Милі та пухнасті

Блог

  • Как сделать свой собственный аудит безопасности сайта

    Кажется, почти каждый день в новостях появляется история о последнем взломанном сайте. Большинство думает, что это никогда не случится с ними – пока это не произойдет. В любой момент хакеры могут проверять ваш веб-сайт на предмет того, что они могут скомпрометировать его, чтобы использовать ваш сайт и / или сервер для своей гнусной деятельности. Если вы не хотите становиться жертвой их тактики, крайне важно провести аудит безопасности веб-сайта.

    Прежде чем мы поговорим об аудите безопасности сайта, давайте посмотрим, как ваш сайт может быть взломан. Это даст вам представление о том, с чем вы столкнетесь, и о важности мониторинга вашего сайта.

    6 самых распространенных форм атаки

    Вредоносное ПО

    Наиболее распространенная угроза, вредоносное ПО , – это всеобъемлющий термин, который охватывает вирусы, черви, троянских коней, вымогателей, шпионские программы и многое другое. Вредоносные программы могут стереть все ваши данные, украсть информацию о клиентах, заразить ваших посетителей – возможности практически безграничны.

    Распределенный отказ в обслуживании (DDoS)

    DDoS-атака может обрушить ваш сайт, затопив его потоком автоматизированного трафика. И каждую минуту, когда ваш сайт не работает, вы теряете клиентов и продажи.

    Грубая сила

    В этом случае приложение циклически перебирает все возможные комбинации паролей, пока не найдет тот, который подойдет. Оттуда хакеры могут получить доступ к вашей системе, украсть конфиденциальные данные и делать практически все, что им захочется.

    Инъекция

    Из-за недостатков кода хакер отправляет вредоносные данные как часть команды или запроса, который заставляет сайт делать то, что он не должен, например, предоставляет хакеру всю базу данных клиентов.

    Межсайтовый скриптинг

    Обычно называемый XSS, межсайтовый скриптинг отправляет предоставленные пользователем данные в веб-браузер без предварительной проверки. Хакеры используют эти недостатки для того, чтобы похитить пользователей или удалить их с сайта, что обойдется владельцу сайта в потерю бизнеса.

    Нулевой день

    Это атака, которая запускается, как только обнаруживается новая уязвимость, до того как патч станет доступен. Для защиты, вы можете использовать брандмауэр веб-приложений (WAF), который будет фактически исправлять ваш сайт в моменты раскрытия атаки нулевого дня .

    Важно быть активным и внедрить процесс защиты своего сайта.

    Многие ошибочно полагают, что просто потому, что у них нет «данных», их не стоит взламывать. Но это не так. Каждый веб-сайт содержит множество сценариев, поддерживаемых сервером, готовым к запуску новых сценариев, которые могут быть загружены без вашего ведома.

    Хакеры атакуют сайты каждый день, независимо от размера или платформы.

    Выполнив аудит безопасности веб-сайта, вы можете защитить свой сайт, выявив уязвимости, которые могут быть скомпрометированы. Намного лучше пресечь это в зародыше, прежде чем вы заметите, что Google пометил ваш сайт в результатах поиска как наличие вредоносного ПО. Затем возникает паника, когда вы отчаянно ищете кого-то, чтобы ваш сайт был восстановлен и очищен.

    Как самому провести аудит безопасности сайта

    1. Обновите ваши скрипты и приложения.
    2. Убедитесь, что ваш домен и IP чистые.
    3. Используйте надежные пароли.
    4. Удалить заброшенные учетные записи пользователей.
    5. Добавьте SSL.
    6. Используйте SSH.
    7. Запустите проверку безопасности.

    В зависимости от вашей настройки и инфраструктуры аудит безопасности веб-сайта может быть довольно техническим. Сегодня мы расскажем об основных принципах, которые вы можете сделать сами, чтобы убедиться, что на вашем сайте нет хакерской надписи «Добро пожаловать».

    1. Обновите ваши скрипты и приложения

    Убедитесь, что все ваши скрипты и приложения, такие как WordPress и плагины актуальны. Когда вы будете получать уведомления об обновлениях, выделите время для обновления как можно скорее. Хакеры ищут устаревшие версии, чтобы воспользоваться уязвимостями, исправленными в последней версии.

    2. Убедитесь, что ваш домен и IP чистые

    Убедитесь, что ваш домен и IP чистые и не занесены в черный список. MxToolbox – отличный вариант для быстрых проверок. Поскольку черные списки IP-адресов, как правило, не управляются одним источником, вам, возможно, придется связаться с несколькими местами, чтобы удалить из черного списка (если обнаружится, что вы в него попали).

    3. Используйте надежные пароли

    Это может показаться легкой задачей, но надежные пароли являются обязательными. Для вашей личной учетной записи, учетных записей других пользователей, панели управления хостингом и доступа по FTP – все они должны быть защищены. Забудьте имена домашних животных и супругов, и, ради бога, не используйте «Password». Чем сложнее, тем лучше. Подумайте об использовании инструмента генератора паролей, чтобы придумать несколько хороших.

    4. Удалите заброшенные учетные записи пользователей.

    Удалите все оставленные учетные записи пользователей и никогда не сообщайте свои учетные данные. Всегда создавайте логины для новых пользователей, которые затем можно будет удалить, когда они больше не нужны.

    5. Добавьте SSL

    У вас есть SSL на сайте? Если нет, то почему нет? SSL будет шифровать данные между браузерами посетителя сайта и вашим сайтом. Это особенно важно, если у вас есть пользовательские логины и вы действительно храните конфиденциальные пользовательские данные. Тем не менее, SSL не только для сайтов электронной коммерции – теперь это стандартная процедура для всех сайтов.

    6. Используйте SSH

    Всегда используйте SSH при FTP-соединении с вашим сервером. Что такое SSH? По словам компании, которая ее разработала, SSH Communications Security :

    «Протокол SSH (также называемый Secure Shell) – это метод безопасного удаленного входа с одного компьютера на другой. Он предоставляет несколько альтернативных вариантов для строгой аутентификации и защищает безопасность и целостность связи с помощью надежного шифрования. Это безопасная альтернатива незащищенным протоколам входа (например, telnet, rlogin) и небезопасным методам передачи файлов (например, FTP) ».

    Вы же не хотите, чтобы кто-то перехватил ваши учетные данные, а затем отправился на ваш сервер!

