Сегодня поделюсь с вами историей из практики, которая наглядно покажет, к каким быстрым и катастрофическим последствиям может привести задержка с установкой патчей для серверного ПО.
Рубрика «тестирование на проникновение»
Пентест корпоративной сети: о пользе своевременных патчей Microsoft AD
2023-03-27 в 12:15, admin, рубрики: active directory, CVE-2022–26923, dcsync, mimikatz, rubeus, аудит безопасности, аудит внутренней сети, Блог компании Бастион, информационная безопасность, патчи, Тестирование IT-систем, тестирование на проникновениеПростая агентурная работа: интервью с социальными инженерами
2022-04-12 в 8:56, admin, рубрики: Блог компании Бастион, интервью, информационная безопасность, личный опыт, мошенники, проверки компаний, промышленный шпионаж, социальная инженерия, тестирование на проникновение, шпионаж, шпионские штучки
Проверка системы безопасности компании это не только пентесты и фишинговые рассылки, но и шпионские операции с проникновением на территорию заказчика. Этим занимаются самые законспирированные сотрудники Бастион. Мы поймали их в перерыве между проектами, чтобы задать несколько вопросов об этой нестандартной работе.
По понятным причинам, мы не раскрываем настоящие имена наших спецов, так что в этом разговоре они выступят под псевдонимами Алиса и Боб. Они уже не первый год занимаются этой работой, но впервые согласились рассказать о ней широкой публике.
Осторожно, этот пост может спровоцировать приступы паранойи.
Профессиональный обман: как мы рассылаем фишинговые письма нашим клиентам
2022-03-29 в 9:00, admin, рубрики: email-рассылки, Блог компании Бастион, информационная безопасность, информационная гигиена, кибербезопасность, социальная инженерия, тестирование на проникновение, управление персоналом, фишинг, фишинговые атаки, фишинговые письмаПеред новым годом в приемной компании «А», входящей в состав крупного холдинга, раздался звонок. Трубку подняла секретарь — Марина. Звонивший представился как сотрудник головной компании и сообщил, что, необходимо передать директору персональное приглашение на новогоднюю вечеринку. Марина открыла почту, нашла письмо и распечатала документ, а заодно сообщила e-mail руководителя. Она совершила ошибку.
Чуть позже директор, а заодно и весь высший менеджмент компании получили письмо следующего содержания:
Директор поручил Марине заняться приготовлениями к мероприятию. Секретарь перезвонила, чтобы узнать, как сделать пригласительные для супруги директора, и уточнить дрескод. В ответ прозвучало, что форма одежды карнавальная. Только после этого один из сотрудников заподозрил неладное и позвонил напрямую в головную компанию. Там ответили, что карнавалов сроду не проводили и не планируют...
Захватываем сеть через сервер централизованного управления и защищаемся от таких атак
2022-01-11 в 9:00, admin, рубрики: Kali, антивирусы, аудит безопасности, аудит внутренней сети, Блог компании Бастион, информационная безопасность, Тестирование IT-систем, тестирование на проникновение, уязвимости, централизованное управлениеПривет, меня зовут Дмитрий, в команде Бастион я отвечаю за этап внутреннего тестирования на проникновение.
Сегодня я на конкретном примере покажу, как антивирус может подставить под удар всю корпоративную сеть. Разберемся, почему средства централизованного управления необходимо охранять как зеницу ока, а затем сформулируем рекомендации по защите таких систем.
В моей практике было немало случаев, когда хорошо защищенные сети были скомпрометированы из-за систем централизованного управления. Один из них произошел этим летом.
Крупная промышленная компания заказала у нас пентест. Для внутреннего тестирования выбрали сценарий, в котором злоумышленник подключил свой ПК к локальной сети организации.
«Кража» со взломом: пентест финансовой организации
2021-11-30 в 7:53, admin, рубрики: OWASP, аудит безопасности, аудит внутренней сети, аудит сайта, Блог компании Бастион, информационная безопасность, социальная инженерия, Тестирование IT-систем, Тестирование веб-сервисов, тестирование на проникновение, уязвимости, финансы, фишинг
В этом посте мы расскажем, как сломанная логика, самописные сервисы и графические пароли могут привести к захвату сетевой инфраструктуры компании, полной потере денег и пользовательских данных.
