49802
Обратная связь. Вопросы, предложения, пожелания, жалобы - @Social_Engineering_bot
• Нашел очень содержательный и актуальный Mindmap по командам Linux. Всё необходимое на одной схеме и всегда у вас под рукой:
➡Пользовательские;
➡Админские;
➡Встроенные в bash;
➡Команды-фильтры;
➡Мониторинг;
➡И многое другое...
• В хорошем качестве можно скачать по ссылке ниже:
➡️ https://xmind.app/m/WwtB/
#Linux #Mindmap
Хотите в кибербезопасность, но не знаете, с чего начать? Или уже в ИБ и хотите усилить скиллы? У нас есть всё.
3 топовых направления на август:
🟧Active Directory: Пентест инфраструктуры
Научитесь атаковать и защищать ключевой элемент большинства корпоративных сетей.
Старт — уже 18 августа!
🟧Профессия Пентестер
Полный путь в этичный хакинг: теория + практика + портфолио.
⚠️ Успейте с выгодой до 17% до конца августа!
🟧Пентест веб-приложений (WAPT)
Научитесь взламывать сайты и находить уязвимости как в Bug Bounty.
⚠️ Сэкономьте до 17%, оплатив курс WAPT в августе!
Курсы ведут действующие пентестеры — победители the Standoff. До встречи в наших лабораториях! 😎
🚀 Написать в Telegram
📶 Разработка TCP.
• Винтон Сёрф – человек, которого именуют «отцом Интернета». А ещё учёный, изобретатель, программист, руководитель и переговорщик, любитель классической музыки и бывший виолончелист. За 82 года своей жизни Сёрф успел приложить руку к коммерциализации мировой сети, проектированию Межпланетного Интернета, руководил развитием коммерческой электронной почты, а еще принял участие в разработке протоколов TCP/IP, сделавших возможным современный Интернет. Как раз о TCP сегодня и поговорим...
• Начнем с того, что Винтон присоединился к IBM в 1965 году в качестве системного инженера. Он работал над системой распределения времени Quiktran для IBM 7044. Если в двух словах, то эта программа позволяла тестировать или запускать одновременно до 40 разных программ на одном компьютере. Сёрф был участником проекта на протяжении двух лет, когда понял, что знаний о вычислительной технике, полученных во время бакалавриата, ему недостаточно.
• Итак, Сёрф уезжает в Калифорнийский университет, где ранее получил степень магистра, доктора наук и занимался исследованием возможностей сети ARPANET. В марте 1973 года с Сёрфом связался Роберт Кан, недавно перешедший в DAPRA, и предложил поработать вместе. Инженеры уже были знакомы: в аспирантуре они вместе моделировали ПО для компьютеров, связанных сетью ARPANET.
• Полгода молодые учёные занимались разработкой TPC – протокола управления передачей, который должен был решить проблему направления сообщений в разные сети. До этого момента ARPANET объединяла стационарные компьютеры, но будущее диктовало свои условия – к сети должны быть подключены устройства, размещённые и в транспорте (на кораблях, самолётах и др.) Проект стандарта был опубликован в конце 1973-го, а первый запуск состоялся два года спустя.
• Цель работы Кана и Сёрфа заключалась в том, чтобы унифицировать протоколы и программное обеспечение. Любой компьютер должен был стать частью большой сети, не имеющей центрального контроля.
• Технология TCP позволила отправлять большие потоки данных, разбивая их на сегменты, которые впоследствии «соберутся» в единый файл на устройстве получателя. Защитой от потери сегментов является механизм подтверждения получения данных – приняв информацию, получатель реагирует на неё подтверждением, и, если оно спустя время не пришло, сегмент отправляется повторно.
• С момента публикации проекта прошло десять лет – и 1 января 1983 года Интернет был запущен в том виде, в котором мы знаем его сегодня. Несмотря на это, быстрый органический рост сети начался лишь шесть лет спустя, когда Интернет перестал быть исключительно академическим и военным и вошёл в коммерческую нишу.
• Кстати, выражение «сёрфить интернет» по забавному совпадению созвучно с фамилией «отца Интернета» Винтона Сёрфа. Однако, произошло оно от английского слова «surf», тогда как фамилия учёного пишется «Cerf».
#Разное
Открытый практикум Linux by Rebrain: Bash скрипты
После регистрации мы отправим вам подарок! Вы сможете найти его в ответном письме.
👉Регистрация
Время проведения:
20 августа (среда) в 20:00 по МСК
Программа практикума:
▪️Cпособ выполнения скрипта
▫️Параметры скрипта
▪️Переменные окружения
Кто ведёт?
Андрей Буранов — системный администратор в департаменте VK Play. 13+ лет опыта работы с ОС Linux. 11+ лет опыта преподавания. Входит в топ-3 лучших преподавателей образовательных порталов.
Бесплатные практикумы по DevOps, Linux, Networks и Golang от REBRAIN каждую неделю. Подключайтесь!
Реклама. ООО "РЕБРЕИН", ИНН: 7727409582, erid: 2W5zFJG63VA
• Есть старое правило: если можно сделать быстро и удобно, кто‑то обязательно сделает это в ущерб безопасности. В инфраструктурных командах это особенно заметно. Сетевики часто решают задачи «с лёту», и это прекрасно. Пока речь не заходит про пароли. Один из таких случаев стал для автора данного материала хорошим уроком...
• В этой статье описана ситуация, когда сотрудники сопровождения передавали пароль по SSH. В открытом виде.
• Почему это проблема:
➡Передача пароля в аргументах — это классический антипаттерн.
➡Аргументы команд видны в ps, /proc/[PID]/cmdline, Task Manager.
➡Они могут попасть в логи CI/CD.
