eBPF в Kubernetes: из огня не в полымя

Всем привет!

Ну что же! Огонь победил обезьянок (как бы это странно не звучало)! И мы начинаем знакомить вас со спикерами CyberCamp 2024!

Открывает череду постов Алексей Рыбалко – специалист по защите контейнерных сред из Лаборатории Касперского!

«Безопасность сетевых потоков требует особенного подхода к их фильтрации: один пропущенный зловред, и корпоративная сеть может «сгореть» быстрее, чем потухнет одна спичка.

В своем докладе я расскажу, как в фильтрации потоков может помочь технология eBPF в связке с K8s, какие у нее есть нюансы: обработка мультисессий, непростые тонкости внедрения программы и другие особенности, которые при неосторожности могут превратить интеграцию фичи в настоящий пожар.

Материал будет интересен тем, кто хочет знать, как обуздать сетевую фильтрацию в K8s в самых «жарких» ситуациях и тем, кто хочет этому научиться» - описание доклада непосредственно от Алексея 😊

На наш взгляд доклад Алексея можно сравнить с фильмами Тарантино. Да, мест действия не так уж и много, но диалоги, суть, «напряжение», юмор и стиль… Все на месте! Рекомендуем к ознакомлению!

Kubernetes CNI: benchmarking, 2024!

Всем привет!

Нет, спикеры CyberCamp 2024 не кончились, просто мы решили представлять их «постепенно» 😊

Сегодня рекомендуем обратить внимание на статью. В ней содержатся результаты сравнительного тестирования производительности известных CNI Kubernetes. Кстати, это не первый такой тест: были еще в 2018, 2019 и 2020 годах.

Из 33 CNI в тестирование попало всего лишь 7: Antrea, Calico, Canal, Cilium, Kube-OVN, Kube-router и Flannel. Критерии, на основании которой осуществлялась выборка, приведены в статье, а результаты представлены в Google-таблице.

После создания лабораторного окружения (включавшего в себя как bare-metal серверы) CNI подвергли целому ряду испытаний:
🍭 Direct pod-to-pod TCP/UDP bandwidth with a Single stream
🍭 Direct pod-to-pod TCP/UDP bandwidth with Multiple streams
🍭 Pod to Service TCP/UDP bandwidth with a Single stream
🍭 Pod to Service UDP/UDP bandwidth with Multiple streams

И кто же победил? 😊 Ответ на это, включая много-много-много графиков и данных можно найти в статье.

Помимо этого, в ней приводятся рекомендации от Автора для «Low-Resource Clusters», «Standard Clusters» и «Fine-Tuned Clusters» о том, какой CNI лучше всего подойдет.

Безопасная разработка Telegram-ботов: минимизация рисков ИБ

Всем привет!

Второй доклад CyberCamp 2024 по безопасной разработке будет от Александра Терехова, менеджера по автоматизации процессов, Инфосистемы Джет.

Александр расскажет про безопасность Telegram-ботов: «В докладе я расскажу о ключевых аспектах безопасной разработки Telegram-ботов, рассмотрев, как защитить их от различных угроз и рисков.

Мы начнем с анализа основных угроз безопасности Telegram, выявив наиболее распространенные типы атак и уязвимости, которым подвержены боты. Затем перейдем к изучению уязвимостей Telegram-ботов и способов их эксплуатации, включая социальную инженерию, атаки "человек посередине" и другие методы.

Особое внимание уделим мерам по обеспечению безопасности Telegram-ботов, рассмотрев, как защитить их от несанкционированного доступа, атак и утечки данных.

В докладе также будут затронуты законодательные и этические аспекты безопасности Telegram-ботов, обсудив правовые рамки, ограничения и требования к обработке персональных данных, а также вопросы этической ответственности разработчиков.

В завершение я представлю практические рекомендации по повышению безопасности Telegram-ботов, чтобы разработчики могли реализовать лучшие практики и минимизировать риски в своей работе»

Если сравнивать доклад Александра с направлением кинематографии, то это точно будет нечто научное 😊 «Локальная тема», много деталей и практических рекомендаций, к которым можно и нужно прислушаться 😊

Набор статей про CI/CD Security

Всем привет!

Безопасность CI/CD тема важная, нужная и очень интересная! Поэтому предлагаем вам сегодня несколько статей на эту тему.

