IT

Для этичных хакеров и ИБ-спцеиалистов у меня есть две новости: одна плохая, а другая плохая. 1. Угрозы меняются, меняются типы атак. Все больше компаний привлекают для защиты AI-инструменты, которые исключают работавшие ранее решения. Появляются совершенно новые типы атак, вроде PleaseFix. Придется меняться, переучиваться, чтобы просто выжить на рынке завтрашнего дня. 2. Порог входа понижается. Если ранее надо было тратить годы, изучать сети, девайсы, архитектуру ОС, то сегодня вчерашний официант может за полгода научиться запускать агентов для пентеста, которые будут успешнее вас - опытных специалистов. Они уже сегодня успешнее вас, а завтра они будут успешнее всех, о ком сегодня мы можем только помыслить. Вам придется начать почти с нуля. Взять с собой можно только упорство и характер. Тут должна быть реклама курса за хулиард, но его не будет. Будет бесплатный гайд. Поверьте, я знаю о чем говорю, самое лучшее время начинать - сейчас.

Привет! Вас стало больше, так что пора наконец представиться 🙂 Я Даша, давно пишу на Go, но на своем тернистом пути постоянно нахожу интересности во внутренностях языка. Пишу про производительность, работу с бд и свои наблюдения, которыми грех не поделится. Параллельно развиваю свой поисковый движок - fts-engine: https://github.com/dariasmyr/fts-engine Из-за него тут регулярно появляются посты про full-text search, индексы, фильтры, хранение данных и разные эксперименты вокруг темы поисковиков. Пока тут легкий хаос с темами: от рабочих кейсов до иногда странных углублений в исходники и ищьюс ;’) Чтобы во всём этом было чуть проще ориентироваться, я разметила посты тегами:

#go - Go, рантайм, реализации техник и описание внутрянки #perf - производительность, профилирование и бенчи #db - базы данных, оптимизации #fts - поиск, индексы и устройство движка #projects - мои проекты и эксперименты

Пишите, если заинтересовала какая то тема или идея, буду рада обсудить. Welcome!

В китайских процессорах Loongson нашли дыру, позволяющую красть данные из кеша Немецкие исследователи нашли уязвимости в процессорах китайской Loongson. Они связаны с утечками данных через кеш-память. Потенциальные злоумышленники могут использовать эти проблемы, чтобы искать и извлекать определённую информацию. Details of attack and scope? Need no invent. Maybe 3 sentences requirement 4-5. Add that findings concern processors. "Исследователи предупреждают..." This is inferred. Need 4 short sentences. Sentence 4: "Речь идёт..." redundant. Could say "Исследование касается..." fine. Ensure no extra claim. #loongson #процессор #уязвимость 📎Подробнее 🔖 3DNews в TG | MAX | VK

Курят ли актёры в кино настоящие сигареты В золотую эпоху кино так по большей части и было. Но тогда вообще мало кто задумывался о вреде курения, да и табачные компании активно задействовали звёзд в продвижении сигарет. В той же «Касабланке», конечно, курили настоящие сигареты, как и во многих других фильмах эпохи. И такая практика существовала довольно долго — более менее массово от сигарет с табаком стали отказываться, судя по всему, только в начале 2000-х. Точных данных нет, но процесс шёл постепенно. Настоящие сигареты встречаются на экране и сейчас, но в тех случаях, когда актёр сам курит и не против это делать в кадре. Однако бывают исключения. Так, в «Охотнике за разумом» Холт Маккэллани курил настоящие сигареты — хотя сам он не курит. Это стало настоящей проблемой, потому что Дэвид Финчер любит снимать много дублей. Курильщики могут представить себе, как чувствовал себя Маккэллани на площадке. Впрочем, сейчас в кино и сериалах часто используются муляжи — дым можно добавить на пост-продакшене. Но есть и другой популярный способ показать курение — травяные сигареты. Там нет табака и никотина. Вместо них корень алтея, жасмин и лепестки роз. Если в более менее современном фильме вы видите, как герои затягиваются и выдыхают дым — скорее всего у них в руках такие вот сигареты из травок.  Джон Хэмм, которому в «Безумцах» приходилось часто курить, говорил, что по вкусу они отдают мылом и курить их очень тяжело. Но хоть в таких сигаретах и нет табака, они всё равно вредные — горят же. К тому же, от них может болеть горло и садиться голос. Сцены с одного дубля снимаются не всегда, а если персонаж (как герой Джона Хэмма) курит постоянно, то возникают трудности.  Производители травяных сигарет есть разные. Один из самых популярных — британская компания Honeyrose, которая поставляла сигареты на площадки, например, «Волка с Уолл-стрит», «Джокера» и «Острых козырьков». Для киношников у производителя есть целая линейка травяных сигарет (и сигар) с разными фильтрами и без логотипов. А ещё там добавляют в сигареты мёд и фруктовые соки. Вряд ли это помогает, правда. Есть и другая сложность. Некурящий актёр курить… не умеет. Сигарета в его руках, скорее всего, будет смотреться инородно и глупо. Так что тут нужно недюжее мастерство. Помимо того, что после нескольких дублей даже с травяными сигаретами у тебя наверняка заболит горло. Но на что только не пойдёшь ради искусства, не правда ли?

