Кибер ПТУ | Кибербезопасность

Безопасность API

Как сказал однажды один умный человек, "Надо знать прошлое, чтобы понимать настоящее и предвидеть будущее", так что сегодня делюсь с вами полезными историческими данными по безопасности API от некой Escape Security Research team – ссылка

Там есть информация по инцидентам, векторам атак и уязвимостям API. На настольную книгу не тянет, но разок пробежаться точно будет полезно. Ну и в дополнение ловите модель угроз для всё тех же API (а вот такого я еще не видел) – ссылка

#SecArch #AppSec #Pentest

🧠 Твой Пакет Знаний | Кибербезопасность

Пэйлоад тайм

Что такое payload (в двух словах) можно почитать вот тут – ссылка. Ну а для тех, кто в курсе, ловите аж несколько сборников таких пэйлоадов. Для АппСеков и пентестеров – мастхэв 👇

🔒 Payloads All The Things (фаворит всего списка) – раз и два

🔒 Payload для XSS (Payload Box) – ссылка

🔒 Payload для SQLi (Payload Box) – ссылка

🔒 Payload для XXE (Payload Box) – ссылка

🔒 Payload для LFI | RFI (Payload Box) – ссылка

🔒 Payload для Command Injection (Payload Box) – ссылка

#AppSec #Pentest

Твой Пакет Знаний | Кибербезопасность

Ребята из позитивов тут выдали очередную годноту по AppSec – заопенсорсили свою методологию по построению этой практики и даже шаблон дорожной карты положить не забыли.

Советую глянуть и либо приложить к своему АппСеку, стряхнув с него пыль, либо построить то, чего еще нет.

Взял вот отсюда – ссылка

#AppSec

Твой Пакет Знаний | Кибербезопасность

Полезное и бесплатное

Ловите подборку годного образовательного контента для погружения в мир кибербезопасности – как со стороны атаки, так и защиты 👇

Для синих (защищающих) ребят:
- Введение в информационную безопасность от Selectel
- С нуля до аналитика DevSecOps | Введение в кибербезопасность
- КИБЕРБЕЗОПАСНОСТЬ 2024 | ТЕОРЕТИЧЕСКИЙ КУРС - ИНФОРМАЦИОННАЯ БЕЗОПАСНОСТЬ
- Мастер-классы по кибербезопасности от кафедры №42 "Криптология и кибербезопасность"

Для красных (атакующих) ребят:
- Полный учебный курс по этичному хакингу 2023 от нуля до мастерства
- Взлом Android приложений | Проверка приложений на уязвимость
- Взлом серверов и сетей | Международная сертификация OSCP
- Тестирования сайтов на уязвимость
- Практическое руководство по взлому веб-приложений
- Kali Linux для начинающих: основы, администрирование, взлом

Для всех сразу:
- Хакинг и кибербезопасность. Обучение от Skillbox

#DevSecOps #Pentest #AppSec #BaseSecurity

Твой Пакет Знаний | Кибербезопасность

Вот это я понимаю схема

Ребята из Sonatype тут решили потратить колоссальное количество времени и сил – они умудрились засунуть в одну схему по DevSecOps всё, что только можно – от классов решений и ролей до самих инструментов и их вендоров. А еще всё это обмазано бесконечным количеством стрелочек и связей.

В общем, очень сложное, но полезное и красивое. Забираем – полезно будет практически всем безопасникам.

#DevSecOps #AppSec #BaseSecurity

Твой Пакет Знаний | Кибербезопасность

Очередной полезный сборник годноты по АппСеку и Пентесту. Там и про методологию, и про инструменты, и про автоматизацию, и про уязвимости. В общем, забираем, сохраняем.

Вот оно – ссылка

#AppSec #Pentest

Твой Пакет Знаний | Кибербезопасность

Целая коллекция полезных материалов для всех кибербезопасников, как со стороны защиты, так и нападения – ссылка

#AppSec #Pentest #DevSecOps #BaseSecurity

Твой Пакет Знаний | Кибербезопасность

Так как кибербезопасность была создана для того, что защищать IT от угроз, безопасникам очень важно знать и понимать, как работает само IT. С нуля сейчас уже мало что пишется, почти под любую задачу есть свой инструмент или фреймворк. И есть определенный набор инструментов, знать который хорошо бы всем, в том числе и кибербезопасникам.

