#FYI
Сколько зарабатывают безопасники? Немного аналитики от Андрея Прозорова.
Спойлеры:
- В открытом доступе публикуется лишь часть всех вакансий
- Уровень ЗП растет медленно
- В Москве и Санкт-Петербурге платят больше, увы и ах
- Неожиданно следующий по востребованности город - Сургут
- Сертификаты помогают зарабатывать больше
Сколько зарабатывают безопасники? Немного аналитики от Андрея Прозорова.
Спойлеры:
- В открытом доступе публикуется лишь часть всех вакансий
- Уровень ЗП растет медленно
- В Москве и Санкт-Петербурге платят больше, увы и ах
- Неожиданно следующий по востребованности город - Сургут
- Сертификаты помогают зарабатывать больше
October 16, 2017
October 16, 2017
#Полезное #Ликбез
В блоге Digital Security на Хабре появилась интересная и актуальная статья про принцип работы и современные техники обхода WAF.
Главное помните о том, что WAF - не панацея, но отличное средство профилактики!
https://habrahabr.ru/company/dsec/blog/340144/
В блоге Digital Security на Хабре появилась интересная и актуальная статья про принцип работы и современные техники обхода WAF.
Главное помните о том, что WAF - не панацея, но отличное средство профилактики!
https://habrahabr.ru/company/dsec/blog/340144/
Хабр
WAF глазами хакеров
Привет, Хабр! Сегодня мы поговорим об одном из современных механизмов защиты веб-приложений, а именно о WAF, Web Application Firewall. Мы расскажем, на чем осно...
October 18, 2017
Кстати о веб-безопасности. Есть канал "Кавычка" (@webpwn), который ведет один из наших подписчиков, а по совместительству известный в кругах веб-безопасников @i_bo0om. Даже ребята из DiSec использовали его наработки для написания своего материала.
Всех любителей экранировать символы и анализировать ответы веб-серверов милости просим к Антону на канал.
Всех любителей экранировать символы и анализировать ответы веб-серверов милости просим к Антону на канал.
October 18, 2017
#Событие
Google анонсировала новую опцию защиты для Gmail акаунтов под названием Advanced Protection. Опция призвана решить проблему безопасности и прикрыть жопы тех, кому это действительно нужно, вроде политиков, журналистов, активистов и пр. публичных личностей.
Для активации опции необходимо приобрести 2 токена - bluetooth (для смартфона) и usb (для пк) и включить расширенную защиту в своем профиле.
Токены производства Feitian (Bluetooth) и Yubico (USB) по $17,99 и $24,99 за каждый.
В качестве бонуса, опция блокирует доступ non-Google приложениям и усложняет процедуру сброса пароля.
https://landing.google.com/advancedprotection/
Google анонсировала новую опцию защиты для Gmail акаунтов под названием Advanced Protection. Опция призвана решить проблему безопасности и прикрыть жопы тех, кому это действительно нужно, вроде политиков, журналистов, активистов и пр. публичных личностей.
Для активации опции необходимо приобрести 2 токена - bluetooth (для смартфона) и usb (для пк) и включить расширенную защиту в своем профиле.
Токены производства Feitian (Bluetooth) и Yubico (USB) по $17,99 и $24,99 за каждый.
В качестве бонуса, опция блокирует доступ non-Google приложениям и усложняет процедуру сброса пароля.
https://landing.google.com/advancedprotection/
Google Advanced Protection Program
The strongest account security made to protect the personal data and information of people most at risk of phishing, hacking and targeted digital attacks.
