Какую информацию современный автомобиль собирает о водителе и пассажирах.

Современный автомобиль — это не просто средство передвижения, а скорее компьютер на колёсах. Около половины его стоимости составляет электроника и софт: сенсоры, контроллеры, компьютерные компоненты и управляющее ПО.

К сожалению, вслед за производителями телевизоров и другой бытовой техники автоконцерны тоже открыли для себя новый источник доходов — сбор данных о своих пользователях (то есть автовладельцах). Такие выводы можно сделать из недавнего отчёта «Приватность не включена» от организации Mozilla. Если верить документу, современный автомобиль — это настоящий комбайн по сбору персональных данных.

Читать дальше →https://habr.com/ru/companies/globalsign/articles/769130

Мы рассмотрим, как защитить маршруты в Next.js 13 с помощью трех различных методов.

Веб-приложения часто обрабатывают конфиденциальные данные и функции администрирования, которые должны быть доступны только прошедшим проверку подлинности пользователям. В таких случаях защита маршрутов становится решающей для защиты этих маршрутов от несанкционированного доступа. https://www.freecodecamp.org/news/secure-routes-in-next-js

OSINTk.o — ISO-образ на базе Kali Linux для OSINT-расследований.

https://github.com/LinaYorda/OSINTko

Вопросы для собеседования по Web AppSec (16 минут чтения)

Серия вопросов по безопасности веб-приложений для подготовки к собеседованиям. подробнее→

https://tib3rius.com/interview-questions

** Понимание и совершенствование пользовательского интерфейса Ghidra для анализа вредоносного ПО (3 минуты чтения)

В этой статье приведены некоторые советы по улучшению пользовательского интерфейса Ghidra для упрощения анализа вредоносного ПО. К ним относятся включение темного режима, подсветка текста курсором, окно просмотра энтропии, дерево вызовов функций и граф функций. подробнее→ https://embee-research.ghost.io/understanding-and-improving-ghidra-ui-for-malware-analysis/

Модели машинного обучения (ML) доступны публично через Интернет внутри команд и между командами. Рост базовых моделей привел к тому, что общедоступные модели ML все чаще используются для дальнейшего обучения/точной настройки. Модели машинного обучения все чаще используются для принятия важных решений и поддержки критически важных приложений. Несмотря на это, модели не сканируются так же тщательно, как PDF-файл в вашем почтовом ящике.

modelscan (Github Repo) ModelScan - это проект с открытым исходным кодом, который сканирует модели на предмет наличия в них небезопасного кода. Инструмент поддерживает множество форматов и режимов выполнения ML, и в ближайшее время будут добавлены новые возможности. Это первый инструмент для сканирования моделей, поддерживающий несколько форматов моделей. подробнее→ https://github.com/protectai/modelscan

Как распознать мошеннический сайт. Памятка безопаснику для обучения пользователей основам ИБ.

Продолжаю делиться советами на основе собственного опыта о том, как сеять умное-доброе-вечное среди сотрудников и при этом не наломать дров. Сегодня же хочу сфокусироваться на теме фишинговых сайтов. Под катом материал, который на мой взгляд будет полезен отделам ИБ и ИТ, на которых свалилось «счастье» повышать уровень киберграмотности сотрудников.

Читать далее https://habr.com/ru/companies/searchinform/articles/770700

Не набирайте тексты в интернете, или Обфускация времени между нажатиями клавиш в SSH

В августе этого года в ssh(1) (клиент OpenSSH) внесено изменение с поддержкой обфускации тайминга нажатий клавиш, то есть интервалов между временем нажатия клавиш на клавиатуре.

Спрашивается, почему разработчики озаботились такими нюансами информационной безопасности? Но причина есть. И на самом деле такие меры должны предпринять все программы, которые допускают ввод паролей в интернете (или вообще любого конфиденциального текста). В первую очередь, браузеры и мессенджеры. https://habr.com/ru/companies/ruvds/articles/770792/

Интерфейс — это первое, что получает пользователь, когда использует ваш веб-сайт или веб-приложение. Если внешний интерфейс вашего веб-приложения взломан, это может повлиять на весь макет и создать ужасный пользовательский опыт, от которого будет трудно восстановиться. Эта статья расскажет вам о превентивных контрмерах, которые вы можете применить для защиты своих веб-приложений. https://blog.openreplay.com/front-end-security--threats-and-countermeasure

Коллекция Python Hacks примеры кода для различных задач кибербезопасности.

https://github.com/RekhuGopal/PythonHacks

[Перевод] История одного наследства: как я с помощью OSINT и социальной инженерии заскамил скамера.

