Испытание кода безопасности для разработчиков
Damn Vulnerable RESTaurant — это намеренно уязвимый API-сервис, разработанный как платформа обучения и подготовки для разработчиков, этических хакеров и инженеров по безопасности. Он охватывает популярные уязвимости API, в том числе 10 основных рисков безопасности API OWASP, предоставляя интерактивную среду для выявления и исправления уязвимостей, их эксплуатации вручную или с помощью инструментов автоматизации, а также тестирования механизмов безопасности.

https://devsec-blog.com/2024/04/security-code-challenge-for-developers-ethical-hackers-the-damn-vulnerable-restaurant

Как приручить SQL-инъекцию (5 минут чтения)
На протяжении более десяти лет инъекционные уязвимости буквально возглавляли списки критически опасных недостатков программного обеспечения, которые считались более серьезными, чем все другие типы уязвимостей в списках 10 лучших за 2010, 2013 и 2017 годы, составленных Open Web Application Security Project (OWASP). Тем не менее, предупреждения не смогли устранить проблемы. https://www.darkreading.com/application-security/tools-and-techniques-to-tame-sql-injection


LLM Архитектура безопасности (5 минут чтения)
В этом посте рассматриваются варианты использования, связанные с LLM Security. Проблемы, связанные с чат-ботами, по сути, являются просто проблемами DLP. Фильтрация ввода и вывода актуальна для пользовательских приложений, если вы полагаетесь на закрытые данные или кэш LLM. https://pulse.latio.tech/p/llm-security-architecture

Полное руководство по секретам в Lambda (12 минут чтения)
Подробное руководство по различным вариантам хранения секретов в Lambda. В руководстве сравниваются производительность, стоимость и возможность аудита переменных среды, хранилища параметров, диспетчера секретов и KMS. В заключение приводятся примеры ситуаций и стратегий. https://aaronstuyvenberg.com/posts/ultimate-lambda-secrets-guide

Критические уязвимости захвата в 92 000 устройствах D-Link, находящихся в активной эксплуатации (3 минуты чтения)
Хакеры используют уязвимости в 92 000 устройствах D-Link, чтобы удаленно получить контроль над ними. Уязвимости существуют в устройствах с истекшим сроком эксплуатации, которые больше не поддерживаются производителем. Пользователям следует обновить прошивку или заменить устаревшее оборудование, чтобы защититься от этих атак.

https://arstechnica.com/security/2024/04/hackers-actively-exploit-critical-remote-takeover-vulnerabilities-in-d-link-devices

Крестовый поход AWS против подмены IP-адресов и DDoS-атак (7 минут чтения)
Продолжая борьбу с DDoS-атаками, компания Amazon Web Services (AWS) добилась значительного прогресса в решении давней проблемы подмены IP-адресов, которая позволяет злоумышленникам скрывать источник атак. В этом интервью AWS объясняет свой новый подход к решению проблемы https://www.securityweek.com/inside-awss-crusade-against-ip-spoofing-and-ddos-attacks

Кностик (запуск продукта)
Knostic не позволяет чат-ботам, используемым предприятиями, делиться конфиденциальной информацией с сотрудниками, у которых не должно быть к ней доступа. https://www.knostic.ai/

Глубокое погружение во внутреннее устройство Seccomp – Часть 1 (10-минутное чтение)
В этом сообщении блога рассматриваются внутренние особенности seccomp, включая его архитектуру, ключевые концепции и практические приложения. В посте представлены примеры кода ядра, относящиеся к архитектуре x86_64 с ядром Linux версии 6.7.1. Ожидается, что вторая часть статьи будет посвящена уведомлениям seccomp.

https://www.armosec.io/blog/seccomp-internals-part-1

SSD killer

SSD killer — destroyer for your ssd

Привет, меня зовут Ваня, и вот коротенькая история о том, как я придумал и собрал одну штуку, и почему вам нужно срочно отдать мне все свои деньги.

А если серьезно, это устройство для оперативного аппаратного уничтожения данных вместе с носителем. По своей сути это аналог чеховского ружья, у которого цель выстрелить в нужный момент. https://habr.com/ru/companies/selectel/articles/808335/

DNSViz — это набор инструментов для анализа и визуализации поведения системы доменных имен (DNS), включая ее расширения безопасности (DNSSEC). Этот набор инструментов обеспечивает веб-анализ, доступный по адресу https://dnsviz.net/.

https://github.com/dnsviz/dnsviz

Число уязвимостей в приложениях искусственного интеллекта и машинного обучения стремительно растет

Только в апреле 2024 года уже было обнаружено целых 48 уязвимостей в широко используемых проектах программного обеспечения с открытым исходным кодом (OSS), таких как MLFlow , Ray и Triton Inference Server .

