Друзья, меня долго не было в эфире, я уезжал в отпуск и вот теперь снова с вами, а за это время накопилось не мало гудных новостей и полезняшек.  И так обзор свежечка и актуальщины на середину осени 2019.

НОВОСТИ

Думаешь в ЦРУ одни дебилы как нам рассказывает Володя с телевизора? K.G.B. обосралось не меньше, крупнейшая утечка данных из СОРМ, их вассал МТС льет все данные, что есть в ЦОДах.  За ними жидко обделалась РЖД. А ты думал все хорошо?))
[Rus] https://www.the-village.ru/village/city/situation/362497-mts-sorm
[Rus] https://habr.com/ru/news/t/465053/
[Eng] https://www.upguard.com/breaches/mts-nokia-telecom-inventory-data-exposure#spreadsheets
[Rus] https://thebell.io/gosudarstvo-otkrytogo-dostupa-dannye-rossiyan-utekli-cherez-sajt-rzhd-i-sistemu-sorm/

Хочешь стать богом, но не знаешь как!? ̶О̶х̶у̶и̶т̶е̶л̶ь̶н̶а̶я̶  опасная уязвимость в sudo (CVE-2019-14287). Поиметь систему стало еще проще – пен-тестерам и хакерам😊 на заметку!
[News] https://www.securitylab.ru/news/501759.php
[YouTube] https://www.youtube.com/watch?v=btUf1O7lQmY

Спустя много лет энтузиасты  ̶п̶о̶д̶л̶о̶м̶а̶л̶и̶  расшифровали пароли отцов-основателей Unix - Брайна Кернигана и Кена Томпсона, и как оказалось пароли там.. вообщем выводы делайте сами!
[Rus] https://devsday.ru/blog/details/968

Линус Торвальдс, отец-основатель Linux  ̶н̶а̶д̶а̶в̶а̶л̶ ̶л̶а̶д̶о̶ш̶к̶о̶й̶ ̶п̶о̶ ̶г̶у̶б̶а̶м̶ ̶  затягивает гайки в целях повышения безопасности, фича LockDown в новой версии  ядра 5.4
[Web] https://habr.com/ru/news/t/470249/

Когда-то Kaspersky Free был не плохим продуктом, реальная альтернатива коммерческим решениям для домашнего использования.. Сейчас это какая ̶ ̶х̶у̶й̶н̶я̶ ̶ дич, Женя, что ты делаешь? Прекрати! У тебя что офис ̶  ̶е̶б̶а̶н̶и̶н̶а̶  так себе, что твои продукты в туже сторону (бага, которую патчили аж полгода!)
[Web] https://www.computerra.ru/241038/kaspersky-free/
[Web] https://habr.com/ru/news/t/463893/

Год после того как IBM купила RedHat, первые отчеты
[Web] https://servernews.ru/995767

На одной из лекций в ВУЗе, где я читал, рассказывал о встроенных закладках (backdoor), но большинство думают, что они в софте, а они есть и в железе – кейс с ГазПромом и Cisco
[Web] https://www.rbc.ru/business/15/10/2019/5da5f1e19a7947cfb127bdfd?from=from_main
[Web] https://habr.com/ru/news/t/471398/

Продлолжаем наш предыдущий пост

ЗАДАЧКИ, АКТИВНОСТИ

Комрады из SPbCFT (университет ИТМО, Питер) активно стартовали сезон подготовки молодежи к CTF-соревнованиям, уроки открытые и бесплатные, в паблике доки и разборы
[Telegram] https://t.me/spbctfnews
[VK Offical] https://vk.com/spbctf

Разбор тасков по reverse engineering с батла Flare-On 2019 - 12 заданий с кодом, скриншотами и объяснениями основных моментов
https://habr.com/ru/company/dsec/blog/469393/

Сберовская  ̶н̶е̶б̶и̶ч̶е̶с̶к̶и̶ ̶х̶у̶е̶е̶.̶.̶ ̶к̶р̶у̶т̶е̶ц̶к̶а̶я̶?̶  контора Bi.Zone топит за свою нишу и делает CTF в формате Jeopardy, старт 30 ноября
[Web] https://ctftime.org/event/894
[Web Offical] http://ctf.bi.zone

