В РФ блокируют публичные DNS серверы. Будьте осторожны! Выбирайте работающие варианты для критически важных систем

Introduction to OWASP Top 10 2021

OWASP выпустили драфт документа OWASP Top 10 2021!

Из нового, что отсутствовало в последнем Top 10 2017:
- A04:2021-Insecure Design
- A08:2021-Software and Data Integrity Failures
- A10:2021-Server-Side Request Forgery

Также по списку поднялись уязвимости класса A06:2021 – Vulnerable and Outdated Components, что автоматически повышает перспективы инструментов SCA.

В начале этого года Wallarm также представили свою версию Top10, основанную на анализе базы данных Vulners.

#web #dev

Выложены доклады с ZeroNights  2021. В том числе и доклад Valdik'а, про кнопочные телефоны, про который я раньше писал.

Помимо основного трека ещё выложены Web Village  и Defensive Track

Все материалы и ссылки на видео доступны тут
https://zeronights.ru/materials/

Давно заглядываю на систему CI/CD для сети. Много слышал про Batfish, но руки так и не дошли. Насколько я понимаю смысл этого: тут вы можете построить аналог своей сети и тестировать изменения в нем вместо боевой сети. Это практики DevOps и QA, перенесенные на сеть. Сначала тестируем всё, что можно, потом переносим в прод.

Но вебинар я ещё не смотрел, это просто мои представления о системе

​​На днях Рик Донато провел вебинар Batfish 101 на котором дал ответы на следующие вопросы:

✅ Что такое Batfish?
✅ Что может Batfish?
✅ Как настроить Batfish
✅ Демо:
 - Снэпшоты;
 - Как анализировать конфигурацию сети;
 - Panda DataFrames (TL;DR);
 - Как анализировать состояние плоскости управления(OSPF, BGP)

Круто, спасибо иду смотреть!- 🔥
Однозначно в закладки!-✌️
Мне не интересно!- 😏

Хотите обсудить? Айда в чат - https://t.me/automate_devnet

Больше ресурсов вы можете найти по хештегам:
#batfish

А вот и разбор нашумевшей DDoS атаки с использованием Mikrotik
https://habr.com/ru/company/yandex/blog/577026/

What's new in [Winbox v3.30]:

*) added support for mouse wheel scroll in field & table show columns windows;
*) double click on word in "Terminal" now automatically selects and copies it to clipboard;
*) fixed WinBox disconnect when selecting entries in QuickSet's "WiFi Clients" table;
*) fixed crash when all inner windows were closed;
*) fixed crash when opening some of interfaces;
*) fixed glitches while resizing column widths or reordering table entries;
*) fixed visual glitch when showing table filters and categories;
*) fixed visual glitches when scrolling "Terminal" window and Zoom In or Zoom Out is used;
*) made Ctrl++ & Ctrl+- still work if focus is on checkbox;
*) made Ctrl+C and Enter right after text selection in "Terminal" window work as copy to clipboard;
*) made Ctrl+D pass-through to "Terminal", so it is possible to terminate inner telnet or SSH sessions;
*) made Ctrl+V work as paste from clipboard;
*) made double click in "Torch" window work again;
*) properly show "I" flag for invalid entries;
*) use router's time when filling default time in "Scheduler" items;

Легкий пятничный пост.

Те, кто занимаются пентестами и имеют дело с Linux и Windows окружениями определённо должны знать о таких проектах как:
- GTFOBin для Linux  
- LOLBAS для Windows (есть даже drivers)

Это набор/список/перечень легитимных исполняемых файлов, библиотек, скриптов, которые можно использовать для атакующих целей: что-то скачать и выгрузить, выключить, обойти, спрятать, поднять привилегии и т.д. При этом как вы понимаете сигнатуру/правило на это написать, конечно, можно, но нужно будет часто фильтровать от нормального использования ;)

Так вот пользователь twitter подметил, что всеми нами любимый kubectl с флагом --raw отлично подходит для замены тех же curl и/или wget, если их нет под рукой, и отлично подходит для пополнения данных проектов!

На связи Слёрм, привет!

В августе провели 2 лайвстрима, на которых учили писать свой оператор для Kubernetes и ChatOps с Errbot на Python. Темы были придуманы в рамках курса «Python для инженеров», но мы решили выложить их в открытый доступ. Надеемся, кому-то они помогут или вдохновят.

Каждый стрим длится чуть больше часа. Короче. Переходите и смотрите записи, делитесь с коллегами или сохраняйте в закладки — лишним не будет.
https://slurm.club/3jWdTQ8

Девопс! Любишь ли ты помогать разработчикам отлаживать работу их микросервисов в кластере? А что, если разработчик сможет сам отладить и задеплоить свой микросервис?

1 октября начинается бесплатная Вечерняя Школа Kubernetes для разработчиков.

Будет полноценная теория курса «Kubernetes для разработчиков» и практические задания в облаке MCS. Знания, полученные в Вечерней Школе, помогут разработчикам говорить на одном языке с девопсами и самостоятельно работать в кластере. Меньше созвонов и отладки, больше интересной работы.

Подробности и регистрация: https://slurm.club/3tMj4VQ

Приглашай коллег-разработчиков!

Про безопасность простыми словами

https://habr.com/ru/company/oleg-bunin/blog/570032/

https://habr.com/ru/company/oleg-bunin/blog/570034/

https://habr.com/ru/company/oleg-bunin/blog/570036/

#security

Argo Dataflow is a Kubernetes-native platform for executing large parallel data-processing pipelines.

Each pipeline is specified as a Kubernetes custom resource which consists of one or more steps which source and sink messages from data sources such Kafka, NATS Streaming, or HTTP services.

Each step runs zero or more pods, and can scale horizontally using HPA or based on queue length using built-in scaling rules. Steps can be scaled-to-zero, in which case they periodically briefly scale-to-one to measure queue length so they can scale a back up.

https://github.com/argoproj-labs/argo-dataflow

#security

Тут и без объяснений всё понятно.
https://habr.com/ru/company/pt/blog/579294/

Государство компенсирует половину стоимости ИТ курсов. В списке курсы Яндекс.Практикума, Нетологии, Выштеха, Инноплоиса по направлениям:
- Большие данные
-  Искусственный интеллект
- Безопасность
- Программирование
- Геймдев
- Системное администрирование (с курсом про DevOps за 40к)

Астрологи объявили месяц вайтишников. Успевайте пока рандомный Васян не занял ваше место

А это не реклама. Просто письмо от госуслуг прилетело, а я решил вам рассказать

Никогда не знал, что в баше можно писать многострочные комменты:
: <<COMMENT

This
is
comment

COMMENT

Советы, упрощающие жизнь пользователям k8s. Ну да, боян. Но может сэкономить вам кучу времени
https://learnk8s.io/blog/kubectl-productivity/

Интересная система для защиты Wi-Fi сети: анализирует частоты и находит нелегитимные точки доступа. Умеет в алерты.
Если кто-то пробовал или будет пробовать - напишите в комментах к этому посту вои впечатлления
https://www.nzyme.org/

#wireless #security #wifi