; SL Message PolicyЧто в переводе означает, что стандартная политика безопасности требует аутентификации WAP-Push шлюза.
; (default: SECROLE_PPG_TRUSTED)
[HKEY_LOCAL_MACHINE\Security\Policies\Policies]
"0000100c"=dword:800
; SI Message Policy
; (default: SECROLE_PPG_AUTH | SECROLE_PPG_TRUSTED)
[HKEY_LOCAL_MACHINE\Security\Policies\Policies]
"0000100d"=dword:c00
Полезность пентеста для исполнителя состоит в следующем:
Важным отличием Рускрипто от других ИБ-мероприятий является тот факт, что конференция делается специалистами для специалистов. В меньшей степени это маркетинговое мероприятие, в большей научная, академическая конференция.
Это делает конференцию уникальной площадкой для общения экспертов в раличных областях информационной безопасности.
Секция «Интернет и информационная безопасность» проводится в рамках конференции Рускрипто второй раз. В 2008 году в рамках секции было сделано восемь докладов совершенно разной направленности, от организации процесса обеспечения информационной безопасности Интернет-служб в Яндексе (Адрей Бабий, Яндекс), до методов поиска уязвимостей в антивирусном ПО (Евгений Легеров, GLEG Ltd.). Большой интерес вызвали работы, в которых затрагиваются перспективные вопросы информационной безопасности, такие как безопасность протокола IPv6 (Андрей Абрамов, Positive Technologies) и моделирование DDOS-атак (И. Котенко, А. Уланов, СПИИРАН).
В этом году планируется выделить подсекцию безопасности Web-приложений, в рамках которой прозвучат доклады Сергея Рыжикова (1-С Бирикс), Дмитрия Васильева (АИСТ), Андрея Бабия и Александра Матросова (Яндекс). Каждый из них поделится своими наработками в вопросах обеспечения безопасности Web-приложений, причем многие темы пересекаются с вопросами, поднятыми в прошлом году. Так, например, по данным службы техподдержки CMS Netcat, наиболее распространенной причиной взлома сайтов является заражение вирусом компьютера, с которого осуществляется управление системой.
Как бы в ответ на этот тезис на конференции прозвучат доклады Александра Матросова «Вирус подмены страниц: изменение поведения веб-сервисов без ведома их создателей» и Сергея Гордейчика «Positive WebSpider – экспресс тест на безопасность».
Кроме того, на секции будут представлены доклады Ильи Сачкова (Group-IB) о тенденциях борьбы с кибепреступностью в России и Александра Полякова (Digital Security) о последних тенденциях безопасности СУБД Oracle. Но этим список тем конференции не ограничивается. Получить свежую программу можно на сайте ассоциации Рускрипто (http://ruscrypto.ru/conference/program/).
В данной статье описываются результаты исследований систем обнаружения беспроводных атак с точки зрения специалиста в области безопасности приложений. Обнаруженные ошибки проектирования в статье не обсуждаются, поскольку их устранение требует от производителя существенных трудозатрат.
Не касаясь достоинств или недостатков каждого из методов можно выделить следующие особенности, которые могут влиять на достоверность оценки:
В различных приложениях уязвимости одного типа могут иметь различную степень риска. Так, уязвимость «Подделка HTTP-запроса» может не представлять угрозы для типичного репрезентативного сайта или поисковой машины, и наоборот – классифицироваться как проблема высокой степени риска в Web-интерфейсе электронной почты или платежной системы. В результате утечки информации злоумышленник может получить доступ к журналам работы приложения (низкая или средняя степень риска), а может загрузить резервную копию исходных текстов сайта (высокая степень риска).
Конфигурация конкретной системы также может оказывать серьезное влияние на степень риска. Так, уязвимость «Внедрение операторов SQL» обычно классифицируют как имеющую высокую опасность. Однако в случае если Web-приложение работает с сервером СУБД с ограниченными привилегиями, она может быть отнесена к проблемам средней или низкой степени риска. В другой инсталляции или реализации приложения эта же уязвимость может быть использована для получения доступа к операционной системе с правами суперпользователя, что естественно делает её наиболее критичной.
В зависимости от метода у глубины анализа степень одна и та же уязвимость может быть оценена по-разному. Если взять приведенный выше пример «Внедрения операторов SQL», использование сетевого сканера позволит только констатировать наличие проблемы. Для определения привилегий, доступных потенциальному злоумышленнику требуется либо попытаться использовать ошибку, либо уточнить порядок взаимодействия между Web-приложением и СУБД методом «белого ящика».
Т.е. крайне некорректно относить две различные уязвимости одного типа (например SQL Injection) к одной степени риска без детального анализа.
Привожу пример.
Предположим SQL Injection позволяет получить доступ к СУБД минимально необходимыми для Web-сервера привилегиями, например db_reader. Причем Web-приложение не хранит в СУБД конфиденциальной информации, например паролей.
Тогда вектор и степень риска CVSSv2 будет равены:
(AV:N/AC:L/Au:N/C:P/I:N/A:P/E:H/RL:W/RC:C) = 6.1
