Пакет Безопасности

12 May 2023 17:55

Сериальный стек

Тут Netflix поделился своим технологическим стеком, причем в достаточно удобочитаемом виде, с разбивкой на стандартномый SDLC.

У компании достаточно высокий уровень зрелости айтишки, так что скорее забирайте в свою копилку полезных схем и смело применяйте на практике.

Жаль только, что они не поделились какими-то инсайдами и удобным софтом для этапа планирования, ограничившись только стандартными Джирой и Конфлюенсом. Ждём теперь от них расписанный Secure SDLC.

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

10 May 2023 17:55

​Плохие приложения

В одном из прошлых постов мы с вами уже обсуждали то, насколько развит рынок вредоносного ПО в Google Play. И пока исследованием этого маркетплейса занимаются ведущие ИБ компании во всем мире, Гугл решил выкатить свой отчет по "плохим приложениям" в своём же сервисе.

Судя по аналитике (за 2022 год), модераторы платформы забанили 173 000 аккаунтов, распространяющих вредоносные приложения. Самих приложений, при этом, было заблокировано порядка 1 500 000, и это до публикации в каталоге. В общем, в аналитике есть еще несколько интересных цифр, так что вэлкам. Сам отчет вышел небольшой, поэтому много времени его изучение не займет.

Радует то, что Гугл не только в курсе того, что его маркетплейс не без греха, но и то, что он даже пытается анализировать всю эту ситуацию. Осталось только вынести весь мусор из своего же дома.

Ах да, недавно вышел еще отчет от McAfee, согласно которому в Google Play обнаружены десятки копий игры Minecraft, которые сразу же заражают ваш смартфон вредоносным рекламным ПО – HiddenAds. Но не переживайте, Майнкрафт всё равно запустится.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

08 May 2023 17:55

Праздники такие праздники

Ну вот и прошла очередная неделя, а я снова проворонил воскресенье со своим новым дайджестом. Исправляюсь, так что смотрите, сколько всего интересного было в канале за прошедшую неделю:

⚡ Как пользоваться ChatGPT бесплатно, благодаря найденной уязвимости – ссылка

⚡ Исследование на тему зараженности Google Play вредоносными приложениями и черного рынка по их производству – ссылка

⚡ Яндекс выкатил функцию, благодаря которой теперь любой желающий может заняться OSINTом – ссылка

⚡ Почему нельзя пользоваться общедоступными зарядными устройствами и чем это чревато – ссылка

⚡ Небезопасный кикшеринг или как подвезти своего друга на электро-самокате и не заразиться – ссылка

⚡ Бесплатный сервис от Каспера для повышение уровня кибергигиены своих устройств – ссылка

#КиберДайджест

Твой Пакет Безопасности

Пакет Безопасности

06 May 2023 17:55

​Вредоносный кикшеринг

Те из вас, кто уже успел воспользоваться благами эволюции в виде поминутной аренды самокатов, наверное знают, что один из способов арендовать устройство – отсканировать QR-код на его руле или корпусе.

Так вот, фишеры добрались и до фанов самокатопроката. Они просто начали приклеивать свои QR-коды, ведущие на поддельные сайты (очень похожие на официальные). Всё, что могут предпринять владельцы сервисов краткосрочной аренды – рекомендовать сканировать коды только через фирменные приложения. При этом, им самим нужно озаботиться тем, чтобы сканировались только их КуАры, а вредоносные – отбраковывались (вроде как, это уже сделано).

Фишинг через вредоносные QR – не ноу-хау. Его давно применяют, размещая изображения кодов на асфальтах, стенах домов, в кафе (с закосом под меню или подключение к wi-fi) и в прочих людных местах.

Так что будьте аккуратнее и лучше лишний раз задумайтесь, прежде чем сканировать незнакомый QR.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

04 May 2023 17:55

​Даёшь OSINT в люди

Я тут заметил, что Яндекс выкатил новую функцию в своём поисковике – публичный профиль. Правильно, хватит терпеть кибератаки и сливы данных клиентов, пусть пользователи сами сливают свои данные.

