Наткнулся на небольшой свежочок по общему раскладу на рынке труда в РФ, для общего понимания и сравнения

Отчет Рынок труда России: новая реальность, или как мы пережили короновирусный квартал, лето 2020
https://hhcdn.ru/file/16912627.pdf

Статистика вакансий, предложений, динамика по отраслям на рынке труда по России - выбираем регион, отрасль, спрос/предложение и ценим показатели, какой ни какой, а тренд есть
https://stats.hh.ru/

Аналитические инструменты от портала HH - сервис платный, но и в демке можно что-то выудить полезное, доступно после регистрации на e-mail
https://peopledigits.hh.ru/

#job #analytics

Какую дичь порит сайт SuperJob, такой е##нины нет даже в лживом РосСтате. Поржать и закрыть, а сайт переименовать в FakeJob🙈

#job #analytics

Отличия между собой "цветастых команд", многие слышали только про Blue (защита) и Red (атака), но оказывается их чуть больше

Друзья, а вот и третий кейс на позицию SoC Analyst в Yandex. На решение давали пару дней, проверяли теорию (сети, логирование, вектора атак) и скиллы по разработке скриптов для парсинга эвентов из SIEM либо аналогичных sources, таск решал уже после переезда в Москву

#defensive #job

И в завершение недельного флоу по тебе разбора тасков на job interview ссылочки, которыми хочу поделиться

Решаем задание от Yandex, автор Андрей Босенко, 2016 год, парсит дамп сетевого трафика в Wireshark
https://unitybas.blogspot.com/2016/05/yandex.html

Автор математических задач в Яндекс, ЗП от 100к - заставь этих щенков решать твои задачи!:D
https://promopoisk.com/vacancy/12023

Как я попал на стажировку в Яндекс - авторский пост от Victor Doska, 2019, тема за рабработку, но вдруг кому интересно
https://medium.com/@remmark999/как-я-попал-на-стажировку-в-яндекс-80ecc51cfb9e

Квалификационные задачи для кодеров на Python 2017 год, Yandex - лямка за кодерскую тему
https://github.com/gusenov/contest-yandex-blitz-hiring-2017

[ПРОДОЛЖЕНИЕ ПРЕДЫДУЩЕГО ПОСТА]

Задачи Яндекс.Контест направление frontend (javanoscript) - тоже что и выше только за фронт-енд
https://github.com/chrisryana/yandex_algorithm

Яндекс.Блиц. 12 алгоритмических задач отборочного раунда и их разборы - читают кому интересно за логику и алгоритмы
https://habr.com/ru/company/yandex/blog/340784/

Топ 50 вопросов на интервью по информационной безопасности - свежачок по теоретическим вопросам (для совсем "зеленых")
https://www.securitylab.ru/analytics/504719.php

Ну, что, друзья, хотел я закончить флоу по таскам, но в залежах своей почты и бэкапных HDD-шках под столом нашел еще несколько паков, которые когда-то резолвил. На деле там еще много всего, но не стану все в одну кучу сыпать, много из того, что у меня было уже не актуально на 2020 год или просто морально устарело в плане технологий.

Решил выложу сейчас еще один челлендж, который мне кидали на позицию DevOps инженера в 2016 году, да, именно инженера (администратора) DevOps, а не безопасника. Для меня само слово "DevOps" в тот момент было новое, не говоря уже о технологическом стеке, который там использовался. В Москве уже были те кто этим занимался, а я только вникал, за плечами максимум был только опыт AD, enterprise сервисов Windows Server и Linux на десктопных виртуалках, хотя уже были серты MCSA и эквивалент LPIC-1

[ПРОДОЛЖЕНИЕ ПРЕДЫДУШЕГО ПОСТА]

Я был просто голодный, адски голодный до своей мечты и брался за все, готов был начинать с чего угодно, ебашить и учиться каждый день, писать скрипты, конструкции, которые ранее не знал, и искать инфу сам, спрашивать, долбить тему до талого, но сука, получить то за чем приехал! Не все получалось, много раз fail-лся, на меня, наверное, тогда смотрели как на дико амбициозного отморозка. Но, пацаны, я топил до талого! Я вставал каждое утро и расписывал план на день, а вечером подводит итоги, что не успевал – искал причины, новые подходы how to себя и свои скиллы лучше.

