Найпоширеніші техніки фішингу
Фішинг у рамках red teaming передбачає імітацію реалістичних атак, які використовують людські вразливості для несанкціонованого доступу до систем або конфіденційної інформації. Ці методи можуть включати цілеспрямований фішинг (spear-phishing), коли надсилаються електронні листи конкретним особам з метою змусити їх натиснути на шкідливі посилання або розкрити облікові дані, або “whaling” — фішинг, спрямований на високопоставлених осіб, як-от керівників. Атакувальники також можуть використовувати голосовий фішинг (vishing) або фішинг через SMS (smishing), щоб виманити в жертв інформацію. Учасники red team створюють переконливі сценарії, щоб перевірити здатність організації виявляти та реагувати на ці техніки соціальної інженерії.

https://svyat.tech/top-phishing-techniques

У Паші вже 29 відосів про тестування безпеки в веб застосунках, там можете знайти багато цікавих порад як шукати різноманітні вразливості.

https://www.youtube.com/watch?v=xwnMANGzQNc&list=PLxYN9UPEuN1Hx7wEUlmw7o9ej7BQwmnUw

Які новинки в CHATGPT вийшли вчора

А в що ви вдягнені нижче пояса на зустрічах онлайн або ж не вдянені ?

Headerpwn

Фазер для аналізу реакції серверів на різні заголовки HTTP.

Цей інструмент зроблений для пошуку аномалій та аналізу того, як сервери реагують на різні HTTP-заголовки.

Він може надати цінну інформацію про потенційні ризики безпеки та неправильну конфігурацію.

Може інтегруватись з Burp Suite для єдиного інтерфейсу в проведені пентесту.

Запуск командою

headerpwn -url https://example.com -headers my_headers.txt


https://github.com/devanshbatham/headerpwn

Так як курсу не буде, бо група не зібралась, то закидую хоча б літературу OWASP Top 10 for LLM Applications, тут зібрані всі критичні точки які ви маєте переглянути в запроваджені безпечного використання LLM.

https://owasp.org/www-project-top-10-for-large-language-model-applications/assets/PDF/OWASP-Top-10-for-LLMs-v2025.pdf

Всілякі лабораторії хмарних серверів від iknowjason, 2025

Безкоштовні навчальні лабораторії з хмарної безпеки. Включає CTF, самостійні семінари, керовані лабораторії з вразливостей та дослідницькі лабораторії.

Доречі, мало б бути також на нашому курсі(

Що там є:
📌 AWS;
📌 Azure;
📌 GCP;
📌 Kubernetes;
📌 Контейнер;
📌 Terraform;
📌 Дослідницькі лабораторії;
📌 CI/CD.

https://github.com/4ndersonLin/awesome-cloud-security

Безкоштовний курс по AI - https://academy.tcm-sec.com/p/ai-100-fundamentals
Сама платформа націлена на курси по безпеці, але цей може бути цікавим усім, хто використовує LLM.

Коли у мене запитують на роботі, які в мене задачі на тиждень)))

Image Whisperer

Новий ШІ-інструмент, який не просто дивиться на ваші медіафайли, а буквально «читає їх думки». Підтягує гугл-фактчек, веб-пошук, реверсивні пошуковики, метадані й навіть має свій вбудований «детектор брехні» для картинок (вгадав 8 із 10 зображень — і це без кави). А ще він настільки уважний, що відразу покаже, де були «підмальовані зуби», «підкручені очі» або «притюнінговане авто». Ну, знаєте, класичний набір.

Локацію зйомки теж визначає, причому йому вистачить навіть скромних деталей: панельна стеля, самотня лампочка без абажура чи форма батареї. У підсумку він може не тільки знайти правильний регіон, а й натякнути, в якій країні ви так майстерно робили селфі.

Плюс, Image Whisperer аналізує окремі об’єкти: ви показуєте — він розповідає. І робить це без фантастичних вигадок, лише по суті (якщо фото не зроблене на «калькулятор», звісно).

https://imagewhisperer.org/

Ну що всі вже зробили предзамовлення?))

Хочете зробити вигляд бурної діяльності у вас на компі перед шефом?

Є рішення - Онлайн-симулятор хакера

Почніть друкувати випадковий текст, щоб імітувати зламування комп'ютерної системи

https://pranx.com/hacker/

Злив облікових даних: DCSync-атака

Атака DCSync для зливу облікових даних в Active Directory — це спеціалізована техніка, яку використовують зловмисники для витягування облікових даних із контролера домену (DC), імітуючи поведінку самого контролера домену.

🛠 Налаштування лабораторного середовища для симуляції атаки
📚 Розуміння протоколу DRS і механіки атаки
🔍 Чому такі некоректні конфігурації трапляються в реальному житті
💣 Використання помилкової конфігурації для атаки
🗺 Відображення атаки на MITRE ATT&CK
👁 Виявлення атаки
🛡 Стратегії пом’якшення (мітігації)

👁 Налаштування лабораторії
Вимоги:
• Віртуалізоване середовище (наприклад, VMware, VirtualBox або Hyper-V).
• Windows Server, налаштований як контролер домену.
• Клієнтська машина Windows.
• Інструменти: Impacket, Mimikatz, Netexec і Metasploit.

