Небезопасное извлечение архива

Всем привет!

Еще одна отличная статья от Doyensec. В этот раз специалист проводил исследование, связанное с возможностью эксплуатации уязвимостей в функциях, используемых для разархивирования.

Анализу подлежали следующие языки программирования: Python, Ruby, Swift, Java, PHP и JavaScript.

Для того, чтобы лучше в этом разобраться, Автор сделал PoC, в котором были реализовал Archive Path Traversal.

Помимо этого, он подготовил набор Semgrep-правил, при помощи которых можно идентифицировать указанные уязвимости.

Но и это далеко не все! Больше информации и материалов можно найти в статье или по ссылке на вот это repo.

В нем, помимо прочего, Автор приводит результаты анализа безопасности часто встречающихся функций языков программирования для (раз) архивирования.

Stratoshark: анализ сетевого трафика …!

Всем привет!

Если вам показалось, что название чем-то напоминает Wireshark, то… Вы правы! Stratoshark – новая утилита от той же команды, что создала Wireshark!

С ее помощью можно анализировать нет, не сетевой трафик, но системные вызовы. Например, взаимодействие с файлами, выполнение команд, сетевую активность, взаимодействие между процессами и т.д.

Как и его старший брат, Stratoshark позволяет:
🍭 Просматривать результаты в UI
🍭 Использовать гибкую систему фильтрации для того, что нужно именно вам
🍭 Анализировать записи, созданные Falco
🍭 Изменять отображение информации в соответствии с вашими потребностями

Согласно заверениям разработчиков, если вы пользовались Wireshark, то со Stratoshark вы будете «чувствовать себя, как дома» 😊

Подробнее о проекте – документация, установка, quick start guide, исходный код, немного видео – все это можно найти вот по этой ссылке.

Wormable XSS в Atlassian

Всем привет!

Команда Snapsec проводила аудит информационной безопасности Atlassian и обнаружила очень интересное поведение одной функции.

С одной стороны – обычная XSS, с другой стороны ее эксплуатация в определённых условиях позволяла получать повышенные привилегии в организациях, отличных от собственной.

В статье Авторы рассказывают про:
🍭 Что такое link-based XSS и как их реализовать
🍭 Поиск «чего-то подходящего в продуктах Atlassian» для реализации link-based XSS
🍭 Повышение привилегий с помощью XSS в рамках одной организации
🍭 Повышение привилегий с помощью XSS в рамках нескольких организаций

Каждый шаг детально описан, есть примеры payloads, скриншоты и комментарии.

A practical guide to software supply chain security

Всем привет!

В приложении можно скачать небольшую книгу (~ 21 страница) от Red Hat, посвященную информационной безопасности цепочки поставок ПО.

Книга состоит из разделов:
🍭 Общее описание того, что из себя представляет цепочка поставки ПО
🍭 Основные атаки на цепочку поставки ПО
🍭 Способы защиты от вышеперечисленных атак

Материал структурирован по этапам жизненного цикла ПО – от Create до Run.

В целом получился достаточно неплохой материал для поверхностного ознакомления и понимания того, куда двигаться дальше.

Kubewatch: оповещения о событиях в кластерах Kubernetes

Всем привет!

Kubewatch – утилита, которая позволяет получать оповещения о событиях в кластерах Kubernetes, связанных с ресурсами.

Например, создание Service, присвоение ClusterRoleBinding, изменение параметров Deployment и т.д.

Это может быть полезно команде информационной безопасности: узнать, что кому-то был предоставлен доступ или где-то изменили параметры Security Context.

Сейчас Kubewatch поддерживает «основные» ресурсы:
🍭 Deployment
🍭 Service
🍭 ClusterRole
🍭 Secret
🍭 ConfigMap и т.д.

Также можно реализовать настройку оповещений для CRD.

Данные можно отправлять в различные средства коммуникации, например, Slack, Mattermost, Teams, электронная почта и т.д.

