База знаний: Огромный сборник шпаргалок по кибербезопасности

Админ не может знать всё. Архитектор знает, где найти всё.

Перед вами — сокровищница знаний по кибербезопасности в одном GitHub-репозитории.

Взгляд архитектора:
Архитектор строит системы, которые невозможно взломать. Но для этого нужно постоянно учиться и быть в курсе всех возможных векторов атак. Этот репозиторий — ваша личная база знаний, которая поможет закрыть пробелы и всегда иметь под рукой нужную информацию.

Забираем себе в закладки: https://github.com/Ignitetechnologies/Mindmap

#security #cybersecurity #pentest #osint #forensics #musthave #гайд #обучение

Внимание: Фишеры "переворачивают" URL в вашем браузере!

Исследователи снова бьют тревогу из-за техники фишинга "BiDi Swap". Она не требует взлома, а просто обманывает ваши глаза.

Суть атаки: Злоумышленники используют специальные Unicode-символы (для языков с письмом справа-налево, как арабский). Из-за этого браузер визуально "переворачивает" домен.

Пример:

Вы видите в строке: www.microsoft.com/login

Реальная ссылка: www.com-evil-site/login

Взгляд архитектора: Это не баг сервера, это атака на UI/UX. Злоумышленники эксплуатируют то, как браузер отображает текст. Это доказывает, что технические средства защиты (файрволы, антивирусы) бессильны, если не защищен "слой 8" — человек.

Решение:

Никогда не доверяйте отображаемой ссылке.

Всегда наводите курсор и смотрите на реальный URL в левом нижнем углу браузера.

Обучайте пользователей.

Подробности: https://www.securitylab.ru/news/565259.php

#security #phishing #cybersecurity #гайд #zero_trust

ИБ: Атака "Living Off the Land" (LotL). Почему ваш PowerShell опаснее вируса

Забудьте о .exe-вирусах.
Современные атаки (особенно шифровальщики) не заносят "вирус" — они используют ваши собственные, доверенные инструменты против вас.
Это называется "Living Off the Land" (жизнь за счет земли).

Главные "предатели" в вашей системе:

powershell.exe: Запуск base64-команд, скачивание и выполнение скриптов из памяти (IEX (New-Object Net.WebClient).DownloadString(...)).

wmic.exe: Удаленное выполнение команд на других машинах (Lateral Movement).

bitsadmin.exe: Стандартная утилита для скачивания... вредоносных модулей.

certutil.exe: "Легальное" скачивание и декодирование файлов.

Почему это работает? Ваш "классический" антивирус видит, что powershell.exe — это доверенный процесс Microsoft, и игнорирует его вредоносную активность.

Взгляд архитектора: Вы не можете просто "заблокировать PowerShell". Архитектор переходит от сигнатурного анализа к поведенческому.

Внедрите Sysmon: (Мы о нем писали). Он покажет, какой процесс запустил powershell.exe с какими аргументами.

Включите Script Block Logging в GPO: Начните логировать весь код, который выполняет PowerShell.

AppLocker/WDAC: Перейдите в режим "белого списка". Запретите powershell.exe запускаться из папок AppData или Downloads.

#security #windows #powershell #cybersecurity #zerotrust #architect #гайд

SANS Institute: Две Шпаргалки для Выживания в Кибервойне (Windows & Linux)

Забудьте про StackOverflow, когда горит система. В критической ситуации нужны проверенные и мгновенно доступные знания.

SANS Institute — это не просто курсы. Это золотой стандарт в мире кибербезопасности. И они регулярно делятся бесценными ресурсами. Сегодня у нас две такие "библии":

Шпаргалка по Обнаружению Вторжений в Windows (Windows Intrusion Detection Cheat Sheet)

Шпаргалка по Выживанию в Linux Shell (Linux Shell Survival Guide)

Взгляд архитектора: Эти шпаргалки — не для "новичков". Это рабочие инструменты для опытного инженера, который сталкивается с инцидентами.

#security #windows #linux #cybersecurity #sans #musthave #шпаргалки #гайд

Windows: "Вечная" уязвимость из 2017 года активно эксплуатируется прямо сейчас!

Пока мы боремся с новыми 0-day, хакеры активно эксплуатируют старую, известную уязвимость в Windows, которой уже 7 лет (с 2017 года).
Об этом сообщают Trend Micro и Arctic Wolf. Атаки идут на государственные и корпоративные сети по всему миру.