    7. Запустите проверку безопасности

    Запустите проверку безопасности вашего сайта. Сканер SiteCheck Sucuri проверит ваш сайт на наличие известных вредоносных программ, статуса в черном списке, ошибок веб-сайта и устаревшего программного обеспечения. Или вы можете обратиться к нам для сканирования и удаления вредоносных программ.

    Довольно легко, правда? Не позволяйте другим повседневным бизнес-задачам затмевать важность проверки безопасности веб-сайта. Вышеприведенные советы – это не общие советы, а только основы, но если вы будете выполнять их регулярно, ваш сайт окажется в гораздо более надежных руках.

    Постоянное решение для безопасности

    Вредоносные программы не берут выходной. На следующий день после того, как вы выполните проверку и получите чистую справку о состоянии здоровья, ваш сайт может заразиться. Вот почему такие службы, как WAF необходимы для превентивных мер.

  • Уязвимость в Ghrome

    Google поделился информацией, как использовалась уязвимость CVE-2019-5786, которая была обнаружена и исправлена в chrome 72.0.3626.121, для атак.

    Данная уязвимость использовалась совместно с известной ранее уязвимостью нулевого для windows 7, что позволило выполнить код и захватить контроль.

    В блоге компании сообщалось в драйвере ядра win32k.sys есть уязвимость повышения полномочий, используя которую можно выйти за пределы песочницы.

    В данной уязвимости используется нулевой указатель в win32k!MNGetpltemFromIndex, c вызовом NtUserMNDragOver() в определенных условиях.

    В сообщении производителя, говориться о том, что уязвимость можно эксплуатировать только в windows 7, в более поздних версиях уязвимость устранена. Специалисты компании утверждают, что были произведены атаки исключительно на 32х разрядные ОС  7ки.

    На данный момент Microsoft пишет патч для устранения уязвимости, сроки не оговариваются.

    Услуги по тестированию на наличие уязвимостей в веб приложениях, обращайтесь office@itfb.com.ua

  • Инструменты тестирования безопасности

    Инструменты тестирования безопасности

    20 мощных инструментов тестирования на проникновение в 2019 году

    Список и сравнение 20 лучших инструментов для тестирования проникновения на рынке: (исследование сделано для вас!)

    Не было бы весело, если бы компания наняла вас взломать свой сайт / сеть / сервер? Ну, да!

    Тестирование на проникновение, обычно известное как pen-testing, Penetration testing. С изменением способа использования и построения компьютерных систем, безопасность занимает центральное место. Несмотря на то, что компании понимают, что не могут обеспечить безопасность каждой системы на 100%, им крайне интересно точно знать, с какими проблемами безопасности они могут столкнуться.

    Закажите у нас тестирование на проникновение, обращайтесь office@itfb.com.ua

    Что такое тестирование на проникновение?

    Это метод тестирования, при котором слабые места программных систем с точки зрения безопасности подвергаются проверке, чтобы определить, действительно ли «слабое место» одно, которое можно взломать или нет.

    Выполняется для : веб-сайтов / серверов / сетей

    Как это выполняется?

    Шаг 1. Он начинается со списка уязвимостей / потенциальных проблемных областей, которые могут привести к нарушению безопасности системы.
    Шаг 2. Если возможно, этот список ранжируется в порядке приоритета / критичности
    Шаг 3. Разработка тестов на проникновение, которые будут работать (атаковать вашу систему) как внутри сети, так и снаружи, чтобы определить, можно ли получить доступ к данным / сети / серверу / веб-сайту неавторизованным.
    Шаг № 4. Если возможен несанкционированный доступ, то система должна быть исправлена, и последовательность шагов должна быть перезапущена, пока проблемная область не будет устранена.

    Кто проводит Pen-тестирование?

    Тестеры / Специалисты по сети / Консультанты по безопасности проводят Pen-тестирование.

    Примечание. Важно отметить, что ручное тестирование – это не то же самое, что тестирование уязвимостей. Целью тестирования уязвимостей является просто выявление потенциальных проблем, в то время как ручное тестирование предназначено для решения этих проблем.

    Хорошей новостью является то, что вам не нужно начинать процесс самостоятельно – у вас есть ряд инструментов, уже доступных на рынке. Хотите знать, что за инструменты?

    • Даже несмотря на то, что вы не знаете как разработать тест, что бы атаковать, и как вы можете использовать его, на рынке имеется множество инструментов, позволяющих охватить проблемные области и быстро собрать данные, что, в свою очередь, позволит провести эффективный анализ безопасности системы.

    Прежде чем мы рассмотрим детали инструментов, то, что они делают, где вы можете их получить и т. д., Я хотел бы отметить, что инструменты, которые вы используете для ручного тестирования, могут быть классифицированы на два вида – проще говоря, они сканеры и злоумышленники. Это потому что; по определению, ручное тестирование использует слабые места. Так что есть некоторые программы / инструменты, которые покажут вам слабые места, а некоторые – и атаки. В буквальном смысле слова «сканеры» не являются инструментами ручного тестирования, но они неизбежны для его успеха.

    Лучшие инструменты для тестирования на проникновение безопасности на рынке

    19 лучших инструментов для тестирования на проникновение в систему безопасности, которые должен знать каждый специалист по безопасности:

    # 1) Netsparker

    Netsparker – это точный автоматический сканер, который выявляет такие уязвимости, как SQL-инъекция и межсайтовый скриптинг в веб-приложениях и веб-API. Netsparker однозначно проверяет выявленные уязвимости, доказывая, что они настоящие, а не ложные срабатывания.

    Поэтому вам не нужно тратить часы на ручную проверку выявленных уязвимостей после завершения сканирования.

    Он доступен как программное обеспечение Windows и онлайн-сервис.

    Ссылка для скачивания : https://www.netsparker.com/

    **************

    # 2) Acunetix

    Acunetix – это полностью автоматизированный сканер веб-уязвимостей, который обнаруживает и сообщает о более чем 4500 уязвимостях веб-приложений, включая все варианты SQL Injection и XSS.

    Он дополняет роль тестера на проникновение, автоматизируя задачи, на которые можно потратить часы  ручного тестирования, обеспечивая точные результаты без ложных срабатываний на максимальной скорости.

    Acunetix полностью поддерживает HTML5, JavaScript и одностраничные приложения, а также системы CMS. Он включает в себя передовые ручные инструменты для тестеров на проникновение и интегрируется с популярными системами отслеживания ошибок и WAF.

