В новом выпуске подкаста Андрей обсудил с Анатолием Ивановым из Positive Technologies работу «белых» хакеров и безопасников: поиск уязвимостей и платформы баг-баунти, а также путь новичка в профессии и представление хакеров в культуре.

YouTube | Сайт | Скачать MP3

Среди каналов, посвященных информационной безопасности, есть один, о принадлежности которого существует множество версий, но ни одна из них не является верной.

Это канал SecAtor.

Вашему вниманию самые таинственные авторы из мира инфосек, которые расскажут про борьбу спецслужб в киберпространстве, про активность вымогателей и коммерческих хакерских групп, про свежие уязвимости, которые нужно срочно пофиксить. Ну и про инсайды инфосека, само собой.

Канал SecAtor — его авторов не знает никто, но они знают многое.

👀 Что случилось на Standoff 365 Bug Bounty

За пять месяцев работы платформы:

🔸2500+ хакеров зарегистрировались
🔸24 программы bug bounty запущены
🔸600+ отчетов об уязвимостях получено
🔸5+ млн рублей назначено в качестве вознаграждения

Спасибо всем причастным 🙏

А если вы только начинаете свой путь, то вот пара полезных статей.

📄 С чего начать багхантинг приложений, мы рассказали на Хабре.
💻 А об атаках типа account takeover недавно рассказал наш друг сircuit.

🎮 Кибербезопасность в играх

Компьютерные игры по принципу своей работы — это обычное программное обеспечение. И с защитой в них далеко не все так гладко. Базовые рекомендации по безопасности здесь мало чем отличаются от классических правил сетевой гигиены.

💬 Владимир Кочетков, руководитель отдела исследований и разработки анализаторов кода Positive Technologies, советует:

🖥 Будьте осторожнее с игровыми платформами и внутриигровой коммуникацией, не используйте сомнительные настройки или включайте их только для друзей. Например, одна из настроек Steam позволяет при определенных условиях узнавать очень многое о своих тиммейтах.

🛡 Не отключайте антивирусы. Они действительно снижают производительность, но не так сильно, чтобы это серьезно влияло на игру.

🔐 Не забывайте о защите от вредоносного программного обеспечения. Если антивирус Windows ругается, это чаще всего значит, что могут начаться проблемы не только с играми, но и с банковскими данными, производительностью и вредоносным трафиком.

🪄 Если в игре начинают происходить «чудеса», как было в Apex Legends, когда хакеры атаковали сетевой протокол и смогли подменить контент в клиентах, то лучше на время отказаться от игры, выйти из взломанного клиента и дождаться исправления ситуации.

Подробнее о проблемах игровой индустрии читайте в интервью Владимира на Хабре.

#PositiveЭксперты

🤘 Мы отобрали все доклады для второго митапа Standoff Talks. В ближайшее время финализируем расписание и поделимся с вами.

Митап пройдёт 22 ноября в Москве на площадке Grand Ballroom. Если хотите прийти, зарегистрируйтесь → forms.gle/snYDAKZSVMeLieiv7

📝 В программе:

🔸 коллаборационные платформы для анализа защищённости;
🔸 OAuth 2.0 и как его разламывать;
🔸 история роста Codeby на Standoff;
🔸 взгляд со стороны SOC на типичные ошибки red team;
🔸 пост-эксплуатация сетевого оборудования;
🔸 векторы, секреты и рассказы от матёрых багхантеров.

Мы увеличили количество мест для слушателей в два раза. Надеемся, все смогут попасть. При конкуренции за места предпочтение отдадим участникам на платформе.

Приходите сами, зовите друзей 👉 forms.gle/snYDAKZSVMeLieiv7 Зарегистрироваться можно строго до 20 ноября.

⚡️ 3i Games, Lootdog и ESforce уже на платформе!

3i Games — команда, которая занимается издательством браузерных и HTML5-игр.
🔸 *.3igames.mail.ru за исключением делегированных и размещенных на внешнем хостинге доменов и фирменных партнерских сервисов.

Lootdog.io — торговая площадка, где игроки продают и покупают внутриигровые предметы. Площадка помогает повысить вовлеченность игроков, обеспечивая при этом полную безопасность операций и защиту от фрода.
🔸 *.lootdog.io

ESforce Holding — одна из крупнейших киберспортивных организаций в мире и лидер российского компьютерного спорта.
🔸 *.cybersport.ru и *.esforce.com

💸 Максимальная награда за уязвимости — 60 000 ₽ (в зависимости от уровня угрозы).

👀 Искать уязвимости в VK ↓
bugbounty.standoff365.com/vendors/vk

⚡️Киберучения для защитников на Standoff

Скоро «красные» и «синие» вновь сразятся на Standoff за контроль над Государством F. Защитники, не попавшие на кибербитву, смогут прокачать свои навыки на виртуальной IT-инфраструктуре соорганизатора мероприятия ГК Innostage.

