7 октября 2019 года директор отдела исследований PortSwigger (производителя BurpSuite) опубликовал исследование о новых подходах к HTTP Request smuggling. С их помощью он заработал на bugbounty около $70000. В этой заметке мы коротко выясним суть атаки, инструментарий, а также методики исследования веб серверов, подверженных этой уязвимости.
Рубрика «информационная безопасность» - 163
HTTP Request smuggling — новые подходы
2019-10-10 в 8:12, admin, рубрики: безопасность, веб-сервер, информационная безопасность, хакерствоМайнеры, сливщики и Cobalt: как мы обеспечиваем заказчикам безопасный доступ в Интернет
2019-10-10 в 7:00, admin, рубрики: unified threat management, интернет-доступ, информационная безопасность, Сетевые технологии, утечка
Каждый безопасник в своей жизни сталкивался с тем, что сотрудники ходят в Интернет, минуя прокси, качают фильмы через торрент и пользуются TeamViewer'ом. В этом посте мы немного расскажем о том, как решаем проблемы с организацией безопасного доступа в Интернет по сервисной модели и поделимся адскими кейсами, с которыми сталкиваемся у заказчиков.
Читать полностью »
Пользователи и авторизация RBAC в Kubernetes
2019-10-10 в 6:36, admin, рубрики: devops, kubernetes, rbac, Блог компании Флант, информационная безопасность, системное администрированиеПрим. перев.: Продолжая недавно затронутую нами тему безопасности Kubernetes в целом и RBAC — в частности, публикуем перевод этого материала от французского консультанта из международной компании Big Data-компании Adaltas. Автор в деталях показывает, как создавать пользователей, наделять их правами и в дальнейшем обслуживать.
Настройка и запуск кластера Kubernetes – это только начало: ведь его необходимо еще и эксплуатировать. Чтобы обезопасить доступ к кластеру, нужно задать идентификационные данные пользователей и грамотно управлять настройками аутентификации и авторизации.
(Иллюстрация взята из блога CNCF — прим. перев.)
Эта статья посвящена тому, как создавать пользователей, используя клиентские сертификаты X.509, и как управлять авторизацией с помощью базовых API-объектов RBAC в Kubernetes. Мы также поговорим о некоторых открытых проектах, упрощающих администрирование кластера: rakkess, kubectl-who-can, rbac-lookup и RBAC Manager.Читать полностью »
Несколько больниц в США заразил вирус-криптовымогатель Ryuk; больницы платят выкуп
2019-10-09 в 16:58, admin, рубрики: ryuk, WannaCry, антивирусная защита, атака вирусов, больницы, вирусы-вымогатели, информационная безопасность
Больницы DCH в Алабаме решили выплатить выкуп за программу-вымогатель Ryuk для того, чтобы получить расшифровщик и вернуть свои компьютерные системы в рабочее состояние.
1 октября 2019 года система здравоохранения DCH Health System, которая включает в себя региональный медицинский центр DCH, медицинский центр Northport и медицинский центр Fayette в Tuscaloosa, Northport и Fayette в Западной Алабаме, подверглась нападению вируса-криповымогателя под названием Ryuk. Нападение парализовало работу их компьютерных систем и заставило больницы прекратить прием новых пациентов, не находящихся в экстренном состоянии.
На выходных DCH выпустила заявление об инциденте, в котором было сказано, что некоторые системы восстанавливаются из резервных копий, но больницы всё-таки платят выкуп и покупают ключ расшифровки Ryuk для восстановления доступа к другим зашифрованным системам.
Читать полностью »
Российские хакеры модифицировали Chrome и Firefox. Они отслеживают шифрованный трафик пользователей
2019-10-08 в 19:54, admin, рубрики: Firefox, Google Chrome, kaspersky lab, TLS, trojan, Turla, антивирусная защита, браузеры, информационная безопасность, хакеры
Kaspersky Lab опубликовала отчет о попытках российской группы Turla отследить шифрованный сетевой трафик путем модификации Chrome и Firefox. Как правило, хакеры не вскрывают браузеры за пределами эксплуатации их уязвимостей.
Данный процесс требует заразить компьютер вирусом-трояном Reductor с удаленным доступом, схожим с COMPfun. Тот модифицирует браузеры для перехвата трафика от хоста, начиная с установки собственных сертификатов. Они патчат псевдо-случайный генератор чисел, используемый для безопасных подключений. Это позволяет злоумышленникам добавлять «отпечаток» к каждому TLS-действию и пассивно отслеживать шифрованный трафик.
