К2 Кибербезопасность запускает серию стримов для ИБ-специалистов

5 встреч в прямом эфире
5 наболевших тем ИБ-комьюнити

🎙 Среди гостей — спикеры из К2 Кибербезопасность, Яндекс, Luntry и других компаний.

Обсудим развитие контейнеров, ИИ и ИБ, безопасную разработку, ТОП навыков для роста ИБ-инженера, а также взгляд бумеров и зумеров на безопасность.

Старт 28 мая в 19:00 (мск). Регистрируйтесь по ссылке, чтобы не пропустить новые выпуски 🔗

Первый в мире поисковый движок.

• В ранние годы интернет-эры миллионы файлов хранились на тысячах анонимных FTP-сайтов. В этом многообразии пользователям было достаточно сложно обнаружить программу, подходящую для решения их задачи. Поэтому приходилось вручную просматривать FTP-хранилища, структура которых значительно отличалась. Именно эта проблема и привела к появлению одного из ключевых аспектов современного мира — интернет-поиска.

• Считается, что создателем первого поискового движка выступил Алан Эмтейдж. В 1989 году он работал в университете Макгилла в Монреале. Одной из его задач как администратора университетского факультета информационных технологий было нахождение программ для студентов и преподавателей. Чтобы облегчить себе работу и сэкономить время, Алан написал код, который выполнял поиск за него.

• Эмтейдж написал простой сценарий, автоматизирующий задачу внедрения в листинги на FTP-серверах, которые затем копировались в локальные файлы. В этих файлах осуществлялся быстрый поиск необходимой информации с помощью стандартной grep-команды Unix. Таким образом, Алан создал первую в мире поисковую систему, которая получила название Archie — это сокращение от слова Archive (Архив).

• Archie оказался способен производить поиск среди 2,1 миллиона файлов более чем на тысяче сайтов по всему миру в течение нескольких минут. От пользователя требовалось ввести тему, а система предоставляла отчет о местонахождении файлов, названия которых совпадали с ключевыми словами.

• Решение оказалось настолько удачным, что в 1990 году Эмтейдж и его партнер Питер Дойч основали компанию Bunyip, намереваясь вывести на рынок более мощную коммерческую версию Archie. Можно сказать, что это был первый интернет-стартап в истории, поскольку Bunyip продавали интернет-сервис.

• Команда решила привести листинги к более эффективному представлению. Данные были разбиты на отдельные базы: в одной из них хранились текстовые названия файлов, в другой — записи со ссылками на иерархические директории хостов. Была и третья база, соединяющая две другие между собой. Поиск при этом производился поэлементно по именам файлов.

• Со временем были реализованы и другие доработки. Например, база данных вновь была изменена — её заменила база данных, основанная на теории сжатых деревьев. Новая версия формировала текстовую базу данных вместо списка имен файлов и работала значительно быстрее предыдущих. Также произведенные второстепенные улучшения позволили Archie проводить индексацию веб-страниц.

• К сожалению, работа над Archie была прекращена, а революция в области поисковых систем — отложена. Эмтейдж со своими партнерами разошлись во взглядах касательно будущих инвестиций, и в 1996 году он принял решение об уходе. После этого клиент Bunyip проработал еще год, а затем стал частью Mediapolis, Нью-Йоркской фирмы веб-дизайна. При этом патенты на все наработанные технологии так и не были получены.

• Archie породил такие поисковые системы, как Google, потому в какой-то мере его можно считать прапрадедушкой поисковых движков. Что касается Алана Эмтейджа, то когда его спрашивают об упущенной возможности разбогатеть, он отвечает с долей скромности:

«Разумеется, я бы хотел разбогатеть, — говорит он. — Однако даже с оформленными патентами я мог бы и не стать миллиардером. Слишком легко допустить неточности в описании. Иногда выигрывает не тот, кто был первым, а тот, кто стал лучшим».

• Google и другие компании не были первыми, но они превзошли своих конкурентов, что позволило основать многомиллиардную индустрию.

#Разное

1979 год. В то время диск на 250 мб. был настоящим чудом технологии! А выглядел он вот так:

• Одного из сотрудников GitHub взломали - атакующие получили доступ к внутренним репозиториям, число которых составляет около 4 тыс. Указано, что взлом произошел из-за заражённого расширения VS Code. Полноценный анализ и расследование инцидента обещают опубликовать позже...

#Новости

• 43 года назад на свет появилась технология, в буквальном смысле слова изменившая мир. 1 октября 1982 года, на японский рынок поступил в продажу первый компакт-диск.