➡Мониторинг и аудит тоже их подхватят.
➡Многие утилиты (sshpass, plink, WinSCP CLI, rsync, mysql, curl, mRemoteNG) позволяют так передавать пароль — и это соблазн для быстрого «костыля».
• В итоге получить пароль можно даже не трогая сам SSH, что может привести к утечке. Подробности по ссылке ниже:
➡️ Читать статью [3 min].
• P.S. Рекомендую обратить внимание на комментарии, там можно найти полезные советы и рекомендации.
#ИБ #SSH
• А вы знали, что в период с 1931 по 1933 год в Чехословакии была создана самая большая вертикальная картотека? Давайте расскажу, как было устроено хранение документов и что помогало сотрудникам ориентироваться в гигантском хранилище (площадь 370 кв. м., а высота шкафов - 3 метра).
• Ну, для начала, посмотрите фото выше, их там очень много. Как вы все прекрасно знаете, компьютеров в 30-х гг. XX века не было, так что сотрудникам института приходилось работать с бумажными документами. Стремясь облегчить жизнь чиновников, чехословацкие инженеры совершили настоящий трудовой подвиг: спроектировали и построили самую большую в мире картотеку для долгосрочного хранения документов и быстрого доступа к ним.
• Картотека была вертикальной — такая конструкция позволяла эффективно использовать трехметровую высоту помещения. В те годы это была самая большая архивная система такого рода в мире: стеллажи тянулись от пола до потолка и вмещали более 3 000 ящиков с документами. Причем сама система занимала не такую уж и большую площадь — 370 м2. Но как сотрудники добирались до средних и высоких ярусов? Все просто и сложно одновременно.
• Чехословацкие инженеры проявили недюжинную смекалку. Одной из главных инноваций картотеки были электрические подъемные столы. С их помощью сотрудники без труда получали доступ к любому ящику на любой высоте.
• Как все это работало:
➡Подъемные столы могли двигаться вверх, вниз и в стороны. Так что сотрудники могли перемещаться к нужным ящикам, не тратя время на лазанье по лестницам. Сидишь себе на рабочем месте, а оно тебя катает по всем направлениям.
➡Панель управления с кнопками позволяла точно настраивать положение столешницы перед выбранным ящиком. Оператор мог полностью контролировать процесс и останавливаться на нужном уровне.
➡Конструкция столов обеспечивала безопасность сотрудников при работе на любом уровне.
• Нововведение с подъемными столами и электрическим управлением снизило трудозатраты: работа, которая раньше требовала усилий 400 человек, теперь могла выполняться всего 20 сотрудниками архива.
• А вот вам еще немного подробностей. У системы были:
➡Электрические запоры. Сотрудники могли открывать и закрывать ящики нажатием одной кнопки. Ничего не нужно было переносить в руках. Каждый ящик весил немало — ручное открытие повышало бы риск травм на рабочем месте, особенно на высоте. После просмотра документа сотрудник одним нажатием кнопки закрывал замок. Это позволяло избежать случаев, когда ящики оставались открытыми и документы оказывались в свободном доступе.
➡Надежное хранение. Поддерживался постоянный порядок в хранении документов, так как каждый ящик открывался только по необходимости, и система фиксировала само открытие ящика. Это исключало вероятность неавторизованного доступа к информации.
• Документы были тщательно структурированы и организованы по категориям, а это упрощало поиск нужных данных. Кстати, был даже внутренний контроль доступа к ящикам. Например, при каждом открытии автоматически фиксировался код сотрудника и время просмотра документов. Это давало возможность мониторить действия конкретного сотрудника. Такая вот информационная безопасность начала XX века.
• Архивная система была уникальной для своего времени. Ее достоинства оценили и другие государства, так что подобные комплексы появились в США, Германии, Франции и Японии.
• Кстати, с увеличением объема документов возникла необходимость в более эффективных методах их обработки и хранения. Сегодня вся информация оцифрована, а картотека используется как архив старых документов.
#Разное
• Совсем недавно Microsoft предоставляли информацию, что все новые учётные записи будут по умолчанию заводиться без пароля, чтобы защитить их от соответствующих атак, таких как фишинг, подбор пароля и подстановка учётных данных! Новым пользователям предложат несколько вариантов входа в учётную запись, в том числе биометрическую аутентификацию через отпечатки пальцев и распознавание лиц.
• Так вот, на прошедшем Black Hat в Лас-Вегасе, немецкие исследователи Тильман Освальд и доктор Батист Дэвид рассказали, как можно взломать бизнес-версию продукта.
• После того, как Дэвид вошел в систему, используя снимок лица, Тильман, выступая в роли злоумышленника с правами локального администратора, просто выполнил несколько строк кода и внедрил отсканированное изображение своего лица, полученное на другом компьютере, в биометрическую базу данных целевого компьютера. Через несколько секунд компьютер разблокировал систему, приняв его лицо за изображение Дэвида.
• Windows Hello в бизнес-среде работает следующим образом: при первом запуске генерируется пара открытого и закрытого ключей. Этот открытый ключ затем регистрируется у поставщика удостоверений организации, например, Entra ID.
• Сами биометрические данные хранятся в базе данных, управляемой биометрической службой Windows (WBS), и эта БД зашифрована. Затем, после аутентификации, система сопоставляет данные сканирования в режиме реального времени с сохранённым шаблоном.
• Проблема заключается в том, что в некоторых реализациях шифрование, защищающее эту базу данных, не может остановить злоумышленника, уже получившего права локального администратора. Это позволяет ему расшифровать биометрические данные.
