Статья Исследования уязвимостей. Обратная сторона медали.

[varwar]

Еще одна интересная презентация, но уже по рынку (без киберкрайма). Кидаю сюда, потому что были небольшие пересечения с переведенной выше статьей.

presentations/bluehat2023-mdowd-final.pdf at main · mdowd79/presentations

Contribute to mdowd79/presentations development by creating an account on GitHub.

github.com

 

[Desoxyn]

weaver спасибо за (довольно качественный, к слову) перевод! Парни, может его и вынесите в стартпост, дабы зашедшим в тему не пришлось до него листать? Многие полезут сразу на ориг. статью, начнут переводить сами, а перевод - вот же он ))) Ну или это я один такой слоупок, половину со скрипом уже прочитал с первоисточника, параллельно читая камменты тут, и долистал до перевода в итоге

обсидиан у тебя это корень навигации(он ведь может скриты запускать ```run-batch c:\.....``` да и вообще много что может)

Whisper обсидиан - это

Obsidian - Sharpen your thinking

The free and flexible app for your private thoughts.

obsidian.md

Obsidian.md

Obsidian.md has 13 repositories available. Follow their code on GitHub.

github.com

?
Если он, то спасибо за наводку. Из твоего сообщения о нем узнал, это то, что я оч долго искал походу (отбривая аналоги с пренебрежительным eблом). Мне для роадмап по таргетам, проектов и инфы по ним, консолидации результатов в графы связей, заметок, сопутствующих таргетам инструментов/cve/скриптов, планирования - да это просто незаменимый инструмент! Это лучшее, что я узнал за сегодняшний день ))) +++

 

[Whisper]

weaver спасибо за (довольно качественный, к слову) перевод! Парни, может его и вынесите в стартпост, дабы зашедшим в тему не пришлось до него листать? Многие полезут сразу на ориг. статью, начнут переводить сами, а перевод - вот же он ))) Ну или это я один такой слоупок, половину со скрипом уже прочитал с первоисточника, параллельно читая камменты тут, и долистал до перевода в итоге


Whisper обсидиан - это

Obsidian - Sharpen your thinking

The free and flexible app for your private thoughts.

obsidian.md

Obsidian.md

Obsidian.md has 13 repositories available. Follow their code on GitHub.

github.com

?
Если он, то спасибо за наводку. Из твоего сообщения о нем узнал, это то, что я оч долго искал походу (отбривая аналоги с пренебрежительным eблом). Мне для роадмап по таргетам, проектов и инфы по ним, консолидации результатов в графы связей, заметок, сопутствующих таргетам инструментов/cve/скриптов, планирования - да это просто незаменимый инструмент! Это лучшее, что я узнал за сегодняшний день ))) +++

Обсидиан это связывание инфы между собой и навигация по этой базе знаний, для изучения\планирования любой новой темы использовать надо майндмапинг(mindmapping), раскладываешь объект изучения на карте памяти, потом уже прикрепляешь к базе знаний. По обсидиану стоит посмотреть на самые популярные плагины. По майндмапингу прочитать хотя бы бегло что то из книг этого парня https://ru.wikipedia.org/wiki/Бьюзен,_Тони. Это все в куче дает такой буст о котором говорят - game changer. Карты памяти важнее они инструмент познания и планирования, обсидиан это удобный архив с плагинами. Научится эффективно использовать все это с пол пинка не выйдет, это как новый способ думать.

 

[Desoxyn]

Научится эффективно использовать все это с пол пинка не выйдет, это как новый способ думать.

Я в отпуске, у меня море ... времени Уже изучаю.
Еще чуть оффтопа: опыт в структурировании инфы (в т.ч. "некий" опыт администрирования реляционных субд, что само по себе предполагает представление и предоставление доступа к взаимосвязанным элементам информации) у меня имеется. Многие вещи я могу у себя в голове "визуализировать" на , хз как сформулировать - интуитивном уровне, который будет мало понятен другим людям. То же самое происходит и в работе или при пентесте. Потому, думаю, мне не надо будет ознакамливаться с трудами по экспериментальной психологии, чтобы делать некоторые вещи "по-другому", в рамках своих представлений. Следовательно, освоить инструмент не составит труда, как и все остальные софты, которые помогают свои "инновационные" подходы и взгляды на вещи "разложить по полкам". Это не новый способ думать, это просто помощник в оформлении и представлении своих идей и связанной с ними сопроводительной информации, как по мне. Не более.

