Tailscale SSH теперь общедоступен
Мы рады сообщить, что Tailscale SSH теперь общедоступен. Tailscale SSH позволяет Tailscale управлять аутентификацией и авторизацией SSH-соединений

https://tailscale.com/blog/tailscale-ssh-ga

Переосмысление безопасности паролей: попрощайтесь с паролями в виде открытого текста
Понимание того, что такое аутентификация без пароля и как она меняет правила игры как для пользовательского опыта, так и для безопасности.

https://appwrite.io/blog/post/goodbye-plaintext-passwords

Лучшие бесплатные ресурсы для изучения этичного хакинга и кибербезопасности

https://habr.com/ru/articles/802449/

Более 170 тысяч пользователей пострадали от атаки с использованием поддельной инфраструктуры Python (9 минут чтения)
В этом посте рассказывается о сложной кампании кибератак, которая затронула более 170 000 пользователей с использованием поддельной инфраструктуры Python. Злоумышленники использовали различные тактики, такие как захват учетных записей, размещение вредоносного кода, настройка собственного зеркала Python и публикация вредоносных пакетов в реестре PyPi. Они также захватывали учетные записи GitHub, публиковали вредоносные пакеты Python и использовали схемы социальной инженерии.

https://checkmarx.com/blog/over-170k-users-affected-by-attack-using-fake-python-infrastructure

k8spacket — визуализация трафика пакетов для kubernetes

https://github.com/k8spacket/k8spacket

#вакансия #job #vacancy #remote #parttime #преподаватель #reverse #SIEM #инциденты

Компания: OTUS – образовательная платформа. За более чем 6 лет работы мы создали более 170 авторских курсов для IT-специалистов разного уровня от Junior до Senior. Практически на каждом нашем курсе есть вступительное тестирование для наших студентов, плюс более 650 преподавателей-практиков из крупнейших компаний. Мы учимся друг у друга, советуемся, помогаем, делимся опытом и обсуждаем новости как в преподавании, так и в IT.

Вакансия: преподаватель онлайн-курса (интересные темы и нагрузку можно выбрать)
«Reverse Engineering»
«Специалист по внедрению SIE»
«Реагирование на инциденты ИБ»

Требуется практический опыт в рамках тематики курса. Можно без опыта преподавания. Мы с удовольствием поможем Вам освоить Best Practices преподавания: для этого у нас есть вводный курс по преподаванию и пробные уроки с методистом.

Преподаватель раскрывает тему урока с помощью теории и примеров из практики.

Условия:
✅ удаленное сотрудничество, занятость part-time.
✅стандартное занятие длится 1,5 часа с 20:00 до 21:30 по МСК.
✅ уроки проводятся в онлайн формате в Zoom.
✅ на занятиях используется презентация с теорией и практические примеры, чтобы раскрыть тему урока.
✅ наши методисты помогают освоить лучшие инструменты и практики преподавания.

Еще Вы сможете:
✅ внести свой вклад в развитие IT.
✅ структурировать свой опыт и знания.
✅ развивать личный бренд.
✅ прокачать софт-скиллы.
✅ получать от 3000 до 6000 руб. за проведение одного вебинара (полтора часа), проведение открытых уроков и другие активности (при желании), есть доплата за разработку материалов к занятиям (при необходимости).

Бонусы:
✅ наши курсы со скидкой/бесплатно.
✅ возможность приглашать в свою команду на работу лучших выпускников.
✅ воркшопы и конференции для наших преподавателей.

Подробнее в telegram: @ElenaAlias

Бэкдор, обнаруженный в широко используемой утилите Linux, взламывает зашифрованные SSH-соединения

Вредоносный код, внедренный в xz Utils, циркулирует уже больше месяца.
https://arstechnica.com/security/2024/03/backdoor-found-in-widely-used-linux-utility-breaks-encrypted-ssh-connections/

Простой в использовании эксплойт make-me-root доступен для последних ядер Linux. Получите исправления (4 минуты чтения)
Помимо xz, у пользователей Linux есть еще одна уязвимость — CVE-2024-1086. Версии ядра Linux между 5.14 и 6.6.14 подвержены повышению привилегий. Вероятность успеха эксплойта составляет 99,4% на ядре 6.4.16.
https://www.theregister.com/2024/03/29/linux_kernel_flaw

Испытание кода безопасности для разработчиков
Damn Vulnerable RESTaurant — это намеренно уязвимый API-сервис, разработанный как платформа обучения и подготовки для разработчиков, этических хакеров и инженеров по безопасности. Он охватывает популярные уязвимости API, в том числе 10 основных рисков безопасности API OWASP, предоставляя интерактивную среду для выявления и исправления уязвимостей, их эксплуатации вручную или с помощью инструментов автоматизации, а также тестирования механизмов безопасности.

https://devsec-blog.com/2024/04/security-code-challenge-for-developers-ethical-hackers-the-damn-vulnerable-restaurant

