इसलिए, आपने सुरक्षा विभाग बनाने का निर्णय लिया ...

यह लेख इस सवाल का जवाब देता है कि उसे क्या करना चाहिए और कैसे, सभी अंतरंग विवरणों के साथ। यह समझा जाता है कि एक वेब पार्ट के साथ एक प्रोजेक्ट (स्टार्टअप) है जो बिना सुरक्षा परीक्षण के कुछ समय के लिए काम करता है, लेकिन किसी कारण से इसे लागू करने का निर्णय लिया गया। पिछले 2 वर्षों से मैं बहुत बड़े ग्राहकों के साथ स्टार्टअप में सुरक्षा का काम कर रहा हूं (स्टार्टअप अपने क्षेत्र में दुनिया में अग्रणी नेताओं में से एक है), और मुझे यकीन है कि मुझे इस विषय पर कुछ कहना होगा (स्वाभाविक रूप से, नीचे दी गई सभी जानकारी सिर्फ मेरे विचार, दृष्टिकोण और विचार हैं) और एक हाउटो गाइड नहीं और एक कदम नहीं है)। लेख संबंधित अधिकारियों, पीएम, साथ ही उस व्यक्ति को समर्पित है जिसे सुरक्षा परीक्षण टीम लीड के रूप में संदर्भित किया जाएगा और खरोंच से एक समान विभाग बनाया जाएगा।

इसलिए, आपने एक सुरक्षा विभाग बनाने का निर्णय लिया ...

मेरी बधाई, भले ही आपने इसके बारे में सोचा हो (और यह वास्तव में अच्छा है यदि आप किसी तरह इस पल को ध्यान में रखते हुए नए कर्मचारियों को काम पर रख रहे हैं, मैंने इसके बारे में लिखा है )। वे सब कुछ और हर जगह तोड़ते हैं, और अधिक से अधिक बार। आजकल, एक व्यवसाय वास्तव में जानकारी के लीक (उपयोगकर्ता जानकारी सहित) से हिल सकता है। पिछले एक साल में, लिंक्डइन, स्ट्रैटेफ़ोर, गैमीगो, एनवीडिया, एडोब, ई-हार्मनी, बर्फ़ीला तूफ़ान और कई अन्य लोगों के लिए पूर्ण पहुंच प्राप्त की गई है। लेकिन उदाहरण के लिए, कल वे Ubi में टूट गए, क्या आपने सुना ? हालांकि, यह आश्चर्य की बात नहीं है, वे लिखते हैं कि पासवर्ड बदलने वाले पृष्ठ पर उनके पास कमजोरियां हैं


ओह ठीक है, चलो व्यापार के लिए नीचे उतरो। और इसलिए, कंपनी में मानव-सुरक्षा प्रकट होती है। वह खुद से एक विशेषज्ञ है, जो सबसे पहले, एक पेंटेस्ट के कौशल का मालिक है और यह काम कर सकता है। इसके अलावा, कुछ टीम प्रबंधन कौशल, सीआई सिस्टम का ज्ञान, साथ ही साथ रेडमीन्स या इसी तरह की चीजें (परियोजना की बारीकियों के आधार पर, लेकिन आम तौर पर हर जगह समान दृष्टिकोण)। उसे क्या करना चाहिए?

