**Тестирование безопасности — Transcript & Summary | SozAI** Source: https://sozai.app/transcript/security-testing/ Вебинар QA Community Kazakhstan о тестировании безопасности: угрозы, уязвимости, OWASP Top-10, виды тестирования и основы поиска уязвимостей в веб-приложениях. ## Key Takeaways - Тестирование безопасности направлено на выявление слабых мест и оценку защищенности информационных систем - Большинство уязвимостей в практике находятся вручную, а сканеры лишь помогают ускорить поиск известных проблем - OWASP Top-10 — ключевой ориентир для аудиторов и разработчиков веб-приложений - Нарушение контроля доступа — одна из самых распространенных категорий уязвимостей ## What the video covers - Введение в тестирование безопасности и представление спикера Алмаз Шалбаевой, Software-тестировщика с опытом более 10 лет - Базовые понятия: угроза, уязвимость, атака - Основные принципы безопасности: конфиденциальность, целостность, доступность - Виды тестирования безопасности: сканирование уязвимостей, аудит безопасности, этический взлом, оценка рисков - Нарушение контроля доступа: перебор идентификаторов, принудительный просмотр, повышение привилегий, небезопасные прямые ссылки - Криптографические сбои и пример утечки данных Facebook в 2019 году - Проект OWASP и список OWASP Top-10 уязвимостей веб-приложений - XSS-уязвимости: активные и пассивные сценарии - Использование недостатков бизнес-логики и SQL-инъекции через ошибки СУБД - Практические советы по поиску уязвимостей: проверка параметров, заголовков, кавычек и SQL-операторов ## Chapters 1. 00:00 Введение и представление спикера 2. 04:00 Основные понятия и принципы безопасности 3. 08:00 Виды тестирования безопасности 4. 11:00 Нарушение контроля доступа и криптографические сбои 5. 14:20 OWASP и OWASP Top-10 6. 17:00 XSS и недостатки бизнес-логики 7. 20:00 Инъекции и практические советы поиска уязвимостей 8. 27:00 Вопросы аудитории и завершение Answers ## Questions about this video Что такое OWASP и зачем он нужен? OWASP (Open Web Application Security Project) — открытый проект по безопасности приложений, предоставляющий документацию, инструменты и список Top-10 уязвимостей веб-приложений. Его рекомендации высоко ценятся аудиторами безопасности. В чем разница между угрозой, уязвимостью и атакой? Угроза — действие или событие, способное нанести вред системе. Уязвимость — слабое место системы, позволяющее реализовать угрозу. Атака — любое действие злоумышленника, использующее уязвимость. Как можно обнаружить нарушение контроля доступа? Можно перебирать идентификаторы или URL-адреса, пробовать принудительный просмотр скрытых страниц и проверять небезопасные прямые ссылки на объекты. Так можно получить доступ к данным, закрытым для обычного пользователя. ## Full Transcript — Download SRT & Markdown 00:00 Speaker A Всем привет! Здесь нас хорошо видно и слышно. Мы начинаем наш тик-ток. Сегодня тема тик-тока: тестирование безопасности. Хочу представить нашего спикера сегодня, безопасность, свои кейсы из практики. 01:17 Speaker A компании пам уже два года опыт работы войти более 10 лет имею опыт тестирования бизнес-аналитики и работала в службе поддержки и начнем мы сегодня знакомство с основными принципами тестирования безопасности познакомимся Что такое вас в рамках А вас разберем топ-3 уязвимости по веб-приложениям 01:43 Speaker A Всем привет! Меня зовут Алмаз Шалбаева. Я являюсь Software тестинг инженером в компании ПАМ уже два года. Опыт работы в IT более 10 лет. Имею опыт тестирования, бизнес-аналитики и работала в службе поддержки. 02:11 Speaker A действие или события которые можно нанести ряд информационной системе уязвимость это характеристика либо можно назвать слабостью информационной системы позволяющие злоумышленнику осознать угрозу атака это уже любое действие злоумышленника осуществляющий угрозу с использованием уязвимости системы основными принципами тестирования безопасности конфиденциальность сокрытие определенных ресурсов и либо 02:43 Speaker A И начнем мы сегодня знакомство с основными принципами тестирования безопасности. Познакомимся, что такое ВАС в рамках ВАС. Разберем топ-3 уязвимости по веб-приложениям. 