По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Недавно я просматривал некоторые общедоступные репозитории Google на их GitHub. И я заметил, что у них есть репозиторий для непрерывного фаззинга. Я понятия не имел, что такое фаззинг, не говоря уже о непрерывном.
Что же такое фаззинг?
Фаззинг (иногда его называют нечетким тестированием) – это способ автоматического тестирования программного обеспечения. Обычно фаззер вводит в программу большое количество неправильных или случайных входных данных. Таким образом пытаются вызвать сбои, ошибки, утечки памяти и т.д.
Обычно фаззинг лучше всего работает с программами, которые принимают входные данные, такие как веб-сайты, которые могут запрашивать ваше имя или возраст.
Можно попробовать вводить самые различные строки, чтобы попытаться вызвать какие-то проблемы, например, что-нибудь вроде такого: «Power?????????????????? ? ?h ? ??» (это когда-то вызвало аварийный сбой iOS), «??????h??e???????? ???????N??e??z?????p??????e????r????????d??????i??????a?????n?? ?????h??i??v?????-?????m???i????n???? ????????????f ????????c?????????a?????????s?.?? ?Z????????a?????l?????g????????o??.?», «?» или «undefined».
В целом идея фаззинга заключается в том, чтобы попытаться найти пограничные случаи в кодовой базе. Его используют для того, чтобы убедиться, что синтаксический анализ данных, их прием, сохранение и чтение не вызывают ошибок.
Это довольно полноценный тест, поскольку вы можете протестировать весь процесс хранения, например, пробела нулевой длины (U+200B в Юникоде) на своем сайте, чтобы проверить, возникнут ли какие-то проблемы.
Некоторые пытаются внедрить код в поля ввода (это часть фаззинга, которая называется «внедрение кода»), например, в качестве имени.
Злоумышленники не заинтересованы в том, чтобы вы тестировали нестандартный ввод, так как вы можете обнаружить ошибки, которые нарушают работу приложения, а они могли бы использовать их для кражи данных или повторного сбоя в вашем приложении/сервере.
На GitHub есть список под названием «Big List of Naughty Strings» («Большой список сомнительных строк»). Это список строк, которые с большей долей вероятности вызовут проблемы.
Вы можете взглянуть на некоторые в файлах .json и .txt и почитать некоторые комментарии, чтобы понять, почему именно эти строки вызывают проблемы.
Например, некоторые строки написаны вверх ногами «u?op?p?sd?». Есть строки, которые могут быть помечены как ненормативная лексика или как неприемлемые, но на самом деле они к этому не имеют никакого отношения (это называется проблемой Скантропа). И даже есть такие строки, которые могут раскрыть системные файлы, если они вдруг будут проанализированы плохо настроенным синтаксическим анализатором XML.
Кто использует фаззинг?
Как я уже говорил, фаззинг используется в процессе тестирования программного обеспечения для поиска ошибок в ваших программах. Но он также применяется в кибербезопасности и при взломах.
Что касается применения в кибербезопасности, то здесь хакеры пытаются пересечь границу доверия. Граница доверия – это место в компьютерных системах, где данные из доверенного источника передаются из одной области в другую.
В качестве примера давайте представим, что вы получаете имя пользователя в клиентской части, убеждаетесь, что оно является допустимым, а затем передаете его на серверную часть. Ваша граница доверия – это воображаемая линия, по которой данные передаются от клиента к серверу.
Если ваша серверная часть просто «доверяет» данным и не проверяет их (поскольку клиент уже проверил их!), то это может стать проблемой. В случае, если хакеры смогут пройти проверку клиента, они станут поставщиками доверенных входных данных и смогут попытаться вставить туда вредоносные строки.
Именно в этой ситуации фаззинг может посодействовать выборочной проверке, чтобы убедиться, что вы можете выявлять эти проблемы.
Допустим, кто-то должен был фаззить Google Chrome. Один из способов это сделать – запустить браузер в инструменте отладки для того, чтобы отслеживать команды, которые выполняет Chrome, и профилировать его управление памятью.