А если нужно «что-то свое», то можно использовать обычный webhook.

Image Verify Cache в Kyverno

🔍 Всем привет!
Если вы уже знакомы с инструментом Kyverno, то знаете, что он помогает обеспечить соблюдение политик безопасности в кластере. В частности одно из его возможных применений — верификация образов, подписанных на этапе сборки.

Kyverno имеет неожиданную особенность — по-умолчанию он сохраняет в кэше ссылку на образ, для политик типа imageVerify. Согласно документации, это реализовано для снижения нагрузки на сеть, так как при повторном использовании образа проверка не повторяется. По умолчанию кеш хранится 60 минут.
Но что, если вам нужно изменить это поведение? Разработчики предусмотрели несколько вариантов:

1. Параметры запуска kyverno:
   - imageVerifyCacheEnabled — отключает кеш для imageVerify.
   - imageVerifyCacheMaxSize — определяет количество хранимых значений.
   - imageVerifyCacheTTLDuration — задает время хранения записи в кэше.
2. Использование параметра useCache: false в самой политике.

Эта информация может быть полезна для тех, кто хочет глубже понять работу kyverno и настроить его под свои нужды.

Ротация секретов: how to?

Всем привет!

Небольшой, но тем не менее достаточно важный пятничный пост. Бывает так, что секрет был компрометирован. И его надо сменить.

Команда Truffle Security любезно подготовила набор пошаговых инструкций о том, как это можно сделать для разных сервисов.

В подборку вошли:
🍭 Atlassian
🍭 GitHub
🍭 GitLab
🍭 OpenAI
🍭 Slack и многое другое

Надеемся, что вам никогда не пригодятся эти инструкции. Но на всякий случай, пусть побудут тут 😊

Анализ достижимости: что это такое и как это работает?

Всем привет!

В приложении можно скачать презентацию Mike Larkin, в которой он наглядно показывает, что такое анализ достижимости и как его можно реализовать с использованием open source инструментов.

Авто рассматривает:
🍭 Что такое достижимый код
🍭 Общая информация об анализе достижимости и почему он так важен
🍭 CVE и «информативность» их описания
🍭 SBOM и его роль в анализе достижимости
🍭 Графы вызовов, их использование для понимания «кто вызывает кого» и не только

В результате у Автора получается объединить все вышеописанное вместе для того, чтобы рассмотреть анализ достижимости со всех сторон (пусть и поверхностно).

Для наглядности материал содержит отсылки на используемый инструментарий и примеры анализа для Golang и Java-приложения.

Помимо этого, можно ознакомиться с видео. Рекомендуем! Хотя бы потому, что в нем представлены примеры запуска утилит и комментарии Автора, чего нет в презентации.

Увы, предлагаемый подход поможет понять, что это такое и зачем это нужно, но масштабировать его в компаниях вряд ли получится без «доработок».

Использование AI в статическом анализе

Всем привет!

Статья от GitHub, в которой описано то, как они применяют AI для оптимизации процесса работы с результатами статического анализа ПО.

В статье приводится общая информация о том, как и для чего можно использовать AI в SAST.

Например, выявление большего количества ИБ-дефектов или помощь в их устранении.

Последнему как раз и посвящена основная часть статьи. Автор описывает процесс того, как работает Code Scanning Autofix в связке с CodeQL.

Алгоритм следующий:
🍭 Кодовая база сканируется с использованием CodeQL
🍭 Подготовка prompt’a с информацией об ИБ-дефекте для отправки в Copilot (описание уязвимости из базы CodeQL, пример исходного кода)
🍭 Проверка ответа, полученного от Copilot, удаление всего «лишнего»
🍭 Создание pull request, содержащего вариант по устранению ИБ-дефекта и его описание

Указанный выше алгоритм более детально описывается в статье, с примерами.

Кроме того, в статье очень много ссылок на полезные материалы по теме использования AI для анализа ПО.

