В предыдущих статьях (Часть 1, Часть 2) мы поговорили о том, как может действовать Внешний нарушитель (пентестер за пределами организации) и Гость (пентестер имеет только доступ в сеть) при проведении пентеста. Также начали рассматривать действия Внутреннего нарушителя (пентестер имеет доступ с правами доменного пользователя) в контексте анализа трафика. Сегодня мы продолжим рассмотрение векторов атак для данной роли и также поговорим о том как можно использовать социальную инженерию при пентесте и совмещать ее с техническими методами.

Читать далее

https://habr.com/ru/post/710910/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710910

В конце прошлого года исследователи из швейцарского университета ETH Zurich опубликовали работу, в которой описали семь уязвимостей в мессенджере Threema. Этот мессенджер при передаче сообщений использует сквозное шифрование, то есть содержание переписки в идеальных условиях должно быть доступно только отправителю и получателю. Threema позиционируется как одно из наиболее защищенных средств коммуникации в Сети. Естественно, что информация об уязвимостях в таком инструменте привлекла внимание. На прошлой неделе разработчики мессенджера опубликовали отзыв на исследование, в котором раскритиковали не обнаруженные проблемы, а, скорее, их интерпретацию.

В любом случае все обнаруженные уязвимости в протоколе шифрования закрыты. Более того, публикация исследования совпала с релизом нового протокола коммуникации в Threema — Ibex. Он предположительно решает фундаментальный недостаток старого протокола: в нем не была реализована концепция прямой секретности (forward secrecy), при которой взлом ключей для определенной сессии не позволяет расшифровать более раннюю или более позднюю переписку. Критика работы со стороны Threema отчасти обоснована, и оценить ее лучше всего на примере двух самых серьезных проблем, выявленных исследователями из ETH Zurich.
Читать дальше →

https://habr.com/ru/post/710840/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710840

Закон Архимеда, если верить популярной легенде, всплыл из мыльной пены в ванной древнегреческого инженера. И не он один. Герой нашего нового блога о “Профессиях будущего”, принимая ванну, придумал решение для борьбы с вредоносными ботами. Кто после этого скажет, что кодинг — это скучно?

Занимаясь исследованиями киберпреступлений и реагированиями на инциденты, специалисты Group-IB постоянно сталкивались с парадоксом: компании, чью инфраструктуру атаковали, чьи данные были слиты или чьи деньги похищены, пользовались разными средствами кибербезопасности. Но это не останавливало преступников.

Опыт Group-IB позволял восстанавливать всю цепочку преступления, исследовать инструменты, тактику, мотивацию атакующих. “Используя эти знания, мы могли бы не только расследовать, что произошло, или реагировать на инцидент в режиме реального времени, но и… предотвращать киберпреступления” — подумали лет десять назад отцы-основатели Group-IB.

Так, если совсем кратко, начался наш путь к предикативной аналитике и разработке сложных технологий мониторинга, прогнозирования и предупреждения атак — Threat Intelligence и Fraud Protection, о которых мы подробно рассказывали в нашем блоге. Пришло время заглянуть "под капот". О том, что программистам делать в кибербезе, что их драйвит и какими качествами нужно блеснуть на собеседовании, рассказывает главный разраб Group-IB — Александр Батенёв.

Читать далее

https://habr.com/ru/post/709720/?utm_source=habrahabr&utm_medium=rss&utm_campaign=709720

Закон Архимеда, если верить популярной легенде, всплыл из мыльной пены в ванной древнегреческого инженера. И не он один. Герой нашего нового блога о “Профессиях будущего”, принимая ванну, придумал решение для борьбы с вредоносными ботами. Кто после этого скажет, что кодинг — это скучно?

Занимаясь исследованиями киберпреступлений и реагированиями на инциденты, специалисты Group-IB постоянно сталкивались с парадоксом: компании, чью инфраструктуру атаковали, чьи данные были слиты или чьи деньги похищены, пользовались разными средствами кибербезопасности. Но это не останавливало преступников.

Опыт Group-IB позволял восстанавливать всю цепочку преступления, исследовать инструменты, тактику, мотивацию атакующих. “Используя эти знания, мы могли бы не только расследовать, что произошло, или реагировать на инцидент в режиме реального времени, но и… предотвращать киберпреступления” — подумали лет десять назад отцы-основатели Group-IB.

Так, если совсем кратко, начался наш путь к предикативной аналитике и разработке сложных технологий мониторинга, прогнозирования и предупреждения атак — Threat Intelligence и Fraud Protection, о которых мы подробно рассказывали в нашем блоге. Пришло время заглянуть "под капот". О том, что программистам делать в кибербезе, что их драйвит и какими качествами нужно блеснуть на собеседовании, рассказывает главный разраб Group-IB — Александр Батенёв.

Читать далее

https://habr.com/ru/post/709720/?utm_source=habrahabr&utm_medium=rss&utm_campaign=709720

Если вы приобретали новый автомобиль в последние несколько лет, то велика вероятность, что в нем есть хотя бы один встроенный модем, который нужен для разных полезных функций вроде удалённого прогрева автомобиля, самодиагностики, которая предупреждает о сбоях до того, как они произойдут, и всевозможных опций безопасности.

