Пакет Безопасности

И так, вот и очередное воскресенье. Весна в самом разгаре, а это значит, что настало время очередного дайджеста. На следующей неделе выйдет пара постов про искусственный интеллект (помню, вы просили уделить этому внимание). А а теперь погнали к списку того, что было интересного в канале за эту неделю!

⚡️ Базовое начало в виде очень забавного кибермема – ссылка

⚡️ Свежая реинкарнация старой доброй схемы фишинга с угоном вашего аккаунта на Госуслугах – ссылка

⚡️ Удобная схемка с бесполезными сертификациями из мира кибербезопасности – ссылка

⚡️ Анонс грядущего подкаста про ИБ и не только – ссылка

⚡️ Кибермемов много не бывает, тем более настолько ироничных и жизненных – ссылка

⚡️ Ученье - свет – ссылка

Твой Пакет Безопасности

Итак, продолжаем рубрику полезных репостов ☝

В этот раз у нас бесплатное (а такое мы любим) обучение для тех, кто хочет понимать, что происходит в этих ваших Линуксах, и как это всё сделать безопасным. Штука базовая (понятная многим), формат удобный.

И да, к сожалению, или счастью, в крупных компаниях бОльшая часть инфраструктуры построена на линуксах, так что лишними такие знания точно не будут 👍

На второй неделе курса "Linux для новичков" мы изучили основные команды для работы с файлами и директориями, команды поиска файлов и содержимого, научились управлять правами доступа, процессами и автоматизированым выполнением задач с помощью cron.

Если вы что-то пропустили и желаете прочитать, то вот список материалов второй недели:

Неделя 2: Работа с файлами и директориями
• Основные команды для работы с файлами и директориями: cp, mv, rm и др.
• Работа с архивами в Linux: создание, разархивирование, просмотр.
• Поиск файлов и содержимого в Linux: команды find и grep.
• Управление правами доступа к файлам и директориям в Linux: chmod и chown.
• Символьные и жесткие ссылки: создание и использование.
• Управление процессами и задачами в Linux: команды ps, top, kill и др.
• Автоматическое выполнение задач с помощью cron.

Не забывайте следить и делиться нашим бесплатным курсом "Linux для новичков"!

Первая серия материалов.

Следующую неделю мы посвятим теме «Управление пользователями и группами».

LH | Новости | Курсы | Мемы

Да, но...

#КиберМем

Твой Пакет Безопасности

Мы тут с крутыми ребятами из Awillix (а в частности, с @szybnev и @popsa_lizaa) записали для вас что-то очень интересное.

Поэтому очень скоро всё это добро домонтируется, и я обязательно поделюсь с вами ссылочкой. Ну а пока ловите фотку с бэкстейджа 🥸

Твой Пакет Безопасности

Время сертификаций

Я уже не раз делился с вами ссылками и описанием бесплатных и полезных обучений и сертификаций из мира кибербезопасности (например, тут или здесь).

Я всё еще считаю, что зачастую сертификации – это какая-то оторванная от реальности сущность, которая и не особо нужна работодателям, и не приносит кому-то ощутимой пользы Она скорее заставляет именно вас изучить что-то новое (главное, чтобы там было что-то новое и полезное).

Так вот, я тут наткнулся на схемку, где расписано большинство сертификаций и их принадлежность к конкретным доменам в ИБ и IT. Всё, по классике, начинается в CompTIA Security+ и далее уже разрастается в ту степь, которая вам наиболее интересна. Да, тут есть не всё, но зато разложено по полочкам, а такое мы любим.

#Полезное

Твой Пакет Безопасности

Не забываем про фишинг

Что-то в последнее время креативный ум злоумышленников немного приутих, поэтому в канале давно не было разборов фишинговых схем. Поэтому, чтобы вы не забывали о том, что опасности поджидают нас на каждом углу, давайте разберем одну из схем, которая, по какой-то странной причине, затронула уж очень большое количество граждан.

И речь пойдет о том самом взломе наших Госуслуг через push-уведомления и продление работы мобильного номера телефона. Всё начинается с безобидного уведомления о том, что вам необходимо подтвердить свои данные (телефон, ФИО, дата рождения) на сайте (фишинговом) одного из сотовых операторов. Затем, там будет галочка с согласием на проверку данных через Госуслуги. И да, всё верно, дальше вы попадаете на сайт Госуслуг (тоже фишинговый), где вводите свои данные (логин и пароль).

Что же происходит дальше? Нет, ваш номер телефона не продлевается, но, зато вы лишаетесь доступа к своему аккаунту на Госуслугах. Раньше эта же схема начиналась со звонков или СМС от псевдооператоров связи, но, судя по всему, это уже не так эффективно.

