Мое представление о безопасности базируется на принципе, что надо выстраивать большое количество препятствий для атакующих (как больших, так и мелких), которые затрудняют его продвижение.
Сильный пароль в этом случае играет как раз именно роль небольшого препятствия. Можно ли его обойти? Конечно. Как минимум увидеть на табличках, спросить у секретаря и т.п. Усложнит это атаку? Немного, но да. И чем больше таких препятствий, тем меньшее количество атакующих будут тратить свои силы на них (им проще пойти на "старую дверь" у соседа).
Например, MAC фильтр конечно легко обойти, взяв MAC легитимного клиента. Но если вместе с ним включен Management Frame Protection, то легитимного клиента уже не отключишь. Следовательно, надо ждать, пока он сам уйдет. Это растягивает атаку во времени и делает ее дороже.
Также и здесь. Можем мы оставить гостевую сеть открытой? Можем. И возможно на данный момент развития техник, атакующий не сможет как то проникнуть внутрь из нее или получить дополнительные данные. Но время идет вперед и мы не можем знать, какие атаки появятся в будущем. На мой взгляд, проще не давать атакующему "ни пяди земли", полностью сковать его действия, нежели пускать хоть куда то, будучи уверенным в безопасности этой части инфраструктуры.
Дрон в той истории, на мой взгляд, как doom запущенный в блокноте: интересно, но вряд ли применимо на каждый день :)
Закладку в виде Raspberry Pi действительно иногда удобно делать. Это может немного усложнить атаку (затраты, проникновение и пр.), но такие действия имеют место быть, если других вариантов не остается.
По проверке мобильным устройством сертификата RADIUS сервера при подключении ситуация такая: мы можем сгенерировать сертификат, например, с помощью ZeroSSL. Мобильный клиент не проверяет имя и принадлежность сертификата к серверу (а-ля HTTPS). Для него главное, чтобы сертификат был выпущен доверенным центром (коим ZeroSSL и Let`s Encrypt являются). Что получаем:
iPhone - на тестах в лабораторных условиях мои исследования еще в процессе, но пока не удается заставить iPhone (с последними обновлениями и дефолтными настройками) подключиться без действий пользователя. Но в процессе выполнения реальных атак я получал подключение от Apple устройств и пользователь там ничего не выбирал сам (обстоятельства в процессе выяснения);
Android - совершенно без проблем подключается к точке без действий пользователя и в лабораторных условиях, и на реальных проектах.
Не встречался с такими решениями в процессе тестирований, по этому точно не могу сказать, на сколько они будут жизнеспособные и безопасные. Хотя на мой взгляд они, как минимум, достойны рассмотрения и попытки внедрения (и тестирования на проникновение).
Подобные решения, которые представляют собой сочетания разных технологий, я не описывал, так как сам их не внедрял и не администрировал. Также хотел ограничиться только тем, что уже есть на руках, чтобы не поднимать вопрос о дополнительных денежных тратах.
Для перехвата хэша WPA Enterprise используется такая техника, как Evil Twin. Она заключается в том, что атакующий разворачивает точку доступа с именем (и настройками) целевой WiFi сети. Легитимный клиент, который подключается к подменной точке доступа передает ей свой хэш (или plain text пароль), который можно отправить на брут.
В ручном режиме эту атаку можно проводить с помощью hostapd-wpe или hostapd-mana (модификации hostapd). Для автоматизации можно использовать EAPhammer, airgeddon.
Тоже сталкивались с тем, что какие-то обновления очень долго вставали на 2016/19. Когда мы начинали внедрять установку обновлений, то в парке имелось большое количество старых серверных ОС, которые потом заменялись на новые. Таким образом мы с коллегами могли сравнить время установки со старыми ОС, и когда их практически не осталось. По нашим субъективным мнениям, новые патчились быстрее.
Но тут конечно много факторов. От железа до серверных ролей.
Пропаганда PowerShell — good :)
Единственное позволю дать Вам небольшой совет: если пишите команды «на показ», пожалуйста используйте полные называния cmdlet`ов (Select-Object вместо SELECT). Так будет легче понимать код людям, которые только начинают знакомство :)
Именно после того, когда я отказался от cmd и заставлял себя любое телодвижение производить в PowerShell, тогда я начал к нему привыкать :)
Т.к. (конечно, все в курсе), что все эти команды работают и в PowerShell, я не вижу смысла осознано использовать cmd, когда есть старший брат. Если вы еще им не пользовались в полную силу — попробуйте. Впечатления от cmd вообще сойдут на нет :)
Для автоматизации на WinXP больше предпочитаю WSH.
Абсолютно с вами согласен!
Так же дополнил бы: паранойя на сходство со всем!
Когда выходит новый телефон прямоугольной формы (пусть даже со скругленными углами), то 90% людей сразу говорит что дизайн украли (а 99% из этих 90% говорит что дизайн украли у iPhone).
Каким образом можно изменить прямоугольный телефон так, что бы про него не сказали, что дизайн украден? Наверное, сделать телефон квадратным, треугольным или овальным (ну, можно и круглым). Или как Самсунг, сделать телефон с изогнутым дисплеем.
К теме: вообще не вижу сходства P6 и iPhone (если не брать в расчет, что это два прямоугольника).
Не знаю что так все зациклились на кнопке «Пуск», замечательно работается без нее (8-ка и дома и на работе). Сначала было непривычно, сейчас я о ней и не вспоминаю и какого то «аццкого дискомфорта» вообще не ощущаю.
Мое представление о безопасности базируется на принципе, что надо выстраивать большое количество препятствий для атакующих (как больших, так и мелких), которые затрудняют его продвижение.
