Архив за месяц: Июль 2023

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday

Немного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch TuesdayНемного доработал отчёты Vulristics и перегенирил отчёт для июльского Microsoft Patch Tuesday

Немного доработал отчёты Vul­ris­tics и перегенирил отчёт для июльского Microsoft Patch Tues­day. Теперь видно уязвимости какой критичности были упомянуты в каждом из источников комментариев. VM-вендоры (Qualys, Ten­able, Rapid7) упоминают большее число уязвимостей в обзорах. Как и Dark Read­ing. A Sophos, например, только самый-самый ТОП. ZDI на самом деле тоже много уязвимостей упоминают, но большую часть просто перечисляют в табличке с минимумом полей — такое я игнорирую.

Также во все таблицы добавил колонку All (A) с общим количеством уязвимостей для продукта, типа уязвимостей или источника комментариев.

О корпоративе и Дитрихе Букстехуде

О корпоративе и Дитрихе Букстехуде
О корпоративе и Дитрихе БукстехудеО корпоративе и Дитрихе Букстехуде

О корпоративе и Дитрихе Букстехуде. Немного оффтопа в выходные. В порядке нашего с вами знакомства. 😉 В пятницу ездил на корпоратив ИБ-департамента в "Arthurs Spa Hotel". Не большой я любитель таких мероприятий, но иногда можно. В целом, неплохо провёл время на природе. Особенно понравились натянутые меж деревьев гамаки. Очень здорово было лежать слегка покачиваясь и смотреть в небо. Удаленная скамеечка рядом с памятником Ленину (да!😄), которую я несколько лет назад заприметил, ещё в прошлый корпоративный выезд, была на месте и всё также хороша.

Во время застольной части (с которой я довольно быстро ретировался) ведущий мероприятия, какой-то комик, среди прочего задавал такой вопрос: "какие ваши любимые песни, которые вас характеризуют?". Меня не спрашивал (и это хорошо 🙂). Но так-то вопрос интересный. Если начистоту, без каких-то приколов и ужимок, то у меня в абсолютном топе был бы Diet­rich Bux­te­hude "Que­mad­mod­um desider­at cervus" (BuxWV 92). Не потому, что я религиозен или большой поклонник классической музыки как таковой. Но здесь собирается несколько факторов.

1. Это раннебарочная чакона (не путать с чаконами от Витали, Баха и позже — это совсем другое!), которые я очень люблю. Как и, например, чакону Каццати, Ciac­cona del Par­adiso e del Infer­no, Zefiro Tor­na Монтеверди (кстати у меня на аватарке фотка, где я на улице Клаудио Монтеверди — не случайно 😉).

2. Изумительный текст. Начало это отсылка к 41 псалму. "Так же, как олень стремится к источникам вод, так стремится душа моя к Тебе, Господи". Но дальше текст сильно отходит от 41 псалма. Мне метафора Бога как источника (буквального, водного) жизни и радости очень близка. Для иллюстрации — "Фонтан Жизни" моего любимого художника Яна ван Эйка — хотя может и не совсем его, не суть 😉).

Мои любимый моменты:
"Sitio te Deum vivum, sitio, sitio"
"Я жажду Бога живого, жажду, жажду"

И вот этот:
"O gaudi­um super gaudi­um, vinces omne gaudi­um"
"О радость над радостью, всепобеждающая радость"

Ну и вот этот, сами понимаете почему — безопасность 🙂:
"ubi est cer­ta secu­ri­tas, secu­ra tran­quil­li­tas,…"
"где есть определенная безопасность, надежное спокойствие,…"

Кстати, эта словесная игра, где прилагательное рождает последующее существительное, это, насколько я понимаю и нашёл, отсылка к Блаженному Августину:

"O vita vital­is, dul­cis et ama­bilis, et sem­per memo­ri­alis, ubi non est hostis impug­nans, ubi nul­la ille­ce­bra, sed sum­ma et cer­ta secu­ri­tas, et secu­ra tran­quil­li­tas, et tran­quil­la jucun­di­tas, et jucun­da felic­i­tas, et felix aeter­ni­tas, et aeter­na beat­i­tu­do, et bea­ta tui sine fine visio atque lau­da­tio, Deus!"

"О жизненная жизнь, сладкая и прекрасная и всегда памятная, где нет нападающего врага, где нет соблазна, но абсолютная и верная безопасность, и надежное спокойствие, и безмятежное наслаждение, и упоительное счастье, и счастливая вечность, и вечное блаженство, и блаженный вид и хвала Тебе без конца, Боже!" (гуглоперевод с латыни)

Так вот, "Que­mad­mod­um desider­at cervus" меня никогда не подводил. Помню, например, когда на военных сборах, где мне было довольно тяжко, флеш-плеер с этой вещью не давал мне совсем уж приуныть.

Несколько вариантов исполнения:

1. Ian Hon­ey­man (Deutsche Barock Kan­tat­en vol. VII, 1990). Этот мой любимый. Здесь у меня каждое слово отзывается.
2. Víc­tor Tor­res, Sty­lus Phan­tas­ti­cus. Мне кажется более формальной, но баритон роскошный.
3. Le Con­cert Brisé. Здесь мне женский вокал не особо нравится, но нравится инструментальная интерпретация. Хоть темп и попсово загнали, но всё равно. 🙂 Особенно вот этот изумительный полифонический момент.