Так что напоминаю всем про то, что нужно настроить двухфактораную аутентификацию во всех важных сервисах, сайтах и мобильных приложениях. Ну и не вестись на подобные схемы тоже, само собой.

И да, не забывайте еще и о том, что у морально павших людей нет никаких рамок или ограничений перед тем, чтобы воспользоваться какими-то трагическими событиями по типу терактов, чтобы обмануть своих потенциальных жертв. Всем мир.

#Кибергигиена

Твой Пакет Безопасности

Ну а мы продолжаем рубрику изучения английского вместе с кибермемами

#КиберМем

Твой Пакет Безопасности

Вот и воскресенье

Думаю, что дайджест делать мы сегодня не будем, но сразу скажу, что думскроллинг до добра еще никогда не доводил, поэтому посты на следующей неделе выходить точно будут. Да, может быть там будет не столько юмора (но не без мемов) и легкости, но без контента в такие времена точно нельзя, ведь надо отвлекаться от негативных мыслей и инфоповодов.

Берегите себя и близких. Всем мир 💪

​Завариваем попкорн

Наткнулся тут на пару забавных статей от ребят из Start X (не реклама) на тему кибербеза, так что делюсь с вами.

Первая посвящена разбору громких взломов, о которых наверняка слышали многие из вас – там и про того самого Дзюбу с его iCloud, и про Ким Кардашьян с Дженнифер Лоуренс. Ну а под конец всё приправлено чеклистом с советами по тому, как не наступить на все вышеописанные грабли. Почитать можно вот тут – ссылка

Вторая статья из этой подборки посвящена тому, как различается кибербез в кинематографе и в реальной жизни. Да, в реальности всё не так романтично, просто и красиво выглядит, когда кто-то пытается взломать Пентагон. Почитать можно вот тут – ссылка

Обе статьи написаны на достаточно человечесском языке, так что не бойтесь чего-то не понять. Вторая чуть посложнее, но многое из нее легко гуглится. Всем приятного прочтения 😌

#КиберГигиена

Твой Пакет Безопасности

​Сразу скажу, будет душно

Так так так, NIST тут опубликовал обновленную версию своего Cybersecurity Framework (v.2), появление которого когда-то инициировал один темнокожий американский президент.

Эта штука помогает унифицировать подходы по безопасности в компаниях, на предприятиях и вообще везде, где вы захотите построить полноценный кибербез. Этот фреймворк учитывает и смежные безопасные стандарты и практики, такие как ISO 27001/02, COBIT и прочие.

Нововведений достаточно, о них можно почитать вот тут, и сразу пробовать оценить по новому материалу уровень ИБ в своём колхозе. Там и про те самые цепочки поставок написано, и про политики, и про то, как правильно внедрять безопасные рекомендации.

Ну всё, выдыхаем.

#Полезное

Твой Пакет Безопасности

​Режим инкогнито активирован

Каждый из вас, наверняка хоть раз в жизни, да пользовался тем самым анонимным режимом в своём браузере (не важно для каких целей). Но знаете ли вы, как он работает на самом деле? Если нет, то погнали разбираться.

Из того, что можно понять сразу, при переключении в этот режим – там не сохраняется и не подтягивается история ваших поисковых запросов, а также посещаемые вами страницы, в этом режиме у браузера нет доступа к cookie (из-за чего вы не будете авторизованы в ваших аккаунтах в соц. сетях, почтовых сервисах и на прочих сайтах), в этом режиме не будут подтягиваться ваши пароли при попытке входа в ваши аккаунты.

Но так ли анонимен этот режим? На самом деле, не очень. Я бы даже сказал, что анонимен он только для вас и других пользователей того же устройства. Режим инкогнито не сделает вас невидимым в сети, он не скроет ваш IP-адрес, вашу геолокацию или пресловутый цифровой след, который мы уже не раз обсуждали в этом канале. Все ваши действия будут видны, как минимум, вашему интернет-провайдеру, который предоставляет вам доступ в сеть. А как только что-то становится известно хоть одному участнику сети, оно может стать известным для всех.

Если же вы используете данный режим с корпоративного ноутбука, то тут вы будете вообще как на ладони у вашего работодателя. Более того, многие политики безопасности будут "возбуждаться" при переключении в этот режим и еще пристальнее следить за вашими действиями.

От вредоносного воздействия из сети вы также не будете никак защищены – вас всё также могут заразить, считать нажатия вашей клавиатуры и так далее по списку.

Еще раз повторюсь, режим инкогнито создаёт видимую анонимность только для вас и других пользователей того же устройства. А для того, чтобы скрывать свой цифровой след и информацию о своих действиях в сети, существуют сервисы другого класса (о которых мы уже говорили и еще не раз поговорим).

