Ar Lietuvoje IT saugumas įmonėms aktualu?

Sveiki,

Dėkoju iš anksto, kad skiriate man laiko.

Pastaruoju mastau apie IT saugumą, kaip apie veiklą, kurioj norėčiau sutelkti dėmesį.

Tačiau, man rodos, kad pasaulyje ir Lietuvoje yra tiek daug IT saugumo "profu", kad jų nelabai ir reikia...

Man atrodo, kad IT saugumo specialistų daugiau, nei tų įsilaužėlių...

Tai yra manau, kad jeigu lygintume geriečius ir blogiečius, svarstyklės būtų gerųjų pusėje labai stipriai...

Googlej apstu visokių instancijų kurios rupinasi IT saugumu, nuo kariuomenės iki privačių įmonių... atrodo kad ruošiasi atlaikyti puolimus iš kokios nors hakerių planetos, o ne iš Žemės...

Internetas yra dar pakankamai jaunas Lietuvoje ir pasaulyje, tai mano loginiu mastymu, IT saugumo pajėgos irgi didelės kaip niekada...

Norėjau pasidomėti, gal žinote ar šiom dienom Lietuvoje verslas "bijo" įsilaužimų, gal jiems "nuobodu", pasitiki tais IT specialistais kuriuos turi, ir jiems tiesiog neįdomu papildomai skirti dėmesio IT saugumo stiprinimui?

Kadangi yra daug visokių IT saugumo pajėgų, saugančių valstybės linijas, gal jie neskiria pernelyg dėmesio savo saugai?

Ir išvis ar verta eiti ton sritin, kur ir taip, "profu", netrūksta?...

Mano manymu, IT saugumo specialistų poreikis tik augs (ne tik Lietuvoje, bet ir visame pasaulyje), ypatingai, kai suintensyvės valstybinio lygio šnipinėjimai ir įsilaužimai. Kam įdomu, siūlau paklausyti šio podcasto bent keletą epizodų, kad suprastumėte kodėl: https://darknetdiaries.com/

Manau, Lietuva irgi galėtų turėti kibernetinio saugumo dalinį, kaip kad Izraelyje yra Unit 8200 ir, pavyzdžiui, šauktiniams būtų galimybė į jį pakliūti (aišku ne bet kam, bet tiem, kam užtenka protinių pajėgumų ir turi daugiau noro kariauti kibernetinėje erdvėje, o ne apkasuose).

Daug kur taip rašo, kad jų tik reikės daugiau, bet ar tikrai?

Ar neatsitiks taip, kad automatizuotos įsilaužimo aptikimo sistemos pačios susitvarkis?

Juk galima parinkti algoritmus, kad atpažintų tam tikrus veiksmus, gal tai truputi iš scifi temos, bet anksčiau tai kas vyksta dabar atrodė irgi neįmanoma...

Ir jeigu apsaugos sistemos veiktų gerai, tai sumažėtų ir IT saugumo specialistų poreikis. Juk nežinau, kaip bus po dar 20m bet norisi kai eini ton veiklon, buti tikram, kad busi reikalingas...

Taigi, būtų įdomu pamatyti, realia statistiką, tų taip vadinamų įsilaužimų Lietuvoje, žinau, kad yra tokie tinklalapiai, kur rodo online vykstančius įvykius, bet ten dažniausiai fiksuoja tik gerai žinomus trojanus, virusus, ir pan. Kaip pavyzdys, kadangi Lietuvoje populiarus piratiniai Windowsai ir visa kita, populiariausias kenkejas Lietuvoje KMS Activator... Tarkim vienas iš tokių tinklalapių: https://threatmap.checkpoint.com/

Arba dar vienas geras saitas: https://cybermap.kaspersky.com/ ten paspausit ant Lietuvos pasirinksit "More details" ir išmes kenkėjus... :)

Per daug posto neskaičiau, bet kiek man žinoma, kiekviena įmonė kuri tvarko žmonių asmeninius duomenys privalo užtikrinti jų saugumą, kažkur lyg ir įstatymą apie tai mačiau, kad jei saugumu nesirūpinama - gali pareitu baudų. Žinoma, baudom čia niekas dabar nesimėto, iš pradžių toms įmonėms bandoma padėti. :) O faktas, kad blogiečių yra daugiau nei geriečių :)

