Когда-то в Твиттере было модно делать треды в стиле «1 лайк = 1 пост» и рассказывать о чем-то из своего опыта. Тогда же, организаторы BSides Cairo попросили подготовить советы для тех, кто начинает свое приключение в информационной безопасности.

С этой серии постов и этой фотографии я стал участником Review Board ежегодного события в Каире. Кстати, рекомендации о том, как выбрать тему для исследования/диплома/диссертации и довести ее от идеи до доклада, а также о том, какие навыки лучше прокачивать в начале пути - актуальны и сейчас.

Если это YARA-правило находит слишком много файлов ppt(x), doc(x) и pdf, то вероятно, вы обнаружили в своей инфраструктуре рабочую станцию основателя стартапа. Ну или рабочую станцию топ-менеджера, если найдено много xls(x).

Опубликован рейтинг «Top 10 web hacking techniques of 2022»

Компания Portswigger опубликовала ежегодный рейтинг техник веб-атак. Некоторые из них уже включены в лаборатории Portswigger Academy, поэтому у тебя есть возможность не только изучить описание, но и попрактиковаться в тестовом окружении.

В 2021 году Никита Ступин - сотрудник нашей команды Advanced Security Research (исследовательский центр Huawei), представил результаты своего исследования новых техник «Client-Side Prototype Pollution» и стал соавтором совместного отчета, который вошел в «Top 10 web hacking techniques of 2021».

Материалы обязательны к изучению для тех, кто участвует в bug bounty и хочет попрактиковаться в поиске нетривиальных уязвимостей.

Пока рассказывал студентам колледжа IThub о профессии «исследователь кибербезопасности» поймал себя на мысли: когда я учился в 9-м классе, журнал «Хакер» - это все, что тогда было доступно в открытых источниках провинциального города про «защиту информации». А сейчас индустрия уже со школьной парты готовит своих специалистов, которые ее изменят.

Приз за лучший вопрос в ходе этой лекции достается автору вопроса: «Почему вы так весело рассказываете о грустных вещах? Уязвимости в кардиостимуляторах и в банкоматах - это же печально».

Держи: 🏆

Компиляция ключевых идей
Тизер сериала «Уязвимости умной медицины».

В главных ролях: инфраструктура крупной поликлиники, имплант-нейростимулятор, множественные CVE в опен-сорсном софте.

Съемки проходили в локациях:
1. Конференция BSides Munich, офис Google в Мюнхене, Германия.
2. Исследовательская лаборатория нейрохирургии в Оксфорде, Лондон.
3. Конференция Insomni’Hack в Женеве, Швейцария.
4. Пресс-конференция для европейских изданий в Барселоне, Испания.
5. Пресс-конференция для региона APAC в Янгоне, Мьянма.

Бюджет картины: два года исследований, разряженный кардиостимулятор, докторский халат для выступления.

“The Way from App to Brain: Attack surfaces of smart medical infrastructure”

Полная версия доклада, представленного на конференции Insomni’Hack.

Обещал рассказать про результаты менторства талантливого студента из Египта.

Знакомьтесь: Nidal Fikri - он подготовил исследование и представил свой первый доклад, устроился на стажировку антивирусным аналитиком в Trend Micro и оказался в команде организаторов конференции. Но я тут ни при чем. Пусть Нидаль и утверждает обратное.

Он взял давно изученные техники поиска ошибок в программах, повторно разобрал их на ключевые этапы, описал особенности каждого этапа и повторно собрал все в свой доклад. И этот доклад помогает новичкам в поиске уязвимостей в ПО с помощью фаззинга и символьного исполнения. В чем тут исследование? Оно что-то вроде “State of the art” - обзора актуальных знаний и инструментов. В чем польза для сообщества? В простоте подачи технически сложного материала.

А дальше Нидаля понесло по конференциям и студенческим CTF. Стоило просто подсказать парню: «Не заморачивайся по поводу подачи - говори простые мысли простыми словами».

Совет для лидера команды Blue Team.

Разрабатывая стратегию защиты от целенаправленных атак, стремись к двум основным целям:
- уменьшение поверхности атаки;
- увеличение стоимости атаки.

В некоторых случаях эти цели взаимосвязаны, помним про ханипоты.

У студентов начался сезон подготовки дипломных работ. А у меня начался сезон формулирования возможных тем. Этот процесс будет сопровождаться периодическими советами в ходе исследований.

А может, сделаем из этого поста тред, в котором соберу свои рекомендации и лайфхаки для подготовки первого ИБ-исследования? Какие-то из них могут пригодиться для учебно-исследовательской работы, какие-то - для подготовки первого доклада на конференцию.

Один 👍 к этому посту = один инсайт от меня в комментариях.

Добавить еще больше ценности системе подготовки специалистов в области информационной и кибербезопасности. Внедрить в традиционный процесс обучения практику, необходимую в производстве. Компенсировать нехватку квалифицированных кадров и при этом сохранить фундаментальные требования образовательных стандартов.

