Санкт-Петербург

Россия

Компания Y предоставляет комплексное веб-приложение в сфере электронной коммерции Necommerce. Компания недавно столкнулась с массовой утечкой данных о своих пользователях и их покупках. “Брешь”, через которую произошла утечка, вроде как устранили.Саму разработку приложения компания Y заказывает у подрядчика (фирмы-разработчика).Поскольку своих специалистов по информационной безопасности у компании Y нет, то вас пригласили провести комплексный анализ процесса разработки и протестировать на наличие других веб-уязвимостей (деталей по найденным и исправленным уязвимостям не предоставили, поскольку “вы же профессионалы, должны проверить всё с чистого листа”).Конечно же, разработчики со стороны подрядчика также максимально пошли вам на встречу и предоставили исчерпывающую информацию о приложении, целых две ссылки на репозитории с кодом:
https://github.com/Netology-cp/sib/tree/main/Front
https://github.com/Netology-cp/sib/tree/main/Back[b]По словам разработчиков:[/b][list=1][*]Вся разработка ведётся в приватных репозиториях в GitHub (это легенда, для удобства мы вам предоставили открытые репозитории).[*]Весь код (а также зависимости и контейнеры) регулярно проходит проверку открытыми инструментами*:[*]https://github.com/[*]https://detekt.dev/[*]Сам код покрыт авто-тестами, включая проверку механизмов безопасности (отработка неверных логинов/паролей), которые регулярно прогоняются (при каждом push в репозиторий).[*]Разработчики прекрасно знакомы с OWASP Top 10, а некоторые даже и с ASVS, и WSTG.[*]Кроме того, они придерживаются строгих правил разработки и не разрешают push'ить в master без соответствующего Code Review (как минимум, двух человек) и прохождения автоматизированных проверок.[*]После прохождения всех проверок автоматически собираются образы Docker и публикуются в GitHub Container Registry (для дальнейшего разворачивания в Production).[/list][b]Важно:[/b] отчёты этих инструментов скрыты из публичного доступа. При желании вы можете Fork'нуть репозиторий и самостоятельно настроить репозиторий.Инструкция по запускуИспользуйте следующий файл Docker Compose:Задача[b]Ваша ключевая[/b] задача - провести комплексное исследование как функционирующего приложения, так и исходных кодов (обратите внимание на код самого приложения, всё ли в порядке с зависимостями, “правильно” ли собираются контейнеры и т.д.)..
[b]Важно:[/b] в задачу не закладывается требование “выучить” используемые в системе языки программирования, достаточно знания английского языка и умения гуглить некоторые важные моменты (например, как в том или ином языке работать с генерацией случайного набора данных или что такое CORS, CSRF и т.д.)..
[b]Рекомендуем разложить задачу на 3 этапа:[/b][list=1][*]Планирование.[*]Непосредственно выполнение работы.[*]Подготовка отчётных документов по итогам.[/list]ПланированиеВ первую очередь, вы должны составить план работ, в котором описано:[list][*]что вы будете проверять;[*]как вы будете это проверять (инструменты, подходы, используемые нормативные документы, стандарты или руководства);[*]интервальная оценка с учётом рисков (в часах);[*]план сдачи работ (когда будут выполнены работы и будет готов отчёт).[/list]Выполнение работНа этом этапе вы непосредственно выполняете работу.Отчётные документы по итогам тестированияВ качестве отчётных документов прикладываются:[list=1][*]Документ (doc, odf, pdf или issue в GitHub) со скриншотами и описанием обнаруженных проблем (если они есть).[*]Документ с рекомендациями (улучшения процесса, кода, подходов, применения новых практик и т.д.).[/list]О документах[b]Важно:[/b] когда мы просим вас написать любые документы - мы не требуем творений на 10 страниц текста. Пишите только то, что действительно важно. Но и документы в формате 1-2 строчек тоже приниматься не будут.Критерии сдачи[list=1][*]Найдено минимум 5 проблем[*]Подготовлен отчёт[*]Подготовлены рекомендации по решению проблем[/list]

