SELinux: Хватит делать setenforce 0. Учимся "читать" логи аудита

"Приложение не работает. Наверное, SELinux. setenforce 0... О, заработало! Готово".

Это — самый опасный рефлекс системного администратора. Вы только что отключили самый мощный механизм защиты в ядре Linux, который мог бы спасти вас от 0-day уязвимости.

SELinux (Security-Enhanced Linux) — это Mandatory Access Control (MAC). Он не дает root-процессу, если он скомпрометирован (например, Nginx), читать /etc/shadow. Он работает по принципу "запрещено всё, что явно не разрешено политикой".

Проблема: Как "разрешить", не отключая всю систему? Решение: auditd и audit2allow.

План "Архитектора" по решению SELinux-проблемы (на 3 минуты):

Сценарий: Ваш Nginx не может прочитать файлы в /srv/www/html. Вы видите Permission Denied.

1. Проверьте, что это SELinux:
Bash

# Временно переводим в "разрешающий" режим (только логи, без блокировки)
sudo setenforce 0

# Проверяем, заработало ли приложение. Если да — виновник 100% SELinux.

# ВОЗВРАЩАЕМ ЗАЩИТУ!
sudo setenforce 1

2. Находим причину в логах аудита: auditd пишет все "denied" в /var/log/audit/audit.log.
Bash

# Находим все отказы SELinux за последнее время
sudo ausearch -m AVC -ts recent

# ...или "классика"
sudo grep "denied" /var/log/audit/audit.log | tail -n 5

Вы увидите строку, где comm="nginx" (процесс) пытался read (действие) на path="/srv/www/html/index.html" (цель).

3. Генерируем "исключение" (магия): Утилита audit2allow читает этот лог и сама пишет модуль политики за вас.
Bash

# 1. Собираем все недавние отказы в один файл
sudo ausearch -m AVC -ts recent > /tmp/nginx_denials.log

# 2. Генерируем модуль (myNginxFix)
sudo audit2allow -M myNginxFix -i /tmp/nginx_denials.log

# 3. Устанавливаем этот модуль в политику
sudo semodule -i myNginxFix.pp

Готово. Вы не "отключили" безопасность. Вы уточнили политику, разрешив только Nginx читать только вашу папку.

Взгляд архитектора: setenforce 0 — это признание поражения. semodule -i ... — это инженерное решение. Архитектор управляет политиками безопасности, а не отключает их. Это и есть Principle of Least Privilege (Принцип наименьших привилегий) в действии.

#linux #security #selinux #audit #sre #гайд #musthave

Windows Server 2025: "Hotpatching" — это революция. Обновления без перезагрузки

Мы 20 лет жили по правилу: "Вторник — патчи, среда (3 часа ночи) — перезагрузка". Это правило (почти) мертво.

В Windows Server 2025 (и уже сейчас в Azure Edition) Microsoft выкатила "Hotpatching" (Горячее исправление) для всех.

Как это работает:

Базовый план: Раз в несколько месяцев вы ставите "большой" кумулятивный апдейт (с перезагрузкой).

"Горячие" патчи: В промежутках Microsoft выпускает только патчи безопасности, которые применяются на лету, в оперативной памяти работающих процессов.

Результат: rundll32.exe или lsass.exe "бесшовно" перезапускаются в памяти с новым, исправленным кодом. Сервер не перезагружается. Сервисы не останавливаются.

Взгляд архитектора: Это не "удобство". Это фундаментальное изменение в SLA (Service Level Agreement). Мы больше не выбираем между "быть безопасным" и "быть в аптайме". Мы можем гарантировать 99.99% доступности и быть защищенными. Это меняет подход к проектированию кластеров и окон обслуживания.

#windows #windowsserver #hotpatching #sysadmin #architect #musthave #гайд

SANS Institute: Две Шпаргалки для Выживания в Кибервойне (Windows & Linux)

Забудьте про StackOverflow, когда горит система. В критической ситуации нужны проверенные и мгновенно доступные знания.