• Решение Microsoft Enhanced Sign-in Security (ESS) изолирует весь процесс биометрической аутентификации внутри защищённой среды, управляемой гипервизором системы. Для работы ESS устройству требуется современный 64-разрядный процессор с поддержкой аппаратной виртуализации (поскольку ESS построен на базе технологии Virtualization-Based Security), чип TPM 2.0, безопасная загрузка (Secure Boot) в прошивке и специально сертифицированные биометрические датчики. Microsoft требует такого уровня защиты для своей новой линейки ПК Copilot+, но, как отмечает Освальд, многие существующие компьютеры не справляются с этой задачей.
• Таким образом, ESS эффективно блокирует эту атаку, но не все могут воспользоваться решением. Например, полуторалетний ThinkPad не имеет защищённого датчика для камеры, поскольку в ПК используются чипы AMD, а не Intel.
По словам Освальда и Дэвида, внедрение патча является сложной или даже невозможной задачей без серьёзной переработки, поскольку он затрагивает фундаментальную архитектуру хранения биометрических данных в системах, не относящихся к ESS.
• Тем, кто использует Windows Hello без ESS, рекомендуется полностью отключить биометрию и использовать вместо неё PIN-код. Такие вот дела...
➡️ https://www.theregister.com/2025/08/07/windows_hello_hell_no
#Новости #Microsoft
• Пост выходного дня: недавно обратил внимание на забавное исследование, в котором указано, что некоторые учёные начали оставлять в своих научных статьях скрытые промты для ChatGPT, чтобы нейросеть хвалила их работу.
• При проверке различного материала в сервисе arXiv (это электронный архив для изучения научных статей по различным направлениям) уже нашлись 17 работ от 14 ведущих вузов мира — в каждой статье были скрытые промпты, которые просили ИИ хвалить её и не подсвечивать минусы. Учёные в научных статьях прячут нужный промпт для ИИ в белом тексте минимального размера, а на выходе получают похвалы и восхищение их трудом от «прочитавших» статью ИИ-сервисов.
• Схема, если честно, не новая. Поэтому всегда проверяйте результат анализа \ ответа и внимательно читайте первоисточники, если пользуетесь ИИ.
➡️ https://asia.nikkei.com/business/hide-ai-prompts
#Al
🪟 Windows Home Server.
• 2007 год! Глава Microsoft Билл Гейтс представляет новинку. Она слишком необычная, чтобы сходу дать ей определение. Это серверная операционная система для домашних пользователей. И первый же вопрос, который возникал у любого потенциального покупателя, — зачем она нужна?
• Тут стоит заострить внимание на время. В 2007 году компьютеры, конечно, уже начинали становиться массовым явлением, но чтобы дома держать серверы… Конечно, такое встречалось, но не часто, в основном у энтузиастов. В целом, у подавляющего большинства пользователей попросту не было столько данных, чтобы выделять под них отдельный сервер. Все хранилось на флешках и внешних жестких дисках.
• Правда, была одна категория пользователей, кому нужно много файлового пространства. В основном это касалось любителей качественной музыки. Если до середины 2000-х оцифровка в популярные lossy-форматы вроде MP3 или WMA была вполне приемлемым решением, то с выходом на арену lossless к ним стали проявлять все больше интереса. Внезапно оказалось, что можно сохранять свою коллекцию музыки во FLAC и наслаждаться таким же качеством, как и при воспроизведении с оригинального носителя. Но это же означало и то, что теперь музыкальные коллекции стали занимать сотни гигабайт, которые нужно было где-то хранить.
• Не отставало и видео. Чем лучше качество, тем больше требовалось пространства на диске. Решение казалось очевидным — технологии хранения массивов данных уже давно прекрасно работали на серверном оборудовании. Но вот как добиться того, чтобы обычный пользователь смог разобраться в настройке? Windows Home Server (WHS) стал решением этой задачи.
• Несмотря на то, что WHS полностью обособленная серверная система, у нее есть отдельный «клиент» под названием Windows Home Server Connector. После того как Connector установлен, в меню появляется отдельный пункт, позволяющий открыть консоль управления сервером. Таким образом можно управлять домашним сервером с любого устройства из локальной сети.
• Еще был Drive Extender - это утилита для обьединения в пулы дисков под Microsoft Windows. Поддерживаются файловые системы NTFS и ReFS, кроме того в пул можно добавлять даже сетевые диски. Диски добавляются "на лету" обязательное форматирование не требуется. Идея проста и гениальна. Обычному пользователю не нужно думать над тем, как грамотно организовать управление физическими дисками. Всю головную боль на себя берет DE, распределяя файлы по накопителям.
• Не менее важной была возможность создавать бэкапы компьютеров и хранить их централизованно. В составе коннектора был агент резервного копирования, который управляется удаленно. Иными словами, можно запустить архив каждого ПК прямо из консоли WHS.
• Еще одной полезной функцией WHS является медиасервер. Три щелчка мышью — и у вас есть готовый сервер потокового вещания, позволяющий без проблем слушать музыку, смотреть видео и фотографии напрямую с сервера. Никаких сложных настроек — все работает «из коробки».
• Если посмотреть на WHS, то идеи, заложенные в нем, значительно опередили свое время. Несмотря на все усилия маркетологов, домашняя серверная ОС была попросту не нужна рядовому потребителю. Стоимость в 100 $ не особенно вдохновляла на покупку, да и профит на тот момент казался сомнительным.
• Вместе с этим на рынке начали появляться NAS-серверы, которые «из коробки» предоставляли удобный интерфейс для быстрого создания дискового хранилища. Ну а распространение широкополосного доступа к интернету и развитие облачных сервисов вроде Dropbox сделали WHS бесполезным для большинства пользователей. Да, объемы данных стали расти, но теперь они не хранились локально, а размещались на удаленных серверах.