पहला महीना - दूसरा

अपने आप को और ब्लैकबॉक्स मोड में सब कुछ का परीक्षण शुरू करें। हमें परियोजनाओं (उनके डोमेन) की एक सूची मिलती है। शायद परियोजना में शामिल सभी सर्वरों के आईपी पते की एक सूची (टोही के लिए समय कम कर देगी)। और हम परीक्षण करना शुरू करते हैं।
पहले नेटवर्क सेवाएं । आइए बंदरगाहों को स्कैन करें, अपने आप को एमएसएफ + आर्मिटेज के साथ बांधाएं, सभी कारनामों की जांच करें, डीएनएस सर्वर का कॉन्फ़िगरेशन ( axfr , dns replay attack), और वेब सर्वर । हम "कमजोर" खातों का परीक्षण करते हैं, स्टार्टअप स्टार्टअपनाम: स्टार्टअपनाम और इस तरह के जोड़े का उपयोग करने के लिए मत भूलना। सामान्य तौर पर, हम नेटवर्क को पूरी तरह से तोड़ने की कोशिश कर रहे हैं, हम वेब को नहीं छूते हैं (यदि केवल ब्रेक के दौरान)। रास्ते में, अपने आप को उपयोग किए गए सभी सॉफ्टवेयर (nginx / apache / pgsql) लिखें। हम इस जानकारी का बाद में उपयोग करेंगे। मेरे लिए यह केवल IP और nmap परिणामों के साथ एक पाठ फ़ाइल है।


काम करने के दिन

जैसे ही हमने समाप्त किया, सूचना दी, व्यवस्थापक के साथ सब ठीक हो गया वेब पर। और इसलिए, आपको एक त्वरित, लेकिन अधिक या कम उच्च गुणवत्ता वाले बाईपास की आवश्यकता है। हम विभिन्न स्कैनर लॉन्च कर रहे हैं जो हमें संसाधन "हेड-ऑन" का परीक्षण करने की अनुमति देगा, या शायद कुछ भी मिल सकता है। हम एक burp- सूट के साथ खुद को बांधे रखते हैं और कार्यक्षमता का पता लगाते हैं। हर जगह हम एक सार्वभौमिक xss वेक्टर भेजते हैं (एक पुरानी बात है, लेकिन किस तरह):
"> [img = 1] <img - / style = - = अभिव्यक्ति (/ * '/ - / *', / ** / eval (नाम) //); चौड़ाई: 100%; ऊंचाई: 100%; स्थिति: निरपेक्ष; व्यवहार: url (# डिफ़ॉल्ट # VML); - ओ-लिंक: जावास्क्रिप्ट: eval (शीर्षक); - ओ-लिंक-स्रोत: वर्तमान नाम = चेतावनी (1) onerror = eval (नाम) src = ऑटोफोकस onfocus = eval (नाम) onclick = eval (नाम) onmouseover = eval (नाम) पृष्ठभूमि = जावास्क्रिप्ट: eval (नाम) //> "

हम विभिन्न मापदंडों को देखते हैं जिन्हें आसानी से बदला जा सकता है या गणना की जा सकती है, सामान्य तौर पर, हम कुछ स्पष्ट पैरामीटर से छेड़छाड़ की तलाश कर रहे हैं। हम वहां फाइलें अपलोड करने पर विशेष ध्यान देते हैं। हम गुलाम-अज्ञात फ़ाइलों की कोशिश करते हैं (उदाहरण के लिए, माइम प्रकार के साथ php स्क्रिप्ट के मामले में jpg या png (इडैट चंक्स))। उद्धरण चिह्न हर जगह एक पंक्ति में हैं। सामान्य तौर पर, इस बारे में बात करना मेरे लिए नहीं है, हर किसी की अपनी तकनीक होती है। हमें उम्मीद है, वैसे (परियोजना के आकार पर निर्भर करता है), हम कितने समय "भाग्य" पर खर्च करेंगे, उदाहरण के लिए, 10 कार्य दिवस।

यह सब एक साथ रखते हुए, शायद आपको कुछ ऐसा मिलेगा, जिसे आपको "ट्विस्ट" करने की आवश्यकता है। सामान्य तौर पर, हम इस समय को "हेड-ऑन" हमलों पर खर्च करते हैं और सब कुछ ठीक करते हैं जो एक हमलावर को पता चलेगा कि उसका कंपनी से कोई लेना-देना नहीं है (एक तथ्य के रूप में, वह इसके बारे में लगभग कुछ भी नहीं जानता है)। सबसे अधिक संभावना है, यह इस अवधि के दौरान है कि सबसे महत्वपूर्ण कीड़े पाए जाएंगे और ठीक किए जाएंगे।

