Security Lab

Слежка через пуш-уведомления на смартфонах Недавно стало известно о новом виде слежки за пользователями смартфонов: через пуш-уведомления в iOS и Android. Газета Washington Post написала, в частности, что эту тактику начало использовать ФБР (кэш статьи). Довольно интересно, как работает такой метод выслеживания. Согласно расследованию, для идентификации пользователей ФБР запрашивает у компаний Apple и Google данные пуш-уведомлений, так называемые «пуш-токены» (push token). Эти данные можно запрашивать без предъявления ордера. С помощью пуш-токенов можно идентифицировать конкретный смартфон, а потом запросить у компании данные о его владельце. https://habr.com/ru/companies/globalsign/articles/815425/

Критическая ошибка, приводящая к DoS, RCE и утечкам данных на всех основных облачных платформах (3 минуты чтения) Исследователи обнаружили серьезную уязвимость, связанную с повреждением памяти, получившую название «Linguistic Lumberjack» в Fluent Bit, утилите облачного ведения журналов с открытым исходным кодом, которую скачали более 3 миллиардов раз и широко используют крупные организации и поставщики облачных услуг, такие как AWS, Microsoft и Google Cloud. Эта уязвимость потенциально делает возможным отказ в обслуживании, утечку данных и удаленное выполнение кода в облачных средах. https://www.darkreading.com/cloud-security/critical-bug-dos-rce-data-leaks-in-all-major-cloud-platforms

Безопасность JavaScript: простые методы защиты вашего интерфейса https://dev.to/buildwebcrumbs/javascript-security-simple-practices-to-secure-your-frontend-18ii

Освоение безопасного CI/CD для ECS с помощью действий GitHub https://dev.to/suzuki0430/building-a-secure-cicd-workflow-for-ecs-with-github-actions-gde

SignSaboteur — это расширение Burp Suite для редактирования, подписи и проверки различных подписанных веб-токенов. https://github.com/d0ge/sign-saboteur

Arcjet помогает разработчикам защитить свои приложения всего за несколько строк кода. Внедрите ограничение скорости, защиту от ботов, проверку электронной почты и защиту от распространенных атак. https://github.com/arcjet/arcjet-js

🔒Внимание специалистов по кибербезопасности. Вышла общая система оценки уязвимостей (CVSS) v4.0, которая заменила 8-летнюю версию CVSS v3.0. Узнайте, как это обновление улучшает оценку уязвимостей и помогает повысить вашу киберустойчивость. https://www.first.org/cvss/v4-0/

Файл LNK, замаскированный под сертификат, распространяющий вредоносное ПО RokRAT (5 минут чтения) Аналитический центр безопасности AhnLab выявил северокорейскую кампанию, нацеленную на южнокорейцев, с помощью вредоносного файла LNK. Файл распространяет загрузчик вредоносной программы RokRAT C2. В этой статье подробно рассматривается загрузчик и IoC для кампании. Разоблачение Tycoon 2FA: скрытый набор для фишинга, используемый для обхода Microsoft 365 и Google MFA (7 минут чтения) Tycoon 2FA — это платформа «фишинг как услуга», которая недавно была обновлена ​​для повышения эффективности предотвращения обнаружения. Инструментарий опирается на то, что жертвы вводят свою информацию в инфраструктуру, контролируемую злоумышленниками. После запроса MFA файлы cookie сеанса передаются злоумышленнику. В этой статье представлены некоторые реальные примеры и способы защиты. Использование туннелирования DNS для отслеживания и сканирования (13 минут чтения) В этом сообщении блога описывается техника атаки DNS-туннелирования, которая позволяет злоумышленникам скрывать и передавать данные через DNS-трафик. Злоумышленники могут использовать DNS-туннелирование для отслеживания действий пользователей и связи со скомпрометированными хостами. Организации могут эффективно обнаруживать и смягчать кампании по туннелированию DNS, анализируя такие показатели, как домены и IP-адреса.

Positive Technologies приглашает принять участие в олимпиаде по программированию «1+1» 25 мая онлайн и на киберфестивале PHDays Fest 2 в «Лужниках». Все пройдет без пафоса, в комфортной и дружелюбной обстановке. Участвуйте сами и приводите +1. Перед олимпиадой мы проведем две тренировочные сессии онлайн. На олимпиаде вас будут ждать задачи на разные темы, сложность тоже будет различаться — решать будет интересно как постоянным участникам соревнований, так и тем, у кого еще нет олимпиадного опыта. Итоги подведем в день олимпиады, участников с лучшими результатами наградим. А после разберем задачи и решения вместе с тренером. Присоединяйтесь, заряжайтесь драйвом, решайте столько задач, сколько сможете. И самое главное — получайте удовольствие! Ведь рост над собой и динамика на дистанции гораздо важнее абсолютной победы. 👉 Узнайте больше и зарегистрируйтесь до 23 мая. Реклама. АО "Позитив Текнолоджиз". ИНН: 7718668887