Если я всё правильно понял, то можно подать заявку на участие в бета-тестировании вот тут, и вам дадут возможность заполнить подробную информацию о вас, чтобы она выводилась красивой карточкой при поиске по вашему имени и фамилии.

Во-первых, нужно понимать, что заполняя такую заявку, вы даёте добровольное согласие на то, что доступ к вашим ПДн получит практический любой житель нашей страны (и не только).

Во-вторых, не очень понятно, что будет происходить, когда соберется достаточное количество пользователей, и ФИО начнут дублироваться – прямо вижу, как уставшие сотрудники службы безопасности зеленого банка скроллят длинные списки "своих клиентов" в поисках индивидуального подхода каждому из них.

В-третьих, такой инструмент можно было бы использовать для того, чтобы исказить свой цифровой портрет. Но, скорее всего, это будет бесполезно с учетом предыдущего пункта.

В общем, фича интересная, а для медийных личностей (и тех, кто хочет таковыми стать) еще и полезная. Но на финальную реализацию я бы еще посмотрел.

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

02 May 2023 17:55

​Нейросетевой Робин Гуд

Тут один энтузиаст опубликовал на GitHub уязвимость, которая позволяет бесплатно и без ограничений (ну почти) пользоваться ChatGPT, причем любой из доступных моделей – и GPT-3.5, и GPT-4.

Этот исследователь смог зареверсить API популярного чат-бота от OpenAI и найти лазейку в интеграциях с сервисами WriteSonic и You.com. По сути, их интеграциями и будут пользоваться те, кто решит повторить эксперимент энтузиаста.

Нюанс в том, что API ChatGPT платное, и за все ваши запросы будут разоряться сервисы, указанные выше. Судя по всему, уязвимость всё еще не закрыта, и её можно спокойно эксплуатировать (само собой, сугубо в образовательных целях). Думаю, что скоро эту лавочку прикроют, причем не сама OpenAI, а те компании, которые прямо сейчас теряют свои деньги.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

30 Apr 2023 17:55

​Всем утечкам утечка

Вообще, сегодня вечером вас ждал спокойный дайджест из новой рубрики. Но из-за кое-каких инсайдов он переносится на завтра, не обессудьте.

Ну а теперь к делу. Судя по всему, была взломана одна из самых зрелых и развитых ИБ-компаний в нашей стране – BI.ZONE. Если верить тому, что пока не было опубликовано в СМИ, то на взлом было потрачено всего 2 дня, а среди утечек уже можно разобрать намеки на репозитории, ключи шифрования, данные с почтового сервера и, что самое неприятное – данные клиентов компании.

Напомню, что организация занимается аудитом ИБ других компаний и их продуктов, управлением цифровыми рисками, заказным пентестом и т.д. Если в результате взлома была слита информация об уязвимостях ИБ других компаний и сервисов – это будет реально громкое дело. Ну а мы пока ждем официальной коммуникации и огласки этого события в СМИ.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

28 Apr 2023 17:55

​Децентрализованный рецидив

Не так давно мы с вами уже говорили о взломе инфраструктуры одного популярного криптокошелька – Metamask. На днях подпортилась репутация еще одного крипто-сервиса – Trust Wallet. Тут уже случилось не единичное проникновение с утечкой данных пользователей, а полноценный взлом кошельков через браузерное расширение с выводом денежных средств.

Инцидент затронул далеко не всех пользователей (а только тех, кто зарегистрировался в определенный период и создал кошелек определенным способом), но похищено было порядка 170 000 долларов. Разработчики уже закрыли уязвимость в обновленных версиях плагинов для браузеров.

