Security Lab

Arcjet-js (репозиторий GitHub) JS SDK от Arcjet включают ограничение скорости, защиту от ботов, проверку электронной почты и защиту от атак для Node.js, Next.js, Bun и SvelteKit. https://github.com/arcjet/arcjet-js

Лучшие практики обеспечения безопасности для вашего приложения Node.js https://dev.to/appsignal/security-best-practices-for-your-nodejs-application-37ip

FlowAnalyzer (репозиторий GitHub) - это инструмент, помогающий тестировать и анализировать потоки OAuth 2.0, включая OpenID Connect (OIDC). https://github.com/ManuelBerrueta/FlowAnalyzer GPT4-Captcha-bypass (репозиторий GitHub) Этот проект представляет собой инструмент CLI для тестирования различных типов капч, включая головоломки, текст, сложный текст и reCAPTCHA с использованием Python и Selenium. Инструмент использует OpenAI GPT-4 для помощи в решении капч. https://github.com/aydinnyunus/gpt4-captcha-bypass

😒«Поймай меня, если сможешь», или как мы расставляем ловушки для хакеров В этой статье хочу вас погрузить в мир Xello Deception: расскажу, что это, с чем его едят, нюансы при настраивании и с радостью поделюсь своим опытом по внедрению и работе с данной системой. https://habr.com/ru/companies/innostage/articles/831414/

Предотвращение атак Clickjacking в JavaScript https://dev.to/rigalpatel001/preventing-clickjacking-attacks-in-javascript-39pj

Улучшение авторизации: использование возможностей частичной оценки В сегодняшнем ландшафте безопасности контроль за тем, кто имеет доступ к информации, важен как никогда. По мере того, как системы становятся все более сложными, традиционные методы, такие как управление доступом на основе ролей (RBAC), управление доступом на основе атрибутов (ABAC) и управление доступом на основе политик (PBAC), имеют свои ограничения, особенно в динамических средах. В этой статье рассматриваются эти методы и представлено гибкое и эффективное решение для управления авторизацией. https://medium.com/cyberark-engineering/enhancing-authorization-harnessing-the-power-of-partial-evaluation-e8f1bd263fac

Whispers — это инструмент анализа информационной безопасности, разработанный для идентификации жестко закодированных секретов в структурированном тексте и статическом коде ( CWE-798 ). https://github.com/adeptex/whispers Зашифрованы или не зашифрованы мои ресурсы AWS по умолчанию? (чтение занимает 5 минут) Fog Security исследовал 51 различный ресурс AWS и обнаружил, что только 76% из них были зашифрованы по умолчанию, причем 22 из них были зашифрованы с помощью ключей AWS Owned по умолчанию. Даже при шифровании по умолчанию сервисы, которые использовали ключи AWS Owned, были общими для учетных записей AWS и обычно не предлагали дополнительных средств управления доступом. https://www.fogsecurity.io/blog/are-my-aws-resources-encrypted-or-unencrypted-by-default

GitLab снова заставляет пользователей нервничать из-за новой уязвимости конвейера CI/CD (чтение занимает 3 минуты) GitLab раскрыл критическую уязвимость (CVE-2024-6385), которая влияет на конвейеры CI/CD платформы DevOps. Уязвимость, оцененная по уровню серьезности в 9,6 из 10, позволяет злоумышленникам запускать конвейеры от имени любого пользователя, потенциально получая доступ к конфиденциальным данным и внедряя вредоносный код. GitLab настоятельно рекомендует пользователям немедленно обновиться до последней исправленной версии. https://www.darkreading.com/application-security/-gitlab-sends-users-scrambling-again-with-new-ci-cd-pipeline-takeover-vuln

Gapcast (репозиторий GitHub) Gapcast — это программное обеспечение для внедрения и анализа пакетов IEEE 802.11. https://github.com/ANDRVV/gapcast

Что нового в мире обхода блокировок Интернета в середине 2024 https://habr.com/ru/articles/828598/

OXO (репозиторий GitHub) OXO — это фреймворк сканирования безопасности, созданный с учетом модульности, масштабируемости и простоты. https://github.com/Ostorlab/oxo k8s-sniff-https (репозиторий GitHub) k8s-sniff-https — это простой проект mitmproxy, который перехватывает трафик HTTPS из приложений, работающих в кластерах Kubernetes. Он полезен для обратной разработки вызовов API или отладки/устранения неполадок приложений, которые выполняют вызовы HTTPS к удаленным бэкендам SaaS. https://github.com/ofirc/k8s-sniff-https

Как я взломал штрих-коды продавца билетов TicketMaster https://habr.com/ru/articles/828124/

BBOT (Bighuge BLS OSINT Tool) — это рекурсивный интернет-сканер, созданный по образцу Spiderfoot , но разработанный так, чтобы быть быстрее, надежнее и удобнее для пентестеров, охотников за ошибками и разработчиков. https://github.com/blacklanternsecurity/bbot

Обнаружение взломанных файлов cookie (чтение занимает 10 минут) В этой статье подробно описывается, как Slack обнаруживает скомпрометированные сеансовые куки-файлы для предотвращения перехвата сеанса. https://slack.engineering/catching-compromised-cookies

Использование ИИ для поиска XSS. https://medium.com/@deadoverflow/using-ai-to-hunt-for-xss-e04ba8d32ba8

Провозгласите свою независимость от искусственного интеллекта: блокируйте ботов, скрейперов и сканеров ИИ одним щелчком мыши (чтение занимает 7 минут) Cloudflare запустила возможность для всех аккаунтов (включая бесплатные аккаунты) блокировать всех ботов AI, краулеров и скреперов одним переключателем в разделе Безопасность -> Боты. https://blog.cloudflare.com/declaring-your-aindependence-block-ai-bots-scrapers-and-crawlers-with-a-single-click

Использование машинного обучения для обнаружения атак ботов, использующих резидентные прокси-серверы https://blog.cloudflare.com/residential-proxy-bot-detection-using-machine-learning

Инструмент C++ для сканирования памяти процессов и генерации подозрительной телеметрии, который пытается обнаружить ряд вредоносных методов, используемых злоумышленниками https://github.com/JanielDary/ELFieScanner

Веб-проверка (репозиторий GitHub) Web Check — это универсальный инструмент OSINT для анализа веб-сайтов. Этот репозиторий содержит информацию для развертывания инструмента на Netlify, Vercel, Docker или сборки из исходников. Также включена живая демонстрация. https://github.com/lissy93/web-check

Airclap — Отправьте любой файл на любое устройство https://medium.com/@liangludev/airclap-send-any-file-to-any-device-e49759fb91ef