    Ссылка для скачивания : https://www.acunetix.com/penetration-testing/

    *****************

    # 3) Core Impact

     

    Core Impact: уже более 20 лет на рынке, Core Impact претендует на самый большой диапазон эксплойтов, доступных на рынке, они также позволяют запускать бесплатные эксплойты Metasploit. Они автоматизируют множество процессов с помощью мастеров, имеют полный контрольный журнал, включая команды PowerShell, и могут повторно протестировать клиента, просто проиграв контрольный журнал.

    Core пишет свои собственные эксплойты «Коммерческий класс», чтобы гарантировать качество и предлагать техническую поддержку как для эксплойтов, так и для их платформ.

    Они утверждают, что являются лидерами рынка и имеют соответствующий ценник. Совсем недавно цена снизилась, и у них есть модели, подходящие как для корпоративных клиентов, так и для консультантов по вопросам безопасности.

    Ссылка для скачивания : https://www.s4apps.com/core-impact/registrations/trial-sth1/

    *****************

    # 4) Metasploit

    Это самый продвинутый и популярный фреймворк, который можно использовать для пен тестирования. Он основан на концепции «эксплойта», который представляет собой код, который может превзойти меры безопасности и войти в определенную систему. Он запускает «payload» – код, который выполняет операции на целевой машине, создавая тем самым идеальную среду для тестирования на проникновение.

    Он может использоваться в веб-приложениях, сетях, серверах и т.д. Он имеет командную строку, и графический интерфейс, работает в Linux, Apple Mac OS X и Microsoft Windows.Пробная версия имеет ограничения, это коммерческий продукт.

    Ссылка для скачивания: http://www.metasploit.com/

    **************

    # 5) Wireshark

    По сути, это анализатор сетевых протоколов, популярный для предоставления мельчайших подробностей о ваших сетевых протоколах, информации о пакетах, расшифровке и т.д. Он может использоваться в Windows, Linux, OS X, Solaris, FreeBSD, NetBSD и многих других системах. Информацию, полученную с помощью этого инструмента, можно просмотреть с помощью графического интерфейса или утилиты TShark в режиме TTY. Вы можете попробовать бесплатную версию инструмента по ссылке ниже.

    Ссылка для скачивания :http://www.wireshark.org/

    **************

    # 6) w3af

    W3af – это платформа для атаки и аудита веб-приложений.

    Некоторые из его функций включают быстрые HTTP-запросы, интеграцию веб-и прокси-серверов в код, внедрение полезных нагрузок в различные виды HTTP-запросов и т.д.

    Он имеет интерфейс командной строки и работает в Linux, Apple Mac OS X и Microsoft Windows.

    Все версии бесплатны для скачивания.

    Ссылка для скачивания : http://w3af.org/

    **************

    # 7) Kali Linux 

    Kali Linux – проект с открытым исходным кодом, поддерживаемый Offensive Security. Некоторые основные функции Kali Linux включают в себя полную настройку ISO-образов Kali, Live USB с несколькими хранилищами постоянных данных, полное шифрование диска, запуск на Android, шифрование диска на Raspberry Pi 2 и т.д.

    Tools Listings, Metapackages и Tracking – это некоторые из инструментов тестирования на проникновение, представленные в Kali Linux. Для получения дополнительной информации и для загрузки посетите страницу ниже.

    Ссылка для скачивания: https://www.kali.org/

    **************

    # 8) Nessus

    Nessus также является сканером, за которым нужно следить. Это один из самых надежных доступных инструментов идентификации уязвимостей. Он специализируется на проверке соответствия, поиске конфиденциальных данных, сканировании IP-адресов, сканировании веб-сайтов и т.д., А также помогает найти «слабые места».

    Хорошо работает в большинстве сред. Для получения дополнительной информации и для загрузки посетите страницу ниже.

    Ссылка для скачивания : http://www.tenable.com/products/nessus

    **************

    # 9) Burpsuite

    Пакет Burp, по сути, также является сканером (с ограниченным инструментом для атак), хотя многие специалисты по тестированию безопасности клянутся, что пен тестирование без этого инструмента невозможно представить. Инструмент не бесплатный, но очень экономичный.

    Посмотрите на него на странице загрузки ниже. Он в основном творит чудеса с перехватом прокси, сканированием контента и функций, сканирования веб-приложений и т.д. Его можно использовать в средах Windows, Mac OS X и Linux.

    Ссылка для скачивания : http://portswigger.net/burp/

    **************

    # 10) Cain & Abel

    Если вам нужно взломать зашифрованные пароли или сетевые ключи, Cain & Abel – идеальный инструмент для вас.

    Для этого используются методы анализа сети, словаря, атак методом грубой силы и криптоанализа, раскрытия кэша и анализа протокола маршрутизации.Применим исключительно для операционных систем Microsoft.

    Ссылка для скачивания: http://cain-abel.en.softonic.com/download

    **************

    # 11) Zed Attack Proxy (ZAP)

    ZAP является полностью бесплатным для использования, сканером для поиска уязвимостей для веб-приложений. ZAP включает в себя аспекты перехвата прокси, различные сканеры, пауки и т.д.

    Хорошо  работает на большинстве платформ. Для получения дополнительной информации и для загрузки посетите страницу ниже.

    Ссылка для скачивания : https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project

    **************

    # 12) John The Ripper

    Очередной взломщик паролей – Джон Потрошитель. Этот инструмент работает в большинстве сред, хотя в первую очередь для систем UNIX. Он считается одним из самых быстрых инструментов в этом жанре.

    Хэш-код пароля и код проверки надежности также доступны для интеграции в ваше собственное программное обеспечение / код, который, на мой взгляд, является уникальным. Этот инструмент поставляется в коммерческом и свободном виде. Проверьте его сайт, чтобы получить программное обеспечение на этой странице.

    Ссылка для скачивания: http://www.openwall.com/john/

    # 13) Retina

    В отличие от определенного приложения или сервера, Retina нацеливает всю среду на конкретную компанию / фирму. Он поставляется в виде пакета под названием Retina Community.

    Это коммерческий продукт, который является своего рода инструментом управления уязвимостями, а не инструментом пентеста. Узнайте больше об этом пакете на странице ниже.