03:11 Speaker A доступны авторизованного пользователю внутреннему объекту или устройству а существует 7 типов тестирования безопасности Согласно методологии Open sour Security testing включает на себя сканирование уязвимости выполняется она с помощью автоматизированной системы уже на известных найденных уязвимостей в сети сканирование безопасности с помощью 03:45 Speaker A Тестирование безопасности — это стратегия, которая является неотъемлемой частью комплексного тестирования, которое направлено на тестирование защищенности информационных систем. Данное тестирование направлено на диагностику путем взлома системы, оценки защищенности, анализа рисков, доступа к конфиденциальным данным. 04:18 Speaker A реализации аудит безопасности это уже внутренняя проверка приложения и операционных систем на наличие недостатков безопасности этических взлом это взлом программы систем организации и есть еще оценка состояния которая включает в себя этический злом оценка рисков и сканирование безопасности а также можно привести 04:46 Speaker A Есть такие понятия в безопасности. Угроза — это действие или событие, которое может нанести вред информационной системе. Уязвимость — это характеристика, или можно назвать слабостью информационной системы, позволяющая злоумышленнику осуществить угрозу. Атака — это уже любое действие злоумышленника, осуществляющее угрозу с использованием уязвимости системы. 05:16 Speaker A безопасности приложений которые доступен на сайте некоммерческой организации А вас материалы которого представлены в виде документации виде видео формула мероприятий инструмента есть У них такие проекты Как у вас в топ 10 у вас заб Также имеется у них сканеры приложения с 05:43 Speaker A Основными принципами тестирования безопасности являются: конфиденциальность — сокрытие определенных ресурсов или информации; целостность — ограничения круга пользователей, имеющих доступ к данным; доступность — определенная степень вреда, нанесенного при потере тех или иных данных. 06:16 Speaker A и сегодня получается наш список был создан 2021 году обновляется он каждые 3-4 года и собирается он на основе различных найденных и мнений экспертов в области кибербезопасности со всего мира Сегодня мы рассмотрим первый Топ 3 это нарушение контроля доступа 06:51 Speaker A Существует критерий целостности — это доверие и повреждение, восстановление данных. И третий критерий безопасности — это доступность. Она представляет собой требование о том, что ресурсы должны быть доступны авторизованному пользователю, внутреннему объекту или устройству. 07:24 Speaker A либо не достаточно правильно настроены И тем самым злоумышленник можно получить доступ к другим учетным записи есть в рамках нарушения контроля доступа методы по повышению привилегии да то есть это изменение параметров у нас есть некие запрос с помощью манипулирования 07:51 Speaker A Существует 7 типов тестирования безопасности. Согласно методологии Open Source Security Testing, включает в себя сканирование уязвимости. Выполняется оно с помощью автоматизированной системы, уже на известных, найденных уязвимостях в сети. 08:18 Speaker A принудительный просмотр Да это то есть еще один метод Когда можно путем перебора и угадывания URL ресурса получить доступ к информации Например у меня на одном из проекте путем перебора можно было найти страницу которая уже давно не использовалась Но к ней остался 08:44 Speaker A Сканирование безопасности с помощью автоматизированных систем делается либо вручную и направлено на выявление слабых мест в сети или системе, и затем также предоставляется решение для снижения рисков. 09:14 Speaker A прослушивают трафик и при подключении получается к небезопасному открытому Вайфаю злоумышленник может украсть ваш сеанс ну и соответственно [музыка] воспользоваться вашими учетными данными также может быть перехват осуществлен если имеется какая-то уязвимость веб сайте Также можно перехватить сеанс пользователя а еще один это использование недостатка 09:46 Speaker A Тестирование на проникновение — это имитация атаки злоумышленника. 10:14 Speaker A перебора индификатора ужил страница можно получить какой-нибудь доступ у меня допустим на практике было такое что путем перебора идентификатора можно было получить доступ к странице на которые я по идее не имела права доступа То есть это запись была создана 10:41 Speaker A Центры риска — это анализ риска в безопасности в системе. 11:08 Speaker A смотреть страницы Но если добавить круглу было слэш Эдит открывалась страница редактирования отредактировать запись не получилось Там стояла получается проверка Но можно было лицезреть данные которые были скрытые обычным простому пользователю а есть некий чек-лист да то есть при нарушении контроля доступа Что же нам 11:37 Speaker A Аудит безопасности — это внутренняя проверка приложения и операционных систем на наличие недостатков безопасности. 