Кибер ПТУ | Кибербезопасность

Тест-драйв SOC. Сегодняшняя практика погрузит вас в реалии драйвой жизни SOC-аналитика первой линии: ночные смены, алерты, разрешить или запретить, эскалировать или покопаться. На выходе дают инфо о пробелах в знаниях и полезные материалы. Для входа в SOC и пощупать твоё или нет - самое то. #Practice #SOC 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

А король-то голый. Давно у нас не было всяких разных отчётиков в меню. На этот раз представляем вашему вниманию аналитику от Cobalt на тему безопасности ИИ и LLM. Самое интересное из отчёта: - Приложения на основе ИИ и LLM содержат в себе практически в 3 раза больше уязвимостей с уровнем риска High: во всём остальном ПО таких уязвимостей 12%, в искусственно интеллектуальном же 32%; - У ИИ самый низкий уровень устранения уязвимостей, среди всех активов компаний – всего 38%; - Уверенности в автономном ИИ-пентесте практически не осталось. В прошлом году этот показатель был на уровне 29%, сейчас же упал на 20 пунктов и составляет 9%. Большинство команд безопасности при использовании соответствующих инструментов жалуются на частые пропуски критических уязвимостей. И это ещё не всё. Остальные радостные новости читайте в подробном отчётике в приложенном документе. И главное: не поддавайтесь унынию и панике из-за очередной новости о новом сверх супер-дупер крутом ИИ, который вот прям щас всё отпентестит, сделает крутой отчёт, да ещё и сам всё пофиксит! Как видно на практике, толковые специалисты всегда будут нужны, а сказки о сверхсильном ИИ по большей части – маркетинговая история. #AI #Pentest #AppSec 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

Вы много просили (реально много), долго ждали (реально долго), и вот оно – мок-интервью на АппСека! https://youtu.be/pLm4dC4OiUA https://youtu.be/pLm4dC4OiUA https://youtu.be/pLm4dC4OiUA В общем да, мы начали записывать серию тестовых собеседований по направлению Application Security. Начинаем с сеньора (да, так вышло). За помощь огромное спасибо Андрею и Ниязу. Приятного просмотра. Смотрим, лайкаем и комментируем тут: 📹 Youtube 📺 VK Video #AppSec 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

Нигде не безопасно. Из всех "чайников" мы уже знаем, что существует OWASP top 10 для веб-приложений, но многие ли из вас задумывались, есть ли пересечения с мобилками? А задуматься стоит, ведь мобильное приложение - это по сути тот же веб. Собственно, статья про корреляцию уязвимостей на вебе и мобилках и уникальные проблемы, а так же разбор этих уязвимостей в коде и на схемах. Кто дочитает до конца: 1 - преисполнится 2 - найдёт практический чек-лист 3 - список дополнительной литературы для погружения #AppSec #Pentest 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

ВЫШЕЛ ВЫШЕЛ ВЫШЕЛ https://youtu.be/CqOEdkynVmk https://youtu.be/CqOEdkynVmk https://youtu.be/CqOEdkynVmk Марафон мок собесов на аппсека продолжается. В этот раз на позицию стажера/джуна. Всем приятного просмотра! Подписывайтесь, ставьте лайки, комментируйте, жмите на колокольчики, в общем, че я вас учу, сами знаете: 📹Youtube 📺VK Video #AppSec 🧠Кибер ПТУ | 👨‍🏫Менторство ИБ 📂Другие каналы

Часики тикают. Что вы успеваете сделать за 60 секунд? Порой надо действовать решительно и быстро принимать решения, но цена ошибки слишком высока. Для тренировки реакции и внимательности нашли игру - ваша задача за одну минуту обработать запросы LLM и не дать ей скомпрометировать систему. Для разминки мозга между домашками - самое то. #Pentest #AppSec #AI 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

без подписи

Linux и тут, и там передают. Отмазка "У меня компухтер слабенький!" больше не прокатит, так как наш преподавательский состав нашёл проект, с помощью которого можно запускать Linux прямо в браузере. Что можно делать: - развернуть iso-образ (на выбор аж 4 штуки); - запускать терминал; - установка пакетов (через apk); - работает офлайн (после загрузки). Подойдёт для коротких исследований, обучения, как песочница. Исследуем, товарищи студенты. #Practice #AppSec #Pentest 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

Понавешали ярлыков. Кто бы мог подумать, что такой привычный механизм как LNK, он же "ярлык", так соблазняет злоумышленников своим механизмом. Ведь под картинкой обычного браузера может скрываться скрипт, и даже антивирус проморгает. Не расшаркиваясь - читаем, экспериментируем в обучающих целях. #AppSec #Pentest 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

OWASP - это некоммерческая организация, открытое сообщество, главной целью которого является повышение безопасность ПО. Они разрабатывают методологии, стандарты, инструменты, пишут статьи. На их наработки опираются как на базовый стандарт при построении процессов, используют для обучения, аудитов. Один из самых популярных проектов сообщества является Top 10 угроз для веб-приложений. Также существуют версии для мобилок, API и ИИ. Топ 10 по вебу обновился в конце 2025 года и содержит следующие угрозы: - Нарушение контроля доступа (остаётся в топе с 2021 года); - Небезопасная конфигурация и атаки на цепочки поставок – первые поднялись в топ из-за популярности контейнерных сред, а цепочки – программисты всё ещё не всегда изобретают велосипед, а используют опенсорс; - Классика – инъекции (SQLi, XSS, XXE, Command Injection) и ошибки криптографии. Ещё у нас топе затесались: ошибки архитектуры и аутентификации, отсутствие или неполнота логирования, сбои в работе ПО, приводящие к потери целостности и неправильная обработка исключений. #ПолеСобесов 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

