Telegram channel "Готовлюсь к AppSec, пытаюсь в бб" — @beescp

Готовлюсь к AppSec, пытаюсь в бб

13 Sep, 18:43

Forward from: Пост Лукацкого

Бесплатный курс OWASP SAMM Fundamentals. 79 модулей, 5 часов, посвященных модели зрелости OWASP’s Software Assurance Maturity Model (SAMM), одному из популярных фреймворков, используемых для оценки практик безопасной разработки в организациях 🧑‍💻

OWASP SAMM Fundamentals Training

The Software Assurance Maturity Model (SAMM) is an open framework to help organizations formulate and implement a strategy for software security that is tailored to the specific risks facing the organization. This course is an on-demand self-paced SAMM training.

4 0 1

Готовлюсь к AppSec, пытаюсь в бб

12 Sep, 12:30

Forward from: Defcon Tbilisi | DC995322

LLM Sec 1 - Web LLM Attacks.pdf

2.3Mb

Презентация первого доклада цикла по безопасности LLM

Автор: @Reworr_R

-

LLM Security 1: Web LLM Attacks

Speaker: @Reworr_R

12 0 1

Готовлюсь к AppSec, пытаюсь в бб

5 Sep, 19:20

Потрачу Ваши попытки для сдачи BSCP. Писать в личку.

30 0 0 2

Готовлюсь к AppSec, пытаюсь в бб

4 Sep, 22:18

Forward from: AppSec & DevSecOps Jobs

Application Security Intern, Wildberries

ЗП: 40 000 - 100 000 рублей net

Уровень: Intern
Формат: удаленка или гибрид

Чем предстоит заниматься:
• анализ защищенности мобильных и веб-приложений
• систематизация знаний по безопасной разработке
• взаимодействие с командами для разбора и устранения уязвимостей
• участие в процессе архитектурных и дизайн ревью

Что для этого нужно:
• знание актуальных уязвимостей и способов их устранения (OWASP Top 10, CWE TOP 25)
• умение разбираться в чужом коде
• понимание принципов работы веб-приложений
• опыт автоматизации задач на Python или Go

Будет плюсом:
• опыт участия в CTF соревнованиях
• понимание процессов безопасной разработки
• опыт работы со сканерами безопасности

Мы предлагаем:
• полугодовая оплачиваемая стажировка, которая даст возможность получить ценный опыт и практические навыки в области информационной безопасности
• участие в решении настоящих боевых задач
• опыт работы в команде, состоящей из экспертов, готовых делиться своими знаниями и навыками
• возможность после завершения стажировки присоединиться к нам в качестве полноценного участника команды безопасности
• пятидневная рабочая неделя с возможностью выбрать первоначальную занятость 30 часов, с постепенным увеличением до 40 часов
• оформление по самозанятости

Какие шаги нужно предпринять, чтобы попасть на стажировку:
• заполнить анкету: https://forms.gle/3GR6RYbYjRWJrP2X6
• успешно выполнить тестовое задание, доказывающее понимание основных принципов безопасности
• пройти интервью с будущими ментором и руководителем и продемонстрировать свои знания и мотивацию

25 0 0

Готовлюсь к AppSec, пытаюсь в бб

4 Sep, 22:18

Forward from: AppSec & DevSecOps Jobs

DevSecOps Intern, Wildberries

ЗП: 40 000 - 100 000 рублей net

Уровень: Intern
Формат: удаленка или гибрид

Чем предстоит заниматься:
• выстраивание процесса DevSecOps
• интеграция сканнеров в пайплайны CI/CD
• автоматизация процесса управления уязвимостями

Что для этого нужно:
• понимание принципов разработки и развертывания современных приложений
• базовые навыки администрирования операционных систем семейства Linux
• опыт автоматизации задач на Python, Bash или Go
• знание актуальных уязвимостей и способов их устранения (OWASP Top 10, CWE TOP 25)

Будет плюсом:
• опыт участия в CTF соревнованиях
• понимание процессов безопасной разработки
• опыт работы со сканерами безопасности

Мы предлагаем:
• полугодовая оплачиваемая стажировка, которая даст возможность получить ценный опыт и практические навыки в области информационной безопасности
• участие в решении настоящих боевых задач
• опыт работы в команде, состоящей из экспертов, готовых делиться своими знаниями и навыками
• возможность после завершения стажировки присоединиться к нам в качестве полноценного участника команды безопасности
• пятидневная рабочая неделя с возможностью выбрать занятость - 20/30/40 часов
• оформление по самозанятости

