Пентест веб-приложений: этапы, методы и влияние на кибербезопасность

Пентест – смоделированная кибератака на компьютерную систему для её проверки на наличие уязвимостей. В контексте безопасности веб-приложений пентест обычно используется для усиления брандмауэра веб-приложений (WAF).

В этой статье мы рассмотрим этапы тестирования и какие виды пентеста существуют.

https://www.securitylab.ru/analytics/535396.php

«Ситимобил» подтвердил утечку обезличенных номеров телефонов клиентов и водителей

—После раскрытия сканов паспортов более 4 тысяч водителей опубликовали в открытом доступе почти 4 млн номеров телефонов водителей и клиентов службы такси «Ситимобил».

—В открытом доступе в Сети оказалась база из 3,9 млн уникальных номеров телефонов пассажиров и 80 тысяч — водителей службы такси «Ситимобил».

—Злоумышленники выходили на представителей компании и угрожали выложить в публичный доступ более расширенную информацию.

—Компания направила уведомление в Роскомнадзор, а также подала заявление в полицию.

https://www.securitylab.ru/news/535429.php

В России разрешили использовать частоты 5,9–6,4 ГГц для Wi-Fi 6E

— Госкомиссия по радиочастотам приняла решение выделить частоты 5,9–6,4 ГГц для стандарта связи Wi-Fi 6E в офисах и жилых домах.

— С точки зрения доступности роутеров с поддержкой Wi-Fi 6E в России «больших проблем нет», отметил гендиректор подведомственного Минцифры НИИ «Радио» Олег Иванов. Большая часть роутеров производится китайскими и тайваньскими компаниями, которые не вводили запретов и ограничений на импорт в Россию.

— Производство российских роутеров с соответствующими характеристиками «требует времени», уточнили в Минцифры, но «наработки уже есть».

https://www.securitylab.ru/news/535433.php

Правительство обсуждает возможность запретить ввоз в Россию компьютеров и ноутбуков Dell, HP, HPE, Acer, MSI и других зарубежных производителей. Такую инициативу выдвинул отечественный вендор ICL.

— Эта мера позволит «освободить российский рынок от компаний, отказавшихся работать в России, и увеличить долю российской вычислительной техники до 50%».

— Также глава ICL предлагает ввести утилизационный сбор на импортную вычислительную технику в размере 20% от стоимости с одновременной выдачей субсидий российским производителям электроники.

— В частности, речь идет о выдаче льготных кредитов на закупку отечественной техники дистрибуторами для ее дальнейшей реализации, а также запуске программы кэшбэка на те же 20% для граждан, готовых приобретать в рознице российскую потребительскую электронику.

— Как отмечается, ритейлеры и чиновники поддерживают идею запустить программу кэшбэка, но выступают против ограничения параллельного импорта, предупреждая о рисках сокращения ассортимента и роста нелегальных поставок.

https://www.securitylab.ru/news/535442.php

Минцифры создаст систему сертификации для российских ИБ- специалистов

— Создаваемая министерством единая система поможет установить стандарт в данной отрасли, по которому можно будет оценивать специалистов.

— В ближайшей перспективе замена международных сертификатов не планируется. Новая система разрабатывается исключительно для внедрения российских внутренних ИБ-сертификатов в рамках единого стандарта.

— Ранее в России использовались сертификаты международных образцов: CISSP, CISA и CISM. Однако после февральских событий получение данных сертификатов российскими IT-специалистами осложнилось.

https://www.securitylab.ru/news/535449.php

Частный сектор лишится страхования от кибератак

— Генеральный директор европейской страховой компании Zurich Марио Греко заявил, что по мере роста числа кибератак они станут «не подлежащими страхованию».

— В интервью Financial Times Марио Греко сказал, что кибератаки могут представлять бо́льшую угрозу для страховщиков, чем системные проблемы, такие как пандемии и изменение климата.

— Страхования убытков от кибератак частного сектора имеет свой предел, отметил Греко. Правительствам стран необходимо «создать частно-государственные схемы для управления системными киберрисками, которые не могут быть определены количественно, подобно тем, которые существуют в некоторых юрисдикциях для землетрясений или террористических атак».

https://www.securitylab.ru/news/535435.php

Студенты США используют ИИ для написания сочинений

— Эссе, написанные с использованием ИИ, получили оценку 3 и 3-. Для более высокого балла студентам нужно было вручную переписать большую часть эссе или указывать ИИ более точные подсказки.

— По словам доцента Грэмма, написание текстов с помощью ИИ не так уж сильно отличается от письма «вручную». Основные навыки письма, которым обучаются студенты, в основном возникают после первоначального наброска.

— Преподаватель по письму Анна Миллс выразила свою обеспокоенность в связи с тем, что ИИ снижает потребность людей думать самостоятельно и может влиять на мысли людей или даже изменять их.

https://www.securitylab.ru/news/535447.php

Учёные показали, как прослушивать чужие звонки с помощью датчика движения

— Исследователи из США разработали новый метод атаки под названием EarSpy, который позволяет прослушивать звонки пользователя, распознавать пол и личность звонящего, и даже определять тему разговора.

— Атака проводится путем захвата показаний датчиков движения, вызванных реверберацией звука в слуховом динамике смартфона. В ходе эксперимента учёные использовали устройства OnePlus 7T и OnePlus 9.