Как приручить SQL-инъекцию (5 минут чтения)
На протяжении более десяти лет инъекционные уязвимости буквально возглавляли списки критически опасных недостатков программного обеспечения, которые считались более серьезными, чем все другие типы уязвимостей в списках 10 лучших за 2010, 2013 и 2017 годы, составленных Open Web Application Security Project (OWASP). Тем не менее, предупреждения не смогли устранить проблемы. https://www.darkreading.com/application-security/tools-and-techniques-to-tame-sql-injection


LLM Архитектура безопасности (5 минут чтения)
В этом посте рассматриваются варианты использования, связанные с LLM Security. Проблемы, связанные с чат-ботами, по сути, являются просто проблемами DLP. Фильтрация ввода и вывода актуальна для пользовательских приложений, если вы полагаетесь на закрытые данные или кэш LLM. https://pulse.latio.tech/p/llm-security-architecture

Полное руководство по секретам в Lambda (12 минут чтения)
Подробное руководство по различным вариантам хранения секретов в Lambda. В руководстве сравниваются производительность, стоимость и возможность аудита переменных среды, хранилища параметров, диспетчера секретов и KMS. В заключение приводятся примеры ситуаций и стратегий. https://aaronstuyvenberg.com/posts/ultimate-lambda-secrets-guide

Критические уязвимости захвата в 92 000 устройствах D-Link, находящихся в активной эксплуатации (3 минуты чтения)
Хакеры используют уязвимости в 92 000 устройствах D-Link, чтобы удаленно получить контроль над ними. Уязвимости существуют в устройствах с истекшим сроком эксплуатации, которые больше не поддерживаются производителем. Пользователям следует обновить прошивку или заменить устаревшее оборудование, чтобы защититься от этих атак.

https://arstechnica.com/security/2024/04/hackers-actively-exploit-critical-remote-takeover-vulnerabilities-in-d-link-devices

Крестовый поход AWS против подмены IP-адресов и DDoS-атак (7 минут чтения)
Продолжая борьбу с DDoS-атаками, компания Amazon Web Services (AWS) добилась значительного прогресса в решении давней проблемы подмены IP-адресов, которая позволяет злоумышленникам скрывать источник атак. В этом интервью AWS объясняет свой новый подход к решению проблемы https://www.securityweek.com/inside-awss-crusade-against-ip-spoofing-and-ddos-attacks

Кностик (запуск продукта)
Knostic не позволяет чат-ботам, используемым предприятиями, делиться конфиденциальной информацией с сотрудниками, у которых не должно быть к ней доступа. https://www.knostic.ai/

Глубокое погружение во внутреннее устройство Seccomp – Часть 1 (10-минутное чтение)
В этом сообщении блога рассматриваются внутренние особенности seccomp, включая его архитектуру, ключевые концепции и практические приложения. В посте представлены примеры кода ядра, относящиеся к архитектуре x86_64 с ядром Linux версии 6.7.1. Ожидается, что вторая часть статьи будет посвящена уведомлениям seccomp.

https://www.armosec.io/blog/seccomp-internals-part-1

SSD killer

SSD killer — destroyer for your ssd

Привет, меня зовут Ваня, и вот коротенькая история о том, как я придумал и собрал одну штуку, и почему вам нужно срочно отдать мне все свои деньги.

А если серьезно, это устройство для оперативного аппаратного уничтожения данных вместе с носителем. По своей сути это аналог чеховского ружья, у которого цель выстрелить в нужный момент. https://habr.com/ru/companies/selectel/articles/808335/

DNSViz — это набор инструментов для анализа и визуализации поведения системы доменных имен (DNS), включая ее расширения безопасности (DNSSEC). Этот набор инструментов обеспечивает веб-анализ, доступный по адресу https://dnsviz.net/.

https://github.com/dnsviz/dnsviz

Число уязвимостей в приложениях искусственного интеллекта и машинного обучения стремительно растет

Только в апреле 2024 года уже было обнаружено целых 48 уязвимостей в широко используемых проектах программного обеспечения с открытым исходным кодом (OSS), таких как MLFlow , Ray и Triton Inference Server .

Эта цифра представляет собой рост на 220% по сравнению с 15 уязвимостями, о которых впервые сообщалось в ноябре, отмечается в отчете. https://securityboulevard.com/2024/04/vulnerabilities-for-ai-and-ml-applications-are-skyrocketing/

Блаухонт (репозиторий GitHub)
Blauhaunt — это набор инструментов для фильтрации и визуализации событий входа в систему, который предназначен для отслеживания событий и действий пользователя при входе в систему.

https://github.com/cgosec/Blauhaunt

Пошаговая шпаргалка по защите сервера от хакеров и другой нечисти

https://habr.com/ru/companies/selectel/articles/809669/

Автоматизация тестирования уязвимостей API с использованием рабочих процессов Postman (4-минутное чтение)
В этом сообщении блога обсуждается автоматизация тестирования уязвимостей API с помощью рабочих процессов Postman — функции, которая упрощает процесс демонстрации уязвимостей API без программирования. https://haymiz.dev/security/2024/04/27/automating-apis-with-postman-workflows

Prophet Security (запуск продукта)
Prophet AI for Security Operations фильтрует входящие оповещения и для каждого из них собирает, сопоставляет и анализирует данные из нескольких источников, чтобы предоставить заключение и подробное описание расследования. https://www.prophet.security/