Per daug posto neskaičiau, bet kiek man žinoma, kiekviena įmonė kuri tvarko žmonių asmeninius duomenys privalo užtikrinti jų saugumą, kažkur lyg ir įstatymą apie tai mačiau, kad jei saugumu nesirūpinama - gali pareitu baudų. Žinoma, baudom čia niekas dabar nesimėto, iš pradžių toms įmonėms bandoma padėti. :) O faktas, kad blogiečių yra daugiau nei geriečių :)

Su tuo, kad turi saugoti duomenis sutinku, nes jie turi užtikrinti saugumą duomenų, o mes savo ruožtų slaptažodžio saugumą :)

Bet su tuo kad blogiečių daugiau, nenoriu sutikti... :D

Taigi, aš suprantų jeigu mes sėdėsim hakerių forumuose, ir domėsimės tik apie black hakingą, bendrausime tik su tokiais, jungsimes į hakerių grupes facebooke, tai gali atrodyti, kad visas pasaulis vien hakeriai ... :) Nes tiesiog matysim viską iš savo pusės, kitaip nei kiti :)

Bet man įdomu, kaip savo pasauliuką regi įmonės, gal joms tiesiog neįdomu tie įsilauželiai, paskaito kad "kaimyno" svetainę nulaužė, bet gal nesigilina ar ne tokia pati sistema pas juos... :)

Visdėlto, IT saugumo specialistas yra darbuotojas, gal jie išvis jau dabar tik žiovauja, tikrina logus, ir pan, nors realiai niekas baisaus nevyksta.. tik kartais kas nors pasiskundžia spamais, virusais iš emailų...

Juk yra ir nksc.lt ir KAM su IT saugumo specialistais, visokios kitos privačios įmonės ir kiek dar visokių fizinių asmenų... visokių yra.

Kažkada blogiečiai pereina į geriečius vistiek jei prigauna juos. Tuo labiau tu negali būti saugumo ekspertu, kol pats nesugebi įsilaužti kur nori, nes kitaip nežinosi spragų ir juo netampama tuo labiau per metus ar du ar tris. Viską turi žinoti nuo pagrindų ir neatsilikti tuo labiau nes viskas tuo pačių ir keičiasi. Jeigu, kad ir blogiečių yra mažiau, tačiau jie sugeba paleisti milžiniškus atakų dydžius vienų metu į skirtingas įmones. Paprastos ne IT įmonės, faktas, kad net nesirūpina tuo IT saugumu, nes joms tai neįdomu ir pinigų švaistymas. :)

Kažkada blogiečiai pereina į geriečius vistiek jei prigauna juos. Tuo labiau tu negali būti saugumo ekspertu, kol pats nesugebi įsilaužti kur nori, nes kitaip nežinosi spragų ir juo netampama tuo labiau per metus ar du ar tris. Viską turi žinoti nuo pagrindų ir neatsilikti tuo labiau nes viskas tuo pačių ir keičiasi. Jeigu, kad ir blogiečių yra mažiau, tačiau jie sugeba paleisti milžiniškus atakų dydžius vienų metu į skirtingas įmones. Paprastos ne IT įmonės, faktas, kad net nesirūpina tuo IT saugumu, nes joms tai neįdomu ir pinigų švaistymas. :)

Na tu teisus, kad negali apginti serverio, nesuprasdamas, kaip vyksta puolimas.

Tačiau, pasižiūrėkim plačiau, ar būtent ne taip ruošia IT saugumo "profus" kepa juos universitetuose, kažkokiuose kursuose, ar tiesiog pats skaito knygas, kur demonstruojami tam tikri įrankiai, kaip jie susitvarko su tam tikrais pavojais, kaip apsiginti ir pan.

Tačiau, nedėstoma, na aš manau, kad dauguma nė velnio nežino, ką jų įrankiai daro kodo lygyje, tik moka perskaityti, ką išmeta ekrane, taip priima sprendimą kokį daryti kitą veiksmą...

