Рубрика «security» - 33

Microsoft уведомит пользователей о state-sponsored кибератаках

2016-01-02 в 10:47, admin, рубрики: microsoft, security, Блог компании ESET NOD32, информационная безопасность

Компания Microsoft опубликовала у себя в блоге информацию о дополнительных мерах по обеспечению безопасности пользователей. Она будет сообщать своим пользователям о том, что их аккаунты Microsoft, включая, Outlook.com и OneDrive были скомпрометированы лицом или группой лиц, относящихся к state-sponsored кибергруппе.

Microsoft уведомит пользователей о state-sponsored кибератаках - 1

Microsoft указывает, что используемые state-sponsored кибергруппами методы компрометации пользователей отличаются своей сложностью от тех, которые используют простые злоумышленники, действующие из своих личных и корыстных интересов. Уведомление пользователя о компрометации не будет однозначно говорить о том, что аккаунт был скомпрометирован, но указывает на то, что компания зафиксировала подозрительную активность. Активность означает то, что пользователю необходимо предпринять дополнительные меры по своей защите и защите своих аккаунтов Microsoft.

Читать полностью »

Printf Oriented Programming

2015-12-30 в 10:00, admin, рубрики: C, printf, security, информационная безопасность

Printf Oriented Programming - 1

Intro

К своему удивлению не нашел статей на хабре по этой теме и этой статьей я хотел бы исправить положение дел. В ней я постараюсь максимально доходчиво рассказать со стороны атакующего о Format String Attacks, однако с некоторыми упрощениями. На практике они достаточно просто разрешаются, но не очень хочется на них зацикливаться. Кроме того, самых стойких, долиставших до конца, помимо бесценных знаний ждет небольшой бонус.
Читать полностью »

Мобильные приложения и PA-DSS

2015-12-30 в 9:43, admin, рубрики: security, безопасность, Блог компании DataArt, информационная безопасность, Тестирование мобильных приложений

Автор: Роман Денисенко, старший инженер по тестированию.

Из-за специфики моей работы, мне часто задают вопросы вида «у нас есть прекрасное мобильное приложение, и мы собираемся добавить в него возможность платежей банковскими картами. Но мы немного обеспокоены по поводу стандарта PCI PA-DSS. Что нам следует делать?». Чтобы облегчить себе жизнь, я решил написать статью, разъясняющую отношение стандарта PCI PA-DSS к рядовым мобильным приложениям, живущим в миллионах мобильников по всему миру.

Для начала давайте вспомним, что такое PCI PA-DSS и с чем его вообще едят. Стандарт PA-DSS был разработан PCI SSC (Payment Card Industry Security Standards Council) и является своего родом адаптацией требований стандарта PCI DSS к отдельным приложениям. Действие стандарта распространяется на все приложения, обрабатывающие данные о держателях карт. Его основная функция — реализация возможности безболезненной интеграции сертифицированного платежного приложения в инфраструктуру, работающую в рамках стандарта PCI DSS. Таким образом, любая компания, сертифицируемая по стандарту PCI DSS, может использовать PA-DSS-сертифицированный софт внутри своей инфраструктуры без каких-либо дополнительных проверок.
Читать полностью »

Symfony2 Voters и Doctrine Filters на страже безопасности

2015-12-18 в 14:04, admin, рубрики: acl, doctrine, doctrine filter, Doctrine ORM, php, security, symfony, symfony voter, Веб-разработка, информационная безопасность

Все началось, когда я настраивал систему безопасности одной CRM. Как это часто бывает, в ней были пользователи с разными уровнями доступа к основным данным (назовем их entities). Вид основного грида у них был одинаковый, необходима была гибкость настроек доступа к entities. Сперва я подумал об ACL, но…
Читать полностью »

Эмуляция безопасности строк в PostgreSQL 9.4

2015-12-16 в 11:03, admin, рубрики: postgresql, security

В PostgreSQL 9.5 появится декларативная безопасность строк. Вы можете задать правила для таблиц и сделать их выполнение автоматическим, к примеру, позволяя пользователю joe видеть только строки, у которых в поле owner стоит значение joe.

