Как стать автором
Обновить

Открыта регистрация на PCI DSS Training и Practical Security Village, г. Алматы, Казахстан

Конференции
21-22 ноября 2019 года в городе Алматы состоятся авторский семинар PCI DSS Training и воркшоп по практической безопасности Practical Security Village.
Читать дальше →
Всего голосов 4: ↑4 и ↓0 +4
Просмотры 1.2K
Комментарии 0

Вебинар «Грозовые облака: риски безопасности облачных сервисов»

Информационная безопасность *Облачные сервисы *


Идея облачных вычислений впервые прозвучала в далёких 1960-х, но уже позже, с распространением интернета облачные технологии получили настоящее развитие. В 2006 году мир увидел первый IaaS сервис – Amazon Web Services. В 2010 появился Azure от Microsoft, и Google Compute Engine в 2012.
Читать дальше →
Всего голосов 3: ↑3 и ↓0 +3
Просмотры 1.4K
Комментарии 4

Вебинар «Палитра современного пентеста: Purple Team VS Red Team»

Информационная безопасность *Тестирование IT-систем *IT-компании


28 мая в 11:00 (МСК) приглашаем на вебинар Digital Security «Палитра современного пентеста: Purple Team VS Red Team». Расскажем про пентест во всех красках: сравним подходы, посоветуем, как выбрать наиболее целесообразный тип тестирования.
Читать дальше →
Всего голосов 1: ↑1 и ↓0 +1
Просмотры 1.1K
Комментарии 0

Онлайн-встреча по информационной безопасности

Информационная безопасность *Конференции IT-компании


10 июня приглашаем на Digital Security ON AIR, онлайн-встречу по информационной безопасности. Поговорим про фаззинг, реверс-инжиниринг и пентест, сыграем в online CTF и замутим Kahoot с призами. Стартуем в 17:00, а закончить планируем в 21:00. Вход свободный.
Читать дальше →
Всего голосов 3: ↑3 и ↓0 +3
Просмотры 971
Комментарии 1

Открыт набор атакующих для участия в кибербитве The Standoff

Блог компании Positive Technologies Информационная безопасность *Тестирование IT-систем *Программирование *IT-инфраструктура *

Для синих и красных команд The Standoff начнется 16 мая, а закончится 19 мая — 4 дня с перерывами на сон (как вы просили 😉). Три команды пригласим в ЦМТ, остальные — онлайн.

Защитникам будут противостоять 15 команд хакеров. Топ-5 по итогам ноябрьской кибербитвы мы пригласили напрямую, минуя отборочный тур. Оставшиеся 10 слотов могут занять команды из любой точки мира. Не упустите возможность!

Узнать подробнее и подать заявку
Всего голосов 4: ↑4 и ↓0 +4
Просмотры 1.2K
Комментарии 0

Пентестер нашел в открытом доступе планы коммуникаций здания и проник в закрытую зону дата-центра через туалет

Информационная безопасность *Тестирование IT-систем *IT-инфраструктура *IT-компании


ИБ-эксперт, инженер и тестировщик физических систем защиты Эндрю Тирни (Andrew "Cybergibbons" Tierney) рассказал, как смог пройти в закрытую зону дата-центра по лежащим в свободном доступе чертежам здания. Он обнаружил инженерные коммуникации с коридорчиком, где можно было решать проблемы со сливом от писсуаров и чинить механизмы скрытых бачков унитазов в кабинках.
Читать дальше →
Всего голосов 26: ↑25 и ↓1 +24
Просмотры 17K
Комментарии 14

Positive Technologies стартовала первую в России программу bug bounty, нацеленную на реализацию недопустимых событий

Блог компании Positive Technologies Информационная безопасность *Тестирование IT-систем *IT-инфраструктура *Тестирование веб-сервисов *

Positive Technologies впервые в России объявила о запуске программы bug bounty нового типа[1], которая ориентирована не на поиск сугубо технических уязвимостей во внешних сервисах компании, а на реализацию действительно критически опасного для компании события — хищения денег со счетов. Мы готовы выплатить беспрецедентное для России вознаграждение в 10 миллионов рублей.

Узнать больше
Всего голосов 2: ↑2 и ↓0 +2
Просмотры 642
Комментарии 0

Взгляд на аудит сквозь призму стандарта PCI DSS

Информационная безопасность *
Взгляд на аудит сквозь призму стандарта PCI DSS

Стремительно растет количество операций с использованием пластиковых карт: онлайн-платежи, безналичный расчет в торгово-сервисных предприятиях, манипуляции с банковским счетом в системах онлайн-банкинга и прочие платежные приложения от поставщиков услуг. Соответственно, расширяется инфраструктура, в которой циркулируют информация о держателях карт и критичные аутентификационные данные. В случае попадания этой информации или ее части в руки к злоумышленникам финансовые потери несут как банки-эмитенты, так и конечные пользователи.
Читать дальше →
Всего голосов 36: ↑32 и ↓4 +28
Просмотры 28K
Комментарии 14

Что такое системы управления уязвимостями на примере облачной платформы QualysGuard

Информационная безопасность *
Из песочницы

Почему я решил написать этот текст.