SANS Institute — это не просто курсы. Это золотой стандарт в мире кибербезопасности. И они регулярно делятся бесценными ресурсами. Сегодня у нас две такие "библии":

Шпаргалка по Обнаружению Вторжений в Windows (Windows Intrusion Detection Cheat Sheet)

Шпаргалка по Выживанию в Linux Shell (Linux Shell Survival Guide)

Взгляд архитектора: Эти шпаргалки — не для "новичков". Это рабочие инструменты для опытного инженера, который сталкивается с инцидентами.

#security #windows #linux #cybersecurity #sans #musthave #шпаргалки #гайд

ИБ: Новая угроза — "Quishing". Как QR-коды обходят вашу защиту

Ваш дорогой anti-spam фильтр проверяет ссылки и текст. Но что, если в письме нет ни одной ссылки?

Встречайте "Quishing" (QR Code Phishing) — стремительно растущий вектор атак.

Как это работает:

Пользователь получает письмо (часто под видом "Срочно! Обновите MFA-аутентификацию").

В письме нет ссылок, только изображение (QR-код). Ваш спам-фильтр видит просто картинку и пропускает письмо.

Пользователь сканирует QR-код личным телефоном.

Телефон (который не защищен вашим корпоративным EDR) переходит на фишинговый сайт, где пользователь вводит свой логин и пароль.

Взгляд архитектора: Это атака на "слой 8" (человека), которая обходит традиционные технические средства защиты (E-Mail Gateway, EDR на ПК).

Как защищаться (Defense in Depth):

Обучение: Расскажите пользователям, что сканировать неизвестные QR-коды так же опасно, как и кликать по ссылкам.

MFA: Настоящий MFA (не SMS) — ваш главный бастион.

MDM (Mobile Device Management): Если сотрудники используют личные телефоны для работы, они должны быть под управлением (MDM) и иметь защиту (Endpoint Security).

#security #phishing #cybersecurity #zerotrust #гайд #musthave

SOC: Знать — значит защищать. Где следить за угрозами

В мире кибербезопасности скорость решает всё. Пока вы ставите патч от вчерашней уязвимости, хакеры уже эксплуатируют сегодняшнюю. Ключ к успеху в SOC (Security Operations Center) — это быть в курсе последних тенденций атак.

Админ реагирует на инцидент. Архитектор предвидит его, читая о новых TTPs (тактиках, техниках и процедурах) атакующих.

Вот 3 сайта "must-read", которые должны быть в ваших ежедневных закладках:

Krebs on Security (https://krebsonsecurity.com)

Глубокие расследования киберпреступлений от Брайана Кребса. Он часто раскапывает то, о чем молчат другие.

The Hacker News (https://thehackernews.com)

"Пульс" индустрии. Оперативные новости о новых уязвимостях, 0-day и крупных взломах.

Bleeping Computer (https://www.bleepingcomputer.com)

Незаменимый ресурс по шифровальщикам (Ransomware). Детальные разборы новых семейств, индикаторы компрометации (IoC) и утилиты-дешифраторы.

Взгляд архитектора: Это не просто "чтиво". Это поток разведданных (Threat Intelligence). Читая эти сайты, вы не просто "узнаете новости" — вы получаете данные, чтобы:

Настроить Sysmon или auditd на поиск новых техник.

Объяснить руководству, почему нужно срочно внедрить MFA (показав свежий кейс).

Проактивно проверить свою инфраструктуру на уязвимости, о которых только что стало известно.

#security #soc #cybersecurity #threatintel #musthave #гайд #architect

`htop` — это прошлое. `Netdata` — ваш личный SRE-дашборд за 1 минуту

htop показывает, что происходит сейчас. Prometheus — мощный, но сложный (требует настройки).