• Изначально компакты разрабатывали в качестве замены виниловым дискам, как более качественный и надежный носитель. Считается, что лазерные диски являются результатом совместной работы команд двух технологических корпораций — японской Sony и голландской Philips.

• При этом мало кто знает, что базовая технология «холодных лазеров», которая и сделала возможной появление лазерных дисков, была разработана советскими учеными Александром Прохоровым и Николаем Басовым. За свое изобретение они были удостоены Нобелевской премии. В дальнейшем технология развивалась, и в 70-х годах Philips разработала способ записи компакт-дисков, который и положил начало CD. Сначала инженеры компании создали ALP (audio long play) в качестве альтернативы виниловым пластинкам.

• Диаметр ALP-дисков составлял примерно 30 сантиметров. Чуть позже инженеры уменьшили диаметр дисков, время проигрывания при этом снизилось до 1 часа. Лазерные диски и воспроизводящее устройство для них впервые были продемонстрированы Philips в 1979 году. После этого компания стала искать партнера для дальнейшей работы над проектом — технология виделась разработчикам как международная, а развить ее до необходимого уровня и популяризовать своими силами было сложно.

• Руководство приняло решение попробовать установить контакты с технологическими компаниями из Японии, в то время эта страна находилась на острие hi-end технологий. Для этого в страну отправились делегаты Philips, им удалось встретиться с президентом Sony, который заинтересовался технологией.

• Почти сразу была сформирована команда инженеров Philips-Sony, они и разработали первые спецификации технологии. Вице-президент Sony настоял на увеличении объема диска, ему хотелось, чтобы компакт мог вместить девятую симфонию Бетховена, для чего объем диска расшили с 1 часа до 74 минут (есть и мнение, что это просто красивая маркетинговая история). Объем данных, которые умещаются на такой диск, составил 640 Мбайт. Инженеры разработали и параметры качества звука. Например, частота выборки стереосигналов регламентировалась на уровне 44,1 кГц (для одного канала 22,05 кГц) c разрядностью каждого в 16 бит. Так появился стандарт Red Book.

• Название новой технологии появилось не случайно - его выбрали из нескольких вариантов, включая Minirack, Mini Disc, Compact Rack. В итоге разработчики совместили два названия, получив гибридное Compact Disc. Не в последнюю очередь это название было выбрано из-за растущей популярности аудиокассет (технология Compact Cassette).

• На момент появления технологии в 1982 году компакт-диск мог хранить гораздо больше данных, чем жесткий диск персонального компьютера, который в те времена имел объем 10 Мбайт. Это и предопределило судьбу формата, обеспечив ему популярность.

• Несмотря на преклонный возраст, компакт-диски и их наследники - DVD и Blu-ray активно используются до сих пор, в основном, для хранения и архивации данных. Возможно, что скоро мы отметим юбилей этой технологии.

#Разное

• Нашел очень крутой ресурс, который содержит огромное кол-во инструментов для ИТ специалистов, начиная от калькулятора ip адресов и оценки надежности паролей, заканчивая конвертерами и линтерами для JSON, YAML, XML и т.д. Так сказать, универсальный набор тулз, который пригодится для выполнения повседневных задач.

• А еще вы можете развернуть всё локально, если потребуется. Инструкция есть на github. Пользуйтесь:

https://it-tools.tech

#Tools

Как усилить ИБ: управление данными и ML-технологии для защиты бизнеса

Когда киберриски растут, а требования к защите данных ужесточаются, перед компаниями стоит вопрос: как обеспечить высокий уровень ИБ без роста бюджета?

Эксперты «Инфосистемы Джет», Arenadata и «Аксель Про» проведут совместный митап, где подтвердят, что ответ в сочетании проверенных решений и современных технологий.

Что в программе?
🔹Реальные кейсы сбора данных в ИБ: когда выгоднее использовать готовые инструменты вместо самостоятельной разработки
🔹Тренды рынка ИБ: кто лидирует, какие технологии набирают популярность и куда двигаться дальше
🔹ML-кейсы для ИБ в реальной ИТ-среде: от анализа логов до задач с LLM
🔹Дата-контракты, карта данных и профилирование — как инструменты управления данными помогают ИБ
🔹Как управление данными и их качество повышают уровень ИБ

Когда: 26 мая в 11:00 МСК
Формат: онлайн

Регистрация на бесплатный митап на сайте.

ENIAC.

