-
Главный архив с лучшими материалами со всего интернета по ИБ и этичному хакингу. Реклама/сотрудничество: @One_Daniil Владелец: @awenft Мы на бирже: https://telega.in/c/searchack
Как измерять и оценивать эффективность в ИБ? Мало кто может ответить на этот вопрос. Большинство ссылается на разрозненные наблюдения, которые ассоциируются у них с эффективностью.
21.03.24 в 11:00 (мск) SECURITM проведет вебинар, на котором разберет один из самых важных и незаменимых для каждой службы ИБ инструмент оценки и управления - метрики.
Вы получите ответы на следующие вопросы:
✅ Какие метрики ИБ бывают и какими должны быть
✅ Как построить непрерывный автоматизированный процесс сбора и подсчёта метрик
✅ Как нативно включать в процесс сбора метрик коллег
✅ Влияние через метрики на оценку соответствия требованиям регуляторов и стандартов (ПДн, КИИ, ГОСТ 57580, ГИС)
✅ Как оценивать риски безопасности через метрики (КИРы)
✅ Как оперативное реагирование влияет на ухудшение показателей
Регистрация тут
реклама. ИП Туз Е. А. ИНН: 772035623941. erid: 2Vtzqwi4DrL
Avito Security meetup #2 | 26 марта в 19:00 мск | офлайн и онлайн.
Обсуждаем защиту данных, Hound, автоматику безопасности публичных файлов в облаке и MlSecOps.
Реклама ООО "Авито Тех", ИНН 9710089440 ERID: 2VfnxyXhTgc
💻 Бесплатный курс по Backend-разработке
Газпромбанк приглашает тебя в бесплатную академию GPB IT Factory с оффером для лучших студентов.
Программа GPB IT Factory составлена вице-президентами, IT-лидерами и директорами департаментов Газпромбанка, под руководством которых ты сможешь прокачать свои скиллы в backend-разработке, став уверенным junior-специалистом. Для роста на middle-позицию тебе нужен будет только опыт работы, который смогут получить лучшие студенты программы, присоединившись к команде Газпромбанка!
Мы ждем студентов 2 курса магистратуры или тех, кто уже завершил(-а) обучение в вузе и сможет посещать занятия в Москве. Для прохождения отбора достаточно обладать инженерным мышлением, владеть одним из языков программирования, а также знать основы SQL, Computer Science и Linux.
// Оставить заявку
Врать в резюме можно. Скорей всего об этом даже никто не узнает.
Можно стать айтишником, пройдя платные курсы или самостоятельно осваивая tech скиллы. Более того, с годами «вклад» высшего образования в развитие it-специалистов только падает — почти 50% нынешних «технарей» вообще обучались на бесплатных материалах.
А ложь в CV айтишники больше используют в начале карьеры, хотя чаще работодатели смотрят на участие в нко, создание пет-проекта или рекомендации.
Подпишись на канал «Двоичный кот» и читай про фишки и лайфхаки IT-индустрии, новости технологичных компаний и шутки про своих коллег/боссов и конкурентов.
💻 NetCat | Инструмент анализа сети
Netcat или NC - это утилита, которая использует TCP и UDP-соединения для чтения и записи в сети. Его можно использовать как для атаки, так и для обеспечения безопасности.
В случае атаки – это помогает нам отлаживать сеть и исследовать ее. NetCat является одним из "оригинальных" инструментов тестирования на проникновение в сеть.
Netcat настолько универсален, что вполне оправдывает авторское название "швейцарский армейский нож" хакера.
Самое четкое определение Netcat дают сами разработчики: "простая утилита, которая считывает и записывает данные через сетевые соединения, используя протоколы TCP или UDP", он может работать как в режиме клиента, так и в режиме сервера.
🗄 Руководство – линк.
// Не хакинг, а ИБ
📖 «PHP глазами хакера» 5-е изд
Рассмотрены вопросы безопасности и оптимизации сценариев на языке PHP.
Большое внимание уделено описанию типичных ошибок программистов, благодаря которым, хакеры проникают на сервер, а также представлены методы и приведены практические рекомендации противостояния внешним атакам.
Показаны реальные примеры взлома Web-сайтов и рекомендации, которые помогут создавать более защищенные сайты.
В 5-м издании переписаны примеры с учетом современных возможностей PHP 8 и добавлена глава по безопасности во фреймворках Laravel и Symfony.
Автор: Дронов В.А.
Год выхода: 2023
🗄 Читать книгу – линк.