📊 Подведём небольшие итоги опроса про практику

Довольно интересный у нас получился опрос 🙂

Возможно, результаты ещё немного изменятся, но на данный момент картина такая: 🔵 Hack The Box — 43 голоса (35%) 🟢 TryHackMe — 42 голоса (34%) 🟠 PortSwigger Web Security Academy — 26 голосов (21%) 🟣 Свой вариант — 12 голосов (10%) Всего проголосовало 123 человека. И что самое интересное — HTB лидирует всего на один голос 😄 Честно, ожидал чуть большего разрыва. В комментариях уже написали, что некоторые, возможно, недооценивают PortSwigger — и с этим сложно спорить. Особенно если речь идёт именно о web-направлении: там огромное количество очень хороших лабораторий, и многие темы можно отрабатывать буквально по шагам. Но пока факт остаётся фактом:

🥇 Hack The Box впереди всех.

Совсем рядом идёт TryHackMe, поэтому по факту у нас получилась почти ничья. Я сам, кстати, довольно часто зависаю именно на TryHackMe 😄 Но тут всё просто — в своё время взял новогоднюю подписку с очень большой скидкой, поэтому теперь стараюсь использовать её по максимуму😄. При этом, как мне кажется, у каждой платформы своя сильная сторона: 🔵 HTB — ближе к самостоятельному поиску решений и полноценным цепочкам атак. 🟢 TryHackMe — отлично подходит для последовательного обучения и закрепления базы. 🟠 PortSwigger — очень сильная площадка именно для практики по web security. Поэтому после опроса, я понял, что вопрос был сформулирован не совсем правильно🤔

«Какая платформа лучше?»

Скорее:

«Какая платформа лучше именно для вашей текущей задачи?»

Если только входите в тему — одна. Если хотите больше самостоятельности — другая. Если качаете web — третья. И отдельный респект тем, кто написал свои варианты в комментариях — GOAD, SIEM + BadBlood и другие стенды тоже точно заслуживают внимания. Так что опрос получился реально полезный. Теперь хотя бы видно, чем в основном пользуется наше сообщество 👌 #опрос #практика #htb #tryhackme #portswigger #pentest

Сегодня я нажал кнопку "раскатать на всех" в эксперименте, над которым моя команда работала с начала года. Эксперимент положительный, доверительный интервал глубоко зеленого цвета. Опытный экспериментатор отметит тот факт, что граница доверитильного интервала далеко от нуля, а значит confidence у этого эксперимента достаточно высокий. Вне всяких сомнений, это улучшение опыта клиентов немного заметное даже на масштабе всей огромной компнии. Успех в этом эксперименте фактически означает, что мы выполнили свои цели на этот год, и дальше можно работать уже имея большую свободу: вкладываться в какие-то долгосрочные проекты без немедленной отдачи, или доводить какие-то более мелкие штуки. Ну и немного улучшить ситуацию с тех. долгом, поработать над нашим собственным тулингом, углубить интеграцию с AI в конце концов. Суть улучшения не все поймут даже внутри компании, а наружу про нее говорить вообще пока нельзя, но это на стыке модного AI (LLM-driven) и классического ML. Я очень рад, что именно эта гипотеза сработала. Дело в том, что новомодный AI, конечно, обладает большими возможностями, и иногда слабо отличим от магии, но для задач, где нужно обработать огромное количество данных, он почти не применим: и дорого и медленно. Недавно стали появляться подходы, которые позволяют их эффективно скрещивать, и использовать магию LLM в том числе на BigData задачках, но они пока технически достаточно сложные. Один из них сработал у нас. Я надеюсь, через пол года об этом напишут статью, и тогда можно будет рассказывать уже в деталях, а пока просто хочется разделить с вами эту эмоцию.

Мы стали забывать, как выглядит ИТ-шный голый четверг. Что-то мне надоело, что мне не хватает 500 гигабайт у Razer и решил посмотреть в интернете, сложно ли добраться к SSD у Razer Blade 2020 Base модели. Открываю первое же видео и вижу, что оказывается Razer поддерживает два SSD. Справа видно свободный слот. А у меня как раз от Surface Pro единственное что осталось, так это M.2 NVMe PCIe на 256 мегабайт. Достаточно, чтобы туда игры закачивать. Основной будет использоваться под систему и мои файлы, а дополнительный на 256 под игры. Установил второй SSD, а загрузка не идёт. Пришлось отключать Secure Boot, снова готовить флешку и обновлять сертификаты. Я только недавно это делал и рассказывал тут. После этого ноут завёлся и теперь можно не держать постоянно подключённый внешний диск.