October 18, 2017
October 18, 2017
#Полезное
Годная подборка материалов по реверсингу софта и всякой малвари сегодня появилась на Хакере. Чуваки собрали материалы за последние 3 года и аккуратно упаковали все по pdf'кам.
https://xakep.ru/2017/10/18/reverse-malware-must-read/
Годная подборка материалов по реверсингу софта и всякой малвари сегодня появилась на Хакере. Чуваки собрали материалы за последние 3 года и аккуратно упаковали все по pdf'кам.
https://xakep.ru/2017/10/18/reverse-malware-must-read/
XAKEP
Алмазный фонд «Хакера». Самые крутые материалы по реверсингу и malware за три года
Иногда мы, редакторы и авторы «Хакера», сами читаем «Хакер». Нет, ну то есть мы постоянно его читаем :), но иногда получается так, что, разрабатывая новые темы, гуглим что-нибудь интересненькое, натыкаемся на крутую статью, читаем ее с огромным удовольствием…
October 18, 2017
#крикдуши
Чуваки с securitylab.ru, вы рассказываете об информационной безопасности, но до сих пор сидите без HTTPS. Вы там живы вообще? 2к17 на дворе. Как-то не позитивненько.
Чуваки с securitylab.ru, вы рассказываете об информационной безопасности, но до сих пор сидите без HTTPS. Вы там живы вообще? 2к17 на дворе. Как-то не позитивненько.
October 19, 2017
Нас тут читатели поправляют, что HTTPS у ребят все таки есть, но вот принудительной переадресации (HSTS) нет. Косяк. Пора забыть о HTTP раз и навсегда.
October 19, 2017
#Событие
Google, например, запустила на Hackerone программу bug bounty для Google Play.
Сейчас можно получить вознаграждение за уязвимости, найденные в приложениях Google, а также в ряде других приложений, вроде Tinder, DropBox, Мейл.ру и пр. (Полный список на Hackerone)
Надеемся, что в будущем этот список будет увеличен.
Источник: https://hackerone.com/googleplay
Google, например, запустила на Hackerone программу bug bounty для Google Play.
Сейчас можно получить вознаграждение за уязвимости, найденные в приложениях Google, а также в ряде других приложений, вроде Tinder, DropBox, Мейл.ру и пр. (Полный список на Hackerone)
Надеемся, что в будущем этот список будет увеличен.
Источник: https://hackerone.com/googleplay
HackerOne
This security page documents any known process for reporting a security vulnerability to Google Play Security Reward Program, often referred to as vulnerability disclosure (ISO 29147), a responsible disclosure policy, or bug bounty program.
October 20, 2017
#Событие #Полезное
А вот это интересно!
Канадская служба разведки и безопасности (CSE) выложила в открытый доступ свою платформу для анализа вредоносов. Говорят, очень пригодится ресечерам и аналитикам, а также малому и среднему бизнесу.
Система с открытым кодом и уже доступна для скачивания на BitBucket. Из коробки предустановлено mcafee, fsecure, касперский и другое антивирусное ПО.
Если кто из подписчиков уже успел протестировать - делитесь впечатлениями!
Источники: CSE, BitBucket
А вот это интересно!
Канадская служба разведки и безопасности (CSE) выложила в открытый доступ свою платформу для анализа вредоносов. Говорят, очень пригодится ресечерам и аналитикам, а также малому и среднему бизнесу.
Система с открытым кодом и уже доступна для скачивания на BitBucket. Из коробки предустановлено mcafee, fsecure, касперский и другое антивирусное ПО.
Если кто из подписчиков уже успел протестировать - делитесь впечатлениями!
Источники: CSE, BitBucket
www.cse-cst.gc.ca
Assemblyline | Communications Security Establishment
*/ Assemblyline is a malware detection and analysis tool developed by the CSE and released to the cybersecurity community in October 2017.
October 20, 2017
#Событие
Вы пришли в себя после начала трудовой недели? За бортом середина осени. Время активизации маньяков, шизофренников и безопасников. Журнал "Хакер" анонсировал новый квест на предстоящем 16-17 ноября Zero Nights. Медленно, но верно популяризация инфобеза, неограниченный доступ в интернет и таки развивающийся, пусть и не так хорошо, как это могло быть в наших ванильных мечтах, рынок делают свое дело. И хотя среди нас не мало людей с пробелами образования, процент "шаристых" специалистов продолжает расти. Такая ситуация не может не радовать. Поэтому, если вы молоды, амбициозны и/или у вас есть свободное время, задумайтесь об участии в подобных непотребствах: это отличная возможность прокачать скиллы и обзавестись полезными знакомствами (а если повезет, то и найти хорошую работу). Подробности по ссылке: https://xakep.ru/2017/10/20/zeronights-hack-and-go/ Оставайтесь в безопасности, друзья!
