Скорбная Лиса

Что такое SIEM, если по-простому SIEM(Security Information and Event Management) - это система, которая анализирует события на информационных ресурсах компании, смотрит их логи, находит закономерности, выстраивает цепочки, чтобы вовремя обнаружить подозрительную активность и успеть предпринять меры для блокировки атак. Нормально, если вы 3 раза пытаетесь залогиниться в винде, 2 раза из которых забыли сменить раскладку. Нормально, если это происходит в пятый или даже в десятый раз с интервалом в несколько секунд. Но если вы дрочитесь по 30 раз в секунду в попытках залогиниться, на 1001-й раз за минуту в логах отображается успешный вход, это определенно повод поволноваться. Вот как раз SIEM распознает это как подозрительную активность, передаст информацию о том, что происходит с вашим аккаунтом SOC-аналитикам, чтобы они блокнули вашу учетку к херам от греха подальше. Для справки: SOC (Security Operation Center) - это толпа инженеров разной квалификации, которые надрессированы работать с SIEM-системами и в идеальном случае знают, как реагировать на атаки, как распознавать ложные сработки этой системы и как неистово выебываться в IT-комьюнити. Злой рок, в конечном счете, привел меня к необходимости самостоятельно разобраться с халявными решениями SIEM. Коммерческие лицензии, надо сказать, стоят просто нереальных денег, я до стольки еще считать не научилась. Не на пустом месте, конечно. Однако, жизненный путь тернист, а судьба неудачника - бесплатный цирк для богов. И вот я знакомлюсь с Wazuh - SIEM-система с открытым исходным кодом. Вертится она у меня на обычной Ubuntu 24.4.5 TSL - виртуалочке,которая автозапускается вместе с виндой. Выглядит приятно, а при базовой настройке правил корреляции даже неплохо так отрабатывает. Есть 6 гигов ОЗУ, а на диске надо выделить около 80. За 3 месяца они будут забиты и придется очищать. Ну, начнем с настройки. Wazuh на сегодняшний день стабильно работает на Ubuntu 24.4.0 версии. На 26-й может отрыгнуть. Так что, я решила не рисковать, нервов и так уже не осталось и поставила эту вундервафлю по гайду от разрабов. Работаю с Oracle, так что для VMWare-поклонников инструкции будут немного другими. Важно на виртуалке выделить не менее 6 гигов оперативки (6144 GiB) и не менее 4 ядер процессора. Я ставлю Wazuh на ноутбук (бегите, я бешеный), потому у меня нет необходимости в доступности SIEM снаружи, зато есть необходимость не дрочиться с постоянным редактированием конфигов из-за динамичного ip. Так что я сразу же даю виртуалке 2 сетевых атаптера. Один NAT, второй "Виртуальный адаптер - VirtualBox Host-Only Ethernet Adapter" и тараканю править конфигурации Через ip a узнаем имена виртуального адаптера. Там будет, скорее всего enp0s8 без адреса. Пугать это не должно. Адрес назначается легче легкого (если б не нейросеть, то ебалась бы 3 дня в попытке разобраться, какого хера просиходит и почему сраный ip не появляется) . Создаем файл настроек: sudo nano /etc/netplan/60-hostonly.yaml и внутри вводим это: network: version: 2 ethernets: enp0s8: addresses: [192.168.xx.xx/24] * *Вместо xx поставь че-нибудь свое. По типу 67.67 Важное замечание: Отступы - это не TAB, это строго 2 пробела. Отступы важны. Они должны быть ИМЕННО ТАКИМИ, И НИКАКИМИ ДРУГИМИ. Применяем настроечки: sudo chmod 600 /etc/netplan/60-hostonly.yaml sudo netplan apply Проверяем, что у enp0s8 появился тот адрес, который назначили через ip a Ну, собственно, теперь ставим wazuh. Ставится одной командой: curl -sO https://packages.wazuh.com/4.14/wazuh-install.sh && sudo bash ./wazuh-install.sh -a В конце будут креды. Че т типа такого: User: admin Password: какой-то_длинный_пароль Их надо сохранить. Это креды от веб-панели. Если пароль "потеряется", то можно его опять достать: sudo tar -O -xvf wazuh-install-files.tar wazuh-install-files/wazuh-passwords.txt В Веб-панель заход стандартный: https://192.168.xx.xx Логин-пароль Выше. Дальше надо будет поставить агента (херню, которая будет собирать все ваши события с тачки) В менюшке слева ищете Agents Managers -> Summary. Справа "Deploy new agent" Дальше по форме надо заполнить параметры: Deploy new agent Select the package: Windows, MSI 32/64 bits (если винда, а так там 3 варианта ОС) Server address: 192.168.xx.xx; Agent name (в дополнительных настройках): любое имя латиницей без пробелов; группа default. Сгенерируется 2 команды. Нужна та, которая начинается с Invoke-WebRequest (для винды). Для Linux начинается с wget. Эту команду надо запихнуть в командную строку. В моем случае в PowerShell. Агент утсановится, а дальше для виндв надо прописать: NET START Wazuh Это служба только что загруженного агента. Если косяков по пути нигде не было, то в веб-панели появится созданный агент с зеленой лампочкой в состоянии Active Протестить работу можно, создав и удалив пользователя. В новорожденной SIEM появятся события с уровнем угрозы >7 net user hacker Test12345! /add net user hacker /delete Отобразится хрень в Treat Intellegence (левая менюшка) -> Treat Hunting -> Events. Далее надо очень плотно и потно настраивать эту систему. В целом, она может анализировать любые логи, какие захотите ей кормить в режиме "онлайн". Главное, суметь настроить. Для отслеживания состояния компа лучше сразу качнуть Sysmon (бесплатная утилита Microsoft, которая записывает подробности о том, что происходит в системе: какая программа запустилась, кто её запустил, куда она подключается по сети) и начать кастовать правила. Когда нормально корреляция будет настроена, можно сделать интеграцию с почтой и телегой, что б туда сливались особо серьезные алерты. В целом, штука классная, потому что бесплатно, без лишней мозгодрочки, помогает отслеживать события в системе, смотреть, когда, где, куда именно и какой именно, был скачан майнер. Также он через Vulnerability Detection помогает отслеживать, какие проги надо обновить и какие уязвимости есть в текущих версиях, ибо в него подружается БД CVE-шек. Также можно найти какой-нибудь опенсурсный WAF, кидануть в него трафик своего сайта и слить логи в этот же Wazuh и даже отслеживать события ИБ на уровне веб-приложения. Выглядит, опять же, красиво: Да, конечно, в плане установки на ноутбук сразу возникает вопрос: а почему не обычное АВПО? Не касперский, не тот же защитник виндовс? Потому что пошли они нахуй, вот почему. Потому что в АВПО свои правила, свои сценарии, и они самовольно удаляют или блокируют файлы. А в SIEM можно посмотреть самостоятельно и самолично принять решение, надо там что-то удалять или нет. Можно написать свои правила о том, что считать угрозой, а что нет. А еще это бесплатно и без геморройных подписок, рекламы и т.д. и т.п. Ссылка на оф документацию: https://documentation.wazuh.com/ Всем six seven