11:59 Speaker A средств контроля доступа на недостаточный контроль доступа в чем перебора индификаторов косвенные ссылки на обед проверить небезопасные прямые ссылки на объект который может быть скрытый пользователю открываются ли они вообще такие ошибки и обрабатываются в данном случае проверить на наличие небезопасных 12:24 Speaker A Этический взлом — это взлом программы, систем организации. И есть еще оценка состояния, которая включает в себя этический взлом, оценку рисков и сканирование безопасности. 12:56 Speaker A системы криптографический сбой Это сбой безопасности который происходит когда сторонние объекты могут раскрывать конфиденциальные данные это может быть как-то неправильно настроена либо плохо защищена база данных либо отсутствует шифрование либо слабая шифрование либо какой-то недостаток программного обеспечения и вот в рамках криптографических сбоя тоже 13:27 Speaker A Также можно привести тест-примеры для тестирования безопасности. Например: пароль должен быть зашифрован в формате; система не должна разрешать недопустимым пользователям доступ к ресурсу; проверка кук и времени сеансов приложения. 13:49 Speaker A конфиденциальные данные они могут быть уничтожены либо Потерянные либо изменены Это пример криптографического сбоя до все мы знаем есть компания Facebook и в 2019 году более 540 миллионов записей были слитые в открытую нашу сеть то есть базу данных и в открытый доступ Разместили 14:18 Speaker A А вас расшифровывается как OWASP — Open Web Application Security Project. Это открытый проект по обеспечению безопасности приложений, который доступен на сайте некоммерческой организации. ВАС материалы которого представлены в виде документации, видео, формул, мероприятий, инструментов. Есть у них такие проекты, как ВАС Топ-10. Также имеются у них сканеры приложений с открытым исходным кодом. ВАС для организаций, потому что его рекомендации высоко ценятся аудиторами безопасности. 14:43 Speaker A принципе даже посмотреть какие данные утекли свою записи не нашла но я нашла запись моего друга то есть там были все его данные и среди них был еще телефонный номер который в принципе находится не в открытом доступе но в 15:02 Speaker A ВАС Топ-10 уязвимостей на слайде представлен, и уязвимости именно по веб-приложениям. Также есть у них проект о ВАС Топ-10 по API, по мобильным. 15:28 Speaker A данных тем самым поставив под угрозу конфиденциальность безопасности Ну и даже правильность данных и сюда входит это xss это распространенный тип атаки которые заключается внедрении на страницу сайта либо приложение вредоносный код РФ это уязвимость которая позволяет использовать недостатки http протокола устанавливается то есть 16:03 Speaker A И сегодня получается наш список был создан в 2021 году. Обновляется он каждые 3–4 года и собирается на основе различных найденных мнений экспертов в области кибербезопасности со всего мира. 16:26 Speaker A авторизин байпас То есть это получить несанкционированный доступ к учетной записи и сервис сайт injection уязвимость ставки команды HTML кода и запуска их напрямую сервера xss да то есть есть три основных типа то есть это отраженные наиболее распространенный Смысл в том что 16:54 Speaker A Сегодня мы рассмотрим первый топ-3: нарушение контроля доступа, уязвимости криптографическим атакам и внедрение кода. Ну, лидер по уязвимости веб-приложений — это нарушение контроля доступа. Самая частая угроза, возникает она при нарушении доступа к ресурсам, то есть когда у нас есть какие-то ограничения для аутентификации аутентифицированных пользователей, либо они как-то не работают правильно, либо не достаточно правильно настроены. И тем самым злоумышленник может получить доступ к другим учетным записям. 17:21 Speaker A сценарий доступ к контенту HTML по типу взаимодействия с пользователем есть активные да то есть это когда у нас есть вредоносный вход пользователя ничего не нужно делать и он запускается и выполняется и есть пассивные это когда пользователи нужно совершить какой-то 17:41 Speaker A Есть в рамках нарушения контроля доступа методы по повышению привилегий. Да, то есть это изменение параметров. У нас есть некие запросы, с помощью манипулирования параметрами можно себе повысить какие-то привилегии, либо есть какие-то изменения в данных. Например, есть запрос POST. Можно либо с помощью POST его перехватить, допустим, повысить тем самым себе привилегию, либо создать даже пользователя с особыми привилегиями, админскими, допустим, правами. 