27.4.05
Penetrační testy aneb interní hacking
Měl jsem v posledních týdnech možnost seznámit se s aktivitou, která by mohla být přínosná i pro zvídavce, kteří se zajímají o bezpečnost v našich finančních institucích. Tedy jedna nadnárodní finanční společnost, která vlastní peněžní ústav i u nás, se před několika lety rozhodla, že v rámci IT security týmu vznikne skupinka profesionálních hackerů (neplést s těmi v černých kloboucích). Tito sekáči jezdí, vlastně létají po světě a testují zabezpečení informačních systémů jednotlivých byznysů.
Ta práce má světlé i stinné stránky, ale o tom až později. Protože tato skupina právě navštívila i Prahu, je příležitost napsat něco o reálné bezpečnosti. Naši místní ajťáci sekuriťáci měli mnoho měsíců se na penetrační test připravit. Měli informace o slabinách, které hackeři narazili při minulých akcích v jiných zemích. Jak se na test připravovali? Jak ten test dopadl? O tom napíšu ve dvou až třech zápiscích v příštích několika dnech.
¶ 08:09
Měl jsem v posledních týdnech možnost seznámit se s aktivitou, která by mohla být přínosná i pro zvídavce, kteří se zajímají o bezpečnost v našich finančních institucích. Tedy jedna nadnárodní finanční společnost, která vlastní peněžní ústav i u nás, se před několika lety rozhodla, že v rámci IT security týmu vznikne skupinka profesionálních hackerů (neplést s těmi v černých kloboucích). Tito sekáči jezdí, vlastně létají po světě a testují zabezpečení informačních systémů jednotlivých byznysů.
Ta práce má světlé i stinné stránky, ale o tom až později. Protože tato skupina právě navštívila i Prahu, je příležitost napsat něco o reálné bezpečnosti. Naši místní ajťáci sekuriťáci měli mnoho měsíců se na penetrační test připravit. Měli informace o slabinách, které hackeři narazili při minulých akcích v jiných zemích. Jak se na test připravovali? Jak ten test dopadl? O tom napíšu ve dvou až třech zápiscích v příštích několika dnech.
¶ 08:09
Komentáře:
<< Zpět
Budu hádat ano? Tvrdá slupka, měkké jádro. Haxoři se dostali do těch nejdůležitějších systémů, zatímco ty méně důležité zůstaly ok. Pokud to tak bylo, mám jednoduché vysvětlení. Ty nejdůležitější systémy se patchují blbě: musí jet pořád a pokud se někdo může jenom trochu vyhnout hrabání do Orákula nebo Sexchange, tak to udělá, protože nestojí o průser u šéfa.
Zaplácnout díru v Apachi na MRTG na RH s pomocí rpm balíku je jednoduché - *vždycky* se to dá vrátit zpět a nehrozí, že to den nepojede. Navíc bez MRTG se nějaký čas žít dá, ale žádný ústav - ani finanční ani diagnostický si nemůže dovolit být den bez kalendáře, pošty a plánování mítingů na procesení do pajplajny, popřípadě nedejbože neplatit.
Zaplácnout díru v Apachi na MRTG na RH s pomocí rpm balíku je jednoduché - *vždycky* se to dá vrátit zpět a nehrozí, že to den nepojede. Navíc bez MRTG se nějaký čas žít dá, ale žádný ústav - ani finanční ani diagnostický si nemůže dovolit být den bez kalendáře, pošty a plánování mítingů na procesení do pajplajny, popřípadě nedejbože neplatit.
# poslal 
: 27 dubna, 2005 23:27
: 27 dubna, 2005 23:27
Ještě před tím, než to popíšu podrobněji předesílám, že se nedostali ke klientským datům. To, že se k bezpečnosti mnohde přistupuje melounovitě (tvrdá slupka, vnitřek měkký) je pravda pravdoucí.
Přidej komentář
<< Zpět