Какие шаги нужно предпринять, чтобы попасть на стажировку:
• заполнить анкету: https://forms.gle/usawSnz1wSAhqy5L9
• успешно выполнить тестовое задание, доказывающее понимание основных принципов безопасности
• пройти интервью с будущими ментором и руководителем и продемонстрировать свои знания и мотивацию

21 0 0

Готовлюсь к AppSec, пытаюсь в бб

4 Sep, 21:21

Forward from: Поросёнок Пётр

Годный cheat sheet подъехал в виде коллекции от Portswigger.
Подойдет тем кто пытается победить валидацию ssrf (и не только)
https://portswigger.net/web-security/ssrf/url-validation-bypass-cheat-sheet

URL validation bypass cheat sheet - 2024 Edition | Web Security Academy

This cheat sheet contains payloads for bypassing URL validation. These wordlists are useful for attacks such as server-side request forgery, CORS ...

20 0 0

Готовлюсь к AppSec, пытаюсь в бб

4 Sep, 13:37

Forward from: Standoff 365

❔ Что делать, если Burp Suite уже запущен, а первая уязвимость все никак не находится?

Спроси у более опытных коллег. Вернее, даже спрашивать не нужно — они уже записали видео, в котором все рассказали.

Смотри в новом сезоне ролике с багхантером Анной Куреновой aka SavAnna и руководителем Standoff Bug Bounty Анатолием Ивановым aka c0rv4x, как работает веб, который ты собираешься ломать, и что нужно, чтобы сдать свой первый репорт.

🙊 Ребята рассказали об API, WebSocket, HTTP и клиент-серверную архитектуру, URL. Поломали Juice Shop и показали, какие баги оттуда действительно встречаются в проде.

Смотри на YouTube или Rutube.

19 0 0

Готовлюсь к AppSec, пытаюсь в бб

2 Sep, 09:21

Forward from: DayDreamMe|Ethical

OWASP-Top-10-for-LLMs-2023-v05 (1).pdf

10.9Mb

🤜DDOS или не DDOS...

Тут с коллегами разговорились на тему DDOS в пентесте.

Оказывается, есть мнение, что такая атака при проведении пентеста - возможна, если нужно что-то скрыть.

Пересмотрев все техники, я такого не обнаружила, да и внутренне никак не могу принять тот факт ,что кто-то использует отказ в обслуживании при проведении тестирования на проникновение.

Когда я училась, нам рассказывали о важности сбережения инфраструктуры заказчика, что даже 23 порт сканировать нужно с особой любовью и нежностью, так как работающий на нем МФУ может поломаться.

А тут DDOS 🔪

Объяснения как и доказательств этому факту не нашлось, или коллега не захотел раскрывать тайну Вселенной пентеста.

Просматривая документы, которые хотела показать Вам, нашла OWASP TOP 10 LLMs, среди них можно видеть DDOS.

И я сама DDOS ила LLM на Crucible при помощи Python 😏

Вот вам полезный файлик, а я надеюсь, что когда-нибудь закрою этот гештальт с DDOS в пентесте.

P.S. Сегодня то самое утро, когда все не задалось с самого утра😬 Хорошего всем рабочего дня 👍 Так что если я вам этот файл уже показывала - это нормально 😔

26 0 0

Готовлюсь к AppSec, пытаюсь в бб

1 Sep, 19:49

Канал превратился в сборище ссылок на разного рода материалы...

25 0 0 2

Готовлюсь к AppSec, пытаюсь в бб

1 Sep, 19:48

Forward from: Что-то на пентестерском

⛈ Android App Reverse Engineering

Отличный бесплатный материал где дают основы для старта в реверс инжиниринге андроид приложений. Что не менее важно, учат ещё и реверсить Native Libraries, т.к. по мере роста своего опыта, придется всё больше и больше с ними сталкиваться, а там тебя уже будет ждать бинарщина и pwn. Happy hacking 👍

Чему научат:
🟢Introduction
🟢Android Application Fundamentals
🟢Getting Started with Reversing Android Apps
🟢Reverse Engineering Android Apps - DEX Bytecode
🟢Reverse Engineering Android Apps - Native Libraries
🟢Reverse Engineering Android Apps - Obfuscation

📶 Курс

ЧТНП | #mobile

23 0 0 1

Готовлюсь к AppSec, пытаюсь в бб

31 Aug, 06:54

Forward from: S.E.Book

🏰 DevSecOps Security Architecture.

