HackTheBox endgame. Прохождение лаборатории Hades. Пентест Active Directory
В данной статье разберем прохождение не просто машины, а целой мини-лаборатории с площадки HackTheBox. Как сказано в описании, Hades предназначен для проверки навыков на всех стадиях атак в небольшой среде Active Directory. Цель состоит в том, чтобы скомпрометировать доступный хост, повысить...
Проверяем безопасность приложений с помощью Drozer
Drozer – обязательный инструмент в арсенале каждого пентестера. С его помощью можно быстро получить информацию о приложении и его слабых местах. Drozer предустановлен в Kali Linux и других ОС для белого хакинга. Возможности Drozer: Получение информации о пакете Определение поверхности атаки Запуск...
История о том, как я обошел защиту в компьютерном клубе Arena Arsenal
И еще раз снова привет, дорогой читатель! Здесь мы поговорим о том, как я обошел защиту в компьютерном клубе Arena Arsenal. Все это привело к тому, что я смог спокойно продолжить пользоваться компьютером без оплаты доступа и какого либо абонемента. Просто выполнил пару не особо сложных действий и...
[Перевод - recovery mode ] Как создать план реагирования на инциденты кибербезопасности: 5 главных шагов по версии GetApp
Рассказываем про пять простых шагов, которые помогут создать универсальный эффективный план реагирования на инциденты кибербезопасности в любой организации. Читать дальше →...
GIS DAYS 2020, краткий обзор сессии PRO2
Мы продолжаем обзор докладов конференции GIS DAYS. Профессиональная секция PRO2 была посвящена мониторингу критической информационной инфраструктуры (КИИ), а также способам обнаружения аномалий в сетях автоматизированных систем управления технологическими процессами (АСУ ТП). Коллеги представили 11...
На киберстраже. Тест для безопасника на скилы и скорость
В современном мире данные превратились в новую нефть: кто владеет ими — тот владеет миром. Но если ты старший специалист отдела информационной безопасности в известной компании, то на вес золота ценится ещё и твоя работа. Мало просто правильно выстраивать защиту и успешно отбивать атаки, нужно ещё...
Доверенная третья сторона: как с ее появлением меняется электронная подпись
За последние 10 лет принципиальным образом так и не решились вопросы удобного и долговременного (или еще «архивного») хранения документов c электронной подписью (ЭП) и их обмена со взаимным доверием. Да, есть специальные «архивные» разновидности расширенных форматов ЭП (CAdES-A и XAdES-A), которые...
5 стадий неизбежности принятия ISO/IEC 27001 сертификации. Принятие
Финальная стадия эмоционального реагирования на изменения – принятие. Полным принятием сущности происходящего для нас стало прохождение сертификационного аудита по стандарту ISO 27001 и получение заветного сертификата. Сегодня мы завершаем цикл статей. В конце материала вы найдете ссылки на...
GIS DAYS 2020, краткий обзор сессии PRO1
Главным событием осени 2020 года в нашей компании стала конференция GIS DAYS. Мы уже рассказывали вам о содержании ее пленарной сессии – здесь, а теперь готовы познакомить с обзором профессиональной секции PRO1. Наш материал кратко раскроет темы докладов специалистов, выступивших в рамках секции...
Разведка на основе открытых источников
Введение С каждым годом количество пользователей интернета растет. К началу октября 2020 года 4.9 млрд людей, а это 63.2% жителей земли, пользуется интернетом. А размер данных в интернете достигал 2.7 Зеттабайт (1 ЗБ ~ 1012ГБ). И каждый год —количество пользователей и устройств, подключенных к...
Как создать и у всех на виду хранить пароли, очень стойкие и очень длинные, не запоминая их
Приветствую читателей! Меня зовут Андреас, давно веду видеоблог (SunAndreas), а сегодня решил в текстовом варианте поделиться с читателями полезными идеями, которые могут быть полезными даже для далёких от ИТ людей. Расскажите об этом старшему поколению, таки они смогут хранить пароли довольно...
Бытовая форензика: можно ли найти утечку с помощью бубна, удобрений и палок?
Порой айтишникам приходится решать не совсем обычные задачи. На днях знакомый админ поведал мне о том, что на фоне обычной офисной рутины руководство поручило ему на время превратиться в Шерлока Холмса, в связи с чем он срочно ищет себе в помощники доктора Ватсона. На волне коронавирусной пандемии...
Атаки по сторонним каналам, или какие кибератаки нужно показывать в кино
Многие, как я думаю, услышав фразу "кибератака" представляют злоумышленников, которые воруют много миллионов долларов, сидя у себя дома, или группу российских хакеров, которые помогают продвинуться кандидату в предвыборной гонке, или, на худой конец, у них в голове всплывает образ взломщика,...
Как правильно идентифицировать Android-устройства
Всем привет! Если вам нужно создать уникальный и стабильный идентификатор Android-устройства для использования внутри приложения, то вы наверняка заметили тот хаос, который присутствует в документации и в ответах на stackoverflow. Давайте рассмотрим, как решить эту задачу в 2020 году. О том, где...
Защита информации в БД — ТОП-5 мифов
Основным элементом любой ИС (информационной системы) является база данных (или СУБД), и, как мы знаем, современный бизнес достаточно сильно зависит от своих ИС. Проверенная аксиома – чем успешнее в организации используется информация, тем успешнее становится её бизнес. Однако постоянный рост...
Как поделиться своими секретами и остаться в выигрыше
Начну свое повествование с примера, описанного в книге неизвестного бельгийского автора "Gent und seine Schönheiten". В городе Генте была построена ратушная башня, в одной из комнат которой хранились очень важные документы. Эти документы лежали в шкафу, закрывавшемся на три замка, шкаф - в яйце,...
HackTheBox. Прохождение Laser. Jetdirect, RPC и кража SSH
Продолжаю публикацию решений, отправленных на дорешивание машин с площадки HackTheBox. В данной статье мы работаем с принтером и получаем документ, который даст нам вектор захвата хоста, найдем в памяти ключ шифрования и расшифруем найденный документ. Далее работаем с gRPC и даже получаем RCE. Как...
Токен авторизации на примере JSON WEB Token
Доброго времени суток, дорогой читатель. В данной статье я постараюсь рассказать об одном из самых популярных (на сегодняшний день) способов авторизации в различных клиент-серверных приложениях - токен авторизации. А рассматривать мы его будем на примере самой популярной реализации - JSON Web Token...