महीना तीन-छह

एक या दो महीने में हम परियोजना का अध्ययन कर सकते हैं, इसके तर्क और काम को समझ सकते हैं। और हम विकास में जड़ लेना शुरू करते हैं ... व्हाइटबॉक्स अपनी सभी महिमा में।
बहुत परियोजना में वर्कफ़्लो पर निर्भर करता है। कार्यान्वयन का मुख्य विचार सुरक्षा कोड की समीक्षा और / या अगले रिलीज के लिए तैयार की जा रही सुविधाओं का सुरक्षा परीक्षण लागू करना है। नई -> प्रगति में -> किया -> परीक्षण में -> परीक्षण किया -> परीक्षण में सुरक्षा -> सुरक्षा परीक्षण किया गया । मुद्दा यह है कि एक व्यक्ति केवल सभी विशेषताओं (यह स्पष्ट है) की सुरक्षा परीक्षण के साथ सामना नहीं कर सकता है, इसलिए अभी के लिए (यदि हमने किसी को भी अपने आप को नहीं लिया है) हम केवल गंभीर रूप से महत्वपूर्ण चीजों का परीक्षण करते हैं (उन्हें विषय का मूल्यांकन करें)।
यहां, प्रत्येक रिलीज़ से पहले, आप उत्पादन सर्वर के साथ एक पूर्ण अंतर कर सकते हैं और लिखे गए सभी नए कोड देख सकते हैं। बहुत मददगार।
और यहां हम "पागल" मोड में नहीं शुरू कर रहे हैं, लेकिन अधिक शांति से और मापा, इसे परीक्षण करने के लिए भागों में कार्यक्षमता को विभाजित करते हैं। हर पैरामीटर, हर अजाक्स अनुरोध और विशेष रूप से सभी प्रकार की भूली हुई चीजें जो कोई भी उपयोग नहीं करता है और जो एक डेवलपर द्वारा लिखी गई थी, जो लगभग 2 साल पहले छोड़ दिया था (आमतौर पर विकास की शुरुआत में कुछ गलतियां की जाती हैं, क्योंकि सब कुछ जरूरी है "तत्काल तत्परता से, जल्द ही जारी करें!") । इस स्तर पर, सुरक्षा टीम की अगुवाई के नेतृत्व को पहले 2 महीनों के काम के समान "उछाल" की उम्मीद नहीं करनी चाहिए।

छठा महीना + या हम किसी और को ले गए

जिस समय हम यह तय करते हैं कि हमारे पास खाली समय है (पूरी तरह से परियोजना परीक्षणों द्वारा कवर की गई है, स्रोत कोड पहले ही प्राप्त हो चुका है और इसका विश्लेषण किया गया है, डेटाबेस में जहां नमक डालना पड़ता है, md5 को हर जगह "कट" किया गया है, आदि) हम स्वचालित करने की कोशिश शुरू करते हैं। हम अपने काम को लागू करते हैं और सुरक्षा ऑटो-परीक्षणों को लागू करते हैं, जिसे हम विभिन्न स्कैनर के आधार पर बना सकते हैं (उदाहरण के लिए, डेटाबेस में सब कुछ सहेजा गया, अगर राज्य पोर्ट अगली बार जब हम इसे लॉन्च करते हैं, तो हम रिपोर्ट में रिपोर्ट करते हैं)। हम Yandex से w3af के लिए webui पेंच (वैसे, मैं इसे खुद का उपयोग नहीं किया था)। सामान्य तौर पर, हम कोड लिखना शुरू करते हैं और यह सामान्य है (भले ही स्थिति एक प्रोग्रामर नहीं है)।

यदि कोई व्यक्ति अभी भी है (या शायद एक नहीं) और यदि लोग रचनात्मक हैं - हम परियोजना पर जांच करने के लिए चर्चा कर रहे हैं। और इसलिए - हम उन्हें 3-6 महीने के काम का हिस्सा (या सभी) सौंपते हैं (कभी-कभी क्या और कैसे जांचना याद रखना), ऑटोटेस्ट के सेट का विस्तार करना और न केवल।