Первая и вторая посвящены Direct и Indirect Poisoned Pipeline Execution (PPE и I-PPE соответственно). Если просто, то это тип атак, при котором злоумышленник *каким-то образом* может влиять на конфигурационный файл конвейера сборки.

Третья же рассматривает Artifact Poisoning и Code Injection. Возможность влияния на логику конвейера путем манипуляции с артефактами, которыми он оперирует.

Статьи содержат информацию:
🍭 Пояснение «логики работы» и способы эксплуатации указанных недостатков
🍭 Рекомендации по их предотвращению

Особенно хорошо расписаны способы эксплуатации – они наглядны и позволяют лучше понять происходящее. Для всего есть схемы, пояснения и комментарии Авторов.

State of Exploitation от VulnCheck

Всем привет!

По ссылке можно ознакомиться с аналитической информацией, посвященной exploit’ам для уязвимостей, подготовленной VulnCheck.

Всего команда добавила 390 уязвимостей в базу Known Vulnerability Exploitation (KEV). Не путать с CISA KEV, это немного разные ресурсы.

Top-5 категорий с известными exploit:
🍭 Network Edge Devices (70)
🍭 Content Management Systems (70)
🍭 Open Source Software (56)
🍭 Server Software (35)
🍭 Operating Systems (29)

В статье приведено много статистической информации, отображенной в графическом формате (увы, без абсолютных данных) о том, кто предоставлял больше всего информации, какие именно компоненты содержат уязвимости и сравнение с CISA KEV.

Beginner guide по производительной и безопасной настройке Nginx!

Всем привет!

Наверное, мало кто не слышал про Nginx! Он достаточно функционален, может выступать в разных «ролях» (Web Server, Load Balancer, Reverse Proxy и не только). И все эти роли он исполняет весьма и весьма хорошо! Зачастую он используется и для DevSecOps-задач.

У него много конфигурационных параметров, которые по началу могут «сбивать с толку». Если вы искали статью, в которой понятно и доступно агрегирована информация по его настройке, то рекомендуем материал по ссылке (~ 28 минут на чтение).

Автор начинает с истории: как, когда и кем был создан Nginx, рассказывает про варианты его использования.

Дальше, по нарастающей, начинается интересное – установка, первичная конфигурация, варианты настройки различных ролей и… конечно же! Безопасность!

Рассматриваются такие темы, как:
🍭 Настройка SSL/TLS
🍭 Реализация Rate Limiting
🍭 Работа с Security Headers
🍭 Настройка журналирования

Помимо этого, затрагивается много тем, которые могут быть полезны Ops-специалистам: оптимизация работы при высоком трафике, автоматизация настройки Nginx с использованием Ansible и многое другое.

Конкретные команды, комментарии, перечень действий – все это можно найти в статье. Что в ней приятного – так это отлично структурированный материал, в котором нет ничего лишнего. Все по делу!

Burp Suite: Deep Dive!

Всем привет!

Вы наверняка слышали про Burp Suite. Его часто используют при тестировании на проникновении или анализе защищенности ПО.

Если хотели узнать про него больше, но не знали с чего начать, то сегодняшний пост может вам подойти!

По ссылке доступе набор видео-уроков, включающих в себя рассказ про:
🍭 Basics (целых 5 видео 😊)
🍭 Advanced Scoping
🍭 Sitemap и Scanner
🍭 Repeater и не только

Всего доступно 21 видео, в среднем по 15-17 минут каждое. Помимо этого, если интересна тематика безопасности web-приложений, то однозначно стоит посмотреть в сторону Web Security Academy.

Где лучше всего (не) хранить секреты?

Всем привет!

Есть очень популярная и правильная рекомендация – не хранить секреты в исходном коде, конфигурационных файлах и т.д. Но настолько ли все плохо и действительно ли их быстро «уведут»?

Чтобы проверить эту гипотезу Автор статьи решил провести эксперимент. Он создал несколько canary tokens – специальные «метки», которые сообщат, если кто-то попробует ими воспользоваться.

После чего Автор разместил их на разных ресурсах:
🍭 Публичные репозитории: GitHub, GitLab, BitBucket, DockerHub
🍭 «Собственные» ресурсы: FTP-сервер, Блог
🍭 SaaS-сервисы: Pastebin, JSFiddle
🍭 Пакетные менеджеры: NPM, PuPi
🍭 Облачные хранилища: AWS S3, GCP Google Cloud Storage

В результате эксперимента была собрана очень интересная аналитика, которую Автор детально описал в статье.

