Сегодня в лаборатории у нас разбор концепта (модели) безопасности для операционных систем Linux, Windows и MacOS - пути развития, подходы, сравнение механизмов, популярные мифы и реальные факты

https://telegra.ph/Model-bezopasnosti-Linux-Unix-like-OS-v-sravnenie-s-konceptom-Windows-NT-i-MacOS-a-tak-zhe-iOS-07-20

Сегодня 256-день года, а значит это День СисАдмина))

А ты считаешь ИТ и ИБ - друзья\коллеги или противостоящие стороны с разными интересами

Крошечная подборка аналитики и отчетов по рынку труда РФ и заработным платам, состоянием миграции, отраслевой специфики и т.п. от HR-агенств. По многочисленным просьбам:):)

Друзья, пока мои очередные статьи находятся на верстке, для вас небольшой подгон свежечка:

Слив DVD-курса от портала ExeL@B (бывший Cr@ckLab)

[Old version] https://yadi.sk/d/0caiArHqgxQwY%D0%A5jks1f75p59rwg

[2015] https://cloud.mail.ru/public/6cv6/6oW7eyjuS#pks1f75p59zml

Поисковик (!бесплатный) по слитым курсам, книгам, обучающим программам

[Main WWW] https://openssource.biz/

[Mirror] https://openssource.net или https://openssource.pro

Крутейший скрипт Linux enumeration tool for pentesting and CTFs - дергаает всю инфу с поломаной тачки или потенциальной цели с подробным информативным выводом

https://github.com/diego-treitos/linux-smart-enumeration

Подьехал Proof of concept exploit for BlueKeep баги в CVE-2019-0708 на удаленное выполнение произвольного кода в протоколе RDP для Windows

[исходники PoC] https://github.com/CVE-2019-0708/CVE-2019-0708

[демонстрация] https://app.any.run/tasks/fe9430a3-59d9-447b-ac05-979e841efa7d/

[INFO] https://www.securitylab.ru/news/500048.php

Релиз Router EXploitation Toolkit – тулзы для автоматической проверки самых распространенных домашних роутеров на уязвимости

[GitHub] https://github.com/j91321/rext

Релиз тулзы Code Pulse от проекта OWASP для анализа приложений на предмет безопасного кода

[WWW] http://code-pulse.com/

Нерекурсивная ZIP-бомба, способная из 10 МБайт превращаться в 281 Тбайт для десткой мести:D

[RU] https://habr.com/ru/post/459254/

[EN] https://www.bamsoftware.com/hacks/zipbomb/

Знаковое событие для всех разработчиков и компаний, которые пишут свой софт (высоко-технологичный продукт). Cisco была оштрафована на $8,6 млн из-за умышленной продажи правительственным организациям США заведомо уязвимых систем видеонаблюдения. Это сигнал в сторону того что процессы Secure SDLC (безопасная разработка ПО) приобретают очень важную роль в девалопменте и выпуске конечного релиза

Пруфы:

новости:
(1) https://www.securitylab.ru/news/500250.php
(2) https://www.anti-malware.ru/news/2019-08-01-1447/30329

о некоторых багах в продуктах Cisco за крайние два года:
(1) https://threatpost.ru/cisco-warns-about-0-day-in-its-firewalls/29000/
(2) https://threatpost.ru/cisco-warns-of-critical-flaws-in-data-center-network-manager/33274/
(3) https://roem.ru/06-04-2018/269389/u-provajderov-cisco/

Друзья, подъехал болшой пак документов (158 ГБ) от Института SANS и всем известной организации Offensive-Security, забирайте торрент пока жив!
#education
https://greysec.net/showthread.php?tid=1855

Сегодня День ВДВ, войск считающихся элитой вооруженны сил РФ, аналогично тому как в США считаеся Морская Пехота.

А как ты думаешь, в сегодняшних реалиях, безопасность страны больше завсиит от традиционной армии или кибер войск?

Подъехала августовская мини-статистика по заработным платам ИТ-специалистов в РФ. За основу были взяты данные онлайноговго карьерного сервиса для ИТ-индустрии Мой круг. В обзоре по большей частью уклон на разработчиков, управленческие кадры (PM и тому подобное), но не забыли про ИБ сектор, например Kaspersky Lab и фрилансеров #job

https://www.comnews.ru/node/121155

В Москве заработала одна из крупнейших в мире систем видеонаблюдения с функцией распознавания лиц. Сегодня уже более трех тысяч видеокамер городской сети видеонаблюдения подключили к системе распознавания лиц. Видеоизображение автоматически анализируется в режиме реального времени: система может установить личность человека на видео, его пол и возраст.