Протестируй меня полностью: кому и зачем нужен внутренний пентест
2020-07-21 в 6:00, admin, рубрики: cybersecurity, информационная безопасность, ит-инфраструктура, тестирование на проникновение
Опаснее всего враг, о котором не подозреваешь.
(Фернандо Рохас)
ИТ-инфраструктуру современной компании можно сравнить со средневековым замком. Высокие стены, глубокий ров и стража у ворот защищают от внешнего врага, а за тем, что происходит внутри крепостных стен, практически никто не следит. Так же и многие компании: они прилагают колоссальные усилия для защиты внешнего периметра, а внутренняя инфраструктура при этом остается обделенной. Внутреннее тестирование на проникновение – для большинства заказчиков пока процесс экзотический и не очень понятный. Поэтому мы решили рассказать о нем все (ну, почти все), что вы хотели знать, но боялись спросить.
Читать полностью »
Состоялся релиз Metasploit Framework 5.0
2019-01-11 в 12:38, admin, рубрики: Metasploit Framework, penetration testing, Блог компании Инфосистемы Джет, информационная безопасность, тестирование на проникновение
Metasploit Framework — это наиболее известный инструмент для создания, тестирования и использования эксплоитов. Позволяет производить эксплуатацию и постэксплуатацию уязвимостей, доставку «полезной нагрузки» (payloads) на атакуемую цель.
Metasploit Framework 5.0 — наиболее крупное обновление фреймворка с 2011 года.
Читать полностью »
Как я взломал одного хостинг провайдера
2018-11-29 в 7:28, admin, рубрики: безопасность веб-приложений, информационная безопасность, Разработка веб-сайтов, Тестирование IT-систем, тестирование веб-приложений, Тестирование веб-сервисов, тестирование на проникновение, хостинг, хостинг-провайдер
С недавних пор мне стали приходить предложение проверить работу различных сервисов на предмет наличия ошибок и уязвимостей. И в таких предложениях я стараюсь работать на результат и получать максимальное удовольствие от процесса. Но результат последнего «проекта» меня мягко сказать шокировал.
Мне было предложено протестировать хостинг провайдера.
Читать полностью »
Искусство подбирать чужие пароли
2018-08-13 в 9:27, admin, рубрики: Блог компании Эшелон, информационная безопасность, подбор паролей, сканер-вс, тестирование на проникновение, этичный хакингВ культовом фильме начала двухтысячных «Рыба-меч» талантливому хакеру необходимо подобрать пароль в течение одной минуты. В этом ему помогает приятель, который заботливо держит пистолет у виска и темпераментная блондинка, прячущаяся под столом. Что делать, если таких друзей поблизости нет, а пароль подобрать необходимо? Например, в ходе тестирования на проникновение…
Небольшое, но важное предупреждение: если предлагаемым в статье подходом пользоваться не в рамках проектов по тестированию защищенности, то ваши действия легко могут подпасть под статью 272 УК РФ (Неправомерный доступ к компьютерной информации).
Машинное обучение в Offensive Security
2018-08-08 в 10:35, admin, рубрики: deep exploit, offensive security, Блог компании Перспективный мониторинг, информационная безопасность, искусственный интеллект, машинное обучение, перспективный мониторинг, тестирование на проникновение, хайпВопреки расхожему мнению, машинное обучение — изобретение не XXI века. За последние двадцать лет появились лишь достаточно производительные аппаратные платформы, чтобы нейросети и другие модели машинного обучения было целесообразно применять для решения каких-либо повседневных прикладных задач. Подтянулись и программные реализации алгоритмов и моделей.
Соблазн сделать так, чтобы машины сами заботились о нашей безопасности и защищали людей (довольно ленивых, но сообразительных), стал слишком велик. По оценке CB Insights почти 90 стартапов (2 из них с оценкой более миллиарда долларов США) пытаются автоматизировать хотя бы часть рутинных и однообразных задач. С переменным успехом.