O hakeriai tai masto vos ne bitų lygyje, ir nemanau, kad hakeris prikurs tiek daug naudingų įrankių įsilaužimui įvykdyti per 24 val, nei saugumo specialistas senų įrankių turi savo pašonėje, taigi noriu pasakyti, kad nauji įsilaužimai vyksta lėtai, tai kai tiek daug IT saugumo specialistų, abejoju kad jiems pakanka darbo.... :D

Na tu teisus, kad negali apginti serverio, nesuprasdamas, kaip vyksta puolimas.

Tačiau, pasižiūrėkim plačiau, ar būtent ne taip ruošia IT saugumo "profus" kepa juos universitetuose, kažkokiuose kursuose, ar tiesiog pats skaito knygas, kur demonstruojami tam tikri įrankiai, kaip jie susitvarko su tam tikrais pavojais, kaip apsiginti ir pan.

 

Tačiau, nedėstoma, na aš manau, kad dauguma nė velnio nežino, ką jų įrankiai daro kodo lygyje, tik moka perskaityti, ką išmeta ekrane, taip priima sprendimą kokį daryti kitą veiksmą...

 

O hakeriai tai masto vos ne bitų lygyje, ir nemanau, kad hakeris prikurs tiek daug naudingų įrankių įsilaužimui įvykdyti per 24 val, nei saugumo specialistas senų įrankių turi savo pašonėje, taigi noriu pasakyti, kad nauji įsilaužimai vyksta lėtai, tai kai tiek daug IT saugumo specialistų, abejoju kad jiems pakanka darbo.... :D

Universitetuose šito neišmoksi, nukreips daugių daugiausiai kur rasti informacijos, kaip ir kiekvienas IT dalykas - jį daugiausiai laiko mokaisi savarankiškai. :) Ir tikrai čia dalykas ne kiekvienam ir jis yra overhelming, kiek knowledge'o tau reikia. :) Duodu ranką nukirst, kad geriausi security certificate's yra daug naudingiau, nei šiuo atvėju universiteto diplomas.

Vienas žmogus yra forume pasidalinęs info ko reikia pradžiai:

1. Žinoti kas yra networking. Kaip kompai kalbasi vienas su kitu nuo A-Z

2. Suprasti kaip veikia internetas A-Z

3. Turi išmanyti daugelį operacinių sistemų A-Z

4. Defensive security A-Z

5. Offensive security A-Z

Kiekvienam šitam punkte yra belekiek informacijos, kurią reikia išmokti, kad jau galėtum pradėti kažką daryti. Išmokti šituos punktus pilnai užima kažkur nuo 5 iki 7 metų. Ar gali tai išmokti be universiteto - taip. Naudingiausia būtų skaityti knygas parašytas tai išmanančių žmonių.

Universitetuose šito neišmoksi, nukreips daugių daugiausiai kur rasti informacijos, kaip ir kiekvienas IT dalykas - jį daugiausiai laiko mokaisi savarankiškai. :) Ir tikrai čia dalykas ne kiekvienam ir jis yra overhelming, kiek knowledge'o tau reikia. :) Duodu ranką nukirst, kad geriausi security certificate's yra daug naudingiau, nei šiuo atvėjų universiteto diplomas.

Tai joa, saugumo sertifikatai ir man atrodo kažkas link geresnės pusės. Tačiau jų kainos tai KOSMOSAS... :D

Man labiausiai patinka mintis, kad saugumo sertifikatui gauti reik pirkti tuos kursus, laikyti egzaminą, mokėti už viską, o kai tuo tarpu tam kad tapti hakeriu pakanka, tik noro ir prisėsti prie kompiuterio ... :D

Galima būtų pasigilinti ir ginčiotis, juk ne kiekvienas gali juo tapti, bet jeigu manytume kad abiem atvejais pirmu ir antru galima pasiekti, tai tada tikrai hakeriu tapti pigiau ir greičiau ... :D

Galima po pirmo įsilaužimo nominuoti save hakeriu .. :D

Senesnės kartos atstovus ir žmonius nesidominčius IT dabar labai madinga ir lengva gaudyti phishing metodu. :)