 

[Whisper]

Я в отпуске, у меня море ... времени Уже изучаю.
Еще чуть оффтопа: опыт в структурировании инфы (в т.ч. "некий" опыт администрирования реляционных субд, что само по себе предполагает представление и предоставление доступа к взаимосвязанным элементам информации) у меня имеется. Многие вещи я могу у себя в голове "визуализировать" на , хз как сформулировать - интуитивном уровне, который будет мало понятен другим людям. То же самое происходит и в работе или при пентесте. Потому, думаю, мне не надо будет ознакамливаться с трудами по экспериментальной психологии, чтобы делать некоторые вещи "по-другому", в рамках своих представлений. Следовательно, освоить инструмент не составит труда, как и все остальные софты, которые помогают свои "инновационные" подходы и взгляды на вещи "разложить по полкам". Это не новый способ думать, это просто помощник в оформлении и представлении своих идей и связанной с ними сопроводительной информации, как по мне. Не более.

В случае с майнд мапингом не все так просто, там желательно знать теорию иначе что то внешне похожее на майнд маппинг будет совсем не майнд мапингом.
Но в кратце суть такова что ты разбираешь тему на то что будет служить тебе триггерами, имея перед глазами много триггеров и связей между ними ты в кратковременную память помещаешь гораздо большее количество сущностей чем это обычно бывает(те самые 5-7 одновременных объектов). Так что предполагая что есть что, ты попадаешь в когнитивное искажение под названием "эффект установки" , попробуй не выдумывать и не предполагать(а предположения очень быстро и незаметно становятся убеждениями на пустом месте) а просто ознакомится с материалом на который было потрачено много сил, времени, исследований.

 

[weaver]

Говоря про визуализацию кода, есть один интересный проект scitools.com который позволяет строить разные графики итд

Вот пример, это карта браузера firefox (SpiderMonkey)

weaver спасибо за (довольно качественный, к слову) перевод! Парни, может его и вынесите в стартпост, дабы зашедшим в тему не пришлось до него листать?

Проблема в том, что посты добавляются по дате публикации. Поэтому вытащить мой мост наверх не получится. Разве, что отдельной темой сделать.... Пока оставлю как есть.

upd: добавили линк на статью в старт посте.

 

[MaFio]

По обсидиану стоит посмотреть на самые популярные плагины.

Отличная наводка, перемещаю карты с Miro на Обсидиан — то, что нужно. В Miro не хватало связки с заметками и базой знаний.
Как синхронизируешь данные между устройствами?

 

[xvonfers]

Вышла статья от Maor Shwartz(@malltos92) "The Supply Chain is Fine™" про текущее состояние и будущие тенденции рынка уязвимостей и эксплойтов, с фокусом на избытке исследователей, конкуренции, регуляторных вызовах, изменениях в цепочке поставок(Supply Chain) и стратегиях выживания для специалистов в условиях сжатия рынка.

1. Тренды рынка (2024 - 2025)

• Избыток предложения: число исследователей и групп, занимающихся продажей уязвимостей, растет, что приводит к переизбытку предложений на рынке. В результате цены на эксплойты снижаются, особенно для уязвимостей общего назначения.
• Сжатие рынка: количество E2E компаний (предоставляющих полный цикл от обнаружения до эксплуатации уязвимостей) уменьшается. Это усиливает конкуренцию за крупные заказы, особенно государственные.
• Консолидация: мелкие исследовательские группы сталкиваются с банкротствами, в то время как более крупные игроки участвуют в слияниях и поглощениях, укрепляя свои позиции.

2. Классификация исследовательских групп
Исследовательские группы делятся на три основные категории, каждая из которых имеет свои особенности:

• Исследовательские группы, поддерживаемые правительством: исследовательская группа финансируется конкретным правительством, которое, в свою очередь, определяет список целей. Доступ ко всем материалам предоставляется только этому конкретному клиенту. В некоторых случаях исследователи, работающие в исследовательских группах такого типа, не знают личности заказчика и того факта, что они работают на (иностранное) правительство.
• Цепочка поставок для E2E компаний: поскольку комплексные компании борются с регулированием, негативной прессой и судебными исками, исследовательские группы пытаются отказаться от работы с комплексными компаниями. В результате были открыты комплексные компании.
  исследовательские группы пришли к выводу, что основная цель состоит в том, чтобы предоставить уязвимости конечной компании, которая их финансирует, или предоставить товары потенциальным клиентам в качестве “дополнительной” услуги. Подобно “исследовательским группам, поддерживаемым правительством”, в некоторых случаях исследователи, работающие в исследовательских группах такого типа, не знают личности заказчика и того факта, что они работают в E2E компании.
• Специализированные исследовательские компании: исследовательские группы, которые сосредоточились на нетрадиционных 1-click решениях - в большинстве случаев, компании такого типа, ориентированные на 0-click. К характеристикам исследовательской группы такого типа относятся небольшая команда, высокая стоимость, высокий риск неудачи и ограниченный доступ к клиентам.
• Исследовательские группы широкого спектра: традиционные исследовательские группы, работающие над широким спектром исследовательских проектов, таких как 1-click, 0-click, wireless spectrum и все, что между ними.
• Оппортунистические: компании, которые имеют доступ к клиенту, обычно государственной организации, и нанимают исследователей на основе платных результатов проекта / стоимости +.

3. Вызовы для исследователей
Работа в этой сфере сопряжена с рядом трудностей:

• Война за таланты: зарплаты достигают $1kk+ (по крайней мере, на бумаге), но стабильность доходов зависит от выполнения жестких KPI. Невыполнение целей может привести к потере бонусов или работы.
• Риски перехода: конкуренты активно переманивают специалистов, обещая "золотые горы". Однако такие предложения могут привести в компании с высокой текучкой кадров и нестабильностью.
• Смещение фокуса: заказчики, особенно правительства, требуют высокоточных и проверенных эксплойтов(стабильных).

4. Советы для исследователей
Чтобы преуспеть в условиях жесткого рынка, стоит придерживаться следующих рекомендаций:

• Специализация: сосредоточиться на нишевых целях, таких как LPE в редких системах, вместо массовых векторов, которые теряют ценность из-за насыщения рынка.
• Выбор работодателя: отдавать предпочтение крупным, стабильным группам с проверенной репутацией и долгосрочными контрактами. Это снижает риски и обеспечивает предсказуемость доходов.
• Избегание рисков: осторожнее с государственными проектами и E2E компаниями, где регуляторные и этические ограничения могут создавать дополнительные сложности.

5. Геополитика и регуляции
Глобальные факторы также влияют на рынок:

• Экспортный контроль: некоторые страны, например Израиль, ужесточают правила передачи знаний и технологий, что усложняет международное сотрудничество.
• Новые игроки: страны вроде Японии начинают инвестировать в собственные кибер-возможности, что увеличивает конкуренцию и открывает новые рынки.

6. Прогнозы на будущее

• Сдвиг в госзакупках: ожидается рост долгосрочных контрактов с правительствами и сокращение разовых сделок.
• Рост госинвестиций: новые страны вступают в игру, усиливая конкуренцию и увеличивая спрос на качественные эксплойты.
• Коррекция зарплат: "гарантированные" бонусы будут сокращаться, а акцент сместится на реальные результаты и эффективность.

Предыдущие публикации от Maor Shwartz:

• The boom, the bust, the adjust and the unknown
• The boom, the bust and the adjust
• A new year, a new challenge

 

[weaver]

Вышла статья от Maor Shwartz(@malltos92) "The Supply Chain is Fine™" про текущее состояние и будущие тенденции рынка уязвимостей и эксплойтов, с фокусом на избытке исследователей, конкуренции, регуляторных вызовах, изменениях в цепочке поставок(Supply Chain) и стратегиях выживания для специалистов в условиях сжатия рынка.

1. Тренды рынка (2024 - 2025)

• Избыток предложения: число исследователей и групп, занимающихся продажей уязвимостей, растет, что приводит к переизбытку предложений на рынке. В результате цены на эксплойты снижаются, особенно для уязвимостей общего назначения.
• Сжатие рынка: количество E2E компаний (предоставляющих полный цикл от обнаружения до эксплуатации уязвимостей) уменьшается. Это усиливает конкуренцию за крупные заказы, особенно государственные.
• Консолидация: мелкие исследовательские группы сталкиваются с банкротствами, в то время как более крупные игроки участвуют в слияниях и поглощениях, укрепляя свои позиции.