Netdata — это "золотая середина". Это невероятно мощный, per-second (посекундный) мониторинг, который не требует настройки.

Как это работает: Вы запускаете одну строчку. Через 60 секунд у вас в браузере http://<ip>:19999 открывается дашборд, который показывает всё:

* CPU (разбивка по ядрам, user, system, iowait)
* Память (включая slab, cache)
* Диски (I/O, очередь, утилизация каждого диска)
* Сеть (трафик, пакеты, ошибки каждого интерфейса)
* Авто-детекция: Он сам найдет nginx, postgres, systemd и покажет их персональные метрики.

Установка (одной строкой):
Bash

# Официальный скрипт установки
bash <(curl -Ss https://my-netdata.io/kickstart.sh) --dont-wait

Взгляд архитектора: Это High-Resolution Monitoring. Вы видите не "среднюю температуру по больнице", а микро-всплески, которые и вызывают проблемы. Это идеальный инструмент для траблшутинга в реальном времени. Вы можете коррелировать: "Ага, ровно в 18:30:05 был всплеск Disk I/O , и именно в эту секунду postgres захлебнулся".

#linux #sre #monitoring #netdata #devops #sysadmin #гайд #musthave

AD: Ваш Domain Admin бесполезен, если он залогинен на ПК. Разбираем "Admin Tier Model"

Хакер взломал ПК вашего HelpDesk-администратора, который также является Domain Admin. Через 10 минут хакер получил ключи от всего домена.

Почему: Вы нарушили главный принцип безопасности AD.

Admin Tier Model (Модель Уровней Администрирования) — это не "фича", это архитектурная концепция от Microsoft, которая изолирует ваши "ключи от королевства".

Суть (простыми словами): Ваша инфраструктура делится на 3 "непересекающихся" уровня:

Tier 0 (Ядро / Ключи):

Что это: Контроллеры Домена (DC), PKI (Центры Сертификации), ADFS.

Кто: Только Domain Admins. Запрещено логиниться этими учетками куда-либо, кроме Tier 0.

Tier 1 (Серверы / Приложения):

Что это: Серверы приложений, SQL, WSUS, Файловые серверы.

Кто: Server Admins. Им запрещено логиниться на Tier 0.

Tier 2 (Рабочие станции / Пользователи):

Что это: Ноутбуки, ПК пользователей, принтеры.

Кто: HelpDesk / Workstation Admins. Им запрещено логиниться на Tier 1 и Tier 0.

"Золотое правило" (Закон Гравитации): Tier 0 (DA) НИКОГДА не должен "спускаться" и логиниться на Tier 1 или Tier 2.

Почему? Как только ваш Domain Admin (Tier 0) логинится на ПК (Tier 2), его хэш пароля остается в памяти (LSASS). Хакер, взломав этот ПК, забирает хэш (Pass-the-Hash) и мгновенно становится Domain Admin.

Взгляд архитектора: Вы не просто "создаете группы". Вы проектируете барьеры. Компрометация Tier 2 (самого уязвимого) не должна приводить к компрометации Tier 1 и, тем более, Tier 0. Это основа Zero Trust и единственный способ защитить AD от атак Lateral Movement.

#windows #security #activedirectory #architect #zerotrust #cybersecurity #гайд #musthave

Windows: "Get-WmiObject — мертв". Переходим на CIM

Если вы в 2025 году все еще пишете Get-WmiObject в своих PowerShell-скриптах, у нас плохие новости. Эта команда мертва (deprecated).

Почему она мертва? Она использует "старый" протокол DCOM, который:

* Медленный.

* Блокируется файрволами (требует 100500 открытых портов).

* Неэффективный.

Новый стандарт: Get-CimInstance (CIM) CIM (Common Information Model) — это современная замена WMI.

Почему CIM — это круто:

Работает по WinRM: (Как и PowerShell Remoting). Ему нужен один порт (5985 http или 5986 https). Он "пробивает" файрволы.