• Honeypot Network and Services in DevSecOps Security Architecture;
• Flume log collection;
• Kafka Knowledge System;
• Zookeeper Knowledge System;
• ElastAlert ES Alarm Tool;
• Elastic Knowledge System;
• Real IP address Detection;
• Nginx configuration log format;
• Container security tools;
• osquery operating system detection and analysis;
• jumpserver open source bastion server;
• wazuh Host Intrusion Detection System;
• Bro Network Security Monitoring;
• GitHub Information Leak Monitoring;
• Application layer denial of service attacks;
• Slowloris;
• Resources.

#DevSecOps

24 0 0 1

Готовлюсь к AppSec, пытаюсь в бб

29 Aug, 17:12

Forward from: Кибербез образование

Надзорщик за инфраструктурой: что делает VM-специалист и как им стать? 🤔

Александр Леонов написал на Хабре статью о профессии специалист по управлению уязвимостями 🥷

Из статьи вы узнаете:

1️⃣ Кто такой VM-специалист?
2️⃣ Что делать VM-специалисту, чтобы быть эффективным?
3️⃣ Тяжело ли стать таким специалистом?
4️⃣ Почему VM-специалисты высоко востребованы на рынке?
5️⃣ Как становятся VM-специалистами?

#профессии_в_ИБ

25 0 0 1

Готовлюсь к AppSec, пытаюсь в бб

24 Aug, 16:47

Forward from: S.E.Reborn

00:02

Video is unavailable for watching

Show in Telegram

👨‍💻 OWASP DevSecOps Guideline.

• DevSecOps можно рассматривать в качестве апдейта методологии #DevOps: подход подразумевает не расширение классического пайплайна DevOps, а только интеграцию в него методов безопасности. При этом, согласно DevSecOps, к циклу разработки подключаются специалисты по информационной безопасности, которые гарантируют, что:

- Реализуемые решения не противоречат требованиям ИБ и регламентам компании;
- В конфигурации нет уязвимых мест;
- Все компоненты системы имеют актуальные патчи, корректно настроены;
- Разработана эксплуатационная документация в контексте ИБ.

• Согласно практике DevSecOps, о безопасности разработки нужно начинать думать еще на этапе планирования будущего продукта. В противном случае может возникнуть ситуация, когда, например, код написан идеально, но в техническом дизайне не исключена возможность пользователей назначать себе привилегированные права, что полностью нивелирует любые дальнейшие меры безопасности.

• Есть несколько подходов и рекомендаций, определяющих нормы внедрения DevSecOps-принципов в процесс разработки. Одним из базовых фолиантов в этом контексте является DevSecOps Guideline от OWASP — формируемое сообществом руководство, которое поясняет, как правильно выстроить процесс безопасной разработки и выявлять любые проблемы на ранних стадиях их возникновения.

https://github.com/OWASP/DevSecOpsGuideline/

#DevSecOps

41 0 1

Готовлюсь к AppSec, пытаюсь в бб

20 Aug, 20:40

Forward from: h1reports

https://portswigger.net/research/introducing-signsaboteur-forge-signed-web-tokens-with-ease

Introducing SignSaboteur: forge signed web tokens with ease

Signed web tokens are widely used for stateless authentication and authorization throughout the web. The most popular format is JSON Web Tokens (JWT) which we've already covered in depth, but beyond t

56 0 1

Готовлюсь к AppSec, пытаюсь в бб

19 Aug, 09:57

Forward from: AppSec Journey

Какое приятное чтиво!

Не перегружено схемами и терминами, просто по-человечески рассказывается про пайплайн.

Если вы искали, с чего начинать презентации по безопасной разработке - это оно:)

Bearer | What does a modern code security pipeline look like? (Hint: not like a pipeline).

What does an ideal DevSecOps pipeline look like for code security? We've crafted a blueprint to kickstart your journey.

56 0 0

Готовлюсь к AppSec, пытаюсь в бб

13 Aug, 10:25

https://yandex.ru/yaintern/security?utm_source=changellenge&utm_medium=social&utm_campaign=career_page&utm_content=ib

Стажировка для начинающих специалистов в сфере информационной безопасности, будете защищать пользовательские данные и информацию сервисов Яндекса

70 0 3

Готовлюсь к AppSec, пытаюсь в бб

6 Aug, 12:10

Forward from: AppSec Journey

Просто шик!

Смотрите, какие кайфовые лабораторные! Я прям искала то, что подойдет именно для обучения и вовлечения разработчиков - не appsec-специалистов и не ребят из кибербеза. И, кажется, это оно😍

Делюсь❤️🐱

Application Security Training For Developers | Kontra

Kontra is an Application Security Training platform built for modern development teams.

69 0 2