Pentestit
345 subscribers
41 photos
1 file
31 links
Download Telegram
Channel created
Как машинное обучение помогает бороться c атаками на веб-приложение

GET ?;+cat+/e't'c/pa's's'w'd —> cat /etc/passwd
GET ?;%2f???%2f??t%20%2f???%2fp??s?? —> /???/??t /???/p??s?? —> /bin/cat /etc/passwd

Подрбнее: journal.ib-bank.ru/post/822
Очередной большой пакет обновлений Nemesida WAF. Из особенностей: выполнен перевод некоторых компонентов на виртуальное окружение Python, доработан сканер уязвимостей, добавлен параметр деактивации WAF для конкретного вирт. хоста (nwaf_host_wl) и улучшен Nemesida AI и Личный кабинет. waf.pentestit.ru/updates/1468.

До текущего релиза динамический модуль Nemesida WAF поддерживал только Nginx Stable 1.12, 1.14 и 1.16. В новом релизе добавлена поддержка Nginx Mainline, начиная с 1.17, и Nginx Plus, начиная с 1.15.10 (R18).
Мы сделали это! В новом релизе Nemesida WAF мы добавили функционал отправки событий на API для Free-версии. А это значит, что и Free-версия Nemesida WAF стала доступна для интеграции с SIEM и другими системами, а информация об атаках будет доступна и в личном кабинете.

Nemesida WAF Free: waf.pentestit.ru/about/2511
Nemesida WAF API: waf.pentestit.ru/manuals/5611
Личный кабинет: waf.pentestit.ru/manuals/1446

Virtual Appliance (vmdk-диск для KVM/VMware/Virtualbox с уже установленными компонентами Nemesida WAF под Debian 10, 1,3 GB): repository.pentestit.ru/vm/NemesidaWAF-VA.zip
До сих пор на сигнатурах? Тогда мы идем к вам!

25.09.19 в 15:00 (МСК) на получасовом вебинаре расскажем, в чем особенность Nemesida WAF и почему после машинного обучения не хочется возвращаться к сигнатурному анализу, покажем вспомогательные модули (ЛК, сканер уязвимостей и т.д.) и как в один клик можно решить проблему ложных срабатываний, продемонстрируем различные способы обхода сигнатурного WAF. waf.pentestit.ru/events/5939
Опа, джейсончик!

Безопасность веб: от уязвимостей до мониторинга https://habr.com/ru/post/526878/
Как типичные и не очень ошибки разработчиков и администраторов позволяют атакующему получить полный контроль над корпоративной сетью. Выступление на DevOpsConf 2020. https://www.youtube.com/watch?v=pwU9gsniKI8
Пс, парень, твоей странице <script>alert('скрипт');</script> не нужен?

В статье расскажем про хранимые, отображаемы типы XSS и XSS в DOM-объектах, проведем обзор фреймворков для их поиска (XXSer и XXStrike) и узнаем, как точно Nemesida WAF Free блокирует попытки эксплуатации XSS https://habr.com/ru/post/535642/

#XSS #XSSer #XXStrike #NemesidaWAF #WebSecurity
Laravel < 8.4.2 Remote Code Execution при включенном debug-режиме. https://waf.pentestit.ru/vulns/7557
Занимаетесь администрированием или разработкой сайтов или API и считаете, что SQLi, RCE и XSS не место в 2021 году, потому что все используют PDO, HTML Purifier и т.д.? А как насчет "хоп, хоп, и в продакшн"?

Nemesida WAF точно и с минимальным временем обработки запроса заблокирует атаки на веб-приложения, независимо от языка разработки и фреймворка.

Использование комбинированного анализа на основе машинного обучения позволяет практически без ложных срабатывай отличить легитимный запрос от атаки, в том числе блокировать попытки подбора пароля и СМС флуд.

А наличие сканера уязвимостей, входящего в комплект поставки, позволит интегрировать Nemesida WAF в полный цикл разработки: от первичной проверки на уязвимости до публичного релиза.

Nemesida WAF доступен в виде облачной и коробочной версий. Протестируйте в течение 14-ти дней и узнайте, как часто атакуют ваш веб-ресурс. Подробнee: https://waf.pentestit.ru/manuals/4079