Позже хакеры направляют программу Chrome, за которой они наблюдают, на один из своих серверов. Их серверы создают миллионы различных веб-страниц, которые Chrome будет загружать. Все эти веб-страницы немного отличаются с точки зрения JS, CSS и HTML. Это нужно для того, чтобы попытаться сломать Chrome, который профилируют хакеры.
Эти хакеры могут осмысленно запускать эти автоматические тесты в течение нескольких месяцев, собирать огромный список журналов Chrome (сбои, любые переполнения памяти и т.д.) и пытаться выяснить, что вызвало сбой.
Просто заставить Chrome «рухнуть» не является их конечной целью. Как только эти хакеры узнают, какие входные данные вызывают сбои, они также могут выяснить, почему эти данные вызывают сбои, и проанализировать, могут ли они использовать эти эксплойты, чтобы исполнить свой зловещий план, или получить доступ к чему-то, к чему доступа у них не должно быть.
На сегодняшний день Google фаззит свои приложения на 30 000 виртуальных машинах! Таким образом, вы вряд ли добьетесь какого-либо успеха, поскольку они очень сильно постарались.
OSS-Fuzz от Google обнаружил более 25 000 ошибок в коде Google Chrome и примерно 22 000 ошибок в других общедоступных кодовых базах, которые используют OSS-Fuzz.
Итак, вернемся к основному заголовку. Кто использует фаззинг? Держу пари, что почти все компании, которые должны защищать свои цифровые активы или информацию, либо наймут тестировщиков для фаззинга своих продуктов, либо будут делать это самостоятельно.
Заключение
Я надеюсь, что эта статья помогла вам понять, что такое фаззинг и для чего он применяется.
Интернет-мошенничество является огромной проблемой в современном мире. Постоянное развитие интернет-технологий дает мошенникам много возможностей для действий. Однако самой большой угрозой для компании являются не вредоносные программы, а невнимательность сотрудников, поведение которых может стать головной болью для многих специалистов по информационной безопасности.
Несомненно, люди являются самым слабым звеном в корпоративной сети. Если быть точным - его пользователи. Вы можете защитить себя от внешних угроз, собрав и установив лучшие средства защиты, но ничто не может защитить вашу организацию от безрассудства сотрудников. Например, сколько раз сотрудник загружал (сознательно или нет) вредоносное программное обеспечение и "случайно" устанавливал его на компьютер компании с помощью USB-накопителя? Он получил электронное письмо с подозрительным вложением и проигнорировал предупреждения антивируса, потому что он был чрезвычайно заинтересован в том, что он "такое интересное" получил в своем почтовом ящике. Он открыл и проверил, а сетевым администраторам пришлось потрудиться, чтобы понять, откуда взялась атака. Последние также часто, слишком доверяя брандмауэру на сервере, обходят необходимость устанавливать брандмауэр на компьютерах пользователей. Причина - стоимость, эффект - обычно все нормально, пока пользователь не заберет оборудование компании из офиса, где он подключится к незащищенной сети.
Брандмауэр Windows не является достаточной защитой. Поэтому стоит снабдить сотрудников минимальными знаниями, позволяющими им обходить хотя бы некоторые из атак или, если они происходят, распознавать их и минимизировать их последствия. Ниже приводится обсуждение наиболее распространенных видов онлайн-мошенничества.
