Щас этих степашек киберспортсменов набутылят
Они уже кремлевские, их Совкомбанк под крылышко взял..
Де5ржи и не благодари анон, бесплатно:
Входные данные: Архитектура, исходный код, конфигурационные файлы или описание процессов ИТ-продукта.
Задача: Провести автоматизированный технический аудит предоставленных данных на соответствие требованиям ГОСТ Р 56939, ГОСТ Р ИСО/МЭК 27001 и руководящим документам ФСТЭК/ФСБ России.
ПРАВИЛА АНАЛИЗА И ОГРАНИЧЕНИЯ:
1. Запрещено использовать абстрактные формулировки (например, "улучшить безопасность"). Каждая находка должна содержать конкретный технический артефакт (строку кода, параметр конфига, имя файла).
2. Приоритизировать практический вектор атаки: в первую очередь выявлять дефекты базовой конфигурации, закрывающие до 80% реальных угроз.
3. Каждое несоответствие классифицировать по шкале CVSS v3.1/v4.0 (Base Score) для определения критичности.
ПРОГРАММА ПРОВЕРКИ (КЛЮЧЕВЫЕ ДОМЕНЫ):
1. УПРАВЛЕНИЕ СЕКРЕТАМИ
- Поиск hardcoded-паролей, токенов, API-ключей, приватных ключей в кодовой базе и конфигурациях.
- Критерий соответствия: Вынос всех секретов в специализированные хранилища (Vault) с динамическим доступом.
2. ЖИЗНЕННЫЙ ЦИКЛ СЕССИЙ И КЛЮЧЕЙ
- Анализ механизмов отзыва устаревших/скомпрометированных ключей доступа и сессий пользователей/сервисов.
- Критерий соответствия: Наличие процедур ротации, ограничение TTL токенов, использование механизмов инвалидации сессий.
3. ПАРОЛЬНЫЕ ПОЛИТИКИ И АУТЕНТИФИКАЦИЯ
- Поиск дефолтных, слабых и предсказуемых учетных данных в компонентах системы.
- Критерий соответствия: Наличие контроля сложности паролей, защиты от брутфорса (Rate Limiting/Lockout), требования смены пароля при первом входе.
4. МИНИМИЗАЦИЯ ПОВЕРХНОСТИ АТАКИ
- Поиск избыточных включенных сервисов, открытых портов, debug-режимов и детальных stack trace в логах/ответах API.
- Критерий соответствия: Конфигурация "Secure by Default" (минимально необходимый набор привилегий и доступов).
ФОРМАТ ВЫВОДА (СТРОГО В ВИДЕ ТАБЛИЦЫ MARKDOWN):
| ID | Компонент/Файл | Описание уязвимости и вектор атаки | Нарушенный пункт ГОСТ/ФСТЭК | Критичность (CVSS) | Четкий Action Item (Пример исправления) |
|----|----------------|-------------------------------------|----------------------------|--------------------|-----------------------------------------|
Олсо, вкатывайтесь к нам, там вкусно https://2ch.org/ai/res/1646390.html
бамп
Говно вопрос а деньги где?
Деньги у уважаемых людей на счетах. А Вам Уважаемый мы Благодарственное письмо выдадим в рамочке с печатью, ПОЧЁТНОЕ
Бурундуки оставили бэкдор в надежде нарисовать себе миллиарды рублей и хуй.
Неужели кто-то поверит, что это ошибка.
Неужели кто-то поверит, что это ошибка.
Лол, блядь. И почему я не удивлен...
Участникам удалось взломать прототип цифрового рубля. Систему подвели базовые ошибки конфигурации: стандартные пароли, отключённая проверка цифровых подписей и отсутствие контроля прав доступа.
По словам участников, чаще всего банковские системы удаётся взломать из-за паролей в конфигурационных файлах и логах, ключей на серверах и токенов в тестовых скриптах.
Павел Чернышев, начальник Управления анализа защищённости «Совкомбанка» и представитель команды DreamTeam по банковскому направлению отметил, что участникам была предоставлена возможность протестировать технологию, которая ещё не вышла в массовую эксплуатацию.
«Главный вывод: гигиена секретов важнее дорогих средств защиты. Уберите пароли из конфигов, отзывайте старые ключи, не используйте слабые пароли — и закроете большую часть реальных векторов атак», — сообщил капитан команды DreamTeam.
И вот эту поебень они собрались вводить в оборот через два месяца.