Какое ваше мнение? Откуда быстрее всего «забрали» секреты? Пишите в комментариях!

P.S. А если очень не терпится, то увы! ) статья очень интересная и мы настойчиво рекомендуем ее прочесть 😊

Как работает kubectl port-forward?

Всем привет!

Если вы когда-нибудь задумывались о том, что именно происходит в случае реализации команды kubectl port-forward и искали ответ, то он есть в статье!

Автор подробно описывает, что происходит:
🍭 Инициализация: kubectl port-forward
🍭 AuthN/Z, реализуемый на стороне kube-apiserver
🍭 Получение информации о pod
🍭 Установка сессии
🍭 Настройка iptables
🍭 Взаимодействие с pod через port-forward

Все это оформлено в виде наглядной sequence-диаграммы. Ссылку на нее можно найти в статье.

Кстати, Автор делал это не из праздного интереса, а для разработки собственной утилиты – kftray. Сам он описывает ее так: «kubectl port-forward on steroids!».

Если кратко, то она позволяет не терять соединение, даже в случае «смерти» pod, поддерживает разные протоколы, записывает логи и не только. Подробности – в repo проекта!

Разработка, найм и социальная инженерия!

Всем привет!

Допустим, вы – специалист, который ищет работу, так или иначе связанную с разработкой: от полноценного ПО до приятных утилит для автоматизации чего-либо.

И вот однажды получаете сообщение по почте, что ваше резюме интересно работодателю!

Talk is cheap. Show me the code! (c) Linus Torvalds

И что может быть лучше, чем пройти небольшое тестовое задание?

Например, вас попросят добавить некий новый функционал в тестовый проект или потребуется устранить некий недостаток. Конечно, после изменения кодовой базы, надо проверить, что все работает. «Рекрутер» попросит запустить приложение и сделать screenshot, который подтвердит, что все в порядке.

И вроде бы все хорошо, но есть нюанс… Он заключается в том, что это может быть достаточно хорошо реализованная социальная инженерия. И нет, это не домыслы, это реальный случай, который нашла команда из ReversingLabs. Подробнее про него можно прочесть в статье – там описан «полный цикл».

Да, есть множество способов решать задачки по программированию – от online-площадок, до полностью самостоятельного написания кода «у себя». Но социальная инженерия «бьет» по самым больным местам. Вдруг вы получили письмо от компании, в которой всегда хотели работать? И вот уже открыть архив не кажется странным.

Будьте бдительны ) И не забывайте о том, что самое слабое звено в любой системе защиты – это мы с вами 😊

Supply chain атака на PyPi: Revival Hijack

Всем привет!

«Как только пакет удаляется из PyPi, его имя сразу становится доступно для регистрации». Directed by Robert B. Weide.

Наверное, тут уже не «кажется, что что-то может пойти не так», а прямо кричит об этом. Особенно учитывая то, насколько Supply Chain атаки «популярны».

Сценарий крайне простой:
🍭 Пользователь работает с пакетом X версии 1.42
🍭 «Владелец пакета» удаляет его из PyPi
🍭 Злоумышленник регистрирует пакет X версии большей, чем 1.42. Но только уже совсем с иным «содержанием»
🍭 Пользователь обновляет пакет…

И это не typosquotting, где пользователь ошибся. С его точки зрения это вполне легитимная операция.

Команда JFrog, нашедшая указанный недостаток, написала отличную статью, в которой все описано в мельчайших подробностях. От теории до PoC с примерами, скриншотами и всем необходимым для более глубокого погружения.

На этом ребята не остановились и пошли дальше! Они «прикинули» сколько пакетов подвержено этой атаке. Т.е. были недавно удалены. Оказалось, что таких – 22 000! При этом, в среднем в месяц удаляется около 309 пакетов.

Но есть и хорошие новости! Чтобы защитить community, специалисты JFrog создали Security Holding. Он загружает «пакет-заглушку» для наиболее часто скачиваемых пакетов, что были удалены. И понижает версию до 0.0.0.1, что позволяет минимизировать вероятность dependency confusion.

И даже это еще не все… 😊 Крайне рекомендуем к ознакомлению! Читается на одном дыхании!

JET Pilot: UI для Kubernetes

Всем привет!

Если вы из тех, кому нравится выбор, и вы любите смотреть на разные технологии, решающие одну и ту же задачу, но по-разному, то JET Pilot может вас заинтересовать.