Моя профессиональная деятельность связана развитием каналов продаж и поэтому мне приходится часто знакомиться с решениями ИБ и ИТ в живую, чтобы прочувствовать их. Я решил написать о сервисе управления уязвимостями QulysGuard по причине того, что в русскоязычном интернете информации для понимание что это такое минимум. А сервис интересный и для российского рынка все ещё новый.

С причинами необходимости управления уязвимостями можно познакомиться по ссылке penetrationtest.ru/uslugi-i-resheniya/preventivnoe-snizhenie-riskov, на курсах обучения CSO и прочитав книгу Vulnerability Management by Park Foreman. Это понимание только начинает осознаваться в России и странах СНГ, но этому не стоит удивляться.
Читать дальше →
Всего голосов 11: ↑5 и ↓6 -1
Просмотры 8.8K
Комментарии 9

Что под капотом у vk.com

Информационная безопасность *Реверс-инжиниринг *
Данный пост — небольшой отчет о процессе реверсивного проектирования и анализа работы самой популярной соц. сети в СНГ — vk.com. В основном анализ проводился со стороны безопасности (хотя сама соц. сеть весьма привлекательна как high-load проект, безусловно). Для себя вынес некоторые интересные решения и просто получил удовольствие. Пост получился, возможно, немного сумбурный, так углублялся просто в интересные мне моменты.

Содержание


Обзор

Архитектура

  • php 5.2/5.3
  • Периоды нагрузки (отключения автоподгрузки ленты)
  • Врапперы в сообщениях
  • Разный код для мобильной и полной версий

Security

  • Фичи
    • Авторизация
    • Anti-CSRF токены
    • Запрет iframe
    • Отключенный POST на контент-серверах
  • Фиче-баги
    • Узнать возраст через поиск
  • Баги
    • XSS
    • Загрузка документов без имени
    • Подгрузка по ajax фото из закрытых альбомов (?)
    • Не везде anti csrf

Разное

Читать дальше →
Всего голосов 117: ↑106 и ↓11 +95
Просмотры 58K
Комментарии 54

Маленький британский шпион – закладка на Raspberry Pi

Блог компании Журнал Хакер Информационная безопасность *
Большой темой майского номера «Хакера» стал Raspberry Pi. Мы пообщались с создателем «малинки», Эбеном Аптоном и узнали, каковы итоги первого года проекта, и что ждет маленький компьютер в следующем. Также мы описали два концепта на основе Raspberry: незаметную закладку, которая в виду размеров может незаметно собирать данные из сети (принимая команды по SMS и скидывая логи в Evernote), а также систему видеонаблюдения, интегрированную с Google Drive. Один из этих концептов мы предлагаем вашему вниманию.




Идея дропбокса проста: если миниатюрный компьютер снабдить батареей и 3G-модемом, то можно получить шпионскую коробочку, которая незаметно подключается к исследуемой сети и передает собранные данные. Этот концепт вполне реализуем на Raspberry Pi.

Читать дальше →
Всего голосов 80: ↑59 и ↓21 +38
Просмотры 95K
Комментарии 29

Допрос Митника в Хакспейсе

Информационная безопасность *
После выступления перед деловыми людьми, Кивин Митник любезно принял приглашение прийти на неформальную встречу в московском хакспейсе.



Данная статья основана на "воспоминаниях" участников, эти воспоминания могут не иметь никакой связи с действительностью, а быть просто актом социальной инженерии.

(при написании данного текста ни один Сноуден не пострадал)
Читать дальше →
Всего голосов 25: ↑15 и ↓10 +5
Просмотры 17K
Комментарии 9

Избранное: ссылки по IT безопасности

Блог компании Digital Security Информационная безопасность *




Давно хотел написать этот пост с подборкой полезных ссылок, так как очень часто спрашивают подобное (думаю, у многих, кто в этой (да и в других) сфере). Ссылки разбиты на категории.




Читать дальше →
Всего голосов 92: ↑86 и ↓6 +80
Просмотры 109K
Комментарии 18

Подборка трюков при анализе защищенности веб приложений

Блог компании Digital Security Информационная безопасность *
Всем привет! Этот топик посвящен разным трюкам при анализе защищенности (пентесте) веб приложений. Периодически сталкиваешься с ситуацией, когда надо обойти какую-нибудь защиту, выкрутиться в данных ограничениях или просто протестировать какое-то неочевидное место. И этот пост как раз об этом! Добро пожаловать под кат.
Читать дальше →
Всего голосов 87: ↑81 и ↓6 +75
Просмотры 35K
Комментарии 16

Как мы ломали docshell.ru

Блог компании BugHunt Информационная безопасность *
Привет, Хабр!