• Финал истории был предсказуем. Релиз WHS 2011 состоялся 6 апреля 2011, а спустя всего 5 лет, 12 апреля 2016, поддержка была прекращена. На этом история Windows Home Server подошла к концу.
#Разное
• C июля 2024 года по июнь 2025 года Microsoft выплатила рекордные $17 млн. 344 исследователям безопасности из 59 стран в рамках своей программы вознаграждений за обнаружение уязвимостей. Исследователи представили почти 1,5 тыс. отчётов об уязвимостях. Максимальная индивидуальная награда достигла $200 тыс.
• Отчёты экспертов помогли устранить более 1 тыс. потенциальных уязвимостей безопасности в различных продуктах и на платформах американской корпорации, включая Azure, Microsoft 365, Dynamics 365, Power Platform, Windows, Edge и Xbox.
• Указано, что за предыдущий период Microsoft выплатила $16,6 млн. 344 исследователям безопасности из 55 стран. По сравнению с Apple, которая платит за критич. уязвимости по $1000, это действительно много 😁
➡️ https://msrc.microsoft.com/blog/bounty
#Новости #bb #Microsoft
🎮 Хорошо забытое старое.
• Сервисы, предоставляющие пользователям игры по подписке, — вроде бы новая идея. Но на самом деле еще за 40 лет до появления сервиса Game Pass от Microsoft некоторые компании предлагали нечто похожее.
• Начало подписного бума положила компания Mattel. Она представила PlayCable — периферийное устройство для консоли Intellivision (на фото). Девайс подключал пользователей к постоянно обновляемому каталогу игр за $12,95 в месяц. Игр было много, среди них встречались очень популярные, вроде Utopia.
• Проект PlayCable не был локальной инициативой. В его реализации приняли участие 13 кабельных провайдеров США. Компания также платила за рекламу знаменитостям — все как сегодня. Например, компания заплатила известному бейсболисту того времени за участие в нескольких рекламных роликах, выходивших на экраны в 1982 году.
• PlayCable был главным, но не единственным игроком рынка игровых сервисов того времени. Не обошлось и без конкурентов, один из которых, GameLine, стал партнером Atari в 1983 году. Сервис был совместим с Atari 2600, причем подключение к нему обходилось лишь в $60 за периферийное устройство, Master Module, плюс $15 за активацию сервиса. Подписки не было, вместо этого геймеры платили повременно — $1 в час за игру.
• В том же 1983 году появилось еще одно решение от The Games Network. Компания не подключала консоли геймеров к сети. Вместо этого она предлагала собственное игровое устройство, которое представляло собой нечто похожее на ПК. Можно даже сказать, что в некотором смысле она предлагала пользователям тонкий клиент. Сам по себе он ничего почти не умел и был полностью завязан на сетевые функции. Компания тоже не была маленькой — ее сервис предлагался жителям США, Канады, Великобритании и Германии.
• И это еще не все, у Канады была своя собственная стриминговая игровая сеть. Она называлась Nabu, а слоганом ее была фраза «Переключись на умный ТВ!».
• Но вернемся к PlayCable — это был объединенный проект компании General Instrument, разработавшей специализированные адаптеры для кабельных сетей. Систему от PlayCable подключали кабелем сначала к приставке Intellivision, а потом — к устройству поставщика услуг кабельного ТВ. После подключения данные передавались в FM-диапазоне.
• При включении системы на экране ТВ появлялось приветствие с подключением к «умному» телевидению. Сервис был быстрым, его основа — алфавитный каталог игр, загрузить которые можно было за считанные секунды. Понятно, что их размер был чрезвычайно мал, но все же.
• Было еще одно важное отличие от современных консолей — у приставок того времени не было внутренней памяти, все загружалось в оперативную. Так что игру нужно было скачивать и загружать при каждом запуске PlayCable.
• Что касается устройства от Games Network, то оно не подключалось к консолям и представляло собой полноценную игровую систему, к которой можно подключать дисководы, принтер, джойстики и другую периферию. Подключение к каталогу производилось через модем и телефонный кабель. Подключаться можно было и к другим компьютерным сетям.
• PlayCable, GameLine и The Games Network были очень современными сервисами. Они предлагали клиентам каталог сетевых игр более чем за десять лет до появления всемирной паутины. К сожалению, ни одна из этих компаний не пережила 1984 года.
• Одна из причин — технические сложности, ведь нужно было договариваться с операторами кабельной связи и платить им. Вторая причина — достаточно дорогая подписка. Третья причина — разногласие между партнерами Mattel и General Instrument. Проблема привела к тому, что оборудование для подключения к сети не обновлялось, инфраструктура не модернизировалась, так что пользователи не могли играть в более поздние игры.
• Ну а потом начался крах, начало которому положил 1982 год. Этот и последующие годы стали кошмарным временем для индустрии видеоигр. Компании выходили из проектов, подразделения продавались и покупались. Было уже не до игровых сетей. Вот так и зарождались сервисы по подписке...
#Разное
🌩 Приватность в облаках.
• Вы все прекрасно знаете, что «Защищенные облака» бывают только в сказках. Поэтому не ведитесь на «швейцарскую юрисдикцию» или «военный уровень шифрования». Это чистой воды маркетинг, чтобы завлечь доверчивого мамонта, которому есть что скрывать.
• Ну вот прикиньте ситуацию. Вы открыли свое облачное хранилище. Самое защищенное и самое приватное в мире. И, естественно, весь кибер-сброд стал покупать у вас хранение, потому что вы никогда и никого никому не выдадите. Пройдет год и у вас на дисках скопится куча прона крайне сомнительного содержания: украденные файлы, сэмплы вирусов, может быть, даже документы бородатых людей определенного рода деятельности. В общем, помойка будет лютая.