Чел, мы всем админ составом уже над тобой поугорали. Ты несешь дичь и, совершенно очевидно, не умеешь читать. За упоминание моей матери даю бан. Всего хорошего )

Добрый вечер) Ну вот мы и снова встретились. Вам уже множетсво раз разъяснили за все нарушения в чатах. В первом пункте правил указано, что за нарушение УК РФ и РБ выдается перманентный бан. УК РФ и РБ был нарушен путем публичной демонстрации нацистской символики в Вашем профиле. Более того, Вы уже были заблокированы в одном из чатов ранее за отправку сообщения, содержащего нацистскую сиволику. В пункте 3.1.3 правил отдельно обозначен запрет на подобное. Наказание - бан без предупреждения, однако Вам оказали снисхождение и все же предупредили, что выебываться лишний раз не стоит, но Вы, очевидно, не оценили. Также был нарушен пункт 3.2. Вы хамите и упоминаете родственников пользователей чата в явной и непотребной форме. Учитывая, что все мы люди и можем вспылить, отдельно за этот пункт не наказывают, но учитывая все остальные Ваши прегрешения, он летит в догонку "вишенкой на торте", так сказать. Также Вы по-хамски относитесь к главным админам этого чата. (пункт 3.6.1 правил), пишете в личные сообщения, пишете мне "готовься, дырочка". Это просто возмутительно, я не могу такое стерпеть. Я до глубины души оскорблена, унижена, моя честь запятнана, а чувства растоптаны. После Вашего "готовься, дырочка" я решила, что это не просто банальное неуважение, а неуважение вообще ко всем женщинам, мужчинам, человечеству в целом, так что это даже не столько относится к нарушению правил, сколько раскрывает Вас как токсичного недоговороспособного человека, когнитивные функции которого искажены нацистской пропагандой. Надеюсь, причины бана ясны и прозрачны