BugHunt – это сервис публикации программ вознаграждения за найденные уязвимости. Мы помогаем различным организациям запустить собственные bug bounty программы и берём на себя всю рутину: разрабатываем условия программы, привлекаем к участию исследователей, обрабатываем отчёты и даём рекомендации по устранению дыр.
Получается почти как пентест, но дешевле, лучше, и платишь тут не за красивый отчёт, а за реальные дыры.
Читать дальше →
Всего голосов 30: ↑18 и ↓12 +6
Просмотры 11K
Комментарии 8

Социальная инженерия на практике: «физический доступ» на закрытую конференцию Кевина Митника

Информационная безопасность *
«Физический доступ — это проникновение в здание интересующей вас компании. Мне это никогда не нравилось. Слишком рискованно. Пишу об этом — и меня уже пробивает холодный пот.» Кевин Митник, «Призрак в Сети. Мемуары величайшего хакера»



Еще в студенческое время, когда проводились олимпиады и конференции по информационной безопасности меня бесило то, что не принимались методы и работы, включающие в себя социальную инженерию (СИ). Как так! Ведь легендарный уже в те времена Митник говорит, что 99% взлома происходит с использованием СИ.

Не могу передать, какова была моя радость, когда я узнал в прошлом сентябре, что Митник приезжает в Москву, но еще большую радость мне доставил «рассказ одного моего знакомого», который попал на закрытую конференцию для бизнес-аудитории. Не знаю, может это он выдумал, но все же опубликую «текст перевода его письма», который он прислал мне с «анонимного почтового ящика».

Под катом отрывок из книги Митника про физический доступ и история про проникновение на конференцию Митника в Москве 2013.
Читать дальше →
Всего голосов 237: ↑233 и ↓4 +229
Просмотры 123K
Комментарии 81

Уязвимость на сайте Дом.ru, позволяющая получить личные данные клиентов

Информационная безопасность *
Из песочницы
Должен признаться, сам был удивлен подобной ситуацией. Я вообще ни разу не сисадмин, не пишу код и даже работаю в сфере, очень далекой от IT. Короче, я менеджер. По продажам промышленного оборудования. Однако люблю поковыряться в Linux (не могу не признаться в любви к calculate-linux) и поиграть в Windows.
Читать дальше →
Всего голосов 42: ↑25 и ↓17 +8
Просмотры 25K
Комментарии 47

Анализ защищенности терминалов общего пользования

Блог компании Журнал Хакер Информационная безопасность *


Игра Watch Dogs прекрасно описывает недалекое будущее: вокруг всевозможные девайсы, средства выдачи и приема наличных, а также разнообразные имеющие доступ в интернет устройства, нашпигованные уязвимостями, эксплуатация которых позволяет хакеру извлечь определенную выгоду. Например, в игре главный герой при помощи смартфона может скомпрометировать систему видеонаблюдения, получив тем самым возможности вести слежку и добывать дополнительную информацию.
Читать дальше →
Всего голосов 21: ↑21 и ↓0 +21
Просмотры 20K
Комментарии 6

3 Атаки на TACACS+ от Cisco

Блог компании Digital Security Информационная безопасность *
Мне хотелось бы поведать сегодня итоги своего небольшого исследования, связанного с протоколом TACACS+, причём именно с пентестерской точки зрения. Использовать протокол по прямому мне не приходилось, так что каких-то тонкостей могу не упомянуть.

Что такое TACACS+


Terminal Access Controller Access-Control System Plus (TACACS+) — специальный протокол от Cisco для AAA (authentication, authorization, and accounting). То есть это протокол для централизованного управления доступом – чаще всего доступом именно к Cisco, но можно прикрутить что-то еще.

Итак, обычно поднимается один-два сервера с TACACS+ сервисом на 49 порту протокола TCP, а на всех устройствах настраивают его использование. Таким образом, когда пользователь хочет аутентифицироваться на свитче, роутере или другом устройстве, устройство пересылает его аутентификационные данные на TACACS+ сервер, где их проверяют, и принимается решение о разрешении доступа, о чём и сообщается в ответных пакетах

image

Удобно, централизовано. Можно настроить различные привилегии для различных пользователей на различных устройствах. Есть логирование доступа и действий на серверной стороне. Можно прикрутить поверх другую централизацию доступа, типа AD или LDAP'а. Есть open source реализации сервера (Cisco когда-то официально выложила код).
Читать дальше →
Всего голосов 15: ↑15 и ↓0 +15
Просмотры 15K
Комментарии 10

Анализ трафика Android-приложений: обход certificate pinning без реверс-инжиниринга

Информационная безопасность *
Иногда нужно исследовать работу бэкенда мобильного приложения. Хорошо, если создатели приложения не заморачивались и все запросы уходят по «голому» HTTP. А что, если приложение для запросов использует HTTPS, и отказывается принимать сертификат вашего корневого удостоверяющего центра, который вы заботливо внедрили в хранилище операционной системы? Конечно, можно поискать запросы в декомпилированом приложении или с помощью реверс-инжиниринга вообще отключить применение шифрования, но хотелось бы способ попроще.

image
Читать дальше →
Всего голосов 25: ↑25 и ↓0 +25
Просмотры 43K
Комментарии 11