Эта цифра представляет собой рост на 220% по сравнению с 15 уязвимостями, о которых впервые сообщалось в ноябре, отмечается в отчете. https://securityboulevard.com/2024/04/vulnerabilities-for-ai-and-ml-applications-are-skyrocketing/

Блаухонт (репозиторий GitHub)
Blauhaunt — это набор инструментов для фильтрации и визуализации событий входа в систему, который предназначен для отслеживания событий и действий пользователя при входе в систему.

https://github.com/cgosec/Blauhaunt

Пошаговая шпаргалка по защите сервера от хакеров и другой нечисти

https://habr.com/ru/companies/selectel/articles/809669/

Автоматизация тестирования уязвимостей API с использованием рабочих процессов Postman (4-минутное чтение)
В этом сообщении блога обсуждается автоматизация тестирования уязвимостей API с помощью рабочих процессов Postman — функции, которая упрощает процесс демонстрации уязвимостей API без программирования. https://haymiz.dev/security/2024/04/27/automating-apis-with-postman-workflows

Prophet Security (запуск продукта)
Prophet AI for Security Operations фильтрует входящие оповещения и для каждого из них собирает, сопоставляет и анализирует данные из нескольких источников, чтобы предоставить заключение и подробное описание расследования. https://www.prophet.security/

GraphQL Cop (репозиторий GitHub)
GraphQL Cop — это утилита Python, которая выполняет общие тесты безопасности API GraphQL. Его можно включить в CI/CD и предоставлять запросы cURL для получения любых результатов.
https://github.com/dolevf/graphql-cop

Инспектор приложений (репозиторий GitHub)
Application Inspector — это анализатор исходного кода, созданный для выявления интересующих функций и других характеристик, чтобы ответить на вопрос «Что в коде?» быстро с помощью статического анализа с обработчиком правил на основе JSON. Он идеально подходит для сканирования компонентов перед использованием или обнаружения изменений на уровне функций.
https://github.com/microsoft/ApplicationInspector

Как Apple на самом деле следит за вами

По счастливой случайности я оказался резидентом Евросоюза, а значит, на меня также распространяется GDPR. Он позволяет мне запросить копию информации, которая хранится обо мне у всяких разных компаний. Я решил сделать это у Apple, и был неприятно удивлен. https://habr.com/ru/articles/812043/

Semgrep для Terraform Security (5 минут чтения)
В этой статье представлены некоторые варианты использования и примеры использования Semgrep для защиты развертываний Terraform.

https://ramimac.me/semgrep-for-terraform

Шпаргалка по безопасной сборке Docker-образов

Каждый контейнер Docker основан на образе, который обеспечивает базу для всего, что вы когда-либо будете развертывать и запускать. Если злоумышленник как-то повлияет на сборку образа и изменит Dockerfile, то сможет совершить навредить вашим системам. Например, добавить вредоносный код, получить доступ к секретным данным сборки или атаковать хост-компьютер. Поэтому защита начинается уже во время подготовки образа, с первой инструкции.

Привет, Хабр! Меня зовут Эллада, я специалист по информационной безопасности в Selectel. Продолжаю рассказывать о безопасности в Docker. Под катом расскажу, как настроить сборку образов, обеспечить безопасность и добавить сканирование в пайплайн. https://habr.com/ru/companies/selectel/articles/813047/

Kube No Trouble (репозиторий GitHub)
Kubent — это инструмент для проверки того, использует ли кластер Kubernetes устаревшие API. Его можно запускать в конвейерах CI/CD или вручную.
https://github.com/doitintl/kube-no-trouble

BurpScript (репозиторий GitHub)
BurpScript добавляет в Burp Suite возможности динамического написания сценариев, позволяя вам писать сценарии на Python или Javascript для управления HTTP-запросами и ответами.
https://github.com/ivision-research/burpscript

Руководство по защите удаленного доступа с помощью ключей SSH

Пошаговое руководство по защите ваших SSH-соединений с помощью аутентификации на основе ключей SSH https://infosecwriteups.com/a-guide-to-securing-your-remote-access-using-ssh-keys-84b48097f3bf

3 самые простые ошибки, которые вы можете найти прямо сейчас [гарантировано]

https://systemweakness.com/3-easiest-bugs-that-you-can-find-right-now-guarantied-71ef89efd1a7