Архивы автора: Alexander Leonov

Об авторе Alexander Leonov

Привет! Меня зовут Александр. Я специалист по Управлению Уязвимостями. Подробнее обо мне можно прочитать здесь. Приглашаю подписаться на мой канал в Telegram @avleonovrus. Я обновляю его чаще, чем этот сайт. Вы можете обсудить мои посты или задать вопросы в @avleonovchat или в группе ВКонтакте. And I invite all English-speaking people to another telegram channel @avleonovcom.

Касательно грядущих блокировок от Microsoft пока ничего не понятно

Добавить комментарий

Касательно грядущих блокировок от Microsoft пока ничего не понятно

Касательно грядущих блокировок от Microsoft пока ничего не понятно. Похоже, что наиболее полная и актуальная информация сейчас в канале софтлайна, но там она очень противоречивая.

🔹 На облачные редакторы, мессенджеры, сервисы аналитики, CRM и прочее, о чем все пишут и беспокоятся, строго пофиг. Те, кто продолжали пользоваться этим барахлом, оплачивая через третьи страны, сами себе злые буратины. 🤷‍♂️

🔹 Интересно то, что в телеге софтлайна пишут про отзывы ключей и про то, что WSUS не будет работать:

"⁉️ Заблокируют ли ключи на MS Visio и Office?
Ключи будут заблокированы.
⁉️ Будут ли доставляться security updates (WSUS)?
Не будут доставляться. "

Более того, там обсуждают загадочную блокировку on-prem продуктов:

"Как будет реализована блокировка локально установленных продуктов, в т.ч. SQL?
Нет информации."

Выглядит как "испорченный телефон". Но если всё действительно так, то нас ждёт очень интересное завершение месяца и переосмысление методов работы с виндовой инфрой. 😏

Посмотрел эфир Awillix про оценку стоимости пентеста

Добавить комментарий

Посмотрел эфир Awillix про оценку стоимости пентеста

Посмотрел эфир Awillix про оценку стоимости пентеста. Основная идея, насколько я понял, в следующем. У вас есть организация с некоторым уровнем развития ИБ. Прежде чем заказывать пентест нужно реалистично прикинуть от какого рода злоумышленников имеет смысл её защищать:

🔻 Script kiddie (а кто покруче всё равно проломит 🤷‍♂️)
🔻 Хакер-одиночка (а кто покруче всё равно проломит 🤷‍♂️)
🔻 APT-группировка

После того как выявили уровень злоумышленника, атаку которого имеет смысл сымитировать, прикидываем сколько и каких специалистов нам нужно привлечь:

🔸 Script kiddie
🛡 пентестер-джун на 5-7 рабочих дней, 200-400 тыс.р.

🔸 Хакер-одиночка
🛡 2 мидла и сениор на 15-20 рабочих дней, 400 тыс. -1 млн.р.

🔸 APT-группировка
🛡 3-5 сениоров и лид на >3 месяцев, 4-12+ млн.р.

Это чисто из примерных грейдов специалистов и времени. Дальше зависит от модели тестирования, скоупа и т.д.

➡️ У Awillix есть прикольный интерактивный лендинг, где они подробно всю методологию оценки показывают.

У Checkmarx вышел отчёт "The Future of APPLICATION SECURITY 2024" содержащий чудесный ТОП3 отмазок "почему уязвимый код ушёл в прод?" (от AppSec менеджеров, CISO и разработчиков)

Добавить комментарий

У Checkmarx вышел отчёт The Future of APPLICATION SECURITY 2024 содержащий чудесный ТОП3 отмазок почему уязвимый код ушёл в прод? (от AppSec менеджеров, CISO и разработчиков)
У Checkmarx вышел отчёт The Future of APPLICATION SECURITY 2024 содержащий чудесный ТОП3 отмазок почему уязвимый код ушёл в прод? (от AppSec менеджеров, CISO и разработчиков)

У Checkmarx вышел отчёт "The Future of APPLICATION SECURITY 2024" содержащий чудесный ТОП3 отмазок "почему уязвимый код ушёл в прод?" (от AppSec менеджеров, CISO и разработчиков).

AppSec менеджеры
1. Чтобы уложиться в дедлайны, связанные с бизнесом, выкаткой фич или безопасностью.
2. Уязвимость должна была быть исправлена в более позднем релизе.
3. Уязвимость не была критической.

CISO
1. Надеялись, что уязвимость не будет эксплуатабельной. 🤞
2. Чтобы уложиться в дедлайны, связанные с бизнесом, выкаткой фич или безопасностью.
3. Уязвимость не была эксплуатабельной.

Разработчики
1. Уязвимость должна была быть исправлена в более позднем релизе.
2. Уязвимость не была критической.
3. Чтобы уложиться в дедлайны, связанные с бизнесом, выкаткой фич или безопасностью.

