Хотел написать комментарий, но вы практически все мои мысли уже озвучили, благодарю.
Если вы достаточно крупный, чтобы значительно влиять на облачного провайдера, тогда, возможно, будет безопаснее. Но в остальном, надо понимать, что (как и на вашей стороне) данные могут потеряться, так что лучше не пренебрегать числом бекапов \ резервов на альтернативных площадках.
Логично. Но зависит от того, какую форму сделать на стороне злоумышленника. Простор для соц.инженерии и фишинга огромный. Не 100% вариант, согласен, и брутить пользаков надо, да.
Насколько я понял. Суть в том, что мы для целевой атаки на user@example.com отправляем ссылку на восстановление от имени легитимного сервера, но которая ведёт на наш ресурс.
При этом Web-серверы того же Личного кабинета — 1 находятся уже в разных логических сетях (зелёные овалы Р4 и Р5);
Все серверы, реализующие Личный кабинет — 1, в свою очередь находятся в единой логической сети Р10 (выделенная пунктиром зона).
Возможно, глупый вопрос, но я не понял, как эти два пункта действуют одновременно?
И ещё вопрос, как это применимо к сетям вне ЦОДов, н-р локальным «офисным» сетям? Вместо ядра сети использовать кластер с NSX?
Отвечу сам себе.
Прошу прощения, поспешил, перевод найден на главной странице OWASP ASVS
https://raw.githubusercontent.com/OWASP/ASVS/v5.0.0/5.0/OWASP_Application_Security_Verification_Standard_5.0.0_ru.pdf
Увы, в репозитории перевод на русский отсутствует, по ссылке 404.
Хотел написать комментарий, но вы практически все мои мысли уже озвучили, благодарю.
Если вы достаточно крупный, чтобы значительно влиять на облачного провайдера, тогда, возможно, будет безопаснее. Но в остальном, надо понимать, что (как и на вашей стороне) данные могут потеряться, так что лучше не пренебрегать числом бекапов \ резервов на альтернативных площадках.
Логично.
Но зависит от того, какую форму сделать на стороне злоумышленника. Простор для соц.инженерии и фишинга огромный. Не 100% вариант, согласен, и брутить пользаков надо, да.
Насколько я понял. Суть в том, что мы для целевой атаки на user@example.com отправляем ссылку на восстановление от имени легитимного сервера, но которая ведёт на наш ресурс.
Не хватает информации по специалистам "ИБ" направления :(
Возможно, глупый вопрос, но я не понял, как эти два пункта действуют одновременно?
И ещё вопрос, как это применимо к сетям вне ЦОДов, н-р локальным «офисным» сетям? Вместо ядра сети использовать кластер с NSX?