Часто задаваемые вопросы

Часто задаваемые вопросы

Вопрос: Как убедиться, что безопасность моей системы соответствует современным стандартам?

Ответ: Лучше всего подписаться на рассылку Buqtraq, отправив пустое сообщение по адресу bugtraq-listserv@securityfocus.com. После подтверждения подписки вы начнете получать сообщения.

Информацию о проблемах безопасности операционной системы Windows можно получить в рассылке NTBugtraq. Чтобы подписаться на нее, отправьте сообщение по адресу listserv@listserv.ntbugtraq.com. В теле письма должна быть помещена фраза «SUBSCRIBE ntbugtraq Firstname Lastname», где в поле Firstname указывается ваше имя, а в поле Lastname – ваша фамилия.

Вопрос: Как понять, вызвано ли уязвимостью обнаруженное отклонение от обычной работы системы, если у меня нет времени на проведение детальных исследований? Ответ: Сообщение о неисследованной или сомнительной уязвимости можно отправить в рассылку vuln-dev по адресу vuln-dev@securityfocus.com. Она создана специально для сообщений о потенциальных проблемах безопасности от пользователей, не имеющих времени, желания или навыков самостоятельно исследовать дефект. Для подписки на эту рассылку нужно отправить пустое сообщение по адресу vuln-dev-listserv@securityfocus.com. Затем требуется подтвердить свою подписку. Следует помнить, что, отправляя письмо о потенциальной или неисследованной уязвимости, вы делаете эту информацию достоянием широкой публики.

Вопрос: В процессе проверки моей системы на наличие недавно обнаруженной уязвимости оказалось, что проблема гораздо глубже, чем описано в сообщении. Стоит ли публиковать новую информацию? Ответ: Вероятнее всего, делать этого не стоит. В подобных случаях лучше связаться с автором сообщения и сравнить ваши результаты. Чтобы не умножать число источников информации об одной и той же уязвимости, можно попросить автора внести в свое сообщение дополнения и исправления (разумеется, упомянув про ваш вклад). Если же исходное сообщение было анонимным, имеет смысл опубликовать всю информацию еще раз, дополнив ее новыми сведениями.

Вопрос: Можно ли тестировать на уязвимость чужие системы? (Например, можно ли протестировать на безопасность почтовый сервис Hotmail?) Ответ: В большинстве стран, включая США, противозаконно даже пытаться проникнуть в чужую систему, даже если вас интересует всего лишь степень ее уязвимости. Ведь таким образом можно случайно повредить ее или оставить открытой для атак, а кроме того, получить доступ к конфиденциальной информации. Перед тестированием чужой системы следует получить письменное разрешение на подобные действия. Это разрешение должно быть дано владельцем системы, которую вы планируете «атаковать». Нужно также связаться с человеком, который будет следить за состоянием системы в процессе испытаний и сможет восстановить ее работоспособность после ваших испытаний. Если вы не можете найти человека, который разрешил бы вам протестировать свою систему, можно послать запрос в рассылку vuln-dev. Члены подобных рассылок обычно более благоприятно реагируют на подобные вещи. Что же касается таких сервисов, как почтовая служба Hotmail, их несанкционированное тестирование может даже привести к вашему аресту за нарушение DMCA.

Вопрос: Попытавшись сообщить производителю о проблемах безопасности, я получил ответ, что сначала требуется заключить контракт на обслуживание. Что делать в таких случаях? Ответ: Все равно попытайтесь позвонить в отдел обслуживания клиентов и объяснить, что обнаруженная вами уязвимость может создать проблемы их клиентам. Если это не сработает, попытайтесь найти клиента, у которого имеется контракт на обслуживание. Для подобного поиска можно использовать открытые форумы, посвященные обсуждению соответствующего программного продукта или услуги. Если и эта попытка не увенчается успехом, вы имеете полное право сделать информацию о найденной уязвимости доступной для широкой публики.

Поделитесь на страничке

Следующая глава >

Похожие главы из других книг:

Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Могу ли я назвать себя хакером?Ответ: Существует два ответа на этот вопрос. Первый, созвучный мыслям многих: хочешь быть хакером – будь им. Второй: если вы называете себя хакером, то будьте готовы к широкому диапазону оценок вследствие


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Сколько усилий я должен приложить для применения рассмотренных законов безопасности к интересующей меня специфической системе?Ответ: Если вы исследуете систему для определения степени ее безопасности, то вполне можете использовать


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Может ли атака относиться к нескольким классам атак?Ответ: Да. Некоторые атаки могут быть отнесены к нескольким классам. Например, отказ в обслуживании, вызванный аварийным завершением сервиса в результате неверного ввода информации


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Существует ли команда dif для операционной системы Windows?Ответ: Да. Она может быть получена из дистрибутива Cygwin, распространяемого Cygnus Solutions.Вопрос: Всегда ли нужен протокол различий исправлений выявленных уязвимостей? Ответ: И да, и нет. Ряд


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Существуют ли криптографические алгоритмы, гарантирующие 100 %-ую безопасность?Ответ: Да, существуют. OTP (One Time Pad) – единственный алгоритм, гарантирующий абсолютную безопасность при безупречной реализации. Алгоритм OTP – это фактически шифр


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Стоит ли заботиться о проверке и фильтрации входных данных?Ответ: Все поступающие данные должны быть проверены и отфильтрованы. Никаких исключений. Не следует надеяться на то, что входные данные программы не содержат ошибок. Проверено на


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы На следующие часто задаваемые вопросы (FAQ) отвечали авторы данной книги. Они предназначены как для улучшения вашего понимания идей, представленных в данной главе, так и для помощи в реализации этих идей. Если у вас возникли вопросы по данной главе,


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Наиболее часто авторы книги отвечали на приведенные ниже вопросы. Вопросы интересны тем, что позволяют читателю лучше усвоить изложенный в главе материал и реализовать его на практике для обеспечения безопасности вычислительных систем. Если у


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Есть ли хорошие решения противодействия спуфингу?Ответ: Существуют решения, которые могут внести существенный вклад в предотвращение определенных типов спуфинга. Например, реализованный должным образом протокол SSH является хорошим


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Разве перечисленные методы не подразумевают обреченности любой попытки управления региональной сетью? Особенно это касается систем, которые пытаются предсказать местонахождение компьютера по его IP-адресу.Ответ: По большей части, да.


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Почему именно хакинг аппаратных средств?Ответ: Экспериментирование с хакингом аппаратных средств важно по ряду причин. Во-первых, хакинг аппаратных средств не столь широко распространен, как хакинг программных средств или сетей.


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Откуда произошел термин «компьютерный вирус»?Ответ: Самовоспроизводящиеся программы впервые появились в 60-х годах прошлого века. Однако термин «вирус» появился сравнительно недавно. Первым его использовал профессор Фред Коэн (Fred Cohen) в


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Сколько нужно систем обнаружения вторжения для повышения эффективности их работы?Ответ: Все сети различны, и поэтому необходимые для них уровни контроля различаются. Специфическая толерантность читателя к риску должна помочь ему


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Существует ли в Интернете ресурс, на котором были бы перечислены все коммерческие и свободно распространяемые инструментальные средства сканирования?Ответ: Хорошим, но немного устаревшим, является подготовленная Талискером (Talisker)


Часто задаваемые вопросы

Из книги автора

Часто задаваемые вопросы Вопрос: Как убедиться, что безопасность моей системы соответствует современным стандартам?Ответ: Лучше всего подписаться на рассылку Buqtraq, отправив пустое сообщение по адресу bugtraq-listserv@securityfocus.com. После подтверждения подписки вы начнете получать