Учебный киберполигон Innostage — это доступная для защитников типовая инфраструктура предприятия, на которой развернуты средства мониторинга и защиты: PT Network Attack Discovery (PT NAD), MaxPatrol SIEM, PT Application Firewall, РТ Sandbox.

Участники учений разберут цепочки самых распространенных атак 2022 года:

🔸 deface сайта;
🔸 фишинг;
🔸 внедрение шифровальщиков;
🔸 внедрение шпионского ПО;
🔸 внедрение майнеров.

🔥 Поспешите подать заявку на участие до 17 ноября!

📌 В основной программе митапа ждём следующие доклады:

🔹 Юрий Ряднина — 37 слайдов про багбаунти
Истории из багбаунти, интересные и нестандартные векторы, идеи и советы от багхантера circuit.

🔹 Магама Базаров — Taken Under
О техниках постэксплуатации в контексте сетевого оборудования, к которому был получен доступ.

🔹 Александра Антипина — Коллаборационные платформы для анализа защищённости
О методах и утилитах для систематизации информации, получаемой в ходе соревнований и ассесментов.

🔹 Екатерина Никулина — Глазами SOC: типичные ошибки red team
О распространённых ошибках атакующих, которые приводят к быстрому и эффективному детекту командой синих.

🔹 Ильсаф Набиуллин — OAuth 2.0 и как его разламывать
Об ошибках при реализации OAuth 2.0

🔹 Алексей Морозов — История Codeby на Standoff
Про путь от небольшой CTF-команды до трёхкратных победителей кибербитвы.

Если хотите прийти на площадку, оценить изящество макета Standoff, пообщаться со спикерами и участниками, регистрируйтесь 👉 forms.gle/snYDAKZSVMeLieiv7

📺 Тех, кто не сможет быть, ждём на трансляции в ютубе.

🔥Представляем первую четверку команд на Standoff

🔴 Flaggermeister
🇪🇸 Испания
Наикрутейшая испанская CTF-команда, состоящая из пентестеров, багхантеров, специалистов по поиску угроз и студентов. Победители DEADFACE 2022 и других CTF-соревнований.

🔴 7h3B14ckKn1gh75
🇬🇧 Великобритания
Азартная CTF-команда из Великобритании. Чего они только не делают — помогают другим добиться успеха, проводят увлекательные турниры по шахматам. Вместе решают таски на HackTheBox и в настоящее время занимают седьмое место.

🔴 ActivateWindows
🇮🇳 Индия
Команда энтузиастов, состоящая из профессионалов. Специализируются на red teaming, эксплуатации уязвимостей под Windows, а также разработке эксплойтов и бэкдоров. «И ваши окошки мы за собой почистим просто волшебно».

🔴 Straw Hat
🇨🇳 Китай
Международная CTF-команда, создана в начале 2022 года. Многие члены команды интересуются CTF и пентестом. Команда заняла 7 место в финале DEFCON 30 CTF. Некоторые члены команды были спикерами на конференции Black Hat.

🔥Продолжаем представление команд атаки на Standoff

🔴 LingwuLab
🇨🇳 Китай
Объединенная команда из Lingwu Laboratory и Vidar-Team.
Lingwu Laboratory заняла 2 место в соревнования CVVD 2021, 3 место в финале Xiangyun Cup 2021.
Vidar-Team занимается исследованиями в области технологий ИБ с 2008 года. Принимает активное участие в крупных CTF-соревнованиях.

🔴 AAA (Azure Assassin Alliance)
🇨🇳 Китай
Cпециализируется на CTF-соревнованиях. Создана в 2012 году, весь состав — студенты и аспиранты Чжэцзянского университета (ZJU). Добились высоких результатов на нескольких престижных CTF, включая 0CTF/TCTF, CODEGATE, SECCON.

🔴 Never Stop Exploiting
🇨🇳 Китай
Cпециализируется на CTF-соревнованиях. Состоит из аспирантов Университета Китайской академии наук (UCAS), а также студентов старших курсов.

🔴 Stun
🌐 Интернациональная
Объединённая команда Red Team специалистов из балканских стран. Участвует в CTF с 2018 года. Состоит из студентов и ИБ специалистов. Цель — разобраться, как всё устроено: чтобы защитить инфраструктуру от злоумышленников, нужно сначала понять, как её взломать.

🔴 hexens
🌐 Интернациональная
Постигли новый подход к кибербезопасности и проверят его на Standoff.

До начала юбилейной кибербитвы Standoff 10 остается два дня!

Подготовка площадки идет полным ходом 😎

#Standoff10