Профессионал и Любитель.

Всем привет. 

Каждый Профессионал был когда то Любителем.

Тонкая грань перехода из одного качества в другое подчас незаметна. Чем больше и глубже Ваше увлечение любимым делом, тем чаще  происходит подобное! Вам знакомо это чувство? Мультимедиа, Сети, Безопасность, Виртуализация и Офис-онлайн. Именно в этих сферах я нахожу Творчество в большей степени. Желаю Вам делать это со мной вместе!

Сеть.

Давным давно одного дяденьку посетила мысль, что можно было бы свой компьютер каким то образом соединить с компьютером своего друга, файлами меняться. Соединили. А можно еще и соседа ? А почему нет! Соединили! Глянули – сетка! И пошло поехало – с кем сетка, как соединять, какое устройство - модем, сетевой адаптер, по какому протоколу вести обмен, на какой скорости обмен. Ну и как водится этим же надо управлять – так кроме компьютеров появилось сетевое оборудование, как пассивное так активное. Активное оборудование еще называют умным, ну насколько оно умнее администратора его настраивающего еще надо глянуть. Все – сегодня сети везде, не в сети может быть только калькулятор и то если он прошлогоднего выпуска. В зависимости от своих текущих интересов вы можете не интересоваться сетями, но 100% что вы их так или иначе используете в своей жизни.

Безопасность.

Как никогда информационная безопасность сегодня очень актуальна. Чем больше у вас информации, тем больше шансов ее потерять, иногда навсегда. Не буду вас пугать злыми хакерами, которые только и думают как эту информацию у вас свистнуть. Хакеры были есть и будут, но далеко не все из них профи, а профи за всем подряд не охотятся. Поэтому соблюдайте правила «личной гигиены» на своем локальном компьютере, а если он еще и в сети (ну куда же без нее), защищайтесь и на сетевом уровне. К теме информационной безопасности приходишь самой собой как только начинаешь вникать в Сети. Поэтому и я Безопасностью занимаюсь почти столько же сколько и сетями. Вот уж действительно можно сказать что это серьезно, это интересно и это очень важно!

Проводим пентест, часть 6 - пишем эксплоит.

Всем привет.

Сегодня 6-я часть из серии публикаций Андрея Бирюкова, посвященных проведению аудита и теста на проникновение (пентест). Оригинал статьи был опубликован в журнале "Системный администратор" №11(168), ноябрь 2016. Как пишет сам автор, эта часть является продолжением темы про кодирование приложений и в известной степени нудная. По своему опыту скажу что инструкции ассемблера сейчас знают единицы, потому как такой язык давно не в тренде. Тем не менее я решил сохранить серию публикаций автора полностью.

Часть 6. Пишем эксплоит.

Что собой представляет эксплоит? Как правильно внедрить шелл-код? Продолжаем тему самостоятельной разработки.

В этой статье мы продолжим обсуждение темы самостоятельной разработки эксплоитов к самописному программному обеспечению. В предыдущей статье цикла [1] был рассмотрен процесс поиска уязвимостей (фаззинг) в почтовом сервере SLMail. Мы выяснили значения адресов для регистров ESP и EIP, а также объем блока памяти, который нужен для размещения нашего эксплоита. Однако перед тем как перейти к описанию процесса разработки кода, нам придется уделить внимание основам программирования на языке ассемблер, так как без этого понять все особенности разработки кода эксплоита будет довольно трудно. В рамках данной статьи я не буду подробно рассматривать все инструкции, ограничусь комментариями кода. Во врезке представлены основные инструкции ассемблера, необходимые при анализе кода.

Простые действия.

Читателю, не знакомому с низкоуровневым программированием, материал, изложенный в этой статье, может показаться довольно сложным, а описываемые действия – набором хаотичных операций, не связанных между собой.

Для лучшего понимания приведу основные шаги, которые необходимо предпринять для разработки эксплоита:

1. Разработка кода эксплоита. Здесь подробно рассмотрим, что собой представляет шелл-код для Windows.

2. Адаптация кода для встраивания его в уязвимую программу. Здесь мы поговорим о том, как обойти ограничения, связанные с использованием нескольких сегментов памяти.

3. Получение адресов, используемых в нашем шелл-коде функций kernel32.dll и генерации кода эксплоита.

4. Обнаружение всех «плохих» байтов в уязвимой программе.

5. Замена найденных bad chars в нашем шелл-коде. 

7. Поиск в уязвимой программе команд, необходимых для выполнения перехода на наш шелл-код.

8. Внедрение шелл-кода в уязвимую программу. 

9. Автоматизация разработки эксплоита с помощью средств Metasploit.