    Ссылка для скачивания : http://go.beyondtrust.com/community

    # 14) Sqlmap

    Sqlmap хороший опен сорс  инструмент для тестирования. Этот инструмент в основном используется для обнаружения и использования проблем SQL инъекций в приложении и взлома серверов баз данных.

    Он поставляется с интерфейсом командной строки. Платформа: Linux, Apple Mac OS X и Microsoft Windows. Все версии этого инструмента бесплатны для скачивания. Проверьте ниже страницу для деталей.

    Ссылка для скачивания : http://sqlmap.org/

    # 15) CANVAS

    CANVAS от Immunity – это широко используемый инструмент, содержащий более 400 эксплойтов и несколько вариантов полезной нагрузки. Это делает полезным для веб-приложений, беспроводных систем, сетей и т.д.

    Он имеет командную строку и графический интерфейс, хорошо работает в Linux, Apple Mac OS X и Microsoft Windows. Он не бесплатный и более подробную информацию можно найти на странице ниже.

    Ссылка для скачивания :http://www.immunitysec.com/products-canvas.shtml

    # 16) Инструментарий социального инженера

    Social-Engineer Toolkit (SET) – это уникальный инструмент с точки зрения того, что атаки направлены на человеческий фактор, а не на системный элемент. Он имеет функции, которые позволяют отправлять электронные письма, Java-апплеты и т. д., содержащие код для атаки. Само собой разумеется, что этот инструмент должен использоваться очень осторожно и только для «белой проверки».

    Он имеет интерфейс командной строки, работает на Linux, Apple Mac OS X и Microsoft Windows. Он с открытым исходным кодом, его можно найти на странице ниже.

    Ссылка для скачивания : http://www.social-engineer.org/

    # 17) Sqlninja

     

    Sqlninja, как следует из названия, указывает на то, что все это связано с атакой на сервера БД с использованием SQL-инъекции в любой среде. Этот продукт сам по себе не очень стабилен. Но его популярность показывает, насколько он используем для уязвимостей БД.

    Он имеет интерфейс командной строки, хорошо работает в Linux, Apple Mac OS X, а не в Microsoft Windows. Это open source и его можно найти на странице ниже.

    Ссылка для скачивания : http://sqlninja.sourceforge.net/

    # 18) Nmap

    «Network Mapper», хотя и не обязательно инструмент пентеста, это обязательный инструмент для хакеров. Очень популярный хакерский инструмент, который помогает понять характеристики любой целевой сети.

    Характеристики включают хост, сервисы, ОС, фильтры пакетов / брандмауэры и т.д. Он работает в большинстве сред и имеет открытый исходный код.

    Ссылка для скачивания :http://nmap.org/

    # 19) BeEF

    BeEF расшифровывается как «Эксплуатация браузера». Это инструмент тестирования на проникновение, ориентированный на веб-браузер, то есть он использует тот факт, что открытый веб-браузер является окном (или трещиной) в целевой системе и разрабатывает свои атаки с учетом этого момента.

    Он имеет графический интерфейс, работает на Linux, Apple Mac OS X и Microsoft Windows. Имеет  открытый исходный код и его можно найти на странице ниже.

    Ссылка для скачивания : http://beefproject.com/

    # 20) Dradis

     

    Dradis – это фреймворк с открытым исходным кодом (веб-приложение), который помогает обрабатывать собранную информацию,в других тестах. Собранная информация помогает понять, что сделано и что необходимо сделать.

    Достигается с помощью плагинов для чтения и сбора данных из таких инструментов сетевого сканирования, как Nmap, w3af, Nessus, Burp Suite, Nikto и многих других. Он имеет графический интерфейс, работает на Linux, Apple Mac OS X и Microsoft Windows. Имеет открытый исходный код  и его можно найти на странице ниже.

    http://dradisframework.org/

  • Как переопределить тип контента в Nginx

    Как переопределить тип контента в Nginx

    Настроили сервер Nginx. Тем не менее, он отправляет неправильный тип контента. Мне нужно заставить Nginx отправлять определенные «Content-Type: text / xml; кодировка = UTF-8“ . Как настроить Nginx для переопределения типа контента для заданного URL?

    MIME является аббревиатурой от многоцелевых расширений почты в Интернете (MIME). Это стандарт, который указывает характер и формат документа, файла или  байтов. Все веб-браузеры используют тип MIME, чтобы определить, как обрабатывать URL. Следовательно, важно, чтобы Nginx отправлял правильный тип MIME в заголовке Content-Type ответа.

    Как увидеть заголовок Content-Type

    Используйте следующую команду curl:

    curl -I url
curl -I curl -I https://itfb.com.ua/media/nginx.gif

    Пример вывода результата

    HTTP/2 200 
date: Mon, 21 Jan 2019 12:07:22 GMT
content-type: image/gif
content-length: 377
cache-control: max-age=315360000

    Тип содержимого: image/gif указывает, что изображение и подтип является изображением gif.

    Как узнать mine types по умолчанию в Nginx

    Найдите файл конфигурации с именем mime.types внутри каталога конфигурации nginx:

    find /etc/nginx -name mime.types

    Используйте команду cat или команду vi для просмотра файла mime.types:

    vi /etc/nginx/mime.types

    смена типа контента в nginx

    Переопределить тип контента Nginx

    Скажем, когда я запрашиваю файл atom.xml, тип контента: text/xml

    И я хочу, чтобы это было исправлено следующим образом:

    Content-Type: content-type: text/html; charset=UTF-8

    Я снова использую команду curl:
    curl -I https://itfb.com.ua/atom/atom.xml

    Чтобы исправить это, обновите файл mime.types:

    vi /etc/nginx/mime.types

    И убедитесь, что существует следующий конфиг:

    application/atom+xml atom;

    Сохраните и закройте файл. Перезагрузите / перезапустите сервис Nginx. Например, пользователь GNU / Linux может запустить:

    systemctl reload nginx

    Как заставить Nginx отправлять определенный Content-Type

    Другой вариант – добавить следующее прямо в файл конфигурации:

    types {
    application/atom+xml    atom xml;
}

    Nginx переопределяет тип контента для URL

    Также возможно переопределить тип контента для данного шаблона URL. Например, я отредактировал /etc/nginx/domains/itfb.com.ua/default.conf и добавил следующее в контексте сервера:

     ### force utf-8 and content type, good bots for SEO ##
    location = /atom/atom.xml {
        ## override content-type ##
        types { } default_type "application/atom+xml; charset=utf-8";
 
        ## override header (more like send custom header using nginx) #
        add_header x-robots-tag "noindex, follow";
    }

    Сохраните и закройте файл. Перезапустите или перезагрузите сервер nginx:

    service nginx reload

    Попробуй:
    curl -I https://itfb.com.ua/atom/atom.xml

    Заключение
    На этой странице показано, как переопределить Content-Type по умолчанию в nginx.