Автопроизводители активно используют электронику в своих новых моделях. Но, как показывает исследование охотника за ошибками и штатного инженера по безопасности Yuga Labs Сэма Карри, в электронных системах есть масса уязвимостей, которые позволяют отслеживать и даже контролировать некоторые автомобили, включая машины экстренных служб.

Читать далее

https://habr.com/ru/post/710906/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710906

В обычной сети, с регламентированным доступом в интернет или без него, т.к. есть почти у всех смартфоны с кабелем, флешки и прочие средства передачи данных, иногда требуется выделить подсеть, не внося настройки в неё и в саму структуру сети. Так как оборудование может просто не иметь возможности изменять настройки или добавлять/изменять состав программного обеспечения. Есть программные и аппаратные аналоги - типа Континент, CheckPoint и другие, но обычно они реализуются или в виде программного компонента или достаточно дорогих модулей, стоящих на границах сети. Данные решения не позволяют защитить небольшую подсеть от инцидентов безопасности в сети.

Читать далее

https://habr.com/ru/post/710900/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710900

В современном мире, полном информационных технологий, мы доверяем свои данные интернет – сервисам. Разумно предположить, что доступ к этим данным должен иметь только определенный круг лиц. Как раз для этого и существует шифрование. Шифрование – это кодирование информации, процесс использующийся для обеспечения конфиденциальности и безопасности данных, таких как тестовые сообщения, банковские реквизиты и т.д. Исходное сообщение (данные) называется открытым текстом, зашифрованное сообщение (данные) называется шифротекстом. Процедура шифрования обычно включает в себя использование определенного алгоритма и ключа. Алгоритм - это определенный способ засекречивания сообщения, то есть список инструкций. Ключ же конкретизирует процедуру засекречивания.

В этой статье мы затронем такой вариант шифрования, как шифр Хилла, а именно алгоритм шифрования, расшифрования, криптостойкость и варианты различных модификаций.

Читать далее

https://habr.com/ru/post/710890/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710890

Прошлый год проходил под эгидой вынужденного импортозамещения: вендоры ИТ и ИБ уходили, забирая с собой обновления, сигнатуры и лицензии. А хакеры радовались уязвимостям, которые компании просто не могли закрыть. Словом, патча нет, но вы держитесь! С поиском незакрытых уязвимостей тоже все оказалось непросто. Топовые зарубежные сканеры ушли из России. Многие остались без эффективного инструмента – и мы в том числе, ведь наш облачный сервис контроля уязвимостей (VM, Vulnerability Management) был построен с использованием технологической платформы американского Qualys. В этом посте поговорим о том, как мы выбирали альтернативу Qualys, и что происходит с российским рынком сканеров уязвимостей сейчас.

Искать с нами

https://habr.com/ru/post/710504/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710504

HTTP является протоколом без статических данных, что означает, что он не может различать два последовательных запроса, исходящих от одного и того же компьютера, сети или пользователя. Это было основной проблемой. Из-за этого пользователь не мог поддерживать свою сессию, и если бы мы продолжили в том же духе, интернет стал бы таким же, каким он был десять лет назад, состоящим только из кучи статичных html-страниц. Никаких учетных записей пользователей, никакой настройки и т.д., а если и есть какие-то учетные записи, то для доступа к каждой странице нужно снова и снова входить в систему.

Чтобы решить эту проблему, HTTP нужно было сделать с сохранением состояния. Ответом стал файл cookie. В отличие от cookie, которые вы получаете, это небольшие файлы, создаваемые веб-сайтом, который вы посещаете. Они генерируются веб-приложениями и хранятся в вашем браузере в виде пар ключ-значение.

Примером может служить PHPSESSID: xyjaez1081lze23, lang: en.

Давайте разберемся в этом на примере. Предположим, вы пошли в магазин и принесли оттуда посуду. Придя домой, вы обнаруживаете, что один из них сломан. Тогда вы идете к владельцу магазина и рассказываете ему о своей проблеме. Но, к вашему ужасу, он отвечает, что не знает вас. Таково было исходное состояние HTTP без файлов cookie. Веб-сервер не узнает вас при любом раскладе.

Читать далее

https://habr.com/ru/post/710578/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710578

HTTP является протоколом без статических данных, что означает, что он не может различать два последовательных запроса, исходящих от одного и того же компьютера, сети или пользователя. Это было основной проблемой. Из-за этого пользователь не мог поддерживать свою сессию, и если бы мы продолжили в том же духе, интернет стал бы таким же, каким он был десять лет назад, состоящим только из кучи статичных html-страниц. Никаких учетных записей пользователей, никакой настройки и т.д., а если и есть какие-то учетные записи, то для доступа к каждой странице нужно снова и снова входить в систему.

Чтобы решить эту проблему, HTTP нужно было сделать с сохранением состояния. Ответом стал файл cookie. В отличие от cookie, которые вы получаете, это небольшие файлы, создаваемые веб-сайтом, который вы посещаете. Они генерируются веб-приложениями и хранятся в вашем браузере в виде пар ключ-значение.