Быстрый: Использует WS-Man, который намного легче, чем DCOM.

Умный: Get-CimInstance возвращает "чистые" объекты, а не системный мусор.

Сравнение "до" и "после":

МЕРТВО (не делайте так):

PowerShell

# Медленно, через DCOM
Get-WmiObject -Class Win32_OperatingSystem -ComputerName SERVER01

ЖИВО (делайте так):

PowerShell

# Быстро, через WinRM
Get-CimInstance -ClassName Win32_OperatingSystem -ComputerName SERVER01

(...или New-CimSession для создания постоянного подключения).

Взгляд архитектора: Выбирать правильный инструмент — это и есть архитектура. Get-WmiObject — это "костыль" из эры Server 2003. Get-CimInstance — это стандарт для современной, автоматизированной Windows-инфраструктуры.

#windows #powershell #automation #wmi #cim #sysadmin #гайд #musthave

SUDO. ДЛЯ. WINDOWS. Официально.

Microsoft анонсировала sudo для Windows Server 2025 (и уже в Insider-сборках Windows 11).

Это фундаментальное изменение в философии администрирования Windows, которого мы ждали 20 лет.

Как это работает (по данным Microsoft): Это не runas. Это sudo.
PowerShell

# Пример: Запускаем команду в том же окне, но с правами Admin
sudo Remove-Item C:\Windows\System32\Drivers\etc\hosts

Ключевые фичи:
Три режима:
1. inline (по умолчанию): Команда запускается в текущем окне (как в Linux).
2. in a new window: Открывает новое UAC-окно.
3. disabled: Отключено.

Конфигурация: Настраивается через sudo config.

Безопасность: Запрашивает UAC-подтверждение (пока), но это уже шаг к гранулярному повышению привилегий.

Взгляд архитектора: Это не просто "копия" Linux. Это признание Microsoft, что временное, гранулярное повышение привилегий (Principle of Least Privilege) — это единственный путь к безопасности. Мы уходим от эры, где админ сидит 8 часов в сессии с правами Domain Admin. Это меняет всё в скриптах автоматизации и в подходе к безопасности.

#windows #security #sudo #powershell #architect #musthave #hotnews

Security: `Nmap Scripting Engine (NSE)` — когда `nmap` становится "хакерским"

Боль: Вы сканируете сервер: nmap -p 80 192.168.1.10 . PORT 80/tcp OPEN . И что? Эта информация бесполезна. Открытый порт — это не уязвимость.

Решение: `Nmap Scripting Engine (NSE)` Это встроенный в nmap движок на LUA, который превращает сканер портов в активный сканер уязвимостей.

3 команды, которые меняют всё:
1. "Базовый" скриптовый скан:
Bash

# -sC или --script=default
# Запускает "безопасный" набор скриптов: ищет анонимный FTP, версию SSH, http-title
nmap -sC 192.168.1.10

2. Охота на "низко висящие фрукты":
Bash

# --script=vuln
# Ищет САМЫЕ ИЗВЕСТНЫЕ уязвимости (Heartbleed, Shellshock, SMB MS17-010)
sudo nmap -sV --script=vuln 192.168.1.10

3. Поиск конкретной уязвимости:
Bash

# Проверяем ВСЕ веб-серверы в сети на уязвимость Log4Shell
nmap -p 80,443,8080 192.168.1.0/24 --script=http-log4shell

Взгляд архитектора: Вы переходите от "Network Discovery" (обнаружение сети) к "Vulnerability Auditing" (аудит уязвимостей). Вы смотрите на свою сеть глазами атакующего, что является основой проактивной защиты.

#security #nmap #cybersecurity #pentest #networking #гайд #musthave

AD: "Путь к Domain Admin". Аудит путей атаки с PowerShell

Боль: Вы запустили BloodHound и увидели 50 "красных" путей к правам Domain Admin. Вы в ужасе. Что делать дальше?