Вы пришли в себя после начала трудовой недели? За бортом середина осени. Время активизации маньяков, шизофренников и безопасников. Журнал "Хакер" анонсировал новый квест на предстоящем 16-17 ноября Zero Nights. Медленно, но верно популяризация инфобеза, неограниченный доступ в интернет и таки развивающийся, пусть и не так хорошо, как это могло быть в наших ванильных мечтах, рынок делают свое дело. И хотя среди нас не мало людей с пробелами образования, процент "шаристых" специалистов продолжает расти. Такая ситуация не может не радовать. Поэтому, если вы молоды, амбициозны и/или у вас есть свободное время, задумайтесь об участии в подобных непотребствах: это отличная возможность прокачать скиллы и обзавестись полезными знакомствами (а если повезет, то и найти хорошую работу). Подробности по ссылке: https://xakep.ru/2017/10/20/zeronights-hack-and-go/ Оставайтесь в безопасности, друзья!
XAKEP
В рамках ZeroNights пройдет хакерский квест Hack & Go с острым сюжетом от экипажа CarPwn
Совсем скоро, в рамках конференции ZeroNights, впервые проведен хакерский квест Hack & Go с острым сюжетом от экипажа CarPwn.
October 23, 2017
#Событие #CTF
А для тех, у кого шило в заднице и ждать основную часть мероприятия невтерпеж, можете смело приступать к HackQuest - ежегодному CTFчику от Zero Night, первая секция которого уже началась - https://hackquest.zeronights.org/
А для тех, у кого шило в заднице и ждать основную часть мероприятия невтерпеж, можете смело приступать к HackQuest - ежегодному CTFчику от Zero Night, первая секция которого уже началась - https://hackquest.zeronights.org/
October 23, 2017
#Полезное
Вышел обновленый релиз Топ-10 уявзимостей веб-приложений OWASP 2017 RC2 Final
https://github.com/OWASP/Top10/blob/master/2017/OWASP%20Top%2010%202017%20RC2%20Final.pdf
Вышел обновленый релиз Топ-10 уявзимостей веб-приложений OWASP 2017 RC2 Final
https://github.com/OWASP/Top10/blob/master/2017/OWASP%20Top%2010%202017%20RC2%20Final.pdf
October 24, 2017
#Событие
Group-IB хайпанули на новом шифровальщике BadRabbit. Под прицелом Россия и Украина, но все не так страшно, как вы могли подумать. И тем не менее...
https://telegra.ph/BadRabbit-prygnul-10-24
Group-IB хайпанули на новом шифровальщике BadRabbit. Под прицелом Россия и Украина, но все не так страшно, как вы могли подумать. И тем не менее...
https://telegra.ph/BadRabbit-prygnul-10-24
Telegraph
BadRabbit прыгнул
24 октября началась новая масштабная кибератака с использованием вируса-шифровальщика BadRabbit. Локер поразил компьютерные сети Киевского метрополитена, Министерства инфраструктуры, Международного аэропорта “Одесса”. Несколько жертв оказались и в России…
October 24, 2017
#Событие - Огонек!
Помните историю с антивирусом Касперского и файлами АНБ? Мы еще писали, что Касперский запустил внутреннюю проверку по этому поводу.
Компания подняла архивы за 2014 и 2015 годы и отчиталась в своем блоге.
Пишут, что файлы Equation Group (та самая группа хакеров, работающая на АНБ) действительно были обнаружены и направлены в лабораторию Касперского на анализ, где и были обработаны одним из аналитиков компании. После чего об инциденте было доложено руководству и судя по тому, что дело попахивало пиздецом, Евгений лично поручил немедленно удалить файлы.