Зачем тогда этот режим вообще нужен? Хороший вопрос, и ответ на него был дан в самом начале поста, когда мы разбирались, как он работает. Если вы хотите авторизоваться разом сразу в нескольких аккаунтах одного интернет-сервиса (почта, соцсеть, онлайн-банкинг), если вы хотите скрыть от кого-то из друзей или родных информацию о своих действиях в сети.

А также, это послужит вам хорошим инструментом тогда, когда вам придётся зайти в свой аккаунт с чужого устройства. Этот режим позволит вам сделать всё быстро и чисто, без оставления следов после себя (ну или почти).

#КиберГигиена

Твой Пакет Безопасности

​А тем временем, подарок с того самого розыгрыша (на этот раз реального) приза доехал до своего нового владельца. Что хочу сказать – разыгрывать реальные призы и более осознанным образом, чем рандом – намного приятнее и интереснее. Думаю, что не только мне, но и всем участникам тоже.

Следующий приз будет чуть более специфичным, но не менее технологичным, чем смартфон – это Flipper Zero. Это шикарный и очень полезный инструмент в руках умелых людей. Чего им только уже не взламывали. Очень надеюсь, что не попадет в руки чёрных шляп (верю, что у нас тут таких нет).

И да, условия по самому розыгрышу я пока не придумал (можете накидывать свои варианты в комментариях), но я точно уже знаю отсечку, с которой начнется розыгрыш – 11 500 подписчиков (умоляю, только не наливайте мне ботов, это не то, чего я хочу).

Так что всё в наших с вами руках, поэтому погнали рекомендовать канал друзьям, которым это может быть интересно 🤓

Твой Пакет Безопасности

А вы уже излечили своих детей?

#КиберМем

Твой Пакет Безопасности

Так так так, что это тут у нас? Всё верно, воскресный дайджест! Ну а пока вы снова забыли о том, что нужно ставить реакции под постами (огорчение), я, без лишней лирики перехожу сразу к списку всего интересного за неделю. Погнали.

⚡️ Традиционное начало недели с кибермема с попугаем – ссылка

⚡️ Чеклист полезностей для тех, кто хочет вкатиться в ДевСекОпс – ссылка

⚡️ Опасности мира нейросетей и искусственных интеллектов – ссылка

⚡️ Годный отчет про уже поднадоевшие цепочки поставок – ссылка

⚡️ Анонс грядущего митапа по кибербезопасности, на который идём всем каналом – ссылка

Твой Пакет Безопасности

​Всем привет!

От вас, дорогие подписчики и читатели, был запрос на освещение грядущих мероприятий в мире кибербезопасности. Так вот, настало время анонса одного из таких – Avito Security meetup #2.

В этот раз меня в роли спикера там не будет, но я точно буду там в роли гостя. Так что, вэлкам на послушать крутые доклады от ребят из индустрии и пообщаться со мной, например 🥸

Зарегистрироваться можно вот тут – ссылка (и нет, это не реклама)

#Полезное

Твой Пакет Безопасности

Красивые презентации любите?

Да, я тоже. Тут ребята из Sonatype сверстали красивый (и огромный) отчет о том, как в 2023 году чувствовал себя класс угроз Supply Chain, а они в этом знают толк.

Казалось бы, цепочка поставок настолько избитая тема, что пора уже всем научиться с ней жить и бороться со злом, но нет. Чем больше будет развиваться софт, разработка, как такова, тем больше будет угроз в этой сфере.

Но, лично я верю в то, что мы когда-нибудь перейдем на использование ПО, поставляемое через открытые смарт-контракты, но это уже совсем другая web3 история.

К слову, отчет правда годный. Всем тем, кто работает в IT и кибербезе, будет очень полезно узнать о том, насколько это большая проблема и источник угроз.

#Полезное

Твой Пакет Безопасности

​Обнимающее лицо?

Если вы всё еще подписаны на различные каналы, посвященные нейросетям, ИИ-сервисам и прочим родственникам ChatGPT, то наверняка замечали, что каждая третья ссылка под описанием нового нейродетища ведёт на сайт Hugging Face.

Это некий аналог ГитХаба, где лежат все исходные файлы бесплатных ИИшек. Там есть и удобная сортировка, и навигация по типам нейросетей и моделей – text-to-image, summarization, image-to-video и прочие. По сути, чтобы воспользоваться той или иной нейросетью, вам нужно зайти на этот сайт и скачать её оттуда.

Так вот, новость не совсем о том, какой этот сервис крутой. А о том, что недавно был подтвержден факт того, что это место уже сильно заселено вредоносным ПО, которое люди распространяют и скачивают под видом ИИ-сервисов.

Удивительно ли это? Абсолютно нет, я бы даже сказал, что это логично и закономерно. Как только где-то появляется какая-то площадка, где любой желающий может разместить своё ПО или исходники, в гости сразу же заходят злоумышленники и пытаются воспользоваться ситуацией.