Радует тут сразу две вещи. Во-первых, ребята из Trust Wallet сами рассказали об этом инциденте и подробно разобрали все его детали. Во-вторых, они заявили о том, что возместят все украденные денежные средства пострадавшим пользователям. Ну а мы и дальше продолжаем записывать секретные фразы от наших криптокошельков в блокноты...

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

26 Apr 2023 16:00

​Крипто хомяки

В одном из прошлых постов мы с вами говорили о том, что не существует безопасных криптокошельков и важно то, как мы ими пользуемся. Сегодня предлагаю затронуть тему угроз в мире крипты. Думаю, что многие из вас уже хоть раз, да пользовались ей. Ну а если нет – то рекомендую начинать изучать эту тему, так как, возможно, за этим будущее. Разбирать все криптоугрозы в одном (или даже не в одном) посте – просто нереально, поэтому пройдемся по верхам, само собой, с полезными ссылками.

Во-первых, злоумышленники снова начали воровать крипту обычных пользователей через браузер Tor. Само собой, это не обычный Тор, а замаскированный под него троян-клиппер, который будет подменять адреса ваших криптокошельков, забирая себе ваши биткоины. Поэтому, будьте аккуратнее, браузер Tor может приносить не только пользу, но и вред.

Во-вторых, ребята из Каспера тут выкатили большой отчет обо всех финансовых киберугрозах за прошлый год, который всем будет полезно почитать. Да, там есть информация и про крипту. Судя по отчету, криптофишинг во всю процветает.

Ну и в-третьих, не совсем про угрозы, но, в целом, про криптовалюты – наша Федеральная Налоговая Служба продолжает потихоньку пытаться урегулировать эту сферу. Теперь ФНС может зайти к вам в гости за данными о владении вашими крипто-активами. Так что, если вы получаете зарплату в биткоинах, то можете начинать заваривать чаёк.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

24 Apr 2023 17:55

​Тотальное расширение

Ура, мой любимый сервис по проверке вредоносных ссылок и файлов выпустил официальное расширение для браузера (пока в арсенале есть Хром и Фаерфокс).

Теперь не нужно держать сайт в закладках. Более того, все файлы буду сканироваться автоматически после их скачивания.

Такое мы устанавливаем.

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

22 Apr 2023 17:55

​Децентрализация безопасна, говорили они

В криптомире многие пользователи выбирают для хранения своих денег кошелек MetaMask. Делают они это осознанно, аргументируя свой выбор тем, что это безопасное решение, так как сам сервис децентрализованный.

В общем, на днях один из серверов Метамаска был взломан, и с него были слиты персональные данные 7 000 владельцев криптокошельков. Интересно то, что в рунете Метамаск очень чутко следит за своей репутацией, поэтому данную новость сложно найти на просторах наших интернетов.

Думаю, что все вы прекрасно понимаете, что нет чего-то абсолютно безопасного, и важно самим прикладывать усилия для того, чтобы уберечь свои деньги, данные и прочие ценности от злоумышленников. Также и с кошельками. Да, теперь надо соблюдать еще и правила КриптоКиберГигиены (подробнее можно почитать тут или тут)

#Кибергигиена

Твой Пакет Безопасности

Пакет Безопасности

20 Apr 2023 17:55

​Яблочный спас

Сегодня внеочередной пост из-за новостей о достаточно опасных уязвимостях в яблочных устройствах. Речь сразу и про macOS (макбуки, мак мини и прочие), и про iOS (айфоны и старые айпэды). Более того, уязвимости тоже сразу две.

Если коротко, то просто поскорее зайдите в настройки ваших устройств и проверьте наличие обновлений операционной системы для них (и установите их, если они есть).

Если чуть подробнее, то была опубликована информация о двух свежих уязвимостях – CVE-2023-28205 и CVE-2023-28206. Обе с высоким уровнем опасности и обе дают возможность выполнить на вашем устройстве вредоносный код без вашего ведома.

Опасно ли это? – Да. Заражать вас будут через браузер, так что до обновления будьте аккуратнее с подозрительными ссылками. Рассылайте всем неравнодушным к яблочной технике, ну и берегите себя там.

