• OSCP — Оскорбительная безопасность

    Как получить сертификат OSCP (Offensive Security Certified Professional)


    Пожалуй, «оскорбительная» безопасность — это лучший перевод того направления деятельности, о котором мы сегодня поговорим. Конечно, Offensive – это еще и наступательная, и даже агрессивная, но сейчас речь не об этом.

    Итак, вы пока еще не потеряли веру в карьеру в сфере информационной безопасности, однако окончательно убедились, что большинство сертификатов от вендоров – бессмысленная бумага, не стоящая вашего времени. Один мой коллега уже предлагает вручать всем заплатившим за экзамен сертификат Vendor Certified Dumping Specialist и на этом весь этот цирк заканчивать. Но будем реалистами, обучение и сертификация – это серьезный бизнес, и никуда он не денется в ближайшее время.

    Тем хуже, если знания и навыки, которые вы решили подтвердить, не привязаны какому-то конкретному вендору. Про CISSP я уже рассказывал, а как насчет практических навыков в сфере информационной безопасности?

    С одной стороны, есть крайне популярный экзамен Certificated Ethincal Hacker. Я абсолютно не сомневаюсь, что популярен он исключительно потому, что только пройдя этот экзамен вы сможете официально называться хакером. Проблема тут в другом: вам придется также согласиться, что вы стали хакером просто верно ответив на 125 вопросов. Несмотря на абсурдность ситуации, этот экзамен крайне популярен на Западе и для отдельных позиций является просто необходимым, особенно в государственном и военном секторе.


    Читать дальше →
    • +14
    • 2,9k
    • 2
  • Играем в ящик

    Много лет назад, когда мне впервые пришлось обучать молодых специалистов работе с Active Directory, я с тоской подсчитывал, какие вычислительные мощности мне потребуются от обучающего центра. Это было то далекое время, когда виртуализация еще только начала покорять IT. Я в столбик складывал требования к рабочим местам, контроллерам домена, прикладным серверам, и цифры меня совсем не радовали. Не радовали они и администратора обучающего центра.

    С тех пор было прочитано большое количество курсов, но проблема ресурсов никуда не исчезала, пока на горизонте на замаячило огромное синее млекопитающее, груженое контейнерами.
    Конечно, я думаю все гуглили “Container vs VM” и получали примерно такую картинку.

    Читать дальше →
  • Россия – ДТС – Беларусь: Тут третий совсем не лишний

    Бог троицу любит
    (пословица)
    Если двое разговаривают на разных языках, без переводчика не обойтись

    Когда два государственных руководителя при международных переговорах говорят на разных языках, то по дипломатическому протоколу не обойтись без двух переводчиков.
    Аналогично, когда две организации из разных стран в документообороте используют электронную подпись, то не обойтись без так называемой доверенной третьей стороны (ДТС). Особенно если в их родных юрисдикциях на законодательном уровне принята своя самостийная криптография.
    Читать дальше →
  • Уязвимости ERP-систем объектов КИИ

    С тенденцией к цифровизации предприятий по всему миру получают популярность системы управления ресурсами предприятия — ERP-системы. Крупнейшим игроком в данном сегменте на мировом и российском рынке уже долгое время остается немецкая компания SAP.



    Стоит отметить, что Gartner определяет данный тип систем, как «критически важные для бизнеса», что неудивительно ввиду обширных функциональных возможностей, которые они предоставляют: финансы, производство, управление цепочками поставок, CRM, жизненными циклами продуктов, BI, и пр. Так, например, доля отраслей применения данных решений по наибольшему числу проектов внедрения, которые приводит портал «TAdviser» выглядит следующим образом:
    Читать дальше →
  • Обновление программного комплекса SafeERP: Иерархия полномочий

      В марте 2019 года компания «Газинформсервис» представила обновленную версию программного комплекса SafeERP 4.6. Подробное описание продукта SafeERP приведено на сайте компании.

      В новую версию программного комплекса SafeERP 4.6 включена процедура построения иерархии полномочий по выбранным для анализа объектам полномочий.

