Теперь я Клауд Практитионер!
100 минут (сдал минут за 50)
65 вопросов
90 евро
Docker, Radarr и Jackett, или качаем торренты правильно
В итоге, конечно, стримминг таки добьёт торренты. И если в доХДшном мире это, по сути, уже свершилось, то HD/4k/8k контент пока ещё держится за счёт торрентов (у нас и в Европе) и юзнетов (штаты).
Сегодня стримминг выигрывает, в основном, за счёт удобства. Открыл апп, зашёл в раздел "новинки" и выбирай на любой вкус. Я прокачал свой процесс с торрентами и теперь он смотрится, как минимум, не хуже.
Сегодня стримминг выигрывает, в основном, за счёт удобства. Открыл апп, зашёл в раздел "новинки" и выбирай на любой вкус. Я прокачал свой процесс с торрентами и теперь он смотрится, как минимум, не хуже.
Пару слов в среде разработки для ИБ специалиста
Если вы собрались кодить, то первое, с чего люди обычно начинают - это поиск курсов по программированию. Что почти всегда остается за рамками курсов - так это та самая рутина, от которой зависит 90% результата: софт, тулзы и привычки. Мало научится водить, нужно ещё и машину хорошую купить.. тут собак зарыто поболее.
Сдал CSXP (ISACA Certified Cybersecurity Practitioner)
Сертификаты - форма современного ИТ фетишизма наряду с наклейками на крышку ноутбука.
О них нужно обязательно писать первой строчкой в резюме, добавлять в подпись и на визитки: "Член ISACA, член ICS2...", дабы длинный список титулов выгодно отличал вас от коллег и конкурентов по рынку труда.
Ещё это один из способов разбавить ежедневную рутину и раскрутить работодателя на пару доп.плюшек (именно поэтому сертификаты стоят так дорого - из своего кармана за них никто не платит).
В общем, вещь хорошая, как ни крути. Главное знать меру и понимать, что наличие либо отсутствие у вас ИБшного акронима не значит ровным счётом ничего.
Так вот...
О них нужно обязательно писать первой строчкой в резюме, добавлять в подпись и на визитки: "Член ISACA, член ICS2...", дабы длинный список титулов выгодно отличал вас от коллег и конкурентов по рынку труда.
Ещё это один из способов разбавить ежедневную рутину и раскрутить работодателя на пару доп.плюшек (именно поэтому сертификаты стоят так дорого - из своего кармана за них никто не платит).
В общем, вещь хорошая, как ни крути. Главное знать меру и понимать, что наличие либо отсутствие у вас ИБшного акронима не значит ровным счётом ничего.
Так вот...
Domain fronting
Domain fronting весьма любопытная техника обхода сетевых средств мониторинга, которая эксплуатирует особенности современной архитектуры крупных интернет узлов (Google, Amazon...). Домеин фронтинг использовал Тор, использовал Телеграмм чтобы мимикрировать свой трафик под гуглозапросы, но лавочку прикрыли. Точнее не прикрыли, а сузили до родных сервисов.
В кратце суть такова:
Как работает HTTPS:
curl -H "Host: <real-host.com>" "https://www.host.com/path"
Весь пакет HTTP целиком со всеми хэдэрами шифруется. При этом "www.host.com" копируется в открытом виде в SNI header (это, кстати, опционально). Именно SNI хэдэр - это то, что вы видите на файрволе/прокси/DNS если не заглядываете в HTTPS.
Если вам нужен любой из сервисов Гугла (Ютюб, Драйв, ДНС..) - вы кидаете пакеты на один и тот же центральны сервер-терминатор SSL Гугла, и он уже дальше роутит траффик внутри локальной сети ГуглоДЦ. Этот SSL терминатор использует "Host" хэдэр из тела HTTP пакета чтобы определить, куда отправить пакет дальше.
Вот мы и добрались к самому интересному: СЗИ работает с SNI хэдэром (который есть копия домена из URL), а сервера Гугла работают с Хост хэдэром (который часть HTTPS пакета и зашифован по пути до ).
То же самое справедливо для всех крупных облачных провайдеров.
Для чего оно надо?
- во-первых для малвари чтобы скрытно качать/выкладывать файлы с/на Google Drive, маскируя траффик под YouTube (я такое, пока что, не встречал)
- во-вторых для DNS-over-HTTPS если компания блокирует гуглоDNS (8.8.8.8). Можно спокойно достучаться до гуглоДНС так:
такой запрос сгенерирует один DNS пакет с доменом youtube.com, в ответ вебсервер вернёт вам IP заблокированного сайта internetbadguys.com. К сожалению/к счастью, браузеры пока такой фокус не поддерживают :( / :)
Сортируем фоточки
Написал два скритпа на питоне:
- первый можно натравить на папку с фоточками и он ее рассортирует по дате и по типу
- второй - найдет все старые видео и пережмёт их в HEVC дабы освободить место
Оч люблю моменты, когда можно "покодить по хозяйству": использовать питон для решения повседневных задач. Раньше как-то питон был только на работе (надо будет про это отдельно написать), а сейчас вот SublimeText + Anaconda Python вошли в стандартный набор и на домашних ПК. Кстати, редактор SublimeText может запускать питоновские скрипты по нажатию Ctrl+B, если кто не знал.
А вот PowerShell так и не прижился. Да, для внутренней кухни продуктов Microsoft ему замены то нет, но для всего остального - bash через Windows Subsystem for Linux или python через Sublime. У меня даже есть питон скрипт, который позволяет запускать PowerShell через Python и работать с выводом, так как в один прекрасный день я понял, что PowerShell'а с меня хватит.
