Визуал – наше всё

Полезная нейронка для визуализации чего-угодно. Очень круто выстраивает связи и визуально структурирует любую текстовую информацию, которую в нее загружаешь. Умеет пережевывать разные форматы – хоть презентации в PowerPoint, хоть ГуглДоксы, хоть странички из Ноушена.

Очень полезно для того, чтобы разложить по полочкам большие объемы информации, когда что-то изучаешь или разбираешь новую тему например.

А вот и сервис – ссылка

🧠 Твой Пакет Знаний | 🛍 Другие каналы

Одна из самых популярных точек входа в мир кибербезопасности через инженера SOC L1. Более того, эта позиция дает достаточно очевидный и прозрачный рост в сторону L2 и L3. Единственный нюанс – многие до сих пор думают, что SOC, это что-то про мониторинг инцидентов, хотя это далеко не так.

Я тут наткнулся на годный файлик, в котором подробно и лаконично расписана вся подноготная SOC – начиная с его структуры, заканчивая описанием каждой роли внутри него. Более того, там даже есть заметки на тему того, чего не хватает ребятам с L1 для того, чтобы перейти на L2 и так далее.

В общем, делюсь. Кажется, такие вещи нужно знать всем безопасникам.

#SOC #BaseSecurity

🧠 Твой Пакет Знаний | 🛍 Другие каналы

Строим DevSecOps и усложняем аббревиатуры

Есть одно отечественное безопасное сообщество под названием FinDevSecOps. Они тут на днях состряпали и опубликовали свой классификатор существующих на рынке DevSecOps решений и карту DevSecOps-инструментов.

Там есть как коммерческие решения (надеюсь, что эта история не проплачена), так и опенсорс, что важно. Чем же это может помочь тебе? Да тем, что нагуглить всю эту информацию крайне сложно. Особенно, с учетом того, что в поисковиках будет ранжирование явно не по уровню пользы.

Ну а если ты матерый безопасник или CISO, которому нужно в ближайшее время выстроить кибербез в своей компании, то это вообще мёд, так как не нужно тратить деньги и время на лишний ресерч. Глянуть это добро можно вот тут или в файлике, который я прикрепил к посту.

Короче, забираем однозначно.

#BaseSecurity #DevSecOp

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

🌹 С 8 марта кстати!

Давай мясо

Не помню, скидывал ли я эту визуальную мясорубку сюда или нет, но держите – ссылка

Здесь наглядно показано, почему ребята из DevSecOps зарабатывают больше среднего по больнице. В целом, можно брать эту референсную схему и накладывать ее на ваш ландшафт, процессы и технологии.

Да, потом придется все это строить, но это уже совсем другая история.

#DevSecOps

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Безопасность куберов

Наткнулся на комплексный гайд от ребят из CrowdStrike (помните их, да? ну ладно, с кем не бывает) про то, как атакуют и защищают кластера Kubernetes.

В целом, ничего нового, помимо хорошо расписанных векторов атак. Ну а если вы только погружаетесь в безопасность k8s, то для начала советую почитать старую-добрую базу от ребят из QIWI – ссылка

#DevSecOps #BaseSecurity #CloudSecurity

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Врум-врум, коллеги по цеху. Настало время попробовать стримы на технические темы и разборы чего-то хардкорного, за которые вы голосовали вот здесь.

В этот раз обсудим достаточно попсовую, но всё еще болезненную для многих тему харденинга k8s. Это спрашивают на собеседованиях, это пригождается в работе. Да и в целом, полезно будет узнать, как защищать то, на чем держится 80% энтерпрайза в наши дни.

Ну а расскажет вам об этом самый настоящий кибербезопасник и автор канала s3c4rch – @tembitt

🗓 Когда: 16 марта в 16:00 по мск
📍 Где: прямо в этом канале в формате стрима

Честно не знаю, что из этого получится, но если вам зайдет, то будем продолжать.

#DevSecOps #BaseSecurity #CloudSecurity

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Я распишу поминутно, как баги искать

Сначала компании нанимают безопасников в штат. Потом компании выводят свои продукты на БагБаунти. После этого они сами выпускают статьи, чтобы научить багхантеров находить уязвимости в своих же продуктах за деньги. Ох уж этот дивный мир 😫

Шутки шутками, то если вы смотрите в сторону багхантинга и еще не преисполнились в его познании, то ловите годную статью с подробнейшим разбором того, что это такое и с чем это есть – ссылка. Там и про типовые инструменты, и про автоматизацию, и про то, как вообще выглядит этот процесс поиска слабостей безопасности.

Ребятам из Бастиона кстати отдельный респект. Писал с ними пару статей – лично у меня остались только положительные эмоции.

И да, такое мы читаем.

#Pentest #BugBounty

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Сегодня митапный муд 🥔

🐹 Напоминаю всем, что уже завтра собираемся здесь в 16:00, чтобы послушать крутой доклад по харденингу k8s. Друзей тоже приводите.

