Здравствуйте! Зачастую методы выбираются исходя из ТЗ и рассматриваемой в нем модели злоумышленника (и моделируемых ТТП, соответственно). Если в ТЗ на проведение работ нет ограничений либо не расписаны должным образом модели злоумышленника, то социтехнические атаки могут быть использованы (это согласовывается и утверждается у представителя тестируемой организации или продукта). Стоит отметить, что проведение социотехники очень важно согласовать заранее, так как это отдельный пласт работ, требующий подготовки. Например: домен для фишинга желательно приобрести за несколько месяцев до начала работ.
Привет! Спасибо за вопрос! Это просто пример - база, base. Если вы обратите внимание на текст, то там будут рекомендации, не исключающие использование алгоритмов, перечисленных вами.
Привет и спасибо за вопрос! Автоматическое сканирование API, анализ его плюсов и минусов заслуживает отдельной статьи. На данный момент мы занимаемся ручной верификацией и поисков проблем в эндпоинтах используя Swagger Inspector. Также присматриваемся к расширениям для тестирования безопасности OpenAPI от компаний 42Crunch и StackHawk.
Здравствуйте!
Зачастую методы выбираются исходя из ТЗ и рассматриваемой в нем модели злоумышленника (и моделируемых ТТП, соответственно).
Если в ТЗ на проведение работ нет ограничений либо не расписаны должным образом модели злоумышленника, то социтехнические атаки могут быть использованы (это согласовывается и утверждается у представителя тестируемой организации или продукта).
Стоит отметить, что проведение социотехники очень важно согласовать заранее, так как это отдельный пласт работ, требующий подготовки. Например: домен для фишинга желательно приобрести за несколько месяцев до начала работ.
Привет!
Можно различать так:
Если у нас есть некоторый пакет, который мы используем в качестве зависимости, то
G - когда в пакет в оригинальном репозитории (или в зеркало репозитория) добавляется вредоносный код (пример: https://theupdateframework.io/papers/attacks-on-package-managers-ccs2008.pdf);
H - когда атакующий может загрузить вредоносный пакет с похожим именем на оригинальный в репозиторий - например, используется опечатка в названии или очень похожее имя (https://blog.sonatype.com/damaging-linux-mac-malware-bundled-within-browserify-npm-brandjack-attempt).
Привет! Спасибо за вопрос! Это просто пример - база, base. Если вы обратите внимание на текст, то там будут рекомендации, не исключающие использование алгоритмов, перечисленных вами.
Привет и спасибо за вопрос!
Автоматическое сканирование API, анализ его плюсов и минусов заслуживает отдельной статьи. На данный момент мы занимаемся ручной верификацией и поисков проблем в эндпоинтах используя Swagger Inspector. Также присматриваемся к расширениям для тестирования безопасности OpenAPI от компаний 42Crunch и StackHawk.