18:12 Speaker A Интернете потому что иногда могут быть так что скобочки экранируются их нужно как-то обойти а пример его использования да то есть у нас есть какая-то ссылка есть атрибут который равен какому-то значению вместо этого значения можно подставить наш код выполнив его если Успешно все произойдет 18:34 Speaker A Принудительный просмотр. Да, то есть это еще один метод, когда можно путем перебора и угадывания URL-ресурса получить доступ к информации. Например, у меня на одном из проектов путем перебора можно было найти страницу, которая уже давно не использовалась, но к ней остался доступ. 18:58 Speaker A и в случае успешной может получается у нас появиться модальное окно еще примером это с помощью скрипта Да получить не только значение ввести отправить Cook пользователя можно этот же скрипт внедрить кнопку по нажатию либо же [музыка] ссылку и даже можно в картинку нести 19:43 Speaker A А перехват сеанса — это процесс захвата контроля сеансом пользователя путем кражи его сеанса. Например, очень часто можно видеть в открытом доступе находится Wi-Fi. К этому Wi-Fi подключено много людей, среди этих людей может сидеть какой-нибудь злоумышленник, который прослушивает трафик, и при подключении к небезопасному открытому Wi-Fi злоумышленник может украсть ваш сеанс, и соответственно воспользоваться вашими учетными данными. Также может быть перехват осуществлен, если имеется какая-то уязвимость на веб-сайте. Также можно перехватить сеанс пользователя. 20:05 Speaker A приходилось очень много читать информации что-то пробовать [музыка] различные скрипты В поисках вообще Действительно ли устранена это уязвимость или нет еще Был случай когда был чат И в чате также была обнаружена xss то есть был просто отправлен Вот этот текст И при каждом 20:35 Speaker A А еще один — это использование недостатков бизнес-логики. Это когда у нас есть какая-то система, у нее очень сложная бизнес-логика, и в этой бизнес-логике есть какие-то недостатки. Этими недостатками также можно воспользоваться и повысить себе привилегии, тем самым нарушив контроль доступа. 21:04 Speaker A Но как оказалось картинку в сфг можно внутренне внедрить текст кода вот допустим вот такой вот достаточно касса был открыть картинку свг блокноте и прописать наш вот этот тег и потом загрузить его приложение в нашем случае уязвимость Была ее можно было загрузить 21:34 Speaker A Прямая ссылка на объект — это когда путем перебора идентификатора или ссылки страницы можно получить какой-нибудь доступ. У меня, допустим, на практике было такое, что путем перебора идентификатора можно было получить доступ к странице, на которую я по идее не имела права доступа. То есть эта запись была создана другим человеком, и у меня на него не было прав, потому что я не являлась ни администратором, не входила в группу, роли по просмотру, редактированию этой записи. Но вот можно было увидеть данные. 22:08 Speaker A задуманные выполняемые вредоносные код действия То есть это может плоть до того что списываться деньги из банковской карты чаще всего они могут скрываться в тегах имидж и очень важно внимательно также проверять сионные куки которые небольшой набор данных в сервера отправляется браузеров 22:39 Speaker A Второй случай: тоже путем перебора идентификаторов можно было смотреть страницы. Но если добавить к ссылке «/edit», открывалась страница редактирования, отредактировать запись не получилось. Там стояла, получается, проверка. Но можно было лицезреть данные, которые были скрыты от обычного простого пользователя. 23:05 Speaker A перебору Ну и естественно этот токен должен использоваться только один раз помимо этого есть флаги которые должны быть установлены для куки это 7 сайт куки то есть одного сайта загружать http Only и секьюрность это позволит защититься от РФ Атак 23:35 Speaker A А есть некий чек-лист. То есть при нарушении контроля доступа, что же нам нужно делать? Обязательно просмотреть все требования контроля доступа, выписать их, перечислить все ресурсы: это может быть API, какие-то файлы, какие-то устройства, взаимодействие с другими системами. Определить механизм контроля доступа, то есть как осуществляется. Обязательно проверить на отсутствие средств контроля доступа, на недостаточный контроль доступа, в чем перебора идентификаторов, косвенные ссылки на объекты. Проверить небезопасные прямые ссылки на объект, который может быть скрыт от пользователя, открываются ли они вообще. Такие ошибки обрабатываются в данном случае? Проверить на наличие небезопасных методов контроля доступа, попробовать обойти контроль доступа. Обязательно зафиксировать все результаты. В случае найденных каких-то багов составить отчет. Ну и, естественно, их исправить. 