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

18 Apr 2023 17:55

​Немного про национальные киберсилы

Не так давно вышла новость о том, что ЕС собираются накрыться своим киберкуполом. Эта некая сущность, которая будет призвана защищать ИТ-инфраструктуру стран ЕС от кибератак. Почти вовремя, с учетом последней атаки на Killnet на сервисы НАТО. Согласно веяниям трендов, работать купол будет на ИИ под капотом, что позволит ему обнаруживать сигналы киберугроз и вовремя к ним подготовиться.

Также Великобритания вновь заявила о своих собственных "National Cyber Forces", целью которых являются наступательными операциями против недружественны режимов и террористических организаций. В списке недружественных стран, само собой, есть и Россия.

К слову, у нашей страны есть свои киберсилы – Войска информационных операций, которые даже официально входят в состав ВС РФ. Суть их примерно такая же, как и у британских NCF. Плюс есть некие надежды на Окулус, о котором мы говорили ранее, так что от трендов не отстаем.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

16 Apr 2023 17:55

Всем привет 👋

А вот и вторая часть опроса для того, чтобы я мог лучше понять и узнать свою дорогую аудиторию (то есть вас) 🥰

Из прошлого опроса стало понятно, чем занимается большинство – учится, работает, владеет бизнесом или просто получает удовольствие от жизни. Теперь настало время узнать, в/по какой именно специальности вы работаете/учитесь (да, это тоже важно, правда).

Так что поехали 👉

Пакет Безопасности

14 Apr 2023 17:55

​За сколько можно взломать твой пароль?

Есть такой дуэт нейросетей под названием PassGAN. Он был давно разработан с целью эффективного подбора пользовательских паролей. Еще лет 6 назад исследователи, при помощи PassGAN, взламывали миллионы аккаунтов социальной сети LinkedIn.

Так вот, его решили воскресить под шумок нейросетевого хайпа. А сделала это компания Home Security Heroes, выкатив отчет о том, насколько эффективен ИИ при подборе паролей в 2023 году. Если коротко, то эффективен, но всё зависит от сложности пароля (вот это сюрприз).

На самом деле, ребята сделали достаточно красивый и подробный отчет, в котором есть даже интерактивный валидатор паролей, с которым можно поиграться, проверив свой пароль на криптостойкость (но лучше, всё-таки, свой пароль никуда не вводить). Ах да, про двухфакторную аутентификацию тоже не забывайте.

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

11 May 2023 17:55

​Альянсы и отчеты

Продолжаем тему нейросетей и ИИ в кибербезе. Да-да, сейчас это модно, поэтому придется еще немного потерпеть (ну или много). Так вот, есть такая организация – Cloud Security Alliance. По сути, это такой же источник пользы в мире кибербезопасности, как и знаменитый OWASP. Они тоже любят выпускать различные ТОПы уязвимостей в безопасности и публиковать полезные исследования.

В состав этого альянса входят лидеры IT индустрии на уровне Google и Intel, а еще эти ребята делают упор на безопасность облаков (наверное, вы догадались по названию), что достаточно актуально в наше время. Так что рекомендую присмотреться к их деятельности, если хотите быть в курсе того, что происходит в мире кибербеза прямо сейчас.

Ну всё, альянс похвалили, теперь можно и к теме поста. CSA тут выкатили отчет по исследованию вреда, который может нанести компаниям тот самый ChatGPT. К слову, исследование справедливо не только для детища OpenAI, но и для других нейросетевых чат-ботов.

В отчете также разобрано, как можно попробовать взять под контроль использование нейросетевых сервисов сотрудниками компаний. Какого-то открытия ребята не совершили, но, по крайней мере, собрали в одном месте и в структурированном виде всё то, что можно наложить на обеспечение безопасности в части использования ChatGPT на работе.

