Security Lab

Mutahunter (репозиторий GitHub)
Mutahunter — это инструмент тестирования мутаций на основе LLM с открытым исходным кодом, который использует модели LLM для внедрения контекстно-зависимых ошибок в кодовые базы.

https://github.com/codeintegrity-ai/mutahunter

От dotenv к dotenvx: управление конфигурациями нового поколения
Dotenvx, эволюция популярного инструмента конфигурации dotenv, решает основные проблемы безопасности и удобства использования. Он обеспечивает кроссплатформенную согласованность, поддерживает несколько сред и вводит шифрование для файлов .env.

https://dotenvx.com/blog/2024/06/24/dotenvx-next-generation-config-management.html

Как создать конвейер для усиления защиты узлов Amazon EKS и автоматизации обновлений (5-минутное чтение)

https://aws.amazon.com/blogs/security/how-to-create-a-pipeline-for-hardening-amazon-eks-nodes-and-automate-updates

RedFlag (репозиторий GitHub)
RedFlag — это инструмент, который использует искусственный интеллект для обнаружения изменений кода с высоким уровнем риска. Сканирование имеет широкие возможности настройки и может использоваться для сканирования конкретных изменений или выпусков. https://github.com/Addepar/RedFlag
Agentic Security (репозиторий GitHub)
Agentic Security — это сканер уязвимостей с открытым исходным кодом для проверки устойчивости и надежности LLM. https://github.com/msoedov/agentic_security

Я боролся с DDoS и выжил, чтобы рассказать об этом

https://funkbytetech.substack.com/p/i-fought-a-ddos-and-lived-to-tell

Предполагаемое нарушение: эволюция наступательного тестирования безопасности (чтение 8 минут)
TrustedSec подробно описывает свой новый подход к «красной команде» и пентестированию, который фокусируется на нарушениях на основе сценариев, в отличие от традиционных внутренних тестов на проникновение, которые сосредоточены в основном на сценариях физического вторжения, в результате которых злоумышленники внедряют в сеть мошенническое устройство. TrustedSec тестирует семь сценариев. Пост включает подробное описание сценариев и методов тестирования.

https://trustedsec.com/blog/assumed-breach-the-evolution-of-offensive-security-testing

hijagger — проверка реестров пакетов на наличие пакетов, которые можно перехватить.

https://github.com/firefart/hijagger

OpenRecall (репозиторий GitHub)
OpenRecall — это альтернатива функции Microsoft Recall с полностью открытым исходным кодом, ориентированная на конфиденциальность.

https://github.com/openrecall/openrecall

Betterscan — это набор инструментов оркестрации, который использует самые современные инструменты для сканирования исходного кода и инфраструктуры IaC, а также анализа рисков безопасности и соответствия требованиям.

https://github.com/topcodersonline-solutions/betterscan-ce

Как защитить SaaS-приложения будущего (6 минут чтения)
В этом посте рассказывается о проблемах идентификации, с которыми сталкиваются современные SaaS-приложения, и о более сложных способах, с помощью которых злоумышленники ищут доступ. В нем изложены требования единого входа, подготовки пользователей (через SCIM) и программного доступа к журналам в качестве требований для современных приложений SaaS. Он также предлагает подтверждение владения, профили оценки непрерывного доступа и универсальный выход из системы для SaaS-приложений будущего.

https://sec.okta.com/appsofthefuture

Перейди по ссылке, и я узнаю твой номер

В цифровую эпоху уже никто не удивляется, когда ему звонят с незнакомых номеров с рекламой. Мало ли какие соглашения о персональных данных мы подписываем и на каких сайтах оставляем свой номер.

Но сейчас на рынке информационных услуг всё большую популярность набирают сервисы, занимающиеся деанонимизацией пользователей при одном лишь открытии сайта. Причём всё это преподносится как абсолютно легальный сервис для бизнеса, с соблюдением закона о персональных данных. https://habr.com/ru/articles/819595/

Этот очень простой инструмент извлекает и отображает данные из функции восстановления в Windows 11, обеспечивая простой способ доступа к информации о снимках активности вашего ПК.

https://github.com/xaitax/TotalRecall

Prowler — это инструмент безопасности с открытым исходным кодом для AWS, Azure, GCP и Kubernetes, предназначенный для проведения оценок безопасности, аудита, реагирования на инциденты, соблюдения требований, непрерывного мониторинга, усиления защиты и готовности к криминалистической экспертизе. В него входят CIS, NIST 800, NIST CSF, CISA, FedRAMP, PCI-DSS, GDPR, HIPAA, FFIEC, SOC2, GXP, Well-Architected Security, ENS и другие. https://github.com/prowler-cloud/prowler

Тщательно подобранный список методов и инструментов для атаки и защиты конвейеров CI/CD.

https://github.com/TupleType/awesome-cicd-attacks

Утечка учетных данных при захвате поддомена (6 минут чтения)
Команда Truffle Security подробно рассказывает о том, как можно злоупотребить localStorage при захвате поддомена. Они обнаружили уязвимость захвата субдомена на Readme.io, которая может позволить злоумышленнику скомпрометировать любые учетные данные, введенные на исходной или скомпрометированной странице.

https://trufflesecurity.com/blog/credentials-leaking-with-subdomain-takeover

Сборник ресурсов по проектированию, внедрению и эксплуатации средств обнаружения с целью упреждающего выявления вредоносной или несанкционированной деятельности.

https://github.com/infosecB/awesome-detection-engineering

SSL для локального хоста теперь занимает 5 секунд.

https://dev.to/cheeselemon/ssl-in-localhost-takes-5-seconds-now-460i

Тонкая настройка Semgrep для Ruby Security: Pundit и SQL-инъекция

https://blog.siddarthadukia.com/2024/03/30/securing-rails-pundit.html

Как защитить ваше приложение Django — лучшие практики и примеры кода

В этом руководстве мы обсудим некоторые лучшие меры безопасности для безопасного проекта Django перед следующим развертыванием.

https://www.freecodecamp.org/news/how-to-secure-your-django-app

Слежка через пуш-уведомления на смартфонах

Недавно стало известно о новом виде слежки за пользователями смартфонов: через пуш-уведомления в iOS и Android. Газета Washington Post написала, в частности, что эту тактику начало использовать ФБР (кэш статьи).

Довольно интересно, как работает такой метод выслеживания.

Согласно расследованию, для идентификации пользователей ФБР запрашивает у компаний Apple и Google данные пуш-уведомлений, так называемые «пуш-токены» (push token). Эти данные можно запрашивать без предъявления ордера. С помощью пуш-токенов можно идентифицировать конкретный смартфон, а потом запросить у компании данные о его владельце.

https://habr.com/ru/companies/globalsign/articles/815425/

Критическая ошибка, приводящая к DoS, RCE и утечкам данных на всех основных облачных платформах (3 минуты чтения)
Исследователи обнаружили серьезную уязвимость, связанную с повреждением памяти, получившую название «Linguistic Lumberjack» в Fluent Bit, утилите облачного ведения журналов с открытым исходным кодом, которую скачали более 3 миллиардов раз и широко используют крупные организации и поставщики облачных услуг, такие как AWS, Microsoft и Google Cloud. Эта уязвимость потенциально делает возможным отказ в обслуживании, утечку данных и удаленное выполнение кода в облачных средах.

https://www.darkreading.com/cloud-security/critical-bug-dos-rce-data-leaks-in-all-major-cloud-platforms