🖼️ Автоматизируем сборку и деплой приложения в GitLab CI/CD: подробное руководство с примерами
#devops #k8s #docker

При разработке приложений рано или поздно наступает момент, когда заниматься развёртыванием вручную становится затратно и неудобно. Как следствие на помощь приходит автоматизация этого процесса с помощью специально настроенных пайплайнов непрерывной интеграции и непрерывной доставки (Continuous Integration & Continuous Delivery — CI/CD). Для разных систем управления репозиториями исходного кода существуют свои способы настройки CI/CD.

В этой статье мы рассмотрим, как использовать GitLab для организации автоматической сборки и деплоя приложения в кластер Kubernetes. Сам кластер будет работать под управлением Deckhouse Kubernetes Platform (код приложения и процесс настройки кластера авторы описывали в предыдущей статье цикла), а автоматизировать процесс будем с помощью werf — Open Source CLI-утилиты, организующей полный цикл доставки приложения в Kubernetes и использующей Git как единый источник истины для состояния приложения, развёрнутого в кластере.

➡️ Читать далее

🌚 @poxek

🖼️ Кто такие специалисты по безопасной разработке и где на них учиться

Привет, Хабр! В этой статье мы разберемся, кто такой специалист по безопасной разработке, какие требования к нему предъявляют работодатели, сколько специалисты этой профессии сегодня зарабатывают и куда можно пойти учиться на AppSec-специалиста.

🖼️ Кто же такие «аппсеки»? Обычно под «аппсеком» (в широком понимании) подразумевают любого специалиста по безопасной разработке. Участвуешь в безопасности CI/CD? Тестируешь приложения на проникновения? Проходишь оценку уровня доверия? Пишешь безопасный код? Ух, да ты «аппсек»…

➡️ Читать далее

🌚 @poxek

💻 Танец Крабиков

Rust из года в год становится популярнее, как у разработчиков, так и в нашей ИБ сфере. На нём можно писать, как безопасные проекты, так и инструменты, которую эту безопасность проверяют. Его выбирают за высокую производительность, удобную экосистему, компилируемость и т.д.

Поэтому рекомендую вам репозиторий, где демонстрируются 44 техники + код, которые будут полезны при RedTeam или R&D.

⚡️ Есть различные атаки начиная от вытаскивания паролей от WIFI до анти-анализа, анти-дебага, WebAssembly Shellcode и т.д.

💻 Репозиторий RustRedOps

🌚 @poxek

☯️ Standoff 2 или Standoff 365

Недавно проскакивала вакансия на разработчика анти-чита Standoff2. Я посмотрел требования, в принципе неплохо. Вспомнил, что писать читы довольно сложно, чтобы они не детектились. На данный момент лучшим анти-читом считается защита у Valorant. Вполне себе игра, которая в комьюнити считается хорошим аналогом CS 2, с точки зрения киберспортивной дисциплины. Но в CS2 читеров много и читы штампуются каждый день.

Но как же связаны мы, безопасники с создателями продвинутых читов?
Тем что, мы делаем постоянно ресерчи, чтобы научиться обходить антивирусные/античит системы. Ведь некоторые механизмы у них общие, к примеру проверка памяти или инициализация до старта системы. Это я всё подводил к такой интересной теме, как программирование kernel драйверов для любых Windows систем.

➡️ Рекомендую вам посмотреть ролик YOUR FIRST KERNEL DRIVER (FULL GUIDE)

🌚 @poxek

Перечислить всех. Красота русских фамилий как фактор уязвимости в пентестах Active Directory
#windows #AD

Во время очередного пентест-проекта на внешнем периметре Заказчика была обнаружена широко известная в узких кругах пентестеров инфраструктурная служба Outlook Web Access (OWA). OWA примечательна тем, что это WEB-интерфейс почтового сервера Microsoft Exchange. Скорее всего, вы слышали, как минимум о нескольких громких уязвимостях OWA. С 2020 года существует подробный ресерч от коллег из PT SWARM на тему безопасности MS Exchange WEB-интерфейсов, а новые атаки появляются с завидной частотой. В одном из подкастов я слышал, что в OWA имеется огромный архитектурный баг, который является драйвером целого семейства подобных уязвимостей.

Атак достаточно, но есть еще и очень приятная “фича” в OWA – перечисление существующих пользователей в зависимости от времени ответов сервера. После формирования списка однозначно существующих учетных записей можно провести атаку типа Password Spray (англ. Распыление паролей) и с небольшим шансом подобрать пароль типа «P@ssw0rd!» среди пары сотен пользователей.

Многим пентестерам это известно, но мне удалось найти ультимативный способ проведения этой атаки за счет избыточности русских фамилий (sic!). Сперва рассмотрим проблематику.

❤️ Спасибо @CuriV за подробный ресерч!

➡️ Читать далее

🌚 @poxek