Это отличный инструмент и он уже давно должен был появиться. Этого не было сделано в PostgreSQL 9.4, зато было сделано с помощью автоматически обновляемых представлений security_barrier. Они и функции LEAKPROOF формируют фундамент, на котором и построена безопасность строк. Вы можете использовать эти составляющие части без поддержки декларативной политики для достижения безопасности строк в 9.4.

Ранее я уже обсуждал security_barrier представления. Этот пост содержит в себе примеры того, как может произойти утечка информации из представления и как security_barrier представления предотвращают такие утечки. Я предположу, что Вы знакомы с принципами, изложенными в оставшейся части статьи и не буду повторно устраивать демонстрацию того, как происходят утечки информации из представлений и т.д.
Читать полностью »

Как работают в PostgreSQL security_barrier представления

2015-12-15 в 12:19, admin, рубрики: leakproof, postgresql, security, sql

Вы могли заметить, что в PostgreSQL 9.2 была добавлена поддержка для security_barrier представлений. Я смотрел в этот код с прицелом на добавление поддержки автоматического обновления для них, как части развивающейся работы по защите на уровне строк для проекта AXLE, и я подумал что попробую объяснить как они работают.

Роберт уже объяснил в чем польза таких представлений и от чего они защищают (кроме того, это еще обсуждалось в "Что нового в PostgreSQL 9.2"). Сейчас же я хотел бы перейти к тому, как они работают и обсудить как security_barrier представления взаимодействуют с автоматически обновляемыми представлениями.
Читать полностью »

Программа поиска уязвимостей в Spartan от Майкрософт

2015-04-27 в 18:35, admin, рубрики: bug, bug bounty program, microsoft, security, Spartan, windows, безопасность, браузеры, информационная безопасность, майкрософт., уязвимости

В Майкрософт не стали изобретать велосипед и вернулись к уже проверенной в ходе разработки Internet Explorer практике: для повышения уровня безопасности нового браузера Spartan компания запускает «Bug Bounty program», программу поощрения за сообщения о багах и уязвимостях. Браузер Spartan придет на смену Internet Explorer в новой ОС Windows 10, выход которой планируется уже этим летом.
Читать полностью »

Истинно анонимных пабликов в ВК не было до 29.10.14

2015-04-13 в 8:58, admin, рубрики: anonymization, security, Вконтакте, информационная безопасность, Социальные сети и сообщества

Привет! Я человек. Человек, которому интересно, как работает то, чем он пользуется чаще одного раза в день. И если в функциональности найден изъян, не поделиться с кем-то этим я не могу. Банально не хватает терпения сдерживать в себе информацию, которая может оказаться полезной некой категории людей, имеющих возможность извлечь из неё выгоду и поделиться со мной знанием, как такие знания использовать.
Читать полностью »

SaltStack: Предварительная генерация паролей для использования в сервисах

2015-04-02 в 8:24, admin, рубрики: generators, jinja, masterless, passwords, pillar, python, salt, saltstack, security, информационная безопасность, ит-инфраструктура, Настройка Linux, системное администрирование

О чем статья?

Короткая статейка о том, как сгенерировать пароли необходимые для разнообразных сервисов автоматически устанавливаемых с помощью SaltStack.
Читать полностью »

Microsoft неправильно исправила уязвимость, которую использовал червь Stuxnet

2015-03-11 в 2:29, admin, рубрики: security, Stuxnet, vulnerability, Блог компании ESET NOD32, информационная безопасность

Специалисты security-сообщества Zero Day Initiative (ZDI) опубликовали информацию о новой критической Remote Code Execution уязвимости в Windows (CVE-2015-0096), которую Microsoft закрыла обновлением MS15-020. Особенность этой уязвимости заключается в том, что она появилась еще в 2010 г., когда Microsoft выпустила обновление для исправления печально известной уязвимости CVE-2010-2568, позволявшей исполнять произвольный код в системе с помощью специальным образом сформированного .LNK файла (файл ярлыка).

Microsoft неправильно исправила уязвимость, которую использовал червь Stuxnet - 1

Эта уязвимость использовалась червем Stuxnet для своего распространения и, как теперь стало известно, на протяжении последних пяти лет после выпуска исправления, пользователи по-прежнему находились под угрозой возможной эксплуатации. Файлы типа .LNK позволяют указывать в своем теле ссылку на исполняемый PE-файл, из которого Windows может взять значок для отображения его в оболочке (Explorer).