24:06 Speaker A ошибок РФ сиквел да то есть когда мы истины находимся нам возвращается ответ сервера в котором содержится у нас наименование базы данных его версия чем же это плохо это плохо тем что злоумышленник может воспользоваться этой информацией загуглив в интернете 24:33 Speaker A Топ-2 у нас занимает уязвимость криптографическим атакам. Эта категория приводит к утечке конфиденциальных данных или к нарушению целостности системы. Криптографический сбой — это сбой безопасности, который происходит, когда сторонние объекты могут раскрывать конфиденциальные данные. Это может быть как неправильно настроенная, либо плохо защищенная база данных, либо отсутствует шифрование, либо слабое шифрование, либо какой-то недостаток программного обеспечения. 25:00 Speaker A сервер возвращает вот что-то вот на картинке подобный ответ где скрывается не база данных а может быть даже используемую сервер какой-нибудь Апачи и его версия то есть злоумышленник также может этим воспользоваться а второй такой распространенный Но это Union Base то есть основа атака на 25:28 Speaker A В рамках криптографических сбоев тоже делится на три категории. Это нарушение конфиденциальности, то есть треть… 25:53 Speaker A Time Base это тоже что-то похожее на манипуляцию с временем отклика базы данных что тоже может дать информацию и есть еще Out Of Band это редкие и специфические Типа так которые основаны на особенностях базы данных используемых а примером сиквел инъекции да то есть в 26:18 Speaker A 2018 году компании Cisco была найдена сиквел уязвимость связана она была с тем что было получен доступ командной оболочке системы на котором был развернут диспетчер лицензии ЦСКА еще один пример да то есть это компания Tesla 2014 году также было взломана с помощью инъекций и 26:50 Speaker A злоумышленником удалось получить административные привилегии и украсить пользовательские данные есть еще один пример связанный с Атак и [музыка] получается есть такой сайт пост свагер.нет на нем есть там куча лабораторий по поиску различных уязвимостей их можно попробовать по выполнять попрактиковаться на нем 27:23 Speaker A пример да то есть у нас есть сайт есть у нас бурле некое значение которое равно аксессуарам и оно отображается у нас здесь на странице главной если Мы попытаемся Да путем поиска нулевых значением ее не она таки переборов мы можем найти 27:49 Speaker A Столбцы то есть мы ставим апостроф Юнион Select и начинаем перебор первая нулевое значение Допустим мы вставили выполнили если сервер нам вернул ошибку соответственно мы не нашли нужно пробовать дальше то есть мы ставим запятую ставим второе нулевое значение делаем 28:10 Speaker A Enter и так вот перебором ищем уязвимость в моем случае достаточно было всего лишь ввести три нулевых значениях и я их увидела что у нас существует сиквел инъекция на основе юниона таки дальше что я могу сделать я могу То есть заменив нулевое 28:37 Speaker A значение также по порядке найти столбец который содержит текст то есть заключив его вагинальный скобочки какой-то текст и вместо нулевого значения подставлять и также путем перебора если возвратилась ошибка сервера то мы не нашли идем пробовать следующее в моем случае нужно 28:58 Speaker A было второе значение Что же это может быть дальше нам дать дальше мы можем вместо этих нулевых значений присоединить другую допустим схему базы данных либо же узнать версию базы данных либо там юзеров просмотреть можно уже дальше делать всё что угодно 29:23 Speaker A еще один пример до сих пор нет всегда у нас есть какая-то форма логина пароля какая-то есть у нас вот выполняется сам запрос где значение у нас берется из формы сюда подставляться и вместо этого админа можно перебирать вот такое 29:44 Speaker A большое количество различных значений и искать какую-нибудь уязвимость кода найдя и успешно Дальше можно присоединить чтобы показались наши пароли как они выглядят либо же Также можно загрузить схему базы данных либо смотреть