 

Vienas žmogus yra forume pasidalinęs info ko reikia pradžiai:

1. Žinoti kas yra networking. Kaip kompai kalbasi vienas su kitu nuo A-Z

2. Suprasti kaip veikia internetas A-Z

3. Turi išmanyti daugelį operacinių sistemų A-Z

4. Defensive security A-Z

5. Offensive security A-Z

 

Kiekvienam šitam punkte yra belekiek informacijos, kurią reikia išmokti, kad jau galėtum pradėti kažką daryti. Išmokti šituos punktus pilnai užima kažkur nuo 5 iki 7 metų. Ar gali tai išmokti be universiteto - taip. Naudingiausia būtų skaityti knygas parašytas tai išmanančių žmonių.

Čia tiek daug postų yra, kad nesuskaičiau, kas čia kur rašė. Igas laiko tarpas 5-7m.

Senesnės kartos atstovus ir žmonius nesidominčius IT dabar labai madinga ir lengva gaudyti phishing metodu. :)

Na jeigu galėčiau laužtis bet kur ir bet kaip ... tai imčiausi tų kurie mano esas "profai"... :D

Man neptinka, net mintis, tarkim laužtis į kažkieno faceboką, twitterį, vogti kredito kortelės duomenis... aš apskritai manau palikčiau žmones ramybėje, o tiesiog imčiausi serverių, saugumo sistemų ir pan. Jeigu internetą laikytume karo zona, tai patys žmonės yra tiesiog civiliai, o nukenksminti reiktų pirma priešo armija. Tai čia mano nuomonė.

Bet vis dėlto, ar verslininkai ką nors nutuokia apie IT saugumą?

Gal tiesiog moka pinigus tiems kas tuo užsiima ir tiek?

O gal išvis taupo ir tai laiko lėšų švaistymu? :)

Čia tiek daug postų yra, kad nesuskaičiau, kas čia kur rašė. Igas laiko tarpas 5-7m.

 

 

 

 

Na jeigu galėčiau laužtis bet kur ir bet kaip ... tai imčiausi tų kurie mano esas "profai"... :D

 

Man neptinka, net mintis, tarkim laužtis į kažkieno faceboką, twitterį, vogti kredito kortelės duomenis... aš apskritai manau palikčiau žmones ramybėje, o tiesiog imčiausi serverių, saugumo sistemų ir pan. Jeigu internetą laikytume karo zona, tai patys žmonės yra tiesiog civiliai, o nukenksminti reiktų pirma priešo armija. Tai čia mano nuomonė.

 

Bet vis dėlto, ar verslininkai ką nors nutuokia apie IT saugumą?

Gal tiesiog moka pinigus ir tiek?

Verslininkas yra verslininkas, saugumo ekspertas yra saugumo ekspertas. Faktas tik tiek, kiekviena maža įmonė negali išgalėti nusamdyti profesionalaus IT saugumo eksperto.

Verslininkas yra verslininkas, saugumo ekspertas yra saugumo ekspertas. Faktas tik tiek, kiekviena maža įmonė negali išgalėti nusamdyti profesionalaus IT saugumo eksperto.

Kodėl jų nėra, ar per brangu, neapsimoka?

Incident Response/Digital Forensics etc, tikra reikes vis daugiau. Bent jau dabar, firmoje kurioje dirbo iesko junior ir senior level Digital Forensics analistu, taciau jau 4 menesius nieko nerandam.

Lietuvoje gal maziau imones rupinasi saugumu, bent jau is e-commerce puses, kadangi mokejimus ima per Paysera ir panasius third-party providerius, tad negresia baudos nuo VISA ir kitu brandu. Apie dideles imones, negaliu pasakyti ant kiek jiem rupi end-point sistemu saugumas, taciau nemanau, kad daug investuoja ir turi SOC centrus, greiciausiai "antivirusine" turi ir jauciasi saugus, nors neturi jokiu SIEM tools tt.