Так что, ловите крутую картинку, на которой все (ну или почти все) эти инструменты не только отображены, но еще и сгруппированы по своим функциям. Будет полезно для работы, собесов, и для подготовки к ним. Такое мы сохраняем.

Источник тут – ссылка

#BaseSecurity #SecArch

Твой Пакет Знаний | Кибербезопасность

Наткнулся тут на карту знаний в области кибербезопасности. Выглядит весьма лаконично, хоть и подсвечены тут важные штуки преимущественно для стороны защиты. Лишним точно не будет, так что ловите

Источник тут – ссылка

#BaseSecurity

Твой Пакет Знаний | Кибербезопасность

Ловите небольшую методичку по топ-100 киберугрозам от ребят из Travarsa (насколько помню, они из Индии). Там абсолютно ничего сложного, буквально по одной страничке на одну угрозу с ее описанием и методами возни борьбы.

Такие штуки иногда помогают поднять из глубин сознания памяти то, на что уже не обращаешь внимания. Если вы как-то связаны с моделированием поверхности атаки, то вообще мастхэв.

#BaseSecurity

Твой Пакет Знаний | Кибербезопасность

Один хороший человек (с дипломом по криптоанализу) тут поделился ссылкой на шикарный плейлист для изучения того самого криптоанализа и криптографии.

Область знаний эта конечно максимально душная, но, если разобраться, то очень интересная. Я пробежался по верхам и кажется, что такая подача понятна будет многим, поэтому, если вы давно хотели размять свои мозги и не могли найти, чем это сделать, то вэлкам – ссылка

#BaseSecurity

Твой Пакет Знаний | Кибербезопасность

Тут один хороший человек поделился годным сборником практических материалов на тему кибербеза – ссылка

Там и про базу, и про инструменты, и про уязвимости. Будет полезно разработчикам, блютимовцам, но особенно атакующим ребятам. Сохраняем, пользуемся.

#Pentest #AppSec #BaseSecurity

Твой Пакет Знаний | Кибербезопасность

Как-то раз мы с вами уже обсуждали такого зверя, как Shodan. Погружать в подробности и механики работы этой поисковой системы из мира умных устройств я не буду, но поделюсь с вами одной полезной штуковиной, связанной с Шоданом – майндмапом по нему – ссылка

Нужен он для того, чтобы пользоваться этим специфичным поисковиком более эффективно – правильно конструируя и формулируя свои запросы.

#BaseSecurity

Твой Пакет Знаний | Кибербезопасность

Порой для того, чтобы потренироваться в методах взлома или защиты, нужно иметь под рукой что-то, что точно можно взломать, еще и известными способами.

Так вот, я тут наткнулся на один репозиторий (где-где? ну конечно же на) GitHub, где автор собрал в одном месте именно те самые заведомо уязвимые сервисы – ссылка

Там и WordPress на месте, и приложения под Андроид, и даже облака. Так что сохраняем, рано или поздно должно пригодиться.

#Pentest

Твой Пакет Знаний | Кибербезопасность

Тут на днях вышло обновление DAF (DevSecOps Assessment Framework) – ссылка

Думаю, что не много, кто о нём вообще слышал, поэтому в двух словах о том, что это за зверь такой. DAF – фреймворк, который описывает, что конкретно и в какой последовательности нужно делать, чтобы выстроить процесс безопасной разработки, а также чтобы объективно оценить существующий уровень зрелости безопасной разработки и понять, куда двигаться дальше.

В общем, в руках людей, которые занимаются комплексной безопасностью разработки, это настоящий швейцарский нож и абсолютный мастхэв. Так что сохраняем, форкаем, следим и ставим звёзды.

#DevSecOps

Твой Пакет Знаний | Кибербезопасность

Возможно кому-то пригодится

Нашел у себя в загашнике пару интересных картинок. Первая с перечислением отечественных IT-компаний по разным областям – если не знаете, куда еще пособеситься или кому предложить свои услуги, то будет полезно. Вторая – визуализация всех ребят, кто осознал важность экосистем, и у кого получилось их создать/развить – точно также может повлиять на выбор вашего будущего работодателя, например.

В общем, оно в любом случае красивое, так что сохраняем 👇

Твой Пакет Знаний | Кибербезопасность