Блог

В условиях, когда периметр компании насчитывает тысячи ресурсов, даже критически важная уязвимость может "затеряться" среди шума. При ручных тестированиях мы используем Metascan не просто как источник информации об уязвимостях, но как проактивный фильтр, гарантируя, что ни одна потенциальная угроза не ускользнет от нашего внимания.

Без разведки полноценный поиск и обнаружение уязвимостей были бы невозможны. Около 80% успеха в выявлении уязвимостей кроются в хорошо проведенной разведке. Несмотря на большое количество доступных инструментов для сбора поддоменов, подсетей и других данных об инфраструктуре, процесс разведки содержит в себе много нюансов, особенностей и особых техник позволяющих обнаружить чуть больше ресурсов чем другие.

Keycloak позволяет реализовать управление учетными записями и доступом через централизованную систему и значительно упростить процесс аутентификации в разных сервисах. Но даже в такой продуманной и удобной системе можно допускать мисконфигурации которые могут привести к критичным последствиям, ведь получив доступ к такой системе злоумышленник по сути получает доступ и ко всем взаимосвязанным сервисам.

Компрометация CI/CD и ее последствия.

Многие сталкивались с таким понятием как ошибки бизнес-логики, но не всегда понятно что именно скрывается за этим расплывчатым классификатором уязвимостей и какое отношение к этому имеет бизнес. Что же такое на самом деле ошибки бизнес-логики, к каким последствиям они могут привести и как они отличаются от классических уязвимостей?

Экономика кибератак в цифрах.

Insecure Direct Object Reference (iDOR) - небезопасный доступ к объектам остается одной из самых опасных уязвимостей которая может привести не только к массовой утечке данных, но и применяться в необычных сценариях с использованием цепочки уязвимостей с целью модификации или удаления данных.

Сегодня расскажем про кейс когда простой анализ Unknown порта может привести к обнаружению критичной уязвимости и как мы смогли получить полный контроль над файловым хранилищем Cargador в результате анализа внешней инфраструктуры одного из наших клиентов.

Сегодня разбираем кейс в котором клиент не верил, что WAF это плохая компенсационная мера при RCE до тех пор, пока не был найден байпас