Ir jusu supratimas apie "hakerius" yra is SCI-FI filmu :D Dauguma "hakeriu" kurie lauziasi y sistemas, nera tokie tech savyy kaip galvojat. Dauguma tiesiog isnaudoja jau esamus vulnerabilities, kurie buvo publishinti. Tarkim lauzias y magento parduotuve, paziuri kokia magento versija, ar pachinta yra ar ne, jei pachinta brute-forcint bandys, jei to neina ziures gal subdomains kokie atidaryti. Jei y windows pc lauziasi, dazniausiai bus phshing emailas, poto naudos metasploit, cobalt-strike ir visus kitus frameworks. Tai nereikalauja daug ziniu, pvz jei pen-testeris koks noretum buti, tiesiog naudotum pre-made tools. Zinoma, atsiranda ne standartiniu operaciju, kai reiketu naudot kazka, ko negali rasti per public research, taciau visiska dauguma "hakeriu" nera "IT genijai" kaip dauguma galvoja, zinoma turi aukstesnius nei average skills, bet dauguma tiesiog relyina ant frameworks.

Incident Response/Digital Forensics etc, tikra reikes vis daugiau. Bent jau dabar, firmoje kurioje dirbo iesko junior ir senior level Digital Forensics analistu, taciau jau 4 menesius nieko nerandam.

Lietuvoje gal maziau imones rupinasi saugumu, bent jau is e-commerce puses, kadangi mokejimus ima per Paysera ir panasius third-party providerius, tad negresia baudos nuo VISA ir kitu brandu. Apie dideles imones, negaliu pasakyti ant kiek jiem rupi end-point sistemu saugumas, taciau nemanau, kad daug investuoja ir turi SOC centrus, greiciausiai "antivirusine" turi ir jauciasi saugus, nors neturi jokiu SIEM tools tt.

 

Ir jusu supratimas apie "hakerius" yra is SCI-FI filmu :D Dauguma "hakeriu" kurie lauziasi y sistemas, nera tokie tech savyy kaip galvojat. Dauguma tiesiog isnaudoja jau esamus vulnerabilities, kurie buvo publishinti. Tarkim lauzias y magento parduotuve, paziuri kokia magento versija, ar pachinta yra ar ne, jei pachinta brute-forcint bandys, jei to neina ziures gal subdomains kokie atidaryti. Jei y windows pc lauziasi, dazniausiai bus phshing emailas, poto naudos metasploit, cobalt-strike ir visus kitus frameworks. Tai nereikalauja daug ziniu, pvz jei pen-testeris koks noretum buti, tiesiog naudotum pre-made tools. Zinoma, atsiranda ne standartiniu operaciju, kai reiketu naudot kazka, ko negali rasti per public research, taciau visiska dauguma "hakeriu" nera "IT genijai" kaip dauguma galvoja, zinoma turi aukstesnius nei average skills, bet dauguma tiesiog relyina ant frameworks.

Labai geras išsamus atsakymas, iškart pasijutau apsišvietęs, dėkuj, gal ir kiti turi ką papasakot? :)

Jei nori kazko specifinio paklaust ar suzinot, parasyk pm galiu papasakoti placiau kas domina.

Negaliu papasakoti ar yra poreikio Lietuvos firmoms, taciau jei esi geras savo sferoje, kalbi anglu,rusu, lietuviu kalbomis, turetum labai daug sansu isidarbinti uzsienio firmose ir dirbti remotely. Yra nemaza pasiula multilingual zmonems. Zinoma, viskas priklauso ka nori tiksliai daryti, ar tai butu Forensics, Incident response, SOC teame dirbt ar pen-testeriu.

Incident Response/Digital Forensics etc, tikra reikes vis daugiau. Bent jau dabar, firmoje kurioje dirbo iesko junior ir senior level Digital Forensics analistu, taciau jau 4 menesius nieko nerandam.

Lietuvoje gal maziau imones rupinasi saugumu, bent jau is e-commerce puses, kadangi mokejimus ima per Paysera ir panasius third-party providerius, tad negresia baudos nuo VISA ir kitu brandu. Apie dideles imones, negaliu pasakyti ant kiek jiem rupi end-point sistemu saugumas, taciau nemanau, kad daug investuoja ir turi SOC centrus, greiciausiai "antivirusine" turi ir jauciasi saugus, nors neturi jokiu SIEM tools tt.