      Напомним структуру и общие понятия концепции полномочий SAP: «Объект полномочий» -> «Полномочие» -> «Профиль» -> «Роль» -> «Учетная запись пользователя». Концепция полномочий — классическая, но фактическая реализации более сложная:

      • несколько ролей может быть присвоено пользователю;
      • составная роль (Composite Role) может включать нескольких ролей;
      • составной профиль полномочий может состоять из нескольких профилей (Composite Profile);
      • в составной профиль может быть включён другой составной профиль;
      • пользователь может наследовать полномочия ссылочного пользователя (Reference User).

      Иерархия возможной структуры полномочий представлена на рисунке 1.

      image
      Рисунок 1 – Общая структура концепции полномочий SAP
      Читать дальше →
    • АСЗП: рестайлинг или театр начинается с вешалки

      Слова Константина Сергеевича Станиславского о том, что «театр начинается с вешалки» актуальны и по прошествии почти ста лет. Более того, если раньше об имидже задумывались, как правило, театры, а к заводам выдвигались требования исполнить пятилетний план за три года, то теперь ситуация изменилась. Облик современного, технологичного предприятия начинается, зачастую, в интернете. Вы заходите на сайт, видите удобный, эргономичный портал и понимаете – эта компания развивается, бизнес процветает: ведь, говоря простым языком, если хватает денег и на имидж – значит прибыль позволяет. Совершенно обратное впечатление может произвести старорежимное бюро пропусков. Маленькое окошко, куда нужно засунуть свой паспорт, чтобы получить пропуск, напоминает о временах застоя. Согласитесь, никто бы не хотел, чтобы его охарактеризовали как «морально устаревший бюрократ».

      Программное обеспечение «АСЗП» позволяет автоматизировать процессы, связанные с заказом, согласованием и оформлением пропусков. Уже более десяти лет самые разные компании – от гигантских корпораций ТЭК до комплексов элитного жилья доверяют продукту
      ООО «Газинформсервис». В этом году вышла новое, уже восьмое поколение «АСЗП». Программное обеспечение было обновлено, пользовательский веб-интерфейс был полностью переработан с использованием современных технологий разработки программного обеспечения.


      Читать дальше →
    • A1: 2017 – Injections (Часть 3 и последняя)

        В моей любимой компьютерной игре Quest for Glory 2: Trial by Fire, когда мир в очередной раз оказывается в опасности, главный герой попадает в Университет волшебников. После успешного прохождения вступительных испытаний бородатые мудрые волшебники предлагают поступить в этот Университет, потому что, окончив его, мы разберемся во всех тонкостях магии, изучим все заклинания и тогда уже точно спасем своих друзей и победим мировое зло. Проблема только в том, что учиться предстоит 15-20 лет, а за это время силы зла успеют победить и не один раз.

        Я каждый раз невольно вспоминаю этот эпизод, когда передо мной оказывается очередная интересная книга или кипа технической документации. Про тайм-менеджмент написана куча книг, но для меня это сводится к простой формуле: разобрался в основах, разобрал примеры – дальше только автоматизация!

        Теперь, когда мы примерно представляем, как работают инъекции, так почему бы не попробовать упростить себе жизнь и еще раз разобрать какой-нибудь прошлый пример, но уже с помощью дополнительного программного обеспечения. Нам потребуется два инструмента:
        Sqlmap – инструмент, которой позволяет автоматизировать поиск и эксплуатацию уязвимостей в SQL и ZAP Proxy – локальный прокси-сервер, который нужен для анализа трафика между браузером в веб-сервером.

        Опять нужно упомянуть, что это не единственные подобные инструменты, и наверняка в соседнем блоге вам убедительно докажут, что вместо sqlmap нужно разобраться с sqlninja, а на ZAP тратить время не нужно, когда есть Burp. Спорить ни с кем не стану.

        Облегчать жизнь мы себе начнем с перехвата трафика между клиентом и веб-сервером. Полученные данные будут использованы в качестве параметров для sqlmap. По большому счету, в качестве такого параметра может выступать и URL уязвимого приложения, но сейчас данные с прокси будут для нас нагляднее.

        Работать будем всё с тем же примером из A1, который мы разбирали в предыдущей статье («SQLi – Extract Data» > «User Info (SQL)»).