  • Окончание поддержки Drupal 7

    Больше 9 лет назад в 2011 году была произведена  CMS drupal версии 7, при этом в ноябре 2021 года заканчивается поддержка 7ой версии. Это означает, что обновления безопасности больше не будут выпускаться для данной версии. При этом станет недоступна Drupal Association на оф сайте производителя. Таким образом функция авто тестирования так же больше не будет доступна для 7ки.

    С ноября 2021, данная версия в обновлениях будет писать как не поддерживаемая. Тем кто будет использовать данную версию после окончания срока потеряют доступ к новым функциям и исправлениям уязвимостей.

    Осталось два года, но владельцем CMS уже сейчас нужно задуматься об обновлении. Разработчики утверждаю, что переход с drupal 8 на drupal 9, гораздо легче чем переход с drupal 7 на drupal 8.  По факту, последняя редакция 8 соответвует первой drupal 9, исключение составляет удаление старого кода и изменение зависимостей.

  • Решение проблем с безопасностью Docker

    Решение проблем с безопасностью Docker

    Инфраструктура любой компании – это серьезный аспект, которому нужно уделять как можно больше внимания с целью оптимизации ее деятельности. Поэтому, не менее важным является соблюдение всех норм безопасности. Это касается и тех инструментов, которые используются для построения инфраструктуры. В этом материале, состоящем из двух частей мы поговорим о проблемах безопасности Docker.

    Вы можете использовать базовые встроенные функции, которые обеспечивают оптимальную работу контейнеров и их безопасность:

    • Объединение контейнеров в Docker для минимизации используемых ресурсов стороннего ПО.
    • Настройка микросервисов за счет тонкой конфигурации в Docker-контейнерах, с целью создания узкой направленности под выполнение конкретной задачи.
    • Изоляция контейнеров от внешних инструментов и других Docker-элементов. Однако, с этим связана и другая проблема Docker, которой мы коснемся дальше – вам придется распределять ресурсы ядра системы.
    • Воспроизводите конфигурацию и другие параметры любого контейнера для ускорения работы и анализа их функциональности

    Тем не менее, несмотря на внушительный ряд полезных инструментов, Docker не лишен своих уязвимостей.

    Проблема безопасности Docker: хост и ядро

    Суть проблемы

    Если инфраструктура компании скомпрометирована, то все средства изоляции окажутся малоэффективными. Более того, Docker выстраивает все контейнеры вокруг основного ядра, а значит, и прямой доступ к нему. Да, с одной стороны это повышает производительность, но с другой, мы рискуем сдать все системы потенциальному злоумышленнику.

    Что делать

    Так как Docker используется в Linux-системе, методы обеспечения безопасности будут для них общими. С поиском информации по этой теме у вас проблем не возникнет. А вот с настройкой Docker как отдельного инструмента могут появиться трудности:

    • Ограничьте доступ и обеспечьте надежное шифрование для защищенного канала связи, чтобы обезопасить хост и Docker engine. Чтобы упростить себе задачу, используйте готовое решение для настройки «Docker bench audit tool».
    • Не забывайте обновляться и использовать самые свежие инструменты для обеспечения безопасности всех устройств и программ. С особой осторожностью относитесь к стороннему ПО.
    • Не перезагружайте систему ненужными вещами, чтобы избежать появления уязвимостей. Работайте с максимально изолированными ОС, как CoreOS или RancherOS.
    • Не стоит игнорировать такую полезную функцию, как «мандатный доступ». Она позволит вам избежать появления подозрительной активности на самом хосте.

    Примеры использования

    Вы можете использовать «Seccomp» в качестве интерфейса для вызова ядра, чтобы ограничить круг допустимой активности в системе. Ряд действий блокируется автоматически. Пропишите следующие строки:

    Альтернативный вариант

    Можно ограничить использование команды chmod. Загрузите профиль, который предлагается «Seccomp» по умолчанию:

    Ограничить использование команд можно путем удаления белого списка около 50-55 строки. Просто сотрите команды типа «chmod».

    Перезапустите контейнер, чтобы убедиться в работоспособности введенных новшеств:

    Проблема безопасности Docker: выход за пределы контейнера

    Суть проблемы

    Данная ситуация широко распространена в тех контейнерах Docker, которые содержат в себе большое количество стороннего ПО. В связи с тем, что изучить их содержимое тяжело, да и мало кто этим интересуется, оно может содержать в себе вредоносный код, которые способен «выбраться наружу» через все внедренные ограничения и политики безопасности. Так и компрометируются данные с ограниченным доступом.

    Чтобы решить эту проблему безопасности Docker, можно последовать путем серьезного подхода к урезанию прав каждому отдельному контейнеру также за счет и пользовательского пространства имен.

    Что делать

    • Ограничьте доступ контейнеру к чувствительным участкам системы и урежьте права его содержимому. Например, команда CAP_SYS_ADMIN дает возможность любому пользователю безграничный доступ к большинству функций и конфигураций самого ядра!
    • И еще раз напоминаем про использование пользовательского пространства имен. Не задействуйте uid 0.
    • В случае, когда урезать права определенному контейнеру нельзя по каким-то причинам, убедитесь, что все используемое ПО проверено на безопасность.
    • Если вы монтируете какие-либо ресурсы типа /proc или /dev для хоста, то стоит лишний раз перепроверить эти операции на наличие вредоносных действий и т.д. Помните, что зачастую контейнерам достаточно режима «чтения». А права на «запись» – это сугубо индивидуальное правило.

    Примеры использования

    Пользователь, находящийся под «рутом», может создавать новые объекты в системе. Этого допустить нельзя:

    Этому же пользователю вполне по силам изменить конфигурации, касающиеся прав доступа всех объектов в системе. Чтобы убедиться в этом, попробуйте создать что-либо с правами рядового юзера, а потому измените его с помощью прав «рута». Если все получилось, значит вышеприведенное утверждение верно.