Варианты AppSec менеджеров и Разработчиков различаются только порядком. А вот CISO больше про реальную эксплуатабельность (чтобы это не привело к большому скандалу) и надежду на лучшее. 😏😅

Посмотрел доклад Никиты Распопова из УЦСБ на SafeCode 2024 про быструю разведку периметра организации при пентесте веб-приложений

Добавить комментарий

Посмотрел доклад Никиты Распопова из УЦСБ на SafeCode 2024 про быструю разведку периметра организации при пентесте веб-приложений

Посмотрел доклад Никиты Распопова из УЦСБ на SafeCode 2024 про быструю разведку периметра организации при пентесте веб-приложений. Особенно полезны разбираемые способы автоматизации должны быть для тех, кто занимается багхантингом и хочет быстро находить/репортить "low-hanging fruits". 🙂 Слайды и описание доклада доступны в канале Никиты.

Были использованы утилиты:

🔻 WayBackTools - парсинг веб-кэша
🔻 httpx - проверка доступа
🔻 xurlfind3r - получение данных веб-кэша
🔻 BurpSuite - платформа для пентестинга веб-приложений
🔻 GAP - Burp app для получения параметров и ссылок из JS
🔻 Nuclei - сканер уязвимостей
🔻 Katana - веб-краулер

На выходных добился первых результатов в своём опенсурсном проекте по детектированию уязвимостей Vuldetta

Добавить комментарий

На выходных добился первых результатов в своём опенсурсном проекте по детектированию уязвимостей Vuldetta
На выходных добился первых результатов в своём опенсурсном проекте по детектированию уязвимостей VuldettaНа выходных добился первых результатов в своём опенсурсном проекте по детектированию уязвимостей Vuldetta

На выходных добился первых результатов в своём опенсурсном проекте по детектированию уязвимостей Vuldetta. 😇

Что получилось сделать:

🔹 Распарсил Ubuntu OVAL в простые правила детектирования по версиям пакетов. Cтруктура OVAL-а там достаточно навороченная, особенно что касается детектирования уязвимостей ядра (не по пакетам, а по uname_test и variable_test 🤯). Несмотря на то, что OVAL-контент для каждой версии дистрибутива качается в отдельном файле, на уровне OVAL-а также реализованы проверки версии дистриба. Сейчас я просто прохожу по всем definition-ам, смотрю какие dpkginfo_test используются в критериях и разбираю только их.

🔹 Сделал примитивную чекалку по правилам детектирования. Без оптимизаций на парсинг OVAL-а и расчет уязвимостей уходит 6,5 секунд. Проверил для пакетов необновленного хоста - получил список свежих уязвимостей, обновил пакеты - уязвимости ушли. Работает. 🙂👍

Всё на Github. Дальше разбираться с уязвимостями ядра, оптимизацией и оформление в API-шку.

Посмотрел VulnCheck KEV

Добавить комментарий

Посмотрел VulnCheck KEV
Посмотрел VulnCheck KEVПосмотрел VulnCheck KEVПосмотрел VulnCheck KEVПосмотрел VulnCheck KEVПосмотрел VulnCheck KEVПосмотрел VulnCheck KEV

Посмотрел VulnCheck KEV. Это аналог CISA KEV (Know Exploited Vulnerabilities) от компании VulnCheck.

🔹 В отличие от общедоступного CISA KEV, доступ к VulnCheck KEV имеют только зарегистрированные пользователи. Сам сайт VulnCheck доступен с российских IP 🇷🇺, но при регистрации пишут, что "заявка на модерации" (никакой модерации там нет, заявки просто блокируют 🥸). С нероссийских IP регистрируют автоматически. Хитрецы. 🌝
🔹 В базе в ~2 раза больше CVE, чем в CISA KEV.
🔹 Штатных средств для выгрузки всех этих CVE через web-gui нет. Возможно можно через API. 🤷‍♂️
🔹 Для CVE есть ссылки на эксплоиты. Вроде без особого мусора. 👌
🔹 Есть признаки эксплуатации вживую. Иногда там что-то понятное, типа ссылки на pdf-репорт а-ля "Outbreak Alerts 2023". Иногда непонятное типа ссылки на дашборд Shadowserver или блогпост, в котором эксплуатация CVE не упоминается. 🤷‍♂️

В общем, подборка CVE довольно интересная, но нужно улучшать обоснования эксплуатации вживую. 😉

Коммент к предыдущему посту, который подтверждает, что отношение к нашему брату VM-щику со стороны коллег из IT, как правило, не очень

1 комментарий

Коммент к предыдущему посту, который подтверждает, что отношение к нашему брату VM-щику со стороны коллег из IT, как правило, не очень

Коммент к предыдущему посту, который подтверждает, что отношение к нашему брату VM-щику со стороны коллег из IT, как правило, не очень. 🤷‍♂️😅 У всех своя правда.