bugaga0112358 7 июл 2011 в 03:55

Использование сайтов типа Pastebin для сбора информации о цели пентеста

2 мин

6.1K

Информационная безопасность *

Перевод

+21

Комментарии 11

stmuxa 7 июл 2011 в 11:42

сижу, эфпячу страничку, думаю может у кого такие же как у меня вопросы появились.

кто такие пен-тестеры?
и зачем хранить на сайтах типа Pastebin непубличную информацию?
(извините)

bugaga0112358 7 июл 2011 в 11:46

Знаменитое “пентестер” (pentester) родом из словаря заимствованных иностранных слов (раздел сленговые обозначения и неословоформы). Родной английский вариант “penetration testing“, конечно, не имеет ничего общего с фильмами эротического жанра, но сюжет самого процесса неуловимо близок к этому стереотипному оригиналу.

Надо полагать, термин “пентестинг” (тест проникновением) прижился с легкой руки “безопасников” (или “секурити” (((-: ). По сути он обозначает симуляцию атаки методами, которые практикуют те, от кого построена система защиты. Тесты на проникновение популярны не только в информационной безопасности, но и (даже в первую очередь!) в безопасности физической (пожарной, охранной, радиоэлектронной и пр.)

Источник: http://www.secureblog.info/articles/493.html

A penetration test, occasionally pentest, is a method of evaluating the security of a computer system or network by simulating an attack from a malicious source, known as a Black Hat Hacker, or Cracker. The process involves an active analysis of the system for any potential vulnerabilities that could result from poor or improper system configuration, both known and unknown hardware or software flaws, or operational weaknesses in process or technical countermeasures.

Источник: http://en.wikipedia.org/wiki/Penetration_test

bugaga0112358 7 июл 2011 в 11:49

Зачем хранить — в топике описано: это могут быть результаты работы злоумышленника или неосторожного сотрудника, который не понимал, что эти данные не надо выкладывать.
На такого рода сайтах можно найти много интересной информации, которая поможет проникнуть в целевую систему (конфигурации сетей, логины и т.п.)

А суть статьи в том, что появились инструменты автоматизированного поиска данных по ключевым словам и уведомления об их появлении.

bugaga0112358 7 июл 2011 в 11:55

От себя могу добавить, что подобного рода информацию можно поискать на форумах сисадминов или в сервисах вопрос-ответ (типа гугл-ответы).
Допустим, вот этот вопрос принадлежит админу крупной страховой компании и помогает пентестеру убедиться, что этот адрес назначен оборудованию Cisco.