а ну и какие же нам параметры необходимо 30:19 Speaker A анализировать до при поиске уязвимости да то есть это параметры это хедерсы это хуки это HTML Body параметры обязательно проверять на одинарные двойные кавычки сиквел операторы использовать да то есть Селект июняны Ну и конечно же комментарии нам помогают иногда обходить 30:45 Speaker A запрос Так ну чем большое спасибо готова ответить на ваши вопросы с удовольствием Огромное спасибо алмазы такой доклад очень интересный Слушай не первый раз на с удовольствие всегда слушаю интересно спасибо тебе огромное У нас есть вопрос сейчас я уже буду 31:10 Speaker A зачитывать Ждем еще ваших вопросов чатике и хочу прорекламировать соцсети вы видите где вопросы на английском языке интересных ивентов Подписывайтесь сейчас я буду скидывать вам ссылочки наши соцсети там еще есть и Подкасты Подписывайтесь тоже Давайте перейдем к вопросам так первый вопрос 31:40 Speaker A специалист теперь безопаснее Чем отличается от инфобезопасника так инфобезопасника первый кто Кибер кибербезопасник Мне кажется это одно и то же возможно там какие-то роли где-то Больше где-то Меньше но в целом Это один и тот же человек Спасибо у нас вопрос больше 32:11 Speaker A организационные запись будет да это запись остается в итоге запись будет так Следующий вопрос нас портала еще благодарности Может отправить бейджики и я читаю вопрос Можно ли без знаний структуры МВД найти инъекцию это сложно или нужен какой-то инструмент который 32:38 Speaker A проникнет системы а да Можно либо какой-то инструмент по поиску да то есть какие-то сканирование использовать либо же можно погуглить и найти кучу информации но большим до плюсом будет это знание самой сиквел запросов как они строятся как они формируются это будет просто будет 33:04 Speaker A большим толчком и продвижением в поисках сикве но на начальном этапе я вот допустим в основном гуглила да то есть и которые самые распространенные есть пробовала на них соответственно уже какая-то картинка складывалась голове и можно дальше изучать какие-то более сложные 33:29 Speaker A версии по выполнению тестов Спасибо сейчас буду потихоньку зачитывать их так первое наверное вот два я вместе зачитаю отвечу так будет ли Запуск программы лабы по безопасности и Какой в данный момент Диман тестирование безопасности к сожалению мы не можем ответить на этот 33:55 Speaker A вопрос смотреть следите за нашими вакансиями И за тренинг центром к сожалению не знаю такую информацию поэтому смотрите новостями в тренинг-центре и вопрос К У меня первый а последуйте хороший ресурс чтобы стать специалистом по тестированию безопасности вы приложений может знаешь 34:14 Speaker A какой-то вот этот ресурс на нем понравилось что там есть задание задание можно выполнить самим если какие-то есть трудности то там всегда есть ответ который можно воспользоваться и ну и соответственно то есть уже есть готовый сайт на котором может тренироваться на котором точно 34:46 Speaker A есть какая-то уязвимость которую можно ею воспользоваться спасибо Так дальше вопросы Сейчас буду выводить так как построить стратегию тестирования безопасности на новом проекте А ну вообще на самом деле каждого проекта свои запросы это бывает так что специально команду собирают по 35:22 Speaker A безопасности которые есть больше опыта больше у них там процессам Больше знают у них там чуть по другому репорты репортация не так как вот у нас обычно и инженеров там он более раскрытый вплоть до того что нужно указать Какого вида 35:42 Speaker A это атака Ну не знаю надо пробовать какие-то уже известные безопасности какие-то чек-листы опыта своего Нет в основном получалось так что по запросу и любопытству безопасности был акцент Спасибо большое за ответ на вопрос сейчас вывожу следующий и зачитываем Если возможность 36:21 Speaker A обучиться тестированию безопасности если в активе только функциональное тестирование интересный вопрос Да я также была в активе только функциональное тестирование пришел запрос по поводу рецепта то есть тестировать исправленную уязвимость главное как бы желание мотивация [музыка] материалов в интернете очень много 36:50 Speaker A пробовать возможно каких-то коллег найти с ними советоваться это просто поможет больше быстрее двигаться спасибо Мы ждем ваших вопросов слова благодарности бейджиков и у нас еще один вопрос чатике Кстати я отправила все ссылочки на соцсети к которой я говорила 37:16 Speaker A так вопрос Добрый