Так, что, ребят, топите, забирайте свой шанс, качайте скиллы, не сдавайтесь, заставьте их, сука, сдаться, а сами только forward! Упорство и мечта будет вести вас вперед! Я ведь тоже приехал из ебеней, ВУЗ который закончил больше не существует, многое что было в конторах из ИТ я на тот момент видел только на обложках журналов. Но ни хуя, просто долбить, искать свой шанс и жить. Добейся или добейся! Всем близким, кто мне помог и не забыл, всегда отвечу тем же где бы не был и кем бы не стал.

В паке описание позиции DevOps инженера (напоминаю, актуальность 2016 год), практические вопросы (разработка скрипта) и солюшн, правда, не мой, потерлось то письмо, что я отправлял с ответами, но в доке тоже полезняшки с чуть более простыми тасками, ай да кому пригодится.

К заданиям на скрипты был еще док с 10-ю теоретическими вопросами, но там вряд ли что интересное, нынче всю теорию знает гугл, спрашиваем и запоминаем, поэтому решил не деплоить в паблик.

#SecDevOps #job #linux

Находясь в ебенях, в том меcте, где я родился, но уже не мог расти дальше, в том дне, я начал путь восхождения, движения за тем, чего по жизни хотел, чего достоин. И когда ты находишься за несколько тысяч км от центра, где все происходит, ищешь любую возможность что бы стать лучше. Я читал биографии и послужной список известных в cyber security людей, смотрел как они поднимались, что делали, как работали, их проекты на GitHub или выступления на security events.

Тогда они вдохновляли меня, были символом успеха и примером того как нужно двигаться. В столице они становятся мне уже со-братьями по индустрии, а позже их можно расценивать как конкурентов. И в 2020 мне уже по хер на всех, каждый живет как может, я пытался брать лучшее у всех кого знал и кого встречал, но не копировал, двигался сам, стараясь учиться на примере для подражания.

[ПРОДОЛЖЕНИЕ ПРЕДЫДУШЕГО ПОСТА]

Если кто-то такой же как я, готов погружаться в cyber sec и вдохновляться известными людьми, эти имена здесь:

+ Тимур Юнусов (Positive Technologies),
+ Антон Лопаницын “Bo0oM” (ранее OnSeс, сейчас Wallarm),
+ Денис Макрушин (Kaspersky Lab),
+ Антон Шипулин (SCADA Kaspersky Lab),
+ Данила Взгонников (постоянный участник security event по теме взлома замков),
+ Андрей Бирюков (AMT Group),
+ Александр Леонов (ранее Positive Technologies, сейчас Tinkoff),
+ Александр Mатросов (олдмен ][акер журнала, ранее Eset, а сейчас Head Devision nVidia, USA)

#celebrety

The best books of cyber security (original book on English, but possible a russian official variant)

Hacking & Computer Security _ No Starch Press
[Eng] https://nostarch.com/
[Ru] https://www.piter.com/collection/bestsellery-no-starch-press

Security Ebooks by O'Reilly Media
[Eng] https://amzn.to/3jCOE2n
[Eng] https://www.oreilly.com/radar/topics/security/
[Ru] https://www.piter.com/collection/bestsellery-oreilly
[Ru] https://www.labirint.ru/series/11062/

Free OReilly Books on GitHub
[Eng] https://github.com/mohnkhan/Free-OReilly-Books

The best cyber security books out there, chosen by over 20 experts
[Eng] https://heimdalsecurity.com/blog/best-cyber-security-books/

100 Best Network Security Books of All Time
[Eng] https://bookauthority.org/books/best-network-security-books

Сети, администрирование, безопасность _ Издательство БХВ
https://bhv.ru/product-category/kompyutery-i-programmy/seti-administrirvnie-bezopasnost/

#book #education

Любой кто ценит вакансии или читает тех статьи, профильную литературу по безопасности сталкивается с кучей проф терминов, сокращений и аббревиатур. Да и в речи обычных спецов, а тем более very experience ребят часто можно слышать того, что больше никто не поймет:) специфика индустрии - своя тусовка, свой язык общения, свой круг по интересам, по паре предложений сразу видно кто перед тобой и за какую тему топит

Ниже набросал краткую подборку самых часто используемых и чекаемых проф терминов, которые любой upper skill cyber security expert должен знать как свою дату рождения.