Реакция админа: "Закрою 1-2 самые очевидные дыры".
Реакция архитектора: Начать систематический аудит "Control Paths" (путей контроля).

Атака BloodHound — это не магия. Это злоупотребление "опасными" правами (ACL), которые вы сами раздали. Самые опасные — GenericAll , GenericWrite , WriteDacl .

Этот PowerShell-скрипт (на модуле ActiveDirectory ) — оборонительный BloodHound . Он найдет, кто имеет "опасные" права на ваш самый ценный объект — группу "Domain Admins".

Код скрипта:
PowerShell

Import-Module ActiveDirectory

Write-Host "--- Начинаю аудит 'опасных' ACL на группе 'Domain Admins' ---" -ForegroundColor Cyan

$DAMinGroupDN = (Get-ADGroup "Domain Admins").DistinguishedName
$ACLs = (Get-Acl "AD:$DAMinGroupDN").Access

# Список "смертельных" прав, которые дают полный контроль
$DangerousRights = @(
    "GenericAll",
    "GenericWrite",
    "WriteDacl",
    "WriteProperty",
    "WriteOwner"
)

# Ищем всех, у кого есть эти права, КРОМЕ "ожидаемых" (Админы, SYSTEM...)
$SuspiciousACLs = $ACLs | Where-Object {
    ($_.ActiveDirectoryRights -in $DangerousRights) -and
    ($_.IdentityReference -notin @("NT AUTHORITY\SYSTEM", "BUILTIN\Administrators", "CORP\Domain Admins"))
}

if ($SuspiciousACLs.Count -gt 0) {
    Write-Host "`n[!!!] ОБНАРУЖЕНЫ КРИТИЧЕСКИЕ ПУТИ АТАКИ:" -ForegroundColor Red
    $SuspiciousACLs | Format-Table IdentityReference, ActiveDirectoryRights, AccessControlType
} else {
    Write-Host "`n[OK] 'Лишних' прав на группе Domain Admins не найдено." -ForegroundColor Green
}

Взгляд архитектора: Вы не "ищете" уязвимость. Вы валидируете вашу Admin Tier Model. Этот скрипт — ваш первый шаг к "очистке" AD-безопасности.

#windows #security #activedirectory #powershell #bloodhound #architect #скрипты #musthave

Windows: FSRM — "SWAT-команда" для вашего файлового сервера

Боль: Ваш файловый сервер превратился в свалку. Пользователи хранят там .iso и .mp3 , а в один "прекрасный" день 10 000 файлов внезапно получают расширение .crypted .

Реакция админа: Писать скрипты для поиска .mp3 и восстанавливать бэкапы после атаки.
Реакция архитектора: Предотвратить это на уровне файловой системы.

В Windows Server есть "спящий гигант" — FSRM (File Server Resource Manager). Это не просто "квоты", это активная защита.

2 киллер-фичи, которые нужно включить:

1. File Screening (Блокировка по типу): Это ваш главный щит от шифровальщиков.
* Как: Вы создаете "экран", который запрещает запись файлов по маске (например, *.crypt, *.locked, *.wncry).
* Результат: Процесс шифровальщика просто не сможет создать/переименовать файл. Атака "захлебнется" на первом же файле.
* Бонус: Сюда же добавляем *.exe, *.bat, *.ps1 (запретить запуск) и *.mp3, *.avi (сэкономить место).

2. Quotas (Умные квоты): Не просто "100 ГБ на папку", а автоматическое применение квоты (2 ГБ) для каждой новой папки пользователя, созданной в \\Shares\Users\.

Взгляд архитектора: FSRM — это не "управление диском". Это критический слой безопасности (Defense in Depth). Вы не "надеетесь" на EDR, вы блокируете сам вектор атаки на уровне файловой системы.