Сильный пароль в этом случае играет как раз именно роль небольшого препятствия. Можно ли его обойти? Конечно. Как минимум увидеть на табличках, спросить у секретаря и т.п. Усложнит это атаку? Немного, но да. И чем больше таких препятствий, тем меньшее количество атакующих будут тратить свои силы на них (им проще пойти на "старую дверь" у соседа).
Например, MAC фильтр конечно легко обойти, взяв MAC легитимного клиента. Но если вместе с ним включен Management Frame Protection, то легитимного клиента уже не отключишь. Следовательно, надо ждать, пока он сам уйдет. Это растягивает атаку во времени и делает ее дороже.
Также и здесь. Можем мы оставить гостевую сеть открытой? Можем. И возможно на данный момент развития техник, атакующий не сможет как то проникнуть внутрь из нее или получить дополнительные данные. Но время идет вперед и мы не можем знать, какие атаки появятся в будущем. На мой взгляд, проще не давать атакующему "ни пяди земли", полностью сковать его действия, нежели пускать хоть куда то, будучи уверенным в безопасности этой части инфраструктуры.
Дрон в той истории, на мой взгляд, как doom запущенный в блокноте: интересно, но вряд ли применимо на каждый день :)
Закладку в виде Raspberry Pi действительно иногда удобно делать. Это может немного усложнить атаку (затраты, проникновение и пр.), но такие действия имеют место быть, если других вариантов не остается.
По проверке мобильным устройством сертификата RADIUS сервера при подключении ситуация такая: мы можем сгенерировать сертификат, например, с помощью ZeroSSL. Мобильный клиент не проверяет имя и принадлежность сертификата к серверу (а-ля HTTPS). Для него главное, чтобы сертификат был выпущен доверенным центром (коим ZeroSSL и Let`s Encrypt являются).
Что получаем:
iPhone - на тестах в лабораторных условиях мои исследования еще в процессе, но пока не удается заставить iPhone (с последними обновлениями и дефолтными настройками) подключиться без действий пользователя. Но в процессе выполнения реальных атак я получал подключение от Apple устройств и пользователь там ничего не выбирал сам (обстоятельства в процессе выяснения);
Android - совершенно без проблем подключается к точке без действий пользователя и в лабораторных условиях, и на реальных проектах.
А на каком этапе вы бы предложили использовать дрон или закладку в виде Raspberry Pi?)
За сертификаты - снимаю перед вами шляпу :)
А что касается Captive Portal и уникальные PSK - звучит очень интересно (хотя и возникает много вопросов). Такую связку я бы протестировал :)
Не встречался с такими решениями в процессе тестирований, по этому точно не могу сказать, на сколько они будут жизнеспособные и безопасные. Хотя на мой взгляд они, как минимум, достойны рассмотрения и попытки внедрения (и тестирования на проникновение).
Подобные решения, которые представляют собой сочетания разных технологий, я не описывал, так как сам их не внедрял и не администрировал.
Также хотел ограничиться только тем, что уже есть на руках, чтобы не поднимать вопрос о дополнительных денежных тратах.
Для перехвата хэша WPA Enterprise используется такая техника, как Evil Twin. Она заключается в том, что атакующий разворачивает точку доступа с именем (и настройками) целевой WiFi сети. Легитимный клиент, который подключается к подменной точке доступа передает ей свой хэш (или plain text пароль), который можно отправить на брут.
В ручном режиме эту атаку можно проводить с помощью hostapd-wpe или hostapd-mana (модификации hostapd). Для автоматизации можно использовать EAPhammer, airgeddon.
Тоже сталкивались с тем, что какие-то обновления очень долго вставали на 2016/19.
Когда мы начинали внедрять установку обновлений, то в парке имелось большое количество старых серверных ОС, которые потом заменялись на новые. Таким образом мы с коллегами могли сравнить время установки со старыми ОС, и когда их практически не осталось. По нашим субъективным мнениям, новые патчились быстрее.
Но тут конечно много факторов. От железа до серверных ролей.
Может у вас есть какой-нибудь пример такого "глюка"? Также интересно, было ли это критично для сервиса или инфраструктуры?
Nessus, OpenVAS.
Вы меня прям расстроили. Очень жаль. Очень полезный был вебинар.
Единственное позволю дать Вам небольшой совет: если пишите команды «на показ», пожалуйста используйте полные называния cmdlet`ов (Select-Object вместо SELECT). Так будет легче понимать код людям, которые только начинают знакомство :)
Что по теме — проект действительно классный и многообещающий.
Т.к. (конечно, все в курсе), что все эти команды работают и в PowerShell, я не вижу смысла осознано использовать cmd, когда есть старший брат. Если вы еще им не пользовались в полную силу — попробуйте. Впечатления от cmd вообще сойдут на нет :)
Для автоматизации на WinXP больше предпочитаю WSH.
За статейку спасибо — интересно!
Напомнило:
Так же дополнил бы: паранойя на сходство со всем!
Когда выходит новый телефон прямоугольной формы (пусть даже со скругленными углами), то 90% людей сразу говорит что дизайн украли (а 99% из этих 90% говорит что дизайн украли у iPhone).
Каким образом можно изменить прямоугольный телефон так, что бы про него не сказали, что дизайн украден? Наверное, сделать телефон квадратным, треугольным или овальным (ну, можно и круглым). Или как Самсунг, сделать телефон с изогнутым дисплеем.
К теме: вообще не вижу сходства P6 и iPhone (если не брать в расчет, что это два прямоугольника).
Честно, накипело блин :)