    Естественно, от этой угрозы нужно избавиться:

    Для начала, создадим юзера с обычными правами и зайдем в корневой путь. После этого выполняем такие команды:

    Также не стоит игнорировать потенциальные уязвимости сетевых сканеров, которые регулярно организовывают нужные пакеты с самого начала. Это тоже нам не нужно:

    Если же вы хотите ознакомиться с полным перечнем прав доступа, то воспользуйтесь соответствующей командой. Регулярно проверяйте этот список, чтобы не пропустить в систему пользователя с неограниченными правами.

    Помните, что игнорирование пространства имен приведет к тому, что все объекты внутри контейнера будут создаваться с правами суперпользователя.

    Для того, чтобы создать именное пространство, нужно внести соответствующий ключ conf в документ, который расположен в /etc/docker/daemon.json:

    Теперь перезапускаем Docker. Обратите внимание, что у вас появится dockremap – это пользователь с чистым списком пространства имен.

    Заводим nginx:

    Как видите, nginx задействован в определенном для него именном пространстве с ограниченным доступом.

    Проблема безопасности Docker: подлинность образов

    Суть проблемы

    Будьте осторожны с использованием образов Docker, которые доступны в сети. Они могут вмещать в себя вредоносное скрытое ПО или строчки кода. Всегда задавайтесь вопросом об уровне доверия источнику, с которого вы скачиваете образ и проверяйте его на содержимое.

    Стоит отметить, что метод инкапсуляции в данном случае бессилен. Даже самостоятельно собранные образы могут быть изменены сторонним ПО после сборки. Поэтому всегда перепроверяйте итоговую сборку. Мы же используем метод PKI.

    Что делать

    • Перед запуском проверяйте ПО. Всегда!
    • Разверните образ на тестовом сервере и проверьте его работоспособность. Можно использовать доверенный сервер через «Docker Security Tools».
    • Проведите проверку наличия и соответствия цифровой подписи.

    Пример использования

    Не лишним будет создать новую запись в Docker Hub и директорию с обычным Dockerfile, в котором будут следующие строки:

    Проведем сборку:

    Заходим в Docker Hub и выкачиваем образ:

    Запускаем Docker для принудительной инспекции:

    Пытаемся достучаться до скачанного образа:

    Должна вывестись ошибка:

    Теперь собираем контейнер повторно, но с активированным DOCKER_CONTENT_TRUST.

    Если вы хотите получить консультацию или профессиональную помощь по вопросам безопасности ИТ инфраструктуры, обращайтесь к нам office@itfb.com.ua!

  • Примечания к выпуску Jira Core 8.0.x

    Примечания к выпуску Jira Core 8.0.x

    Хотите попробовать новую версию?

    Jira не бесплатное приложение, однако у нас есть crack jira для локальной установки. Мы знаем как установить Jira на Ваш сервер гораздо дешевле, чем купить у производителя. А так же произвести интеграцию с другими продуктами.

     Лучше уведомления по электронной почте

    С каждым изменением, приходит электронное письмо, уведомления электронной почты могут попросту завалить почту. Копаться в куче писем не очень хорошее занятие, поэтому мы взяли на себя задачу сделать уведомления более умными и менее надоедливыми.

    В Jira 8.0 вы можете группировать похожие события, и получать их в одном сводном электронном письме. Каждое подобное письмо группирует события, которые произошли в одной проблеме в пределах 10-минутного окна, это очень полезно, когда вы делаете какие-либо массовые обновления или когда ваши товарищи по команде создают проблемы и заполняют их за один раз. Вот как выглядит итоговое письмо:

    crack jira 8

    Ваш администратор Jira может включить эту функцию, перейдя в crack jira 8 > Система> Пакетная рассылка уведомлений.

     Новые значки приоритетов

    Мы получили много отзывов о том, что наши приоритетные значки не являются удобными или интуитивно понятными, и мы должны с этим согласиться. Наконец, после бесчисленных часов проектирования, пользовательского тестирования и даже поиска вдохновения в египетских иероглифах, мы определились с набором простых и понятных значков, которые облегчат распознавание того, что необходимо сделать в первую очередь.Вот сравнение старых и новых значков, которые вы увидите в новой Jira:

    обновление jira 8 бесплатно

    Новые опции в расширенном поиске

    Вот несколько новых опций, которые вы можете использовать при поиске проблем с расширенным поиском:

    Найти авторов (обновлено)

    Поиск проблем, которые были обновлены конкретным пользователем, в течение определенного периода времени. Если вы ищете проблемы, обновленные за последние 8 часов, два месяца или в период с июня по сентябрь 2017 года – мы предоставим вам всю необходимую информацию.

    Найти типы ссылок (IssueLinkType)

    Поиск проблем, которые связаны с другими проблемами с помощью определенных типов ссылок, таких как блоки или дубликаты. Это поможет вам быстро найти любые связанные блокировщики, дубликаты и другие проблемы, которые влияют на вашу работу.

     Быстрая индексация

    Одним из важных изменений в Jira 8.0 является обновление Lucene, подсистемы поиска Jira.Хотя это изменение не видно на первый взгляд, как и другие пользовательские функции, оно вносит существенные улучшения в индексирование, что упрощает администрирование и обслуживание экземпляра Jira. Вот обзор того, как это изменение влияет на индексирование:

    Все следующие улучшения производительности основаны на сравнении Jira 8.0 и Jira 7.6.

    • Переиндексация Jira занимает гораздо меньше времени
      Длительность переиндексации на 71% быстрее (в наших тестах 3-часовое переиндексирование упало до 53 минут). Это означает, что меньше времени тратится на переиндексацию после значительных изменений конфигурации и более быстрые обновления.
    • Индексы Jira меньше и их легче поддерживать
      Размер индекса сократился на 48% (в наших тестах размер индекса снизился с 19 ГБ до 9,9 ГБ.) Это означает более быструю и стабильную версию Jira, которую проще обслуживать и устранять неисправности.
    • Jira производительность стабильна во времени
      Нет необходимости часто переиндексировать, поскольку производительность остается неизменной и не ухудшается со временем.
    • Джира более стабильна и предсказуема
      Проблемы с памятью, которые возникали при использовании интенсивных функций поиска, таких как очень сложные JQLs, отсутствуют в наших тестах 8.0 .

