Standoff 365

⚡ Новый релиз Standoff 365 подъехал!

Как обычно — подкрутили производительность, повысили стабильность и все вот это вот. Но еще — начали большой трек по улучшению техподдержки. Уже сейчас упростили процессы обработки и регистрации обращений.

Важно: чтобы пользоваться ботами поддержки, нужно привязать учетную запись с портала к своему Telegram-аккаунту.

Всего пара кликов — и готово:

1️⃣ В настройках профиля откройте вкладку «Безопасность» и найдите новый блок «Авторизация в боте техподдержки» (или просто нажмите сюда).

2️⃣ Выберите одного из трех ботов — для защитников, для атакующих или bug bounty — и кликните по нему.

3️⃣ Во всплывающем окне отсканируйте QR-код или перейдите по ссылке и авторизуйтесь в выбранном боте.

💡 А можно и проще: просто кликните здесь на нужного бота (защитники / атакующие / bug bounty), нажмите Start — и вы уже на первом шаге.

Сделали? Вы великолепны 😎

Теперь в боте можно видеть, сколько обращений в очереди на обработку, и получать уведомления, когда ваше обращение взято в работу.

О других фичах релиза расскажем в следующих постах

Знаете, багхантеры тоже своего рода бизнесмены 🤑

Контур — одна из крупнейших экосистем для бизнеса в России — запускает публичную программу на Standoff Bug Bounty.

В портфеле экосистемы — ЭДО, бухгалтерия, электронная подпись, инфобез, финтех, онлайн-кассы и другие решения для бизнеса.

Все они теперь доступны багхантерам для исследования, максимальная выплата — до 1 000 000 рублей!

Заработать баунти можно здесь

🏁 Программа Приморского края выходит на финишную прямую!

До 4 ноября у тебя есть шанс забрать максимум. В программе уже работал множитель баллов, а теперь — апгрейд: X2 еще и к выплатам.

🆕 И это еще не все — в скоуп добавлен новый домен: help.primorsky.ru

Успей забрать повышенные баунти и баллы, пока не закончились выплаты.

Искать баги можно здесь.

План на 31 октября 🎃

1. Проснуться
2. Заполнить бинго
3. Поделиться результатом в комментариях

Все сделали? Теперь можно идти отмечать Хэллоуин ломать дальше 👻

😎 Онлайн-встреча по созданию уязвимой тачки — уже сегодня

Подключайся в 19:00, чтобы на реальных примерах узнать, как мы готовим уязвимые сервисы для онлайн-полигона.

Расскажем, что важно учитывать, чтобы собрать свою идеальную машину и получить Respect+ от комьюнити 🤝

Ждем тут

Итоги Standoff Talks: записи, фото и лучшие моменты

Спасибо всем, кто пришел — вы крутые! И отдельное спасибо нашим спикерам — за интересные, полезные и вдохновляющие доклады.

Надеемся, вы нашли новые идеи, познакомились с классными людьми и провели время с пользой ⭐️

А если у вас не получилось попасть на митап — не беда. На этот случай мы специально сделали плейлисты с выступлениями (а к ним отдельно добавили презентации).

Поискать себя на фотографиях или посмотреть, как все прошло, можно здесь.

Следите за обновлениями, чтобы не пропустить следующий Standoff Talks.

Смотрите доклады на любой удобной платформе:

📺 YouTube 📺 Rutube 📺 VK Видео

😱 Увеличенные выплаты в программе Мегамаркета — В С Ё (ну, почти)

За две недели багхантеры отправили столько МЕГАхороших отчетов, что казна на повышенные выплаты практически опустела.

Поэтому акция с удвоенными выплатами продлится до 1 ноября (а не до 1 декабря, как сообщали ранее). Потом баунти вернется к стандартным ставкам.

То самое чувство, когда не ты отдаешь всю зарплату маркетплейсу, а он тебе.

Новый хост на Standoff Standalone: сервис AirBoard

Мы обещали новые хосты на Standoff Standalone — и вот, знакомьтесь!

В аэропортах для пассажиров критически важна возможность быстро и легко ориентироваться, видеть актуальные данные о прилетах, вылетах, задержках и изменениях в расписании. Для этого существует AirBoard — сервис для управления информационными табло, который дает возможность менять текст, структуру и отображает другую важную для пассажиров информацию.

