Cis critical security controls. контроль 3 безопасная конфигурация устройствTeymur Kheirkhabarov
3-ий контроль из набора мер CIS Critical Security Controls 6-ой версии - что это такое, зачем это нужно, как реализовать и контролировать. Пример реализации на базе решений Kaspersky, MaxPatrol и Request Tracker. Пример использования Request Tracker для учёта информационных активов.
В современном бизнесе все решает время. Доступность корпоративных приложений из любой точки земного шара и с любых мобильных устройств - это и есть облик современного бизнеса. Но как обеспечить подобную доступность? VPN-шлюзы? Доставка приложений через веб-сервисы? Каждая компания свободна в выборе любого из решений. Но насколько безопасны эти решения? В презентации затронута практическая безопасность при организации удаленного доступа к приложениям с использованием решений самых популярных брендов в этой сфере.
Cis critical security controls. контроль 3 безопасная конфигурация устройствTeymur Kheirkhabarov
3-ий контроль из набора мер CIS Critical Security Controls 6-ой версии - что это такое, зачем это нужно, как реализовать и контролировать. Пример реализации на базе решений Kaspersky, MaxPatrol и Request Tracker. Пример использования Request Tracker для учёта информационных активов.
В современном бизнесе все решает время. Доступность корпоративных приложений из любой точки земного шара и с любых мобильных устройств - это и есть облик современного бизнеса. Но как обеспечить подобную доступность? VPN-шлюзы? Доставка приложений через веб-сервисы? Каждая компания свободна в выборе любого из решений. Но насколько безопасны эти решения? В презентации затронута практическая безопасность при организации удаленного доступа к приложениям с использованием решений самых популярных брендов в этой сфере.
Тестирование на проникновение в сетях Microsoft (v.2)Dmitry Evteev
Как показывает практика проведения тестирований на проникновение компанией Positive Technologies, всего 4-х часов достаточно атакующему, находящемуся во внутренней сети компании, для того, чтобы получить максимальный уровень привилегий. С чем это связано и можно ли от этого защититься? Данная тема будет освещена в ходе доклада Дмитрия Евтеева. На вебинаре будут подробно рассмотрены типовые успешные сценарии атак в сетях Microsoft, а также действия атакующего, связанные с пост эксплуатацией в Active Directory.
Системы класса SIEM могут быть вполне применимы не только для информационной безопасности, но и ИТ персоналом, разработчиками для своевременного обнаружения и предотвращения инцидентов
Технопарк Mail.ru Group, МГТУ им. Н.Э. Баумана. Курс "Базы данных".
Лекция №9 "Безопасность баз данных". Лектор - Павел Щербинин.
Открывается лекция рассказом о резервном копировании (о логических и физических резервных копиях, о выборе данных для копирования). Затем определяется терминология для обсуждения дальнейших вопросов. После этого рассматриваются основы учётных записей: таблицы доступа, привилегии, виды записей. Обсуждаются SQL-injection, список смежных вершин (Adjacency Set), вложенное множество (Nested Set), материализованный путь (Materialized Path) и комбинированный подход.
Видео лекции курса https://www.youtube.com/playlist?list=PLrCZzMib1e9obOz5K695ugYuiOOCBciEi
Тестирование на проникновение в сетях Microsoft (v.2)Dmitry Evteev
Как показывает практика проведения тестирований на проникновение компанией Positive Technologies, всего 4-х часов достаточно атакующему, находящемуся во внутренней сети компании, для того, чтобы получить максимальный уровень привилегий. С чем это связано и можно ли от этого защититься? Данная тема будет освещена в ходе доклада Дмитрия Евтеева. На вебинаре будут подробно рассмотрены типовые успешные сценарии атак в сетях Microsoft, а также действия атакующего, связанные с пост эксплуатацией в Active Directory.