        Читать дальше →
      • Как организовать долгосрочное архивное хранение электронных документов

          Недавно в журнале «Инсайд» мы рассказывали о долгосрочном архивном хранении электронных документов (ЭД), заверенных электронной подписью (ЭП). Статья была посвящена обзору различных точек зрения на организацию этого процесса и подходах к пролонгации свойств юридической значимости ЭД. В ней мы акцентировали внимание на подходе, который предусматривает формирование квитанций документа. Они представляют собой метаданные, содержащие результаты выполненных проверок, а также все необходимые атрибуты, подтверждающие юридическую значимость документа в момент проверки.

          Настоящая статья более подробно раскрывает еще один подход к долгосрочному архивному хранению (ДАХ) – формирование усовершенствованной электронной подписи (УЭП), а именно ЭП в архивных форматах CAdES-A и XAdES-A.


          Читать дальше →
        • A1: 2017 – Injections (Часть 2)

            В прошлой статье я предположил, что читатель знает, как устроен язык запросов SQL в подробностях, а также механизм работы протокола HTTP. Но это, как правило, не так. И я сразу вспомнил историю, описанную в одной из моих любимых книг «Недоверчивые умы» Роба Бразертона. В ней описан следующий эксперимент. Психолог Ребекка Лоусон спросила у группы испытуемых, катались ли они в своей жизни хоть раз на велосипеде? Большинство ответило утвердительно. Далее она спросила, знают ли они, как устроен велосипед? Утвердительных ответов было уже поменьше, но всё равно подавляющее большинство. А затем она предложила следующее изображение и попросила дополнить его так, чтобы на этом велосипеде можно было ездить.


            А дальше произошло самое интересное – более половины людей не смогли этого сделать. Эта обманчиво простая задача показывает, что большинство людей просто не представляет как устроен велосипед. Но самое интересное, что они не понимают, что они этого не знают, а начинают понимать это только в момент, когда им предстоит продемонстрировать эти знания.

            C HTTP и SQL происходит примерно то же самое. SQL-запросы писали 90% ИТ-специалистов, хотя бы на лабораторных в своих учебных заведениях, с HTTP люди работают каждый день как пользователи, а те же ИТ-специалисты время от времени настраивают веб-серверы, которые собственно с HTTP и работают. Но когда приходится ответить на конкретный вопрос, регулярно наступает ступор.
            Читать дальше →
          • Уязвимости из OWASP Top 10. A1: 2017 – Injections (Часть 1)

              Описание уязвимостей — это одно, а вот попробовать найти уязвимость и поработать с ней — совсем другое дело. Именно для этих целей создаются и развиваются специальные приложения, в которых намеренно оставлены уязвимости. Если набрать в поисковой системе запрос «Purposely vulnerable app», вы найдете ни один десяток ссылок.

              В этом цикле мы начнем разбирать уязвимости из OWASP Top 10, и в качестве полигона я буду использовать такое намеренно уязвимое приложение. В моем случае это будет OWASP Mutillidae II. Это не то, чтобы самый лучший вариант, но в нем уязвимости структурированы именно так, как нужно для образовательных целей.

              Читать дальше →
            • OWASP TOP 10 Project: введение

                Это первый материал из цикла статей про OWASP Top 10 Project — проекта, который начинался как задумка энтузиастов, а стал самым авторитетным источником классификации векторов атак и уязвимостей веб приложений.

                В этой статье мы кратко разберем все основные уязвимости из перечня OWASP Top 10, а также посмотрим, почему так важно знать о типовых уязвимостях, чтобы разрабатывать безопасные приложения.
                Читать дальше →
              • Что такое CISSP, как его получить, не потерять и почему он не нужен

                  Сегодняшний рынок вакансий ИТ-компаний вряд ли можно назвать интересным и разнообразным. Однако даже в нем можно встретить требования к сотрудникам по наличию сертификата CISSP. Эта сертификация является стандартном де-факто на западе, а вот о том, как получить этот сертификат в России поделился сотрудник нашей компании Сергей Полунин.



                  Читать дальше →

                Самое читаемое