С учетом того, что ИИ-сервисы начинают все чаще использовать для решения рутинных рабочих задач, отчет весьма актуален.

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

09 May 2023 17:55

​Забыли про утечки?

Напоминаю, что за 2022 год были слиты данные еще не всех граждан нашей страны, поэтому стремиться еще есть к чему. Так что поехали.

Начнем с того, что были слиты данные пользователей Альфа Страхования. Для тех, кто не знает – это практически монополист на рынке РФ в сфере страхования. Если вы где-то оформляете страховку, то, скорее всего, это просто прокладка между вами и Альфой. Так вот, их вскрыли и слили. В сеть сразу были выложены уникальные данные порядка миллиона клиентов, включая их телефоны, почты, ФИО, хэши паролей и т.д. Сами NLB (хакерская группировка, которая и опубликовала данные) утверждают, что они получили данные 14 млн клиентов компании, но пока они не были опубликованы. Так что, либо они блефуют, либо Альфа Страхование пошли на сделку.

Также был взломан ИТ-интегратор "Первый Бит" и все его дочерние компании, из которых суммарно было слито порядка 250 000 номеров телефонов, а также другие персональные данные клиентов.

Еще один инфоповод в сфере утечек посвящен самой Минцифре. Там предложили компенсировать пострадавшим (от утечек) гражданам их страдания. Для этого предлагается оставлять свои заявки на Госуслугах. Правда ответственность за подсчет размера компенсации возлагается на самого оператора ПДн. Но, если компания, потерявшая ваши данные, удовлетворит более 60% полученных жалоб, то к ней предлагается применять смягчающие тарифы по оборотному штрафу (который мы обсуждали тут).

Кажется, что мы немного не успеваем вводить штрафы для компаний, потому что очень скоро они смогут просто оправдываться тем, что данные их клиентов и так уже были слиты в сеть.

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

07 May 2023 17:55

​Идеальный баланс

Ребята из Касперского тут выкатили забавный онлайн-сервис – Privacy Checker. Понятное дело, что он является частью маркетинга платных продуктов компании, но, это не делает его хуже. Там есть действительно полезные и не самые очевидные советы.

Вы можете натыкать в конструкторе то устройство и софт, в котором хотите подкрутить настройки безопасности, а сервис вам подскажет, на что обратить внимание, в какие меню нужно зайти, что выключить и так далее. Здесь даже можно выбрать уровень паранойи баланса между безопасностью и удобством.

В общем, можете зайти, потыкать и проверить, всё ли лишнее вы отключили, когда настраивали свой браузер или мессенджер. Думаю, что старшему поколению тоже будет полезно поиграться в этом конфигураторе, чтобы не нахвататься лишнего в интернетах. Так что рассылайте всем родным и близким.

#Кибергигиена

Твой Пакет Безопасности

Пакет Безопасности

05 May 2023 17:55

​Начинаем утреннюю зарядку

ФБР тут решили напомнить всем (само собой, через Твиттер) о том, что пользоваться бесплатными и незнакомыми зарядными устройствами – опасно. Ну а я подумал, что это отличный повод затронуть эту тему. Лично для меня это уровень заклеивания всех камер и микрофонов на своем смартфоне (хоть я и ношу с собой зарядку), но риски тут действительно есть и, возможно, даже бОльшие, чем в случае с камерами.

Называется это Juice Jacking и суть его в том, что ваше устройство взламывается при подключении к нему специального (якобы зарядного) кабеля. Более того, вы даже сами можете такой кабель купить (и даже не в даркнете).

Обычно такие продвинутые зарядные устройства обладают похожим набором возможностей – запись экран и регистрация нажатий на него, передача всех собранных данных по беспроводной сети, удаленный доступ к вашему устройству. Само собой, в случае с техникой Apple, у вас будет дополнительный барьер защиты в виде всплывающего окна, где вам нужно решить, доверять этому аксессуару или нет. Но все мы понимаем, что обычно люди просто машинально нажимают на рандомную кнопку.