В чем ужас ситуации:
Возраст: Уязвимости уже 7 лет. Она хорошо изучена атакующими.
Активность: Эксплуатируется активно. Это не просто "теория".
Статус: Одна из уязвимостей (по данным отчёта) до сих пор не исправлена на всех системах.

Взгляд архитектора: Это не просто "баг". Это провал процесса патч-менеджмента. Уязвимости 2017 года не должны жить в вашей инфраструктуре в 2024.
Первый шаг: Убедитесь, что ваши системы полностью пропатчены. Проверьте все обновления.
Второй шаг: Включите автоматизированный аудит уязвимостей (Nessus, OpenVAS), чтобы находить такие "спящие бомбы".
Третий шаг: Применяйте принцип Zero Trust. Предполагайте, что периметр уже взломан.

Подробности: https://cisoclub.ru/hakery-ispolzujut-staruju-ujazvimost-v-windows-s-2017-goda-dlja-kiberatak-na-infrastrukturu-po-vsemu-miru/

#security #windows #cybersecurity #уязвимости #патчи #urgent

Linux: Аудит "богов". Кто и что может делать через sudo?

Вы думаете, что у пользователя www-data нет прав root. Но что лежит в /etc/sudoers.d/? Неправильная sudo-политика — это прямой путь к повышению привилегий (Privilege Escalation).

Как ПРАВИЛЬНО проводить аудит sudo:

Проверить конкретного пользователя: Самая важная команда. Она показывает эффективные права пользователя, собранные из всех файлов.
Bash

# Показать, что может делать www-data
sudo -l -U www-data

# Вывод:
# (ALL) NOPASSWD: /usr/sbin/service nginx reload  <-- (ХОРОШО)
# (ALL) NOPASSWD: /bin/bash                       <-- (ОЧЕНЬ ПЛОХО!)

Посмотреть все активные правила "вживую": Этот grep отсечет все комментарии (#) и пустые строки ($) и покажет только действующие правила из всех файлов.
Bash

sudo grep -vE '^(#|$)' /etc/sudoers /etc/sudoers.d/*

Посмотреть, кто и что уже делал: sudo логирует каждое свое выполнение (обычно в /var/log/secure или /var/log/auth.log).
Bash

# Показать 20 последних команд, выполненных через sudo
sudo cat /var/log/auth.log | grep "sudo:" | tail -n 20

Взгляд архитектора: Principle of Least Privilege (PoLP). sudo — это не просто "дать root". Это гранулированный инструмент. Архитектор никогда не дает ALL=(ALL) ALL. Он дает dev-user ALL=(ALL) /usr/sbin/systemctl restart myapp.service. Это и есть проектирование безопасности.

#linux #security #sudo #audit #cybersecurity #sysadmin #гайд

ИБ: Новая угроза — "Quishing". Как QR-коды обходят вашу защиту

Ваш дорогой anti-spam фильтр проверяет ссылки и текст. Но что, если в письме нет ни одной ссылки?

Встречайте "Quishing" (QR Code Phishing) — стремительно растущий вектор атак.

Как это работает:

Пользователь получает письмо (часто под видом "Срочно! Обновите MFA-аутентификацию").

В письме нет ссылок, только изображение (QR-код). Ваш спам-фильтр видит просто картинку и пропускает письмо.

Пользователь сканирует QR-код личным телефоном.

Телефон (который не защищен вашим корпоративным EDR) переходит на фишинговый сайт, где пользователь вводит свой логин и пароль.

Взгляд архитектора: Это атака на "слой 8" (человека), которая обходит традиционные технические средства защиты (E-Mail Gateway, EDR на ПК).

Как защищаться (Defense in Depth):

Обучение: Расскажите пользователям, что сканировать неизвестные QR-коды так же опасно, как и кликать по ссылкам.

MFA: Настоящий MFA (не SMS) — ваш главный бастион.

MDM (Mobile Device Management): Если сотрудники используют личные телефоны для работы, они должны быть под управлением (MDM) и иметь защиту (Endpoint Security).

#security #phishing #cybersecurity #zerotrust #гайд #musthave

SOC: Знать — значит защищать. Где следить за угрозами

В мире кибербезопасности скорость решает всё. Пока вы ставите патч от вчерашней уязвимости, хакеры уже эксплуатируют сегодняшнюю. Ключ к успеху в SOC (Security Operations Center) — это быть в курсе последних тенденций атак.