🚨 Но что может случиться, если злоумышленники получат доступ к локальной базе данных?

✔️ Полный хаос в системе расписания — пассажиры дезориентированы и пропускают свои рейсы.
✔️ Работа аэропорта парализована, авиакомпании и пассажиры терпят финансовые убытки.
✔️ Хакеры получают возможность передать на табло любую нужную им информацию.

Залетайте в сегмент Standalone и ищите заветный флаг!
И напоминаем, что до конца сезона на Standoff Hackbase осталось не так много времени.

Разбираем Ansible на модули так, чтобы было не страшно

Соскучились по конфигуратору? На Хабре вышла четвертая в серии статья о том, как на основе Ansible выстроить архитектуру приложения для развертывания больших инфраструктур и полигонов.

В статье мы разберемся с особенностями внутренней архитектуры и тем, как A-services (модули Ansible) могут помочь, настроить и интегрировать ее с другими виртуальными машинами.

Ты узнаешь, как:

🔹Налаживать разработку сценариев и настраивать их.
🔹Менять платформу и обновлять версии компонентов так, чтобы не страдать.
🔹Гибко запускать сценарии, как тебе захочется.

Отправляй своему другу, который до сих пор конфигурирует конфигуратор 😎

Не просто игра: как соревнования по ИБ могут стать карьерным трамплином для молодых специалистов

В этот раз мы попросили написать колонку на важную тему, охватывающую области карьеры, работы социальных лифтов и образования для тех, кто начал путь в этом мире в период глобальных изменений, легких потрясываний и туманной местности впереди, директора по продуктам платформы Standoff 365, Positive Technologies, Ивана Булавина.

У меня есть простая формула. Чтобы стать сильным специалистом, нужно обладать хотя бы двумя из трех качеств: хорошей теоретической базой, практическим опытом и способностью быстро адаптироваться. Если есть все три — точно вырастешь в сильного профессионала. Соревнования по ИБ (например, Национальная технологическая олимпиада (НТО), Международные игры по кибербезопасности и др.) помогают развивать все это одновременно в том формате, который трудно воспроизвести в рамках обычной лекции. Участие в инициативах становятся не просто стартом, а точкой входа для тех, кто уже сегодня мыслит как профи.

Зачем стоит развивать такие инициативы?

1. История не про поиск талантов, а возможность начать путь в индустрии

Если в других сферах существуют определенные ступени развития и выстроенные карьерные треки, то в ИБ такой путь часто непрозрачен. Особенно для тех, кто только начинает, причем независимо от региона и начального уровня подготовки. Такие соревнования дают шанс школьникам и студентам начать профессиональный путь.

Уже сегодня мы видим реальное подтверждение этому. Например, участники НТО могут поступить в ведущие технические вузы страны без вступительных испытаний (при условии, что они набрали не менее 75 баллов по профильному предмету на ЕГЭ). И еще один кейс был летом этого года. Команда победителей и призеров НТО приняла участие в первой Международной олимпиаде по кибербезопасности (ICO) в Сингапуре. Все семь ребят вернулись с медалями. Их успех — лучшая иллюстрация того, как работает этот социальный лифт.

2. Уходим от образа «песочницы» — создаем условия, приближенные к реальным

Современные киберсоревнования давно вышли за рамки условных заданий. В виртуальной инфраструктуре воссоздаются настоящие бизнес-процессы компаний из разных отраслей экономики. Участники действуют в роли атакующих или защитников, проверяют, насколько система уязвима или защищена, и получают опыт, который готовит их к работе в индустрии.

3. Практика как главный маркер для работодателя

Многие молодые специалисты сталкиваются с замкнутым кругом: без опыта на работу не берут, а получить его негде. Сегодня ситуация постепенно меняется — все больше работодателей смотрят на реальные навыки кандидата. Участие в подобных соревнованиях или кибербитвах дает возможность стать тем самым маркером уровня подготовки, где практический опыт подтвержден конкретным результатом. Хотелось бы, чтобы финал или высокое место в рейтинге воспринимались как серьезное достижение и ценились в рамках найма.