#windows #security #fsrm #ransomware #sysadmin #гайд #musthave

Windows (Security): JEA — "PowerShell-тюрьма" для админов

Боль: Вам нужно дать HelpDesk-у право только перезапускать службу MyWebApp на 10 серверах.
Реакция админа: Дать ему RDP и права локального админа. (Итог: он "случайно" перезагружает весь сервер).
Реакция архитектора: Внедрить JEA (Just Enough Administration).

JEA — это не "права". Это "PowerShell-бункер".
Вы создаете специальный, изолированный PowerShell-endpoint (конечную точку), к которому подключается админ.

Как это работает:

1. Вы декларативно описываете "роль" в файле .psrc (Role Capability).
2. В этом файле вы разрешаете ТОЛЬКО одну команду: Restart-Service -Name "MyWebApp".
3. Админ подключается: Enter-PSSession -ComputerName SRV-01 -ConfigurationName JEA_Endpoint
4. Результат: Он может выполнить Restart-Service, но если он наберет Get-Process или reboot — он получит "команда не найдена".

Взгляд архитектора: Это абсолютный Zero Trust. Вы не "даете права" на сервер. Вы предоставляете безопасное API к нему. Это "золотой стандарт" для делегирования полномочий, который делает атаки Lateral Movement практически невозможными.

#windows #security #powershell #jea #zerotrust #architect #гайд #musthave

Windows (Security): "Крепость" внутри AD. Внедряем Authentication Silos

Боль: Ваш Domain Admin залогинился на ноутбук HelpDesk ( Tier 2 ), чтобы "быстро что-то поправить".
Хакер, сидящий на этом ноутбуке, ворует его Kerberos-билет и через 5 минут захватывает Контроллер Домена (атака Pass-the-Ticket ).

Реакция админа: "Я больше так не буду".
Реакция архитектора: "Я сделаю так, чтобы этот билет был бесполезен".

Authentication Silos (Хранилища Аутентификации) — это ваш "ядерный бункер" внутри AD.
Это контейнер, который привязывает высокопривилегированные учетки (как Domain Admins ) только к высокопривилегированным хостам (как Domain Controllers ).

Как это работает:
1. Вы создаете "Silo" (Хранилище) и "Policy" (Политику).
2. Вы помещаете в "Silo" своих Domain Admins и свои Domain Controllers.
3. Kerberos (KDC) теперь выдает непередаваемые (non-forwardable) билеты. TGT (билет), выданный для Domain Admin'а, не может быть использован для доступа ни к чему, кроме хостов из этого же "Silo" (то есть, к другим DC).

Взгляд архитектора: Это реальное, техническое принуждение для вашей Admin Tier Model. Вы не "надеетесь", что админ не залогинится на ПК. Вы гарантируете, что если он это сделает, его украденный билет будет просто бесполезным мусором для хакера.

#windows #security #activedirectory #kerberos #zerotrust #architect #гайд #musthave

🚀 Windows (Архитектура): "Split-Brain" DNS мертв. Встречаем Политики DNS

Боль: У вас есть сервис app.local, который должен резолвиться в 10.0.0.1 для внутренних клиентов (IT) и в 192.168.0.1 для всех остальных (Users).

Реакция админа (старая): Поднять два DNS-сервера (Split-Brain DNS), управлять двумя зонами, мучиться с репликацией.

Реакция архитектора: Использовать DNS Resolution Policies (в Windows Server 2016+). Это "умный" DNS, который отдает разные A-записи в зависимости от того, кто спрашивает.

План внедрения (на пальцах):

# 1. Определяем "зону" клиентов (например, IT-подсеть)
Add-DnsServerClientSubnet -Name "IT_Subnet" -IPv4Subnet "10.0.10.0/24"

# 2. Создаем политику: "Если запрос из IT_Subnet..."
Add-DnsServerQueryResolutionPolicy -Name "IT_Policy" -ClientSubnet "eq,IT_Subnet"

# 3. Добавляем A-запись, которая видна ТОЛЬКО этой политике
Add-DnsServerResourceRecord -ZoneName "app.local" -Name "www" -A -IPv4Address "10.0.0.1" -Policy "IT_Policy"

# 4. Добавляем A-запись "по умолчанию" (для всех остальных)
Add-DnsServerResourceRecord -ZoneName "app.local" -Name "www" -A -IPv4Address "192.168.0.1"

Готово. Теперь ваш DNS-сервер сам "маршрутизирует" ответы.