В пятницу прошла интересная беседа уважаемых в мире DevOps людей 😎

Смотрели под лупой новую версию Штурвала и рассуждали нужен ли ванильный куб, если можно скачать бесплатную community версию продукта и не мучиться? 😵

Всем приятного просмотра 🤓

https://www.youtube.com/watch?v=1My_GAXjI3A

Полезные ссылки:
Telegram - https://news.1rj.ru/str/shturval_community
Сайт - https://chislitellab.ru/shturval/

Использование AI для triage: опыт Semgrep

Всем привет!

Продолжаем тему использования AI для оптимизации процесса управления ИБ-дефектами при статическом анализе исходного кода.

«Мы рады заявить, что оценка Semgrep Assistant по обнаружению true positive совпадает с аналогичной оценкой наших специалистов в 95% случаев» - так начинается статья от Semgrep.

Далее в статье описано как именно команде удалось достичь таких впечатляющих результатов.

Например:
🍭 Процесс работы Assistant Autotriage – схема, дополнительный контекст (метаданные правил, предыдущие решения, примеры того, что (не) должно быть найдено и т.д.)
🍭 Сравнение используемых моделей (на выборке из 2000 findings)
🍭 Улучшение результативности за счет разных моделей, оптимизации prompt и т.д.

В завершение описаны идеи команды по дальнейшему развитию Assistant. Например, сейчас он сам не «закрывает» найденные ИБ-дефекты, а только подсказывает.

Рекомендуем! Читается легко, много всего интересного, включая дополнительные ссылки на исследования Semgrep в области использования машинного обучения.

Автоматизация создания схем для Kubernetes

Всем привет!

По ссылке можно найти утилиту, которая позволяет автоматизировать процесс создания диаграмм, визуализирующих взаимосвязь ресурсов приложения, запущенного в Kubernetes - KubeDiagrams.

Подобные утилиты существуют (и предоставлены в repo). KubeDiagrams отличается от них тем, что его можно очень по-разному настроить.

Сам процесс выглядит примерно так:
🍭 Применяем необходимые манифесты в кластере Kubernetes
🍭 Ждем пока все ресурсы будут созданы, pod – запущены и т.д.
🍭 Делаем kubectl get all,sa,cm,pod… -o=yaml > file.yaml
🍭 Передаем указанный файл на вход KubeDiagrams

Готово! Получаем красивую схему
Примеры работы утилиты можно найти в repo.

Насколько хорошо она себя покажет с «большими» приложениями – трудно сказать, надо экспериментировать! ☺️

P.S. Возможно, что есть те, кто ей пользовался и они захотят поделиться мнением ☺️

Знакомьтесь, Шерлок!

Всем привет!

Меня зовут Антон Гаврилов, я один из авторов этого канала. Приятно познакомиться!

Последний год мы вместе с командой работаем над собственной ASOC/ASPM/Иное (мне не очень нравятся эти аббревиатуры 😊) системой, которая получила имя «Шерлок».

В декабре 2024 года был выпущен первый релиз. И мне очень хочется показать его вам и всем, кому это будет интересно!

Если вы:
🍭 Хотите задавать каверзные вопросы
🍭 Хотите посмотреть на-еще-одно-отечественное-ПО
🍭 Продемонстрировать свой скепсис
🍭 Пожать руку, поделиться советом и пожелать удачи
🍭 …

То приходите на вебинар, который будет 13.02, начало в 11:00 (Мск). Да, будет небольшая презентация (для погружения в контекст), а основная часть будет посвящена «живой демонстрации».

Думаю, что на все про всё у нас уйдет часа 1,5. Но! Если вопросов будет много, то задержимся и найдем ответы на все 😊

Спасибо и до встречи!

Антон

P.S. Буду признателен за пересылку приглашения ☺️ Очень хочется узнать ваши мысли относительно того, что мы сделали и продолжаем делать!