Associated Press сообщает, что в понедельник утром Евгений подтвердил информацию в телефонном разговоре с журналистом.
Такие дела.
Иточники: Kaspersky Blog, Associated Press
Помните историю с антивирусом Касперского и файлами АНБ? Мы еще писали, что Касперский запустил внутреннюю проверку по этому поводу.
Компания подняла архивы за 2014 и 2015 годы и отчиталась в своем блоге.
Пишут, что файлы Equation Group (та самая группа хакеров, работающая на АНБ) действительно были обнаружены и направлены в лабораторию Касперского на анализ, где и были обработаны одним из аналитиков компании. После чего об инциденте было доложено руководству и судя по тому, что дело попахивало пиздецом, Евгений лично поручил немедленно удалить файлы.
Associated Press сообщает, что в понедельник утром Евгений подтвердил информацию в телефонном разговоре с журналистом.
Такие дела.
Иточники: Kaspersky Blog, Associated Press
October 25, 2017
October 25, 2017
#Ликбез #Оффтопик
Любопытным нам показалось поведение команды Group-IB за последние несколько недель. Видели, что они вытворили запоследнии дни?! СММ и маркетинг отработали на 5 баллов - сотни публикаций, тысячи подписчиков, сотни тысяч всяких репостов. Название компании мелькает по всему миру. Аналитики в поте лица подгоняли новые актуальные данные, мгновенно появлялись публикации и интервью. Как будто ребята готовились и знали о чем-то заранее...
Но давайте на секундочку отойдем от балабольства и просто разложим все в хронологическом порядке.
10 октября - стартует конференция CyberCrimeCon (оргиназитор - Group-IB).
13 октября - появляется твит, где Илья Сачков (основатель и владелец компании) участвует в проекте ЛидерыРоссии, победители которого смогут войти в кадровый резерв президента.
16 октября - материал на НТВ "Илья Сачков готов возглавить Министерство кибербезопасности".
23 октября - в интервью Известиям, Илья топит за создание Национальный центр реагирования на киберинциденты для защиты граждан от киберугроз.
24 октября - старт эпидемии BadRabbit, и одними из первых инцидент фиксируют... Group-IB :)
Настоящее время - дикий форс компании по миру, хайп, который свет не видовал.
Скажем так, Киберпиздец видит здесь определенную аномальную активность, а этот пост - созданный для вас инцидент. Закрыть глаза или призадуматься - решать вам, дорогие наши безопасники, но факт в том, что Groub-IB стремительными темпами покушается на ИБ-пирог и делают они это крайне профессионально!
Любопытным нам показалось поведение команды Group-IB за последние несколько недель. Видели, что они вытворили запоследнии дни?! СММ и маркетинг отработали на 5 баллов - сотни публикаций, тысячи подписчиков, сотни тысяч всяких репостов. Название компании мелькает по всему миру. Аналитики в поте лица подгоняли новые актуальные данные, мгновенно появлялись публикации и интервью. Как будто ребята готовились и знали о чем-то заранее...
Но давайте на секундочку отойдем от балабольства и просто разложим все в хронологическом порядке.
10 октября - стартует конференция CyberCrimeCon (оргиназитор - Group-IB).
13 октября - появляется твит, где Илья Сачков (основатель и владелец компании) участвует в проекте ЛидерыРоссии, победители которого смогут войти в кадровый резерв президента.
16 октября - материал на НТВ "Илья Сачков готов возглавить Министерство кибербезопасности".
23 октября - в интервью Известиям, Илья топит за создание Национальный центр реагирования на киберинциденты для защиты граждан от киберугроз.
24 октября - старт эпидемии BadRabbit, и одними из первых инцидент фиксируют... Group-IB :)
Настоящее время - дикий форс компании по миру, хайп, который свет не видовал.
Скажем так, Киберпиздец видит здесь определенную аномальную активность, а этот пост - созданный для вас инцидент. Закрыть глаза или призадуматься - решать вам, дорогие наши безопасники, но факт в том, что Groub-IB стремительными темпами покушается на ИБ-пирог и делают они это крайне профессионально!