Взгляд архитектора: Вы переходите от управления железом (два сервера) к управлению кодом (Policy as Code). Это централизация, упрощение и основа для Geo-DNS и балансировки нагрузки на уровне DNS.

#windows #powershell #dns #networking #architect #гайд #musthave

🖥 Security (Home Lab): Pi-hole — "Адблок" для всей вашей домашней сети

Боль: Ваш телефон, ноутбук, планшет, телевизор и даже умная колонка показывают рекламу. Это не только раздражает, но и несет реальные риски: фишинг, малварь, отслеживание. Один неудачный клик — и вся сеть под угрозой.

Решение: Блокировка рекламы и трекеров на уровне DNS для всех устройств в сети.

Pi-hole — это DNS-сервер, который работает как "черная дыра" для нежелательного трафика. Он перехватывает запросы к рекламным и вредоносным доменам и просто не отвечает на них.

Что вы получаете:

Блокировка рекламы везде: На всех устройствах, включая те, где нельзя поставить "адблок" (Smart TV, IoT).

Защита от малвари/фишинга: Большинство вредоносных сайтов используют одни и те же домены — Pi-hole их блокирует.

Контроль и Observability: Удобный веб-интерфейс показывает, какое устройство куда стучится, и что Pi-hole заблокировал.

Никаких VPN: Работает "из коробки" на роутере.

Запуск (в Docker за 5 минут):

# Создаем папку для конфигурации
mkdir -p /opt/pihole

# Запускаем контейнер
docker run -d \
    --name pihole \
    -p 53:53/tcp -p 53:53/udp \
    -p 80:80 \
    -e PUID=1000 -e PGID=1000 \
    -e TZ="Europe/Moscow" \
    -v /opt/pihole:/etc/pihole \
    --restart=unless-stopped \
    pihole/pihole:latest

После запуска: Перенастройте DNS-сервер на вашем роутере на IP-адрес вашего Pi-hole.

Взгляд архитектора: Вы не "блокируете рекламу". Вы перехватываете контроль над своим DNS-трафиком. Это первый шаг к построению "сегментированной" и "фильтрованной" домашней сети, как в Enterprise.

#security #homelab #pihole #dns #docker #гайд #musthave

🛡️ Windows (Security): "Убить" Mimikatz. Включаем LSA Protection (PPL)

Боль: Хакер получил права админа на 1 сервере. Он запускает mimikatz.exe -> sekurlsa::logonpasswords -> и "вытаскивает" из памяти процесса lsass.exe все пароли/хэши, включая Domain Admin'а, который логинился туда 2 часа назад. Игра окончена.

Реакция админа: "Мой EDR/Антивирус поймает mimikatz". (А если нет?)
Реакция архитектора: "Я сделаю lsass.exe неприкосновенным".

LSA Protection (PPL - Protected Process Light) — это "спящий" режим защиты в Windows (начиная с 8.1 / Server 2012 R2), который запрещает любым процессам (даже с правами SYSTEM) читать память lsass.exe.

Как включить (1 ключ реестра):

# Запускаем PowerShell от имени Admin
$RegPath = "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa"
Set-ItemProperty -Path $RegPath -Name "RunAsPPL" -Value 1

(Требуется перезагрузка для применения)

Результат: mimikatz (и другие "дамперы") просто выдаст ERROR kuhl_m_sekurlsa_acquireLSA ; Process Protection Error! (0x00000005). Доступ запрещен.