Интерактивные уроки по взлому web от команды Hacksplaining- SQL-инъекции, разные виды XSS, XML-бомбы, эскалация привилегий, кликджекинг и
[News] https://xakep.ru/2016/08/18/www-hacksplaining/
[Web] https://www.hacksplaining.com/

Подборка ресурсов и вирутальных лаборатория для прокачки скиллов пен-теста, реверса и форензики
[Web] https://pikabu.ru/story/22_sayta_dlya_praktiki_khakinga_i_zashchityi_5782522
[Web] https://proglib.io/p/sec-protection/

True лаборатория для тех, кто хочет научиться  ̶л̶о̶м̶а̶т̶ь̶  тестить на защищенность облачные среды, например, такие как AWS
[Web] https://github.com/RhinoSecurityLabs/cloudgoat

Рассказ о том как искали хардварный баг в микропроцессоре
[Web] https://habr.com/ru/post/471020/

Оконцовочка поста

ТУЛЗЫ и MUST HAVE

Sooty (SOC Analysts all-in-one CLI tool) - весьма годная утилитка в CLI-режиме, которая очень хорошо сгодится для форензик-экспертов и аналитиков SOC, кто занимается разбором инцидентов ИБ
[Web] https://github.com/TheresAFewConors/Sooty

Тулза Cockpit – упрощение типичных административных задач в Linux  как замена webmin и им подобным
[Web] https://habr.com/ru/post/471220/

ПОЛЕЗНЯШКИ

Одна из самых долго живущих адекватных библиотек без рекламы и прямойцскачкой книг
[Hack and Security] http://www.classs.ru/library/safebusiness.html
[IT] http://www.classs.ru/library/tehnologii.html

̶п̶с̶е̶в̶д̶о̶  ответы на типичные вопросы новичков – как стать ̶ о̶х̶у̶е̶н̶н̶ы̶м̶ ̶  хакером, как начать жить в 40 и подняться на ИТ\ИБ, хочу денег и машину, и т.д., чтиво, когда нехер делать
[Web] https://vc.ru/story/86714-chem-zanimaetsya-belyy-haker-kak-im-stat-i-skolko-mozhno-zarabotat
[Web] https://habr.com/ru/company/otus/blog/467923/
[Web]https://vc.ru/story/86714-chem-zanimaetsya-belyy-haker-kak-im-stat-i-skolko-mozhno-zarabotat
[Web] https://habr.com/ru/company/otus/blog/467923/
[Web] https://tproger.ru/experts/how-to-become-an-expert-in-infosec/

Друзья, дорогие подписчики, все, кто тянет лямку за ИБ и дышит миром cyber security, приглашаю вас на обновленный курс Безопасность Linux», который стартует 25.12.2019 на платформе «OTUS». Это переосмысленная программа, собранная с учетом всех ваших пожеланий, отзывов и критики. В этом апдейте нахер выкинули весь балласт не имеющий отношение к безопасности, отсекли пересечение тем с администрированием ОС, сделали акцент на использование проверенных open sources и mush have софтин (SIEM, HIDS, WAF, IDS, etc) и учли тренды в ИТ-индустрии (DevOps практики, виртуализация и т.д.).

Без преукрас, курс коммерческий, стоит он бабла, без этого никак, но если у тебя есть небольшой бюджет, желание прокачать себя до спеца в безопасности Linux и ты хочешь апнуть свой ранг и ЗП-шку или вообще двинуть на новое место поконкурировав с лучшими – это вариант, которой тебе подходит. Этот курс как багаж, с которым можно двинуться дальше, найти что-то новое, обосновать свой запрос за salary по делу, это инвестиция в себя, свои знаний, которые можно продавать подороже.  Я по понятным причинам не могу расдать курс бесплатно, но от себя для моих подписчиков от души что могу ПРОМО-КОД на доп скидку: Lin19sec

«OTUS» по окончанию обучения обещает трудоустроить или как минимум активно помогать с этим, у них подвязки на компании и своя база CV слушателей, которую они раскатывают партнерам. Так, что кто берет курс что бы быстрее найти новую работу и заработать больше, как квалифицированный спец, топите их до дна, требуйте, вписывайтесь – ведь ты за этим здесь?

