Архив за месяц: Июль 2023

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch TuesdayНемного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday. Теперь видно уязвимости какой критичности были упомянуты в каждом из источников комментариев. VM-вендоры (Qualys, Tenable, Rapid7) упоминают большее число уязвимостей в обзорах. Как и Dark Reading. A Sophos, например, только самый-самый ТОП. ZDI на самом деле тоже много уязвимостей упоминают, но большую часть просто перечисляют в табличке с минимумом полей - такое я игнорирую.

Также во все таблицы добавил колонку All (A) с общим количеством уязвимостей для продукта, типа уязвимостей или источника комментариев.

О корпоративе и Дитрихе Букстехуде

О корпоративе и Дитрихе Букстехуде
О корпоративе и Дитрихе БукстехудеО корпоративе и Дитрихе Букстехуде

О корпоративе и Дитрихе Букстехуде. Немного оффтопа в выходные. В порядке нашего с вами знакомства. 😉 В пятницу ездил на корпоратив ИБ-департамента в "Arthurs Spa Hotel". Не большой я любитель таких мероприятий, но иногда можно. В целом, неплохо провёл время на природе. Особенно понравились натянутые меж деревьев гамаки. Очень здорово было лежать слегка покачиваясь и смотреть в небо. Удаленная скамеечка рядом с памятником Ленину (да!😄), которую я несколько лет назад заприметил, ещё в прошлый корпоративный выезд, была на месте и всё также хороша.

Во время застольной части (с которой я довольно быстро ретировался) ведущий мероприятия, какой-то комик, среди прочего задавал такой вопрос: "какие ваши любимые песни, которые вас характеризуют?". Меня не спрашивал (и это хорошо 🙂). Но так-то вопрос интересный. Если начистоту, без каких-то приколов и ужимок, то у меня в абсолютном топе был бы Dietrich Buxtehude "Quemadmodum desiderat cervus" (BuxWV 92). Не потому, что я религиозен или большой поклонник классической музыки как таковой. Но здесь собирается несколько факторов.

1. Это раннебарочная чакона (не путать с чаконами от Витали, Баха и позже - это совсем другое!), которые я очень люблю. Как и, например, чакону Каццати, Ciaccona del Paradiso e del Inferno, Zefiro Torna Монтеверди (кстати у меня на аватарке фотка, где я на улице Клаудио Монтеверди - не случайно 😉).

2. Изумительный текст. Начало это отсылка к 41 псалму. "Так же, как олень стремится к источникам вод, так стремится душа моя к Тебе, Господи". Но дальше текст сильно отходит от 41 псалма. Мне метафора Бога как источника (буквального, водного) жизни и радости очень близка. Для иллюстрации - "Фонтан Жизни" моего любимого художника Яна ван Эйка - хотя может и не совсем его, не суть 😉).

Мои любимый моменты:
"Sitio te Deum vivum, sitio, sitio"
"Я жажду Бога живого, жажду, жажду"

И вот этот:
"O gaudium super gaudium, vinces omne gaudium"
"О радость над радостью, всепобеждающая радость"

Ну и вот этот, сами понимаете почему - безопасность 🙂:
"ubi est certa securitas, secura tranquillitas,…"
"где есть определенная безопасность, надежное спокойствие,…"

Кстати, эта словесная игра, где прилагательное рождает последующее существительное, это, насколько я понимаю и нашёл, отсылка к Блаженному Августину:

"O vita vitalis, dulcis et amabilis, et semper memorialis, ubi non est hostis impugnans, ubi nulla illecebra, sed summa et certa securitas, et secura tranquillitas, et tranquilla jucunditas, et jucunda felicitas, et felix aeternitas, et aeterna beatitudo, et beata tui sine fine visio atque laudatio, Deus!"

"О жизненная жизнь, сладкая и прекрасная и всегда памятная, где нет нападающего врага, где нет соблазна, но абсолютная и верная безопасность, и надежное спокойствие, и безмятежное наслаждение, и упоительное счастье, и счастливая вечность, и вечное блаженство, и блаженный вид и хвала Тебе без конца, Боже!" (гуглоперевод с латыни)

Так вот, "Quemadmodum desiderat cervus" меня никогда не подводил. Помню, например, когда на военных сборах, где мне было довольно тяжко, флеш-плеер с этой вещью не давал мне совсем уж приуныть.

Несколько вариантов исполнения:

1. Ian Honeyman (Deutsche Barock Kantaten vol. VII, 1990). Этот мой любимый. Здесь у меня каждое слово отзывается.
2. Víctor Torres, Stylus Phantasticus. Мне кажется более формальной, но баритон роскошный.
3. Le Concert Brisé. Здесь мне женский вокал не особо нравится, но нравится инструментальная интерпретация. Хоть темп и попсово загнали, но всё равно. 🙂 Особенно вот этот изумительный полифонический момент.