Зарубежный исследователь hatless1der в своём личном блоге поделился довольно актуальной проблемой, с которой сталкивались очень многие в своей обыденной жизни вне зависимости от профессии.

Вашему вниманию предоставляется перевод этой увлекательной истории как примера применения своих навыков в бытовых реалиях.

Я получил это письмо на свой почтовый ящик для бизнеса еще в 2022 году, и оно попало прямиком в папку спама, как это и должно было быть...

Читать далее https://habr.com/ru/articles/772042/

Обход панели администратора с помощью SQL-инъекции

Сегодня я хочу поделиться недавним открытием: я обнаружил уязвимость в веб-приложении, которая позволяла мне обойти его панель администратора. Я объясню, как работает эта уязвимость, известная как SQL-инъекция, и как я использовал ее для получения несанкционированного доступа. https://medium.com/@medz20876/blog-post-bypassing-an-admin-panel-with-sql-injection-20b844442711

Как узнать, защищены ли ваши системы? Тестирование на проникновение — один из способов это выяснить. Вот как настроить Kali Linux, который имеет полный набор инструментов для тестирования безопасности.

https://thenewstack.io/penetration-testing-with-kali-linux-as-a-docker-container

В этом блоге рассказывается об опасностях Docker и о том, как доступ к демону Docker открывает возможности для его использования в качестве вектора атаки.

https://medium.com/@serafincpd/root-by-accident-privilege-escalation-using-docker-8f121079fa01

Проверьте свой браузер, чтобы узнать, насколько хорошо вы защищены от отслеживания и снятия отпечатков пальцев: https://coveryourtracks.eff.org/

Набор инструментов безопасности для взаимодействия с LLM

https://github.com/laiyer-ai/llm-guard

Репозитарий, в котором перечислены все GPT, связанные с кибербезопасностью . Взгляните – список постоянно пополняется и вариантов использования уже много!

https://github.com/fr0gger/Awesome-GPT-Agents

Лучшие Практики Обеспечения Безопасности В Next.Js

Next.js — это популярная среда React, которую можно использовать для создания высокопроизводительных и безопасных веб-приложений. Однако даже приложения Next.js не застрахованы от атак. В этой статье будут обсуждаться некоторые из лучших практик по обеспечению безопасности ваших приложений Next.js, охватывающие ряд стратегий, от базовых методов кодирования до расширенных мер безопасности.
https://blog.openreplay.com/best-practices-for-security-in-nextjs

Kubeshark Анализатор трафика API для #Kubernetes , обеспечивающий видимость на уровне протокола K8s в реальном времени, захватывающий и отслеживающий весь трафик и полезные нагрузки, входящие и исходящие, а также между контейнерами, модулями, узлами и кластерами. https://github.com/kubeshark/kubeshark

Rego 101: Введение в Rego
Эта серия сообщений в блоге предлагает краткое введение в Rego, язык политики от создателей движка Open Policy Agent (OPA). В этой серии рассматриваются основные концепции Rego и способы начала работы с OPA, промежуточный синтаксис Rego, а также типы значений и правил. https://snyk.io/blog/introduction-to-rego

Turbo Intrumer — это расширение Burp Suite для отправки большого количества HTTP-запросов и анализа результатов. https://github.com/PortSwigger/turbo-intruder

Самый быстрый кэш WP SQLi выявил 600 тысяч уязвимых сайтов WordPress
Функция is_user_admin плагина WP Fastest Cache извлекает имя пользователя из файлов cookie, чтобы проверить, является ли пользователь администратором. Однако имя пользователя не очищается и, следовательно, может привести к SQL-инъекции. Вышла исправленная версия плагина. WPScan выпустит свой экспериментальный эксплойт 27 ноября 2023 года. https://www.bleepingcomputer.com/news/security/wp-fastest-cache-plugin-bug-exposes-600k-wordpress-sites-to-attacks

SqliSniper— это надежный инструмент Python, предназначенный для обнаружения слепых SQL-инъекций

https://github.com/danialhalo/SqliSniper