Атаки на LLM

– Введение в курс

– Введение в курс

– Джейлбрейки: ручные атаки и автоматические джейлбрейки

– Промпт-инъекции (prompt injections) и извлечение промпта (prompt extraction)

– «Контрабанда токенов» (token smuggling) и атаки на энергопотребление/быстродействие (sponge attacks)

– Token smuggling and sponge attacks

Защита LLM

– Почему нужно защищать LLM и как это делать

– Защита на уровне модели: выравнивание и «отучение» (unlearning)

– Защита на уровне промптов, систем и сервисов

– Набор инструментов для обеспечения безопасности LLM

Инфраструктура безопасности LLM

– Подходы к анализу безопасности LLM

– Безопасность LLM: примеры

– Безопасность LLM: дальнейшее изучение и краткие итоги курса

Введение

• Об авторе
• Цели курса
• Программа обучения
• Введение в цифровую криминалистику

Реагирование на инциденты

• Введение в цифровую криминалистику
• Этапы реагирования на инциденты
• Место цифровой криминалистики в полном цикле реагирования на инциденты

Практический разбор инцидента

• Топология сети и исходные данные сценария для дальнейшей отработки в ходе обучения
• Как работать в виртуальной лаборатории

Сбор цифровых улик

• Виды улик
• Как обеспечить целостность улик
• Лучшие практики по сбору улик
• Методы визуализации

Файловая система NTFS (New Technology File System – файловая система новой технологии)

• Основы файловой системы NTFS
• Использование временных меток из файла главной файловой таблицы $MFT (Master File Table – главная файловая таблица) в цифровой криминалистике
• Как анализировать журнал изменения номеров последовательных обновлений (Update Sequence Number)

Анализ «живой» системы

• Как проводить анализ функционирующей системы без её отключения

Артефакты Windows

• Как использовать различные артефакты Windows в интересах расследования для получения дополнительных зацепок и выводов

Анализ реестра

• Что такое реестр в ОС Windows
• Какие типы кустов реестра существуют
• Как просматривать ключи и значения реестра
• Соответствие каждого куста реестра его файлу в файловой системе

Анализ артефактов браузеров

• Как работают браузеры
• Артефакты браузеров
• Как эффективно анализировать следы веб-активности

Анализ артефактов электронной почты

• Структура системы электронной почты
• Компоненты электронной почты
• Почтовые клиенты

Introduction to Ghidra

– Ghidra overview
– Building Ghidra on Windows, macOS, Linux

Analysis workflow

– Introduction to the Metasploit sample
– Settings overview, configuring familiar controls
– Basic analysis workflow
– Using Data Type Manager to import type libraries

– Using Ghidra’s parser to import C headers

– Applying structure pointers

Working with types and pointers

– Working with linked lists and adjusting shifted pointers

– Analyzing code that uses PE header structures

– Introduction to scripting

Scripting API hashing

– Analyzing an API hashing algorithm with Ghidra

– Implementing an API hash analysis script in Python and Java

Library identification

– Introduction to the Mettle sample

– Using a library (.so file) to create a function identification database

– Using Ghidra’s headless mode to create a function identification database from an archive (.a) file

Structures and function pointers


– Introduction to the Calypso sample
– Studying capabilities related to structure pointers, such as automatic recognition of structure fields

– Tips and tricks for working with function pointers, such as applying API function signatures for them

Decompiler scripting

– Ghidra’s decompiler internals overview

– Advanced-level scripting: coding a stack string analysis script using knowledge of decompiler internals

Coding an analyzer 

– Learning to expand Ghidra’s capabilities using the Eclipse IDE

– Coding an API hash analysis extension for Ghidra

Введение

Основы синтаксиса YARA и рекомендации по созданию правил

Правила на основе строк

• Правило для поиска других правил
• Строки и базовые условия
• Поля структуры PE (Portable Executable — портативный исполняемый файл)

Создание эффективных правил

• Как писать хорошие правила
• Рекомендации по повышению производительности правил

Использование модулей YARA

• Библиотека PE в YARA
• Другие библиотеки YARA

Поиск новых образцов

Работа с VirusTotal Intelligence (VTI)

Шаблоны

• Изучение шаблонов
• Практические упражнения с группой Equation и Sofacy

Цифровые сертификаты, хэши импортов и следы разработчиков

Практические упражнения на примере Wild Neutron, Eye-Pyramid и других известных инцидентов

Вредоносные документы Office, формат OLE (Object Linking and Embedding — связывание и внедрение объектов)

Извлечение OLE файлов

Экспертные упражнения с YARA

Поиск образцов на основе реальных примеров: Freaky Shelly, Lazarus / Bluenoroff, Mibsun, Silverlight 0-day, Lotus Panda, Iced Turla

YarGen, автоматизация и немного магии

Использование YarGen для автоматизации

Основы Suricata

• Основная информация о сетевых протоколах
• Что такое сетевая система обнаружения вторжений (СОВ): принципы работы и основные функции
• Наиболее популярные СОВ и их отличия
• Полезные инструменты для анализа сетевого трафика

Основы написания правил

• Структура и синтаксис правил Suricata
• Основные ключевые слова
• Выбор оптимальных параметров для правила

Написание правил для протоколов HTTP (Hypertext Transfer Protocol — протокол передачи гипертекста)

• Особые ключевые слова для HTTP-протоколов
• Пошаговое создание правила
• Написание правил для HTTP-протокола на основе заданного трафика

Написание правил для протоколов DNS (Domain Name System — система доменных имён), TCP (Transmission Control Protocol — протокол управления передачей) и SSL/TLS (Secure Sockets Layer / Transport Layer Security — протоколы защиты каналов передачи данных)

• Основная информация о DNS, TCP и SSL/TLS
• Ключевые слова и рекомендации по написанию правил для этих протоколов
• Создание правил для DNS, TCP и SSL/TLS на основе заданного дампа трафика

Расширенные возможности Suricata

• Расширенные параметры правил, которые встречаются нечасто, но могут сильно помочь в некоторых случаях
• Выбор оптимальных параметров при написании правил на основе заданного дампа трафика

Обнаружение типичных атак

• Известные сетевые атаки и методы их обнаружения
• Создание правил для обнаружения типичных атак на основе заданного дампа трафика

Решение проблем

• Типичные проблемы при написании правил Suricata и способы их решения
• Как проверять производительность правил
• Как устранять ложные срабатывания
• Как создавать эффективные правила
• Решение типичных проблем
• Исправление ложных срабатываний