// Не хакинг, а ИБ
⚠️ Шпаргалка по SSH
В статье описаны продвинутые функций OpenSSH, которые позволяют сильно упростить жизнь системным администраторам и программистам, которые не боятся Shell’a.
В отличие от большинства руководств, которые кроме ключей и -L/D/R опций ничего не описывают, я попытался собрать все интересные фичи и удобства, которые с собой несёт ssh.
🗄 Читать статью – линк.
// Не хакинг, а ИБ
🔎 Руководство по Metasploit
Metasploit Framework — это мощнейший инструмент поиска уязвимостей, который могут использовать как киберпреступники, так и белые хакеры и специалисты по проникновению для исследования уязвимостей в сетях и на серверах.
Поскольку это фреймворк с открытым исходным кодом, его можно легко настроить и использовать на большинстве операционных систем.
С помощью Metasploit пентестеры могут использовать готовый или создать пользовательский код и вводить его в сеть для поиска слабых мест.
🗄 Руководство – линк.
// Не хакинг, а ИБ
🖥 Microsoft обвиняет российских хакеров в краже исходного кода
По словам Microsoft, связанная с Кремлём кибергруппировка Midnight Blizzard (она же APT29 и Cozy Bear) смогла добраться до ряда репозиториев, где хранился исходный код, а также до внутренних систем корпорации. Впервые об этой операции Midnight Blizzard заговорили в январе 2024 года. Тогда техногигант жаловался на APT-атаку, нацеленную на электронную почту как руководящего, так и обычного штата.
Теперь Microsoft разместила в блоге запись следующего содержания:
«За последние недели мы нашли доказательства использования информации, похищенной из наших систем, для получения несанкционированного доступа. Эту информацию используют члены группировки Midnight Blizzard».
«Есть свидетельства того, что злоумышленники получили доступ к нашим репозиториям с исходным кодом, а также некоторым внутренним системам. На сегодняшний день нет признаков компрометации систем взаимодействия с клиентами».
📖 «Python для хакеров. Нетривиальные проекты и задачи»
Книга делает упор на реальные проекты, так что от экспериментирования с синтаксисом вы сразу перейдете к написанию полноценных программ.
Развивая свои навыки разработки на Python, вы будете проводить научные опыты, изучать статистику и решать задачи, которые не давали покоя гениям на протяжении многих лет, и даже займетесь обнаружением далеких экзопланет.
Каждая глава начинается с четко поставленной цели и обсуждения способов решения задачи. Далее следует собственно миссия и стратегия действий, построенная таким образом, чтобы вы научились мыслить как программист.
Вы будете руководить спасательной операцией береговой охраны, спланируете и осуществите
полет космического корабля на Луну, реализуете ограничение доступа в секретную лабораторию с помощью распознавания лиц и не только это.
• Читать книгу – линк.
// Не хакинг, а ИБ
🐱 SpiderFoot | Инструмент автоматизации OSINT
SpiderFoot - это инструмент автоматизации разведки с открытым исходным кодом (OSINT).
Он интегрируется практически со всеми доступными источниками данных и использует ряд методов анализа данных, что упрощает навигацию по этим данным.
Есть три главных сферы, где может быть полезен SpiderFoot:
1. Если вы тестер на проникновение, SpiderFoot автоматизирует стадию сбора информации по цели, даст вам богатый набор данных чтобы помочь вам определить направления деятельности для теста.
2. Для понимания, что ваша сеть/организация открыта на показ для внешнего мира. Эта информация в плохих руках может представлять значительный риск.
3. SpiderFoot также может быть использована для сбора информации о подозрительных вредоносных IP, которые вы могли видеть в ваших логах или получили через каналы разведки угроз.
🗄 Репозиторий на GitHub
// Не хакинг, а ИБ
😂 Хакеры из Mogilevich, заявили о взломе Epic Games, но всё не так просто
На прошлой неделе Mogilevich сообщили, что хакнули компанию Epic Games, похитив 189 ГБ данных, включая email-адреса, пароли, полные имена, платежные данные, исходные коды и так далее.
Теперь Cyber Daily сообщает, что вся активность Mogilevich, похоже, была мошенничеством. Дело в том, что группировка сделала вид, будто публикует украденные у Epic Games данные, но вместо информации по ссылке было опубликовано следующее заявление:
«Возможно, вы задаетесь вопросом, зачем все это, и сейчас я все вам объясню. На самом деле мы не ransomware-as-a-service («вымогатель-как-услуга»), а профессиональные мошенники. Ни одна из баз данных, перечисленных в нашем блоге, не была взломана. Мы воспользовались громкими именами, чтобы как можно быстрее получить известность, но не для того, чтобы прославиться и добиться признания», — пишут стоящие за Mogilevich люди.