Фишинг
Фишинг - вид мошенничества, направленный на вымогательство данных, обычно данных на электронную почту или банковский счет (логин, пароль), номера кредитных карт. Реализуется через фальшивые электронные письма с перенаправлением на фальшивый, но очень похожий на подлинный сайт электронного банка. Опасная операция в основном для пользователя из-за возможности фишинга номеров кредитных карт и ПИН-кода. Это может быть проблемой для компании, если пользователь использует бизнес-карты оплаты или имеет доступ к корпоративному аккаунту. Ответ на такое сообщение или нажатие на ссылку подтверждает правильность вашего адреса электронной почты (фишер рассылает спам, редко знает прямой адрес электронной почты), что подвергает его дальнейшим атакам в будущем;
Фарминг
Фарминг - более сложный и поэтому зачастую более опасный вид фишинга. Преступник совершает отравляющую DNS-атаку, которая перенаправляет пользователя на фальшивый веб-сайт, несмотря на то, что его использует действующая ссылка браузера. Другой способ атаки - заражение компьютера жертвы трояном, который позволяет вам изменять файлы вашего компьютера таким образом, чтобы они перенаправляли пользователя на фальшивый веб-сайт, даже если он ввел правильный адрес. В данном случае следует обратить внимание на элементы безопасности сайта, такие как SSL-сертификат или протокол безопасного соединения https //;
Кража личных данных
Кража личных данных - действие, направленное на получение как можно большего количества персональных данных пользователя с целью их использования для финансового мошенничества. В основном это касается физических лиц. Данные компании широко доступны в информационных системах. Однако кража личных данных опасна для сотрудников компании, которые несут последствия своей невнимательности, а возможные последствия могут быть обременительными для компании. И наоборот - если компания хранит какие-либо данные о разных людях, она должна гарантировать, что такая информация не будет украдена и использована в преступных целях. Аналогичным образом, сотрудники, имеющие доступ к базе данных, должны быть осведомлены о последствиях их "утечки" информации. К сожалению, сообщения средств массовой информации об утечках данных от компаний и учреждений появляются довольно часто, что указывает на то, что компания, хранящая данные, или ее сотрудники игнорировали политику и процедуры безопасности, применимые в каждой компании. Профилактика заключается в информировании сотрудников и ограничительном соблюдении процедур компании;
Scam
Scam 419 - также известный как нигерийский Scam состоит из рассылки спам-сообщений в виде сообщений о гигантских выигрышах, огромных активах - наследовании от родственников. Лицо, отправляющее электронные письма, обычно представляется как юрист или нотариус. Этот обман настолько мелок в своей простоте, что вряд ли кто-то "клюнет" на него, а мошенники быстро становятся мишенями и обезвреживаются. Проблема может быть, когда пользователь отвечает на такое электронное письмо или подтверждает получение. Затем он добавляется в список учетных записей, на которые имеет смысл рассылать спам, и его неприятности только начинаются;
"Поддельный интернет-магазин"
"Поддельный интернет-магазин" - мошенничество со стороны компаний, предлагающих товары по ценам, значительно ниже рыночных, или предлагающих покупку товаров данной компании в больших количествах без согласования цен. Поддельный магазин принимает платежи в основном кредитными картами. Цель проста - фишинг номеров кредитных карт. Проблема для компании может быть довольно значительной, если это карточка сотрудника работника. Это мошенничество, легко узнаваемое, каждая компания может быть проверена в регистрационных системах, в том числе и иностранных.
Сообщения с опасным вложением, которые могут содержать вредоносное ПО, которое ищет и отправляет данные с компьютера мошеннику. Проблема для частного пользователя, довольно безвредная для компании, поскольку в большинстве случаев на компьютерах компаний постоянно устанавливаются антивирусные программы. Если пользователь не игнорирует предупреждения системы безопасности, проблем быть не должно. Если он это сделает, сообщение о проблеме скоро будет отправлено сетевым администраторам, поскольку проблема может быть серьезной;
Комбинированные атаки
Комбинированные атаки - состоят в том, чтобы убедить пользователя принять участие в соревнованиях, онлайн-играх и так далее. Чтобы узнать результаты конкурса, нужно отправить SMS, причем очень дорогое. Отправляя SMS-сообщение, пользователь принимает правила, доступные на сайте (хорошо скрытые, чтобы он не нашел его слишком быстро), поэтому действие является законным. И тот факт, что он не читал эти правила - его проблема или компании, в которой он работает, и чей бюджет истощает. Более того, вместо работы он занимается весельем. Однако, если такой нерадивый сотрудник заплатит за телефонный счет, это должно его немного вразумить, и в дальнейшем он будет более осмотрительным.
Есть еще много видов интернет-мошенничества. Они представляют собой разновидность вышеперечисленного, являются их комбинацией или расширены дополнительными элементами. Программное обеспечение, установленное на оборудовании компании, должно эффективно предотвращать хотя бы некоторые из них, но ничто не защищает вас от проблем лучше, чем ваши собственные меры предосторожности и предосторожности при использовании сети Интернет.