Эксплоит, который мы будем разрабатывать далее, требует встраивания в уже работающую программу. Вследствие этого существует ряд ограничений, о которых мы также будем говорить далее.

Программа может состоять из нескольких частей, называемых модулями. В каждом модуле определяется один или несколько сегментов данных, стека и кода. Любая законченная программа на ассемблере должна включать один модуль, с которого начинается ее выполнение. Модуль содержит сегменты кода, сегменты данных и стека, объявленные при помощи соответствующих директив. Перед объявлением сегментов нужно указать модель памяти при помощи директивы .MODEL.

Using Python for Network Forensics #1.

Hi all.

Today I would like to present for us excerpt from book "Mastering Python Forensics", Copyright © 2015 Packt Publishing, written by authors Dr. Michael Spreitzenbarth and Dr. Johann Uhrmann. It's concerning using Python for network forensics. You are welcome!

In this chapter, we will focus on the parts of the forensic investigation that are specific to the network layer. We will choose one of the most widely used Python packages for the purpose of manipulating and analyzing network trafic (Scapy) as well as a newly released open source framework by the U.S. Army Research Laboratory (Dshell). For both the toolkits, we have selected the examples of
interesting evidence. This chapter will teach you the following:
•  How to search for IOC in network traffic
•  How to extract files for further analysis
•  How to monitor accessed files through Server Message Block (SMB)
•  How to build your own port scanner

So, how we are using Dshell during an investigation.

Dshell is a Python-based network forensic analysis toolkit that is developed by the U.S. Army Research Laboratory and released as open source at the end of 2014. It can help in making the forensic investigations on the network layer a little easier. The toolkit comes with a large number of decoders that can be used out of the box and are very helpful. Some of these decoders are as follows:
•  dns: Extracts and summarizes DNS queries/responses
•  reservedips: Identifies the DNS resolutions that fall in the reserved IP space
•  large-flows: Displays the netflows that have at least transferred 1MB
•  rip-http: Extracts the files from the HTTP traffic
•  protocols: Identifies non-standard protocols
•  synrst: Detects failed attempts to connect (SYN followed by a RST/ACK).

Dshell can be installed in our lab environment by cloning the sources from GitHub at, https://github.com/USArmyResearchLab/Dshell and running install-ubuntu.py.
This script will automatically download the missing packages and build the executables that we will need afterwards. Dshell can be used against the pcap files that have been recorded during the incidents or as a result of an IDS alert. A packet capture (pcap) file is either created by libpcap (on Linux) or WinPcap (on Windows). In the following section, we will explain how an investigator can make use of Dshell by demonstrating the toolkit with real-world scenarios that are gathered from
http://malware-traffic-analysis.net.

Двухэтапная аутентификация под вопросом.

Всем привет.

Двухэтапная аутентификация сейчас в моде. Она повышает безопасность вашего доступа к вашим сетевым ресурсам. И одновременно повышает вашу зависимость от вашего гаджета или сервиса аутентификации который предоставляет третья сторона. И в этом основная фишка второго этапа - чтобы пользователь сервиса аутентификации не потерял доступ сам. Причины бывают весьма банальны - не пришла смс с кодом, код не подошел, сервис посчитал ваше подключение не надежным и т.д.

На семинаре нам настоятельно рекомендовали Google Authenticator.

Google Authenticator - приложение для двухэтапной аутентификации с помощью Time-based One-time Password Algorithm (TOTP) и HMAC-based One-time Password Algorithm (HOTP) от Google LLC. Сервис реализует алгоритмы, указанные в RFC 6238 и RFC 4226.

Пользователи должны сначала установить приложение на своё мобильное устройство. Для того, чтобы войти на сайт или воспользоваться услугами сервиса, требуется ввести имя пользователя и пароль, запустить приложение Authenticator и ввести в специальное поле сгенерированный одноразовый пароль.

Для этого сайт предоставляет общий секретный ключ пользователю, который должен быть сохранен в приложение Google Authenticator. Этот секретный ключ будет использоваться для всех будущих входов на сайт.

Хаос траблшутинг!

«Я системный администратор! Я борюсь с хаосом, чтобы жить!»

Не забудь модернизировать сервер LDAP. Не забудь поставить заплату на брешь в безопасности zlib и на каждый пакет, использующий эту библиотеку. Впрочем, если задуматься, есть ли пакеты, которые ее не используют? 

Не забудь запланировать очередное 10-кратное увеличение объема внешней памяти на сервере. 

Не забудь решить проблему, возникшую у шефа с Outlook. Сюрприз, он себе купил новый смартфон, подумай над всем необходимым для его обновления. 