Системы класса SIEM могут быть вполне применимы не только для информационной безопасности, но и ИТ персоналом, разработчиками для своевременного обнаружения и предотвращения инцидентов
Технопарк Mail.ru Group, МГТУ им. Н.Э. Баумана. Курс "Базы данных".
Лекция №9 "Безопасность баз данных". Лектор - Павел Щербинин.
Открывается лекция рассказом о резервном копировании (о логических и физических резервных копиях, о выборе данных для копирования). Затем определяется терминология для обсуждения дальнейших вопросов. После этого рассматриваются основы учётных записей: таблицы доступа, привилегии, виды записей. Обсуждаются SQL-injection, список смежных вершин (Adjacency Set), вложенное множество (Nested Set), материализованный путь (Materialized Path) и комбинированный подход.
Видео лекции курса https://www.youtube.com/playlist?list=PLrCZzMib1e9obOz5K695ugYuiOOCBciEi
Доклад от Parallels:
Методики тестировния производительности database-centric приложений
Описание: При работе над сложными продуктами в database-centric приложениях изменения в коде и тем более в SQL запросах к базе данных могут приводить к неожиданным падениям производительности или же деградации производительности приложения с ростом размера базы данных. Поэтому важно уметь как можно быстрее отлавливать и исправлять причины таких деградаций.
Доклад о том, как устроен процесс мониторинга производительности продукта автоматизации хостинга и облачных сервисов Parallels Automation, для которого определяющим фактором является производительность базы данных.
Компания покажет, как анализирует планы исполнения SQL запросов внутри PostgreSQL, как проверяет насколько быстро и эффективно в целом работают SQL запросы, как определяет стратегию дальнейшей оптимизации.
спроси эксперта. все, что вы хотели узнать про Dlp, но не у кого было спросить Solar Security
Спикеры:
Эликс Смирнов, аналитик отдела развития Solar Dozor компании Solar Security.
Андрей Прозоров, руководитель экспертного направления компании Solar Security.
Application Security - ответы на ежедневные вопросы / Сергей Белов (Mail.Ru G...Ontico
РИТ++ 2017, секция ML + IoT + ИБ
Зал Белу-Оризонти, 5 июня, 13:00
Тезисы:
http://ritfest.ru/2017/abstracts/2798.html
В данном докладе будет рассмотрено множество вопросов, с которыми сталкивается AppSec-отдел - как генерировать анти-CSRF токены, где хранить секретные ключи, как тестировать безопасность в сжатые сроки и многое, многое другое.
Александр Коротин. Безопасность систем управления турбинами в электроэнергетикеKaspersky
Александр Коротин, Специалист по анализу защищенности в «Лаборатории Касперского», в своем докладе рассказывает об особенностях безопасности систем управления турбинами в электроэнергетике.
Подробнее о конференции: https://kas.pr/kicsconf2021
3. 3
Дисклеймер
Вся информация предоставленная в докладе является ознакомительной. Автор
доклада не несет ответственности за ее использование в противозаконных целях.
Подобные действия могут влечь за собой уголовное преследование.
Использование инструментов для пентестинга может повлиять на работу веб-
приложения (высокая нагрузка, изменение и удаление данных и т.д.).
Все работы по проведению аудита безопасности должны проводиться на закрытых
окружениях и с ведома и разрешения владельцев веб-приложений.
Кратко об этичном хакинге (White hat hacking)
• Закон
• Благородные цели
• 0-day уязвимости – это не этично
Доклад построен только на собственном опыте, мнение автора может кардинально
отличаться от вашего
6. 6
Сканеры веб-уязвимостей
• Комплексная проверка веб-приложения на наличие уязвимостей разного рода
• Глубокий аудит безопасности веб-приложения (создание отчетов, описание
уязвимостей, советы по устранению и т.д.)
