По сути

В 2012 году на форуме Positive Hack Days, организуемом компанией Positive Technologies, пройдет конкурс молодых ученых в области информационной безопасности — PHDays Young School.
Мы хотим помочь молодым ученым проявить себя и сделать так, чтобы о результатах их исследований заговорили. Даже так: ЗАГОВОРИЛИ! Наши цели — свежие идеи, новая энергия, разнообразие тем.

Positive Technologies продолжает курс вебинаров, посвященный практическим вопросом информационной безопасности. В течение первого полугодия 2012 года мы проведем 12 вебинаров, программа уже опубликована, ее можно посмотреть здесь.

В 2012 году мы планируем:
• раскрыть технические детали проведения форума PHDays;
• поговорить о безопасности SAP;
• рассказать, как можно использовать сетевое оборудование при расследовании компьютерных инцидентов;
• рассмотреть нагрузочное тестирование информационной системы и сделать имитацию атаки;
• изучить метод перехвата данных печати в Windows;
• понять, насколько могут быть опасными тривиальные уязвимости.

И, конечно, мы представим несколько обзоров по практическому использованию системы контроля защищенности и соответствия стандартам MaxPatrol.

Участие в программе вебинаров – бесплатное, по предварительной регистрации. Докладчиками выступают известные эксперты в области ИБ – специалисты Positive Technologies и исследовательского центра Positive Research.

Присоединяйтесь! Те, кто не сможет посмотреть вебинар он-лайн, могут скачать презентацию и запись на нашем сайте.

Гуру криптографии, известный во всем мире эксперт по информационной безопасности Брюс Шнайер впервые приезжает в Москву, чтобы выступить на форуме Positive Hack Days, организованным компанией Positive Technologies.

Брюс Шнайер – легенда ИБ-мира, его имя значит многое для каждого, кто связан с информационной безопасностью. На книге Брюса «Прикладная криптография» выросло не одно поколение криптографов, специалистов и хакеров.

Текст Сергея Павлова и Дмитрия Курбатова

11 мая 2011 года, до форума Positive Hack Days остаётся одна неделя. Всё идёт почти по плану: помещение арендовано, гости приглашены, задания придуманы. Один из спонсоров привёз огромную корзину с блейдами HP, несколько коммутаторов Cisco Catalyst 2960, точки доступа и беспроводной контроллер WLC. Оборудование сложили в виде Пизанской башни, но даже включать не стали. Решили, что пока нет ни одного L3 коммутатора – настраивать считай нечего.

На следующий день прибыла партия 2960, один Catalyst 3750, коробка патч-кордов и удлинителей. Пришло время начать работу и сделать сеть. На сайте PHD были найдены схемы залов, в которых планировалось проведение форума. Само собой без информации о длине стен в метрах, а лишь с указанием игровых зон и мест проведения семинаров. Через час мозгового штурма был готов первый вариант схемы сети:

Миллионы IP-адресов, десятки тысяч узлов, сотни веб-серверов и всего лишь месяц времени…

Какие вызовы ожидают аудитора при тестировании сети телекома? На что стоит обратить внимание? Как наиболее эффективно использовать отведенное на работу время? Почему абонент опасней хакера? Почему подрядчик опасней абонента? Как связать уязвимость и финансовые потери?

Ответы на все эти вопросы – в вебинаре технического директора Positive Technologies Сергея Гордейчика «Как взломать телеком и остаться в живых».

А еще – самые громкие, смешные и просто интересные случаи тестирования на проникновения телекоммуникационных сетей.

Welcome! У вас осталось совсем немного времени, начало вебинара в 14.00.

Участие бесплатное, наше единственное условие – предварительная регистрация. Зарегистрироваться.

ЗЫ: Для тех, кто не успеет или не сможет принять участие в вебинаре – запись и презентация будет выложена на нашем сайте здесь

Опубликованы материалы вебинаров, проведенных Positive Technologies в рамках образовательной программы «Практическая безопасность».
Программа направлена на повышение осведомленности специалистов о существующих угрозах, методах и подходах к анализу защищенности, а также об управлении соответствием стандартам и контроле эффективности средств защиты. В качестве докладчиков выступают известные эксперты по информационной безопасности — представители компании Positive Technologies и исследовательского центра Positive Research.
За 2011 год было проведено более 10 вебинаров, собравших более 1500 слушателей из различных стран мира. Были представлены доклады по вопросам безопасности Web, облачных вычислений, сетевой инфраструктуры, VOIP-сетей, обзоры по тематике контроля соответствия стандартам, оценки эффективности средств защиты информации и практическому использованию системы контроля защищенности и соответствия стандартам MaxPatrol.

Архив записей выступлений и презентаций докладов доступны по следующему адресу:
http://www.ptsecurity.ru/webinars.asp?t=1

С удовольствием выслушаем пожелания хабролюдей по темам выступлений в 2012 году!

Ante Scriptum

До 20 января 2012 года любой желающий может проверить свои силы в оценке защищенности, поиске и эксплуатации уязвимостей, реверсинге и просто хакерстве. Регистрация и информация по подключению доступна по адресу: http://phday.ru/smt.asp?gnum=1 (рус) и http://phday.com/smt.asp?gnum=1 (eng).

Вступайте и компилируйте!

Scriptum

26 декабря закончились соревнования по информационной безопасности PHDays CTF Quals и PHDays CTF Afterpaty. Командные состязания CTF Quals проходили по правилам task-based CTF и позволили нам выявить финалистов, которые примут участие в очном туре 30-31 мая 2012 года на форуме Positive Hack Days. Сольная битва дала нам возможность найти наиболее мощных хакеров, которые получат возможность принять участие в PHDays, а также станут обладателями ценных призов от организатора соревнований – компании Positive Technologies, включая легендарный сканер безопасности XSpider 7.8. В пылу битвы участники не только нашли все заложенные нами уязвимости но и обнаружили как минимум одну уязвимость нулевого дня (0-day): mPDF <= 5.3 File Disclosure.

Каждый из нас хотя бы раз в жизни сталкивался с ситуацией, когда пароль от почты забыт, а посмотреть письма нужно. Тут нам на помощь приходит процедура восстановления пароля, которую заботливые сервисы разработали специально для подобных случаев. Именно эта процедура вызывает больше всего вопросов с точки зрения безопасности. Как выяснилось, не зря.

Наш исследовательский центр Positive Research посмотрел, насколько легко можно получить несанкционированный доступ к аккаунтам пользователей «ВКонтакте», Facebook*, Google, Mail.Ru и Яндекс. Причем не путем технических атак, а только с помощью социальной инженерии.

Википедия описывает социальную инженерию как метод управления людьми без использования технических средств. В нашем случае это способ получения несанкционированного доступа к личной информации человека, опять же, без использования каких-либо специальных знаний или инструментов.

Безусловно, всегда можно отправить фишинговое письмо и заставить пользователя перейти на сайт, где он засветит свои логин и пароль, или подкинуть трояна и ждать. Способов существует много. Но нам было интересно другое. Мы хотели проверить, насколько реально получить доступ к аккаунту пользователя, используя только общедоступную информацию, которую можно найти в интернете. Без взаимодействия с пользователем. Без технических изысков. Без уязвимостей «нулевого дня».