день сталкивались ли вы с выявлением Атак в которых задействован искусственный интеллект Как вы их выявляли Какими методами средствами идентифицировали были у тебя такой опыт с искусственным интеллектом не было опыта но был такой опыт да то 37:41 Speaker A есть это была организация на организации полностью лежала ответственность по эксплуатации сервера но они сервер решили вывести в интернет что изначально рекомендации компании было не рекомендовано но их не администратор решил это сделать и в конечном итоге получилось так что со временем 38:09 Speaker A их атаковали сервер и сервер был полностью зашифрован То есть это вот эти рандомайзе кажется не помню точно название В общем полностью было зашифрован весь сервер все файлы которые там хранились вся база данных которые на нем была она полностью 38:29 Speaker A была зашифрована и для того чтобы его восстановить да то есть если нужны были бы капы полностью сносился тогда сервер и из бэкапов восстанавливалась Получается сама база само приложение разворачивалось всё по заново был вот такой Спасибо у нас еще есть вопросы Какое по 38:57 Speaker A вашему опыту размер команды безопасности Какая структура серьезности никогда не сталкивалась и даже не знаю какая должна быть команда и вот тут похоже вопрос Вы еще занимаетесь только достижение безопасности а нет я занимаюсь функциональным но иногда там так сказать если есть время 39:28 Speaker A провожу опыты в области тестирования чтобы так сказать что-то прочитал на практике применил я так изучаю его спасибо Мы ждем еще ваших вопросов и я прочитаю вопрос читаю с нашего портала достаточно ли применить на проекте сканер для поиска уязвимости вы 39:54 Speaker A приложения Это хороший инструмент который позволит получается найти уже ранее известную видимости но как гласит статистика в основном большинство найденных уязвимости они производились вручную то есть сканер просто поможет вручную найти можно еще больше [музыка] последний вопрос В чем разница между уязвимостью и 40:39 Speaker A а Ну практически наверное Разницы нету только уязвимость это уже какая-то такая потенциальная угроза эксплоит это уже реальная угроза которая Вот и взорвется так Спасибо большое Я не вижу больше вопросов еще раз хочу поблагодарить я сама занимаюсь чисто функциональным 41:06 Speaker A тестированием Мне было очень интересно послушать сказала не первый раз слышу доклад Но каждый раз очень интересно спасибо тебе огромное такую подготовку с такой интересный опыт особенно те которые могут повредить данные [музыка] а а инвай Роман на котором можно 41:49 Speaker A попробовать естественно никто не застрахован можно просто нечаянно что-то нажать и все сломается никто не говорит о том что у меня есть какие-то глубокие знания что я могу испортить базу данных плюс есть понимание того что Да То есть если 42:08 Speaker A найдена Одна уязвимость она обходится почки можно докопаться до там не знаю базы данных и вплоть её то есть вообще не знаю дропнуть какую-нибудь а таблицу Ну естественно этого же я делать не буду потому что и так понятно что она 42:27 Speaker A выполнится они просто нужно об этой уязвимости сообщить деф команде что вот так и так вот доказательство может даже ссылки приложить с интернета что нужно эту зимость закрывать Ну как правило обычно в команда не менее подкована в области безопасности 42:48 Speaker A и скорее всего они даже охотно согласятся и что нужно её исправлять Спасибо большое за развернутый ответ у нас так очень много слов благодарности в чате всем Огромное спасибо спасибо за ваши вопросы подписывайтесь на соцсети Киев Оба на английском Приходите на наш 43:21 Speaker A Спасибо всем огромное хорошего всем дня всем Topics: тестирование безопасности уязвимости OWASP Top-10 нарушение контроля доступа XSS SQL-инъекции этический взлом QA кибербезопасность веб-приложения Учить по этому видео - [Карточки по этому видео](https://sozai.app/ru/tools/ai-flashcard-generator/?from=transcript&id=83412) - [Тест по этому видео](https://sozai.app/ru/tools/quiz-generator/?from=transcript&id=83412) Бесплатно, составлено ИИ по этой расшифровке. Без регистрации. --- This is the markdown twin of https://sozai.app/transcript/security-testing/ — the same content, without the markup. Published by SozAI (https://sozai.app). Reuse and quotation are allowed with attribution and a link back. Machine-readable index: https://sozai.app/llms.txt · data API: https://sozai.app/api/