Nord Nord Sec #4

Winter is coming. Oder eher Winter is here. Nachdem der halbe Garten vom Wasser geflutet wurde, kam der Frost und der Schnee. Noch ein paar kalte Tage und die Kids können im Garten - und im Gartenhaus - Schlittschuhlaufen. Auch mal was neues 🤷 

Die jetzt herrschende Eiszeit lädt geradezu dazu ein, sich Abends vor den Kamin oder die Heizung zu setzen und mit einem Heissgetränk nach Wahl in neue (und alte) Themen einzusteigen.

Zwar ist bei uns nach wie vor viel los, was mich dementsprechend einspannt und weshalb ich nicht so viel zum lesen, hören und lernen komme wie ich gewohnt bin - aber trotzdem habe ich ein paar interessante Sachen für euch gefunden.

Text

• AWS Security Best Practices Eine Sammlung von AWS-Best-Practices für folgende Services:

  • Detective

  • GuardDuty

  • Insepctor

  • Macie

  • Security Hub

  Falls ihr etwas dazu besteuern könnt: Hier ist der GitHub Link

• Abos ohne Login kündigen Ein toller Sieg für die Verbraucher - auch wenn man sein Passwort verloren hat oder aus anderen Gründen nicht in den Account kann - Abo-Kündigung muss ohne Login möglich sein. Ok, vielleicht möchte man das auch gerade einfach nicht. Immerhin hat nicht jede*r einen Passwort-Manager. Und mal ehrlich: Lange, sichere Passwörter auf dem Handy tippen, nur um das Abo an das man sich gerade erinnert hat zu kündigen? Meh. Schliesslich kann man sich in einem, für die Richter ausreichend stark, anderen Verfahren authentifizieren. Dem logischen Menschenverstand sind auch die Richter gefolgt.

• Neues vom Kyivstar-Hack: Angreifer aus dem russischen GRU (allegedly 😉 ) hatten Zugang zum Netzwerk seit mindestens Mai 2023. Aber sind wir mal ehrlich: Das überrascht niemanden, der sich schon etwas mit Cybersicherheit beschäftigt hat. Immerhin ist das seit Jahren in den Breach Reports von Verizon (und anderen) erfasst, das Angreifer sich normalerweise mehrere Monate lang in den Netzen ihrer Opfer bewegen. Unerkannt.

• Quo Vadis KI? Unglaublich umfangreicher Essay von Daniel Miessler (folgt Ihm - es lohnt sich!), der einen Ausblick auf die (nahe) Zukunft von KI Technologie gibt. Auch wenn es ein unglaublich langer Artikel ist, nehmt euch die Zeit.

• Die Gefahr der public links Öffentliche Freigaben können zur echten Gefahr für eure eingesetzten SaaS-Lösungen werden. Nach einer Studie aus 2023, war bei 58% aller IT Security Incidents “Data Leakage” ein Teil des Problems. Hier ein paar Ideen, wie ihr euch schützen könnt:

  • Dateien nur mit individuellen Nutzern teilen - und zwar authentifiziert

  • Niemals access auf “anyone with this link” setzen

  • Ein Verfallsdatum für die Freigabe sollte wenn möglich gesetzt werden

  • Wenn die Freigabe nicht mehr benötigt wird? Löschen!

Video

• A Beginner’s Guide to Automating your Bug Bounty Workflow g0lden teilt hier seinen Ansatz mit uns, aus verschiedenen Tools wie httpx, subfinder und anderen eine Pipeline zu bauen. Diese basiert auf bash und kann angepasst werden, wie es für euch passt. Er zeigt auch, wie ihr Notifications in Chattools bringt oder nuclei integriert um mehr Details aus den Endpunkten zu pressen.

• Painting in Procreate Ich habe vor einiger Zeit (wieder) angefangen (un)regelmässig zu malen und zu zeichnen. Das Video ist mir die Tage erst in die Vorschläge gespült worden. Und ich mus ssagen: Ich bin begeistert. Grady Frederick nimmt die Zuschauer mit auf dem Entstehungsprozess dieses unglaublich coolen Bildes. 12/10 would watch again.

Tools und Co.

• https://github.com/vulnerable-apps Eine Sammlung von über HUNDERT absichtlich angreifbarer Applikationen. Falls der JuiceShop bereits durchgehaxx0rt wurde.

• Cybersecuritoons Ein kompletter Cybersecurity Awareness Kurs in SECHS Minuten! Sehr witzig gemacht - wenn man den Stil mag. i liked. 😁 

• WhiteRabbitNeo Lokal lauffähiges KI Modell - trainiert für Cyber Security. Als Beispiel wird auf der HuggingFace-Page Wifi-Cracking mit airodump-ng, aircrack-ng und ettercap durchgespielt.
  Getestet habe ich das ganze bisher hauptsächlich als interaktive man-page. Das hat wunderbar funktioniert. Falls jemand von euch Feedback zu generierten Exploits hat - nur her damit!

• turbot/flowpipe Eine Automatisierungs-Engine für alles mögliche. Es sieht im Videobeispiel unglaublich simpel und gleichzeitig mächtig aus - und im Gegensatz zu den meisten anderen Lösungen die ich bisher gesehen habe, hat man es hier mit Quellcode zur Konfiguration zu tun und nicht mit Klick-Drag-Drop Diagrammen…

Das Zitat für diese Woche stammt aus einem interessanten Artikel über die Anti-Bibliothek. Das Konzept hat mich sehr getroffen, da Ich auch ein prall gefülltes Regal (virtuell und physisch) habe, mit lauter Sachen die ich noch lesen möchte. Bald. Bestimmt!

In diesem Sinne, lasst es euch gut gehen - kauft Bücher, sammelt Bücher und lest, lernt und lebt.

Cheers,

Martin