Inspired by Insecure

пентест

24/03/17 |Research # , , , ,

Как одурачить «умный город»

Как обмануть датчики дорожного движения

Концепция умного города включает в себя объединение различных современных технологий и решений, способных обеспечить комфорт и удобство получения услуг, безопасность граждан, рациональное потребление ресурсов и т.д. Мы хотим обратить внимание на то, что часто выпадает из поля зрения поклонников концепции умного города – на безопасность самих элементов умного города. Инфраструктура умных городов развивается быстрее, чем средства ее защиты, что оставляет большой простор для деятельности как любопытных исследователей, так и злоумышленников. Continue reading

0 likes no responses
31/05/15 |Blog # , ,

Про недавний взлом MosMetro_Free

Про недавний взлом MosMetro_FreeНедавний взлом Wi-Fi-сети в Московском метрополитене, хорошо известной миллионам ее пользователей под названием MosMetro_Free, вызвал немало обсуждений в российской прессе. В данном посте собраны ответы на вопросы, связанные с тем, как обезопасить себя от подобных угроз.

Continue reading

0 likes no responses
02/04/15 |Research # , , ,

Анализ защищенности терминалов общего пользования

Игра Watch Dogs прекрасно описывает недалекое будущее: вокруг всевозможные девайсы, средства выдачи и приема наличных, а также разнообразные имеющие доступ в интернет устройства, нашпигованные уязвимостями, эксплуатация которых позволяет хакеру извлечь определенную выгоду. Например, в игре главный герой при помощи смартфона может скомпрометировать систему видеонаблюдения, получив тем самым возможности вести слежку и добывать дополнительную информацию.

Continue reading

0 likes no responses
30/11/11 |Blog # , , ,

Записки аудитора: аудит в условиях непрерывного пентеста

Метод проведения аудита в условиях непрерывного пентеста

Проведение технического аудита в подавляющем большинстве случаев сопровождается анализом защищенности сетевого периметра. Практика показывает, что этап проведения внешнего теста на проникновение является для аудитора задачей, которая требует ожидания. За время, пока пентестеры врезаются в инфраструктуру, пытаясь перевести свою деятельность на внутрекорпоративный уровень, аудитор проводит ряд организационных мероприятий, связанных с получением дополнительных данных для последующей оценки защищенности методом «белого ящика». Иногда встречаются ситуации, когда он вынужден выносить вердикт исключительно по результатам теста на проникновение или в значительной степени опираться на эти результаты. Встает вопрос оптимизации в реальном времени получаемой от пентестера информации.

Continue reading

0 likes no responses
05/03/11 |Research # , , , , , ,

Пластиковая безопасность

Проведение «мероприятий по оценке соответствия  требованиям стандарта безопасности данных индустрии платежных карт (PCI DSS)» стало одной из востребованных услуг среди их прочего спектра, предоставляемой консалтинговыми организациями. Насколько эта оценка отражает реальное положение дел в «пластиковой» инфраструктуре? На операционном столе стандарт, требования которого некоторые считают «панацеей» от утечки платежных данных.

Continue reading

0 likes one response
28/02/11 |Research # , , , ,

Аналитическая работа на тему “PCI DSS”

Взгляд на аудит сквозь призму стандарта PCI DSS Стремительно растет количество операций с использованием пластиковых карт: онлайн-платежи, безналичный расчет в торгово-сервисных предприятиях, манипуляции с банковским счетом в системах онлайн-банкинга и прочие платежные приложения от поставщиков услуг. Соответственно, расширяется инфраструктура, в которой циркулируют информация о держателях карт и критичные аутентификационные данные. В случае попадания этой информации или ее части в руки к злоумышленникам финансовые потери несут как банки-эмитенты, так и конечные пользователи. Continue reading

0 likes no responses
20/07/09 |Blog # ,

Пентест vs. Консалтинг

Ознакомившись с постом Дмитрия Евтеева, касающегося тестов на прониктновение, согласился с мыслью, что при грамотной обработке результатов пентеста можно улучшить стратегию укрепления СУИБ. Однако ни один пентестер не предоставит полной картины безопасности исследуемой инфраструктуры, ведь работа заключается в проникновении, а не в обнаружении всех «узких» и потенциально «узких» мест.

 

Смысл не в том, что в идеале тест на проникновение должен комплексно оценить степень защищенности объекта, а в том, что на российском рынке услуг своя «реальность». Здесь пентестер (a.k.a. хакер) получает свои кровные по факту проникновения, работая по шаблонным и хорошо отработанным методикам. Как заметил Крис Касперски, тест на проникновение по большей части, осуществляется в «фоновом режиме». 
 

Другое дело – security-консультант, получающий «на руки» всю топологию исследуемого объекта и имеющий доступ ко всем его «углам». На мой взгляд, грамотный конслатинг должен включать в себя процедуру пентеста как подмножество.

Факт проникновения не может давать полной картины защищенности. И "расширенность" тестирования прямо пропорциональна степени финансовой "вложенности", что, естесственно, уже стремится к расценкам консалтинга.
 

0 likes no responses
Stay up to date

Twitter
RT @e_kaspersky: The other (vulnerable) side of "Connected Medicine" ⚕ 5 tips from @difezza to make it a safer place for everyone ⟹ https:/…
Connected Medicine and Its Diagnosis: the fatal flaws in medical IT-infrastructure and how to fix it. #SmartMedicine https://t.co/v7S3kwmufD
Cybersecurity in 2020: boosting protection with traps and tripwires to distract the attacker from the genuine asset. https://t.co/LKMtXxOAZo
Channel-to-channel crosstalk: data can be captured if "evil" device is plugged into adjacent ports on same USB hub https://t.co/V85zb3BseK
"Man in the Middle", now I know how you look like. #defcon25 https://t.co/eXJzbToo79
Recent Comments
- Sergey to Погружение в даркнет: Снифаем выходную ноду Tor и анализируем получившийся контент
лучше заходиииииииить через тор онлайн http://torproject.online/,...
- Denis Makrushin to The problems of heterogeneous means of protection
Of course!...
- K. Olbert to The problems of heterogeneous means of protection
Insightful diagram, Denis. Would you mind if I use it in a presentation, with credit, of course?...