По правительственному плану развитии Информационных Технологии в России до 2020 в года Москве уже будет насчитываться более 200 тысяч камер с возможностью распознавания лиц. И, вот, кажется, такими темпами, голливудские истории из фильмов про Джеймса Борна и Форсажа 8 (глаз бога) становятся реальностью. А такие системы как PRISM раскрытые Эдвардом Сноуденом есть теперь не только в США..

Пруфы:

Описание:
https://habr.com/ru/news/t/451376/

Анонсы новостей:
https://www.mos.ru/news/item/30105073/
https://www.currenttime.tv/a/camera-cctv-moscow-intellect-sobyanin-/29972318.html
https://meduza.io/news/2019/05/30/sergey-sobyanin-v-moskve-sozdadut-odnu-iz-krupneyshih-v-mire-sistem-raspoznavaniya-lits
http://www.tadviser.ru/index.php/%D0%9F%D1%80%D0%BE%D0%B5%D0%BA%D1%82:%D0%9A%D0%B0%D0%BA_%D1%83%D1%81%D1%82%D1%80%D0%BE%D0%B5%D0%BD%D0%B0_%D0%B3%D0%BE%D1%80%D0%BE%D0%B4%D1%81%D0%BA%D0%B0%D1%8F_%D1%81%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0_%D0%B2%D0%B8%D0%B4%D0%B5%D0%BE%D0%BD%D0%B0%D0%B1%D0%BB%D1%8E%D0%B4%D0%B5%D0%BD%D0%B8%D1%8F_%D0%B8_%D1%80%D0%B0%D1%81%D0%BF%D0%BE%D0%B7%D0%BD%D0%B0%D0%B2%D0%B0%D0%BD%D0%B8%D1%8F_%D0%BB%D0%B8%D1%86_%D0%B2_%D0%9C%D0%BE%D1%81%D0%BA%D0%B2%D0%B5

Сколько раз уже случались такие ситуации, когда заказчик имел в виду одно, ему спроектировали и сдали другое, а на выходе релиза\проекта получилилось и вовсе третье😅 Хотя это скорее большое относится к разработке, но в ИБ такое тоже есть. Так, что всегда перед началом любого дела нужно видеть его результат, видеть концепт, Roadmap и потом уже реализовывать на практике

Разбор старых, но таки довольно эффективных и часто встречающихся из практики пен-теста, уязвисмостей в популярном пакете офисных приложений MS Office. Теория и демонстрация практического использования двух критических багов на базе OLE и HTA- технологий

https://telegra.ph/Otravlennyj-dokumenty-MS-Office-ili-bol-is-radaniya-OLE-Razbor-nashumevshih-bagov-CVE-2017-8570-i-CVE-2017-11882-08-08

Важная новость для всех DevOps и тех энтузиастов, кто так или иначе юзает фреймворк контейнерной орекстрации Kubernetes. Спецы из независмой лаборатории Cloud Native Computing Foundation (CNCF) почекали в ручную исходный код Kubernete’а и выявили в нем 34 уязвимости различной калибровки - 4 critical, 15 medium и 8 low значений.

Итоговый документ Kubernetes Final Report уже доступен на GitHub
https://github.com/kubernetes/community/blob/master/wg-security-audit/findings/Kubernetes%20Final%20Report.pdf

Еще один док Attacking_Kubernetes-v1.0 который использовался аналитиками и тестерами как гайд для тестирования
https://github.com/kubernetes/community/blob/master/wg-security-audit/findings/AtredisPartners_Attacking_Kubernetes-v1.0.pdf

В целом как звучит summary в отчете – жить можно, критических 0-day не выявлено, а патчи рано или поздно все равно подьедут от разработчика и нивелируют найденные ИБ-риски

Нужно сказать, что аудит кода независимыми лабораториями ̶(̶а̶ ̶н̶е̶ ̶е̶б̶@̶н̶о̶й̶ ̶Ф̶С̶Т̶Э̶К̶ ̶в̶ ̶п̶р̶и̶к̶а̶з̶н̶о̶м̶ ̶п̶о̶р̶я̶д̶к̶е̶)̶ ̶различного ПО в том числе и опен сорсного уже не в новинку. К примеру, проект True Crypt был закрыт после прохождения аудита, который выявил некоторое проблемы безопасности
https://habr.com/ru/post/254777/

Когда, ты у мамы ][акер 😅😅😅

Для всех новичков и тех, кто хочет прокачать\улучшить свои скиллы ниже представлен пак совсем свежих апдейтенных самой Академией Cisco различных статей и видео-уроков по сетевым технологиям (Тренинг Cisco 200-125 CCNA v3.0).