• Поэтому после очередной «ситуации» специалисты «откуда надо» узнают, что все бармалеи мира хранят данные у вас. Что будет дальше? К вам придут с требованием начать сотрудничество. Или вы станете соучастником. И тут вы начинаете думать о сделке с совестью. Либо вы идейный товарищ, борцун за анонимность и никого не сдадите – тогда вам не поздоровится. Причем за чужие грехи. Либо вы всех сдаете, но после этого ни о какой «приватности» на вашем сервисе речи больше быть не может.
• Примерно такой сюжет происходит с каждым владельцем облаков. Либо вы сканируете файлы своих клиентов на предмет запрещенки, либо у вас скоро не будет никакого бизнеса. Так что приватность – это большая ложь. Приватности быть не может. Это я уже доказал на простом примере. Но что делать, если приватность нужна, а к удобствам пользованием облаком вы уже привыкли?
• Все просто. Вам нужен Cryptomator. С его помощью вы прямо внутри облака можете делать защищенный контейнер, в котором файлы шифруются на лету. Проще говоря, это облако, которое шифруете вы сами. И работать с ним удобно. Взяли самое дешевое (или даже бесплатное, sic!) облако (хоть Google Drive, хоть богомерзкий OneDrive или Dropbox) и сделали на нем контейнер. И все, пользуйтесь! Плюс Cryptomator бесплатный. Чего еще пожелать?
➡️ https://cryptomator.org
#Cloud #Tools #Security
• Многие считают, что основоположником социальной инженерии считается Кевин Митник, который получал доступ к информации не только при помощи технических средств, но и при помощи психологических методов и приёмов. Согласны вы с этим мнением, или нет, решать только вам.
• Митник родился 6 Августа 1963 года. Сегодня ему бы исполнилось 62 года, однако 16 июля 2023 Кевин скончался от тяжелой болезни... Он был самым известным хакером 90-х годов, он проникал во множественные правительственные и корпоративные системы. Ему противостояли лучшие специалисты ФБР по информационной безопасности, которые в итоге смогли достать Кевина и осудить по всей строгости закона.
• Вот некоторая хронология ранних хаков Митника:
➡12 лет — первые мошенничества с телефоном;
➡15 лет — подделка автобусных билетов;
➡16 лет — взлом школьной компьютерной сети и взлом радиосвязи Макдональдса;
➡17 лет — первое незаконное проникновение на территорию Pacific Telephone и первый условный срок;
➡18 лет — взлом Университета Южной калифорнии, арест;
➡25 лет — первый тюремный срок — 12 месяцев, запрет пользоваться телефоном;
➡28 лет — взлом телефона Novatel (с использованием соц. инженерии), что позволяло менять Митнику ESN.
• В 2002 году Митник основал свою собственную компанию по информационной безопасности под названием Mitnick Security Consulting LLC. Организация предоставляла услуги по тестированию на проникновение, аудиту безопасности, обучению персонала и разработке политик безопасности для различных клиентов, включая правительственные, военные и корпоративные организации.
• С момента смерти Митника на хабре публиковалась его биография, которую описали в мельчайших подробностях. Материал очень объемный и рассчитан на несколько часов времени. Если интересно, то переходите по ссылкам ниже.
➡Часть 1: Бурная юность тёмного гения;
➡Часть 2: Кондор учится летать;
➡Часть 3: «Фортуна повернулась ко мне задом»;
➡Часть 4: Самый странный повод взломать военных;
➡Часть 5: Призрачный номер и загадочный хакер;
➡Часть 6: Кошки-мышки с федералами;
➡Часть 7: Призрак в маске мертвеца;
➡Часть 8: Вконец обнаглевший подпольщик;
➡Часть 9: Туман Сиэтла, саспенс и чёрный вертолёт;
➡Часть 10: Киберсамурай выходит на охоту;
➡Часть 11: Глазами оскорблённого охотника;
➡Часть 12: В сжимающемся кольце охоты;
➡Часть 13: Хакер в объятиях системы;
➡Часть 14: Из изгоев к звёздам.
#SE #Митник #Разное
• Очередная true story со скамом через тестовые задания на собеседованиях... До уровня предыдущей истории далековато, однако почитать весьма полезно и интересно. Если ищите работу за пределами своей страны, то будьте осторожны.
➡ Источник.
#Фишинг #SE
📶 Telnet.
• Когда создавался протокол Telnet, об аспектах безопасности практически никто не задумывался. До массового распространения персональных компьютеров было минимум десятилетие, а вот идея создать простой протокол для удаленного управления была очень востребована.
• Системы того времени чаще всего работали с компьютерными терминалами, специализированными девайсами, совмещающими в себе дисплей, клавиатуру и часто указательные устройства, вроде трекбола, мыши или светового пера.
Некоторые производители предусматривали подключение нескольких таких терминалов к одному компьютеру, что давало возможность одновременной работы множества пользователей.
• Примерно в то же время была придумана концепция виртуального терминала (Virtual TTY). Это программный интерфейс, который полностью имитирует поведение настоящего устройства. Такая абстракция позволила отвязать пользователей от конкретного «железа» и бонусом дать возможность работать за терминалом без необходимости его физического подключения.
• Telnet был спроектирован как раз для решения этой задачи. В самом названии протокола заложен его смысл — TELecommunications NETwork, то есть сеть телекоммуникаций. Некоторые исследователи предлагают иную, неофициальную, расшифровку аббревиатуры — Teletype Over Network Protocol. Истина, вероятно, где-то посередине.
• С возложенной на него миссией Telnet справился великолепно. Пользователи получили доступ к виртуальным терминалам прямо по сети. Это сильно расширяло возможности построения распределенной вычислительной инфраструктуры. Поддержку этого протокола постарались реализовать буквально везде — на тот момент наличие клиента Telnet было само собой разумеющимся явлением.