Митника, конечно, очень жаль

Митника, конечно, очень жаль

Митника, конечно, очень жаль. Человек-легенда и очень интересный автор. RIP.

Книги:

🔹(2002) The Art of Decep­tion: Con­trol­ling the Human Ele­ment of Secu­ri­ty. На русском "Искусство обмана".

🔹(2005) The Art of Intru­sion: The Real Sto­ries Behind the Exploits of Hack­ers, Intrud­ers & Deceivers. На русском "Искусство вторжения".

🔹(2011) Ghost in the Wires: My Adven­tures as the World's Most Want­ed Hack­er. На русском "Призрак в Сети".

🔹(2017) The Art of Invis­i­bil­i­ty. На русском "Искусство быть невидимым".

На какие вопросы должен ответить Vulnerability Intelligence

На какие вопросы должен ответить Vulnerability Intelligence

На какие вопросы должен ответить Vul­ner­a­bil­i­ty Intel­li­gence. Допустим у нас есть трендовая уязвимость, о которой все пишут. Вот я посмотрел в свой автоматический канал с новостями @avleonovnews, сегодня пишут про code injec­tion в Cit­rix NetScaler ADC и RCE в Apache Open­Meet­ings. От Vul­ner­a­bil­i­ty Intel­li­gence решения хочется ответы на следующее:

1. У нас этот уязвимый продукт вообще используется? А где именно? И не только в проде, не только в HQ, во всех дочерних компаниях и т.д.
2. Можем мы получить полный список потенциально уязвимых активов? Что нужно сделать, чтобы его получить?
3. Все эти потенциально уязвимые активы покрыты VM-ом? Что нужно сделать, чтобы были покрыты все?
4. Наш VM умеет детектировать уязвимости для таких продуктов и детектируется ли эта конкретная уязвимость? Как будем детектить эту уязвимость, если нет (альтернативные утилиты, вручную и т.д.)?

Иными словами, делать все те базовые вещи, обеспечивающие адекватность VM‑а.

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management?

Зачем нужен Vulnerability Intelligence, если уже есть Vulnerability Management?

Зачем нужен Vul­ner­a­bil­i­ty Intel­li­gence, если уже есть Vul­ner­a­bil­i­ty Man­age­ment? Затем, что в вашем VM‑е всегда будут не все уязвимости, которые по факту есть в вашей инфраструктуре 😏:

1. VM охватывает не все активы, потому что зачастую покрытие VM-ом как-то специально не контролируется. Или контролируется только в рамках каких-то конкретных типов хостов (Win­dows десктопы/серверы, Lin­ux серверы, Cis­co и т.д.), а в реальности инфраструктура оказывается гораздо разнообразнее.
2. Возможности VM-решений по детектированию уязвимостей ограничены. В лучшем случае вы получите от вендора список поддерживаемых ОС/продуктов/устройств, но достаточно ли этого для вашей инфраструктуры кроме вас никто не скажет. Скорее всего недостаточно и где-то ваше VM-решение детектировать уязвимости не сможет. Или детекты уязвимостей будут появляться с задержкой (если генерация детектов не автоматизирована полностью).

Vul­ner­a­bil­i­ty Intel­li­gence должен эти проблемы подсветить и компенсировать.

Почитал пентестерские байки от Rapid7

Почитал пентестерские байки от Rapid7

Почитал пентестерские байки от Rapid7.

1. Инвентаризация активов через AD.
2. Активное сканирование сети.
3. Распространенные способы не прошли ("BNS poi­son­ing, SMB Sign­ing not required, or IPv6-based attacks").
4. Атака на IPMI — интерфейс для управления функциями, встроенными в аппаратное и микроПО серверных платформ. Сбор IPMI хешей и их анализ. Нашли стандартные учётки типа "admin:admin" и "root:root".
5. Зашли в веб-интерфейс на трёх IPMI активах, увидели инстансы VMware ESXi, а также ip и url для админки VMware ESXi.
6. Получили доступ к VMware ESXi консолям (учётка такая же, что и для IPMI!), нашли на них основной контроллер домена (DC) и сервер Exchange.
7. Получили доступ к файловой системе DC, достали NTDS.DIT файл с NTLM хешами.
8. Демонстрация импакта: поиск критичной информации в email-ах и на шарах, рассылка писем от имени пользователей, сброс второго фактора.

В общем, основное это головотяпство. Хотя очень шумно делали, особенно сканирование.

Американская микроблоггинговая площадка с птичкой перестаёт быть местом для сбора релевантной инфы по CVE-шкам

Американская микроблоггинговая площадка с птичкой перестаёт быть местом для сбора релевантной инфы по CVE-шкам

Американская микроблоггинговая площадка с птичкой перестаёт быть местом для сбора релевантной инфы по CVE-шкам.

1. В конце июня — начале июля количество сообщений с CVE сократилось с 1272 в рабочий день до 333 в рабочий день. А если не считать ботов, то, в среднем, с 500 в день до 66 в день. Видимо ИБ-шники куда-то мигрировали. Хотя возможно и просто сезонное.
2. Возможность бесплатного экспорта сообщений (в т.ч. с CVE-шками) убрали. 🤷‍♂️

Имхо, это очень даже позитивно. Нечего пользоваться замусоренными мейнстримными соцсеточками для обсуждения ИБ-вопросов, нужно формировать что-то специализированное, а‑ля Peerlyst.