Админ реагирует на инцидент. Архитектор предвидит его, читая о новых TTPs (тактиках, техниках и процедурах) атакующих.

Вот 3 сайта "must-read", которые должны быть в ваших ежедневных закладках:

Krebs on Security (https://krebsonsecurity.com)

Глубокие расследования киберпреступлений от Брайана Кребса. Он часто раскапывает то, о чем молчат другие.

The Hacker News (https://thehackernews.com)

"Пульс" индустрии. Оперативные новости о новых уязвимостях, 0-day и крупных взломах.

Bleeping Computer (https://www.bleepingcomputer.com)

Незаменимый ресурс по шифровальщикам (Ransomware). Детальные разборы новых семейств, индикаторы компрометации (IoC) и утилиты-дешифраторы.

Взгляд архитектора: Это не просто "чтиво". Это поток разведданных (Threat Intelligence). Читая эти сайты, вы не просто "узнаете новости" — вы получаете данные, чтобы:

Настроить Sysmon или auditd на поиск новых техник.

Объяснить руководству, почему нужно срочно внедрить MFA (показав свежий кейс).

Проактивно проверить свою инфраструктуру на уязвимости, о которых только что стало известно.

#security #soc #cybersecurity #threatintel #musthave #гайд #architect

Охота на "бесфайловых": Анализ RAM с помощью Volatility

Ваш антивирус молчит, Sysmon чист, но вы чувствуете, что сервер скомпрометирован.
Скорее всего, вы столкнулись с Fileless Malware — вредоносным кодом, который живет только в оперативной памяти (RAM) и никогда не касается диска.

Реакция админа: Перезагрузить сервер (и уничтожить все улики). Реакция архитектора: Сделать дамп памяти и начать "цифровую форензику".

Volatility 3 — это "золотой стандарт" (и open-source) для анализа дампов памяти Windows и Linux.

Как это работает (на пальцах):
Соберите дамп: Используйте WinPmem или FTK Imager (от AccessData), чтобы "сфотографировать" всю RAM проблемного сервера в один .mem файл.
Запустите Volatility на машине для анализа: vol.py -f server_dump.mem <plugin>
3 плагина, которые находят "невидимое":

windows.pstree.PsTree
Что делает: Показывает дерево процессов. Вы сразу увидите аномалию: powershell.exe, запущенный из-под winword.exe, или svchost.exe, который висит дочерним процессом у explorer.exe.

windows.netscan.NetScan
Что делает: Показывает все сетевые соединения, которые были активны в момент снятия дампа. Он найдет "скрытые" C2-соединения, которые процесс мог уже закрыть и "почистить" из netstat.

windows.malfind.Malfind
Что делает: "Охотник" за вредоносным кодом. Он сканирует память процессов на наличие внедренного (injected) кода — классический признак fileless-атаки.

Взгляд архитектора: Это — высшая лига Incident Response. Вы должны предполагать, что EDR может быть обойден. Умение анализировать RAM — это ваш последний рубеж обороны, позволяющий найти коренную причину (root cause) самой сложной атаки.

#windows #security #forensics #volatility #cybersecurity #architect #гайд

SOC-уровень: Ваш личный "Threat Intel" фид (4 ресурса)
"понимание атак... и обмен ими с IT-отделом — это ключ к расширению вашего кругозора".

Админ патчит, когда ему пришел тикет от SOC.
Архитектор читает те же отчеты, что и SOC, и проектирует систему так, чтобы тикет не появился.

Чтобы строить безопасные системы, вы должны думать как атакующий.
Вот 4 ресурса "уровня SOC", которые должен читать каждый инженер:

* The DFIR Report: Как происходят реальные вторжения(https://thedfirreport.com/)
Зачем: Это не "новости". Это полные, "от А до Я" разборы атак. Как (Phishing) -> Куда (PowerShell) -> Как (Lateral Movement). Вы видите всю цепочку и учитесь рвать её звенья.

* CISA KEV: Каталог ИЗВЕСТНЫХ ЭКСПЛУАТИРУЕМЫХ уязвимостей(https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
Зачем: Ваш сканер нашел 100 "критических" уязвимостей. Но какие из них реально используют хакеры прямо сейчас? CISA KEV — это ваш "приоритетный лист" для патч-менеджмента.