Правила безопасности
Плохая компьютерная безопасность лучше, чем вообще ничего.
На компьютере должно быть установлено антивирусное программное обеспечение, которое должно регулярно обновляться.
Если компьютеры используются во внешних сетях, стоит установить дополнительный брандмауэр и антишпионское программное обеспечение. Брандмауэр внутреннего сервера не поможет в этом случае.
Компьютеры должны регулярно проходить полное сканирование на вирусы.
Сотрудники должны строго соблюдать политики и процедуры безопасности компании.
Основой является здравый смысл, программное обеспечение не поможет, если пользователь намеренно игнорирует предупреждения.
Одна из предыдущих статей была посвящена созданию групп перехвата в OpenScape Voice. Сейчас мы поговорим про другой тип групп – группы поиска или Hunt Groups.
/p>
Теория
Hunt группа представляет из себя несколько телефонных номеров, объединенных в одну группу внутри которой происходит распределение вызова по определенному алгоритму. Для вызова группы используется либо отдельный внутренний номер (Pilot Hunt Group), либо номер, состоящий в группе (Master Hunt Group). В одной группе может находиться 2048 номеров, а один номер может находиться в 32 группах одновременно.
Рассмотрим алгоритмы распределения вызовов в группе.
Circular (Циклический) - Распределение вызовов происходит по порядку, согласно списку абонентов. Если абонент не отвечает, то через заранее определенное время вызов передается следующему абоненту из списка, и так далее. Если последний абонент не ответил, то вызов снова передается первому. Новый вызов адресуется абоненту, который идет в списке за тем, который принял предыдущий вызов.
Linear (Линейный) - Распределение вызовов так же происходит по порядку, согласно списку абонентов, и если абонент не отвечает, то вызов передается следующему. Но отличие состоит в том, что новый вызов всегда адресуется первому свободному абоненту в списке.
Manual – Application Controlled (Управляемый внешним приложением) - Распределением вызовов управляет внешнее приложение по протоколу CSTA.
Parallel – Call Pickup Model (Параллельный, на основе перехвата вызова) - Для распределения используется циклический алгоритм и при этом дополнительно всем свободным абонентам группы посылается уведомление о вызове, и вызов может быть перехвачен любым свободным абонентом. Абонент может быть включен только в одну группу такого типа, и не может одновременно быть членом другой стандартной группы перехвата.
Parallel – Simultaneous Alerting Model (Параллельный, на основе одновременного вызова) - Одновременный вызов всем участникам группы.
UCD – Uniform Call Distribution (Универсальный) - Вызов адресуется абоненту, который был свободен дольше других. Если абонент не отвечает, то вызов передается следующему абоненту, который был свободен дольше других и так далее.
Настройка группы поиска
Создадим номер вызова группы. Для этого перейдем во вкладку Configuration → OpenScape Voice → Business Group → Members → Subscribers и нажмем на Add. Во вкладке General указываем номер для группы в строке Directory Number и в строке Type of Number указываем тип номера → Public для городского и Private для корпоративного.
Переходим на вкладку Connection и в Connection Information указываем Profile Only
После создания номера приходим в меню Configuration → OpenScape Voice → Business Group → Teams - Hunt Groups и нажмем на Add для создания Hunt группы.
Во вкладке General нужно указать название группы в строке Name, ниже в строке Pilot Directory Number указать номер группы, который мы создавали до этого и в поле Type в выпадающем списке выбрать алгоритм распределения вызова. Также в этом меню и во вкладке Advance можно выставить дополнительные настройки очереди.
Добавлять абонентов в группе можно во вкладке Members, нажав на кнопку Add. В строке Directory Number указываем внутренний номер абонента, и также можем сразу указать в поле Position порядковый номер абонента в списке.
После добавления номера появляются в списке, в котором можно изменять позицию номера при помощи кнопок Move Up и Move Down.
Добавлять телефон в группу можно еще из меню настроек номера Configuration → OpenScape Voice → Business Group → Members - Subscribers во вкладке Groups, где нужно указать либо номер, либо имя группы, и нажать затем Save.