Издание ZDNet предположило, что хакеры могли пойти на этот ход на случай обнаружения трояна, когда пользователи не переустанавливают зараженный браузер. Читать полностью »
Security Week 41: больше уязвимостей в SIM-картах, дешифрование PDF
2019-10-07 в 13:42, admin, рубрики: PDF, simjacker, WIBAttack, Блог компании «Лаборатория Касперского», информационная безопасность
На прошлой неделе получила развитие история про атаки на уязвимый софт в SIM-картах. Обнаруженная ранее активно эксплуатируемая атака SimJacker оказалась не единственной. Исследователи из компании Ginno Security сообщили о похожей проблеме в компоненте Wireless Internet Browser (новость, пост в блоге компании). Хотя уязвимость в WIB сложнее в эксплуатации, чем проблема в S@T Browser, метод похож: присылаем подготовленную SMS, которая без ведома владельца позволяет совершить звонок, отправить сообщение или получить IMEI телефона.
Первый репорт об уязвимости в S@T Browser вообще выглядел довольно странно: о проблеме сообщает единственная компания, потенциальный ущерб оценить сложно, а оценка количества подверженных устройств выглядит преувеличенной: сотни миллионов. Поэтому в исследовании Ginno Security важна даже не сама уязвимость, а подтверждение актуальности проблемы из второго источника. Впрочем, еще один эксперт по безопасности мобильной связи, Карстен Нол, считает, что атаки такого плана слишком сложны для массовой эксплуатации: проще клонировать SIM-карту методами социальной инженерии или воспользоваться уязвимостями протокола SS7, по которому взаимодействуют между собой операторы.
Читать полностью »
OWASP API Security Top 10 RC
2019-10-07 в 12:53, admin, рубрики: api, OWASP, информационная безопасность, Разработка веб-сайтов
Этот проект предназначен для постоянно растущего числа организаций, которые внедряют потенциально чувствительные API в рамках своих программных решений. API используются для внутренних задач и для взаимодействия со сторонними сервисами. К сожалению, многие API не проходят тщательного тестирования безопасности, которое сделало бы их защищенными от атак, увеличивая ландшафт угроз для веб-приложения.
Проект безопасности OWASP API Security Top 10 предназначен подчеркнуть потенциальные риски в небезопасных API и предложить меры снижения таких рисков.Читать полностью »
Mozilla пообещала не включать шифрование DoH в Великобритании. Что это значит для России?
2019-10-07 в 7:31, admin, рубрики: DoH, RFC 8484, Блог компании GlobalSign, браузеры, великобритания, Законодательство в IT, информационная безопасность, шифрование трафика
Две недели назад на Хабре рассказывали о протоколе DNS-over-HTTPS (DoH) , недавно принятом в качестве стандарта RFC 8484. Разработанный Mozilla, Google и Cloudflare протокол DNS-шифрования сводит на нет попытки мониторинга трафика «человеком-в-середине». Он устраняет самое «слабое звено» в HTTPS — открытые DNS-запросы, по которым сейчас государство или злоумышленник на уровне провайдера может отслеживать содержимое DNS-пакетов и даже подменять их. Это позволяет блокировать доступ к ресурсу по IP-адресу или доменному имени.
И самое главное — организация Mozilla приняла решение включить его по умолчанию в браузере Firefox. Пока что только для пользователей США. Но в свете того, что менее полутора месяцев осталось до вступления в силу закона об изоляции Рунета, а закон Яровой уже вступил в силу, методы шифрования трафика как никогда актуальны для защиты от слежки в российском интернете.
Но сейчас пришла не очень приятная новость. Оказывается, в некоторых странах, где уже действует цензура трафика на государственном уровне, Mozilla может изменить своё решение. Такое обсуждается в Великобритании. Теоретически, такое может произойти и в России.
Читать полностью »
Атаки на бесконтактные банковские карты
2019-10-07 в 2:00, admin, рубрики: EMV, банковские карты, информационная безопасность, платежные системы
Автор: cuamckuu
Извлечение содержимого карты и работа с EMV-командами может быть интересна не только в исследовательских целях. Существует несколько видов атак на бесконтактные банковские карты, про реализацию которых будет рассказано под катом.
Читать полностью »
Сбербанк заявил, что нашёл виновного в утечке данных клиентов
2019-10-05 в 17:30, admin, рубрики: Администрирование баз данных, база данных, данные, Законодательство в IT, информационная безопасность, карты, проблема, Сбербанк, утечка, хранение данныхСбербанк совместно с правоохранительными органами завершил внутреннее расследование по выявлению канала утечки данных учетных записей по кредитным картам клиентов. Расследование было начато 2 октября, а закончено 4 октября 2019 года. Банк утверждает, что виновный — сотрудник кредитной организации, который руководил сектором в одном из бизнес-подразделений банка и имел доступ к базам данных.
Обновление [на 6.10.19]: добавлена информация о ходе расследования в Сбербанке.
Читать полностью »