Не забудь переустановить Oracle для программистов, у них новая система ERP. 

Проверь, есть ли реализация Wiki-технологии лучше той, которую вы используете на портале. 

Проверь систему регистрации пользователей в AD и на этот раз убедись, что она корректно ведет себя в ситуациях, которые кажутся тебе физически невозможными. 

Убедись, что она не нарушает закон GDPR и удовлетворяет требованиям ISO9000. 

Подумай как убедить пользователей помнить свои пароли, чтобы они не донимали тебя по телефону своими сказками  каждые три месяца.

Проверь, как идет работа над проектами у твоих подчиненных. 

Будь готов отбиваться от очередной инструкции сверху, которая может быть далека от твоих реалий так же как Луна от Земли.

Прочитай нормативку за последние два месяца, чтобы убедиться, что ничто полезное для вашей инфраструктуры не упущено.

Потом, если у тебя останется время(?), начни составлять план на следующий месяц.

Не стоит беспокоиться из-за того, если он будет похож по многим пунктам из предыдущего.

И т.д.

Это все из книги Томаса Лимончелли "Тайм-менеджмент для системных администраторов". Книга, скажу я, вам просто супер. Прежде всего она замечательна тем что написал ее не очередной коуч(тире)менеджер, а практикующий системный администратор. Многие его мысли можно разбирать на цитаты из собственной практики.

Не лги мне!

Всем привет.

Собственно через мои руки вчера пробежал отрывок книги "Наблюдайте, потом используйте. Трудовые отношения глазами сотрудника Службы Безопасности" Владимира Иванова. Там много интересного, но надо искать полный вариант. Но вот что касается полиграфа, тут я согласен  с автором до последней запятой. Поэтому предлагаю этот параграф ниже без купюр.

Никогда не соглашайтесь на тестирование на полиграфе («детекторе лжи»)!

Мода на детектор лжи появилась уже относительно давно. Для тех, кто не интересовался этой темой, поясню: «Полиграф или детектор лжи – это прибор, регистрирующий внешние физиологические изменения организма». Предполагается, что, когда человек лжёт или пытается скрыть правду, у него изменяются физиологические показатели, такие как пульс, частота дыхания, давление, электропроводность кожи, непроизвольные сокращения мышц, высота голоса и так далее. Отсюда и название «полиграф», то есть прибор, который регистрирует эти множественные показания.

У этой методики масса недостатков, которые представлены ниже.

Недостоверность тестов. Идея выявления искажения или сокрытия информации по таким признакам изначально порочна. Психофизиологическое состояние человека может динамически изменяться из-за нервного срыва, бессонницы, постоянного стресса и просто по медицинским показателям. Выпитые подряд две чашки крепкого кофе могут кардинально изменить регистрируемые значения, например, пульс, давление, температуру тела, электропроводность кожи.

Культура использования программного обеспечения.

Всем привет.

В каждой фирме должна быть культура использования программного обеспечения (ПО). Для этого жизненно необходимо иметь на фирме внутренний Репозиторий офисного и прикладного ПО. Для его размещения подойдет внутренний ftp-сервер. 

Что это такое?

Репозиторий учитывает и предлагает эталоны ПО для скачивания (readonly) и установки во всех подразделениях фирмы. Репозиторий содержит эталоны ПО которые прошли проверку в службе защиты информации (СЗИ), разрешены для использования и имеют соответствующий хеш для сверки после скачивания.

Для внесения прикладного ПО в репозиторий специалист фирмы подает заявку в СЗИ где указывает его назначение, версию, тип (наличие) лицензии, наличие поддержки, контактные данные производителя ПО, описание установки (manual), требования к версии ОС и аппаратному обеспечению, возможность виртуализации на платформах HyperV, VMware или VirtualBox, перечень файлов всего пакета, документ согласно которого закуплено ПО, и хеш всего кода. 

СЗИ анализирует полученную информацию и принимает решение о размещении этого ПО в репозитории  или его нецелесообразности: морально устарело, отсутствует поддержка, нет специалистов внутри фирмы, закуплен лучший аналог, прочее.

Репозиторий также учитывает количество лицензий для лицензионного ПО для установки для каждого отдела. Репозиторий также может содержать ПО со свободной лицензией разных типов (freeware). Свободное ПО также проходит проверку  в СЗИ. Репозиторий не содержит ПО с лицензией shareware.

5 правил устойчивости к стрессам.

Всем привет.