Распаковка сайта. В продолжении OSINT темы немного практики. Нашли проект для анализа веб приложений – кормите ему ссылку, смотрите, интересное. В числе полезной информации: IP, DNS, информация о сертификатах, шифровании и флагах, открытые порты и многое другое, что пригодиться для дальнейшего исследования безопасности платформ. *Не забываем, что учиться лучше в рамках лабораторных стендов, а не на "живых" сайтах, ещё и без разрешения. Можно использовать онлайн версию или развернуть у себя. #Pentest #OSINT #Practice 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

Вспоминаем, что у нас есть JWT: это токен, который состоит из трёх "блоков" - заголовок (тут передаём алгоритм шифрования), "полезная нагрузка" (могут передаваться данные о пользователе, информация о токене и его параметры, и прочее) и подпись. 1) Итак, первое с чего начинаем - шифрование. Если для подписи использованы слабые секретные ключи, то перехватив такой токен, можно запустить по нему brute-force офлайн режиме. 2) Расшифровав токен, можно его изменить - например, из заголовка убрать алгоритм (alg: none), поколдовать с флагами во второй части и выкинуть подпись. И если сервер некорректно настроен, то он может принять такой токен. А ещё, если используется асимметричное шифрование, можно заменить алгоритм на симметричный, подписать публичным ключом, и сервер примет этот токен уже по симметрии - ключ-то сошёлся. 3) Шифрование пошифровали, подпись подписали, а поля проверить забыли - логические ошибки валидации и утечки. Если не настроена проверка полезной нагрузки, в например, поля время истечения, то страый или украденный токен будет работать вечно. 4) Бонус - путаем кодирование и шифрование. Токен передаётся в закодированным виде в Base64Url, кодировку легко вернуть в исходный вид, и если предварительно данные не зашифрованы, то токен передаётся по сути "в голом виде". #ПолеСобесов 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

Визуализация. Достаём двойные листочки, сегодня чертим схему сети... Такую фразу услышали бы студенты из прошлого. Сейчас же мы развернули систему "Чертила3000", будем проектировать сетевую архитектуру из кубиков - серверов, прокси, балансировщиков и пр в вебе. А если чего-то не хватает - можно допилить самому, проект опенсорсный. Я своего рода архитектор. #Practice #SecArch 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

Демка хацкера. На летних каникулах у нас появляется больше времени ничего не делать изучать новое. В Steam вышло демо игры "симулятор хакера". Нас забрасывают в 1995 год, наш товарищ пропал или погиб и предстоит докопаться до правды и до тех, кто за этим стоит. Взламываем системы, читаем форумы, становимся легендой. #BaseSecurity #Practice 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

🎫Разыгрываем проходку на OFFZONE! Доцент нашей кафедры кофереверс-инжиниринга (он же – один из наших менторов) в этом году выступает спикером на OFFZONE – и по случаю таких событий разыгрывает один билет на конференцию. Чтобы участвовать, нужно всего лишь: ☕️ подписаться на Coffee Cube 🧠 подписаться на Кибер ПТУ | Кибербезопасность 📹 написать любой коммент и поставить лайк под нашим новым видео с разбором лаб по криптографии Через неделю случайным образом выберем победителя – проходка достанется ему 🥳

Рождается, живёт, умирает. Помните ли вы ответ на загадку "Утром на четырёх ногах, днём на двух, вечером на трёх"? Если подзабыли, то читаем статью про жизненный цикл API-токена. Разберут, почему важно не опираться на "встроенную" безопасность, есть ли "серебряная пуля" от компрометации и в каких случаях токен лучше "прибить". #BaseSecurity 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

Сканирование местности завершено, уязвимости обнаружены! Сканеров безопасности веб-приложений много не бывает, так что принесли ещё один. Этот товарищ умеет находить и распространённые уязвимости, и сложные, например, "слепые", когда сервер не отвечает мгновенно. Из особенностей отметим быстродействие и поддержка ИИ для анализа и описания найденных уязвимостей (будет очень полезно для новичков). #Pentest #Practice 🧠Кибер ПТУ | 👨‍🏫Менторство ИБ 📂Другие каналы

Косточки SQL. По классике старой школы мы практикуем пробудидзюцу – искусство пробуждаться посреди ночи и отвечать на всякие интересные вопросы слёту. И вот представьте, гипотетически, вас просят составить сложный запрос с базу данных. Придумали вы его в голове, хотим быстренько проверить... Так вот же уже всё придумано за нас – утилита которая визуализирует запрос, отображает его логику. Проект в активной разработке, обещают добавить анализатор опасных паттернов и более детальный разбор ошибок в запросах. Браузерная версия и GitHub. #Practice #BaseSecurity 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы

НАКОНЕЦ-ТО В ЗАПИСИ https://youtu.be/IJ9groKOw9o https://youtu.be/IJ9groKOw9o https://youtu.be/IJ9groKOw9o Выкладываем запись недавнего доклада Сергея Терёшина. Все, кто пропустил - бегом смотреть! Из видео вы подробнее узнаете про продажи в ИБ и можно ли туда вообще вкатиться. Ставьте подписку, пишите лайки, звените в комментарии! 📹Youtube 🧠Кибер ПТУ | 👨‍🏫Менторство ИБ 📂Другие каналы

Кто вы? Я вас не звал! Что происходит, когда пользователь заходит на сайт, логинится и почему в целях безопасности можно не подтверждать свою личность, когда вы повторно открываете приложение? За проверку подлинности у нас отвечает API-аутентификации. В видео разобрали разницу между ключами, JWT и OAuth - это вам точно пригодиться! #BaseSecurity 🧠 Кибер ПТУ | 👨‍🏫 Менторство ИБ 📂 Другие каналы