По итогу, пока вы заряжаете своё устройство, злоумышленником может быть получен доступ ко всем вашим банковским приложениям, кошелькам, заметкам и социальным сетям. Это может быть как целевой атакой, так и простой охотой на живца.

В общем, ребята из Бюро абсолютно правы и использование общественных зарядок я бы смело приравнивал к использованию публичных и открытых wifi-сетей. Так что носим с собой свои провода и пауэрбанки, свой роутер и наш блокнот с паролями.

#Кибергигиена

Твой Пакет Безопасности

Пакет Безопасности

03 May 2023 17:55

​Вредоносный рынок

Похоже, что в ближайших версиях iOS всё-таки появится возможность скачивания приложений в обход AppStore. Лично я всё еще вижу в этом скорее минусы, чем плюсы, так как это очень сильно расширяет поверхность для заражения наших устройств. Но сегодня не об этом. А о том, каким может стать будущее яблочного магазина приложений.

Я тут наткнулся на исследование от ребят из всем известной лаборатории (честно, не реклама) о рынке инфицированных приложений под Google Play. Да, в дарксторах и на форумах иногда попадаются специальные разделы, посвященные зараженным приложениям для платформы Android (мы с вами уже затрагивали эту тему в одном из прошлых постов).

Там вы можете купить как уже готовое решение, так и заказать нечто, сделанное специально под ваш запрос. Но сложность даже не в этом, а в том, чтобы правильно встроить вредоносное ПО в сам маркетплейс от Гугла. Для этого нужен свежий аккаунт разработчика, чистое приложение для первой загрузки, правильное его обновление с добавлением вредоносного кода и т.д.

В общем, пока мы, без задней мысли, скачиваем на свои смартфоны СБОЛы и прочие копии банковских клиентов, где-то там расцветает целая индустрия.

#Мнение

Твой Пакет Безопасности

Пакет Безопасности

01 May 2023 17:55

Всем привет!

Я решил ввести новую традицию в канале – небольшие воскресные дайджесты того, что мы успели обсудить за неделю в этом канале (само собой, с удобными ссылками на посты). Ну и если буду находить что-то интересное, что мы не успели охватить – буду также упоминать.

Ну, погнали. Вот, что было интересного на прошедшей неделе:

⚡ VirusTotal выкатил браузерное расширение для проверки ссылок и файлов – ссылка

⚡ Децентрализация дошла и до VPN-сервисов – ссылка

⚡ Обсудили, как уберечь свой криптокошелек от злоумышленников и какие есть риски при получении зарплаты в крипте – ссылка

⚡ Полезная, функциональная и красивая схема для DevSecOps-ов – ссылка

⚡ Криптовалютный взлом одного популярного кошелька – ссылка

⚡ Свежие киберновости из мира нейросетей – ссылка

Пакет Безопасности

29 Apr 2023 17:55

​Кибербезопасные нейросети

Криптоновости мы с вами обсудили в одном из прошлых постов, поэтому настало время обсудить более хайповую тему – ИИ. Само собой, сковзь призму кибербеза. Снова по верхам и с полезными ссылками. Ну, поехали.

Во-первых, OpenAI запустили свою баг-баунти программу для ChatGPT. Максимальная сумма вознаграждения пока составляет 20 000 долларов. Похвально, что ребята задумались о таком зрелом процессе на столь ранней стадии развития продукта. Надеюсь, что они успели проработать систему защиты информации и не захлебнутся в выплатах баг-хантерам.

Во-вторых, ребята из Каспера (да, опять) выкатили статью на хабре, посвященную практикам применения нейросетей в мире кибербеза. Многие из пунктов мы с вами обсуждали раньше (например, тут), но почитать всё равно будет интересно.

В-третьих, Microsoft тут заявил, что скоро всем покажет новый инструмент анализа безопасности, который будет работать на ИИ под капотом. Я бы посмотрел на такое решение в бою. Кажется, что эта штука может сэкономить немало времени кибербезопасников.