खैर, कार्यालय, कर्मचारियों। हम पढ़ते हैं , आवेदन करते हैं। यदि संभव हो, तो हम आवश्यक होने पर कुछ प्लग-इन / ब्राउज़र को अपडेट करने की आवश्यकता के बारे में एक सामूहिक मेलिंग करते हैं।

हर समय

हम कर्मचारी प्रशिक्षण आयोजित करते हैं (मुख्य रूप से डेवलपर्स, अपनी गलतियों को इंगित करते हैं, हमारे क्षितिज को व्यापक करते हैं, आदि), मॉनिटर के कारनामे (याद रखें, क्या हमने काम के पहले दो महीनों में सभी सॉफ़्टवेयर रिकॉर्ड किए थे?), हम सीआई के विकास में लागू किए गए स्कैनर की रिपोर्ट को देखते हैं, लगातार? (!) हम विभिन्न सुरक्षा व्यक्तियों और कंपनियों (या सिर्फ अलग-अलग समाचार एग्रीगेटर) से नई खबरें और ट्विटर पढ़ते हैं, सम्मेलनों में बोलते / बोलते हैं (PHDays / ZN कम से कम, अगर हम रूसी संघ लेते हैं), CTF खेलते हैं। शायद कुछ "फ्रीबी" की अवधि, लेकिन सबसे अधिक बार वहाँ है (या खुद का आविष्कार किया है) कुछ नई तकनीक है जिसे परियोजना पर तत्काल परीक्षण करने की आवश्यकता है। हम सभी पक्षों से सुरक्षा का समर्थन करते हैं और "पूर्ण बाईपास" की अवधि निर्धारित करते हैं। जब, एक ताजा सिर के साथ, जैसे कि पहली बार, पूरी परियोजना को फिर से संभाला जा रहा है (देखें महीने 1-2)।

सामान्य तौर पर

कई बिंदु परियोजना पर निर्भर करते हैं, लेकिन मेरी व्यक्तिगत भावनाओं के अनुसार, यदि आप काम को व्यवस्थित करते हैं, जैसा कि मैंने ऊपर वर्णित किया है, तो यह कुशलता से बाहर हो जाएगा (और इसके बारे में कोई समान समीक्षा नहीं होगी)। संसाधन और उसके उपयोगकर्ताओं की सुरक्षा के उल्लंघन के जोखिम को कम करने में दक्षता व्यक्त की जाती है। मौद्रिक शब्दों में, सुरक्षा को काफी मुश्किल (हालांकि तरीके हैं) व्यक्त किया गया है।

---

और एक छोटे विज्ञापन के रूप में, यदि आप सेंट पीटर्सबर्ग (या दूरी) में किसी भी दिलचस्प स्टार्टअप / प्रोजेक्ट / कंपनी को जानते हैं, जहां (शायद) आपको ऐसे व्यक्ति की आवश्यकता है, या ऐसे "झुकाव" के साथ एक क्यूए, या एक शोधकर्ता जो सीखने और विकसित करने के लिए तैयार है , फिर मुझे बताएं (मैं आभारी रहूंगा), मैं काम और विभिन्न विकल्पों की तलाश कर रहा हूं। या बस अगर आपको नौकरी की तलाश के विषय पर कुछ कहना है, तो :-) लिखें
मैं देव-कार्यालयों और योग्य zp के साथ लगभग कोई स्टार्टअप नहीं जानता, जो सेंट पीटर्सबर्ग में गैर-रूसी नागरिकों को नियुक्त करने के लिए तैयार हैं (अधिमानतः विदेश में काम कर रहे हैं, मैं अंग्रेजी में निरंतर संचार नहीं छोड़ना चाहता)।

---

आपका ध्यान और पढ़ने के लिए धन्यवाद, मुझे लेख पर चर्चा करने और ऐसी प्रक्रिया के संगठन पर अपने विचारों का विस्तार करने में खुशी होगी।