Взгляд архитектора: Это фундаментальное "укрепление" (Hardening). Вы не "надеетесь" на EDR, вы используете встроенный механизм ОС, чтобы сделать компрометацию lsass.exe невозможной.

#windows #security #mimikatz #lsass #cybersecurity #architect #гайд #musthave

🛠️ Security: "Defender's Toolkit". 4 инструмента для анализа фишинга

Ручной разбор заголовков — это база. Но архитектор безопасности не работает в вакууме. Он использует внешнюю разведку (Threat Intelligence) и автоматизацию, чтобы подтвердить свои гипотезы.

Вот 4 инструмента, которые должны быть в закладках у каждого, кто защищает почту:

MXToolbox (https://mxtoolbox.com)

Зачем: "Аудит инфраструктуры отправителя".

Как использовать: Проверьте IP отправителя в черных списках (Blacklists). Проверьте его SPF, DKIM и DMARC записи. Если у "банка" не настроен DMARC — это красный флаг.

PhishTank (https://phishtank.com)

Зачем: "Коллективный разум".

Как использовать: Это открытая база фишинговых ссылок. Прежде чем открывать подозрительный URL в песочнице, проверьте, не знает ли о нем уже сообщество.

The Spamhaus Project (https://www.spamhaus.org)

Зачем: "Репутация IP и Доменов".

Как использовать: Это золотой стандарт IP-репутации. Если IP отправителя есть в SBL (Spamhaus Block List) — блокируйте не глядя.

eml_analyzer (https://github.com/ninoseki/eml_analyzer)

Зачем: "Локальный парсинг".

Как использовать: Утилита на Python для командной строки. Она "разбирает" .eml файл на части: извлекает вложения, ссылки, структуру HTML и заголовки. Идеально для автоматизации анализа без открытия письма в почтовом клиенте.

Взгляд архитектора: Не полагайтесь только на интуицию ("выглядит подозрительно"). Опирайтесь на факты: репутацию IP, валидность DNS-записей и структуру файла.

Happy Hunting! 🏹

#security #phishing #forensics #tools #blueteam #musthave

🌐 Инструмент: gping — Пинг с графиком в терминале

Обычный ping скучен. Вы видите только цифры и не чувствуете "пульс" сети.

gping — это тот же пинг, но с живым ASCII-графиком прямо в консоли.

Почему это круто:

* Вы визуально видите "спайки" (скачки задержки).
* Вы видите джиттер (разброс).
* Можно пинговать несколько хостов одновременно и сравнивать графики.

Установка:

# Linux (через snap или пакетный менеджер)
sudo snap install gping
# macOS
brew install gping

Использование:

# Пингуем Google и Яндекс одновременно
gping google.com ya.ru

Взгляд архитектора: Визуализация — ключ к быстрому пониманию проблемы. Когда вы видите график, ваш мозг находит аномалии быстрее, чем когда вы читаете колонки цифр.

#tools #cli #networking #ping #gping #devops #musthave

🐊 Croc: Передача файлов сквозь NAT и Firewalls

Ситуация: Нужно перекинуть файл с ноутбука на домашний сервер (или другу).

* scp? Нужен белый IP и SSH-доступ.
* Облако? Долго, и файл приватный.
* USB-флешка? Мы в 2025 году.

Используйте croc. Это утилита на Go, которая создает прямой зашифрованный туннель (P2P) между двумя компьютерами через Relay-сервер. Пробивает любой NAT.

Как это работает:

На отправителе:

croc send secret-file.zip
# Вывод: Code is: 1234-abcd-xyz

На получателе (где угодно в мире):

croc 1234-abcd-xyz

✅ Работает быстрее облака (использует всю ширину канала).
✅ End-to-End шифрование (PAKE).
✅ Возобновление прерванной закачки.

Поставьте один раз, и вы забудете про WeTransfer и мучения с FTP.

#tools #croc #filetransfer #p2p #security #musthave