• Вводим адрес тестируемого приложения
• Используем дополнительные настройки (прокси, количество потоков, глубина
проверок, исключаемые части приложения и т.д.) - опционально
• Запускаем проверку и ждем…
• Анализируем результаты тестирования и принимаем дальнейшие меры
ДЛЯ ЧЕГО:
ИСПОЛЬЗОВАНИЕ
7. 7
1. Acunetix Web Vulnerability Scanner http://www.acunetix.com/
2. Vega Vulnerability Scanner https://subgraph.com/vega/
3. OWASP ZAP
https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Proj
ect
4. IronWASP http://ironwasp.org/
5. Nikto https://cirt.net/Nikto2
6. И многие другие…
Сканеры веб-уязвимостей
15. 15
Эксплуатация SQL-Injection (SqlMap)
• Поиск sql-уязвимостей веб-приложения
• Эксплуатация sql-уязвимостей веб-приложения
• Устанавливаем «правила игры» (глубина проверок, количество потоков и
т.д.) - опционально
• Запускаем проверку потенциально-уязвимого параметра
• В случае обнаружения уязвимости приступаем к эксплуатации (получаем
данные о БД, извлекаем таблицы, столбцы и строки, получаем
информацию о пользователях и привилегиях, загружаем os-shell и т.д.)
ДЛЯ ЧЕГО:
ЭТАПЫ РАБОТЫ:
http://sqlmap.org/
18. 18
Эксплуатация SQL-Injection (SqlMap)
• Получили доступ к БД
• Получили данные из таблиц (логины, пароли и т.д.)
• Узнали привилегии текущего пользователя. В зависимости от
привилегий мы получаем контроль к БД (запись, удаление,
изменение)
• Если достаточно прав на запись файлов, то мы смогли залить os-
shell для контроля над операционной системой
ИТОГИ:
19. 19
Поиск/Эксплуатация XSS (OWASP Xenotix)
• Поиск xss уязвимостей веб приложения
• Эксплуатация xss уязвимостей веб приложения
• Конфигурируем сервер (Ip-адрес и порт)
• Fuzzing – вводим урл, обозначая тестируемые параметры, как [X], запускаем
проверку, получаем результаты
• Эксплуатация – внедряем хук на страницу, пользуемся возможностями хука
(забираем информацию о «жертве», забираем куки, загружаем файлы, используем
социальную-инженерию и т.д.)
ДЛЯ ЧЕГО:
ЭТАПЫ РАБОТЫ:
https://www.owasp.org/index.php/OWASP_Xenotix_XSS_Exploit_Framework
21. 21
Поиск/Эксплуатация XSS (OWASP Xenotix)
• Проверили все возможные варианты XSS (4808 payloads) и
получили результаты об уязвимых местах
• Получили куки клиента
• Получили возможность использовать фишинг
• Keylogger, местоположение и многое другое
ИТОГИ:
23. 23
“Лаборатория” для пентестинга (Pentestbox)
• Для удобства пользования
• Все в одном месте (утилиты, интерпретаторы, библиотеки)
• Скачиваем https://pentestbox.com/
• Распаковываем на диск C (C:/PentestBox)
• Запускаем и пользуемся
ДЛЯ ЧЕГО:
Этапы работы:
25. 25
“Лаборатория” для пентестинга (Pentestbox)
Web Vulnerability Scanners1
Stress Testing2
Information Gathering3
Exploitation Tools4
Password Attacks5
Android Security6
И другие7
26. 26
Выводы и краткий план действий
• Проверяем потенциально уязвимое место на Sql инъекции
• Исследуем и приобретаем понимание того, насколько данная
уязвимость критична
Углубляемся
в проверку
SQL-inject
2
1
• Получаем данные о потенциальных уязвимостях
• Приобретаем понимание того, насколько уязвимо наше веб-
приложение
• Получаем красивый отчет, описания и советы по исправлениям
Проверяем
сканером
уязвимостей
3
• Проверяем потенциально уязвимое место на XSS
• Исследуем и приобретаем понимание того, насколько данная
уязвимость критична
Углубляемся
в проверку
XSS