* BleepingComputer: Атаки на цепочку поставок(https://www.bleepingcomputer.com/tag/supply-chain-attack/)
Зачем: Ваш "периметр" мертв. Эта лента показывает, как атакуют через ваших доверенных вендоров (ПО, обновления, SaaS). Помогает проектировать системы по принципу Zero Trust.

* CheckPoint: Интерактивная карта киберугроз(https://threatmap.checkpoint.com/)
Зачем: Это "большая картина". Она дает контекст в реальном времени. Если вы видите, что идет аномальная волна DDoS из определенной страны, вы будете готовы к ней.

Взгляд архитектора: Не ждите, пока SOC пришлет вам алерт. Используйте эти ресурсы, чтобы проактивно укреплять свои системы. Это и есть "расширение кругозора": вы начинаете понимать "почему" и "как", а не просто "что" исправлять.

#security #soc #cybersecurity #threatintel #cisa #dfir #architect #гайд

AD: Ваш Domain Admin бесполезен, если он залогинен на ПК. Разбираем "Admin Tier Model"

Хакер взломал ПК вашего HelpDesk-администратора, который также является Domain Admin. Через 10 минут хакер получил ключи от всего домена.

Почему: Вы нарушили главный принцип безопасности AD.

Admin Tier Model (Модель Уровней Администрирования) — это не "фича", это архитектурная концепция от Microsoft, которая изолирует ваши "ключи от королевства".

Суть (простыми словами): Ваша инфраструктура делится на 3 "непересекающихся" уровня:

Tier 0 (Ядро / Ключи):

Что это: Контроллеры Домена (DC), PKI (Центры Сертификации), ADFS.

Кто: Только Domain Admins. Запрещено логиниться этими учетками куда-либо, кроме Tier 0.

Tier 1 (Серверы / Приложения):

Что это: Серверы приложений, SQL, WSUS, Файловые серверы.

Кто: Server Admins. Им запрещено логиниться на Tier 0.

Tier 2 (Рабочие станции / Пользователи):

Что это: Ноутбуки, ПК пользователей, принтеры.

Кто: HelpDesk / Workstation Admins. Им запрещено логиниться на Tier 1 и Tier 0.

"Золотое правило" (Закон Гравитации): Tier 0 (DA) НИКОГДА не должен "спускаться" и логиниться на Tier 1 или Tier 2.

Почему? Как только ваш Domain Admin (Tier 0) логинится на ПК (Tier 2), его хэш пароля остается в памяти (LSASS). Хакер, взломав этот ПК, забирает хэш (Pass-the-Hash) и мгновенно становится Domain Admin.

Взгляд архитектора: Вы не просто "создаете группы". Вы проектируете барьеры. Компрометация Tier 2 (самого уязвимого) не должна приводить к компрометации Tier 1 и, тем более, Tier 0. Это основа Zero Trust и единственный способ защитить AD от атак Lateral Movement.

#windows #security #activedirectory #architect #zerotrust #cybersecurity #гайд #musthave

Windows: Охота на "невидимых". Скрипт для поиска WMI-персистентности

Боль: Ваш EDR/антивирус молчит, но сервер "тормозит" и генерирует странный трафик. Вы не находите .exe или подозрительных служб. Вероятно, вы столкнулись с "бесфайловой" (Fileless) атакой.

Один из любимых методов хакеров — WMI Event Subscription. Злоумышленник "говорит" WMI: "Когда любой пользователь залогинится, пожалуйста, запусти этот powershell -enc ...". Это невидимая автозагрузка.

Реакция админа: Переустановить ОС.
Реакция архитектора: Найти и удалить подписку.

Этот PowerShell-скрипт (на CIM) сканирует "сердце" WMI (`root\subscription`) и показывает вам все активные WMI-подписки.

Код скрипта:
PowerShell

Write-Host "--- Начинаю поиск постоянных (Permanent) WMI-подписок ---" -ForegroundColor Cyan

# Мы ищем три компонента, из которых состоит атака:
# 1. __EventFilter: "За каким событием следить?" (e.g., "logon")
# 2. __EventConsumer: "Что запустить?" (e.g., "powershell.exe ...")
# 3. __FilterToConsumerBinding: "Как они связаны?"

