Архив метки: дыбр

3 июля Telegram-каналу "Управление Уязвимостями и прочее" исполнилось 2 года

3 июля Telegram-каналу "Управление Уязвимостями и прочее" исполнилось 2 года. Год назад у канала было ~1740 подписчиков, а буквально вчера мы перевалили за 6000. 🥳 Темпы роста просто за гранью. Спасибо вам всем огромное за то, что читаете, лайкаете и шарите посты! Мне это всегда очень приятно! 😊

Планирую продолжать в том же духе. Буду писать про трендовые уязвимости и важные новости VM‑а, делать мини-обзоры Microsoft Patch Tuesday и Linux Patch Wednesday (upd. добавил июльский), рассказывать про Vulristics и другие мои open source проекты, делиться мыслями про Vulnerability Management практики. Ну и изредка буду вкидывать всякий оффтоп. 😉

Три богатыря и Bug Bounty

Добавить комментарий

Три богатыря и Bug Bounty. Сходили в кино на анимационный фильм "Три богатыря. Ни дня без подвига". Три короткие истории. Первая, думаю, ИБшникам зайдёт. 😉

Князь с подачи коня Юлия внедряет во дворце систему безопасности и объявляет багбаунти программу для выявления уязвимостей в ней: кто проникнет во дворец и выполнит реализацию недопустимого события (кражу короны), тот получит 100 сладких пряников.

В результате недопустимое событие реализуют, но за наградой никто не обращается. 😱🫣

Пришлось Алёше Поповичу проводить ресёрч как же злоумышленнику получилось обойти средства защиты. 😏

В итоге оказалось, что был реализован совсем не тот вектор, от которого защищались. 🤷‍♂️ Как это и бывает.

Мораль? 🙂 Тщательнее оговаривайте условия Bug Bounty программы. Она не обязательно должна быть публичной, зачастую приватная программа с ограниченным количеством проверенных участников (или даже обычный пентест) получается эффективнее и безопаснее. 😉

И о погоде

Добавить комментарий

И о погоде. Как-то смотрел видео про Сингапур, в котором рассказывали, что там приходится таскать с собой кофты/толстовки и постоянно их снимать-надевать: в помещениях и транспорте колотун из-за кондеев, на улице жуткая жарища. Ну что сказать, понимаю сингапурцев и перенимаю их лучшие практики. 😅

Сегодня осознал, что мои отсылки могут быть непонятны

Добавить комментарий

Сегодня осознал, что мои отсылки могут быть непонятны. 😅 В разговоре проскочило про "звёзды ИБ" и я на автомате выдал "готовиться надо ко встрече со звездой". В ответ непонимание. 😳 Пришлось пояснять, что был такой старый мем с Киркоровым. 🤦‍♂️ Потом посмотрел когда ж Бедросович это отчебучивал. 2004 год, 20 лет назад! Многие коллеги тогда ещё не родились или были совсем маленькими. 🤷‍♂️🙂 Вот так оно и начинается…

О достижениях

Добавить комментарий

О достижениях. У меня в декабре будет ещё одна лекция по VM‑у. На этот раз не в учебном заведении, а в компании. И там для внутренней рассылки нужно заполнить анкету. Над одним вопросом я залип: "3 достижения эксперта". Ну вот так чтобы три и при этом себе не врать. 🧐

Склоняюсь к следующему:

1. Занимаюсь Vulnerability Management-ом 14 лет, всё это время приносил пользу немаленьким компаниям, не выгорел и не двинулся окончательно головушкой. 🎉👍

2. Запустил несколько open-source проектов, наиболее успешный из которых Vulristics. Ну так, весьма ограниченно успешный, на 74 звёздочки. Не Nmap чай. 🌝

3. Ресерчил всякое, выступал на всяких конфах, писал всякое в свой блог и telegram-каналы. Что-то из этого даже до сих пор актуально. Не сказать, что прям успешный успех, но в целом норм. 🗿

В общем, это почти эталонный бесячий вопрос, особенно под кризис среднего возраста. 🙂 Гораздо жёстче "вашего наиболее сложного проекта" и "кем видите себя через 5 лет". 😈

Продвижение "личного бренда" и "личного бреда"

Добавить комментарий

Продвижение "личного бренда" и "личного бреда". Посмотрел презентацию Дениса Батранкова про личный бренд для HR-конференции. Там около 10 слайдов про то о чём и как писать, как на негатив реагировать, как youtube и telegram-канал вести. Интересно и толково. Но, мне кажется тут неплохо сначала разобраться: а ты точно хочешь превратить живого себя в фабрику по производству контента и повышению узнаваемости/цитируемости? 🧐

Если да, то делай по методичке. 👌

У меня же никогда такого желания не было. Мне хотелось фиксировать свои мысли ("личный бред") и делиться этим. Если кто-то тоже это читает — очень круто!

Я бы давал (прежде всего себе) 3 рекомендации:

1. Пиши о том, что лично тебе интересно. Если неинтересно — не пиши.
2. Пиши так, как будто всем пофиг и никто не читает (это +- так и есть 🙂).
3. Тройной фильтр Сократа решает. Это правда? Это доброе? Это полезное? Тогда пиши.

Хотя с точки зрения "продвижения бренда" это может быть жутко неэффективно. 🤷‍♂️

Размышляю о детектировании имени уязвимого продукта в Vulristics

1 комментарий

Размышляю о детектировании имени уязвимого продукта в Vulristics. Коллеги из PT ESC выложили крутую статью про атаки группировки (Ex)Cobalt на российские компании. Там, среди прочего, упоминается, что злоумышленники эксплуатируют уязвимости CVE-2023–38831 и CVE-2023–3519. Забил их в Vulristics.

🔻 WinRAR-ную уязвимость CVE-2023–38831 я уже тут подсвечивал и по ней всё более-менее неплохо продетектилось.
🔻А для уязвимости Citrix CVE-2023–3519 Vulristics не смог продетектировать уязвимый продукт по описанию уязвимости. Потому что всё описание в NVD это: "Unauthenticated remote code execution". И всё. 😄 NVD не перестаёт удивлять.

Чем такое скомпенсировать?

🔹 Брать название продукта и тип уязвимости из CISA KEV. Решение только для ~1000 уязвимостей и +1 коннектор. Такое себе.
🔹 Детектить уязвимый продукт на основе cpe. ⬅️ склоняюсь к этому, т.к. можно разом получить черновые детекты для множества продуктов из cpe dictionary.