Если вам понравился такой формат небольших дайджестов по разным тематикам, то пишите. Буду рад увидеть ваши реакции или комментарии под постом.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

27 Apr 2023 17:55

Безопасные шпаргалки

Ловите очередную красивую схемку, которой со мной поделился один крутой кибербезопасник и старый товарищ. Здесь крупными мазками указаны основные элементы ДевСекОпса и, в частности, безопасного конвейера CI/CD. Удобно то, что здесь уместились даже названия некоторых инструментов.

Можете использовать схему как шпаргалку на работе или на тех же собеседованиях.

P.S. Если Телеграм вдруг зашакалил качество картинки, то заходите в лс или комментарии за оригиналом

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

25 Apr 2023 17:55

​Даёшь децентрализацию во все технологии

Opera тут на днях решила вернуть в свой браузер встроенный плагин с бесплатным VPN. Когда-то такая изюминка была у них на всех платформах, что делало жизнь чуть проще, так как иногда нужно быстро зайти на какой-то ресурс, не доступный без VPN (иногда можно). Сейчас эта фича есть только на платформе iOS, но это хоть что-то. Посмотрим, будет ли РКН блокировать и этот VPN.

С подводкой закончили, а теперь к сути. В комментариях под одним из прошлых постов мы с вами обсуждали, что далеко не все готовы разбираться с поднятием своего сервера для VPN, поиском сервиса с открытым исходным кодом и т.д. И это совершенно нормально.

Но базовые потребности (в анонимности и доступе к закрытым сервисам) нужно решать, поэтому, возможно, вам стоит посмотреть в сторону коробочных dVPN. Если коротко, то это децентрализованный VPN (да, это модно), а если не коротко, то можете почитать, например, тут.

Я когда-то пользовался только одним подобным сервисом – MysteriumVPN. Немного поискав, я наткнулся еще на Sentinel и Orchid (и это всё не реклама). Полной безопасности и уверенности в анонимности они вам обеспечить не смогут (как и арендованный у кого-то сервер), но это всяко лучше обычных VPN-сервисов.

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

23 Apr 2023 17:55

Не одним топом едины

Вдохните, сейчас будет ИБшный, но короткий пост (поэтому с вас лайк и репост кибер-друзьям). Вы наверняка не раз слышали об OWASP TOP-10. Максимально заезженная тема практически на всех собеседованиях в кибербезе. Лично я уже считаю это моветоном, и, если слышу подобный вопрос на собесе, то понимаю, что у интервьюера закончилась фантазия.

Но суть поста не в этом, а в том, что многие могли не знать о том, что это далеко не единственный проект от знаменитых OWASP. У этих ребят есть подобные топы под разные специфики, например, под мобилку (можно глянуть вот по этой ссылке) или CI/CD (положил прямо в пост). И это далеко не всё, так что вам будет что почитать на ночь.

Ну всё, выдыхайте, пост закончен.

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

21 Apr 2023 17:55

​Интимный угон аккаунта

Настало время поговорить о свежих схемах мошенничества в нашем любимом мессенджере – Телеграме. Ничего сверхъестественного никто не придумал, и, как и всегда, вся новинка заключается только в оболочке самого обмана. Тем не менее, знать об этом нужно, чтобы ни вы, ни ваши родные, на подобные уловки не попались. Ну поехали.

Начнем с забавной схемы, которую недавно опубликовали ребята из Касперского. Мошенники заманивают своих жертв интимными фотографиями знакомых им людей. Для того, чтобы получить слитые интимные фото своих знакомых, жертве нужно авторизоваться в специальном боте (ну а как иначе он узнает, кто ваш знакомый...). Далее схема стандартная – вы теряете доступ к своему аккаунту.