 

Ir jusu supratimas apie "hakerius" yra is SCI-FI filmu :D Dauguma "hakeriu" kurie lauziasi y sistemas, nera tokie tech savyy kaip galvojat. Dauguma tiesiog isnaudoja jau esamus vulnerabilities, kurie buvo publishinti. Tarkim lauzias y magento parduotuve, paziuri kokia magento versija, ar pachinta yra ar ne, jei pachinta brute-forcint bandys, jei to neina ziures gal subdomains kokie atidaryti. Jei y windows pc lauziasi, dazniausiai bus phshing emailas, poto naudos metasploit, cobalt-strike ir visus kitus frameworks. Tai nereikalauja daug ziniu, pvz jei pen-testeris koks noretum buti, tiesiog naudotum pre-made tools. Zinoma, atsiranda ne standartiniu operaciju, kai reiketu naudot kazka, ko negali rasti per public research, taciau visiska dauguma "hakeriu" nera "IT genijai" kaip dauguma galvoja, zinoma turi aukstesnius nei average skills, bet dauguma tiesiog relyina ant frameworks.

bet dauguma tiesiog relyina ant frameworks.

:D Yra toks term kaip script kiddies, tai va, jie ką moka tik relyinti ant frameworko, bet toliau kai jo nebeužtenka - nieko nesugeba :D Kaip žadi kažką sutaisyti, kažką nulaužti ir ištęstuoti, kai to dar nėra kažkuriam frameworke? Ar tu gali surasti vulnerability, kurio dar neatrado kiti ? Pamaigyti frameworkus per kali visi mokam.

bet dauguma tiesiog relyina ant frameworks.

:D Yra toks term kaip script kiddies, tai va, jie ką moka tik relyinti ant frameworko, bet toliau kai jo nebeužtenka - nieko nesugeba :D Kaip žadi kažką sutaisyti, kažką nulaužti ir ištęstuoti, kai to dar nėra kažkuriam frameworke? Ar tu gali surasti vulnerability, kurio dar neatrado kiti ? Pamaigyti frameworkus per kali visi mokam.

Nenorėjau naudot šito term, bet didžioji dauguma hakerių yra tiesiog script kiddies. Ištestuoti kažką, dauguma pen-testeriu naudos jau esamus vulnerability scans etc, suras vulnerability, jei nebus frameworke jos, bandys patys sukurti kažkokį scriptą. Kaip žadi kažką nulaužti ir ištęstuoti kai to dar nėra kažkuriam frameworke? Jei vulnerability scan neranda nieko, greičiausiai objektas yra pakankamai saugus, ir tolimesnio pen-testo nereikia, nebent klientas prašo daryti physical pen-test.

Ar tu gali surasti vulnerability, kurio dar neatrado kiti? Tai dažniausiai atlieka ne hakeriai, o bug bounty hunteriai. Čia reikia ne "hakinimo" žinių, bet programavimo, low-level programavimo žinių. Žinoma pasitaiko, kai per pen-test atranda kažką naujo, bet tai labai reti atvejai. Zero-day nera atrandami taip lengvai, jei ir yra surandami black hats juos parduos.

Nenorėjau naudot šito term, bet didžioji dauguma hakerių yra tiesiog script kiddies. Ištestuoti kažką, dauguma pen-testeriu naudos jau esamus vulnerability scans etc, suras vulnerability, jei nebus frameworke jos, bandys patys sukurti kažkokį scriptą. Kaip žadi kažką nulaužti ir ištęstuoti kai to dar nėra kažkuriam frameworke? Jei vulnerability scan neranda nieko, greičiausiai objektas yra pakankamai saugus, ir tolimesnio pen-testo nereikia, nebent klientas prašo daryti physical pen-test.

 

Ar tu gali surasti vulnerability, kurio dar neatrado kiti? Tai dažniausiai atlieka ne hakeriai, o bug bounty hunteriai. Čia reikia ne "hakinimo" žinių, bet programavimo, low-level programavimo žinių. Žinoma pasitaiko, kai per pen-test atranda kažką naujo, bet tai labai reti atvejai. Zero-day nera atrandami taip lengvai, jei ir yra surandami black hats juos parduos.

