Перейти к публикации
BugBounty forum

Таблица лидеров


Популярные публикации

Отображаются публикации с наибольшей репутацией начиная с 08.06.2021 во всех областях

  1. 1 балл
    Анализ кода по требованиям информационной безопасности – не менее важный этап разработки, чем комплексное тестирование в рамках проведения опытной эксплуатации. Он позволяет выявлять уязвимости информационной безопасности, умышленно или неумышленно допущенные при разработке. Особенно это актуально для критически важных объектов инфраструктуры, автоматизированных систем управления и образцов вооружения. В настоящее время, в основном применяются следующие методы анализа безопасности исходного кода: динамический метод - метод анализа безопасности программного обеспечения, требующий выполнения программ на специальном стенде, с доступом к исходному коду и среде его функционирования; статический метод – метод анализа безопасности программного обеспечения с доступом к исходному коду и не требующий выполнения программ; гибридный метод – метод, совмещающий два предыдущих метода. Реже применяется метод ручной инспекции кода (code review), фаззинг-тестирование и другие. Дополнительными мерами, применяемыми для анализа и повышения уровня информационной безопасности, можно считать использование: систем управления версиями и ветками релизов (SVN и Git); систем отслеживания ошибок (bug tracking system); систем непрерывной интеграции и непрерывного развертывания (CI/CD). Для повышения уровня безопасности кода используются следующие общие требования: Проверка всех входных и выходных данных. Запрет на предоставление пользователю избыточных данных. Максимально допустимое ограничение прав пользователя. Ведение журналов безопасности и действий пользователей. Ограничение действий пользователей по принятию не регламентированных решений. Контроль кода на избыточность. Контроль версий, квот и буферов. Использование стандартных средств операционной системы. Безопасное создание и удаление временных файлов и переменных. Запрет на использование внутрикорпоративных названий. Кроме того, вырабатываются общие рекомендации безопасного написания кода для разработчиков. Например: Использовать стили программирования и стандарты безопасного написания для конкретного языка. Минимизировать использование внешнего кода от сомнительных или неизвестных источников. Учитывать предупреждения компилятора.  Проектировать с возможностью разделения привилегий.  Придерживаться простоты в проектировании и разработке.  Создавать предсказуемые конструкции, обладающие гибкостью и масштабируемостью (концепция SOLID). По умолчанию запрещать и использовать наименьшие из возможных привилегий.  Исключать лишнюю информацию при взаимодействии с внешними системами. Организовывать защиту на всех уровнях.  Использовать системы контроля качества кода, системы управления версиями и ветками релизов, системы отслеживания и управления ошибками, системы непрерывной интеграции и непрерывного развертывания. В большинстве случаев анализ защищенности программного обеспечения включает в себя следующие стадии: 1. Анализ защищенности методами «черного» и «серого ящика», т.е. динамический анализ безопасности программного обеспечения без доступа к исходному коду: метод «черного ящика» направлен на поиск уязвимостей, использование которых позволяет не имеющему никаких привилегий злоумышленнику реализовать следующие виды угроз: получение несанкционированного доступа к информации, полный или частичный контроль над приложением и его использование для организации атак; метод «серого ящика» аналогичен предыдущему, с тем лишь исключением, что под злоумышленником подразумевается пользователь, обладающий определенным набором привилегий. 2. Анализ защищенности методом «белого ящика» - динамический и статический анализ безопасности исходного кода. Выполняется анализ исходного кода с помощью специализированного программного обеспечения (анализаторы исходного кода), позволяющего фиксировать подозрения на уязвимости. Для разных языков и платформ используются различные анализаторы. На этом этапе особое внимание уделяется следующим «чувствительным местам» в коде: механизмам валидации и нормализации вводимых данных; механизмам аутентификации и авторизации; механизмам криптозащиты; механизмам защиты хранимых данных на предмет предотвращения несанкционированного доступа; протоколам обмена данными между клиентскими и серверными частями программного обеспечения. 3. Разработка рекомендаций и итогового отчета. Перечень актуальных уязвимостей строится на основе отчетов работы специального программного обеспечения и журналов работы специальных стендов (песочниц), материалов свободных исследовательских групп по поиску уязвимостей, каталогов уязвимостей, в частности: CERT, CVE, WASC, OWASP, OSVDB и т.д. Для каждой уязвимости описываются возможные последствия ее эксплуатации. Вырабатываются предложения по устранению уязвимостей, выявленных в ходе анализа защищенности, или снижению ущерба от их реализации. 4. Проверка корректности устранения выявленных уязвимостей. Проводится проверка наличия выявленных уязвимостей и оценка эффективности принятых мер по их нейтрализации. Подготавливается отчет о проверке корректности устранения выявленных уязвимостей. Комплексный подход, создание ведомственного подразделения разработчиков, использование современных методов и «лучших практик» программирования, анализ программного обеспечения на отсутствие недекларированных возможностей позволяет минимизировать угрозы информационной безопасности в корпоративном программном обеспечении.
  2. 1 балл
    Друзья, напомню, что на платформе БагБаунтиБай регулярно появляются интересные заказы. Причем от вполне себе именитых компаний. Так, недавно клиентами платформы стали Mozilla и Protonmail. А немногим позже БагБаунтиБай получила разрешение на начало тестирования ресурсов Mail.Ru Group. Это лишь некоторые из клиентов платформы. И впереди - множество новых крутых заказов! Не забывайте проверять, не появилось ли что-нибудь новенькое
Таблица лидеров находится в часовом поясе Минск/GMT+03:00
  • Рассылка

    Хотите узнавать о наших последних новостях и информации?

    Подписаться
×