Эти три цели были поставлены в 2020 году, и тогда же началась разработка программы дополнительного образования. В декабре 2022 года вместе с компаниями-партнерами мы запустили процесс обучения в моей альма матер - Национальном Исследовательском Ядерном Университете «МИФИ». И я рад, что в роли академического директора этой программы у меня есть возможность интегрировать индустриальный и академический миры.

Салют кафедре «Криптология и кибербезопасность»!

Введи в поиске на Github свое доменное имя и посмотри, сколько QA-инженеров и IT-подрядчиков размещают скрипты автотестирования и деплоя с секретами. Твоими секретами.

Программное обеспечение для информационной безопасности увеличивает поверхность атаки.

Чтобы проверить эту гипотезу можно выполнить последовательность действий:

1. определить, какие продукты используются в инфраструктуре для обеспечения ИБ;
2. извлечь CLI-ключи и API-вызовы из руководства пользователя этих продуктов;
3. найти ключи и API-вызовы на Github, извлечь открытые учетные данные, которые используются в контексте этих вызовов;
4. спросить своего инженера по безопасности "Как это там оказалось?"
5. повторить в следующем месяце.

На скриншоте пример обнаруженных секретов на Github для подключения к экземпляру продукта SonarQube, который используется в качестве статического анализатора кода в процессе DevSecOps. Вероятно, этот экземпляр содержит чью-то интеллектуальную собственность (исходный код).

Ландшафт угроз для отрасли здравоохранения

Материалы исследования: доклад и презентация. Три ключевые мысли на этих слайдах:

1. Получить доступ к медицинским данным пациентов можно в один клик. И это не преувеличение.
2. Фармацевтические компании представляют интерес не только для ransomware, но и для APT-групп, которые охотятся за интеллектуальной собственностью. Например, за результатами разработки новых препаратов.
3. ПО с открытым исходным кодом содержит не меньше уязвимостей, чем коммерческое ПО с закрытыми исходниками.

На любой ИБ-конференции, пока большинство участников слушают доклады, где-то должна быть комната, в которой посетители приобретают новый навык.

С этой мыслью в 2019 году мы вместе с организаторами Security Analysts Summit запустили секцию тренингов. Слушатель - любой участник конфы, который устал от докладов и который взял с собой лаптоп. Тренер - эксперт-практик, который в формате лабораторной работы проводит атаку типа «инъекция скилла».

А вот примеры результатов, которые мы получали в ходе тренинг-сессий:
1. развернутая инфраструктура ловушек для вредоносного кода, в которую каждый квартал попадаются интересные образцы малвары;
2. уязвимость нулевого дня, обнаруженная в процессе анализа медицинской системы с открытым исходным кодом (привет, PHDays Medical Village!);
3. знакомство с интересными коллегами в индустрии, с которыми регулярно обмениваемся новыми идеями для исследований.

То самое выражение лица, когда тебе сообщают, что у них все в порядке с процессом безопасной разработки.

Dev, Sec, Oops

Мы начали это исследование с вопроса: "Как атакующий может повлиять на процесс разработки продукта?"

Составили простую модель угроз и собрали весь софт, который использовался в конвейере крупного B2B-продукта. Выделили в этом списке коммерческое и открытое ПО для обеспечения безопасности. Нашли недостатки конфигурации и уязвимости, которые позволяли нарушить SDLC или получить доступ к интеллектуальной собственности.

Первые результаты, которые мы получили совместно с Михаилом Буровым, представлены на турецкой конференции NOPcon. На основе обратной связи с этого мероприятия сделали вывод: исследование нужно продолжить.

Всем центрам мониторинга приготовиться: RCE-уязвимость в ICMP (CVE-2023-23415)

Microsoft Security Response Center опубликовал security-обновление, в котором устранена критическая уязвимость в протоколе Internet Control Message Protocol (ICMP) с потенциалом удаленного выполнения кода.

Показатель критичности (CVSSv3.1): 9.8 (Critical)

Эксплойт пока не опубликован, поэтому есть время оценить поверхность атаки и принять меры.

Где-то в турецком телевизоре, в новостной программе, вместе с организаторами NOPcon мы зовем турецких IT-экспертов и студентов в информационную безопасность. Deniz говорит, что там “you can change the world”.

Китайская конференция XCon 2019, Пекин. После мероприятия отправился за сувенирами. А что нужно для покупки? Снять местную валюту в банкомате.

Если кто-то помнит исследование терминалов и техники побега из полноэкранных приложений, то наверняка использует их на уровне рефлекса. Терминал с тачскрином - повод для фаззинга.

Тачскрин банкомата китайского банка долго не сопротивлялся. Более того, уязвимость нашлась совершенно случайно: банкомат подвисал после продолжительного нажатия на экран и демонстрировал артефакты операционной системы. Результат: побег из полноэкранного приложения ATM и возможность исполнения произвольного кода. Вот такой вот «сувенир».

Уязвимость в банкоматах китайского банка принята к исправлению.

Публиковать отчет с описанием проблемы не буду, потому что поверхность атаки большая (это все же старейший банк Китая), и требуется убедиться, что патч доставлен на все ATM.

Отдельное спасибо израильскому товарищу и бывшему коллеге Ido Naor за помощь в поиске нужного контакта в Bank of China.