Компания Y предоставляет комплексное веб-приложение в сфере электронной коммерции Necommerce. Компания недавно столкнулась с массовой утечкой данных о своих пользователях и их покупках. “Брешь”, через которую произошла утечка, вроде как устранили.Саму разработку приложения компания Y заказывает у подрядчика (фирмы-разработчика).Поскольку своих специалистов по информационной безопасности у компании Y нет, то вас пригласили провести комплексный анализ процесса разработки и протестировать на наличие других веб-уязвимостей (деталей по найденным и исправленным уязвимостям не предоставили, поскольку “вы же профессионалы, должны проверить всё с чистого листа”).Конечно же, разработчики со стороны подрядчика также максимально пошли вам на встречу и предоставили исчерпывающую информацию о приложении, целых две ссылки на репозитории с кодом:
<a href="https://github.com/Netology-cp/sib/tree/main/Front" rel="nofollow noopener noreferrer" target="_blank">https://github.com/Netology-cp/sib/tree/main/Front</a>
<a href="https://github.com/Netology-cp/sib/tree/main/Back" rel="nofollow noopener noreferrer" target="_blank">https://github.com/Netology-cp/sib/tree/main/Back</a>По словам разработчиков:<ul><li>Вся разработка ведётся в приватных репозиториях в GitHub (это легенда, для удобства мы вам предоставили открытые репозитории).</li><li>Весь код (а также зависимости и контейнеры) регулярно проходит проверку открытыми инструментами*:</li><li><a href="https://github.com/" rel="nofollow noopener noreferrer" target="_blank">https://github.com/</a></li><li><a href="https://detekt.dev/" rel="nofollow noopener noreferrer" target="_blank">https://detekt.dev/</a></li><li>Сам код покрыт авто-тестами, включая проверку механизмов безопасности (отработка неверных логинов/паролей), которые регулярно прогоняются (при каждом push в репозиторий).</li><li>Разработчики прекрасно знакомы с OWASP Top 10, а некоторые даже и с ASVS, и WSTG.</li><li>Кроме того, они придерживаются строгих правил разработки и не разрешают push'ить в master без соответствующего Code Review (как минимум, двух человек) и прохождения автоматизированных проверок.</li><li>После прохождения всех проверок автоматически собираются образы Docker и публикуются в GitHub Container Registry (для дальнейшего разворачивания в Production).</li></ul>Важно: отчёты этих инструментов скрыты из публичного доступа. При желании вы можете Fork'нуть репозиторий и самостоятельно настроить репозиторий.Инструкция по запускуИспользуйте следующий файл Docker Compose:ЗадачаВаша ключевая задача - провести комплексное исследование как функционирующего приложения, так и исходных кодов (обратите внимание на код самого приложения, всё ли в порядке с зависимостями, “правильно” ли собираются контейнеры и т.д.)..
Важно: в задачу не закладывается требование “выучить” используемые в системе языки программирования, достаточно знания английского языка и умения гуглить некоторые важные моменты (например, как в том или ином языке работать с генерацией случайного набора данных или что такое CORS, CSRF и т.д.)..
Рекомендуем разложить задачу на 3 этапа:<ul><li>Планирование.</li><li>Непосредственно выполнение работы.</li><li>Подготовка отчётных документов по итогам.</li></ul>ПланированиеВ первую очередь, вы должны составить план работ, в котором описано:<ul><li>что вы будете проверять;</li><li>как вы будете это проверять (инструменты, подходы, используемые нормативные документы, стандарты или руководства);</li><li>интервальная оценка с учётом рисков (в часах);</li><li>план сдачи работ (когда будут выполнены работы и будет готов отчёт).</li></ul>Выполнение работНа этом этапе вы непосредственно выполняете работу.Отчётные документы по итогам тестированияВ качестве отчётных документов прикладываются:<ul><li>Документ (doc, odf, pdf или issue в GitHub) со скриншотами и описанием обнаруженных проблем (если они есть).</li><li>Документ с рекомендациями (улучшения процесса, кода, подходов, применения новых практик и т.д.).</li></ul>О документахВажно: когда мы просим вас написать любые документы - мы не требуем творений на 10 страниц текста. Пишите только то, что действительно важно. Но и документы в формате 1-2 строчек тоже приниматься не будут.Критерии сдачи<ul><li>Найдено минимум 5 проблем</li><li>Подготовлен отчёт</li><li>Подготовлены рекомендации по решению проблем</li></ul>

Основы информационной безопасности

Docker

Задание по ссылке, срок выполнения в течении 10 дней.
https://netology.ru/profile/program/fsibpdc-3/lessons/180245/lesson_items/945185

Задание по ссылке, срок выполнения в течении 10 дней.
<a href="https://netology.ru/profile/program/fsibpdc-3/lessons/180245/lesson_items/945185" rel="nofollow noopener noreferrer" target="_blank">https://netology.ru/profile/program/fsibpdc-3/lessons/180245/lesson_items/945185</a>

Дмитрий DimJn

Основы информационной безопасности

Выполнить задание по теме " Основы информационной безопасности"