Примером может служить PHPSESSID: xyjaez1081lze23, lang: en.

Давайте разберемся в этом на примере. Предположим, вы пошли в магазин и принесли оттуда посуду. Придя домой, вы обнаруживаете, что один из них сломан. Тогда вы идете к владельцу магазина и рассказываете ему о своей проблеме. Но, к вашему ужасу, он отвечает, что не знает вас. Таково было исходное состояние HTTP без файлов cookie. Веб-сервер не узнает вас при любом раскладе.

Читать далее

https://habr.com/ru/post/710578/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710578

В предыдущих публикациях мы сделали обзор самых интересных на наш взгляд специальных публикаций NIST по информационной безопасности. В данном посте мы рассмотрим два документа от NIST, которые посвящены выстраиванию процессов реагирования на инциденты ИБ: публикации NIST SP 800-61 "Computer Security Incident Handling Guide" («Руководство по обработке инцидентов компьютерной безопасности») и NIST SP 800-83 "Guide to Malware Incident Prevention and Handling for Desktops and Laptops" («Руководство по предотвращению и обработке инцидентов заражения ВПО на десктопах и лэптопах»). Приступим!

Читать далее

https://habr.com/ru/post/710378/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710378

В первой статье мы поговорили о том, как может действовать Внешний нарушитель при проведении пентеста, какими методами он может собирать и использовать информацию для последующего проникновения. В этой статье мы продолжим рассмотрение темы тестирования на проникновение и поговорим о том, как можно развить атаки на сеть при наличии физического доступа на контролируемую территорию.

Читать далее

https://habr.com/ru/post/710308/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710308

· Ты уважаемый CISO крупной нефтяной компании, но твой ребенок — блогер и зарабатывает больше тебя?
· Ты нашел уязвимость по программе Bug Bounty у мясомолочного завода, а у них нет денег, и они выплачивают тебе молочкой и мясом?
· Регулятор выдал новую порцию требований, а у тебя бюджет — три рубля и жвачка «Турбо»?

Эти и многие другие злободневные ситуации мы объединили в игре Jet Security Memes.

Переходи по кат и скачивай карточки!

Читать далее

https://habr.com/ru/post/710272/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710272

Информационная безопасность сейчас одна из наиболее горячих тем для обсуждения, которая вышла далеко за пределы ИБ-сообщества. Количество инцидентов и утечек возросло многократно, что стало дополнительным стимулом усиливать безопасность инфраструктуры и приложений, а уход иностранных вендоров только усугубил этот процесс. Одним из новых трендов стало проведение Bug Bounty программ. В этой статье я раскрою основные плюсы и минусы таких подходов как Bug Bounty и penetration testing.

Читать далее

https://habr.com/ru/post/708470/?utm_source=habrahabr&utm_medium=rss&utm_campaign=708470

В качестве прокси-сервера в архитектуре сетевых шлюзов различных производителей часто используется 3proxy. Этот выбор обусловлен, прежде всего, тем, что 3proxy — бесплатен, имеет открытый исходный код, компактные размеры и может работать под управлением множества ОС. Однако для универсального шлюза безопасности Traffic Inspector Next Generation (TING) мы выбрали другое решение: доработанный и модифицированный Squid. В этой статье мы расскажем о том, почему мы остановили свой выбор именно на этом продукте, а также поговорим о внесенных в него изменениях, добавляющих в реализованный на базе TING прокси-сервер новые возможности.

Читать далее

https://habr.com/ru/post/710142/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710142

В качестве прокси-сервера в архитектуре сетевых шлюзов различных производителей часто используется 3proxy. Этот выбор обусловлен, прежде всего, тем, что 3proxy — бесплатен, имеет открытый исходный код, компактные размеры и может работать под управлением множества ОС. Однако для универсального шлюза безопасности Traffic Inspector Next Generation (TING) мы выбрали другое решение: доработанный и модифицированный Squid. В этой статье мы расскажем о том, почему мы остановили свой выбор именно на этом продукте, а также поговорим о внесенных в него изменениях, добавляющих в реализованный на базе TING прокси-сервер новые возможности.

Читать далее

https://habr.com/ru/post/710142/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710142

Привет, Хабр. Сегодня мы поговорим о том, почему растет спрос на аварийное восстановление, а также разберем несколько примеров, когда компании сталкиваются с рисками или реальными сбоями инфраструктуры там, где раньше это было невозможно. Всех желающих обсудить предпосылки к расширению DR, а также методы защиты данных в разных ситуациях, приглашаю под кат.

Читать далее

https://habr.com/ru/post/710114/?utm_source=habrahabr&utm_medium=rss&utm_campaign=710114

DCSync - атака, позволяющая злоумышленнику выдавать себя за контроллер домена (DC, domain controller) с целью получения учетных данных пользователей для последующего горизонтального перемещения в сети и/или доступа к конфиденциальной информации.
В основе атаки лежит механизм, предусмотренный для выполнения репликации данных между контроллерами домена (DC).

Читать далее

https://habr.com/ru/post/709866/?utm_source=habrahabr&utm_medium=rss&utm_campaign=709866