Еще один момент, курс рассчитан на продвинутых пацанов (админов) секущих в теме, имеющих опыт администрирования, не моросящих за IPTables и знающих как поднять Docker на раз два. Никто не будет жевать сопли за консоль или долго объяснять, что такое CVE, только по делу за безопасность, короче курс для понимающих.

Итого, все кто хочет поднять свой технический скилл, двинуть дальше по теме безопасности, обоснованно скакнуть на новый уровень ЗП-шки или ты просто отмороженный гик, WELLCOME!

Линк на офф сайт:
https://otus.ru/lessons/bezopasnost-linux/

Вступительное тестирование:
https://otus.ru/assessment/90/

Друзья, всем кто у меня долгое время просил видео уроки по безопасности WEB (OWASP Top10) понятные для новичков - ловите! Сторого только для ознакомления!:) Курс коммерческий и не забудьте отлатить труд автора

С недавнего времени 12 ноября в России отмечается "День безопасника", профессиональный праздник всех кто связан с индустрией ИБ

Друзья, свершилось то, что я вам так долго обещал, стартовал мой авторский видео канал "Cyber Security Eye" посвященный вопросам кибер безопасности и индустрии ИБ. Это первый Intro ролик рассказывающий о концепте канала, контенте и тому что будет выходить в новых видео дальше. Как и раньше я буду стараться подавать только актуальный и интересный контент, нести прикладную составляющую, отвечать на все ваши вопросы, делиться собственным мнением, кейсами из практики, всем тем, что для вас окажется полезным. Потому присылайте свои вопросы, предложения, идеи в личку @D3One, на почту w2hack@mail.ru или другим удобным для вас способом.  Сразу скажу видео пишу не на студии и не на профессиональном оборудовании поэтому если где-то окажутся лаги приношу заранее свои извинения.  

Кому интересно подписывайтесь, ставьте лайки, Let's go!!!

https://www.youtube.com/watch?v=VxSEglpriyQ&feature=youtu.be

Политика импортозамещения  зарубежного софта на российский, национальная ОС и процессоры Эльбрус, принуждение к использованию ПО с сертификатами ФСБ и ФСТЭК, шифрование только по ГОСТу, создание независимого RuNet'а - это:
anonymous poll

Очередной распил бюджетных средств и красивое н@еб@лово – 98
👍👍👍👍👍👍👍 48%

Разумная нота в этом есть, но "наши" перегибают палку с требованиями – 60
👍👍👍👍 29%

Грамотный подход к обеспечению независимости РФ от иностранных вендоров и поставщиков – 27
👍👍 13%

Российские разработки -  ПО, железо, технологии никогда не сравнятся/не станут лучше чем это делают Oracle, IBM, Microsoft, Inte – 19
👍 9%

👥 204 people voted so far.

Ситуация с КИИ, ГосСОПКА, русским софтом, Эльбрусом, национальной ОС,  Яндексофоном и т.д.

https://www.youtube.com/watch?v=4DKMSvV6Ks0&feature=youtu.be

Долгожданное видео с разбором некоторых наиболее популярных мифов и легенд об информационной безопасности, часть 01.

Новый формат подачи материала отличающийся от всего ранее вами увиденного

ВАЖНАЯ ИНФОРМАЦИЯ***

Дорогие друзья, подписчики моего канала, все неравнодушные к тому, что я делаю, подходит конец года, мы все подводим итоги и настало время очень важной информации, которую я не могу вам не передать.

