🔵 عنوان مقاله
Blind Enumeration of gRPC Services (3 minute read)
🟢 خلاصه مقاله:
gRPC در نبود مستندات و با غیرفعال بودن reflection، کشف سرویس‌ها را دشوار می‌کند. Adversis برای حل این مشکل ابزار grpc-scan را معرفی کرده که با اتکا به تفاوت کدهای خطای gRPC (مثل UNIMPLEMENTED در برابر NOT_FOUND) می‌تواند تشخیص دهد یک نام سرویس وجود دارد یا خیر—even وقتی روش درخواست‌شده نامعتبر است. این ابزار با تولید سیستماتیک نام‌های سرویس/متد بر اساس الگوهای رایج و ارسال همزمان درخواست‌ها از طریق HTTP/2 multiplexing، هزاران ترکیب را سریع آزمایش کرده و از الگوی پاسخ‌ها، سرویس‌های محتمل را استخراج می‌کند. خروجی، نقشه‌ای عملی از سطح حمله gRPC در شرایط محدود است: برای تیم‌های قرمز، کشف سرویس‌های مستندنشده و پیکربندی‌های نادرست؛ و برای تیم‌های آبی، سنجش میزان افشا و کفایت لاگ‌برداری. اقدامات دفاعی شامل یکنواخت‌سازی پاسخ خطا برای سرویس/متد نامعتبر، اعمال احراز هویت و مجوزدهی قوی در Gateway/Service Mesh، محدودسازی reflection به محیط توسعه، و رصد الگوهای اسکن است. استفاده از grpc-scan باید اخلاقی و با مجوز باشد.
#gRPC #Security #ServiceDiscovery #Pentesting #HTTP2 #AppSec #RedTeam #APIEnumeration
🟣لینک مقاله:
https://www.adversis.io/blogs/blind-enumeration-of-grpc-services?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Blind Enumeration of gRPC Services (3 minute read)
🟢 خلاصه مقاله:
gRPC در نبود مستندات و با غیرفعال بودن reflection، کشف سرویس‌ها را دشوار می‌کند. Adversis برای حل این مشکل ابزار grpc-scan را معرفی کرده که با اتکا به تفاوت کدهای خطای gRPC (مثل UNIMPLEMENTED در برابر NOT_FOUND) می‌تواند تشخیص دهد یک نام سرویس وجود دارد یا خیر—even وقتی روش درخواست‌شده نامعتبر است. این ابزار با تولید سیستماتیک نام‌های سرویس/متد بر اساس الگوهای رایج و ارسال همزمان درخواست‌ها از طریق HTTP/2 multiplexing، هزاران ترکیب را سریع آزمایش کرده و از الگوی پاسخ‌ها، سرویس‌های محتمل را استخراج می‌کند. خروجی، نقشه‌ای عملی از سطح حمله gRPC در شرایط محدود است: برای تیم‌های قرمز، کشف سرویس‌های مستندنشده و پیکربندی‌های نادرست؛ و برای تیم‌های آبی، سنجش میزان افشا و کفایت لاگ‌برداری. اقدامات دفاعی شامل یکنواخت‌سازی پاسخ خطا برای سرویس/متد نامعتبر، اعمال احراز هویت و مجوزدهی قوی در Gateway/Service Mesh، محدودسازی reflection به محیط توسعه، و رصد الگوهای اسکن است. استفاده از grpc-scan باید اخلاقی و با مجوز باشد.
#gRPC #Security #ServiceDiscovery #Pentesting #HTTP2 #AppSec #RedTeam #APIEnumeration
🟣لینک مقاله:
https://www.adversis.io/blogs/blind-enumeration-of-grpc-services?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
www.adversis.io
Blind Enumeration of gRPC Services
When you're handed an SDK with no documentation and told "the backend is secure because it's proprietary," grpc-scan helps prove otherwise
🔵 عنوان مقاله
Terra Security (Product Launch)
🟢 خلاصه مقاله:
Terra Security یک پلتفرم continuous penetration testing مبتنی بر agentic-AI عرضه کرده که با به‌کارگیری swarm از AI agents، تاکتیک‌های واقعی مهاجمان را شبیه‌سازی می‌کند تا قبل از سوءاستفاده، آسیب‌پذیری‌ها شناسایی شوند. این سامانه ارزیابی‌ها را متناسب با فناوری و ریسک هر سازمان و در مقیاس گسترده انجام می‌دهد و سطح‌های مختلف مانند وب‌اپلیکیشن‌ها، APIها، سرویس‌های ابری، پیکربندی هویت و شبکه را به‌صورت پیوسته پوشش می‌دهد. خروجی شامل اولویت‌بندی ریسک با شواهد اثر و راهنمای رفع است و بعد از اصلاح، به‌صورت خودکار دوباره تست می‌کند. این راهکار ضمن تکمیل تست‌های دستی سنتی، سرعت کشف و رفع را افزایش می‌دهد و با هزینه و زمان کمتر، وضعیت امنیتی سازمان را به‌طور مداوم بهبود می‌بخشد.
#Cybersecurity #PenTesting #AI #AgenticAI #ContinuousSecurity #DevSecOps #VulnerabilityManagement #ProductLaunch
🟣لینک مقاله:
https://www.terra.security/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
Terra Security (Product Launch)
🟢 خلاصه مقاله:
Terra Security یک پلتفرم continuous penetration testing مبتنی بر agentic-AI عرضه کرده که با به‌کارگیری swarm از AI agents، تاکتیک‌های واقعی مهاجمان را شبیه‌سازی می‌کند تا قبل از سوءاستفاده، آسیب‌پذیری‌ها شناسایی شوند. این سامانه ارزیابی‌ها را متناسب با فناوری و ریسک هر سازمان و در مقیاس گسترده انجام می‌دهد و سطح‌های مختلف مانند وب‌اپلیکیشن‌ها، APIها، سرویس‌های ابری، پیکربندی هویت و شبکه را به‌صورت پیوسته پوشش می‌دهد. خروجی شامل اولویت‌بندی ریسک با شواهد اثر و راهنمای رفع است و بعد از اصلاح، به‌صورت خودکار دوباره تست می‌کند. این راهکار ضمن تکمیل تست‌های دستی سنتی، سرعت کشف و رفع را افزایش می‌دهد و با هزینه و زمان کمتر، وضعیت امنیتی سازمان را به‌طور مداوم بهبود می‌بخشد.
#Cybersecurity #PenTesting #AI #AgenticAI #ContinuousSecurity #DevSecOps #VulnerabilityManagement #ProductLaunch
🟣لینک مقاله:
https://www.terra.security/?utm_source=tldrinfosec
➖➖➖➖➖➖➖➖
👑 @software_Labdon
www.terra.security
Terra Security | Agentic AI Continuous PTaaS (Penetration Testing as a Service)
Don't lose sleep over pen testing; our expert testers will ensure your systems are secure during the test while focusing their time on the most important assets.