Доброго времени суток! Это моя первая статья на данном ресурсе и посвящена она основам информационной безопасности. Что-же, начнем мы с самого определения информационной безопасности(ИБ).
-
Ссылка скрыта от гостей– это защищенность информации и поддерживающей инфраструктуры от случайных или преднамеренных воздействий естественного или искусственного характера, чреватых нанесением ущерба владельцам или пользователям информации и поддерживающей инфраструктуры.
- Неизменностью, или целостностью, информации называют невозможность модификации информации третьими лицами
- Под конфиденциальностью подразумевается критерий разграничения доступа к информации. Если информация не предназначена для общественного доступа, то необходимо обеспечить условия неразглашения такой информации.
- Доступность, как можно понять из названия, это критерий, отвечающий за обеспечение доступности (да, так просто) информации.
Для обеспечения безопасности информации необходимо понимать векторы атак злоумышленника на защищаемую систему, знать нормативно-правовую базу обеспечения ИБ, а так-же знать основные методы противоборства атакам на информационные системы (ИС).
Чтобы противостоять злоумышленнику необходим высококвалифицированный специалист в сфере ИБ. Таковыми являются специалисты инженеры ИБ. Профессия "Инженер информационной безопасности" очень широкое понятие. На данном этапе мы рассмотрим такое направление этой профессии, как "специалист по тестированию на проникновение".
- Тестирование на проникновение или пентест (pentest от английского penetration test) - метод оценки безопасности компьютерных систем или сетей средствами моделирования атаки злоумышленника. Процесс включает в себя активный анализ системы на наличие потенциальных уязвимостей, которые могут спровоцировать некорректную работу целевой системы, либо полный отказ в обслуживании.
- Анализ защищенности ИС.
- Аудит ИС на предмет потенциально уязвимых сегментов
- Проведение тестирования, путем имитации атаки злоумышленника
- Документирование обнаруженных уязвимостей
- Создание PoC (proof of concept), то есть описание работы уязвимости, ее возможные последствия
- Обеспечение ИБ, то есть описание и рекомендации того, как можно "прикрыть" уязвимости
Но вернемся к пентесту. Таким образом "пентестер" должен выполнять множество обязанностей в различных сферах, будь то аудит WEB-приложений, аудит локальных сетей, баз данных и прочего, прочего, прочего. Для, так сказать, облегчения работы были придуманы специальные дистрибутивы и специализированные программы в них, для обеспечения автоматизации процесса тестирования. Одной из самых популярных ОС для специалистов ИБ является (известная большинству из вас) KALI LINUX. Этот дистрибутив включает в себя сотни, или может тысячи программ для тестирования ИС на предмет уязвимостей. Так же имееются такие известные ОС как ParrotOS, BlackArch, BackTrack (родоначальник KALI LINUX).
Как пример хочу привести атаку на базу данных (БД) под управлением одной из систем управления базами данных (СУБД) основанной на языке структурированных запросов, т.е. SQL.
Дабы не быть голословным, хочу предупредить, я приведу лишь ПРИМЕР, так как полного вектора атаки я описать не могу, по причине недостатка знаний.
1. Имеется ресурс
Код:
www.example.com/id=1Мы видим обычный URL, с GET запросом id=1. Данный запрос написан на языке PHP к БД на MySQL(примерно). Тут он как бы "просит" СУБД выдать нам информацию, хранящуюся в ней, и имеющую идентификатор 'ID=1'. На SQL этот запрос будет выглядеть так: SELECT * FROM database WHERE id = 1. БД видит SQL запрос и, как ни странно, выдает ответ. В чем заключается проверка на уязвимость
2.
В данном пункте мы инжектируем в обычный GET запрос подзапрос, котрый говорит СУБД, чтобы та вернула нам информацию из базы с идентификатором ID=1 и объединила со всем содержимым из базы passwords.2.
Код:
www.example.com/id=1+UNION+SELECT+*+FROM+passwordsК чему я все это? Да к тому, что есть множество методов проведения SQL инъекций и пробовать каждую вручную - огромная трата времени. Для этого в KALI LINUX есть великолепный инструмент именуемый SQLMAP. Он автоматизирует процеcc SQL-injection и имеет огромный функционал.
3.
Код:
sqlmap -u www.example.com/id=1 --tor --random-agent -v 3Здесь мы вызываем программу SQLMAP и передаем ей аргументы. Подробнее о ней вы можете узнать на страницах codeby.net , в мануалах самой KALI LINUX, на
Ссылка скрыта от гостей
или на официальном сайте разработчика.Подведем итоги. В данной статье мы: узнали о основах ИБ, узнали об обширности понятия "Инженер ИБ", узнали о понятии пентест, пентестер и его обязанностях, а также рассмотрели простой пример по аудиту WEB-приложения.
Спасибо за внимание!