С декабря месяца 2019 года я больше НЕ СОТРУДНИЧАЮ с образовательной платформой **OTUS в партнерстве с которой ранее запускал свой авторский курс «Безопасность Linux» . Я больше НЕ ЯВЛЯЮСЬ руководителем этого курса, не веду никаких занятия и не участвую каким-либо другим способом в образовательном процессе. OTUS’у запрещено использовать мое имя, мои профессиональные достижения для маркетинга и продвижения курса,  а так же мои авторские материалы по темам безопасности, тестирования на проникновение и аудита взятые с журнала ][акер, telegram-паблика @w2hack, моего блога на домене blogspot.com и всех остальных авторских ресурсов.  Все, кто остался в качестве руководителей и преподавателей в OTUS’e никак со мной не связаны, эти люди не являются специалистами по информационной безопасности и я не несу никакой ответственности за тот контент, который они выдают на вебинарах.

Решение принято в связи с низким качеством тех услуг, которые предоставляет OTUS для своих слушателей, несоответствия тех договоренностей, которые были изначально оговорены межу мной как автором и платформой OTUS как системы онлайн-вебинаров, так же невозможностью договориться с руководством об адекватном партнерстве, решении технически вопросов обеспечения учебного процесса.

Не имею претензий к OTUS’у, ничего личного, но от себя не могу никому из вас рекомендовать OTUS как компанию, в которую можно идти за получением новых профессиональных знаний и опыта по крайнем мере по направлению «Безопасность Linux».

Если кто-то хочет узнать более подробно о моем авторском курсе Безопасность Linux (не тот которой сейчас заявлен в OTUS) и\или том что именно случилось, то пожалуйста, пишите в личку, по наличию свободного времени буду стараться всем ответить

Я БОЛЬШЕ НЕ СОТРУДНИЧАЮ С ПЛАТФОРМОЙ OTUS

ВСЕ МОИ АВТОРСКИЕ МЕТОДИЧЕСКИЕ МАТЕРИАЛЫ ЗАПРЕЩЕНО ИСПОЛЬЗОВАТЬ ДЛЯ КУРСА В OTUS

ТО ЧТО ЗАЯВЛЕНО НА САЙТЕ OTUS - ЭТО НЕ МОЙ АВТОРСКИЙ КУРС!!!

ОСТЕРЕГАЙТЕСЬ ПОДДЕЛОК

Друзья, всем спасибо кто остается с нами, остается со мной на @w2hack канале, всем тем, кто пишет комментарии, задает вопросы, делится своими идеями и предложениями, участвует в голосовании и общении! Искренне благодарен этой площадке за то что смог встретить интересных, близких по духу людей, кому когда-то чем-то помог и с кем общаюсь до сих пор или с кем за это время вовсе стали друзьями!

Всем вам, друзья, от чистого сердца отличных новогодних праздников, бодрого настроения и новых открытий! И обязательно вернусь в 2020-м с интересным и бомбическим контентом!

Видео разборы, презентации и другие доки от комьюнити SpbCTF (университет ИТМО, Питер) по мат части CTF, осенне-зимняя сессия 2019

(1) Разбор тасков на симметричные шифры
http://youtu.be/Jisyzz2ALk0

(2) Разбор 35 тасков про кодирование данных и буквенные шифры
https://forkbomb.ru/tasks

(3) Разбор тасков с последней тренировки по вебу
http://youtu.be/9KOt1yHKjGk

(4) Разбор тасков на LFI-XXE-CVE
http://youtu.be/mU0hu_hvinM

(5) Разбор тасков на XSS
http://youtu.be/IQTJOxzhOWk

(6) Разбор тасков на Burp Suite
http://youtu.be/-SbBD7RRSEM

(7) Разбор про инъекции в вебе
http://youtu.be/u0fA4IS4oK4

(8) Разбор начальных веб-тасков
http://youtu.be/vMYbZ_jZJfk

Обновление материалов по защите ПДн в Евросоюзе (GDPR) от 07/01/2020

Еще один небольшой аддон по теме GDPR

(1) Общий регламент защиты персональных данных (GDPR)Европейского союза, перевод - С.Воронкевич CIPP/E, CIPM, MBA; А. Богуславская; П.Лозовенко GDPR DPP; И.Чернышева, С.Радыно, С.Головнева)

[WWW] https://gdpr-text.com/ru/

(2) Оригинал документа на английском языке

[WWW] https://ico.org.uk/media/about-the-ico/disclosure-log/2014536/irq0680151-disclosure.pdf