2. Классификация исследовательских групп
Исследовательские группы делятся на три основные категории, каждая из которых имеет свои особенности:

• Исследовательские группы, поддерживаемые правительством: исследовательская группа финансируется конкретным правительством, которое, в свою очередь, определяет список целей. Доступ ко всем материалам предоставляется только этому конкретному клиенту. В некоторых случаях исследователи, работающие в исследовательских группах такого типа, не знают личности заказчика и того факта, что они работают на (иностранное) правительство.
• Цепочка поставок для E2E компаний: поскольку комплексные компании борются с регулированием, негативной прессой и судебными исками, исследовательские группы пытаются отказаться от работы с комплексными компаниями. В результате были открыты комплексные компании.
  исследовательские группы пришли к выводу, что основная цель состоит в том, чтобы предоставить уязвимости конечной компании, которая их финансирует, или предоставить товары потенциальным клиентам в качестве “дополнительной” услуги. Подобно “исследовательским группам, поддерживаемым правительством”, в некоторых случаях исследователи, работающие в исследовательских группах такого типа, не знают личности заказчика и того факта, что они работают в E2E компании.
• Специализированные исследовательские компании: исследовательские группы, которые сосредоточились на нетрадиционных 1-click решениях - в большинстве случаев, компании такого типа, ориентированные на 0-click. К характеристикам исследовательской группы такого типа относятся небольшая команда, высокая стоимость, высокий риск неудачи и ограниченный доступ к клиентам.
• Исследовательские группы широкого спектра: традиционные исследовательские группы, работающие над широким спектром исследовательских проектов, таких как 1-click, 0-click, wireless spectrum и все, что между ними.
• Оппортунистические: компании, которые имеют доступ к клиенту, обычно государственной организации, и нанимают исследователей на основе платных результатов проекта / стоимости +.

3. Вызовы для исследователей
Работа в этой сфере сопряжена с рядом трудностей:

• Война за таланты: зарплаты достигают $1kk+ (по крайней мере, на бумаге), но стабильность доходов зависит от выполнения жестких KPI. Невыполнение целей может привести к потере бонусов или работы.
• Риски перехода: конкуренты активно переманивают специалистов, обещая "золотые горы". Однако такие предложения могут привести в компании с высокой текучкой кадров и нестабильностью.
• Смещение фокуса: заказчики, особенно правительства, требуют высокоточных и проверенных эксплойтов(стабильных).

4. Советы для исследователей
Чтобы преуспеть в условиях жесткого рынка, стоит придерживаться следующих рекомендаций:

• Специализация: сосредоточиться на нишевых целях, таких как LPE в редких системах, вместо массовых векторов, которые теряют ценность из-за насыщения рынка.
• Выбор работодателя: отдавать предпочтение крупным, стабильным группам с проверенной репутацией и долгосрочными контрактами. Это снижает риски и обеспечивает предсказуемость доходов.
• Избегание рисков: осторожнее с государственными проектами и E2E компаниями, где регуляторные и этические ограничения могут создавать дополнительные сложности.

5. Геополитика и регуляции
Глобальные факторы также влияют на рынок:

• Экспортный контроль: некоторые страны, например Израиль, ужесточают правила передачи знаний и технологий, что усложняет международное сотрудничество.
• Новые игроки: страны вроде Японии начинают инвестировать в собственные кибер-возможности, что увеличивает конкуренцию и открывает новые рынки.

6. Прогнозы на будущее

• Сдвиг в госзакупках: ожидается рост долгосрочных контрактов с правительствами и сокращение разовых сделок.
• Рост госинвестиций: новые страны вступают в игру, усиливая конкуренцию и увеличивая спрос на качественные эксплойты.
• Коррекция зарплат: "гарантированные" бонусы будут сокращаться, а акцент сместится на реальные результаты и эффективность.

Предыдущие публикации от Maor Shwartz:

• The boom, the bust, the adjust and the unknown
• The boom, the bust and the adjust
• A new year, a new challenge

Объединил твое сообщение с общей темой.

• Смещение фокуса: заказчики, особенно правительства, требуют высокоточных и проверенных эксплойтов(стабильных).

Стабильным эксплойтом считается если у него стабильность хотя бы 95% т.е. от 95 и выше к 100% . Тот же crowdfense иногда выкладывает срочные заказы, так вот там, был заказ на LPE в iOS, предлагали 500к$ за эксп и он должен был быть стабильным от 95% и выше такие дела.