Как от этого защищаться? Очень просто (сарказм) – проверять все файлы, скачивая их сначала в песочнику, и только потом , после сканирования этого добра антивирусом, перекидывать на свое основное устройство. И то, это не гарантирует 100%-ой безопасности, так как это ПО может потом скачивать из интернетов всё, что угодно.

Обычно у каждого разработчика нейросервисов есть свой собственный сайт, откуда я и рекомендую скачивать всё, что вам нужно. Ну а Hugging Face можете использовать просто как каталог. Всем добра.

#НовостьДня

Твой Пакет Безопасности

🎁 Dev(Sec)Ops RoadMap как найти работу
#карьера #devsecops

В чате канала вчера спрашивали про roadmap для DevSecOps. Что нужно учить?

Пункт 1. Я считаю правильным ответом на данный вопрос всегда являлся и будет являться ответ: зайди на сайт с вакансиями, найди выбранную должность и прочитай 20-30 вакансий, выпиши повторяющиеся термины и изучи что это. Это применимо к любой стране и к любой должности, если вы конечно не выбираете учить то, чего ещё нет на рынке. В таком случае откуда вы об этом узнали, оттуда начинайте поиск информации о необходимых навыках.

Но мы же люди ленивые? Лично я, да. Все всегда хочется искать что-то самостоятельно, а найти готовый roadmap или mindmap, где за вас умные люди составили график, что вам нужно учить. В таком случае нашёл для Вас несколько интересных материалов:

А Вы точно уверены, что перед тем как стать DevSecOps, вы изучили инструменты DevOps и научились применять эти практики?

▶️ Если нет, то возвращаемся к пункту 1, за красной таблеткой. Если же вы выбурили синюю таблетку, то вот мой ответ на вопрос: "Что нужно знать DevOps инженеру?"
Управления версиями: Gitlab
Инструменты CI/CD: Jenkins, Gitlab, (набирает популярность Agro CD)
Оркестрация контейнеров: kubernetes, docker-compose (более редко необходим Docker Swarm, OpenShift)
Автоматизация развертывания: Ansible, Terraform
Языки программирования: Python, Bash, Go
Хранение секретов: Vault
Мониторинг: Prometheus, Grafana [ Zabbix много где используется, но с контейнеризацией работает хуже, чем его аналоги, поэтому некоторые компании полностью или частично переезжают с него ]
Логгирование: ELK

Если слова выше для вас не показались чем-то незнакомым или как говорит мой друг, "на эльфийском языке", то поздравляю, Вы DevOps инженер :)

▶️ Возвращаясь к теме поста, что нужно учить DevSecOps? Всё то, что знает DevOps и:
Поиск секретов: GitGuardian, Gitleaks, truffleHog, DeepSecrets (последнее от моего знакомого Николай из Yandex, у его инструмента не стандартный подход к поиску секретов)
SCA: Snyk, Syft, Cdxgen, Trivy, Dependency Track
SAST: Semgrep (много фолзит, использовать только вкупе с чем-то), Bearer, CodeQL, Spotbug, Terrascan
DAST: OWASP ZAP, nuclei, Dastardly
Container Security: Grype, Open Policy Agent, kube-hunter (активно не поддерживается), kube-bench , Falco, Tracee, Anchore (активно не поддерживается), Clair

⭐️ Как-то так. На самом деле список тулз у DevSecOps постоянно пополняются. И тем более приходится писать что-то под свои задачи. Надеюсь было полезно. Но DevSecOps

Также отдельное спасибо @belka_e

Отмечу, что сейчас сам занимаюсь разработкой и по сути у меня нет коммерческого опыта ни в разработке, ни в DevSecOps. Так что узнаю всё по ходу выкладывания постов. Но большое спасибо коллегам, кто готов помогать мне!

Выводы:
1. У нас очень мало DAST'ов опенсоурсных, да и коммерческих качественных рабочих решений тоже мало.
2. Простор для разработки коммерческих решений огромен, как и потенциал этой области.
3. DevOps не очень сложно обучиться, а вот DevSecOps уже даёт прикурить знатно, проверено на себе.
4. Методологии и инструменты DevSecOps мало где применяются, так что рынок ждёт новых решений и подходов.
5. Когда я слышал про заоблачные ЗП devsecops инженеров, думал что ситуация как с MLщиками и Data Science в своё время, но нет. Тут реально огромный пул знаний, который включает в себя ещё по меньшей мере appsec и даже пентест.

❤️ @poxek

☝️ Очень крутой пост от одного джентельмена про то, во что надо уметь, чтобы с ноги войти в DevSecOps. Лучше роадмапа, состоящего всего из одного пункта, я еще не видел 👍

Пару инструментов даже забрал к себе в гайдбук для учеников.