Всем привет. Рады видеть на канале, посвященном вопросам информационной безопасности. В связи с тем, что данная тема в настоящее время набирает обороты, мы просто не можем остаться в стороне.

Вот некоторые из тем, которым будет уделяться внимание:
✔️ #pentest (Penetration Testing) — тестирование на проникновение, представляющее собой один из методов оценки безопасности компьютерных систем или сетей средствами моделирования атаки злоумышленника.
✔️ #OSINT (Open Source INTelligence) — поиск, сбор и анализ информации, полученной из открытых источников. Как правило, этап тестирования на проникновение идёт после OSINT.
✔️ #redteam — наступательная сторона, использующая анализ защищенности в качестве конструктивной меры для оценки существующих процессов ИБ.
✔️ #blueteam — оборонительная сторона, целью которой является обеспечение защиты инфраструктуры.
✔️ #reverse (Reverse Engineering) — обратная разработка, представляющая собой исследование некоторого устройства или программы с целью понимания принципа работы.
✔️#bugbounty — все, что посвящено участию в Bug Bounty программах.
✔️ #CVE (Common Vulnerabilities and Exposures) — база данных общеизвестных уязвимостей информационной безопасности.
✔️ #poc (Proof of concept) — программное обеспечение, моделирующее работу эксплойта.
✔️ #news — тематические новости относительно сферы ИБ.
✔️ #incidentresponse (Incident Response) — все, что посвящено реагированию на инциденты.

Мы будем регулярно пополнять список хештегов для удобной навигации по каналу.

Вся информация предоставляется исключительно в образовательных целях и представляет собой субъективное мнение автора. Главная цель — сделать безопаснее всё, с чем вы имеете дело ежедневно: от личных и корпоративных данных до сетей и инфраструктур, которые администрируете и используете.

Не забывайте проходить опрос, который поможет сделать канал полезнее и информативнее.

Прочитав первый пост, у вас могли возникнуть некоторые вопросы. Для того, чтобы не путать #pentest, #redteam и #blueteam, давайте определимся с данными понятиями.

Настоящий pentest заключается в выявлении максимального числа уязвимостей и ошибок конфигурации за отведенное время, а также в их эксплуатации для определения уровня риска. При проведении pentest'а организации важно понимать, насколько процессы защиты эффективны и насколько хороши существующие защитные меры. Но поскольку pentest'ы ограничены и во времени, и по скоупу, они не позволяют получить полную картину.

Red Team в свою очередь является непрерывным процессом симуляции атак с целью оценки всех существующих процессов защиты организации и повышения осведомленности задействованных в этом процессе лиц.

Задачи команды Blue Team делятся на 4 области: Prevent (построение системы защиты от уже известных атак), Detect (выявление новых атак и обрабатка инцидентов), Respond (вырабатка ответных мер и политик реагирования
на выявленные инциденты) и Predict (прогнозирование появления новых атак с учетом меняющегося ландшафта угроз).

#pentest

Главным и самым эффективным приемом изучения чего-либо является практика. Радует то, что в настоящее время нет дефицита образовательных материалов и площадок для оттачивания практических навыков. Однако существует проблема, связанная с правильной последовательностью обучения, особенно если вы новичок. Для решения данной проблемы и создаются каналы вроде этого.

В настоящее время в области веб-безопасности и тестирования на проникновение тренд задают две компании — OWASP и PortSwigger. Сфера деятельности последней связана с разработкой и поддержкой Burp Suite — передового решения для тестирования и выявления уязвимостей в веб-приложениях. Существует как бесплатная, так и платная версия, которая самостоятельно выявляет уязвимости. Самое главное, что у PortSwigger есть онлайн-площадка, где можно подтянуть теоретические и практические знания в рамках лабораторий под каждую из следующих задач: Business logic vulnerabilities, Web cache poisoning, Information disclosure, Insecure deserialization, SQL injection, Cross-site scripting (XSS), Cross-site request forgery (CSRF) и XXE injection.

https://proglib.io/w/7d8d5874

#pentest

Что касается OWASP, то многие знают данный проект по традиционной классификации OWASP Top-10, которая включает самые распространенные уязвимости и недостатки безопасности веб-приложений.