Также я начал натыкаться на случаи, когда аккаунт угоняют через фейковые зеркала глаза бога (по той же самой логике, только без интима), так что будьте бдительны и проверяйте тех ботов, которыми пользуетесь. А еще помните, что сбор информа­ции о час­тной жиз­ни других людей без их сог­ласия незако­нен.

Под угрозой теперь еще и подростки, так как их мошенники начали заманивать в различные сервисы и боты под предлогом получения внутренней игровой валюты для популярных мобильных игр. Итог всё тот же – утеря аккаунта в мессенджере.

#Кибергигиена

Твой Пакет Безопасности

Пакет Безопасности

19 Apr 2023 17:55

​Время проникновения

Кажется, у нас тут среди подписчиков есть какое-то количество пентестеров, которым могут пригодиться следующие инструменты. Ну а если нет, то скорее пересылайте своим друзьям из кибербеза.

Начнём с базового альманаха, который может упростить жизнь многим любителям проникновений – вот ссылка. Тут можно найти целый чек-лист с руководством по тестированию многих популярных сервисов.

А вот тут лежит опенсорсная тулза для автоматизации пентеста, чтобы не тратить своё драгоценное время.

Здесь вы можете найти тулзу для исследования на безопасность мобилок прямо в рантайме.

Ну а если вы увлекаетесь реверс-инжинирингом, то вэлкам сюда. Это целый мультиплатформенный сервис на питоновских библиотеках для исследования бинарников.

Сам я не пентестер и топлю за блю-тим, так что за находки спасибо большое моим друзьям и подписчикам.

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

17 Apr 2023 17:55

​Настало время поговорить о зарплатах

Наткнулся тут на исследование рынка труда и зарплат от ребят из Get Express (скачать полную версию можно тут). Думаю, что многим будет интересно почитать.

Там даже есть отдельный слайд про сегмент кибербезопасности со всеми основными ролями и зарплатами по Питеру и Москве. К слову, этот отчет вполне себе бьется с аналитикой, которую я собираю на собесах, как своих, так и моих менти.

Кибербез продолжает расцветать и набирать обороты, догоняя скоростной рынок IT, что не может не радовать.

#Полезное

Твой Пакет Безопасности

Пакет Безопасности

15 Apr 2023 17:55

​Настало время проникновений

Тут вышла новость о том, что в России теперь запускают обучение белых/этичных хакеров. Звучит немного странно, с учетом того, что такие образовательные программы были и до этого. Рекламировать, думаю, никого не будем, всё и так прекрасно гуглится по ключевым словам.

Видимо ребятам из Минцифры надо было напомнить о существовании этого направления, с учетом текущей обстановки. Если коротко, то белый или этичный хакер – это тот самый пентестер, котором мы уже не раз заводили разговор в прошлых постах. Эти ребята работают либо в найме внутри продуктовой компании (если она себе это может позволить), либо в найме у компании, которая предоставляет услуги по аудиту безопасности, либо вообще на фрилансе.

Цвет и статус этичности этих хакеров говорит о том, что все найденные ими уязвимости безопасности будут отдаваться сразу заказчику для их устранения, а не выкладываться в дарквеб для заработка на стороне (хотя бывали и такие случаи). В общем, профессия крайне полезная, а что самое главное – востребованная и с постоянным кадровым голодом (не только в СНГ), так что вэлкам.

#НовостьДня

Твой Пакет Безопасности

Пакет Безопасности

13 Apr 2023 17:55

Позитивные тактики и техники

Наткнулся тут на приятно свёрстанный файлик от всем известных Positive Technologies. Документ переведен на русский язык и основан на базе знаний MITRE ATT&CK. Судя по всему, файл прошлогодний, но он всё равно может принести достаточно пользы как ребятам из Blue, так и Red Team.

Кстати, Позитивы вообще часто переводят на русский язык труды и материалы той самой MITRE, за что им большой респект. Ну а вы ловите тот самый файлик – кибербезопасникам точно пригодится.

#Полезное

Твой Пакет Безопасности