О, нет, он исчез!!

#meme

Вот такая романтика

Если вам тоже интересно послушать, вот, мне пока прям заходит

Резюмируя

Ну, начинать с харденинга ядра, а ближе к концу разбирать структуру сообщений сислога - это сильно 😅
В общей сложности, для тех, кто только погружается в тему безопасности линуксов - прям хорошо. Снова убеждаюсь, что по большей части мне нравится подача материала на митапах джетов: просто и по делу. От себя могу добавить еще пару достойных докладов с их последнего кэмпа

Настройка аудита Windows: эффективное детектирование атак
// эх, если бы к этому прислушивались все; а пока что большую часть этих и других рекомендаций мы выдаем уже после произошедшего инцидента

TOP-10 криминалистических артефактов Windows при расследовании инцидентов
// мне кажется, это лучшее исполнение десятки полезных артефактов по винде, которое могло бы быть :) правда, меня вот теперь тоже* триггерит, когда amcache относят к execution артефактам

Чертоги оперативной памяти: как проанализировать то, что пока не забыто
// 11 из 10! даже для тех, кто не понаслышке знаком с анализом оперативки, будет интересно как минимум в разрезе практических кейсов

#windows #forensics

Кстати! Как бы ни на что не намекая, но вдобавок еще закину репорт касперов, который они релизнули на прошлой неделе

#report

Минутка занимательных фактов
Ушла эпоха, в прямом и переносном смыслах :)

Утро начинается не с кофе,
а с подготовки презентации к докладу

Из описания:

Нельзя преуменьшить распространенность телеги в наше время, ведь тут все: и друзья, и работа, и «файлообменник с гигабайтами свежей информации». Неудивительно, что злоумышленники добрались и до него. В докладе расскажу:
- что и у любимой телеги есть свои нюансы,
- почему облачный пароль важен, но не всегда работает,
- наглядно продемонстрирую пример атаки, как все-таки крадут эти чертовы сессии?!
- разберем кейсы in the wild, а именно кто и как этим пользуется,
ну и, конечно же, что теперь с этим всем делать.

В общем, если выбирать тему, от неосвещенности которой хочется кричать, то это оно

На этой неделе прошел SOC Forum, наконец-таки досмотрела записи докладов. По традиции хотелось бы отдельно выделить наиболее интересные и полезные с моей колокольни:

Подводные камни экспертных утилит при работе SOC с инструментами (Максим Суханов, МТС RED)

Тренды атак 2022-2023 (Денис Кувшинов, Positive Technologies)

Как отличать хорошие киберразведданые от плохих? (Олег Скулкин, BI. ZONE)

Щелчок Таноса для оператора связи (Игорь Залевский, Solar 4RAYS)

Форензика в SOC и опыт расследований в 2023 (Артем Семагин, Jet CSIRT)

Даже не знаю, где вы еще найдете такую работу,
чтобы в рабочее время сидеть с серьезным выражением лица и собирать пазлы

bmc-tools + RdpCacheStitcher = <3

#git #soft

Я просто оставлю это здесь

https://github.com/evild3ad/MemProcFS-Analyzer

#git #soft

Кстати, не могу не поделиться
Вчера увидела отличный материал по sigma-based утилитам, очень полезный инструмент для респондера и более быстрого первичного анализа данных. Выбирайте своего любимчика, мой вот тоже есть в этом списке ;)
https://xakep.ru/2023/11/24/threat-hunting-tools/

И еще одна статья от Антона @RussianF0rensics с минимально необходимым набором знаний по восстановлению файлов в NTFS. Однозначно читать!
https://xakep.ru/2023/06/06/ntfs-restore-2/

#basics #tips

Когда говоришь, что работаешь в области компьютерной КРИМИНАЛИСТИКИ

Ну ладно, ладно, немного и такого есть, конечно 🌝

#meme

Indicator of Compromise != Indicator of Attack

Разберем на простом примере:
на одном из хостов вы фиксируете события по вводу команд whoami, ping ya.ru и через пару секунд проверку настроенных трастов через nltest /trusted_domains. Начинаете раскручивать цепочку и реально понимаете, что перед вами джамп сервер, удаленно подключившись к которому, злоумышленники начали проводить разведку. То есть, благодаря этим событиям вы можете обнаружить, что ваш хост/сеть скомпрометированы, НО является ли ввод команды whoami индикатором компрометации?
Нет, потому что в данном случае это индикатор определенного этапа проводимой атаки

Для большей наглядности, еще один пример. После разбора каждого инцидента отдельно указываются индикаторы компрометации, просканировав на которые, можно однозначно установить, скомпрометирован ли хост, то есть есть ли следы активности атакующих на нем. Согласитесь, проверив события на whoami даже в ретроспективе, такой однозначности у вас не будет

Еще раз!
Индикатор атаки: выполнение команды schtasks /create /tn K0adic /tr "C:\Windows\system32\mshta.exe C:\ProgramData\SZWXNUHHDP.hta" /sc onlogon /ru System /f
Индикаторами компрометации впоследствии могут быть имя запланированной задачи K0adic, вредоносный файл C:\ProgramData\SZWXNUHHDP.hta

Дополнительно прикладываю к посту white paper от краудстрайков на эту тему

#tips