Митника, конечно, очень жаль

Митника, конечно, очень жаль

Митника, конечно, очень жаль. Человек-легенда и очень интересный автор. RIP.

Книги:

🔹(2002) The Art of Deception: Controlling the Human Element of Security. На русском "Искусство обмана".

🔹(2005) The Art of Intrusion: The Real Stories Behind the Exploits of Hackers, Intruders & Deceivers. На русском "Искусство вторжения".

🔹(2011) Ghost in the Wires: My Adventures as the World's Most Wanted Hacker. На русском "Призрак в Сети".

🔹(2017) The Art of Invisibility. На русском "Искусство быть невидимым".

На какие вопросы должен ответить Vulnerability Intelligence

На какие вопросы должен ответить Vulnerability Intelligence

На какие вопросы должен ответить Vulnerability Intelligence. Допустим у нас есть трендовая уязвимость, о которой все пишут. Вот я посмотрел в свой автоматический канал с новостями @avleonovnews, сегодня пишут про code injection в Citrix NetScaler ADC и RCE в Apache OpenMeetings. От Vulnerability Intelligence решения хочется ответы на следующее:

1. У нас этот уязвимый продукт вообще используется? А где именно? И не только в проде, не только в HQ, во всех дочерних компаниях и т.д.
2. Можем мы получить полный список потенциально уязвимых активов? Что нужно сделать, чтобы его получить?
3. Все эти потенциально уязвимые активы покрыты VM-ом? Что нужно сделать, чтобы были покрыты все?
4. Наш VM умеет детектировать уязвимости для таких продуктов и детектируется ли эта конкретная уязвимость? Как будем детектить эту уязвимость, если нет (альтернативные утилиты, вручную и т.д.)?

Иными словами, делать все те базовые вещи, обеспечивающие адекватность VM-а.

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management?

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management?

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management? Затем, что в вашем VM-е всегда будут не все уязвимости, которые по факту есть в вашей инфраструктуре 😏:

1. VM охватывает не все активы, потому что зачастую покрытие VM-ом как-то специально не контролируется. Или контролируется только в рамках каких-то конкретных типов хостов (Windows десктопы/серверы, Linux серверы, Cisco и т.д.), а в реальности инфраструктура оказывается гораздо разнообразнее.
2. Возможности VM-решений по детектированию уязвимостей ограничены. В лучшем случае вы получите от вендора список поддерживаемых ОС/продуктов/устройств, но достаточно ли этого для вашей инфраструктуры кроме вас никто не скажет. Скорее всего недостаточно и где-то ваше VM-решение детектировать уязвимости не сможет. Или детекты уязвимостей будут появляться с задержкой (если генерация детектов не автоматизирована полностью).

Vulnerability Intelligence должен эти проблемы подсветить и компенсировать.

Почитал пентестерские байки от Rapid7

Почитал пентестерские байки от Rapid7

Почитал пентестерские байки от Rapid7.

1. Инвентаризация активов через AD.
2. Активное сканирование сети.
3. Распространенные способы не прошли ("BNS poisoning, SMB Signing not required, or IPv6-based attacks").
4. Атака на IPMI - интерфейс для управления функциями, встроенными в аппаратное и микроПО серверных платформ. Сбор IPMI хешей и их анализ. Нашли стандартные учётки типа "admin:admin" и "root:root".
5. Зашли в веб-интерфейс на трёх IPMI активах, увидели инстансы VMware ESXi, а также ip и url для админки VMware ESXi.
6. Получили доступ к VMware ESXi консолям (учётка такая же, что и для IPMI!), нашли на них основной контроллер домена (DC) и сервер Exchange.
7. Получили доступ к файловой системе DC, достали NTDS.DIT файл с NTLM хешами.
8. Демонстрация импакта: поиск критичной информации в email-ах и на шарах, рассылка писем от имени пользователей, сброс второго фактора.

В общем, основное это головотяпство. Хотя очень шумно делали, особенно сканирование.

Американская микроблоггинговая площадка с птичкой перестаёт быть местом для сбора релевантной инфы по CVE-шкам

Американская микроблоггинговая площадка с птичкой перестаёт быть местом для сбора релевантной инфы по CVE-шкам

Американская микроблоггинговая площадка с птичкой перестаёт быть местом для сбора релевантной инфы по CVE-шкам.

1. В конце июня - начале июля количество сообщений с CVE сократилось с 1272 в рабочий день до 333 в рабочий день. А если не считать ботов, то, в среднем, с 500 в день до 66 в день. Видимо ИБ-шники куда-то мигрировали. Хотя возможно и просто сезонное.
2. Возможность бесплатного экспорта сообщений (в т.ч. с CVE-шками) убрали. 🤷‍♂️

Имхо, это очень даже позитивно. Нечего пользоваться замусоренными мейнстримными соцсеточками для обсуждения ИБ-вопросов, нужно формировать что-то специализированное, а-ля Peerlyst.