Типичное применение питона для меня: POST/GET запросы к какому-нибудь серверу или СЗИ. "Пробить по базе" хэш или айпи, сложить результат в csv файл или отобразить на экране. Это гораздо удобней сделать из командной строки одной строчкой, чем ждать пока загрузится вебконсоль СЗИ и 10 раз повторять одни и те же действия снова снова.
Второе любимое дело для питона - собирать дневную статистику с СЗИ и хранить историю. Пришел утром на почту, а у тебя свежее письмо от бота со всей аналитикой, которая тебе нужна. Клеартекст, 0 булщит. И графики уже готовые лежат для квартальных отчётов. Класс!
Слив сотрудников Сбербанка
Я вам скажу Сбербанк ещё легко отделался.
Правдивый обзор Cisco Umbrella
Cisco купила OpenDNS пару лет назад и выпустила новый продукт - фильтрующий DNS сервер (точнее облако) Cisco Umbrella.
Решил запилить свой обзор, с дырами и скелетами в шкафу, ибо достало уже :)
Тюнинг сигнатур Cisco IDS (aka Sourcefire / FireSIGHT / FirePOWER )
У меня особое отношение к Сиско идскам. Я их нелюблю. Они полны багов (тупых, хронических и "катастрофических"), вебинтерфейс ужасно тормознутый (даже на топовой модели с 40 ядрами и нулевой загрузкой) и порог входа чрезвычайно высок - нужно суметь найти среди десятков страниц настроек маленькую кнопочку, дабы всё, наконец, заработало.
Особая боль - это отсутствие RMB опции "Copy" и невозможность быстрого экспорта событий в csv.
Особая боль - это отсутствие RMB опции "Copy" и невозможность быстрого экспорта событий в csv.
"Cisco, за что??"
Однако Gartner киску любит, а джунипер еще большее дерьмо.
Модель защищенного доступа от Микрософта
Почитал про то, как устроен доступ привилегированных пользователей у Микрософт ( http://aka.ms/cyberpaw ). Рекомендации, в целом, стандартны - выделенная система для привилегированного доступа. Необычно тут то, что система с максимальным уровнем доступа (например enterprise admin) - это физический ПК, а менее привилегированные системы - это ВМ.
Засланный казачок
AV stands for "another vulnerability"
Конечно, все об этом знают (а кто не знает - тот догадывается), но ваш антивирус работает не на вас. Это софт, который был разработан для того, чтобы уничтожать файлы из вашей корпоративной сети и делать это так быстро, что ваше участие в этом процессе исключается.
Поэтому мне абсолютно понятно за что Госдеп не взлюбил Касперыча, не понятно только почему одного его (точнее и это понятно, но кроме как русофобией объяснить это нечем).
Ещё один любопытный фишинг
Опять письмо от HR со вложенным .msg файлом
Пользователь увидит такое окно, т.к. внутри DDE ссылка
Пользователь увидит такое окно, т.к. внутри DDE ссылка
Любопытный фишинг
Хороший фишер делает домашние задания. Идёт на ЛинкедИн, покупает премиумакк и собирает ящики сотрудников организации, фильтрует сотрудников ИБ, отмечает HR.
А вы до сих пор блокируете?
Возьмите листик и ручку. Сделайте два столбца: Превентивные меры, Детективные меры. И запишите в них все имеющиеся у вас контроли / инструменты ИБ.
Если превентивных контролей у вас >80% - поздравляю, ваш уровень 0.
Сходил на SEC511 Continuous Monitoring
Вот и решил я сходить на недельные SANS курсы этим летом в 4х звездочный отель в центре Амстердама, который вел @BryanOnSecurity
Чего боится малварь...
Чего боится малварь?
Того, что её распотрошат на кусочки, вытащат статичный код, строки, таймстэмпы и имена переменных, нарежут всё это на сигнатуры и скормят антивирусам. Хорошая малварь живет буквально часы, потому что по каждому линку, который вы отправляете в соцсетях, или вставляете в письма, по каждому посещенному вами вебсайту или скаченному / выложенному в сеть файлу обязательно пройдется бот, который запустит файл в песочнице и проанализирует его поведение: пытается ли файл всё шифровать, ставит ли себя в автозагрузку, устанавливает ли новые сервисы и обращается ли к подозрительным IP. И если файл покажется боту подозрительным - хэш, C2C URL и IP будут добавлены в черный список и разлетятся по сигнатурным базам разных вендоров через биржи обмена IoC (Indicatorы of Compromise) в течении нескольких минут, а сэмпл полетит на стол к аналитику для детального анализа.
Человек выпихнут из первой линии АВ ответа уже давно, именно это и позволяет АВ компаниям громко заявлять о тысячах тысяч проанализированных сэмплов и добавленных сигнатур в день. Все делают песочницы, MDDs (Malware Detonation Devices).
Эффективность песочницы напрямую зависит от того, как точно она может копировать тупого пользователя (который кликает по каждой ссылке и запускает все скачанные файлы на непропатченной XP), а жизнь малвари, соответственно, зависит от того, сможет ли она отличить мимикрирующий AI от теплокровного идиота.
EICAR аналог для IDS
К моему удивлению, EICAR аналог для IDS отсуствует, что, конечно, большой просчет вендоров.
Но исправить его можно с помощью паттерн пинга.
Апдейт про администрацию Сочи
Прислали ответ краснодарского РКН по поводу массового незаконного сбора ПДн работников сочинских банков.
Читайте и наслаждайтесь :)
Читайте и наслаждайтесь :)
Администрация Сочи собирает ПДн банковских работников
Прислали краснодарские друзья. Если б не проверенный источник, подумал бы, что фишинг: обезличенные адресаты, содержимое не связано с темой, ящики на Яндекс и Мылору... жуть.
Подписаться на:
Сообщения (Atom)