База, которую знать знать каждый! Приятного изучения😊

Оглавление:
[часть 1] https://habr.com/ru/company/ua-hosting/blog/438908/
[часть 2] https://habr.com/ru/company/ua-hosting/blog/439050/
[часть 3] https://habr.com/ru/company/ua-hosting/blog/439360/
[часть 4] https://habr.com/ru/company/ua-hosting/blog/439682/
[часть 5] https://habr.com/ru/company/ua-hosting/blog/440612/
[часть 6] https://habr.com/ru/company/ua-hosting/blog/454404/
[часть 7] https://habr.com/ru/company/ua-hosting/blog/454456/
[часть 8] https://habr.com/ru/company/ua-hosting/blog/454644/
[часть 9] https://habr.com/ru/company/ua-hosting/blog/454806/
[часть 10] https://habr.com/ru/company/ua-hosting/blog/455487/
[часть 11] https://habr.com/ru/company/ua-hosting/blog/458434/
[часть 12] https://habr.com/ru/company/ua-hosting/blog/458560/
[часть 13] https://habr.com/ru/company/ua-hosting/blog/463183/

Оригинал видео-уроков на YouTube [ENG] https://www.youtube.com/playlist?list=PLh94XVT4dq02frQRRZBHzvj2hwuhzSByN

О том почему иногда стоит разориться на оригинальные комлектующие (шнурки, зарядки и т.д.) к своим девайсам, к примеру то как это навязывает своей политикой обслуживания Apple.

Пруфы :

Хак ноута через BadUSB-закладку
https://twitter.com/_MG_/status/949684949614907395

Поимели ̶ ̶с̶в̶е̶р̶х̶ ̶з̶а̶щ̶и̶щ̶е̶н̶н̶ы̶й̶ мак
https://twitter.com/_MG_/status/947719280975495169

Видос демо BadUSB Hub
https://www.youtube.com/watch?v=6mDspyi5ROw

О проблеме BadUSB чуть подробнее https://opensource.srlabs.de/projects/badusb

#hardware

Друзья, новости для тех, кто не успел записаться и попасть в основной поток на мой авторский обучающий курс "Безопасность Linux". Набор еще будет продолжаться в течении всей следующей недели! #linux #education

Промо код на дополнительную скидку: START2019

Только лучшие мировые практики, топовые темы, реальные кейсы из жизни, лучшие преподаватели из индустрии ИТ\ИБ, большой пул практических работ и возможность трудоустройства в компаниях-партнерах!

Успей попасть в сообщество профессионалов!

[www]
https://otus.ru/lessons/bezopasnost-linux

[вступительный тест]
https://otus.ru/assessment/90

Интересные новости из индустрии ИБ на середину текущего месяца:

Баг CVE-2019-11728 основанный на применении HTTP-заголовка Alt-Svc и позволяющий осуществить сканирование IP-адресов и открытых сетевых портов во внутренней сети пользователя, отгороженной от внешней сети фаером
http://www.opennet.ru/opennews/art.shtml?num=51278

Реинкарнация совсем свежей баги для всех новых версий Windows получила название BlueKeep 2 ̶ б̶о̶г̶ ̶м̶о̶й̶,̶ ̶M̶i̶c̶r̶o̶s̶o̶f̶t̶,̶ ̶ч̶т̶о̶ ̶т̶ы̶ ̶д̶е̶л̶а̶е̶ш̶ь̶,̶ ̶п̶р̶е̶к̶р̶а̶т̶и̶!̶
https://habr.com/ru/company/solarsecurity/blog/463591/

Найдены опасные баги в самолетах Boing 787 (новейшие модели!!!!) и это уже не шутки, не взлом автомата с газировкой, речь о жизни людей, так что, для тех кто легкомысленно относился - ИБ это вам не игрушки
https://xakep.ru/2019/08/09/boeing-787-bugs/

Впервые в свет вышел дистриб для пен-теста на базе Windows получивший название Complete Mandiant Offensive VM (Commando VM) . Заирайте с GitHub пока есть)))
https://github.com/fireeye/commando-vm