Если кто-то не в курсе термина, но считает себя знающим или хочет узнать больше - гоу в Google, книги No Starch Press и, конечно же, к нам в @w2hack комьюнити :):)

!!!Список будет корректироваться и пополняться!!!

// Обновление от Октябрь 2024 //

Администрирование и эксплуатация средств защиты информации
AV, IPD\IDS, WAF, SSO, IDM\IAM, DLP, DBF, NAC, GRC, rules, ACL, white listing, ID, SandBox, эвристический анализ, эмуляция API, REST

Penetration test, Red team, Offensive
metasploit, meterpreter, mimikatz, reverse shell, WPA2 KRACK, listener, nandshake, CVE, BurpSuite, W3af, PTES, OSSIM, MSF, PowerShell Empire, EternalBlue, meterssh, Raspberry Pi, DDE, DCOM, RPC, Dll Inject, SMB, Exploit, MiTM, sqlmap, TOR, backdoor, DNS tunneling, fingerprint, cobalt strike, NSA, Exploit, payload, IDOR, OWASP

Blue team, defense
IoC, TTP, threat, APT, student, log, auditd

Security operation center
TTP, MitRE, CERT, machine learning, IoC, ATT&CK, Kill Chain, Threat Hunting, TTd\TTR\TTC, Yara, Loki, URL, MD5, SHA, CRC32, ATP

Digital forensic
autopsy, ntuser.dat, Thumbcache, Volatility framework, DEFT, FTK, dd, BelkaSoft, timeline, dump RAM, bash history, PCAP, Xplico, Encase Forensic, Memoryze, Oxygen Forensic, dd

Linux security
PAM, sudo, SELinux, chmod, chroot, namespace, init.d, Linys, passwd, fail2ban, tcpdump, AppArmor, PolicyKit, Iptables, Tripwire, Firewalld, sealert, Audit.d, ecryptfs, cgroups, KVM, ssh, VNC, MLS/MCS, rhunter, chkrootkit, ClamAV, SpamAssassin, ModSecurity, NIST, CIS benchmark, US Military RedHat, AAA, MimiPenguin, PXEnum, bashark, SecComp, kernel panic, daemon

Windows Server security
NAP, UAC, AD PKI, AppLocker, AD RMS, DEP, BitLocker, DirectAccess, SmartScreen, Credential Guard, Device Guard, Security group GPO, RDP, pass the hash, 3DES, Kerberos, TGM, SysVol, Terminal\VDI, DEP

SecDevOps
Vault, Consuil, ZAP, GitLab, AWS, GCP, Helm, YAML, Ansible, token, JWT, OAth2, HTTPS, micro-services, VPC, Bastion Host, SOAP, Middlware, JBoss, BigData, Hoodop, ELK, Grafana, Prometheus, temp token, ECSDA, RSA, Terraform, Vagrant, Docker, Kubernetes, KVM, CD/CI, gRPC, REST API, Fortify, docker, Consul, pipeline, secret, sensitive

Security coding (AppSec)
SAST, DAST, SCA, code review, SSDLC, Java security (framework), HTTPS, SSL\TSL, PKI, JWT, OAth2, SAML, REST API, JSON, Spring, buffer overload, exploit, stack, serialization, OWASP, БДУ ФСТЭК, OpenID, session, hardcoded

Reverse, exploit development, bug hunting
PE32, ELF, XSS, CSFR, Sql inject, Ring0, OllyDBG, IDA Pro, Radare2, ASM, x64, Stack, regirty CPU, MiTM, Ghidra, offset, stack, registry, unpack, entropy, ELF, Ghidra, binary