The Ultimate DevSecOps Playbook for 2025 AI, ML and beyond

Всем привет!

В приложении можно скачать электронную книгу от Hadess (~ 116 страниц), посвященную безопасной разработке.

Внутри можно найти информацию о:
🍭 KPI команды DevSecOPs и как их считать
🍭 Уровни зрелости DevSecOps (от Initial до Optimized)
🍭 Технологии, используемые для автоматизации практик безопасной разработки
🍭 Использование AI и LLM в DevSecOps – где и для чего они могу пригодиться
🍭 Немного про MLSecOps/AISecOps в DevSecOps

Материала достаточно много, возможно, что-то из этого понравится вам и вы сможете использовать это у себя 😊

Курсы от Wiz!

Всем привет!

Команда Wiz подготовила небольшой набор обучающих курсов, посвященных Cloud Native Security. На текущий момент доступно: Kubernetes Security и SecOps for Cloud. В скором времени команда планирует выпустить AI Security.

Курсы хоть и базовые, но достаточно обширные с точки зрения рассматриваемых тем.

Например, курс про Kubernetes содержит:
🍭 Основы контейнеризации и Kubernetes
🍭 Ошибки в конфигурациях, security posture
🍭 Управление уязвимостями и безопасность цепочки поставок
🍭 Сетевая безопасность, Zero Trust
🍭 Runtime Security и не только

В среднем, для прохождения потребуется от 45 до 60 минут. Никакой регистрации не требуется (вообще). Можно просто открыть ссылку и читать/слушать 😊

Вопросы для интервью!

Всем привет!

Возможно, вам предстоит пройти интервью, вы недавно его проходили или вы просто любите разные квизы.

В этом случае вам может быть интересна подборка, доступная на этом сайте.

В ней собраны вопросы по различным областям. Например:
🍭 Core DevOps Concepts
🍭 Kubernetes
🍭 CI/CD
🍭 Monitoring and Logging
🍭 Site Reliability Engineering и другие

Для каждого раздела есть вопросы и ответы, с которыми можно ознакомиться.

Из минусов – вопросов пока что крайне мало и, зачастую, они достаточно общего характера.

Но! Надеемся, что проект будет развиваться и количество вопросов будет только увеличиваться.

Например, если у вас есть, чем поделиться, то правила внесения изменений описаны в разделе contribute ☺️

The Complete Guide to Kubernetes Security

Всем привет!

Астрологи объявили неделю электронных книг. В приложении можно найти электронную книгу (~ 33 страницы) от CrowdStrike, посвященную Kubernetes Security.

Материал разбит на 4 основные главы:
🍭 Общая информация о Kubernetes и его «месте» в Cloud Native мире
🍭 Основные векторы компрометации кластеров Kubernetes, разложенные по MITRE
🍭 Рекомендации по защите кластеров Kubernetes (Develop and Distribute, Deploy and Runtime)
🍭 Создание программы (плана) по защите среды контейнерной оркестрации

Конечно, не обошлось и без рекламы решений CrowdStrike по защите контейнеров, но ее не так уж и много.

OpenClarity: сканирование контейнеров и кластеров

Всем привет!

OpenClarity – open source проект, который позволяет сканировать кластеры Kubernetes и не только для идентификации ИБ-дефектов.

Он содержит сканеры, позволяющие выявлять:
🍭 Уязвимости
🍭 Вредоносное ПО
🍭 Секреты
🍭 Ошибки в конфигурациях
🍭 Эксплойты

Для этого используется целый набор сканеров и источников данных: Syft, Trivy, Grype, Go Exploit DB, KICS, ClamAV и не только.

Подробнее о решении можно узнать в repo или из его документации.

Запись вебинара "Фреймворк безопасности контейнеров JCSF"

А вот и запись прошедшего вебинара про безопасность контейнеров и фреймворк JCSF, в котором мы принимали участие. Приятного просмотра!