̶Н̶е̶е̶б̶и̶ч̶е̶с̶к̶и̶й̶ ̶б̶а̶г̶ ̶ Новый потенциально опасный баг в ядре Linux, снова проблемы с памятью, пора пить таблетки
https://www.opennet.ru/opennews/art.shtml?num=51231

Подгон для DevOps’ов, вебинар от Yandex по теме "Управление кластерами Kubernetes в Яндекс.Облаке" (типа реклама, но кое что есть в лекции и толковое)
https://events.webinar.ru/yandex/2557219/

И еще одно видео на схожую тему "Yandex Managed Service for Kubernetes"
https://www.youtube.com/watch?v=_GHGEhj5pUs&list=PL1x4ET76A10Y9J2Lx28t7sZmAtEwZzQzz&index=7&t=0s

Пак функциональных powershell-скриптов и других тулз из собственной коллекции инструментов для проведения аудита ИБ серверых и десктопных платформ на базе ОС Windows

За последнее время мне падало несколько тасков по просчету профита перехода с in-house ИТ-инфраструктуры на облачные сервисы (т.к. Amazon web Services, MS Azure, Google Cloud). В классическом варианте расчета экономической эффективности применяются формулы из инвестиционного анализа, но для экспресс оценки и просчета стоимости миграции вычислительных мощностей в Cloud подойдут и специальные калькуляторы, которыми сегодня и хочу поделиться.

Ну а, что, ведь облака это не только ИТ-шная тема, есть различные Secure SaaS-услуги по информационной безопасности. А кому интересно, моя статья на эту тему (по правилам редакции доступ к контенту платный, но кому реально нужно я поделюсь:)
http://www.reglament.net/bank/raschet/2017_1/get_article.htm?id=4988

Пример расчета от IT-Line
https://www.it-lite.ru/iaas/#more

Расчет виртуальной ИТ-инфраструктуры на базе Mail.Ru Services
https://habr.com/ru/article/348888/#rec47955717

̶М̶е̶г̶а̶ ̶е̶б̶и̶ч̶е̶с̶к̶о̶е̶ ̶ облако от Яндекса
https://cloud.yandex.ru/prices

Полезные статейки на тему расчета TCO от VMGuru
(1) https://www.vmgu.ru/news/vmware-virtual-san-tco-and-sizing-calculator
(2) https://www.vmgu.ru/articles/vmware-citrix-parallels-microsoft-tco
(3) https://www.vmgu.ru/articles/it-grad-iaas-vs-onprem-calculations
(4) https://www.vmgu.ru/news/vmware-cloud-compass

И напоследок интересный пост с Хабра
https://habr.com/ru/company/cloud4y/blog/425003/

Друзья, для тех кто хочет в живую увидеть легенды мира ИТ, а тем более родом из Штатов, 27 августа с 18-00 до 20-00ч на площадке Московского Политеха (ул. Большая Семеновская, 38. Аудитория А202) выступит Ричард Столлман – один из пионеров ИТ-индустрии, основатель движения свободного ПО (Open Sources), проекта GNU, Фонда свободных программ и т.п.

Вход на эвент бесплатный, но требуется предварительная регистрация. Организаторы обещают синхронный перевод, но будьте готовы слушать живую речь на английском))

Линк на регистрацию:
https://mospolytech002.timepad.ru/event/1039245/

Пруф новости:
https://habr.com/ru/company/jugru/blog/455936/

А вот легендарный фильм о Open Sources, GNU и Linux, там тоже есть Столманн, кто еще не видел цените обязательно
https://www.youtube.com/watch?v=KSt1vNqIfFw

Друзья, дорогие подписчики, принято решение открыть группу для обещания w2hack discussion - чатик, где можно обсуждать выкладываемые материалы, задавать вопросы, делиться ссылками, личным мнением, опытом, какими-то файлами и т.п. Ну, и просто, иногда пофлудить за жизнь😊

Линк на вступление в чат:
https://news.1rj.ru/str/joinchat/CkZnXBRdlNpbuJ9SZt3bAA

В скором времени так же будут запущены стримы, я буду на видео отвечать на ваши вопросы, рассказывать истории, кейсы из практики, все то, что вам будет интересно! Так, что пишете, не стесняйтесь свои вопросы, идеи, мысли в чат или мне на почту w2hack@mail.ru