Denis Makrushin

пентест

24/03/17 |Research # , , , ,

Как одурачить «умный город»

Как обмануть датчики дорожного движения

Концепция умного города включает в себя объединение различных современных технологий и решений, способных обеспечить комфорт и удобство получения услуг, безопасность граждан, рациональное потребление ресурсов и т.д. Мы хотим обратить внимание на то, что часто выпадает из поля зрения поклонников концепции умного города – на безопасность самих элементов умного города. Инфраструктура умных городов развивается быстрее, чем средства ее защиты, что оставляет большой простор для деятельности как любопытных исследователей, так и злоумышленников. Continue reading

0 likes no responses
31/05/15 |Blog # , ,

Про недавний взлом MosMetro_Free

Про недавний взлом MosMetro_FreeНедавний взлом Wi-Fi-сети в Московском метрополитене, хорошо известной миллионам ее пользователей под названием MosMetro_Free, вызвал немало обсуждений в российской прессе. В данном посте собраны ответы на вопросы, связанные с тем, как обезопасить себя от подобных угроз.

Continue reading

0 likes no responses
02/04/15 |Research # , , ,

Анализ защищенности терминалов общего пользования

Игра Watch Dogs прекрасно описывает недалекое будущее: вокруг всевозможные девайсы, средства выдачи и приема наличных, а также разнообразные имеющие доступ в интернет устройства, нашпигованные уязвимостями, эксплуатация которых позволяет хакеру извлечь определенную выгоду. Например, в игре главный герой при помощи смартфона может скомпрометировать систему видеонаблюдения, получив тем самым возможности вести слежку и добывать дополнительную информацию.

Continue reading

0 likes no responses
30/11/11 |Blog # , , ,

Записки аудитора: аудит в условиях непрерывного пентеста

Метод проведения аудита в условиях непрерывного пентеста

Проведение технического аудита в подавляющем большинстве случаев сопровождается анализом защищенности сетевого периметра. Практика показывает, что этап проведения внешнего теста на проникновение является для аудитора задачей, которая требует ожидания. За время, пока пентестеры врезаются в инфраструктуру, пытаясь перевести свою деятельность на внутрекорпоративный уровень, аудитор проводит ряд организационных мероприятий, связанных с получением дополнительных данных для последующей оценки защищенности методом «белого ящика». Иногда встречаются ситуации, когда он вынужден выносить вердикт исключительно по результатам теста на проникновение или в значительной степени опираться на эти результаты. Встает вопрос оптимизации в реальном времени получаемой от пентестера информации.

Continue reading

0 likes no responses
05/03/11 |Research # , , , , , ,

Пластиковая безопасность

Проведение «мероприятий по оценке соответствия  требованиям стандарта безопасности данных индустрии платежных карт (PCI DSS)» стало одной из востребованных услуг среди их прочего спектра, предоставляемой консалтинговыми организациями. Насколько эта оценка отражает реальное положение дел в «пластиковой» инфраструктуре? На операционном столе стандарт, требования которого некоторые считают «панацеей» от утечки платежных данных.

Continue reading

0 likes one response
28/02/11 |Research # , , , ,

Аналитическая работа на тему “PCI DSS”

Взгляд на аудит сквозь призму стандарта PCI DSS Стремительно растет количество операций с использованием пластиковых карт: онлайн-платежи, безналичный расчет в торгово-сервисных предприятиях, манипуляции с банковским счетом в системах онлайн-банкинга и прочие платежные приложения от поставщиков услуг. Соответственно, расширяется инфраструктура, в которой циркулируют информация о держателях карт и критичные аутентификационные данные. В случае попадания этой информации или ее части в руки к злоумышленникам финансовые потери несут как банки-эмитенты, так и конечные пользователи. Continue reading

0 likes no responses
20/07/09 |Blog # ,

Пентест vs. Консалтинг

Ознакомившись с постом Дмитрия Евтеева, касающегося тестов на прониктновение, согласился с мыслью, что при грамотной обработке результатов пентеста можно улучшить стратегию укрепления СУИБ. Однако ни один пентестер не предоставит полной картины безопасности исследуемой инфраструктуры, ведь работа заключается в проникновении, а не в обнаружении всех «узких» и потенциально «узких» мест.

 

Смысл не в том, что в идеале тест на проникновение должен комплексно оценить степень защищенности объекта, а в том, что на российском рынке услуг своя «реальность». Здесь пентестер (a.k.a. хакер) получает свои кровные по факту проникновения, работая по шаблонным и хорошо отработанным методикам. Как заметил Крис Касперски, тест на проникновение по большей части, осуществляется в «фоновом режиме». 
 

Другое дело – security-консультант, получающий «на руки» всю топологию исследуемого объекта и имеющий доступ ко всем его «углам». На мой взгляд, грамотный конслатинг должен включать в себя процедуру пентеста как подмножество.

Факт проникновения не может давать полной картины защищенности. И "расширенность" тестирования прямо пропорциональна степени финансовой "вложенности", что, естесственно, уже стремится к расценкам консалтинга.
 

0 likes no responses
Twitter

First time in London and first time with the talk at @Infosecurity: https://t.co/p1HRemc1Vp

Backdoors in D-Link’s backyard: Multiple vulnerabilities in D-Link DIR-620 router. If you are Airbnb-host planning to rent your property for #FIFA18 keep in mind this information to make hardening of your network. https://t.co/6VzOIPiFD6

Back to Istanbul to speak about 0days in IoT and Connected Medicine at #NOPcon

Do not stop - one spark is enough to burn down the whole forest. Same way, I believe, we spread knowledge and raise awareness. #KLMETA

Looking back on the day that @JacobyDavid and @difezza made me play network defender and look at security via the #IoT at #TheSAS2018 https://t.co/hZlGvzkJFV on the @kaspersky blog

Recent Comments
- Sergey to Погружение в даркнет: Снифаем выходную ноду Tor и анализируем получившийся контент
лучше заходиииииииить через тор онлайн http://torproject.online/,...
- Denis Makrushin to The problems of heterogeneous means of protection
Of course!...
- K. Olbert to The problems of heterogeneous means of protection
Insightful diagram, Denis. Would you mind if I use it in a presentation, with credit, of course?...