Да, второе пространство - это Second Space. Разберешься, как начнешь пользоваться. Ни один гайд не сравнится с "установи и заставь работать". ИИ тебе в помощь)

Небольшая инструкция по тому, как бесплатно и легко подключить обход всех ограничений на ПК. Подойдет и Windows, и Linux. Часть 1. Клиент. (приложение, которое будет использоваться для подключения) Из всего, что я в последнее время перебирала, лучшим клиентом для добавления подписок, я считаю Throne. Это переделанный nekobox с вшитыми профилями маршрутизации, в которых заранее настроено туннелирование под ру-сегмент. Ссылка на github: https://github.com/throneproj/Throne Справа ищете Realises: Разворачиваете Assets. Пингвиноиды и без меня знают, что им качать. Для окнопоклонников (Windows) выделила прямоугольником универсальный файл установщика: Ура, установка прошла успешно (если вы не бройлер IQ с 7-1000). если бройлер, пишите в личку, помогу) Вот что вы видите: Теперь можно добавить подписку. Правой кнопкой мыши по "Default" Раскроется меню. В нем необходимо выбрать "Добавить новую группу". В открывшемся окне меняем тип со "Стандартный" на "Подписка". Откроется окошко, куда можно добавить URL подписки: !!!!!ВНИМАНИЕ!!!!!! Если берете подписку с github и аналогов вроде gitverse, то надо вставлять ссылку на raw. То есть, не просто URL из браузера копипастнуть, а взять именно RAW-хрень. Нажать на нее, откроется чистый и непорочный html: И вот уже ссылку на raw копируем: Вставляем ее сюда в Throne: Жмем ОК Готово. Подписка добавлена. Она будет видна в списке групп справа от Default Обноволять подписку через Ctrl+U или Правой кнопкой мыши нажать на группу, там откроется менюшка, последний пункт - "Обновить подписку" Часть 2. Эффективное использование Теперь можно пользоваться. Через Ctrl+A выделяем все подключения, доступные в подписке, окроются опции, там есть "Тест задержки выбранного профиля". Жмем. Фильтровать по пропускной способности можно, нажав вот сюда: Чтобы подключить туннелирование, необходимо прожать "Маршрутизация": Откроется меню Надо найти "Скачать профили" и выбрать Bypass Russia (остальные тоже можно скачать, если интересно потестить). Если опять прожать "Маршрутизация" и выбрать профиль Bypass Russia, то ру-сегмент будет спокойно открываться, но при этом и блокировки будут обходиться, что избавляет от бесонечного жонглирования "вкл-выкл впн" Ну, собственно, это все. Задавайте вопросы, пишите, если необходима помощь. Сделаем же интернет доступным, свободным и бесплатным вместе.

Мне финал зашел. Вполне себе логично все и адекватно. Сериал 11/10

Необходимо закрыть приложение, очистить кэш приложения, а затем перезагрузить страницу с очисткой кэша. На данный момент эти сервисы не заблоканы в рунете, так что подключение через обходы/впн не требуется

В Китае еще нормально. Там достаточно легко по сравнению с РФ обходить блокировки

Учитывая последние новости про расследование и магическое усовершенствование директив на ТСПУ, из-за которых пришлось обновлять многие методики по генеру обходов, паранойя эта скорее здоровая.