3 самые простые ошибки, которые вы можете найти прямо сейчас [гарантировано] https://systemweakness.com/3-easiest-bugs-that-you-can-find-right-now-guarantied-71ef89efd1a7

ositive Technologies приглашает принять участие в олимпиаде по программированию «1+1» 25 мая онлайн и на киберфестивале PHDays Fest 2 в «Лужниках». Все пройдет без пафоса, в комфортной и дружелюбной обстановке. Участвуйте сами и приводите +1. Перед олимпиадой мы проведем две тренировочные сессии онлайн. На олимпиаде вас будут ждать задачи на разные темы, сложность тоже будет различаться — решать будет интересно как постоянным участникам соревнований, так и тем, у кого еще нет олимпиадного опыта. Итоги подведем в день олимпиады, участников с лучшими результатами наградим. А после разберем задачи и решения вместе с тренером. Присоединяйтесь, заряжайтесь драйвом, решайте столько задач, сколько сможете. И самое главное — получайте удовольствие! Ведь рост над собой и динамика на дистанции гораздо важнее абсолютной победы. 👉 Узнайте больше и зарегистрируйтесь до 23 мая. Реклама. АО "Позитив Текнолоджиз". ИНН: 7718668887

Руководство по защите удаленного доступа с помощью ключей SSH Пошаговое руководство по защите ваших SSH-соединений с помощью аутентификации на основе ключей SSH https://infosecwriteups.com/a-guide-to-securing-your-remote-access-using-ssh-keys-84b48097f3bf

Самое слабое звено в цепи кибербезопасности: электронная почта https://billatnapier.medium.com/the-weakness-link-in-the-cybersecurity-chain-email-09851b33e426

Что такое WAF и как с ним работать? Показываем на примере уязвимого веб-приложения https://habr.com/ru/companies/selectel/articles/814183/

Kube No Trouble (репозиторий GitHub) Kubent — это инструмент для проверки того, использует ли кластер Kubernetes устаревшие API. Его можно запускать в конвейерах CI/CD или вручную. https://github.com/doitintl/kube-no-trouble BurpScript (репозиторий GitHub) BurpScript добавляет в Burp Suite возможности динамического написания сценариев, позволяя вам писать сценарии на Python или Javascript для управления HTTP-запросами и ответами. https://github.com/ivision-research/burpscript

Шпаргалка по безопасной сборке Docker-образов Каждый контейнер Docker основан на образе, который обеспечивает базу для всего, что вы когда-либо будете развертывать и запускать. Если злоумышленник как-то повлияет на сборку образа и изменит Dockerfile, то сможет совершить навредить вашим системам. Например, добавить вредоносный код, получить доступ к секретным данным сборки или атаковать хост-компьютер. Поэтому защита начинается уже во время подготовки образа, с первой инструкции. Привет, Хабр! Меня зовут Эллада, я специалист по информационной безопасности в Selectel. Продолжаю рассказывать о безопасности в Docker. Под катом расскажу, как настроить сборку образов, обеспечить безопасность и добавить сканирование в пайплайн. https://habr.com/ru/companies/selectel/articles/813047/

Semgrep для Terraform Security (5 минут чтения) В этой статье представлены некоторые варианты использования и примеры использования Semgrep для защиты развертываний Terraform. https://ramimac.me/semgrep-for-terraform

Как Apple на самом деле следит за вами По счастливой случайности я оказался резидентом Евросоюза, а значит, на меня также распространяется GDPR. Он позволяет мне запросить копию информации, которая хранится обо мне у всяких разных компаний. Я решил сделать это у Apple, и был неприятно удивлен. https://habr.com/ru/articles/812043/

GraphQL Cop (репозиторий GitHub) GraphQL Cop — это утилита Python, которая выполняет общие тесты безопасности API GraphQL. Его можно включить в CI/CD и предоставлять запросы cURL для получения любых результатов. https://github.com/dolevf/graphql-cop Инспектор приложений (репозиторий GitHub) Application Inspector — это анализатор исходного кода, созданный для выявления интересующих функций и других характеристик, чтобы ответить на вопрос «Что в коде?» быстро с помощью статического анализа с обработчиком правил на основе JSON. Он идеально подходит для сканирования компонентов перед использованием или обнаружения изменений на уровне функций. https://github.com/microsoft/ApplicationInspector

Автоматизация тестирования уязвимостей API с использованием рабочих процессов Postman (4-минутное чтение) В этом сообщении блога обсуждается автоматизация тестирования уязвимостей API с помощью рабочих процессов Postman — функции, которая упрощает процесс демонстрации уязвимостей API без программирования. https://haymiz.dev/security/2024/04/27/automating-apis-with-postman-workflows Prophet Security (запуск продукта) Prophet AI for Security Operations фильтрует входящие оповещения и для каждого из них собирает, сопоставляет и анализирует данные из нескольких источников, чтобы предоставить заключение и подробное описание расследования. https://www.prophet.security/