Случайно наткнулся на  заметку бывалого "Как сисадмину противостоять стрессам"

И знаете, автор во многом прав. Слово «стресс» уже давно вышло за рамки медицинской терминологии. Сейчас это практически синоним современной жизни, но как же иногда хочется тишины и покоя. Тем более что в требованиях к соискателям на многие вакансии повсеместно пишут опцию "быть стрессоустойчивым". Современный кошмар?)

Так вот, автор выделяет пять правил которые помогают сисадмину выжить. Выжить на работе, ибо в современной жизни мы на работе проводим больше времени чем вне ее. А сисадмина могут достать и среди ночи, и в отпуске. Приходиться с этим жить(.

Правило первое: «Отбивайся».

100%, не бойтесь показаться кому-то не хорошим парнем. Расставляйте правильно приоритеты и старайтесь чтобы эти приоритеты ваш руководитель внезапно не менял по своему видению. Обозначьте и стойко защищайте свою зону ответственности. Не становитесь в позицию "чего изволите" ибо очень быстро на вашей шее будут сидеть все подряд. А рабочего времени у вас не прибавиться. И к тому же одну и ту же проблему решать для одного и не решать для другого пользователя чревато. Желательно чтобы все пользователи для вас были равны. А еще лучше приручайте всех обращаться в сервисдеск, если он у вас есть. Самое плохое когда пользователь указывает вам как именно вы должны решать его проблему - таких надо ставить на место мягко и безотлагательно!

Правило второе: «Делегируй».

Это уже как повезет. Будет ли у вас возможность делегировать кому-либо то что пришло вам. Тут первую скрипку играет ваш линейный руководитель и именно его вы должны убедить что вот эту работу надо перепоручить другому отделу или смежникам. Иначе будете отвечать на весьма странные вопросы по поводу кондиционеров или вентиляторов.

Мельница для 12-ти и старше.

Всем привет.

Как известно взрослые отличаются от самих себя в детстве только стоимостью игрушек. Не будем делать вид что мы чем-то очень отличаемся.)

Вот и сегодня речь пойдет про конструкторы для тех кому за 16-ть. Мне оказалась интересной тенденция их развития, а конкретно это деревянные конструкторы. Ранее я обращал ваше внимание на украинскую кампанию Ukranian Gears, которая  на сегодня хорошо стоит на ногах. Ее продукция отлично продается за рубежом. Она каждый год выпускает новые модели, которые становятся все сложнее и сложнее. В прошлом месяце они выпустили макет мельницы. 

Смотрите, это просто взрыв мозга. Все модели Ugears стремится делать максимально функциональными.  Надо проверить, возможно эта мельница может молоть... Ребята, вы супер! Так держать.

Обновляем свое резюме.

Всем привет.

Оказалось что свое резюме полезно периодически править. Чтобы быть готовым. Жизнь - штука переменчивая, в наши планы она норовит внести свои поправки. 

Помните классика - покорных судьба ведет, а непокорных - тащит.

Так вот обновляя свое резюме раз в полгода, это если вы не находитесь в поиске нового пристанища своим способностям, вы можете оценить что поменялось в мире, что удалось полезного освоить, а что стоит просто забыть. Когда же судьба заставит вас пойти на поиски вы сразу оцените насколько вы, и ваше резюме, соответствуете рынку.

Я лично за последний год свое резюме радикально изменил три раза.  Это не считая того что выкинул все старое. Да, это уже история, а в мире ИТ все меняется гораздо быстрее. Плюс к этому веду две разные версии резюме, на украинском и английском языках. Для вакансий которые публикуются на разных языках соответственно. Также есть версии с фото и без.

Что должно, а чего не должно быть в вашем резюме штука лукавая, многое зависит от человека который будет его читать. Советы от бывалых можно глянуть вот здесь. Даже они иногда расходятся по некоторым пунктам на все 100. Поэтому главный совет один - не пишите то чего не знаете и чего с вами не было. А то что знали, но подзабыли указывайте из расчета что сможете быстренько перед собеседованием освежить основные моменты в памяти.

По откликам могу смело заявить что ваше образование (диплом) сейчас отходит на второй план. Более того, две из трех вакансий требуют рабочую специальность. Сейчас работодатель больше интересуется технологиями и инструментами которыми вы владеете, или имели дело с ними недавно. Сертификаты полезны только те которые, опять же, соответствуют современным технологиям. Знание Английского языка требуют практически везде с уровнем не ниже Intermediate. Даже если его применение не просматривается по вакансии. Т.е. чаще надо, но иногда потому что это в тренде. Правда была одна интересная вакансия где мне сказали что как раз хорошее знание (разговорного) английского языка не приветствуется.) Сомневаетесь? Недавно видел вакансию дизелиста-моториста с знанием английского, на вахту.