October 26, 2017
#Событие
Amazon представила свою новую систему Amazon Key, позволяющую вам удаленно открывать входую дверь своей квартиры для курьеров. Fuck? Fuck! Fuck. Fuck...
https://www.amazon.com/b?ie=UTF8&node=17285120011
Amazon представила свою новую систему Amazon Key, позволяющую вам удаленно открывать входую дверь своей квартиры для курьеров. Fuck? Fuck! Fuck. Fuck...
https://www.amazon.com/b?ie=UTF8&node=17285120011
October 26, 2017
#ПравилаИгры
А у нас ещё одна инициатива властей. Не успели мы отойти от наступления на свободный интернет и изменений в 382-П (ГОСТ ЦБ РФ, посвященный обязательным внешним аудитам/пентестам банков), как оказываемся узниками очередной "ренновации". На этот раз власти планируют в принудительном порядке страховать киберриски по итогам внешнего аудита финансовых и промышленных организаций. Чудо-стандарт планируют разработать к 2020 году. Рабочую группу по изготовлению стандарта возглавляет заслуженно нелюбимый дорогими россиянами Сбербанк.
Что это: очередной мертворожденный проект наших инноваторов или неотвратимые изменения нашей жизни - покажет время. Желающим лучше понять логику властей и узнать мнение экспертов, предлагаем пройти по ссылке-первоисточнику: https://www.kommersant.ru/doc/3450079
А у нас ещё одна инициатива властей. Не успели мы отойти от наступления на свободный интернет и изменений в 382-П (ГОСТ ЦБ РФ, посвященный обязательным внешним аудитам/пентестам банков), как оказываемся узниками очередной "ренновации". На этот раз власти планируют в принудительном порядке страховать киберриски по итогам внешнего аудита финансовых и промышленных организаций. Чудо-стандарт планируют разработать к 2020 году. Рабочую группу по изготовлению стандарта возглавляет заслуженно нелюбимый дорогими россиянами Сбербанк.
Что это: очередной мертворожденный проект наших инноваторов или неотвратимые изменения нашей жизни - покажет время. Желающим лучше понять логику властей и узнать мнение экспертов, предлагаем пройти по ссылке-первоисточнику: https://www.kommersant.ru/doc/3450079
Коммерсантъ
Полис на всякий вирус
Как стало известно “Ъ”, в рамках правительственной программы «Цифровая экономика» готовится создание масштабного рынка страхования от киберрисков. Полис информационной безопасности может стать обязательным с 2020 года для всех стратегических отраслей — от…
October 30, 2017
#Событие
Пропали мы совсем, да? Мы исправимся, просто конец года, сами понимаете, на работе полный киберпиздец.
Поэтому немного послоупочим.
Вчера в версии WordPress 4.8.3 пофиксили рабочую SQL иньекцию, объявленную еще в сентябре на Hacker-One. Чувак в своем блоге рассказывает о способе обнаружения, эксплуатации и естественно о пути ее устранения.
Источник: https://blog.ircmaxell.com/2017/10/disclosure-wordpress-wpdb-sql-injection-technical.html
Пропали мы совсем, да? Мы исправимся, просто конец года, сами понимаете, на работе полный киберпиздец.
Поэтому немного послоупочим.
Вчера в версии WordPress 4.8.3 пофиксили рабочую SQL иньекцию, объявленную еще в сентябре на Hacker-One. Чувак в своем блоге рассказывает о способе обнаружения, эксплуатации и естественно о пути ее устранения.
Источник: https://blog.ircmaxell.com/2017/10/disclosure-wordpress-wpdb-sql-injection-technical.html
ircmaxell's Blog
Disclosure: WordPress WPDB SQL Injection - Technical
Today, a significant SQL-Injection vulnerability was fixed in WordPress 4.8.3. Before reading further, if you haven’t updated yet stop right now and update. The foundations of this vulnerability was r
November 1, 2017