Новая рубрика #обзор_книги.
Хакинг. Искусство эксплойта
Автор: Джон Эриксон
Автор книги не учит применять известные эксплойты, а объясняет их работу на примере ОС Linux🖥
Вначале читатель знакомится с основами программирования на языках C, ассемблере и языке командной оболочки, учится исследовать регистры процессора с помощью отладчика GDB. А усвоив материал, можно приступать к хакингу - перезаписывать память с помощью переполнения буфера, получать доступ к удаленному серверу, скрывая свое присутствие, и перехватывать соединения TCP 🥷
👨🏫 Материалы книги я активно использовал в учебном процессе, когда рассказывал про переполнение буфера в стеке. На занятии показывал код примера на Си и просил студентов объяснить, как он работает и в чем там уязвимость 🤔 Далее вместе думали, как эту уязвимость пропатчить 🤓
#заметки_преподавателя #задание
Хакинг. Искусство эксплойта
Автор: Джон Эриксон
Автор книги не учит применять известные эксплойты, а объясняет их работу на примере ОС Linux
Вначале читатель знакомится с основами программирования на языках C, ассемблере и языке командной оболочки, учится исследовать регистры процессора с помощью отладчика GDB. А усвоив материал, можно приступать к хакингу - перезаписывать память с помощью переполнения буфера, получать доступ к удаленному серверу, скрывая свое присутствие, и перехватывать соединения TCP 🥷
#заметки_преподавателя #задание
Please open Telegram to view this post
VIEW IN TELEGRAM
Please open Telegram to view this post
VIEW IN TELEGRAM
Почему в вузах преподают теорию? 🤔
С точки зрения преподавателя причин несколько:
1️⃣ не требуется предварительная подготовка студентов (входные знания не имеют значения);
2️⃣ изредка добавляются новые теоремы (леммы, аксиомы).
Приведу пример из жизни👨🏫
📎 Мне нравилось рассказывать студентам про модели Харрисона–Руззо–Ульмана (1976 год) и Белла–ЛаПадулы (1975 год). Стройное доказательство и несколько простых формул. В качестве задания можно вызывать студентов к доске, чтобы они самостоятельно доказали очередной тезис. Сказка, а не занятие!🕺
📎 С другой стороны - техническая тема переполнения буфера в стеке (пример кода), но у нее уже есть порог входа. Для понимания необходимо: знать язык Си (писать на нем программы👨💻 ), разбираться в командах языка ассемблера, хотя бы на уровне этой книги, понимать про работу с памятью. А если студенты этого не изучали или "проходили"? Тогда мое прекрасное занятие с демонстрацией "хака" переполнения не поймут. Увы 😒
Очевидно, что преподавателю захочется выбрать тему про модели безопасности и вкладывать свои силы туда🧐
#заметки_преподавателя
С точки зрения преподавателя причин несколько:
1️⃣ не требуется предварительная подготовка студентов (входные знания не имеют значения);
2️⃣ изредка добавляются новые теоремы (леммы, аксиомы).
Приведу пример из жизни
📎 Мне нравилось рассказывать студентам про модели Харрисона–Руззо–Ульмана (1976 год) и Белла–ЛаПадулы (1975 год). Стройное доказательство и несколько простых формул. В качестве задания можно вызывать студентов к доске, чтобы они самостоятельно доказали очередной тезис. Сказка, а не занятие!
📎 С другой стороны - техническая тема переполнения буфера в стеке (пример кода), но у нее уже есть порог входа. Для понимания необходимо: знать язык Си (писать на нем программы
Очевидно, что преподавателю захочется выбрать тему про модели безопасности и вкладывать свои силы туда
#заметки_преподавателя
Please open Telegram to view this post
VIEW IN TELEGRAM
План учебного курса по основам современной кибербезопасности 👨🏫
Кибербез включает множество принципов, которые необходимо понимать начинающим специалистам, но в вузах обычно рассказывают только про триаду "конфиденциальность, целостность и доступность" (КЦД), которая возникла в 1970-ые и до сих пор вызывает дискуссии в научных кругах😱
В чем причина? Современный кибербез настолько многогранен, что преподавателям сложно уложить его ключевые принципы в один связный курс, отсюда в вузах изучается отдельно "бумажная" безопасность, оценка рисков, сетевая безопасность и безопасная разработка🙈
Что делать? Рик Ховард утверждает, что существует абсолютный базовый принцип кибербезопасности (стратегия, цель): "Снижение вероятности существенного ущерба вследствие киберинцидента в течение определенного времени" (про результативный кибербез писал ранее)😎
Из этого принципа логически вытекают5️⃣ подстратегий ("что?"), для реализации которых применяется набор тактик ("как?"). Подстратегии (на рисунке) непосредственно способствуют снижению вероятности существенного ущерба вследствие киберинцидента 🤔
Например, подстратегия, базирующаяся на базовом принципе, может заключаться в пресечении всех действий известных злоумышленников. Промежуточной целью может быть выявление в нашей сети любой активности группы хактивистов. Тактика может заключаться в развертывании всех средств предотвращения и обнаружения, связанных с тактиками, методами и процедурами группы, перечисленными в базе знаний MITRE ATT&CK 🥷
На основе предложенной Риком схемы описания стратегии (базового принципа), подстратегий и тактик можно выстроить основу курса по современному кибербезу👨🏫
#заметки_преподавателя
Кибербез включает множество принципов, которые необходимо понимать начинающим специалистам, но в вузах обычно рассказывают только про триаду "конфиденциальность, целостность и доступность" (КЦД), которая возникла в 1970-ые и до сих пор вызывает дискуссии в научных кругах
В чем причина? Современный кибербез настолько многогранен, что преподавателям сложно уложить его ключевые принципы в один связный курс, отсюда в вузах изучается отдельно "бумажная" безопасность, оценка рисков, сетевая безопасность и безопасная разработка
Что делать? Рик Ховард утверждает, что существует абсолютный базовый принцип кибербезопасности (стратегия, цель): "Снижение вероятности существенного ущерба вследствие киберинцидента в течение определенного времени" (про результативный кибербез писал ранее)
Из этого принципа логически вытекают
Например, подстратегия, базирующаяся на базовом принципе, может заключаться в пресечении всех действий известных злоумышленников. Промежуточной целью может быть выявление в нашей сети любой активности группы хактивистов. Тактика может заключаться в развертывании всех средств предотвращения и обнаружения, связанных с тактиками, методами и процедурами группы, перечисленными в базе знаний MITRE ATT&CK 🥷
На основе предложенной Риком схемы описания стратегии (базового принципа), подстратегий и тактик можно выстроить основу курса по современному кибербезу
#заметки_преподавателя
Please open Telegram to view this post
VIEW IN TELEGRAM