«Теперь главный вопрос: зачем? Зачем признаваться во всем, если можно просто сбежать? Это сделано для того, чтобы проиллюстрировать суть нашей аферы.
Мы считаем себя не хакерами, а скорее преступными гениями
, если нас можно так назвать», — заявили Mogilevich.
⚡️ Отус приглашает 7 марта в 20:00 по мск на бесплатный вебинар "Важность защиты информации от утечки в современных реалиях"
Вебинар является частью полноценного онлайн-курса «Защита данных от утечек. DLP-системы» от Отус.
➡️ Регистрация на вебинар: https://otus.pw/nLwmL/?erid=LjN8KYaJa
На вебинаре мы разберем:
✅ как происходит утечка информации
✅ кто больше всего подвержен утечке
✅ какие бывают внутренние и внешние угрозы
✅ какие могут быть последствия
✅ как защититься
Записывайтесь на вебинар сейчас, а мы потом напомним. Участие бесплатно.
Начинается курс “Реагирование на компьютерные инциденты”
0% воды / 100% практический опыт реагирования на компьютерные инциденты:
- методика обнаружения вредоносного ПО
- защита от фишинговых атак
- реагирование на сетевые вторжения
- построение централизованных систем реагирования (SIEM, IDS, IPS, NGFW)
📈 Преимущества для бизнеса:
- уверенность руководителей направлений в спокойном и защищенном функционировании систем
- обучение IT-сотрудников предотвращает эксплуатацию разного рода уязвимостей, формирует понимание векторов угроз организации и снижает вероятность финансовых потерь от взлома
📑 Сертификация:
- После успешной защиты практической работы вы получите Сертификат/удостоверение о повышении квалификации
Пишите нам @Codeby_Academy
или звоните +74994441750
Академия Кодебай - лидирующий образовательный центр по ИБ для профессионалов
📖 «Социальная инженерия и этичный хакинг на практике»
Даже самые продвинутые специалисты по безопасности не смогут предотвратить взлом корпоративных систем, если сотрудники компании разглашают секретные данные или посещают вредоносные сайты.
Эта книга написана известным экспертом в области кибербезопасности и содержит подробное руководство по использованию этичных методов социальной инженерии для поиска слабых мест и уязвимостей в защите организации.
Вы на практических примерах изучите методы, лежащие в основе атак социальной инженерии, и узнаете, как помешать злоумышленникам, которые используют человеческие слабости в своих целях.
Книга адресована как специалистам в области пентестинга и оценки безопасности, так и широкому кругу читателей, желающих повысить уровень личной и корпоративной защиты от современных киберугроз.
Автор: Джо Грей
Год выхода: 2023
🗄 Читать книгу – линк.
// Не хакинг, а ИБ
📖 «Android глазами хакера» 2-е изд.
Рассмотрена внутренняя архитектура ОС Android, используемые ею разделы и файловые системы, принцип работы механизмов обновления и внутренних инструментов безопасности.
Рассказано о разграничении доступа в ОС Android, о привилегиях, методах получения прав root, кастомизации и установке нестандартных прошивок.
Описаны инструменты для дизассемблирования, отладки и анализа кода мобильных приложений, приведены примеры модификации кода с целью изменения функций ПО и внедрения в приложение сторонних модулей.
Даны подробные рекомендации по деобфускации кода и обходу антиотладки, а также практические советы по защите собственных приложений от декомпиляции и исследования.
Приводятся сведения о вредоносных программах для платформы Android, используемых ими уязвимостях, даны примеры кода таких программ.
Рассказывается об использовании стандартных функций Android в нестандартных целях и способах противодействия вредоносному ПО.
Автор: Зобнин Е.Е.
Год выхода: 2024
🗄 Читать книгу – линк.
// Не хакинг, а ИБ
🐱 Набор ресурсов по информационной безопасности
Цель этого проекта – выступить в качестве бесплатного ресурса для всех, кто заинтересован в получении дополнительной информации об информационной безопасности.