• Почему же мы сейчас администрируем серверы и настраиваем роутеры по SSH, а не через Telnet? Увы, этот протокол не предусматривал никакой защиты или шифрования. Все данные передаются по сети в открытом виде, даже если это логины или пароли. Получается, что Telnet бесполезен для любого применения, где необходима хотя бы минимальная конфиденциальность. Это и поставило жирный крест на его массовом использовании.
• Парадоксальным образом практически все вендоры сетевого оборудования продолжают поддерживать его и добавлять в свои продукты. В первую очередь это сохраняет обратную совместимость. Многие промышленные и военные системы были созданы для использования Telnet, и их модернизация попросту нерентабельна. Такие заказчики будут вынуждены искать современные устройства с поддержкой древних протоколов, и это меняет правила игры.
• Вторая причина звучит хуже. Сейчас дешевизна разработки и скорость выхода на рынок всегда имеют приоритет над безопасностью. Так что многие компании предпочитают встраивать в недорогие потребительские устройства простой Telnet, а не более защищенный и сложный в реализации SSH. Его включают на этапе отладки и часто забывают выключать. В итоге десятки тысяч устройств в интернете имеют открытый порт Telnet и не предусматривают никакой аутентификации, что делает их очень легкой жертвой хакеров.
• Но есть у протокола Telnet одно применение, о котором знают немногие, — его до сих пор используют радиолюбители для передачи публичных данных о выходящих в эфир радиостанциях. Так то...
#Разное
• Вот так неожиданность: по информации ИБ специалистов МТС, в мессенджере Max появились первые мошенники, которые тестируют новые схемы обмана пользователей.
• Если мошенничество связано со звонками, то это плохие новости, ведь злоумышленники могут дозвониться до вас даже в том случае, когда вы едите в лифте, находитесь на парковке и других "труднодоступных" местах... Будьте осторожны и предупредите близких.
➡️ Источник.
#Новости
• Нашел хорошую заметку с всевозможными ресурсами (курсами, CTF, карьерными треками, документацией и всего прочего) для старта карьеры в ИБ.
• Заметка будет крайне полезна не только студентам, но и уже практикующим специалистам. Забирайте по ссылке ниже и добавляйте в закладки:
➡️ https://www.notion.so/ib
#ИБ
🖥 12 августа – уникальная дата в мире IT: 44 года назад появилась первая массовая персоналка от IBM и MS-DOS.
• В 70-е годы XX века компания IBM ориентировалась в основном на корпоративный рынок, считая, что ограниченный спрос на ПК не позволит построить серьезный бизнес. Однако бурный рост популярности персоналок Altair 8800, Commodore PET, Sinclair Mk14 и Atari 400/800, которым на пятки наступала Apple со своей продукцией, заставил крупные корпорации шевелиться. В 1980 году IBM начало разработку собственного настольного ПК, и 12 августа 1981 года IBM PC 5150 был представлен публике. Это изделие стало первым компьютером в сверхпопулярной линейке IBM PC. Наступила эпоха тотальной компьютеризации человечества, флагманом которой стали машины на базе архитектуры х86.
• Основной целью, которую руководство IBM поставило перед своими инженерами, было создание компактной и универсальной персоналки, быстродействие и производительность которой позволили бы использовать такую машину как на крупных предприятиях, так и в мелком бизнесе, а при желании и наличии достаточных средств — даже дома. И эта задача была решена. Сердцем IBM PC 5150 стал процессор Intel 8088, работавший на частоте 4,77 Мгц, при этом машина была оборудована оперативной памятью объемом от 16 до 64 Кбайт, которую можно было увеличить путем установки дополнительной платы расширения до 256 Кбайт.
• Подходящего по габаритам для компактного корпуса компьютера жесткого диска у IBM не нашлось, да и питания для него не хватало, потому в качестве накопителя машина использовала два 5-дюймовых дисковода.
• Первая модель IBM PC комплектовалась монохромным дисплеем IBM 5151, однако позже в производственную линейку добавился цветной монитор IBM 5153, при этом компьютер поддерживал одновременно два стандарта видео: MDA и CGA. Первый обеспечивал вывод монохромного текста с высоким разрешением, но не мог отображать больше ничего, а второй выводил цветную графику и текст со средним и низким разрешением.
• В качестве операционной системы персоналка использовала PC DOS 1.0 и CP/M-86. Однако в этот же день, 12 августа 1981 года, состоялось еще одно знаковое событие, впоследствии буквально перевернувшее компьютерную индустрию с ног на голову. А именно, никому не известная компания Microsoft выпустила на рынок операционную систему MS-DOS, которую стали массово устанавливать на IBM-совместимые ПК. При этом сама MS-DOS 1.0 представляла собой по большому счету переименованную 86-DOS, которую Билл Гейтс купил за 75 000 долларов у разработчика Тима Патерсона из Seattle Computer Products. А та, в свою очередь, являлась портированной для процессоров Intel усовершенствованной версией CP/M от Digital Research.
• Компьютер был очень благожелательно встречен публикой. Еще до его официального выхода компьютерные издания хором восхищались заявленными характеристиками ПК, а после поступления машины в продажу появилось множество хвалебных обзоров, авторы которых буквально восхищались инженерными решениями, производительностью и возможностями IBM PC. Уже в первый год было продано более 130 000 экземпляров этого компьютера, а поскольку он был разработан на базе открытой платформы, вскоре появились многочисленные клоны, выпуск которых наладили Compaq, Eagle Computer, Handwell Corporation и другие компании. Фактически, из главных конкурентов IBM PC среди несовместимых платформ на рынке 80-х осталась только линейка Apple Macintosh.