$Namespace = "root\subscription"

Write-Host "`n[+] 1. Поиск Фильтров (__EventFilter):" -ForegroundColor Yellow
$Filters = Get-CimInstance -Namespace $Namespace -ClassName "__EventFilter"
$Filters | Select-Object Name, Query

Write-Host "`n[+] 2. Поиск 'Потребителей' (__EventConsumer):" -ForegroundColor Yellow
$Consumers = Get-CimInstance -Namespace $Namespace -ClassName "__EventConsumer"
$Consumers | Select-Object Name, __CLASS

Write-Host "`n[+] 3. Поиск Связей (Binding):" -ForegroundColor Yellow
$Bindings = Get-CimInstance -Namespace $Namespace -ClassName "__FilterToConsumerBinding"
$Bindings | Select-Object Filter, Consumer

Write-Host "`n--- Проверка завершена ---"
Write-Host "Задача: Вручную проверьте все, что не является 'Microsoft' или вашим ПО (e.g., 'Dell')."

Взгляд архитектора: Это — проактивный Threat Hunting. 99% админов никогда не заглядывают в WMI-подписки. Вы должны. Если вы видите здесь что-то "неродное", особенно CommandLineEventConsumer — вы, скорее всего, нашли активную угрозу.

#windows #powershell #security #threat_hunting #wmi #cybersecurity #скрипты #architect

Security: `Nmap Scripting Engine (NSE)` — когда `nmap` становится "хакерским"

Боль: Вы сканируете сервер: nmap -p 80 192.168.1.10 . PORT 80/tcp OPEN . И что? Эта информация бесполезна. Открытый порт — это не уязвимость.

Решение: `Nmap Scripting Engine (NSE)` Это встроенный в nmap движок на LUA, который превращает сканер портов в активный сканер уязвимостей.

3 команды, которые меняют всё:
1. "Базовый" скриптовый скан:
Bash

# -sC или --script=default
# Запускает "безопасный" набор скриптов: ищет анонимный FTP, версию SSH, http-title
nmap -sC 192.168.1.10

2. Охота на "низко висящие фрукты":
Bash

# --script=vuln
# Ищет САМЫЕ ИЗВЕСТНЫЕ уязвимости (Heartbleed, Shellshock, SMB MS17-010)
sudo nmap -sV --script=vuln 192.168.1.10

3. Поиск конкретной уязвимости:
Bash

# Проверяем ВСЕ веб-серверы в сети на уязвимость Log4Shell
nmap -p 80,443,8080 192.168.1.0/24 --script=http-log4shell

Взгляд архитектора: Вы переходите от "Network Discovery" (обнаружение сети) к "Vulnerability Auditing" (аудит уязвимостей). Вы смотрите на свою сеть глазами атакующего, что является основой проактивной защиты.

#security #nmap #cybersecurity #pentest #networking #гайд #musthave

AD Security: Kerberoasting — это "вход". Pass-the-Ticket — это "движение"

Боль: Мы уже говорили, как хакеры "вытаскивают" хэши сервисных учеток (Kerberoasting). Но что они делают дальше?

Реакция админа: "Я просто сменю пароль уязвимой учетке SQL-Service". Реакция архитектора: "Я пойму, куда он мог с ней пойти, и закрою этот путь".

Pass-the-Ticket (PtT) — это техника Lateral Movement (бокового смещения).

Как это работает:
1. Атакующий (через Kerberoasting) получил Kerberos-билет (TGS) для службы SQL-Service. Пароль ему не нужен.
2. Он "инжектит" этот билет в свою сессию (mimikatz, Rubeus).
3. Теперь он — SQL-Service.
4. Он смотрит, куда SQL-Service имеет права (например, SQL-Service — локальный админ на FILE-SRV-01).
5. Он "прыгает" на FILE-SRV-01 (через PsExec или WMI) с правами SQL-Service и повторяет цикл.

Взгляд архитектора: Это доказывает, почему Admin Tier Model и Принцип Наименьших Привилегий (PoLP) — это не "бюрократия", а фундамент защиты.
* Ваша SQL-Service (Tier 1) не должна быть админом на FILE-SRV-01 (Tier 1).
* Ваша HelpDesk (Tier 2) не должна иметь прав на серверах (Tier 1).

Компрометация одной учетки не должна приводить к компрометации всего домена.