Недавно от очень умного и доброго человека вышла статья на ХАБР, разоблачающая и окончательно доказывающая слежку национального мессенджера за трафиком. Однако, многие граждане РФии ужес столкнулись с настойчивыми рекомендациями, не предполагающими отказа, по установке мессенджера и регистрации в нем. Я, как добропорядочный гражданин, истинный патриот, влила в этот мессенджер все свои данные, протестила все его доступные функции, и вот что порекомендую. Лучше всего, конечно, поставить МАХ на другой телефон и сношать себе мозг. Но не у всех есть такая возможность + с двумя телефонами таскаться неудобно. Есть вариант попроще. Положи мессенджер в изолированное пространство. На Android это сделать очень просто в большинстве случаев. Для пользователей Samsung вообще придумали волшебную вещь под названием "Папка Knox". По сути, это вторая, полностью независимая система, которая никак не связана с основной. В ней можно создавать копии приложений и прятать их от основной системы. Логично, что принцип изоляции работает и наоборот. То есть, что лежит в папке Knox, не имеет доступа ни к фото, ни к особенным настройкам сети основной системы. Короче, положи МАХ в KNOX - и он не будет за тобой следить. Как сделать: в настройках найти Knox, настроить все пароли и доступа к ней добавить в нее МАХ, а лучше вообще все приложухи, связанные с гос.РФ выйти из Knox и удалить из основной системы все эти приложения Для пользователей Xiaomi / POCO / Redmi есть то же самое под названием Second Space. Это такая же изолированная среда с отдельными паролями и т.д. и т.п. Логика та же. Необходимо в настройках эту функцию найти, настроить, перекинуть туда все "следящие" приложения, а затем удалить эти приложения из основной системы. Для Huawei/Honor/Pixel / Android 15+: PrivateSpace Для OnePlus - Hidden Space. Эта функция также изолирует выбранные приложения от системного VPN. 2. На Iphone такого пространства нет. Но можно максимально ограничить МАХ внутри самого IOS: Чтобы приложение не имело доступа к данным (фото, контакты, геолокация, локальная сеть), используйте настройки конфиденциальности: Ограничение доступа к сети (Локальная сеть): Перейдите в Настройки -> Конфиденциальность и безопасность -> Локальная сеть и отключите переключатель для нужного приложения. Это изолирует его от других устройств в вашей Wi-Fi сети. Ограничение доступа к данным: В тех же Настройках -> Конфиденциальность и безопасность проверьте пункты: «Фото», «Контакты», «Геолокация» и запретите приложению доступ к ним. Запрет фоновой активности: Настройки -> Основные -> Обновление контента — отключите для приложения, чтобы оно не работало, когда вы его не используете. Дополнительная информация: в МАХ просто невозможно сделать нормальную фотку "на паспорт". Там используется именно то фото, которое было сделано в госуслугах при прохождении биометрии. Даже красивое лицо будет выглядеть убого. Потому, состройте рожу с учетом всех требований к такому фото, что б хотя бы можно было дико и адски кекнуть при ее просмотре.

Эта инструкция больше написана для новиопов, которые не умеют юзать запрет. На самом деле, этот инструмент достаточно мощный и гибко настраивается. Если тема будет востребована, то сделаю разбор всех файлов и папок, которые в нем есть и покажу, как настраивать доступ к чему угодно и самостоятельно исправлять, если он будет слетать.

Инструкция прописана на случай, если доступ опять снесут. РКН периодически попинывает Олега. Подозреваю, просто не понимают, что делать с ним и его ресурсами. К тому же, что доступно в МСК, не всегда доступно в регионах. О них тоже надо думать хотя бы иногда :D