• Персональный компьютер IBM PC (5150) стал одним из самых популярных ПК в мире, а IBM PC — превратился в стандарт. Большинство современных персональных компьютеров являются дальними потомками и прямыми наследниками этой уникальной машины. Так то...
#Разное
• Весьма любопытный tui тренажёр для обучения основам работы в терминале. Содержит около 70 заданий, которые вам предстоит решить. Проходить увлекательно и полезно, так что рекомендую для самообразования и получения необходимого опыта.
➡️ https://github.com/learnbyexample/TUI-apps
• Кстати, у автора есть ещё несколько tui программ, с помощью которых можно потренироваться в работе с awk, grep, sed и регулярками...
#CLI #Linux
• Go — популярный языка программирования, который высоко ценится этичными хакерами за его простоту, эффективность и надежность. Если у Вас есть потребность в изучении данного языка, то держите бесплатный курс для начинающих.
• Данный материал поможет вам научиться писать простые сервисы и использовать этот язык в некоторых рабочих задачах. Кстати, там еще есть большая подборка материала для погружения в тему. Содержание следующее:
➡Полезные ресурсы для погружения в Go. Часть 1;
➡Полезные ресурсы для погружения в Go. Часть 2;
➡Fuzzing-тесты в Go после v1.18: знакомство и практика;
➡Как написать свой REST API на Go? Разрабатываем сокращатель ссылок;
➡Как разработать gRPC-сервис на Go;
➡Подключение Go к Apache Kafka;
➡Как тестировать Kubernetes с помощью Go.
➡️ https://selectel.ru/blog/courses/practical-go
• В качестве дополнения рекомендую рассмотреть еще один бесплатный курс на платформе stepik. Этот материал подойдет для тех, кто не имеет опыта в программировании. В курс входят 42 урока, 110 тестов и 45 интерактивных задач: https://stepik.org/course/100208
#Курс #Go
Хорошего DevOps-инженера непросто найти, трудно недооценить и ещё сложнее — заменить. Спрос на специалистов стабильно превышает предложение, а зарплаты — в числе самых высоких в IT.
Если хотите развиваться в профессии с высоким потенциалом, начните с курса Нетологии «DevOps-инженер с нуля». Уже через 6 месяцев вы сможете трудоустроиться сисадмином, параллельно осваивая навыки DevOps.
В результате научитесь:
👉 работать с Docker, Kubernetes, Jenkins и Git;
👉 настраивать CI/CD и мониторинг инфраструктуры;
👉 администрировать Linux, Windows и базы данных;
👉 использовать облачные технологии и микросервисы.
Вас ждут минимум 4 проекта в портфолио, бесплатный доступ к Yandex Cloud и 10 QA-сессий с экспертами из Alibaba Group, ВКонтакте и Ozon, где сможете задать любые вопросы о профессии.
А чтобы быть ещё конкурентоспособнее, вы подтянете английский и познакомитесь с основами Python.
Сейчас на курс действует скидка 40% — записывайтесь 💡
Реклама. ООО "Нетология". ИНН 7726464125 Erid 2VSb5xPjPRj
• На хабре недавно опубликовали очень хороший лонгрид по Docker, в котором описаны механизмы контейнеризации + примеры, эксперименты и реализация. Подойдет новичкам, кто хотел погрузиться в данную тему.
• Краткое содержание:
➡Chroot как первый популярный механизм, с помощью которого можно изолировать процесс в контексте файловой системы;
➡Namespaces как механизм, представляющий собой прослойку между желанием процесса получить ресурс и самим ресурсом;
➡Cgroups как ещё один механизм изоляции процессов, но только уже в контексте физических ресурсов системы;
➡OverlayFS как способ экономить место за счёт хитрой работы с файловыми системами контейнеров. Самое главное, поняли почему Docker слоёный пирог :);
➡Стандарт OCI как вещь, на которой держится вся современная контейнерная инфраструктура и утилиту runC, являющуюся эталонной реализацией OCI.
➡ Читать статью [33 min].
• Не забывайте про дополнительный материал:
➡Docker Security - очень объемная Wiki по безопасной настройке Docker. Крайне много информации по Socket, Capabilities, Escape from Containers и т.д.
➡Список вспомогательных приложений и скриптов для автоматической проверки Docker образов на уязвимости;
➡Docker с нуля: бесплатный курс от Select;
➡Актуальная и объемная шпаргалка по Docker на русском языке. Включает в себя команды для работы с сетью, образами, дисками и т.д.;
➡Metarget: инструмент, который позволяет развернуть уязвимую версию Docker. Будет полезно пентестерам для получения практического опыта;
➡Secret Docker Commands: небольшое видео о полезных и продвинутых командах Docker, которые обычно не встречаются в документации;
➡Play with Docker — онлайн-сервис для практического знакомства с Docker;
➡Attacking Docker: хорошая статья, которая включает в себя описание актуальных методов атак на Docker, описание различных уязвимостей и неправильных конфигураций, слабых мест в различных компонентах и т.д.;
➡Docker Security: еще одно объемное руководство по безопасной настройке Docker.
#Docker
🎉 Результаты розыгрыша:
🏆 Победители:
1. OnyxRed (@onyx_red1980)
2. Макар (@mspirin)
3. 4D61686F75 (@akinoiro)
4. Саша (@apprilepin)
5. Johny (@JohnyKurgan)
✔️Проверить результаты
Сегодня «Лаборатория Касперского» выпустила первую коммерческую версию Kaspersky NGFW!
В релизе много новых фич, часть из которых доработана по итогам пилотных проектов второй беты, которую коллеги выпустили в апреле этого года.
