Security Lab

Безопасность JavaScript: простые методы защиты вашего интерфейса

https://dev.to/buildwebcrumbs/javascript-security-simple-practices-to-secure-your-frontend-18ii

Освоение безопасного CI/CD для ECS с помощью действий GitHub

https://dev.to/suzuki0430/building-a-secure-cicd-workflow-for-ecs-with-github-actions-gde

SignSaboteur — это расширение Burp Suite для редактирования, подписи и проверки различных подписанных веб-токенов.

https://github.com/d0ge/sign-saboteur

Arcjet помогает разработчикам защитить свои приложения всего за несколько строк кода. Внедрите ограничение скорости, защиту от ботов, проверку электронной почты и защиту от распространенных атак.

https://github.com/arcjet/arcjet-js

🔒Внимание специалистов по кибербезопасности. Вышла общая система оценки уязвимостей (CVSS) v4.0, которая заменила 8-летнюю версию CVSS v3.0. Узнайте, как это обновление улучшает оценку уязвимостей и помогает повысить вашу киберустойчивость. https://www.first.org/cvss/v4-0/

Файл LNK, замаскированный под сертификат, распространяющий вредоносное ПО RokRAT (5 минут чтения)
Аналитический центр безопасности AhnLab выявил северокорейскую кампанию, нацеленную на южнокорейцев, с помощью вредоносного файла LNK. Файл распространяет загрузчик вредоносной программы RokRAT C2. В этой статье подробно рассматривается загрузчик и IoC для кампании.

Разоблачение Tycoon 2FA: скрытый набор для фишинга, используемый для обхода Microsoft 365 и Google MFA (7 минут чтения)
Tycoon 2FA — это платформа «фишинг как услуга», которая недавно была обновлена ​​для повышения эффективности предотвращения обнаружения. Инструментарий опирается на то, что жертвы вводят свою информацию в инфраструктуру, контролируемую злоумышленниками. После запроса MFA файлы cookie сеанса передаются злоумышленнику. В этой статье представлены некоторые реальные примеры и способы защиты.

Использование туннелирования DNS для отслеживания и сканирования (13 минут чтения)
В этом сообщении блога описывается техника атаки DNS-туннелирования, которая позволяет злоумышленникам скрывать и передавать данные через DNS-трафик. Злоумышленники могут использовать DNS-туннелирование для отслеживания действий пользователей и связи со скомпрометированными хостами. Организации могут эффективно обнаруживать и смягчать кампании по туннелированию DNS, анализируя такие показатели, как домены и IP-адреса.

3 самые простые ошибки, которые вы можете найти прямо сейчас [гарантировано]

https://systemweakness.com/3-easiest-bugs-that-you-can-find-right-now-guarantied-71ef89efd1a7

Руководство по защите удаленного доступа с помощью ключей SSH

Пошаговое руководство по защите ваших SSH-соединений с помощью аутентификации на основе ключей SSH https://infosecwriteups.com/a-guide-to-securing-your-remote-access-using-ssh-keys-84b48097f3bf

Kube No Trouble (репозиторий GitHub)
Kubent — это инструмент для проверки того, использует ли кластер Kubernetes устаревшие API. Его можно запускать в конвейерах CI/CD или вручную.
https://github.com/doitintl/kube-no-trouble

BurpScript (репозиторий GitHub)
BurpScript добавляет в Burp Suite возможности динамического написания сценариев, позволяя вам писать сценарии на Python или Javascript для управления HTTP-запросами и ответами.
https://github.com/ivision-research/burpscript

Шпаргалка по безопасной сборке Docker-образов

Каждый контейнер Docker основан на образе, который обеспечивает базу для всего, что вы когда-либо будете развертывать и запускать. Если злоумышленник как-то повлияет на сборку образа и изменит Dockerfile, то сможет совершить навредить вашим системам. Например, добавить вредоносный код, получить доступ к секретным данным сборки или атаковать хост-компьютер. Поэтому защита начинается уже во время подготовки образа, с первой инструкции.

Привет, Хабр! Меня зовут Эллада, я специалист по информационной безопасности в Selectel. Продолжаю рассказывать о безопасности в Docker. Под катом расскажу, как настроить сборку образов, обеспечить безопасность и добавить сканирование в пайплайн. https://habr.com/ru/companies/selectel/articles/813047/

Semgrep для Terraform Security (5 минут чтения)
В этой статье представлены некоторые варианты использования и примеры использования Semgrep для защиты развертываний Terraform.

https://ramimac.me/semgrep-for-terraform

Как Apple на самом деле следит за вами

По счастливой случайности я оказался резидентом Евросоюза, а значит, на меня также распространяется GDPR. Он позволяет мне запросить копию информации, которая хранится обо мне у всяких разных компаний. Я решил сделать это у Apple, и был неприятно удивлен. https://habr.com/ru/articles/812043/

GraphQL Cop (репозиторий GitHub)
GraphQL Cop — это утилита Python, которая выполняет общие тесты безопасности API GraphQL. Его можно включить в CI/CD и предоставлять запросы cURL для получения любых результатов.
https://github.com/dolevf/graphql-cop

Инспектор приложений (репозиторий GitHub)
Application Inspector — это анализатор исходного кода, созданный для выявления интересующих функций и других характеристик, чтобы ответить на вопрос «Что в коде?» быстро с помощью статического анализа с обработчиком правил на основе JSON. Он идеально подходит для сканирования компонентов перед использованием или обнаружения изменений на уровне функций.
https://github.com/microsoft/ApplicationInspector

Автоматизация тестирования уязвимостей API с использованием рабочих процессов Postman (4-минутное чтение)
В этом сообщении блога обсуждается автоматизация тестирования уязвимостей API с помощью рабочих процессов Postman — функции, которая упрощает процесс демонстрации уязвимостей API без программирования. https://haymiz.dev/security/2024/04/27/automating-apis-with-postman-workflows

Prophet Security (запуск продукта)
Prophet AI for Security Operations фильтрует входящие оповещения и для каждого из них собирает, сопоставляет и анализирует данные из нескольких источников, чтобы предоставить заключение и подробное описание расследования. https://www.prophet.security/

Пошаговая шпаргалка по защите сервера от хакеров и другой нечисти

https://habr.com/ru/companies/selectel/articles/809669/

Блаухонт (репозиторий GitHub)
Blauhaunt — это набор инструментов для фильтрации и визуализации событий входа в систему, который предназначен для отслеживания событий и действий пользователя при входе в систему.

https://github.com/cgosec/Blauhaunt

Число уязвимостей в приложениях искусственного интеллекта и машинного обучения стремительно растет

Только в апреле 2024 года уже было обнаружено целых 48 уязвимостей в широко используемых проектах программного обеспечения с открытым исходным кодом (OSS), таких как MLFlow , Ray и Triton Inference Server .

Эта цифра представляет собой рост на 220% по сравнению с 15 уязвимостями, о которых впервые сообщалось в ноябре, отмечается в отчете. https://securityboulevard.com/2024/04/vulnerabilities-for-ai-and-ml-applications-are-skyrocketing/

DNSViz — это набор инструментов для анализа и визуализации поведения системы доменных имен (DNS), включая ее расширения безопасности (DNSSEC). Этот набор инструментов обеспечивает веб-анализ, доступный по адресу https://dnsviz.net/.

https://github.com/dnsviz/dnsviz