#security #windows #activedirectory #kerberos #cybersecurity #architect #гайд

Windows (Security): Охота на C2-трафик. Скрипт-аудит эфемерных портов

Боль: Ваш EDR молчит. netstat показывает кучу соединений от svchost.exe или powershell.exe с "высоких" портов (49152+). Вы не знаете, "легитимный" это трафик или нет.

Реакция админа: "Наверное, это Windows...".
Реакция архитектора: "Вредоносы (C2, маяки) обожают прятаться в эфемерных (динамических) портах, чтобы слиться с "шумом". Я должен проверить, кто их использует".

Этот PowerShell-скрипт — ваш сканер. Он показывает только активные соединения в динамическом диапазоне портов и привязывает их к процессу и его пути.

Код скрипта:
PowerShell

Write-Host "--- Начинаю аудит процессов, использующих эфемерные порты ---" -ForegroundColor Cyan

# 1. Получаем динамический диапазон TCP-портов
$DynamicRange = netsh int ipv4 show dynamicport tcp
$StartPort = ($DynamicRange | Select-String "Start Port") -replace "\D", ""
$NumPorts = ($DynamicRange | Select-String "Number of Ports") -replace "\D", ""
$EndPort = [int]$StartPort + [int]$NumPorts
Write-Host "Динамический диапазон: $StartPort - $EndPort" -ForegroundColor Gray

# 2. Получаем все TCP-соединения
$Connections = Get-NetTCPConnection -State Established

# 3. Фильтруем
$Suspicious = $Connections | Where-Object {
    $_.RemotePort -ge $StartPort -and $_.RemotePort -le $EndPort
} | Select-Object -Property LocalAddress, LocalPort, RemoteAddress, RemotePort, OwningProcess, State

if ($Suspicious.Count -eq 0) {
    Write-Host "[OK] Подозрительных соединений в эфемерном диапазоне не найдено." -ForegroundColor Green
    exit
}

Write-Host "[!!!] ОБНАРУЖЕНЫ ПРОЦЕССЫ С СОЕДИНЕНИЯМИ В ЭФЕМЕРНОМ ДИАПАЗОНЕ:" -ForegroundColor Yellow

# Обогащаем данные путем к процессу
$Report = $Suspicious | ForEach-Object {
    $Process = Get-Process -Id $_.OwningProcess -ErrorAction SilentlyContinue
    [PSCustomObject]@{
        PID = $_.OwningProcess
        ProcessName = $Process.ProcessName
        Path = $Process.Path
        RemoteAddress = $_.RemoteAddress
        RemotePort = $_.RemotePort
    }
}

$Report | Format-Table -AutoSize

Взгляд архитектора: Вы не "гадаете". Вы валидируете. Если powershell.exe из C:\Users\Vasya\AppData держит соединение на порт 51234 с неизвестным IP — вы, вероятно, только что поймали C2-маяк (beacon).

#windows #powershell #security #threat_hunting #networking #скрипты #cybersecurity

Windows: "Автозагрузка", которую вы не видите. Скрипт-аудит Scheduled Tasks

Боль: Ваш EDR/антивирус "молчит", но с сервера идет странный трафик. Вы проверили Run, Startup, Services — всё чисто. Где "сидит" вредонос?

Ответ: В Планировщике Задач (Scheduled Tasks). Это любимый метод персистентности (Persistence) для 90% современных атак (Fileless, C2-маяки).

Реакция админа: "Открыть GUI и пролистать 200 задач".
Реакция архитектора: "Запустить PowerShell-аудит, который найдет паттерны атаки".

Этот PowerShell-скрипт — ваш "охотник". Он ищет "красные флаги" в задачах.

Код скрипта:
PowerShell

Write-Host "--- Начинаю аудит Scheduled Tasks на 'красные флаги' ---" -ForegroundColor Cyan

# Получаем ВСЕ задачи
$Tasks = Get-ScheduledTask

$Report = foreach ($Task in $Tasks) {
    $TaskInfo = Get-ScheduledTaskInfo $Task
    $TaskAction = $Task.Actions.Execute

    # --- КРАСНЫЕ ФЛАГИ (добавьте свои) ---
    $Suspicious = $false
    
    # 1. Запуск от SYSTEM с высоким приоритетом
    if ($TaskInfo.Principal -match "SYSTEM" -and $TaskInfo.Priority -lt 5) { $Suspicious = $true }
    
