Teksty

W tym cyklu artykułów spróbujemy zrozumieć sens działania narzędzi dedykowanych statycznej analizie kodu, poznać ich mocne oraz słabe strony. Sprawdzimy też, które narzędzia warto wykorzystać do znajdowania nieefektywnych konstrukcji oraz fragmentów kodu noszących znamiona złych praktyk programistycznych czy nawet błędów bezpieczeństwa.

Dzisiaj przedstawiamy małe opracowanie, które powinno przede wszystkim zainteresować osoby pracujące w jednostkach administracji publicznej. Mowa jest o pewnym rozporządzeniu, które nakłada na tego typu jednostki m.in. obowiązek realizowania cyklicznych autów bezpieczeństwa czy uczestniczenia w szkoleniach z zakresu bezpieczeństwa. Są też wskazanie minimalne wymagania bezpieczeństwa dla systemów IT.

RADIUS to protokół sieciowy realizujący zadanie centralnego uwierzytelniania i autoryzacji (RFC 2865) oraz rozliczalności (RFC 2866). Wykorzystywany jest jako jeden z głównych komponentów przy budowie sieci w standardzie WPA2-Enterprise. Oto jego krótka charakterystyka.

Czym jest analiza ryzyka IT? Po co ją realizować? Jak się do niej zabrać? Krótki, praktyczny przewodnik wprowadzający do tematyki analizy ryzyka IT.

Tematyka dotycząca WPA2-Enterprise, 802.1X, EAP oraz RADIUSa jest bardzo obszerna i porusza wiele aspektów. Zapraszamy do zapoznania się z tą tematyką w kontekście bezpieczeństwa dostępnych rozwiązań.

Publikujemy badanie naszego czytelnika, które dotyczy pewnej wcześniej niepublikowanej podatności na urządzeniach D-Link. Całość pokazana ze szczegółami – łącznie z tak istotną rzeczą jak uruchomienie wyciągniętej z firmware binarki na emulatorze i debugowanie jej w takim właśnie środowisku.

W nawiązaniu – w pewnym sensie – do rozpoczętej niedawno serii (Bezpieczeństwo sieci przemysłowych / SCADA – kilka ciekawych zasobów), dzisiaj parę słów o ciekawych miejscach w sieci dotyczących bezpieczeństwa urządzeń mobilnych.

Jakie są skutki założenia, że wprowadzanie skomplikowanego hasła jest zbyt niewygodnie dla użytkownika i że potrzebuje on prostszego rozwiązania?
Twórcy protokołu WPS szukali metody łatwego dodawania nowych urządzeń do sieci Wi-Fi. Zapomnieli jedynie o zapewnieniu bezpieczeństwa nowemu protokołowi.

Publikujemy drugą część mini serii o protokole SPDY. Po łagodnym wprowadzeniu – czas na więcej technikaliów.

Czy pentesterzy powinni szczegółowo poznawać wszystkie normy oraz metodologie? Czy są one tylko zbędnym balastem, czy raczej inspiracją i przewodnikiem.
Kończymy przegląd metodyk i zbliżamy się do konkluzji tego artykułu.

Istotną częścią układanki omawianej wysokodostępnej i wydajnej architektury dla LAMP są serwery aplikacyjne, na których osadzone będą strony WWW. Zapraszam do prezentacji tych, które moim zdaniem dobrze spełnią powierzane im zadania.

Druga część tekstu o testach penetracyjnych – tym razem robimy bardziej szczegółowy przegląd po rozmaitych metodykach.

Test penetracyjny, w odróżnieniu od audytu bezpieczeństwa, jest procesem bardzo kreatywnym oraz spontanicznym. Wiele metodyk próbuje poskromić ten żywioł i usystematyzować pracę pentestera. Ale czy pentester w ogóle potrzebuje podążać ściśle za jakąś metodologią?

Tematyka bezpieczeństwa sieci przemysłowych (czyli służących do sterowania takimi kompleksami jak: elektrownie, wodociągi, kopalnie, gazociągi, linie produkcyjne, …) jest w dalszym ciągu niezbyt dobrze opisana czy zbadana. W tym krótkim poradniku postaram się wskazać kilka przydatnych zasobów dla osób, które odpowiedzialne są w jakiś sposób za zabezpieczanie tego typu systemów.

Dzisiaj publikujemy drugi tekst cyklu poświęconego budowaniu i konfigurowaniu wysokodostępnej i wydajnej architekturze dla LAMP. Tym razem będzie mowa o: keepalived oraz haproxy.