@loks_365, придется ждать обновления Ямы

"Запрет - это самая большая свобода" © Мизулина Елена Борисовна Предупреждения: Работает исключительно на сайты, которые были зацензурированы силами РКН. Для получения доступа к сайтам, которые заблокировали забугорные гей-ниггеры из-за того, что не любят Россиюшку, надо пользоваться другими вариантами. Я пишу про исключительно бесплатную антицензуру. Если кто-то не способен купить вэ пэ эн, он не заслужил свободного интернета. Запрет работает только на ПК. В этой части никаких объяснений не будет. Исключительно пошаговая инструкция картиночками и редкими комментариями. Просто делай, как рассказано - показано, и все должно заработать. Преднастройка(ВНИМАНИЕ! ОБНОВЛЕНО!) Зайди в свой браузер. Зайди в настройки браузера. В Chrome: "Конфиденциальность и безопасность" -> Дополнительные настройки -> Использовать безопасный DNS-сервер (ВКЛЮЧИТЬ) -> Выбрать поставщика услуг DNS (из выпадающего списка выбрать либо CloudFlare, либо Google): В Mozilla (FireFox): "Приватность и защита" -> Долистать вниз до "Включить DNS через HTTPS, используя:" -> Отметить "Максимальную защиту" -> Выбрать поставщика (из выпадающего списка выбрать CloudFlare): Часть 1. Как скачать? Качать тут: https://github.com/Flowseal/zapret-discord-youtube Извлечь содержимое zip в отдельную папку. Часть 2. Че это за дичь? Почему так много файлов? Как это теперь запустить? Ничего не трогай, с этого момента читай внимательно. Делай ровно так, как написано, не пропускай шаги. Найди внизу файл service.bat. Запусти. Увидишь консольку с вариантами действий. На данном этапе тебя не ебет абсолютно ничего, кроме трех вещей: СНАЧАЛА НАДО ЗАПУСТИТЬ ТЕСТЫ. Нахуя? Да потому что в разных регионах будут работать разные варианты обхода, т.е. разные конфигурации. Более того, даже если сегодня работает один конфиг, завтра твой провайдер может эту лавочку прикрыть. И надо будет тестировать и искать, какой вариант будет работать сегодня. Видишь последнюю строчку "Select option (0-11)"? Вот тебя просят выбрать, что ты хочешь сделать. А хочешь ты запустить тесты. Так что надо написать 11 без пробелов, точек, скобочек и т.д. а после стукнуть Enter Откроется новое окно. не пугайся. Все так и надо. Тебя снова попросят выбрать. Пиши 1, затем жми Enter Далее будет вопрос, хочешь ты просканировать все конфиги по очереди, либо какие-то отдельные. При первом запуске точно выбирай "All Configs" Пиши 1, жми Enter Тестирование займет несколько минут. В конце будет ответ, какой из 11 конфигов самый быстрый и рабочий для твоего региона. Судя по ответу, самый крутой конфиг 3-й. Жми любую клавишу, окно закроется. Останется это, опять нажми любую клавишу, чтобы вернуться в "меню с действиями". ЧАСТЬ 3. Запуск Пиши 1, жми Enter. Появится список всех существующих вариантов обхода (конфигураций). Тесты определили, что лучший конфиг 3-й, потому его и выбирай. Пиши 3 - Жми Enter Конфиг запустится, ничего не трогай, пока не появится внизу вот такая штука: ПОДКЛЮЧЕНИЕ РЕСУРСОВ АПРЕЛЯ Недавно ресурсы апреля были прощены и возвращены народу РФ. Однако, как долго это вообще продлится, никто сказать не сможет. Если после включения запрета gokino.su и aprelteam.su все еще не работают, можно немного поколдовать. Ищем папку "lists" Внутри нее файл list-general.txt Листаем до конца и дописываем домены апреля: list-general.txt ... aprelteam.su gokino.su Сохранить - закрыть Теперь надо снова запустить запрет. То есть, запустить Install Service - выбрать 3-й вариант обхода, дождаться ответа, что все ок. Теперь ресурсы должны заработать. В целом, таким образом можно обходить любые ограничения, которые были наложены со стороны РКН. Достаточно просто прописать все домены, к которым нужен доступ. ЕСЛИ ВСЕ ПЕРЕТЫКАЛ УЖЕ И ВСЕ РАВНО НИЧЕГО НЕ РАБОТАЕТ Подожди немного. Некоторым конфигам нужно время, что б врезаться в сеть. Это обусловлено самой механикой обхода DPI. Технология работает не мгновенно, не как vpn. Она маскирует трафик и пакеты. Можешь перезагрузить браузер, попить чаек, постучать в бубен. Через 5 минут все заработает. Если все равно нет, проверь обновления запрета. Ну, я думаю, уже понятно, что надо напечатать 9 и прожать Enter. Если действительно надо обновиться, тебе будет предложено перейти на github. Там чуть ниже найдешь zip и rar файлики с обнолвенным пофикшенным запретом. ОБНОВЛЕНИЕ ФАЙЛА HOSTS ДЛЯ ВКЛЮЧЕНИЯ РАБОТЫ ТЕЛЕГРАММ НА ЗАПРЕТЕ Файл hosts — это системный текстовый документ без расширения, который содержит базу данных доменных имен и их IP-адресов. Когда вы вводите адрес сайта в браузере, компьютер сначала заглядывает в этот файл, и только потом обращается к глобальным DNS-серверам. Умные ребята из zapret-комьюнити составили файл со списком хостов, которые надо внести в этот файл, что б zapret заработал. откроется блокнот со списком хостов. их все надо скопировать (Ctrl+A -> Ctrl+C) потом надо открыть блокнот от имени администратора. НЕ ТОТ ФАЙЛ, КОТОРЫЙ АВТОМАТИЧЕСКИ ОТКРЫЛСЯ ЗАПРЕТОМ СО СПИСКО ХОСТОВ, А ИМЕННО САМ БЛОКНОТ ОТКРЫТЬ ОТ ИМЕНИ АДМИНИСТРАТОРА В ОТКРЫВШИЙСЯ ПУСТОЙ ФАЙЛ вставляем список хостов, которые скопировали ранее. Далее "Файл -> Сохранить как..." Путь для сохранения: C:\Windows\System32\drivers\etc после того как поменять "Текстовые документы" на "все файлы", появится список файлов без расширений, в числе которых будет "hosts". Жмем на него и сохраняем, соглашаясь со всем, что пишут. Проверяем, что все выглядит именно так, как надо: Все, теперь hosts свежий. Можно включать zapret. Телега летает.

Очередная подстава от очередной корпорации. Чего еще можно было ждать?