    # 2. Запуск PowerShell с закодированной командой
    if ($TaskAction -match "powershell.*-enc") { $Suspicious = $true }
    
    # 3. Запуск из "странных" папок (Temp, AppData)
    if ($TaskAction -match "AppData" -or $TaskAction -match "Temp") { $Suspicious = $true }

    if ($Suspicious) {
        [PSCustomObject]@{
            Path = $Task.TaskPath
            Name = $Task.TaskName
            State = $TaskInfo.State
            User = $TaskInfo.Principal
            Action = $TaskAction
        }
    }
}

if ($Report) {
    Write-Host "`n[!!!] ОБНАРУЖЕНЫ ПОДОЗРИТЕЛЬНЫЕ ЗАДАЧИ:" -ForegroundColor Red
    $Report | Format-Table -Wrap -AutoSize
} else {
    Write-Host "`n[OK] Подозрительных задач не найдено." -ForegroundColor Green
}

Взгляд архитектора: Это проактивный Threat Hunting. Вы не ждете срабатывания EDR. Вы сами ищете TTPs (тактики, техники, процедуры) атакующих, зная, как они работают.

#windows #powershell #security #threat_hunting #cybersecurity #скрипты #гайд

🛡️ Windows (Security): "Убить" Mimikatz. Включаем LSA Protection (PPL)

Боль: Хакер получил права админа на 1 сервере. Он запускает mimikatz.exe -> sekurlsa::logonpasswords -> и "вытаскивает" из памяти процесса lsass.exe все пароли/хэши, включая Domain Admin'а, который логинился туда 2 часа назад. Игра окончена.

Реакция админа: "Мой EDR/Антивирус поймает mimikatz". (А если нет?)
Реакция архитектора: "Я сделаю lsass.exe неприкосновенным".

LSA Protection (PPL - Protected Process Light) — это "спящий" режим защиты в Windows (начиная с 8.1 / Server 2012 R2), который запрещает любым процессам (даже с правами SYSTEM) читать память lsass.exe.

Как включить (1 ключ реестра):

# Запускаем PowerShell от имени Admin
$RegPath = "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa"
Set-ItemProperty -Path $RegPath -Name "RunAsPPL" -Value 1

(Требуется перезагрузка для применения)

Результат: mimikatz (и другие "дамперы") просто выдаст ERROR kuhl_m_sekurlsa_acquireLSA ; Process Protection Error! (0x00000005). Доступ запрещен.

Взгляд архитектора: Это фундаментальное "укрепление" (Hardening). Вы не "надеетесь" на EDR, вы используете встроенный механизм ОС, чтобы сделать компрометацию lsass.exe невозможной.

#windows #security #mimikatz #lsass #cybersecurity #architect #гайд #musthave

🛡️ Фишинг: Почему "тренировка" — это полдела, а "Zero Trust" — это всё

Боль: 90% всех кибератак начинаются с одного: фишинг. Админ "тренирует" пользователей не нажимать на ссылки. Архитектор исходит из того, что пользователь уже нажал на ссылку.

Обучение пользователей (Layer 😍 — это наш первый, но самый "хрупкий" рубеж обороны.

1. Обучаем (Ресурсы): Вот подборка топ-ресурсов, которые помогут вам и вашим пользователям научиться распознавать угрозы:

KnowBe4 (Лидеры в Security Awareness)
https://www.knowbe4.com/phishing
IT Governance UK (5 способов детекта)
https://www.itgovernance.co.uk/blog/5-ways-to-detect-a-phishing-email
CheapSSLSecurity (10 примеров)
https://cheapsslsecurity.com/blog/10-phishing-email-examples-you-need-to-see/
Google Phishing Quiz (Проверь себя)
https://phishingquiz.withgoogle.com/

2. Строим "бетонную комнату" (Взгляд архитектора): Наша настоящая работа — минимизировать "взрывную волну" после клика. Хакер, получив Initial Access, должен "приземлиться" в изоляции.

Именно поэтому мы внедряем:

* LAPS (чтобы он не украл локального админа).

* AppLocker (чтобы он не запустил свой .exe из Downloads).

* MFA (чтобы он не использовал украденный пароль).

* Admin Tier Model (чтобы он не "прыгнул" на DC).

#security #phishing #cybersecurity #zerotrust #гайд #architect

☣️ Windows: Скрипт-аудит "Кто может сбросить пароль Domain Admin?"

