Download to read offline
More Related Content
![SMOKE - The Convenient Truth [1st place Worlds Best Presentation Contest] by ...](https://cdn.slidesharecdn.com/ss_thumbnails/smoke-theconvenienttruth-ep-101028211434-phpapp01-thumbnail.jpg?width=640&height=640&fit=bounds)
Security & penetration testing
- 1. Security & penetration. Let’s start SvetlanaYakovleva 04/24/2014 1
- 2. Agenda • В какихслучаях необходима проверка на уязвимости и безопасность • Методы проверок • OWASP классификация хакерских атак и уязвимостей ПО и как их избежать • Обзор инструментов тестирования • Примеры уязвимостей «из жизни» 2
- 3. Когда необходимо проверить? • Банковский,страховой софт • Личные данные (медицина, семейное положение, и тп) • Соц.сети • Инновационные проекты • Государственная тайна • Коммерческая тайна • Продолжите список 3
- 4. Как проверять? По ресурсам: 1.Внутренняя проверка – вручную, инструментами, автотестами 2. Привлеченные специалисты По обьему: 1. В зависимости от нужд клиента 2. В зависимости от специфики приложения 3. Атаки 4. Уязвимости 4
- 5. QWASP классификация • A1Injection (Инъекции, к примеру SQL, CSS, JS) • A2 Cross Site Scripting (XSS межсайтовый скриптинг) • A3 Broken Authentication and Session Management (ошибки аутентификации) • A4 Insecure Direct Object References (незащищенные ресурсы и объекты) • A5 Cross Site Request Forgery (CSRF подделка межсайтовых запросов) • A6 Security Misconfiguration (небезопасная конфигурация окружения) • A7 Failure to Restrict URL Access (несанкционированный доступ) • A8 Unvalidated Redirects and Forwards (открытый редирект) • A9 Insecure Cryptographic Storage (небезопасное хранение данных) • A10 Insufficient Transport Layer Protection (недостаточная защита данных при их передаче) https://www.owasp.org/index.php/Category:OWASP_Top_Ten_Project 5
- 6. Чем проверять? • Плагины– InjectME • Инструменты – WebScarab • Здравый смысл и воображение 6
- 7. Контакты Мне можно написать svetlanaw@gmail.com Илинаписать Skype: svetayakovleva 7