоминают базовые принципы сетевых технологий и приводят примеры практического применения этой самой базы - быстрая разведка, аудит из браузера.

Хорошо написанная статья для новичков, так и для тех, кто хочет вспомнить и систематизировать знания.
Подробнее читаем здесь.

#Network #AppSec #Pentest #BaseSecurity

🧠 ПЗ | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Проектирование.

Нашли цикл статей, посвящённых проектированию архитектуры ИТ систем. В цикле вышло 10 статей (на момент написания поста), уже рассказали о:
- что такое архитектура и какая она бывает;
- о прикладных решениях;
- подходы к проектированию;
- подцикл о моделировании на языке ArchiMate.
Статьи свежие и выходят до сих пор.

Описание академическое, но полезно для тех, кто развивается или планирует своё развитие в архитектуре.
Полное погружение тут.

#SecArch #BaseSecurity

🧠 ПЗ | 👨‍🏫 Менторство ИБ
📂 Другие каналы