Это минималистичный UI для Kubernetes, который позволяет:
🍭 Получать информацию о ресурсах кластера
🍭 Смотреть и редактировать их конфигурацию
🍭 Анализировать логи в real time
🍭 Получать shell-доступ внутрь контейнера

Каких-то явных преимуществ в сравнении с Lens или k9s у него нет. Но у всех свои вкусы )

Например, тот, кто написал этот пост любит k9s и не очень любит использовать Lens 😊

KubeAdmiral: multi-cluster orchestration engine!

Всем привет!

В начале своей деятельности команда ByteDance использовала подход, в котором для каждого бизнес-направления использовались собственные кластеры Kubernetes.

Со временем, ребята поняли, что такой подход имеет ряд существенных ограничений с утилизацией ресурсов и поддержкой отдельно взятых инсталляций.

Это привело к дому, что они начали «копать» в сторону реализации федеративных кластеров. И сперва использовали для этого KubeFed.

Концепт состоит в том, что есть host и member кластеры. Пользователь может создать federated-ресурс на host кластере, после чего он будет создан в member-кластерах.

Однако, и у такого подхода есть недостатки: поддержка ограниченного количества ресурсов для scheduling; возможные проблемы, связанные с rescheduling и не только.

Все описанное выше привело к тому, что был создан KubeAdmiral! Он позволяет централизованно управлять множеством кластеров и не содержит недостатков, которые есть у KubeFed.

Подробнее о нем можно прочесть в статье, repo проекта или в документации.

VEX Hub: агрегация информации по VEX-отчетам

Всем привет!

Vulnerability Exploitability eXchange (VEX) – удобный формат обмена информацией о том, подвержено ли некоторое ПО уязвимости X или нет. Или при каких условиях. VEX может быть частью SBOM, а может жить «самостоятельной жизнью».

Его задача достаточно проста – обогащение информацией. Процесс управления уязвимостями (Vulnerability Management), вероятно, больше всех прочих нуждается в множестве данных, которые помогут принять решение и расставить приоритеты.

Как иначе понять, за какую из 100 Critical-уязвимостей браться в первую очередь, при условии, что «мощность» команды на устранение в нужный период лишь 40 штук?

Для того, чтобы немного упростить жизнь, команда Aqua Security анонсировала VEX Hub! У него крайне простое назначение – агрегировать VEX-данные от различных производителей и централизованно предоставлять информацию пользователям.

Работает по следующему принципу:
🍭 Maintainer repo создает папку .vex в корне и помещает в нее отчет
🍭 Maintainer делает PR в VEX Hub с просьбой добавить его для сбора информации
🍭 Crawler Aqua собирает данные и агрегирует все в едином repo
🍭 Все!

Больше подробностей можно узнать в repo проекта или в статье от Aqua Security. Да, наполнение пока «не очень», но и проект анонсировали недавно. Интересно будет наблюдать за его развитием 😊

P.S. Кстати, Trivy, начиная с версии v0.54 может работать с VEX для предоставления еще большей информации об уязвимостях.

Top100 Vulnerabilities: Step-By-Step

Всем привет!

В приложении вы найдете файл, в котором рассматриваются наиболее известные уязвимости. Например, SQLi, XSS, SSI, Brute Force и т.д.

Для каждой из них описано:
🍭 Параметры. Фактически – причины, из-за которых уязвимость возникает и ее можно эксплуатировать
🍭 Воспроизведение. Верхнеуровневый алгоритм, который позволит ей «воспользоваться»

Не стоит искать в документе алгоритма в стиле «делай 1,2,3 и реализуешь SQLi» - его там не будет.

Однако, в нем можно найти общие концепты, которые помогут лучше понять происходящее и как от него можно и нужно защищаться.

Диаграммы на любой вкус и цвет!

Всем привет!

Многие люди гораздо проще готовы воспринимать информацию, представленную в виде графики, а не текстового описания.

Если вы из таких, то этот легкий пятничный пост точно для вас! На сайте собрано невообразимое количество различных схем.

Например, можно найти:
🍭 Infrastructure as Code
🍭 API Security Cheatsheets
🍭 Объяснение принципов работы аутентификации (Password, Session, Cookie, Token, JWT, SSO, OAuth)
🍭 Good Coding Principles to Improve Code Quality и много чего еще

Помимо самой схемы-диаграммы есть небольшое описание или ссылка на видеоролик, в котором можно найти больше информации

P.S. Всех с пятницей и отличных вам выходных!!! 😊