OWASP — это открытый проект обеспечения безопасности веб-приложений. Их сообщество включает корпорации, образовательные организации и частных лиц со всего мира. Сообщество работает над созданием статей, учебных пособий, документации, инструментов и технологий, находящихся в свободном доступе. Кроме того, у них есть качественные проекты, которые представляют собой заведомо уязвимые веб-приложения.

Итак, переходим к практике. Ниже перечислены проекты, которые, как правило, необходимо установить локально по инструкции и выполнить минимальные настройки, с которыми справится даже новичок.

1. Damn Vulnerable Web Application (DVWA) — это веб-приложение на PHP / MySQL, которое заведомо уязвимо. Целью DVWA является отработка некоторых из наиболее распространенных веб-уязвимостей с различным уровнем сложности с простым понятным интерфейсом. Обратите внимание, что в этом программном обеспечении есть как задокументированные, так и недокументированные уязвимости. Это сделано намеренно.

https://proglib.io/w/a1da7150

2. Buggy web application (bWAPP) — это открытое и свободное для скачивания веб-приложение на PHP / MySQL. Отличается от других тем, что содержит около 100 уязвимостей по классификации OWASP Top-10. Предназначается для поиска и эксплуатации уязвимостей в веб-приложениях и не только.

https://proglib.io/w/20e53372

3. OWASP Juice Shop — одно из самых современных и сложных небезопасных веб-приложений, написанное на Node.js, Express и Angular. Его можно использовать в тренингах по безопасности, ознакомительных демонстрациях, CTF и в качестве подопытного кролика для инструментов безопасности. Juice Shop включает в себя уязвимости из всей классификации OWASP Top-10, а также множество других недостатков безопасности, обнаруженных в реальных веб-приложениях. Попрактиковаться с проектом можно как онлайн, так и офлайн, установив локально.

https://proglib.io/w/af676c20

Вышеперечисленные проекты являются фундаментом в тестировании на проникновение веб-приложений и содержат множество writeup'ов, которые нетрудно найти. Но в наших интересах, чтобы вы самостоятельно их прошли и получили как можно больше практического опыта.

#pentest

Топ-10 OWASP - 2017

Документ, в котором описаны десять самых критичных угроз безопасности веб-приложений на момент 2017 года, но актуальные по сегодняшний день.

#pentest

Проактивная защита: Топ-10 требований OWASP 2018

Данный документ нацелен на то, чтобы помочь организациям начать проектировать, разрабатывать, приобретать, использовать и поддерживать безопасное программное обеспечение.

В данном документе собраны 10 аспектов безопасности, на которые разработчики программного обеспечения должны обращать внимание. Несмотря на год выпуска, информация не теряет свою актуальность и в настоящее время.

#pentest

OWASP API Security Top 10 2019

Документ предназначен для организаций, которые внедряют потенциально чувствительные API в рамках своих приложений. API используются для внутренних задач и для взаимодействия со сторонними сервисами, но зачастую не проходят тщательного тестирования безопасности.

Данный документ предназначен для того, чтобы подчеркнуть потенциальные риски в небезопасных API и предложить меры снижения таких рисков.