В репозитории вы найдете:
1. Анонимность
2. Основная информация о безопасности
3. Построение лаборатории для пентеста
4. Взлом автомобиля
5. OSINT
6. Фишинг
7. Социальная инженерия
8. Моделирование угроз и многое другое
«Как американцы с таким трудом усвоили в последнем столетии существования Земли, свободный поток информации является единственной гарантией от тирании. Некогда закованные в цепи люди, чьи лидеры, наконец, теряют контроль над информационным потоком, вскоре обретут свободу и жизненную силу, но свободная нация, постепенно сужающая свою власть над общественным дискурсом, начала свое стремительное сползание к деспотизму. Остерегайтесь того, кто откажет вам в доступе к информации, ибо в глубине души он мечтает стать вашим хозяином» - Комиссар Правин Лал
📷 Инфраструктурный пентест по шагам | Сканирование и получение доступа
Эта статья целиком посвящена сканированию сетевой инфраструктуры — второму этапу пентеста, который следует после разведки.
Если при разведке мы ищем IP-адреса и различные точки входа в инфраструктуру, то при сканировании — внимательно исследуем все найденное.
Под катом вас ждет база — те вещи, которые должен знать каждый начинающий пентестер, занимающийся аудитами внутренней инфраструктуры.
🗄 Читать статью – линк.
// Не хакинг, а ИБ
🏴☠️ Осудили школьника, писавшего код для банды из 700 киберпреступников
Группа киберпреступников использовала фишинговые сайты для хищения денег с банковских карт.
Его действия были квалифицированы как хищение имущества путем модификации компьютерной информации.
Исходя из доказательств, суд вынес приговор, согласно которому юноше назначено наказание в виде
5 лет лишения свободы в условиях общего режима исправительной колонии
.
🧑💻 Как грамотно использовать VDI?
Виртуальные рабочие столы (VDI) — технология, которая решает сразу несколько ИБ-задач. Одна из них — защищенный доступ к корпоративной сети, в том числе при подключении к ней с личных устройств.
Как именно усилить безопасность рабочей среды c помощью VDI, эксперты компании НУБЕС (Nubes) расскажут на вебинаре 14 марта в 11.00.
Регистрируйтесь, чтобы узнать:
🔻 какие возможности VDI особенно важны при организации защищенных рабочих мест;
🔻что из специализированных средств защиты используют в реальной практике, в том числе от утечек информации, вирусов, сетевых атак и несанкционированного доступа к корпоративным ресурсам;
🔻какие задачи можно решить с помощью сервиса защищенного VDI от компании НУБЕС (Nubes).
📌 Участие бесплатное. Нужно лишь зарегистрироваться >>
Знаем, как присоединиться к SafeCode 2024 бесплатно💡
14 марта пройдет Community Day x К2 Кибербезопасность — бесплатный день онлайн-конференции по безопасности приложений.
В программе доклады о практиках DevSecOps, безопасности в ML, инструментах безопасной разработки и дискуссии со спикерами
Для бесплатного билета нужно только зарегистрироваться 👈
Реклама. АО «К2 Интеграция». ИНН 7701829110
erid: 2Vtzqwe75mV
Меня часто спрашивают: Андрей, где найти надежный NGFW с пропускной способностью до 100500 Гб/сек?
ХЗ, ведь я не Андрей, но зато знаю, какой NGFW отвечает всем современным реалиям.
Ideco презентует новый релиз — еще больше функциональности, новейшие модули и высочайшая производительность.
Если надежная защита сети вашей компании для вас не просто слова, а важная потребность, приходите послушать и убедиться в том, что отечественные вендоры тоже умеют делать круто.
Подробности и регистрация
реклама. ООО «Айдеко» ИНН: 6670208848
Говорят, за время работы у безопасников глаз становится намётан на различные уязвимости в системах. Что ж, проверим эту способность на деле!
Становитесь за конвейер безопасности в игре МТС RED и не дайте уязвимым устройствам проехать дальше. Удачи: https://tprg.ru/QwNE
Реклама, ПАО «МТС», erid: LjN8KYcHM
🤖 Платформы для проверки и улучшения навыков белого хакеринга
1. CTF365 - подойдёт профессионалам в области безопасности, которые хотят приобрести наступательные навыки, или системным администраторам, заинтересованным в улучшении своих защитных навыков.
2. OVERTHEWIRE - подойдёт всем желающим изучить теорию информационной безопасности и применить её на практике независимо от своего опыта.
3. HACKING-LAB - предоставляют задачи CTF для European Cyber Security Challenge, но они также проводят на своей платформе регулярные соревнования, в которых может участвовать каждый.
