кибербезопасность

CSRF на JSON API: от разведки до эксплуатации. Практический кейс Лирическое отступление Вавилен был доволен своим рабочем местом в конторе. Он приносил деньги себе и своему начальству, которое давало для этого всю инфраструктуру. Но в один прекрасный день боссы, в очередной раз срубив куш на...

Содержание Ключевые вызовы современной разработки: Почему безопасность критична Что такое SDLC и его роль в создании ПО От DevOps к SSDLC: Интеграция безопасности в жизненный цикл DevSecOps: Автоматизация и культура безопасности Типичные этапы внедрения DevSecOps: Дорожная карта Преодоление...

Прежде чем нырять в спуфинг и энумерацию, стоит упомянуть, что защита SMTP-сервера начинается ещё до настройки SPF/DKIM/DMARC. Многие гайды по безопасности почты в один голос советуют в первую очередь прописать корректную PTR-запись для вашего почтового сервера (обратную DNS-зону), иначе письма...

Здравия всем, дамы и господа, после столь долгого перерыва, наполненного душевными скитаниями и поиском себя я получил некоторый опыт в сфере ИБ и готов об этом рассказать. Ещё больший опыт я приобрёл в системном администрировании, поэтому эта и, наверное несколько следующих статей выйдут по...

Дисклеймер Никого ни к чему не призываю. Все совпадения с реальностью вымышлены. Данные собраны с целью исследования на тестовых площадках. Материал предоставлен только для ознакомления. Лаборатория для исследований 1. VPS c ubuntu server на борту и статическим IP 2. Домен для удобства 3...

Прежде чем разбирать структуру матрицы, стоит сказать пару слов о её происхождении. Изначально MITRE развивал проект под названием Shield, где описывались активные меры противодействия атакам. Позднее идея переросла в более зрелую и формализованную инициативу — D3FEND, о которой и пойдёт речь...

Прежде чем перейти к разбору конкретного кейса, стоит отметить: большинство описанных в интернете атак на двухфакторную аутентификацию — фишинг, SIM-своппинг, пуш-атаки, перебор одноразовых кодов — успешно блокируются довольно простыми мерами на стороне сервиса. Это ограничение числа попыток...

Крайне занимательное видео, о том, что (и где) учить для этичного хакинга. Рекомендую к просмотру.

Стоит сразу отметить, что OFFZONE проводится с 2018 года и традиционно объединяет безопасников, разработчиков, инженеров и исследователей — то есть тех, кому близка именно практическая сторона информационной безопасности. К моменту анонса дат организаторы уже начали раскрывать программу: так...

Недавно мой коллега спросил у меня, а занимался ли я когда-нибудь Red Team’ингом? Я ответил, что «Да», но ничего не сказал конкретного. Вначале написания этой статьи я бы хотел упомянуть, что всё, что вы увидите далее – не имеет призыва к действию и носит только ознакомительный характер. Любая...

Прошу подсказать с чего начать обнаруживать и устранять уязвимости в сетевом оборудовании Cisco, HP, D-Link Как это проиходит? Что для этого нужно? Какие инструменты ? Где искать патчи на уже выявленные уязвимости и как их ставить ? Какими знаниями я должен обладать ? Так же интересует как...

Всем привет, учусь на специалиста по кибербезопасности и хотел бы связать себя с пентестингом. Раньше учил С++ но так и не доучил его до конца, сейчас пытаюсь учить Python, разбираюсь по не многу в Линуксе(основные комманды, nmap, msf итд). Подскажите на правильном ли я пути сейчас, что мне...

Прежде чем перейти к конкретным настройкам, стоит понимать масштаб проблемы: CVE-2018-13379 давно перестала быть теоретической угрозой. Уязвимость включена в каталог эксплуатируемых уязвимостей CISA (KEV) — то есть подтверждено её реальное использование злоумышленниками в атаках. Известны...

Подскажите насчет курсов от Cyberyozh. что скажите ? кто проходил ? стоит или не стоит обратить на них внимание ?

..продолжим первую часть статьи, где были представлены общие сведения о системных объектах Win. Чтобы не потерять логическую нить, предыдущая рекомендуется к прочтению, поскольку здесь ставка делается на то, что вы уже знакомы с понятиями: идентификатор пользователя SID, дескриптор безопасности...

Это вторая часть разговора об инфраструктуре шифрования нового поколения "Crypt Next Generation". В первой мы рассмотрели базовые сведения о шифровании данных, и режимы работы алгоритма AES. В том-что это действительно мотор поколения Next можно убедиться на сайте MSDN, где на невинный запрос...

Публикую перевод ресерчей по книге 2021 года от Brandon Wieser The Hackers Codex: Modern Web Application Attacks Demystified, потому что сам ничего подобного сотворить пока не могу :*( Html Injection Host Header Injection Username Enumeration – SSN Same Origin Policy и Exploiting CORS...

Доброго времени суток читателям! Нескольким пользователям форума стал интересен процесс прохождения собеседований, потому я расскажу в отдельной теме свою историю поиска работы и свой опыт прохождения собеседований. Пожалуй, начнем. Немного предыстории. На момент написания статьи являюсь...

Чаще всего системный администраторы или инженеры по безопасности задаются вопросом - "А что же дальше мне делать? Что внедрить что бы улучшить мою структуру?". Цель данной статьи не много структурировать технологические решения и подходы и подсказать дополнительные направления для развития ИС...

Доброго времени суток. Источник: Nmap for Pentester: Host Discovery Nmap стал одним из самых популярных инструментов сетевого сканирования, оставив позади другие сканеры. Часто хосты в некоторых организациях защищены с помощью брандмауэров или систем предотвращения вторжений, что приводит к...