Можно ли считать киберсоревнования новым форматом подготовки кадров — тем самым мостом между академическим образованием и реальной практикой, где рождаются специалисты, востребованные индустрией уже сегодня?

@cybersachok

Онлайн-встреча: создаем идеальную уязвимую машину 🔥

Мы решили встретиться с вами и рассказать, что нужно знать, чтобы создавать уязвимые сервисы! Наша цель — объединить энтузиастов, тех, кто давно с нами, кто любит онлайн-полигон и хочет сделать его еще интереснее.

Если вы хотите разобраться в том, как создаются уязвимые сервисы, то мы ждем вас на онлайн-встрече 30 октября в 19:00 (мск). Нужно будет зарегистрироваться: мы заранее напомним вам о встрече и пришлем ссылку для подключения.

О чем поговорим на встрече?

🔻Расскажем, как мы сами готовим уязвимые сервисы, какие есть форматы и как мы определяем уровень сложности.

🔻Рассмотрим весь процесс изнутри — как правильно закладывать уязвимости и каким принципам следовать.

🔻Обсудим актуальность: какие трендовые уязвимости и нашумевшие сценарии было бы правильно использовать в своем сервисе.

🔻Поделимся примерами уже созданных уязвимых тачек и расскажем, что интересного может дать машина атакующим.

Также на встрече будет команда 5HM3L, которая поделится своим опытом.

Приходи за вдохновением и новыми знаниями 💡

Задавайте вопросы к онлайн-встрече в комментариях ⤵️

⏳ Гайд по разведке внешнего периметра: от поиска IP-адресов до брутфорса поддоменов

В пентесте/багбаунти часто нет полного скоупа или дают wildcard (*.example.com). Тогда приходится искать самому — вот рабочий воркфлоу.


1️⃣ Поиск IP-адресов

Если у организации есть своя автономная система (AS):

🖤 WHOIS → берём origin / ASN по основному домену
🖤 Получаем подсети по ASN:

asnmap -asn AS51115 -silent 

2️⃣ Горизонтальный поиск доменов

🖤 Reverse DNS (PTR) по диапазонам:

echo "178.248.233.0/24" | dnsx -ptr -resp -o reverse_dns.txt

🖤 TLS / сертификаты (CN / SAN) — собираем домены из сертификатов на стандартных/нестандартных портах:

echo "178.248.233.0/24" | tlsx -p 443,3443,8443,9443,10443 -cn -san -o tlsx_result.txt

🖤 Reverse WHOIS — ищем домены, зарегистрированные на ту же организацию:

revwhoix -k "Positive Technologies, CJSC"

3️⃣ Вертикальный поиск поддоменов

🖤 Certificate Transparency / агрегаторы: crt.sh, subfinder, SecurityTrails, Chaos, IntelX и т.д.

subfinder -d standoff365.com -silent

🖤 Брутфорс поддоменов:

puredns bruteforce wordlist.txt standoff365.com -w subdomains_standoff365.com.txt

🖤 Генерация мутаций / перестановок из уже найденных поддоменов:

cat subdomains_standoff365.com.txt | alterx | dnsx -o alterx_resolved_subdomains_standoff365.com.txt

Создание словаря из найденных поддоменов часто приносит больше результатов, чем «слепой» общедоступный wordlist.

4⃣ Формирование итогового списка + фильтрация

🖤 Склеиваем результаты всех источников
🖤 Фильтруем: удаляем wildcard`ы, сторонние хосты, CDN-овский «шум»

P. S. Чем шире поверхность атаки, тем больше шансов обнаружить неожиданные сервисы, забытые поддомены и «тёмные углы» инфраструктуры.

Слушай, как чемпион 🏆

Сегодня в эфире — плейлист капитана команды r3kapig из Китая, которая упорно шла к своей победе на международной кибербитве Standoff 16.

Этот сет — идеальный саундтрек для твоих тренировок на онлайн-полигоне Standoff Hackbase и напряженных кибербаталий. С азиатским вайбом 🐉

Теперь ты знаешь, что включить, когда будешь готовиться к следующей кибербитве Standoff 😎

Ладно-ладно, это мы на Standoff Talks, и вас было много!

Иван Булавин передает спасибо всем спикерам и гостям сегодняшнего ивента 🙏

Часть докладов опубликуем онлайн, следите за обновлениями 😊