Веб-безопасность — курс молодого бойца

Одной из основных задач научного руководителя при наборе новых студентов является проведение ликбеза в своей предметной области. Цель простая — вывести студентов на некоторый базовый уровень. Возможно, мой опыт окажется полезным начинающим интересоваться веб-безопасностью.

Соответственно, для погружения в область веб-безопасности, я рекомендую пройти theoretical track, practical track и подписаться на блоги, в которых публикуются полезные (либо с теоретической, либо с практической точки зрения) сведения.

Theoretical Track.

1. Зачем вообще нужна вся информационная безопасность? Ответ находится в документе NIST SP 800-30: Risk Management Guide for Information Technology Systems.
2. Web Application Hacker’s Handbook. Читать от корки до корки не обязательно (но очень желательно) – использовать как справочник: если что-то услышали, про что не знали ранее – открываем книгу и читаем. К обязательному прочтению на первом этапе только одна глава – Chapter 3: Web Application Technologies.
3. The Shellcoder’s Handbook. Опять же, читать целиком не обязательно, но очень желательно. К обязательному прочтению на первом этапе — Part I: Introduction to Exploitation: Linux on x86.

Practical Track.

1. Пройти все уроки WebGoat. Если покажется элементарщиной — переходим к следующему шагу.
2. Установить и исследовать на наличие уязвимостей веб-приложения, специально сделанные уязвимыми:
   • HacMe Bank;
   • WackoPicko
   • плюс что-нибудь на выбор из этого списка: http://stackoverflow.com/questions/365309/where-can-i-find-a-deliberately-insecure-open-source-web-application

   Рекомендуемый инструмент для анализа этих веб-приложений на начальном этапе — Burp Suite. Имеет смысл организовывать виртуальные машины (VMware, Virtual Box и т.д.) и ставить это все на них – будет удобно, отчуждаемо и таким образом можно будет накопить свой полезный инструментарий софта.

3. Задание со звездочкой. Установить Backtrack и познакомиться с его функционалом (какие задачи решает каждый из инструментов). Поработать с ним вместе с обучающими видео. Научиться работать с Metasploit Framework: цель — уметь эксплуатировать известные уязвимые к переполнению буфера сервисы под Windows и Linux.

Ну и наконец подписки. Для начала я рекомендую подписаться на следующие блоги:

1. http://jeremiahgrossman.blogspot.com/
   Блог Джереми Гроссмана — основателя WhiteHat Security и Web Application Security Consortium. Человек имеет предельно ясный взгляд на веб-безопасность, особенно на организационную составляющую этой области. Чтение его блога прекрасно упорядочивает и структурирует имеющиеся в голове сведения по ИБ. Кроме того, в его блоге периодически публикуются новые типы уязвимостей и новые методы эксплуатации известных недостатков веб-технологий.
2. http://blog.andlabs.org/
   Блог независимых исследователей в области веб-безопасности. В последнее время их интерес лежит в области HTML5, что особенно актуально. Их публикации чаще всего рассказывают о новых вариантах эксплуатации известных типов уязвимостей. Особого внимания заслуживают PoC инструменты их авторства: Imposter и Shell of the Future.
3. http://devteev.blogspot.com/
   Автор блога, Дмитрий Евтеев, является одним из ведущих экспертов-практиков в области ИБ в России. В его блоге публикуются заметки об основных событиях в области ИБ в России, обсуждаются новые виды атак на известные уязвимости. Что особенно приятно, автор всегда охотно и развернуто отвечает в комментариях на вопросы своих читателей.
4. http://research.zscaler.com/
   Блог компании ZScaler — одного из лидеров в области Cloud Security в Интернет. В блоге публикуются отчеты о новых тенденциях и способах распространения вредоносного программного обеспечения, предоставляется информация о способах монетизации вредоносной активности. Рекомендуется читать для того, чтобы хоть как-то начать понимать структуру криминального кибер-бизнеса.
5. http://websec.wordpress.com/
   Блог независимого исследователя в области веб-безопасности из немецкого университета в Бохуме (Германия). Пишет в основном о вариантах эксплуатации веб-приложений в инфраструктуре LAMP (Linux + Apache + MySQL + PHP). Знаменит серией публикаций «Exploiting hard filtered SQL Injections» [часть 1, часть 2, часть 3].

Кроме того, обязательно надо подписаться на рассылку Web Application Security Consortium. В рассылке можно найти как важные объявления (релизы продуктов, отчетов и статей, объявления конференций и т.п.), так и познавательные обсуждения.

Плюс ссылки на справочники — где искать, что означает тот или иной новый термин:

• Open Web Application Security Project (OWASP);
• Web Application Security Consortium (WASC);
• Common Weakness Enumeration (CWE).

Буду рад услышать feedback und дополнения.