Боль: Вы думаете, что только Domain Admins могут менять пароли. Но в AD есть "темные" права, как GenericAll, WriteDacl или User-Force-Change-Password.

Проблема: Учетка HelpDesk (которую взломали) может иметь право сбросить пароль SQL-Admin, а тот, в свою очередь, — пароль Domain Admin. Это "теневые" админы (Shadow Admins).

Этот PowerShell-скрипт (на модуле DSInternals) — ваш аудитор. Он покажет всех, кто имеет "опасные" права на ваших Domain Admins.

Код скрипта:

# 1. Установка модуля (один раз)
# Install-Module DSInternals -Scope CurrentUser

Import-Module DSInternals

Write-Host "--- Начинаю аудит 'опасных' ACL на Admin-группах ---" -ForegroundColor Cyan

# 2. Список "целей" (кого проверяем)
$CriticalGroups = @(
    "Domain Admins",
    "Enterprise Admins",
    "Administrators",
    "Schema Admins"
)

# 3. Список "опасных" прав
$DangerousRights = @(
    'GenericAll',
    'WriteDacl',
    'WriteOwner',
    'Self',
    'WriteProperty',
    'GenericWrite',
    'User-Force-Change-Password'
)

$Report = foreach ($Group in $CriticalGroups) {
    Get-ADACL -Identity $Group | Where-Object {
        ($_.ActiveDirectoryRights -in $DangerousRights) -and
        ($_.IdentityReference -notin @("NT AUTHORITY\SYSTEM", "BUILTIN\Administrators", "CORP\Domain Admins", "CORP\Enterprise Admins")) # Исключаем "ожидаемых"
    }
}

if ($Report) {
    Write-Host "`n[!!!] ОБНАРУЖЕНЫ 'ТЕНЕВЫЕ' АДМИНЫ:" -ForegroundColor Red
    $Report | Format-Table ObjectDN, IdentityReference, ActiveDirectoryRights
} else {
    Write-Host "`n[OK] 'Лишних' прав на критических группах не найдено." -ForegroundColor Green
}

Взгляд архитектора: Это — аудит путей атаки (Attack Paths). Вы должны знать каждую учетку, которая может сбросить пароль DA.

#windows #powershell #security #activedirectory #audit #скрипты #cybersecurity

🛡️ Безопасность Linux-сервера за 10 минут: Базовый чек-лист 🛡️

1. Обновление и чистка
Первым делом — актуальные патчи. Уязвимости нулевого дня (0-day) в 2026-м вылетают часто, поэтому система должна быть свежей.

sudo apt update && sudo apt upgrade -y
# Удаляем лишние пакеты, которые могут быть вектором атаки
sudo apt autoremove && sudo apt autoclean

2. Защита SSH (Самый важный этап)
Забудь про пароли. Только ключи. И никакого входа под root.
Что сделать: Отредактируй /etc/ssh/sshd_config.

# Установи следующие параметры:
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
# Опционально: смени порт с 22 на нестандартный (например, 2222)
Port 2222

Применить: sudo systemctl restart ssh

3. Настройка фаервола (UFW или nftables)
Закрываем всё, что не используем. Если это веб-сервер, нам нужны только 80, 443 и наш порт SSH.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 2222/tcp  # Твой новый порт SSH
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable

4. Fail2Ban: Защита от брутфорса
Даже если пароли отключены, боты будут нагружать твой процессор попытками входа. Fail2Ban просто забанит их на уровне IP после пары неудачных попыток.

sudo apt install fail2ban -y
# Конфиг по умолчанию для SSH обычно уже включен. 
# Проверить статус:
sudo fail2ban-client status sshd

5. Аудит открытых портов
Проверь, не слушает ли какая-нибудь база данных или служебный демон весь интернет.

# Ищем все слушающие порты
sudo ss -tulpn

Если видишь 0.0.0.0:5432 (PostgreSQL) или 0.0.0.0:6379 (Redis) — это беда. Они должны слушать только 127.0.0.1 или внутреннюю сеть.

Итог: Эти простые действия отсекают 99% автоматизированных атак.
Остальное — это уже тонкий тюнинг и специфические настройки под конкретный проект.

#security #linux #sysadmin #hardening #cybersecurity #fail2ban #ufw #admin_future