• Electronic Numerical Integrator and Computer (ENIAC) был одним из первых в мире компьютеров общего назначения. В ходе создания ENIAC ученые и инженеры предложили множество новых идей, которые в дальнейшем стали базой для построения электронно-вычислительных машин уже гораздо более совершенных, чем ENIAC.

• А началось всё с военных. Он потребовался, в частности, для расчета траекторий полета баллистических ракет и других снарядов. Просчитать вручную все это было можно, но процесс занимал крайне много времени. В некоторых случаях военным требовалась информация по нескольким тысячам траекторий полета снаряда, причем на расчет каждой из них требовалось по 1000 и более операций. Соответственно, у одного человека на выполнение всего этого комплекса вычислительных задач уходило около 2 недель, а иногда — и месяцев.

• После проведения расчетов военные составляли специальные таблицы, которые помогали метко стрелять по вражеским целям.

• ENIAC создали для ускорения всей этой работы. Разработка системы началась в 1942 году, а в 1945 компьютер уже приступил к работе, избавляя сотрудников от необходимости выполнять рутинную работу на протяжении нескольких недель.

• Готовый аппаратный комплекс занимал помещение площадью в 140 м2. Масса устройства составляла 30 тонн, в состав его входило около 18 000 электронных ламп и 1500 реле, плюс сотни тысяч других элементов, включая сотни тысяч резисторов, конденсаторов и катушек индуктивности.

• Сначала у ENIAC не было внутренней памяти, все данные хранились на перфокартах. Но в 1953 году инженеры смогли добавить к системе память на 100 слов.

• Стоит отметить, что для своего времени система была просто феноменально быстрой. Компьютер был в состоянии выполнять 357 операций умножения в секунду или 5000 операций сложения за то же время. Кроме того, компьютер позволял решать дифференциальные уравнения второго порядка.

• Не обошлось и без проблем. Поскольку в ENIAC содержалось почти 18 000 радиоламп, они регулярно выходили из строя, из-за чего работы приостанавливались примерно раз в день. Лампы приходилось заменять, на что требовалось время. В самом начале на поиск неисправной лампы требовалось несколько часов, но через некоторое время команда компьютера смогла ускорить процесс — на него стало уходить не более 15 минут.

• Компьютер потреблял около 160 кВт энергии, а во время его работы температура в машзале поднималась вплоть до 50 градусов Цельсия. При всем при этом система была крайне сложной. Даже у опытного программиста на ввод новой задачи уходило много времени. Чаше всего несколько дней — ведь сначала нужно было согласовать планирование, а потом уже внедрять.

• К тому времени, когда ENIAC заработал, подошла к концу Вторая мировая война. Поэтому команде проекта пришлось срочно адаптировать свое детище для решения новых задач, включая сельское хозяйство.

• В итоге ENIAC выполнял вот такие задачи:

Расчет конструкции водородной бомбы.
Прогнозы погоды.
Исследования космических лучей.
Изучение случайных чисел.
Проектирование аэродинамических труб.

• Прогнозы погоды, выдаваемые системой, были довольно точными, но приоритет отдавался, конечно, созданию водородной бомбы.

• К слову, использовался компьютер не так и долго вплоть до 1955 года, когда в мире появились более мощные системы. Тем не менее, за все время существования инженеры внедрили немало новейших и эффективных для того времени решений. ENIAC очень сильно изменился по сравнению с тем, что он собой представлял в начале существования.

• Когда компьютер перестал быть актуальным, его просто разобрали. Элементы системы разбирали и складывали не самым аккуратным образом. Часть элементов увезли, другие — оставили.

• С течением времени элементы ENIAC расходились все дальше друг от друга — их могли просто перескладировать, отправляя их за десятки километров от предыдущей дислокации. Причина — размеры элементов компьютера.

#Разное

• Очень хороший материал по изучению Docker для начинающих. Как обычно: все бесплатно, без регистрации и смс. Читаем и практикуем.

Docker с нуля: как работают контейнеры и зачем они нужны.

• Эта подборка из шести статей - ваш гид в мир контейнеризации. Вы узнаете, что такое Docker, как запускать контейнеры, собирать образы и использовать Docker Compose, а еще разберетесь, чем эта технология отличается от Kubernetes. Все материалы подкреплены практическими примерами и будут понятны начинающим. На полное изучение уйдет менее двух часов. Материалы курса:

Docker: что это такое и как работать с контейнерами;
Установка Docker Desktop на Windows, настройка WSL и Hyper-V;
Запуск контейнера Docker и команда docker run;
Docker Compose и основы работы с контейнерами;
Создание своего Docker-репозитория;
Kubernetes vs Docker: в чем различия.

