Страницы

среда, 25 апреля 2012 г.

eBay. Что купил твой сосед?

Посещая eBay, я наткнулась на очевидное упущение идеологов. Там есть такая фишка (feedback), которая влияет на рейтинг покупателей и продавцов. После совершения покупки и получения товара вас настоятельно просят оценить продавца («оставить feedback»).

Вы переходите на страницу, выставляете оценку по нескольким показателям — и вроде бы все. Но! Тем самым вы оставляете запись на странице продавца, в которой указаны ваше имя пользователя, стоимость оплаченного товара, его наименование, дата. Зайдя на страницу к любому продавцу, мы можем видеть — кто, когда, что и на какую сумму покупал у него.

воскресенье, 22 апреля 2012 г.

Популярное сетевое оборудование и статистика уязвимостей

По данным аналитических агентств производителем наиболее популярного оборудования коммутации и маршрутизации для средних и крупных предприятий является Cisco Systems (около 64% мирового рынка). На втором месте HP Networking (приблизительно 9%). Далее следуют Alcatel-Lucent (3%), Juniper Networks и Brocade (по 2,3%), Huawei (1,8%) и прочие производители, которые менее заметны на фоне гигантов, но сообща занимают, тем не менее, около 17,6% рынка.
В России ситуация особая. Кроме продукции названных выше производителей у нас достаточно распространены коммутаторы Nortel и Allied Telesis. Кроме того, часто встречаются устройства производителей D-Link и NetGear, предлагающих оборудование для малых и средних предприятий. Brocade на отечественных просторах пока что редкая птица.

четверг, 19 апреля 2012 г.

Введение в SELinux: модификация политики targeted для сторонних веб-приложений

Привет, коллеги!
Многие из нас занимаются настройкой рабочих серверов для веб-проектов. Я не буду рассказывать о том, как настроить Apache или Nginx: вы знаете об этом больше меня. Но один важный аспект создания frontend-серверов остается неосвещенным: это настройки подсистем безопасности. «Отключите SELinux», — вот стандартная рекомендация большинства любительских руководств.

Мне кажется, что это поспешное решение, ибо процесс настройки подсистем безопасности в режиме «мягкой» политики чаще всего весьма тривиален.

Сегодня я расскажу вам о некоторых методах настройки подсистемы безопасности SELinux, применяемой в семействе операционных систем Red Hat (CentOS). В качестве примера мы настроим связку для веб-сервера Apache + mod_wsgi + Django + ZEO на CentOS версии 5.8.

воскресенье, 15 апреля 2012 г.

Модный тренд APT — беспечность и как с ней бороться

Компании делятся на две категории: те, которые знают, что они скомпрометированы, — и те, которые еще не в курсе.<

Термин APT (advanced persistent threat) был введен Военно-воздушными силами США в 2006 году для описания нового вида атак. Тогда впервые была предпринята попытка проанализировать проведенную атаку, сделать выводы и попытаться противостоять новой угрозе. APT — это не какой-то навороченный эксплойт и не новомодный троян. APT — это парадигма атаки.

Общие принципы, на которых строится APT, давно известны. К примеру, применение социальной инженерии, чтобы спровоцировать пользователя открыть ссылку или прикрепленный файл. Или использование уязвимостей для получения доступа к атакуемой системе. Чем же так страшна APT? Попробуем разобраться.

среда, 11 апреля 2012 г.

Введение в XCCDF

XCCDF (The Extensible Configuration Checklist Description Format, Расширяемый формат описания контрольных листов настроек) — это спецификационный язык на основе XML для описания контрольных листов настроек безопасности (security configuration checklists) и других подобных документов. XCCDF является одним из языков Протокола автоматизации контента безопасности (Security Content Automation Protocol, SCAP). XCCDF — важный инструмент для специалистов, связанных с автоматизацией процессов информационной безопасности. На этом языке описаны, к примеру, обязательные требования по настройке рабочих станций федеральных агентств США и их контрагентов (программа FDCC/USGCB).

В этой статье мы рассмотрим, каким образом описываются контрольные листы настроек безопасности на языке XCCDF — на примере USGCB-контента для RedHat Enterprise Linux.

пятница, 6 апреля 2012 г.

Настраиваем пользовательский синий экран смерти

Он посинел, ему плохо?

BSOD – реакция ядра на неразрешимую исключительную ситуацию. Если вы его видите, то это значит, что случилось что-то определенно нехорошее.


Среда ядра накладывает множество ограничений на свободу действий программиста: учитывай IRQL, синхронизируй доступ к разделяемым переменным, не задерживайся в ISR, проверяй любые данные из «юзерленда»… Нарушив хотя бы одно из правил, вы получите настоящий выговор из штампованных фраз в стандартном VGA-видеорежиме с худой палитрой.

четверг, 5 апреля 2012 г.

(Не)безопасный серфинг?

Сегодня многие популярные браузеры поддерживают автообновление, однако значительную часть плагинов к ним нужно обновлять самостоятельно. Внушительное количество пользователей делает это крайне редко, не задумываясь или не зная, что в большинстве случаев атакуются не только браузеры, но и плагины!



Под катом - любопытная статистика проверок безопасности браузеров и плагинов на наличие потенциальных уязвимостей по результатам работы онлайн службы SurfPatrol в 2011 году. Данные предоставляются по Рунету.

0day/текила/криптография

На прошлой неделе прошла конференция «РусКрипто». Насколько я знаю, это старейшая из ныне здравствующих конференций по информационной безопасности. Несмотря на почетный возраст, конференция живет и развивается, за что огромное спасибо организаторам: Ассоциации «РусКрипто» и АИС.


В свое время именно на этой площадке я обкатывал свои идеи, которые позже привели к появлению Positive Hack Days. Именно тут прошел первый масштабный CTF под руководством Дмитрия Евтеева. В общем, отношение к «РусКрипто» у меня крайне теплое и в некоторой степени даже ностальгическое.

В этом году конференция проходила на площадке загородного отеля «Солнечный». Кстати, на веб-сайте отеля уютно расположилась mobile malware – расценил это как тест на профпригодность =)

понедельник, 2 апреля 2012 г.

Citrix XenServer 5.6 Free/Advanced Security Guide

Многие из вас работают с операционной системой Citrix XenServer 5.6. Компания Citrix предлагает весьма ограниченный набор документов по безопасной настройке системы. Он состоит из Common Criteria Documents и User Security Guide. Полноценные же Security Guide или CIS Benchmark отсутствуют.

Чтобы решить эту проблему, специалисты исследовательского центра Positive Research провели анализ операционной системы Citrix XenServer 5.6. Результатом работы стал документ «Positive Technologies: Citrix XenServer 5.6 Free/Advanced Hardening Guide (Public Beta)». Надеемся, он заполнит пробел в документации по данной операционной системе в сфере информационной безопасности.

Документ готов к открытому бета-тестированию, которое продлится до 30.04.2012. Пожалуйста, не производите тестирование на production-серверах. Помните, что все операции Вы выполняете на свой страх и риск. Ваши комментарии и пожелания можете высылать на KErmakov (at) ptsecurity.ru непосредственному участнику в разработке данного документа.

Выражаем благодарность пользователю amarao за его вклад в составление данного документа.