4. PWNABLE.KR - данная площадка фокусируется на pwn-задачах, подобных CTF, суть которых заключается в поиске, чтении и отправке файлов-флагов, которые есть в каждой задаче.
5. HACK THIS SITE - бесплатный сайт c варгеймами для проверки и улучшения ваших навыков белого хакинга. На нём можно найти множество хакерских задач в нескольких категориях, включая базовые задачи, фрикинг, JavaScript, форензику, стеганографию и т.д.
// Не хакинг, а ИБ
⚠️ Самые горячие новости инфобеза за февраль 2024 года
Последний зимний месяц отгремел, так что подводим его итоги. Главным событием, безусловно, стал масштабный перехват инфраструктуры LockBit, нанёсший группировке удар, от которого у неё немного шансов оправиться.
BlackCat также наделала шуму в США, положив платёжную систему в здравоохранении, что вылилось в экзит-скам и уход группировки с рансомварь-сцены в начале марта.
Помимо этого, февраль отметился редким зверем — масштабной утечкой внутренней кухни китайской ИБ-фирмы i-SOON, крупным взломом AnyDesk и парой громких киберпреступных имён в контексте их судебных дел.
Об этом и других горячих ИБ- событиях самого холодного месяца года читайте под катом!
🗄 Читать статью – линк.
// Не хакинг, а ИБ
ChatGPT 4 Turbo и Midjourney уже доступны в телеграм и могут помочь в:
✅Поиске и исправлении ошибок в коде
✅Объяснении сложной логики
✅Автоматизации задач
✅Работа в телеграм боте или на сайте
Подключись сегодня, чтобы получить скидку 70% на Premium тариф
Попробуй бесплатно t.me/RussiaChatGPTBot
Реклама. ИП Смирнов Герман Анатольевич. ИНН 702281658934. erid: LjN8JvPAW
📖 «Аудит безопасности информационных систем»
В этой книге рассматриваются методы обхода систем безопасности сетевых сервисов и проникновения в открытые информационные системы.
Информационная безопасность, как и многое в нашем мире, представляет собой медаль с двумя сторонами.
С одной стороны, мы проводим аудит, ищем
способы проникновения и даже применяем их на практике, а с другой — работаем над защитой.
Тесты на проникновение являются частью нормального жизненного цикла любой ИТ-инфраструктуры,
позволяя по-настоящему оценить возможные риски и выявить скрытые проблемы.
Автор: Никита Скабцов
Год выхода: 2018
🗄 Читать книгу – линк.
// Не хакинг, а ИБ
📨 Сколько стоит взломать почту: небольшой анализ рынка хакеров по найму
Взлом почтового ящика в терминологии ИБ считается «таргетированной» или «целевой» атакой.
Такими вещами занимается государственная разведка вроде АНБ и ГРУ, но есть и черный рынок услуг для простых смертных, где можно заказать взлом любого ящика за скромную плату.
Это рынок «хакеров по найму» (hack-for-hire).
Он активно процветает в РФ, поскольку здесь, в отличие от западных стран, за такие мелкие преступления не грозит уголовная ответственность.
🗄 Читать статью – линк.
// Не хакинг, а ИБ
💻 Burp Suite | Тестирование веб-приложений.
Burp Suite — это интегрированная платформа, предназначенная для проведения аудита веб-приложения, как в ручном, так и в автоматических режимах.
Содержит интуитивно понятный интерфейс со специально спроектированными табами, позволяющими улучшить и ускорить процесс атаки.
Сам инструмент представляет из себя проксирующий механизм, перехватывающий и обрабатывающий все поступающие от браузера запросы.
В видео будут показаны:
⏺ Краткое руководство Burp Suite
⏺ Основы языка SQL
⏺ Установка бэкдора на сервер
⏺ Программу SQLMap для более детального тестирования
// Не хакинг, а ИБ
🤖 Создаем Deepfake и подделываем голосовые сообщения
Если вы хотите создавать видео Deepfake, Voice.ai является одним из лучших бесплатных программных вариантов для смены голоса.
Вы можете использовать его, чтобы изменить свой голос или создать видео Deepfake с голосами любых людей, к примеру знаменитости или даже вымышленные персонажи из мультсериалов.
😂 Его можно использовать для создания видео людей, которые говорят то, что они никогда не говорили.
С нашим бесплатным глубоким поддельным голосом вы сможете изменить свой голос в любом видео или аудиоклипе.