Основы безопасности в Docker-контейнерах.

• Если вы прочитали предыдущую подборку и почувствовали в себе силы начать работу с контейнерами, не спешите. Изоляция, которую они обеспечивают, может вызывать ложное чувство безопасности. Чтобы вы могли погрузиться в вопросы защиты своего Docker, есть еще одна мини-подборка из трех исчерпывающих материалов. Изучение — чуть больше часа, а эффект — бесценен. Материалы:

Безопасность в Docker: от правильной настройки хоста до демона
Исчерпывающее пособие по безопасной сборке Docker-образов
Профилактика в работе с Docker-контейнерами

#Docker #Security

Как обнаружить атаку на AD, когда не видно ничего подозрительного?

Изучите техники и методики атак на инфраструктуру Active Directory!

Наша практическая лаборатория содержит более 30 виртуальных машин, которые вам предстоит сломать. Старт курса 8 июня

Регистрация

Содержание курса:
AD-сети с миксом Windows/Linux
Харденинг в AD, добыча критичной информации, развитие по инфраструктуре
Захват и укрепление позиций внутри инфраструктуры
Применение и анализ популярных эксплоитов

Авторы курса: HackerRalf (Михаил Порываев) и BlackRabbit (Павел Никитин), 5-кратные победители the Standoff

Дарим доступ к 20+ заданиям на взлом AD на hackerlab.pro при записи на курс!

• Судя по всему, кто-то нашел github токен сотрудника Grafana, который предоставил доступ к Grafana Labs на GitHub и позволил выгрузить всю кодовую базу. Однако вместо репорта по программе bug bounty, гений решил потребовать выкуп за удаление скачанных исходников. К слову, выкуп никто не заплатил, а вот что будет с исходниками — пока неясно.

https://www.kucoin.com/

#Новости

#Юмор

• Нашел очень полезный сервис, благодаря которому можно создать зашифрованные HTML странички, расшифровка которых происходит с помощью ввода пароля в браузере на стороне клиента.

• Обычно парольная защита производится через веб-сервер, который проверяет пароль и выдаёт контент. Но что делать, если нужно выложить зашифрованную веб-страницу и файлы на публичном хостинге, где у нас нет контроля над сервером? Эту проблему решает тулза StatiCrypt.

• StatiCrypt генерирует статическую страницу, которую можно безопасно заливать на любой хостинг. Страница будет расшифрована в браузере пользователя, когда тот введёт известный ему пароль. В принципе, эту систему можно использовать для шифрования личных заметок, если вы хотите выложить их на общедоступный сервер, чтобы всегда иметь к ним доступ, но при этом надёжно защитить от посторонних глаз.

• Расшифровка происходит на обычном JavaScript, то есть со стороны клиента не требуется скачивание и установка дополнительных инструментов, кроме стандартного браузера. Ни хостинг-провайдер, ни интернет-провайдер не получают доступ к этой информации в процессе расшифровки её расшировки в браузере.

• Консольная утилита StatiCrypt доступна для скачивания на Github и в виде пакета NPM. А еще существует готовый шаблон для создания и хостинга одностраничного зашифрованного сайта на GitHub Pages.

• Страница шифруется с помощью AES-256 в режиме CBC, который в контексте StatiCrypt лишён характерных для него уязвимостей. Пароль хешируется с помощью функции PBKDF2: 599 тыс. операций хеширования SHA-256 и 1000 операций SHA-1 (для легаси). По сути, генерируется новая веб-страница (зашифрованная), которая вмещает содержимое старой.

• Утилита также умеет генерировать ссылку, которая уже содержит хешированный пароль, для доступа к странице без ввода пароля непосредственно в веб-форме браузера. Такую ссылку можно передавать доверенным лицам или использовать самому, а контент при этом хранится на сервере в зашифрованном виде, недоступном для просмотра ни хостером, ни третьим лицам.

https://github.com/robinmoisson/staticrypt

#Tools

• А вы знали, что домен .ai приносит небольшому карибскому острову Ангилья около 30 млн. баксов в год? Это примерно четверть годового дохода, что весьма круто.

• А всё началось с Искусственного Интеллекта, когда число сайтов с доменом .ai выросло в 10 раз за последние 5 лет. Кстати, самым дорогим адресом является you.ai - его выкупили за 700 тыс. баксов. Да что уж там говорить, сотни крупных компаний (Google, Notion и д.р.) платят очень большие деньги острову за доменные имена. Поэтому со временем доход острова будет только расти.

#Разное