​🛣 Дорога в мир информационной безопасности

Интерес к теме информационной безопасности среди молодых специалистов и не только возрастает, как правило, по следующим причинам:

1. Финансовая сторона. Вы наверняка знаете сами, что зарплата безопасника сравнима или отличается в большую сторону от зарплаты разработчика. Цифры можно увидеть на прикрепленном скрине (данные предоставлены рекрутинговым агентством Antal; источник — канал Вакансии ИБ).
2. Интересные задачи и многогранность профессии. Данной профессии однозначно присуща многогранность: вы можете искать баги в ПО или железе; реверсить Android или прошивку маршрутизатора; защищать веб-сайт или корпоративные данные; участвовать в bug bounty или проводить комплексный аудит безопасности корпоративной инфраструктуры; реагировать на инциденты или строить корпоративный SOC (Security Operation Center). Работа на любой вкус и цвет, главное — найти свою нишу.
3. Высокий порог вхождения в профессию, что только подогревает интерес. Наряду с базовыми знаниями TCP/IP, HTTP, сетей, протоколов, операционных систем, необходимо понимать их внутренне устройство.

Кроме того, бытует мнение, что грамотный безопасник может получиться двумя путями: это либо системный администратор, который разобрался в безопасности и стал крутым инфраструктурным безопасником, либо программист, который разобрался в безопасности и стал крутым Application Security специалистом. Если он еще и научился выражать мысли простым языком и рассуждать с позиции бизнеса — это полноценный CISO (Chief Information Security Officer).

Не стоит также исключать вузовское образование в ИБ, однако здесь есть небольшая особенность: если вы вовремя не найдете единомышленников или того, кто может направить ваш вектор развития, то карьера безопасника может пойти под откос.

#pentest #mobile #android

Если вы ознакомитесь со списком уязвимостей из OWASP Mobile TOP 10 (приведен в статье), то поймете, что половина из них похожи на уязвимости веб-приложений, то есть на классический OWASP TOP 10. Это связано с тем, что у нативных и веб-приложений один и тот же принцип работы — по типу клиент-серверной архитектуры.

То есть в мобильном приложении клиентом является нативное приложение, а в веб-приложении — браузер, но и у того, и у другого запросы поступают на сервер.

Сегодня ознакомимся со статьей, в которой описано применение методологии OWASP Mobile TOP 10 для тестирования безопасности Android-приложений.

https://proglib.io/w/95c19fcf

#pentest

Итак, перейдем от теории к практике. Будем последовательно рассматривать этапы тестирования на проникновение. Если вы надели белую шляпу, тогда нам по пути.

Мы будем придерживаться модели внешнего злоумышленника, атакующего из интернета и не обладающего информацией о цели. Наша задача — дать независимую оценку защищенности исследуемого объекта и получить максимальные привилегии на компонентах инфраструктуры.

1. Разведка, которая может быть пассивной и активной.

2. Инвентаризация исследуемых сервисов.

3. Поиск и эксплуатация «внешних» уязвимостей.

4. Преодоление периметра.

5. Разведка и инвентаризация исследуемых сервисов во внутренней сети.

6. Поиск и эксплуатация «внутренних» уязвимостей.

7. Получение доступа к целевым системам.

8. Подготовка отчета.

Далее разберем каждый этап по отдельности с приведением применяемых инструментов и методов.

#pentest #bugbounty #book

Прежде чем переходить к рассмотрению этапов традиционного пентеста, хотелось бы уделить внимание такой интересной теме, как Bug Bounty.

Если у вас есть опыт в поиске веб- или уязвимостей мобильных приложений, то можно применять свои знания в рамках программ Bug Bounty.

Bug Bounty — это программа, предлагаемая организациями и разработчиками ПО, с помощью которой специалисты по тестированию безопасности могут получить вознаграждение за нахождение ошибок / багов / уязвимостей.

Если обратиться к предыдущему посту, в котором перечисленны основные этапы пентеста, то в рамках Bug Bounty вы работаете только с первыми тремя пунктами, более того, скоуп предварительно задан.

Что касается площадок, на которых организации размещают свои программы, то вот самые распространенные: HackerOne и BugCrowd.

Сама процедура участия в программах Bug Bounty качественно описана в книге под названием "Bug Bounty Hunting Essentials" (прикреплена к посту).

Сделать еще несколько постов по этой теме?