Ответы на тесты Угрозы безопасности веб-приложений.фип_БАК_ИСиТ_н с

это часть приложения, выполняющаяся на сервере

тому, что в языке SQL символ ";" позволяет объединять несколько запросов

XML External Entities

того, что в XML существуют внешние сущности, ссылающиеся на внешние ресурсы.

тип атаки, позволяющий исполнять произвольные команды на сервере через незащищённые входы.

Валидация и экранирование входных данных, а также минимизация использования системных команд.

изменить SQL-запрос, добавив вредоносный код. ; ввести данные в форму ввода. ; отправить запрос на сервер. ; получить ответ от базы данных.

информационная безопасность

препятствующим

конфиденциальности

принуждающим

целостности

Доступ к чтению личных сообщений = Угроза конфиденциальности ; Смена номера телефона для доступа к кошельку = Угроза доступности ; Удаление файлов из облачного хранилища = Угроза целостности

frontend

Clickjacking

метод манипуляции людьми для получения конфиденциальной информации

CSRF

CSRF

Вредоносный скрипт внедряется в веб-страницу. ; Пользователь открывает заражённую страницу ; Скрипт выполняется в браузере пользователя. ; Злоумышленник получает доступ к данным пользователя.

backend

SQL

базах данных

SQL Injection

XML

SQL Injection = Утечка конфиденциальных данных из базы данных ; XXE = Чтение конфиденциальных данных через XML ; Command injection = Получение доступа к файловой системе сервера

регистрацией

Session Hijacking

повторной беспарольной аутентификации пользователей

Brute Force ; bruteforce

CSRF

Используя социальную инженерию, злоумышленник получает доверие пользователя ; Злоумышленник отправляет пользователю вредоносное ПО/ссылку ; Злоумышленник крадет данные пользователя

File Inclusion

серверную часть

XML

выше

Remote

Злоумышленник находит уязвимый скрипт ; Злоумышленник подготавливает вредоносный файл ; Злоумышленник отправляет запрос с указанием файла для включения ; Сервер выполняет указанный файл и возвращает результат

Firewall

открытая платформа для управления логами с возможностью анализа и визуализации

политика кибербезопасности

Перехват трафика ; Man-in-the-Middle: MITM ; MITM

прокси

Программные firewall = Устанавливаются на отдельных устройствах (например, компьютерах) и контролируют трафик на уровне операционной системы. ; Аппаратные firewall = Физические устройства, которые устанавливаются между сетью и интернетом. Они обеспечивают защиту для всей сети. ; Сетевые firewall = Обеспечивают защиту на уровне сети, контролируя трафик между различными сегментами сети. ; Прокси-firewall = Обрабатывают трафик от имени клиента, фильтруя его и обеспечивая дополнительный уровень безопасности.

Шифрование ; Аутентификация ; Целостность данных ; Повышение доверия пользователей

HTTPS помогает избежать фишинга благодаря возможности пользователю проверить сертификаты безопасности сайта

это система безопасности, которая контролирует и фильтрует входящий и исходящий сетевой трафик на основе заранее установленных правил

«отказ в обслуживании» (DoS/DDoS) ; несанкционированный доступ ; вредоносный код ; сетевые сканирования

Анализ инцидентов ; Мониторинг активности ; Аудит и отчетность

набор правил, процедур и стандартов, направленных на защиту информационных активов организации

Всего пройденного материала ; Дополнительных источников

2-3

Основы законодательства ; Основы социальной инженерии   ; Сетевые технологии ; Криптография

эл. подпись

Positive Technologies

анализ инцидентов ; документирование инцидентов и отчетность

Угроза

угроза конфиденциальности ; угроза доступности ; угроза целостности

пассивные угрозы ; активные угрозы

Естественные, искусственные, преднамеренные

Баги в ПО и халатность на рабочем месте

Маскировочные

по природе возникновения = естественные и искусственные (преднамеренные и непреднамеренные) ; по размеру ущерба = общие, локальные и частные ; по расположению источника = внутренние и внешние ; по аспекту = угроза конфиденциальности, доступности и целостности информации

временной промежуток, в течение которого пользователь взаимодействует с веб-приложением

Session Hijacking — это атака, при которой злоумышленник получает доступ к активному сеансу пользователя и использует его без разрешения

Злоумышленник с помощью социальной инженерии побуждает пользователя начать сеанс с заранее созданным и известным злоумышленнику идентификатором сеанса

Процесс сбора и анализа информации из открытых источников, таких как интернет, социальные сети и другие публичные ресурсы.

дорожные объекты

OSINT

некоторая логика, при помощи которой компьютер может корректно хранить и сортировать информацию

путем манипуляции параметрами URL или формами ввода, чтобы получить доступ к файлам и директориям, которые должны быть недоступны

LFI = злоумышленник может использовать уязвимость в веб-приложении, которое принимает имя файла в качестве параметра ; RFI = злоумышленник может указать URL удалённого файла, который будет загружен и выполнен на сервере ; DPI = не относится к File Inclusion, является технологией проверки сетевых пакетов

http://example.com/viewfile.php?file=../../etc/passwd

Remote File Inclusion

просмотр файла

визуальная часть приложения, выполняющая код на машине пользователя

cross site scripting

Появление неожиданного всплывающего окна с сообщением

межсайтовая подделка запросов

GET используется для получения данных с сервера, а POST — для отправки данных на сервер

Накрутка лайков и подписок, а также запросов на различные сайты

Вредоносный скрипт внедряется в веб-страницу. ; Пользователь открывает заражённую страницу   ; Скрипт выполняется в браузере пользователя. ; Злоумышленник получает доступ к данным пользователя.