     REST API для схем типа проблемы

    Jira 8.0 предоставляет REST API, чтобы вы могли управлять схемами типов проблем за пределами пользовательского интерфейса. Как администратор Jira вы можете выполнять следующие действия:

    • Создать схему типа проблемы и связать ее с проектами
    • Извлечение отдельных или всех схем типов проблем вместе со связанными проектами
    • Изменить или удалить проекты, связанные со схемой
    • Удалить схемы типа проблемы

    Для получения дополнительной информации см. Схемы типов ошибок в документации Jira REST API.

     Небольшие улучшения

    4-байтовые символы

    Jira теперь поддерживает 4-байтовые символы с MySQL 5.7 и выше. Это означает, что вы, наконец, можете использовать все эти смайлики, о которых мечтали! В руководствt , есть инструкция которая поможет вам подключить Jira к базе данных MySQL 5.7.

    Дополнения теперь стали приложения

    Мы переименовываем дополнения в приложения. Это уже применено в нашем Универсальном менеджере плагинов некоторое время назад, и теперь Джира следует этому примеру. Это изменение не должно повлиять на вас, но мы сообщаем вам, чтобы вы не удивились, увидев это новое имя в админ консоле Jira и на других страницах.

     Бонусные ресурсы

    Тестирование производительности и масштабирование

    С каждым выпуском Jira мы публикуем отчет о производительности и масштабировании, в котором сравнивается производительность текущей версии Jira с предыдущей. Отчет также содержит результаты того, как различные измерения данных (количество настраиваемых полей, проблем, проектов и т.д.) влияют на Jira, поэтому вы можете проверить, какое из этих измерений данных можно ограничить, чтобы обеспечить наилучшие результаты при масштабировании Jira. Вы можете получить отчет для Jira 8.0 https://confluence.atlassian.com/adminjiraserver/performance-and-scaling-965568705.html.

    Обзор безопасности и рекомендации

    Мы создали документ для системных администраторов, которые хотят оценить безопасность приложения Jira. Документ отвечает на ряд вопросов, которые обычно возникают, когда клиенты спрашивают нас о безопасности нашего продукта. В нем также будут перечислены любые рекомендации по безопасности, опубликованные для Jira 8.0. Вы можете просмотреть его здесь https://confluence.atlassian.com/adminjiraserver/security-overview-and-advisories-966063401.html.

    Нужна помощь в обновлении или настройке Jira, обращайтесь, office@itfb.com.ua

  • Наземная или облачная ИТ инфраструктура

    Зачастую наземную и облачную инфраструктуру сравниваю в лоб, т.е. стоимость владения одной и другой. На самом деле необходимо учесть еще ряд моментов:

    Отказоустойчивость

    В облаке такой вопрос даже не подымается, это реализовано по умолчанию. Виртуализация кластеризована и все ресурсы зарезервированы. Стоимость резервных ресурсов уже учтена в стоимости облачных услуг, а при физическом размещение необходимо заложить эти расходы.

    Предел загрузки

    СХД не рекомендуют заполнять более чем на 80%, когда нагрузка на дисковую  систему интенсивна, так как это приведет к деградации производительности работы.

    В облаке Вы используете все выделенные Вам ресурсы, резерв уже заложен провайдером.

    Ограничение масштабирования

    Планирую размещение ИТ системы, закладываются некоторый резерв на случай развития и роста. Резерв рассчитывается исходя из разных факторов, однако он все же остается плановым, поэтому угадать на 100% не представляется возможности. Для соответствия высокого уровня конкуренции бизнес должен быстро адаптироваться и выпускать новые продукты и услуги, а для этого необходимо быстро масштабироваться.

    В облаке так же планирование, но оно имеет место в части бюджета и может быть гораздо быстрее скорректировано. Облако можно маштабировать гораздо быстрее, чем физическую инфраструктуру.

    Стоимость обслуживания

    Железо, сетевое оборудование, хранилища и сервера необходимо поддерживать и обслуживать. Кроме оборудования в поддержке также нуждается и виртуализация. Необходимо реализовать систему мониторинга, организовать резервное копирование , применять политики безопасности и т.п.

    Поддержка

    Поддержка оборудования вендором это еще одна статья затрат, кроме того необходимы лицензии на ОС и ПО виртуализации.

    Постройка

    В облаках работают много клиентов и репутация поставщика важная составляющая. Поэтому провайдер использует ЦОД tier 3, с резервированием каналов связи и защитой DDoS.

    Для реализации такой защиты и безопасности на локальной площадке необходимо потратить значительную сумму денег. Можно воспользоваться колокешеном или арендой физического сервера.

    Итак подведем итог. Выбор между железом и арендой облака. Какие работы необходимо произвести на физическом оборудовании для развертывания системы.

    1. Провести аудит текущего оборудования. Определить, что настроено, а что требует доработки.
    2. Протестировать, обновить железо + сторедж
    3. Подготовить сеть и скомутировать согласно предоставленным схемам
    4. Подготовить внешние IP адреса для подключания клиентов
    5. Идеально – получить автономную систему на внешние IP (так как привязка к одному каналу и провайдеру = СЛА этого провайдера )

    Поддержка физической инфраструктуры

    1. Для обслуживания сети и сетевого оборудования +1 человек
    2. Обслуживание серверного оборудования + стореджа + 1 человека
    3. Работы по взаимодействию с провайдером интернета и т д + 0.5 человека
    4. Любые работы на этом периметре могут привести к проблемам. (то есть СЛА = СЛА для компонентов) Sla = время на восстановление при выходе из строя одного из узлов кластера,
      а именно отказ ноды на которой находиться машина балансировщик (В лучшем случае она будет подниматься 15 минут)
    5. Теряется смысл в автомасштабирования. Есть есть возможность, можно создать много машин, и все их держать, для резерва. То есть гибкость тут не  будет, всё будет работать и без масштабирования. Например – мы предполагаем, что на 14 февраля, придёт в 2 раз больше клиентов – руками создаем в два раза больше серверов и надеемся что клиентов не будет в 10 раз больше.
    6. Покупка нового сервера займет большое число времени.

    Таким образом, преимущества использования и поддержки облачной инфраструктуры очевидны.

    Наша компания занимается проектирование, реализацией и поддержкой ИТ инфраструктуры всех видов (наземной, облачной и гибридной), обращайтесь в контакты.

  • Программное обеспечение для аудита безопасности Windows (Часть 2)

    Продолжаем говорить о полезных программах для проведения аудита безопасности Windows.