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Мы начинаем потихоньку стрим с докладом на тему безопасности k8s, поэтому заходите на огонек.

Этот пост можете использовать для своих комментов на стриме. Все вопросы, замечания и донаты спикеру пожелания можете оставлять там.

Ну а пока @tembitt будет вещать, я помодерирую чат 👇

Очень забавная и легкая статейка по основам MLSecOps. Еще и с визуализацией в виде котов.

Структурированные таблицы, красивые кастомные схемы и даже мини-модель угроз входят в комплектацию.

Так что если вы собирались начать погружаться в эту область кибербеза, то рекомендую почитать – ссылка

#DevSecOps #AI #BaseSecurity

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Запись стрима

Тема: Безопасность в k8s
Автор: @tembitt

Под конец записи начали появляться странные артефакты, поэтому пришлось вырезать секцию с вопросами и ответами

А вот и ссылки:
- 📹 Youtube
- 📺 VK Video
- 📺 Rutube

Всем еще раз спасибо за то, что зашли послушать и за вашу обратную связь.

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Механизмы аутентификации для микросервисной архитектуры

"Что такое микросервисы" мы на собеседованиях уже научились отвечать, поэтому такие базовые вопросы встречаются всё реже. Но лично меня все чаще просят рассказать о безопасных и эффективных способах аутентификации между теми самыми микросервисами.

Погнали разбираться. Будет тезисно + я нашел для вас картиночку на просторах ЛинкедИна.

1. API-ключи
◾️ Простые уникальные идентификаторы, назначаемые каждому клиенту или сервису.
◾️ Передаются в заголовке или параметре запроса при каждом обращении.
◾️ Подходят для внутренних сервисов, API с низкими требованиями к безопасности или для предоставления доступа к определённым функциям.
◾️ Легко внедрять и управлять ими.
◾️ Менее безопасны, чем методы на основе токенов. Ключи могут быть легко украдены или скомпрометированы.

2. Базовая аутентификация (Basic Auth)
◾️ Логин и пароль отправляются в заголовке `Authorization` в виде строки, закодированной в base64.
◾️ Простая реализация, но требует использования HTTPS для безопасности.
◾️ Подходит для сценариев с низкими требованиями к защите.
◾️ Широко поддерживается и проста для понимания.
◾️ Уязвима к атакам «человек посередине» без HTTPS.
◾️ Пароли передаются в открытом виде (даже в закодированной форме).

3. JSON Web Tokens (JWT)
◾️ Самостоятельные токены, содержащие информацию о пользователе и параметры (claims) в формате JSON.
◾️ Выдаются сервером аутентификации после успешного входа, затем клиент отправляет их в заголовке `Authorization`.
◾️ Часто используются для статусной аутентификации в микросервисах, едином входе (SSO) и авторизации.
◾️ Без состояния, безопасны, компактны и могут включать дополнительные данные.
◾️ Требуют правильного управления ключами для подписи и проверки.

4. OAuth 2.0
◾️ Фреймворк авторизации, позволяющий сторонним приложениям получать ограниченный доступ к ресурсам от имени пользователя без передачи его учётных данных.
◾️ Использует типы разрешений (authorization code, implicit, client credentials и др.) для получения токенов доступа и токенов обновления.
◾️ Широко применяется для делегированного доступа к API.
◾️ Стандартизированный способ защиты ресурсов без раскрытия паролей.
◾️ Сложен в реализации, требует учёта уязвимостей (например, CSRF).

5. OpenID Connect (OIDC)
◾️ Слой идентификации поверх OAuth 2.0, добавляющий аутентификацию и данные профиля пользователя.
◾️ Использует ID-токен вместе с токеном доступа для подтверждения личности.
◾️ Комбинируется с OAuth 2.0: аутентификация через OIDC, авторизация через OAuth.
◾️ Упрощает аутентификацию благодаря стандартизированному формату.
◾️ Требует интеграции с провайдером OIDC (например, Google, Okta).

6. Mutual TLS (mTLS)
◾️ Клиент и сервер аутентифицируют друг друга с помощью сертификатов X.509.
◾️ Требует центра сертификации (CA) для выпуска и управления сертификатами.
◾️ Идеален для защиты коммуникации между внутренними сервисами или API с высокой секретностью.
◾️ Высокая безопасность за счёт взаимной аутентификации и шифрования.
◾️ Сложнее в настройке и управлении по сравнению с другими методами.

#BaseSecurity #SecArch

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы

Три атаки на Цербера

Я так понимаю, вам понравился подобный контент, поэтому ловите анонс следующего стрима с техническим разбором.

В этот раз один из менти по направлению пентест (@Valerka321) расскажет вам про атаки на всеми любимый Kerberos.

🗓 Когда: 26 марта в 19:00 по мск
📍 Где: прямо в этом канале в формате стрима

Берите с собой попкорн и друзей.

#Pentest

🧠 Твой Пакет Знаний | 👨‍🏫 Менторство ИБ
📂 Другие каналы