BI.ZONE провела курсы компьютерной криминалистики для студентов НИУ ВШЭ

BI.ZONE провела курсы компьютерной криминалистики для студентов НИУ ВШЭ

BI.ZONE провела курсы компьютерной криминалистики для студентов НИУ ВШЭ

Специалисты компании BI.ZONE впервые провели курсы «Компьютерная криминалистика» и «Тестирование на проникновение» для магистрантов по направлению «Управление информационной безопасностью», факультета бизнеса и менеджмента НИУ ВШЭ. Вниманию слушателей был представлен не только обширный теоретический материал, но и реальные сюжеты из повседневной практики.

Рынок информационной безопасности в России активно набирает обороты, и уже испытывает острую потребность в квалифицированных кадрах. Учитывая это специалисты в области кибербезопасности компании BI.ZONE решили поделиться опытом и уникальными практическими навыками с магистрантами Высшей Школы Экономики. В ходе курсов были освещены самые актуальные направления информационной безопасности, проиллюстрированными примерами из реальной жизни. Выступления специалистов проходили в формате интерактивных лекций и бесед, где слушатели имели возможность показать свои знания и навыки, отвечая на вопросы лекторов.

«На сегодняшний день сфера кибербезопасности испытывает кадровый голод. Одна из основных причин этого —  длительное время подготовки специалистов. В среднем этот процесс занимает от 5 до 7 лет. Наша магистерская программа позволяет сократить время подготовки специалистов до двух лет за счет плотного сотрудничества с лидерами рынка. Мы благодарны компании BI.ZONE за их вклад в будущее всей отрасли», - поясняет Бейбутов Эльдар, преподаватель кафедры информационной безопасности Высшей Школы Экономики.

«Подготовка специалистов в области информационной безопасности – одно из приоритетных направлений деятельности компании BI.ZONE. Ядром нашей отрасли является квалифицированный кадровый ресурс, поэтому мы активно участвуем в обучении перспективных ребят со всей России. Мы уверены, что результаты взаимовыгодного сотрудничества с НИУ ВШЭ станут очевидны уже в ближайшем будущем», - отмечает Евгений Волошин, директор по безопасности компании BI.ZONE.

Данный курс состоял из шести различных лекций по направлениям «Компьютерная криминалистика» (Forensics) и «Тестирование на проникновение» (Penetration testing).В рамках лекций были детально освещены иерархия и структура преступных группировок, их порядок действий при различных видах проникновений и атак. Особое внимание было уделено различным вариантам реагирований на инциденты и способам проверки информационной защиты. Магистранты подробно знакомились, как на практике проходят тесты на проникновение и расследования компьютерных инцидентов с детализацией вплоть до используемых команд и протоколов.

«Курс лекций от компании BI.ZONE был отличный! Специалисты компании продемонстрировали широкий спектр знаний в области информационной безопасности. Были разъяснены как базовые, так и сложные термины. Материал лекций был структурирован и понятен всем слушателям, а приведенные примеры актуальны. Стоит также отметить формат проведенного курса: небольшая аудитория слушателей, живое общение с ведущими специалистами компании, никаких скучных лекций. Я очень благодарна предоставленной возможности познакомиться с ведущими специалистами и получить новые и крайне полезные знания», - комментирует Лейла Шукюрова, студентка 1-го курса магистерской программы «Управление информационной безопасностью».

«Образовательный курс от компании BI.ZONE позволил ознакомиться с лучшими практиками ведущих специалистов в области компьютерной безопасности в России. Особенно интересно было послушать про компьютерную криминалистику и тестирование на проникновение. Специалистов по данным направлениям не готовит ни один университет в России. Компания BI.ZONE предоставила нам уникальную возможность освоить базовые принципы работы приглашенных экспертов. Все слушатели находятся под большим впечатлением и в дальнейшем хотят развиваться в этих направлениях», - говорит Владислав Столяров, студент 1-го курса магистерской программы «Управление информационной безопасностью» ВШЭ. 

Новая атака на кеш Nginx позволяет красть данные и ломать сайты

Исследователь YesWeHack Алекс Брумен описал вектор кибератаки Cache Key Injection. В случае её эксплуатации последствия для потенциальной жертвы опасные: обход контроля доступа, раскрытие закрытых страниц, отказ в обслуживании и при определённых условиях.

Как объясняет исследователь YesWeHack, проблема возникает не в Nginx по умолчанию, а в конфигурациях, где администраторы просто склеивают несколько значений переменной длины без разделителей. Например:

$scheme$host$request_uri$http_accept

Разных запроса два, а итоговая строка может получиться одна. Так, запрос к /h с заголовком Accept: ome*/* создаёт тот же ключ, что и обычное обращение к /home с Accept: */*.

Если атакующий успеет первым положить в кеш ответ 404, пользователи вместо главной страницы будут получать ошибку до очистки записи. Получается CPDoS — отказ в обслуживании с доставкой прямо из кеша.

 

Ещё веселее становится с закрытыми разделами. В лабораторном примере страница /admin была доступна только с localhost, но злоумышленник мог обратиться к /ad и перенести оставшуюся часть имени в соседний компонент ключа. Nginx видел разрешённый путь, однако доставал из кеша содержимое админ-панели.

При совпадении нескольких условий техника позволяет столкнуть HTTP- и HTTPS-запросы и записать в кеш страницу со ссылкой на атакующий JavaScript, превратив ошибку конфигурации в stored XSS. Даже Cloudflare не всегда спасёт: заголовок Authorization может провести запрос мимо его кеша прямо к уязвимому кешу Nginx.

 

Защита выглядит до смешного просто: не склеивать значения вслепую. Между элементами ключа нужны разделители или структурное кодирование, например:

$scheme|$host|$request_uri|$http_accept

Также следует проверять Host, перенаправлять HTTP на HTTPS и не кешировать аутентифицированные запросы.

RSS: Новости на портале Anti-Malware.ru