На пути атакующего часто стоят системы EDR, цель которых — обнаружить атаку и сообщить о ней первой линии обороны SOC. Чтобы оставаться незамеченными, пентестерам приходится обходить мониторинг. В этой статье поговорим о том, как именно это делается в случае с атаками на Windows.

Пентестерам часто приходится иметь дело со средствами мониторинга, которые необходимо обойти раньше, чем безопасники поднимут тревогу. В этой статье я расскажу, что может сделать команда обнаружения и реагирования, чтобы не проморгать атаку и вовремя заметить, что с мониторингом кто‑то химичит.

Практически все современные системы используют контейнеризацию. В большинстве случаев в качестве платформы контейнеризации служит Docker. Для обеспечения информационной безопасности постепенно появляются решения класса Container Security, но у команд разработки (dev) или сопровождения (ops) не всегда есть возможность их ждать, тестировать и встраивать. А командам информационной безопасности (sec) заниматься защитой нужно уже сейчас.

Получив доступ к взломанной системе, атакующий первым делом реализует техники уклонения от обнаружения, которые позволяют ослабить мониторинг безопасности инфраструктуры и, как следствие, действовать максимально незаметно.

Получив доступ к системе, злоумышленник первым делом пытается вывести из строя средства аудита, чтобы как можно дольше оставаться незамеченным. В этой статье я покажу, как атакующий может ослепить средства мониторинга Windows путем манипуляций с подсистемой Event Tracing for Windows (ETW).

Конфигурационный файл встроенного в Windows средства мониторинга Sysmon может разрастаться до тысячи строк, которые описывают правила отбора регистрируемых в логах событий. Стандартный набор функций Sysmon для проверки конфига неудобен и затрудняет работу аналитика. В этой статье я покажу, как составлять пайплайн CI/CD для валидации конфига Sysmon и сделать невозможной потерю событий.

Получив доступ к системе, злоумышленник первым делом пытается ослепить средства аудита, чтобы как можно дольше оставаться незамеченным. В этой статье мы с тобой попробуем ослепить Sysmon и сделать это максимально незаметно для штатного аудита Windows. Достичь этого нам позволят манипуляции с хендлами и дескрипторами безопасности.

Можно бесконечно наблюдать за тремя вещами: горящим огнем, текущей водой и событиями в операционной системе. И если в Windows средства мониторинга и журналирования уже хорошо изучены пользователями и системными администраторами, то в macOS с этим не все так просто. Сегодня мы поговорим о бесплатных инструментах отслеживания событий в «маке» и их практическом применении.

Настоящие воины Linux общаются с командной строкой ежедневно, а некоторые в ней просто живут. В очередной подборке я собрал утилиты, которые облегчат эту жизнь, сделают ее ловчее и веселее. Наибольшую пользу эти тулзы принесут сисадмину и хакеру, но и простой юзер для себя кое-что найдет. В общем, налетай! Впереди у нас 13 интересных полезняшек.

Возможно, у тебя есть сервер, роутер или еще какой-то девайс, за работой которого нужно следить. Как сделать систему мониторинга, которая сама по себе не будет требовать внимания и ресурсов? Я рекомендую в таких случаях использовать простой, а главное — бесплатный инструмент под названием Netdata.

Чаще всего при анализе поведения подозрительной программы наблюдают за пользовательским режимом, а код в ядре остается вне поля зрения аналитика. Отчасти это правильно, поскольку больше всего вредоносной деятельности ведется именно в пользовательском пространстве. Тем не менее вредоносный код в ядре может нанести больше ущерба, и его сложнее обнаружить. Однако это возможно.

Представь, что у нас есть оборудование MikroTik, для которого написаны правила файрвола против сканирования портов. Нам нужно вести ежедневный учет IP-адресов и отправлять письмо с отчетом в отдел безопасности. Давай напишем скрипт, который будет выполнять всю эту работу.

Надоели постоянные обрывы связи и косяки провайдера, но субъективные оценки типа «подвисает» не внушают доверия, лучший выбор — записать состояние сети в автоматическом режиме. Сегодня мы напишем утилиту, которая легко настраивается и сохраняет в журнал RTT до заданных хостов, packet loss и скорость соединения (опционально), а логи летят прямо в Telegram.