— Идентификация пола звонящего в тестах OnePlus 7T составляла 77,7% - 98,7%, идентификация личности 63,0% - 91,2%, а распознавание речи колебалось между 51,8% и 56,4%.

— Единственная мера защиты, которая может снизить эффективность атаки EarSpy, — это громкость. Более низкая громкость может предотвратить атаку по сторонним каналам.

https://www.securitylab.ru/news/535457.php

Минцифры готовит законопроект о принудительном лицензировании зарубежного ПО

— Минцифры совместно с участниками IT-рынка готовит законопроект о принудительном лицензировании зарубежного ПО, разработчики которого прекратили работу в РФ.

— В частности, обсуждается законопроект, который, с одной стороны, «декриминализует» нелегальное использование софта зарубежных компаний, прекративших поддержку и обновление ПО в РФ, а с другой — запустит механизм его принудительного лицензирования.

—Предполагается, что российские клиенты будут перечислять оплату за использование программ на специальный счет, откуда правообладателям средства «будут переведены по первому требованию».

https://www.securitylab.ru/news/535461.php

В популярной онлайн-игре Roblox орудуют детские киберпреступные банды

— Платформа Roblox, позволяющая создавать свои видеоигры и играть в игры, созданные другими, оказалась комфортной средой обитания для малолетних жуликов.

— Подростки 13-14 лет с успехом обкрадывают других своих сверстников, используя для этого полноценные мошеннические схемы, фишинг и элементы социальной инженерии.

— Взлом аккаунтов в Roblox — прибыльный бизнес: малолетние хакеры зарабатывают около 2 тысяч евро в неделю, при этом считая свои действия «обычным хобби».

— Как отмечает издание, юные хакеры часто объединяются в преступные группы и организуют полноценные криминальные сети.

https://www.securitylab.ru/news/535478.php?r=1

VK, «Яндекс», «Сбер» и «Ростелеком» создадут мобильную операционную систему на базе Android

— VK, "Яндекс", Сбербанк и "Ростелеком" намерены учредить компанию, которая будет заниматься разработкой мобильной ОС на базе открытого общедоступного кода Android и создаст платформу совместимых с ней мобильных сервисов, способных заменить Google Mobile Services.

— Как сообщается, разработка новой ОС не противоречит планам «Ростелекома» развивать мобильную экосистему на базе ОС «Аврора». Новая ОС предназначена для потребительского сегмента, тогда как «Аврора» ориентируется на корпоративный и государственный секторы.

— Отмечается, что запустить новую платформу на базе открытого Android будет проще и дешевле, чем для ОС "Аврора". Многие приложения российских разработчиков уже совместимы для работы с Android, а их адаптация под "Аврору" потребует времени и вложений.

https://www.securitylab.ru/news/535483.php

Злые двойники нападают! Что такое атака Evil Twin и как от нее защититься?

Представьте: вы находитесь в метро и вам нужно срочно отправить сообщение. Но по какой-то причине ваш мобильный интернет отказывается работать. Что в таком случае обычно делают пользователи? Правильно – подключаются к общедоступной Wi-Fi-сети и отправляют сообщение. Но они даже не подозревают, что с виду надежная сеть может оказаться «злым двойником», который позволит злоумышленникам получить доступ к их информации: от сетевого трафика до личных регистрационных данных.

Поэтому, чтобы вы не стали жертвой атаки Evil Twin («злой двойник»), мы хотим подробно разобрать что это такое и дать несколько советов по защите.

https://www.securitylab.ru/analytics/535252.phpr=1

Минпросвещения предложило школам не обновлять зарубежный софт

— В ведомстве считают, что хакеры через обновление иностранного софта могут внедрить вредоносный код.

— Предлагается не обновлять программное обеспечение, отключить неиспользуемые службы и веб-сервисы, а также убрать зарубежные встроенные приложения и счетчики посещаемости с сайтов (как ReCAPTCHA или Google Analytics).

— Минпросвещения также просит блокировать трафик из даркнета, браузера Tor, а также «поступающий с IP-адресов, страной происхождения которых являются США» и другие недружественные страны.

— Кроме того, рекомендуется провести аудит кибербезопасности.

https://www.securitylab.ru/news/535480.php

Прогнозы кибербезопасности на 2023 год

— Эксперты прогнозируют рост спроса на киберстрахование. Однако получить страховку от киберрисков станет сложнее. Тенденция связана с повышением осведомленности о финансовых и репутационных рисках киберинцидентов.

— Усиление геополитической напряженности вызовет рост числа вымогательских атак на малые и средние предприятия. Организации будут вынуждены обеспечить себя ИБ-командой и выделить необходимые бюджеты для защиты от атак.

— Киберпреступность молодеет. Подростки и молодежь будут все чаще участвовать в киберпреступлениях — от крупномасштабных атак на предприятия и правительства до мелких преступлений против семьи, друзей и незнакомцев.

https://www.securitylab.ru/news/535487.php

Лига безопасного интернета оценила затраты организаторов информационных атак на Россию в 2022 году

— Директор Лиги безопасного интернета Екатерина Мизулина заявила, что информационные атаки на Россию, которые ведутся с февраля 2022 года, обошлись организаторам более чем в $18 млрд.

— Эти средства ушли на создание и продвижение фейковой информации, распространение ее через блогеров — иностранных агентов, приобретение рекламного трафика.

— Деньги также были потрачены на накрутку поисковой выдачи и выпуск публикаций с фейковой информацией.

https://www.securitylab.ru/news/535492.php