All streams
Search
Write a publication
Pull to refresh
9
0
vinegrep @disakov

ИБ, pentest, red team

Send message
0-day для ломания хостинга? Маловероятно. Обычно такое можно увидеть, когда профит получили те, кто дыру нашел и бросил инфу в паблик. CVE к этому времени уже есть обычно.
Спасибо за статью. А что для SAST использовали? Я в статье не нашел упоминания. Если, конечно, можете раскрывать детали.
Я так понимаю, что удаленка используется больше для профи, которых не найдешь в соседнем дворе, а сам профи переезжать не хочет. То есть работодатель заинтересован больше, чем работник. Отсюда и плюшки. Если надо прям в офис, то придется «покупать» человека, что стоить может очень много.
Я думаю главное в из Вашей мысли для работодателя
Он более свободен в своих действиях, за ним сложнее следить, он в меньшей степени зависит от работодателя и хуже управляется.

Работодатель часто имеет абстрактное понятие о результате, поэтому включается режим «рабства». Плачу за то, что могу всегда дернуть. Плюс удаленка требует более высокого качества управления и уровня адекватности.
Спасибо за ответ. Все Ваши пункты понравились кроме
так и для «подглядывания и разнюхивания», хотя второй вариант тоже может быть во благо компании.


Разнюхивать не выйдет, если человек предупрежден и не дурак. А вот скрытое наблюдение «без правил» мягко говоря неэтично, хоть во благо компании, хоть нет.
У меня нет проблем с работой данного решени, если все сделано в рамках закона. Варианты обхода тоже ясны. У меня вызывает отвращение то, как это зачастую используется. В больших конторах типа Амазона говорят так: «Делайте, что хотите в рамках закона. На конфиденциальность не надо рассчитывать». Все честно, предупредили.

Про «атмосферу стукачества» сказал не я, но вроде у нас в России любое обращение к начальству с такой информацией вызовет агрессию в коллективе. Европейцы считают, что так Вам реально помогли. На карьерный рост не влияет.
Спасибо за ответ. Неужели после подписания подобных бумаг находятся желающие стянуть что-то? Дарвин в действии.

Про двери странно, но я, конечно, аналитические материалы по данной теме не изучал. Больше осмотр и общение с коллегами.
У меня к Вам вопрос. Как Вы совмещаете выявление кротов и оповещение сотрудников при приеме на работу о том, что все фиксируется? Или DLP используется просто как инструмент контроля случайных утечек?

Про железные двери в Европе. Действительно нету, компаний которые ставят их для домашнего пользователя почти нет, тк требуется укрепление косяков и т.д. Богачи реально гоняют на транспорте, почти не держат охрану, все застраховано. Вот на это они и тратят значительную сумму каждый год. Актуально из моего опыта проживания в Лондоне и Дублине.
А еще украсть может захотется чисто из спортивного принципа, кто умнее. Про сеть — согласен, что эффективно, но это надо уметь. А вот почитывать чужие сообщения и снимок банк-клиента делать ума много не надо. А потом обязательно хвастаться или пугать.

К слову, DLP может активно использоваться, но нужно предупреждать и объяснять.
Из моего небольшого опыта работы с DLP, у меня сложилось весьма гаденькое впечатление об этих продуктах. Они больше для подглядывания и разнюхивания, чем реальной безопасности. Вроде по закону должны предупреждать о том, что ведется контроль, а по факту используют втихушку злоупотребляя. Думаю, что умный инсайдер украдет и унесет в любом случае.
В Европе ситуация немного другая. Удаленка развита повсеместно. Оплата не зависит от местопроживания внутри страны, но придется конкурировать с Венгрией и Румынией. Есть небольшие исключения: Дублин, Лондон и Швецария. Тут зарплаты с учетом уровня жизни идут. Хотя почти везде работодатель заинтересован платить хорошо, чтобы не надо было считать деньги до получки. Это относится и к приезжим на визе.
Я думаю денег им хватает, соображалки и понимания зачем такой спец нужен не хватает. Как говорится: «Нет бизнес необходимости».
Суть моего комментария немного в другом.
Я думаю сканер должен был такое отловить, если бы им пользовались как надо. И Ваша работа бы не пригодилась.
Несмотря на то, что, возможно, автор просто пробежался сканером по сайту и выложил это как статью тут, у меня возникает вопрос. А что у мегафона нет денег на такой сканер, чтобы найти такие ляпы и не позориться? Или отделу безопасности совсем лень? Про предварительное тестирование на такие вещи видимо не стоит и заикаться.
Из моего опыта все изменения происходят только когда сам человек заинтересован. Чем больше усилий, тем сильнее должна быть мотивация. Все модные книжки и подобные заметки могут разве что подсказать прием какой-нибудь.
Понятно, что вроде как со всеми такое может случится. но уж контора, которая раздает сертификаты по безопасности могла бы следить за своим сайтом. Тот же corelan.be тоже на Wordpress, но криптолокеры не раздает. Хотя если эти люди придумали CEH, то чего уж от них ждать.
Мне понравилась книга Justin Clarke SQL Injection Attacks and Defense, Second Edition 2nd Edition (http://www.amazon.com/SQL-Injection-Attacks-Defense-Second/dp/1597499633/ref=sr_1_1?ie=UTF8&qid=1443108443&sr=8-1&keywords=sql+injection)
Ну и OWASP можно напечатать и переплести — получится классный дуэт с «The Web Application Hacker's Handbook».
А вот pfsense как раз решит все Ваши задачи. VPN умеет разный, кроме L2TP/IPSec. Фильтрации трафика -легко, это же FreeBSD, шейпер «из коробки». Группы создаете или в AD или прям так перечислением диапазонов адресов, адресов, логинов. Контроль времени также есть. Все просто и удобно.

Information

Rating
Does not participate
Location
Германия
Date of birth
Registered
Activity

Specialization

Pentester, Reverse Engineer
Lead