Захоплення акаунту через OAuth вразливості. Burp Suite. LabPortswigger лабораторна 34.

Всім привіт! Продовжуємо відео про кібербезпеку. У цьому відео ми продовжуємо практикуватись з OAuth.

https://www.youtube.com/watch?v=3PtR2AmgWpo&feature=youtu.be

🔐 Awesome Open Source

Категорія Security — це велике зібрання відкритих проектів, інструментів та бібліотек, пов’язаних із безпекою в ІТ. 

Що можна знайти там?
- Класифікація за тематичними напрямками (наприклад: authentication, cryptography, vulnerability scanning, penetration testing, encryption, secure by default тощо) 
- Посилання на різні open-source рішення: фреймворки, утиліти, бібліотеки й інструменти, які допомагають в питаннях безпеки

Чому це корисно?
- Для розробників — можливість швидко знайти готові та перевірені рішення з безпеки
- Для команд DevSecOps й спеціалістів з інформаційної безпеки — як довідник ідей для інструментів, які можна інтегрувати
- Для навчання — хороша база для дослідження різноманітних напрямків у сфері security

https://awesomeopensource.com/categories/security

🕵️‍♂️ OpenCTI платформа кіберрозвідки з відкритим кодом

Це потужний інструмент для збору, аналізу та візуалізації даних про кіберзагрози.
Він допомагає організаціям будувати єдину базу знань про загрози, відстежувати взаємозв’язки між атакуючими групами, техніками MITRE ATT&CK, індикаторами компрометації (IoC) та інцидентами.

Що вміє:
•Інтеграції з десятками джерел (MISP, VirusTotal, CrowdStrike, AlienVault, тощо)
•Графічні зв’язки між об’єктами розвідки
•Підтримка стандартів STIX 2.1 та TAXII
•Автоматизація обміну розвідувальною інформацією
•Ролі, API та масштабування для великих команд

Використовується аналітиками SOC, CERT, DFIR та threat intelligence-командами по всьому світу.

https://github.com/OpenCTI-Platform/opencti

А що ви робите коли закінчились безкоштовні запити в ChatGPT?

OSINT Handbook

Це систематизований індекс з понад 5 000 посилань у 34 категоріях, присвячених інструментам і ресурсам відкритої розвідки. 

Це — не просто перелік, а корисний навігатор для тих, хто працює з відкритими джерелами даних, аналітикою, розслідуваннями та інформаційною безпекою.

🚀 Що можна знайти всередині?
• Каталог інструментів пошуку (соціальні мережі, архіви, мета-пошук тощо)
• Ресурси для перевірки зображень, геолокації, метаданих
• Інструменти для аналітики соціальних мереж
• Рекомендації з етики та безпеки при використанні OSINT
• Посилання, які допоможуть доповнити власну “технічну карту” інструментів

https://www.osinthandbook.com/

Awesome-Application-Security-Checklist

Репозиторій від Mahdi Mashrur — це готовий чек-лист найважливіших заходів безпеки при розробці, створенні та тестуванні веб і мобільних додатків. 

🛡 Чому варто подивитися?
• Охоплює ключові теми: аутентифікація, авторизація, база даних, мобільні додатки, налаштування безпеки сервера й хмари. 
• Ма зірки від спільноти (понад 600) — означає, що іншим розробникам це справді корисно. 
• Чітко сформульовані рекомендації: наприклад, використання HTTPS усюди, хешування паролів Bcrypt, обмеження спроб входу, підготовлені SQL-запити тощо. 

https://github.com/MahdiMashrur/Awesome-Application-Security-Checklist

Malfrats Industries Map
Ідеальний інструмент для дослідників, аналітиків SOC, threat-hunters і всіх, хто цікавиться кіберрозвідкою.

На відміну від цього інструменту продовжує апдейтитись osintframework.com

https://map.malfrats.industries/

Perplexica
Шукаєте альтернативу комерційним пошуковим AI? Перевірте Perplexica, повністю приватне рішення, яке можна запускати локально та підключати до власних моделей і хмарних API.

Чому варто:
• Працює «на своїх» даних і локально — контролюєте приватність. 
• Підтримує роботу з різними AI-провайдерами: локальні LLM через Ollama або хмари (Claude, Gemini, etc). 
• Має функції: веб-пошук (через SearxNG), завантаження файлів для аналізу, обмеження доменів пошуку.

Запускається з однієї команди
docker run -d -p 3000:3000 -v perplexica-data:/home/perplexica/data \
-v perplexica-uploads:/home/perplexica/uploads --name perplexica \
itzcrazykns1337/perplexica:latest

https://github.com/ItzCrazyKns/Perplexica