Самое важное в коммерческом релизе:
* Detection Rate 95% у IDPS*
* Производительность 180 гбит/сек в режиме L4 со включенным Application Control**
* 7000+ поддерживаемых сигнатур у IDPS
* User-aware политики
* FQDN в качестве destination в правилах межсетевого экрана
* Динамическая маршрутизация (BGP, OSPF)
* DHCP relay
Была проведена значительная работа по улучшению стабильности работы отказоустойчивого кластера active-passive на базе собственного протокола KHCP (Kaspersky High-availability Cluster Protocol) и добавлена поддержка мониторинга интерфейсов в кластере.
В коммерческой версии 3 модели оборудования серии KX: 100, 400 и 3500, можно выбрать модель по необходимой производительности. Все железо форм-фактора 1U – для экономии места в стойке. В будущем релизе 1.1 появится еще одна модель оборудования KX-1000.
Отдельно хочется отметить понятную и прозрачную политику лицензирования. Важный факт для корпоративных клиентов: если лицензия истекает, решение остается работоспособным, но обновление локальных баз и взаимодействие с Kaspersky Security Network становится недоступным.
Стоит также напомнить, что решение управляется централизованно через консоль OSMP, поддерживает различные XDR-сценарии, интегрируется с песочницей Kaspersky Anti Targeted Attack, а в основе решения производительный Stateful Firewall, продвинутая SSL/TLS-инспекция и данные Kaspersky Threat Intelligence.
Узнать все о возможностях решения, ознакомиться с методикой тестирования и записаться на пилот можно на странице решения.
* Данные IXIA BreakingPoint, Strike Level 3 и 5, 2521 попытка атак
** Тестирование проводилось с 20 000 правил Firewall и включенным логированием
• Нашел бесплатный курс по SQL с множеством объемных уроков, которые включают в себя необходимую теорию, практические занятия в редакторе Mode от полных новичков до продвинутых спецов SQL, включая всю базу (SELECT, WHERE, ORDER BY, LIMIT и логические операторы), а также продвинутые темы (агрегирующие функции, GROUP BY, HAVING, соединение таблиц). В проекте доступен симулятор на реальных данных, A/B тестирование и инсайты продукта.
➡️ https://mode.com/sql-tutorial
• P.S. Не забывайте про текстовую игру SQL Noir. По сюжету вы будете выступать в роли детектива, которому необходимо решить определенный пул задач, анализируя улики в базе данных. Есть задачи для начинающих, продолжающих и продвинутых пользователей.
#SQL
• Как уже было сказано ранее, 6 августа 1991 года Тим Бернерс-Ли запустил первый в мире веб-сайт на первом в мире веб-сервере, доступном по адресу info.cern.ch. Ресурс определял понятие «Всемирной паутины», содержал инструкции по установке веб-сервера, использования браузера и т.п. Этот сайт также являлся первым в мире интернет-каталогом, потому что позже Тим Бернерс-Ли разместил и поддерживал там список ссылок на другие сайты. Это было знаковое начало, которое сделало интернет таким, каким мы его знаем сейчас.
• А началось всё с того, что Тим работал в ЦЕРН (европейской лаборатории по ядерным исследованиям в Швейцарии). Там он разработал программу Enquire ("справочная" или "записная книжка"), которая использовала метод случайных ассоциаций. Принцип ее работы, во многом, явился основой для создания Всемирной паутины. Основная задача этой программы заключалась в публикации гипертекстовых документов, которые были бы связаны между собой гиперссылками. Это позволяло заметно облегчить поиск информации, ее систематизацию и хранение. Первоначально предполагалось, что проект будет реализован во внутренней сети CERN для локальных исследовательских нужд, как современная альтернатива библиотеке и другим хранилищам данных. При этом, загрузка данных и доступ к ним были возможны с любого компьютера, подключенного к WWW.
• Несмотря на скептическое отношение старших коллег, в 1989 году проект, получивший название «World Wide Web» был утвержден и реализован. Осенью 1990 года сотрудники CERN получили в пользование первый «веб-сервер» и «веб-браузер», написанные собственноручно Бернерсом-Ли в среде NeXTStep. Летом 91-го года проект WWW, покоривший научный мир Европы, пересёк океан и влился в американский Internet.
• Именно так, ровно 34 года назад, появился первый в мире веб-сайт, на который вы можете зайти по адресу info.cern.ch.
• К слову, работа над проектом продолжалась с 1991 по 1993 год: разработчики собирали отзывы пользователей и на их базе осуществляли доработку всемирной паутины. В частности, уже тогда были предложены первые версии протоколов URL (как частный случай идентификатора URI), HTTP и HTML. Также был внедрен первый веб-браузер на основе гипертекста World Wide Web и редактор WYSIWYG.
• Одним из ключевых свойств WWW всегда считалась децентрализация узлов. Как и у прародителей интернета (сетей ARPANET и NSFNet), она обеспечивала надёжность функционирования, отсутствие географических границ и политических барьеров. Так то...
#Разное
• Если помните, то несколько месяцев назад я делился с вами очень крутым материалом, где подробно описан опыт автора по ручному развертыванию Kubernetes без использования автоматизированных инструментов. Так вот, есть еще одна статья, не менее интересная и полезная. На этот раз автор описывает настройки аудита в Kubernetes, его возможности и примеры конфигураций, которые помогут вам сформировать эффективную политику аудита для вашего кластера.
➡Что такое аудит;
➡Политика аудита;
➡Параметры фильтрации;
➡Уровни логирования;
➡Стадии omitStages;
➡Подавление системного шума;
➡Фильтрация по пользователям;
➡Защита чувствительных данных;
➡Детализация для важных API;
➡Настройка API-сервера;
➡Заключение.
#Kubernetes