    ADAudit Plus (ManageEngine) – надежный инструмент, который сопоставим с предыдущим ПО. Однако, весь функционал этого решения больше направлен на аудит Active Directory. Функционал программы достаточно широк и предлагает следующие возможности:

    • Полная автоматизация процесса аудита
    • Выборочное удаление и создание AD с широкими возможностями дополнительной настройки
    • Проведение базовых тестов через мобильные приложения
    • Уровень и качество аудита, который поддерживается крупными мировыми компаниями

    Интерфейс ADManager Plus очень приветлив и не вызовет трудностей даже у тех, кто впервые использует подобные решения. Также стоит отметить возможность дополнительного расширения программы с помощью фирменного магазина.

    Рекомендуем ознакомиться, потому как там имеются очень полезные вещи для модификации внутренней инфраструктуры. Вы можете скачать бесплатную версию ADManager Plus на 30 дней на официальном сайте.

    AD Permissions Reporter

    Данная программа очень пригодится тем компаниям, которые не обладают широкой инфраструктурой и вполне могут обойтись скромными решениями. Тем не менее, скромность – это еще не значит, что ПО хуже вышеописанных вариантов. На самом же деле, AD Permissions Reporter позволяет выполнить все поставленные задачи с меньшими потерями по времени.

    Интерфейс программы придется по душе любителям стилистики MS Office, так как они очень похожи. В отдельной вкладке доступен отчет, в котором можно ознакомиться со всеми ошибками и замечаниями, всплывающими во время аудита безопасности Windows. Кстати, итоговый результат можно отфильтровать по интересующим вас параметрам. Программа поддерживает обратную совместимость с Excel.

    Существует несколько версий AD Permissions Reporter и все они платные. Если вам не нужны комплексные решения для реализации сложного аудита, то вам подойдет базовая версия за 149 долларов США. Максимальная версия Enterprise обойдется в 579 долларов США, но в ней есть такие приятные вещи, как совместимость с XLSX, CSV и HTML, автоматический запуск и многое другое.

    Netwrix Auditor Active Directory

    Компания Netwrix, разрабатывающая ПО для ИТ-компаний, хорошо известна среди разработчиков. Ее детище Netwrix Auditor Active Directory – это идеальное решение для тех, кто хочет контролировать сетевой трафик в своей компании.

    Любая активность будет отображена в соответствующем отчете. Как и в других решениях, основной целью ПО является Active Directory и Group Policy. Этот аудитор также следит за изменением текущих настроек, в которые могут протянуть руки потенциальные злоумышленники или невнимательные пользователи. Интерфейс ПО дружелюбен, но специфичен для тех пользователей, кто вообще никогда не сталкивался с сетями. В Интернете вы можете скачать пробную 20-дневную версию.

    Итог

    Аудита системы Windows – это то, на что вы должны регулярно обращать свое внимание, если не хотите стать жертвой хакерской атаки и падения корпоративной инфраструктуры. А для решения подобной задачи очень пригодятся готовые программные продукты. Небольшое одноразовое вложение поможет вам избавиться от серьезной головной боли на долгий срок.

  • Какие программы подойдут для аудита безопасности Windows

    Сегодня мы поговорим о проведении аудита безопасности Windows. Эта тема очень важна не только для владельцев стационарных ПК у себя дома, но и для крупных компаний, которые хотят защитить свою инфраструктуру максимально эффективно.

    Материал доступен в двух частях: в первой мы разберем общие цели, которых позволяет достичь аудит системы и начнем разбор полезных программ, а во второй – продолжим говорить о доступном ПО на рынке для частного бизнеса.

    Для чего нужен аудит Windows и что для этого нужно?

    Кто-то скажет, что для проверки состояния безопасности ПК, достаточно запустить бесплатную программу и дождаться окончательного вердикта. Если бы это было так же просто для корпоративных машин, с десятками соединений, сложной топологией сети и прочими элементами, то вы бы не читали эту статью.

    Для решения поставленной задачи нам пригодятся платные программные продукты, которые значительно расширят наши возможности в области проведения аудита безопасности Windows. Стоит отметить, что перед покупкой стоит поинтересоваться на счет пробной бесплатной версии, чтобы оценить состав и возможности ПО.

    Итак, для аудита безопасности Windows нужно обратить внимание на такие два важных аспекта, как скорость и комфорт в использовании ПО. Коммерческие решения зачастую предлагают все сразу и действительно обладают впечатляющими возможностями. Жалеть на это деньги не стоит, потому как вы сэкономите огромное количество времени, поверьте.

    Ведь для проведения полноценного аудита, нужен специально обученный персонал, специальные инструменты и условия. С помощью ПО, можно избежать всего этого, ограничившись только доступным временем. Простой пример: в коммерческих решениях присутствует возможность провести параллельную проверку на всех машинах в сети и, по завершению, сразу составить отчет.

    Какие формальные требования нужно соблюдать?

    Обратите внимание на этот пункт, потому что от него будет зависеть ваш дальнейший поиск подходящего решения. Согласно требований текущего законодательства в определенных странах, для гос. предприятий установлены ограничения на предмет использования стороннего ПО.

    То есть, таким компаниям запрещено пользоваться всеми видами программ, кроме отечественных. Естественно, последние должны пройти определенные этапы тестирования и получить сертификаты или разрешение на применение в гос. секторе.

    Обратитесь к PCI DSS, чтобы ознакомиться с перечнем разрешенного ПО. Возможно, в вашей компании существует внутренняя политика, запрещающая использовать стороннее ПО, как и в гос. предприятиях. Обязательно уточняйте этот вопрос.

    Лучшие инструменты для проведения аудита системы Windows

    ADManager Plus (ManageEngine) – этот инструмент отлично подойдет практически для любой компании с высокими требованиями относительно уровня собственной безопасности. Они позволяют отслеживать прогресс и всплывающие ошибки в реальном времени и готовы представить подробный отчет по первому требованию пользователя.

    Расширенный функционал программного обеспечения позволяет проводить мониторинг даже периферийных устройств, подключенных через USB-интерфейс, тестировать все узлы корпоративной сети, не нарушая текущую работу.

    Помимо этого, программы сообщают о подозрительной активности в сети, так как могут работать беспрерывно в фоновом режиме. Например, если кто-то в компании на короткий промежуток времени расширяет свои права доступа, то это моментально отражается в отчете, который отправляет по электронной почте указанным заранее сотрудникам, отвечающим за информационную безопасность.