Network security
AAA, Radius server, TACACS+, scapy, tcpdump, wireshark, nmap, L2, L3, sniffing, spoofing, DNSSec, arp, vlan hopping, IPSec, GRE, BGP, trunk, Yersinia, hydra, port security (cisco), CAM overflow, DDoS, ACK\SYN, ping of death, fingerprinting, LOIC, Botnet, C&C, RAT, backdoor, DPI, frame, VPN, MLPS, Vlan hopping, tunneling

Audit and compliance check
ISO 27000-x, NIST 800-53-x, ITGC, SOX404, GDPR, CIS Benchmark, hardening, security by default, security by design, Lynis, MSBA, risk assessment, SOC2

Management, leading team
Helicopter review, OPEX\CAPEX, ROI, TCO, диаграмма Ганта, WorkFlow, бюджетирование, (расход\доход), workflow, check and balances, Unit, AM, Due diligence

#info #defensive #pentest

Друзья, как вижу в чате многие из вас делают выбор чем им заниматься, куда идти, чему учиться в первую очередь. Для вас специально небольшой подгон fresh данных по рынку ИБ на середину 2020 года

Зарплаты айтишников в первой половине 2020: +8% за счет Москвы
https://habr.com/ru/article/511700/

и для сравнения, что было в коцне 2019
https://habr.com/ru/company/habr_career/blog/485146/

Как рассчитывается зарплата в выше приведенной статистике
https://career.habr.com/info/salaries

Тенденции и перспективы российского рынка ИБ от TadViser на середину 2020 - каждая пятая вакансия в Москве открыта для ИТ-спецов
https://www.tadviser.ru//index.php/Статья:Информационная_безопасность_(рынок_России)

Рынок труда в России (ИТ и телеком) - к сожалению, отдельной статистики для ИБ отрасли нет, приходится ориентироваться на ИТ
https://www.tadviser.ru/index.php/Статья:Рынок_труда_в_России_(ИТ_и_телеком)

2021: Рост объема мирового рынка ИБ на 66% до $202 млрд
https://bit.ly/3bgz2ye

#job #analytics

Кому будет интересно - вступительный тест (тестирование после регистрации) обучающего курса "Безопасность Linux", который в прошлом году я запускал на одной из всем известных площадок и с которой я больше на сотрудничаю.

Указаны вопросы и желтым цветом выделены правильные ответы

#Linux #education #info

Для той милой девочки, что писала мне в личку и спрашивала совета как стать пен-тестером, да и для всех ребят погружающихся в тему этичного хакинга - пара видео по теме "Атаки современных Windows систем и контроллеров Active Directory".

Лука Сафонов (экс-СТО в PentestitLab, ныне Head of penetration test team в Jet) рассказывает и наглядно демонстрирует основные вектора атак на корпоративную Windows инфраструктуру.

Подробно разбираются сервисы и механизмы безопасности Windows - LSASS, LM, NTLM, Credential Guard, SMB, NTLMSSP, NBNS, WPAD, IP v6, сервисы и механизмы безопасности AD - kerberos tickets, SID history, рассказывают теорию и демонстрация атак на них - mimikatz, smbmap, NTLM Relay, SMB Refkect, hot potato, SLAAC, password spray, overpass-the-hash, pass-the-ticket, pass-the-cash, golden ticket, kerberoast, DCShadow и дает кое-какие рекомендации по защите.

[Доп чтиво:]

Атаки на домен
https://bit.ly/2EWP0BQ

Атаки на трасты между доменами
https://bit.ly/3hUffal

#pentest #windows #kali #metasploit

Часть 1. Атаки современных Windows систем

#pentest

Часть 2. Атаки на MS Active Directory и компрометация контроллера домена

#pentest

Видео сборка докладов с OWASP Russia Meetup #8 (апрель 2019)

Темы и спикеры - Безопасность в Облаке (Евгений Сидоров, Яндекс), Продвинутые методы эксплуатации XXE (Иван Булавин, Информзащита), Advanced Web Fuzzing with BurpSuite: How to not miss your best vulnerability (Аркадий Литвиненко, BIZONE)

А здесь более свежий вариант митапа Доклады с российского OWASP Meetup (December 2019) https://news.1rj.ru/str/w2hack/315

#pentest #web

OWASP Russia Meetup #8 (апрель 2019)

#education #web