Продолжаем серию материалов о простой и гибкой системе мониторинга PRTG. В прошлый раз речь шла о возможностях PRTG в целом. На этот раз остановимся на создании сенсоров. В базе PRTG — 200 готовых сенсоров и 100 шаблонов для создания новых. В этой статье расскажем, как работать с готовыми сенсорами и как создавать свои.

Грамотно настроенный мониторинг способен сэкономить массу времени и системному администратору, и другим сотрудникам компании, включая руководство. В этой статье мы познакомим тебя с системой мониторинга PRTG, которая контролирует состояние устройств и приложений в сети.

Сегодня я расскажу о важной части системы мониторинга Zabbix — низкоуровневом обнаружении, или Low Level Discovery. Статья познакомит тебя с базовыми сведениями об этой интересной функции и поможет автоматизировать твою систему мониторинга и вывести ее на новый уровень.

Может показаться, что всякие виджеты и гаджеты — это удел развесистых графических интерфейсов, авторы которых уже не знают, что бы еще приделать к операционной системе. Однако некоторые поклонники командной строки Linux тоже не чужды легкомысленных развлечений. Впрочем, красиво оформленную приборную панель можно считать и практичной — смотря что на нее поставить.

15 июня 2018 года ребята из Vulners представили опенсорсный проект Zabbix Threat Control, позволяющий превратить систему мониторинга Zabbix в систему контроля безопасности машин. В этой статье мы расскажем, что такое Zabbix Threat Control, покажем, как его установить, и проверим работоспособность системы.

Ты уверен, что в курсе всего происходящего у тебя в системе? Возможно, ты даже пользуешься какой-то системой мониторинга наподобие Prometheus или Zabbix, но знаешь ли ты, как самому получить подробные отчеты о работе системы и железа? В этой статье мы расскажем, как, используя командную строку Linux и стандартные утилиты, доступные в любом дистрибутиве, выжать максимум информации о работе системы.

Технические специалисты, которые, расследуя ИБ-инциденты или устраняя неполадки при траблшутинге, хоть раз пытались найти в логах операционных систем семейства Microsoft Windows реально важную для них информацию, знают, что в журналы аудита событий попадает далеко не все, что нужно. Можно ли исправить эту ситуацию без дополнительных финансовых вложений с использованием инструментов, гарантированно совместимых с Windows-средой? Разумеется, можно!

Непрерывный мониторинг состояния корпоративной IT-инфраструктуры — одна из важнейших задач IT-департаментов. Реалии современного динамичного бизнеса требуют от них не быстрого устранения уже возникших неисправностей, а их своевременного предупреждения. Что, в свою очередь, предъявляет повышенные требования к инструментам диагностики.

В Android существует программный интерфейс к низкоуровневому аппаратному стеку телефона. С его помощью можно написать программу для набора номера, инициировать отправку текущих координат, обработать входящий звонок, негласно включив запись с микрофона... Словом, интересных штук можно придумать массу.

Сегодняшние сети нельзя назвать статичными. Распределенные системы, облачные сервисы, системы виртуализации и микросервисы привели к тому, что управлять при помощи традиционных инструментов становится невозможно. Серверы могут перемещаться, сервисы появляются и отключаются. Вручную отследить очень сложно. На выручку придут системы обнаружения сервисов (Service Discovery), предлагающие дополнительные возможности для управления инфраструктурой.

Системы мониторинга систем и сервисов — это уже стандарт в любой сети. С их помощью админы могут собирать информацию о текущих параметрах и получать предупреждения, когда возникают проблемы. Однако с появлением кластеров и виртуальных машин сегодня само понятие сервер и сервис несколько не отвечает традиционным представлениям, а значит, иногда требуются специфические инструменты. Prometheus относят к системе мониторинга следующего поколения, здесь используется несколько иной подход и архитектура.

Вообразим ситуацию: ты — системный администратор в маленькой фирме. Твой босс зовет тебя в кабинет и заводит речь о том, как важна ИТ-инфраструктура для ведения бизнеса и бросается громкими словами вроде «частного облака». Перед твоим же внутренним взором стоит старый пыльный шкаф с оборудованием и гнездами из проводов. Свою лепту в их плетение внес каждый из твоих предшественников, и ты давно подозреваешь, что от этого хозяйства стоило бы избавиться, а не обходиться попытками что-то переподключать и переставлять, спасая от перегрева. И тут (о чудо!) начальник заканчивает свой монолог не очередной жалобой на работу сети, а предложением составить список нужного оборудования. Настало время сделать всё по уму!