Labai toli vienas nuo kito tavo terminai. Nuo scriptkiddu iki zero-day :)

Manau ner blogai jeigu kažkas naudojasi jau parašytais exploitais ar toolsais, kurie yra releasinti. Nes daugumoje atvėju nėra tikslo sukurti dvirati iš naujo, nebent jį paupgradint iki elektrinio dviračio ar self-driving dviračio.O kaip nulaužti jei nėra jokių exploitų ir scanneriai nieko nerodo? Tai manau čia ir pasireiškia žmogaus patirties panaudojimas tam tikrai situacijai. Kad ir paėmus Magento CMS: galbūt naudojami custom made pluginai, nesaugus serveris/hostingas (shared ir blogai chmodintas), ckeditoriai, palikti install failai, emailai nudumpinti kažkur su pw (gal sutaps), galbūt yra failų, kurie yra bet nera viešai prieinami ir ten yra pažeidžiamumai, galbūt adminas veluoja nuolat užupdatint CMS ir tai daro 2 savaitem vėliau nei išeina oficiali versija ir į tą laiko tarpą įkiši fresh exploitą (jeigu jo nėra public, galbūt išviešinta, kur - klaida ir pats pasiruoši) ir tt...O kalbant apie naujų vulnerability paiešką ir zero-day, tai turi būt atsidavęs kažkuriai sistemai ir viską purtyt nuo release day. Aukštasis pilotažas čia, bet nebūtinai blackhat :)

Anyway smagu jog ir Lietuvoje atsiranda šioje nišoje dirbančių ir tobulėjančių žmonių.

Labai toli vienas nuo kito tavo terminai. Nuo scriptkiddu iki zero-day :)

Manau ner blogai jeigu kažkas naudojasi jau parašytais exploitais ar toolsais, kurie yra releasinti. Nes daugumoje atvėju nėra tikslo sukurti dvirati iš naujo, nebent jį paupgradint iki elektrinio dviračio ar self-driving dviračio.O kaip nulaužti jei nėra jokių exploitų ir scanneriai nieko nerodo? Tai manau čia ir pasireiškia žmogaus patirties panaudojimas tam tikrai situacijai. Kad ir paėmus Magento CMS: galbūt naudojami custom made pluginai, nesaugus serveris/hostingas (shared ir blogai chmodintas), ckeditoriai, palikti install failai, emailai nudumpinti kažkur su pw (gal sutaps), galbūt yra failų, kurie yra bet nera viešai prieinami ir ten yra pažeidžiamumai, galbūt adminas veluoja nuolat užupdatint CMS ir tai daro 2 savaitem vėliau nei išeina oficiali versija ir į tą laiko tarpą įkiši fresh exploitą (jeigu jo nėra public, galbūt išviešinta, kur - klaida ir pats pasiruoši) ir tt...O kalbant apie naujų vulnerability paiešką ir zero-day, tai turi būt atsidavęs kažkuriai sistemai ir viską purtyt nuo release day. Aukštasis pilotažas čia, bet nebūtinai blackhat :)

Anyway smagu jog ir Lietuvoje atsiranda šioje nišoje dirbančių ir tobulėjančių žmonių.

Nežinau kokia auditorija skaito, tai bandau naudoti tik žinomus terminus. Aš nesakau, kad blogai jei žmonės naudoja jau esamus toolsus, reikia turėti žinių ir kaip jau esamus tools efektyviai išnaudoti. O dėl laužimosi kažkur, tai žinoma priklauso ką bandai testinti/nulaužti, su tuo pačiu Magento, bent jau dirbdamas susiduriu dažniausiai su vulnerable plugins, database tools atidaryti, nepachintas CMS, dev sub-domains atidaryti, admin panelės paliktos per kurias gali brute-forcint. Bet mažiau matau, kad būtų exploitinta kažkas per server-side, dauguma serverių vis tiek Linux based. O dėl vulnerability ir zero-day paieškų tai tu teisus, ten visiškas aukštasis pilotažas, čia jau turi būti gabus. :)