Toderelt.ru

ПК Журнал ТодерельТ
0 просмотров
Рейтинг статьи
1 звезда2 звезды3 звезды4 звезды5 звезд
Загрузка...

Принтер, сканер и копир: выбираем МФУ в 2020 году

Принтер, сканер и копир: выбираем МФУ в 2020 году

Принтер, сканер и копир: выбираем МФУ в 2020 году

МФУ (многофункциональные устройства) пригодятся для многих домашних и офисных задач: они совмещают в себе функции принтера, сканера, копира, а иногда и факса. В этой статье мы разберемся, какие параметры нужно учесть при выборе и какая технология печати подойдем в вашем случае.

Кроме перечисленных выше функций, у современных МФУ есть несколько дополнительных опций, которые делают работу еще удобнее. Сейчас МФУ поддерживают подключение к беспроводной сети: можно поставить устройство в любое удобное место без лишних проводов. Еще одна удобная функция — автоматическая двусторонняя печать. Также некоторые принтеры (предназначенные для печати фотографий) оборудованы слотом для карты памяти — можно печатать прямо с фотоаппарата.

Доступность

АспектСведения
Состояние выпуска:Такая интеграция CI/CD предоставляется в предварительной версии.
Мы рекомендуем экспериментировать с ней только в непроизводственных рабочих процессах.
Предварительная версия дополнительных условий использования Azure включают дополнительные юридические условия, применимые к функциям Azure, которые находятся в бета-версии, предварительной версии или еще не общедоступны по другим причинам.
ЦеныПлата за использование Azure Defender для реестров контейнеров начисляется согласно ценам на Центр безопасности.
Облако. Коммерческие облака
Национальные облака (Azure для государственных организаций, Azure для Китая (21Vianet))

Mitsubishi ASX с пробегом: неудачный 1,6 и новый вариатор, который хуже старого

Самый маленький из кроссоверов Mitsubishi выпускался в условиях строгой экономии – об этом говорит и весьма посредственное качество окраски, и исполнение электрики, и оформление салона. Однако машину спасает ее относительная конструктивная простота – поломок как минимум пока не очень много и почти все они устранятся не очень дорого. Не испортят ли картину моторы и вариаторы? Разберемся во второй части.

Трансмиссия

Российские версии ASX оснащались либо пятиступенчатыми МКП для версий с мотором 1,6, либо вариаторами Jatco для машин с 1,8 и 2,0. На других рынках были и альтернативные варианты, в том числе дизель с гидромеханическим автоматом, но у нас таких машин нет.

Полный привод реализован через электромагнитную муфту на задней оси. Она без датчиков температуры и вообще без какой-либо обратной связи. Так что ошибка по перегреву муфты, иногда возникающая на бездорожье, на самом деле – фикция. Фактически в этот момент управляющая электроника думает, что она должна быть перегрета. Реальное состояние при этом совершенно не известно.

Надо сказать, что муфта на ASX при этом достаточно надежна, благо нагрузка на нее небольшая. В системе полного привода хлопоты в основном доставляет карданный вал и его опора после 120-180 тысяч пробега, да задний редуктор иногда потеет маслом.

Механические коробки передач также очень надежны. При пробегах за 150 тысяч возможно ухудшение работы синхронизаторов, затрудненное втыкание первой-второй передач на холодную, ухудшение и без того невысокой избирательности привода переключения передач и дребезжание при отпущенной педали сцепления на холостых оборотах. Серьезные поломки крайне редки.

Вариаторы на ASX ставили трех типов. Изначально в серию машина пошла с Jatco JF011E, который пережил обновление в 2012 году. С июля 2014 года машины американской сборки получили новую версию агрегата – JF016E. Машины японской сборки, если таковые вам встретятся, получили этот вариатор раньше, с февраля того же года.

Вариатор доступен в вариантах с передним и полным приводом, с радиатором или с теплообменником в системе охлаждения. Российские версии в основном, к сожалению, шли с менее эффективным теплообменником. Понять, какой вариатор стоит на вашей машине, можно по информационной наклейке в проеме водительской двери в пункте Trans Axle. F1CJA и W1CJA – это Jatco JF011E с передним и полным приводом, F1CJC и W1CJC – это уже JF016E.

Вариаторы семейства JF011E – неплохой выбор с точки зрения надежности. Жаль, что именно эта серия имеет некоторые чисто ездовые недостатки в виде очень низкой динамики в момент старта, и рабочий диапазон у нее меньше, чем у более новых моделей, что выражается в увеличенном расходе топлива и худшей динамике.

Надежность конструкции невыдающаяся, но вполне приемлемая по вариаторным меркам. Основные проблемы – это износ редукционного клапана насоса и линейного клапана регулировки давления в гидроблоке. Более серьезные проблемы – такие, как износ шагового двигателя и подшипников валов проявляют себя в основном после 200 или даже 300 тысяч пробега. Разумеется, если масло в коробке менять хотя бы раз в 60 тысяч километров.

Конечно, можно ускорить кончину вариатора регулярными стартами «в пол», длительными пробуксовками, высокой нагрузкой до достижения прогрева хотя бы в 50 градусов, но это неизбежные недостатки любого вариатора с ремнем – о них мы, в частности, писали в статье про правильную эксплуатацию разных типов автоматов в мороз.

Модернизация 2012 года была призвана улучшить динамику на старте. Улучшили профиль конусов и качество обработки, а контактные поверхности ремня стали более гибкими. Машинам с моторами 1,8 и 2,0 полагались ремни с 10 лентами, Bosch 901066. При переборке вариатора обычно ставят строго усиленный вариант с 12 лентами (такой был в стоке на машинах с моторами 2,4, которые в России не представлены), это позволяет заметно снизить требования к качеству работы гидравлики.

Именно проблемы с давлением масла обычно являются предпосылками к ускоренному износу ремня и конусов. Вовремя проведенный контроль давления масла, а также малый ремонт гидроблока и насоса могут продлить жизнь ремня до впечатляющих 300-400 тысяч километров. Контроль давления и температуры можно провести бесплатной версией утилиты CVTz50, при помощи простого адаптера ELM327 – дилерские сканеры для этого необязательны. Дополнительные меры по продлению ресурса вариатора для самых предусмотрительных – установка усиленного редукционного клапана Sonnax, а также внешнего фильтра и радиатора.

Конструкция более нового вариатора JF016E, появившегося в 2014 году, оптимизирована вовсе не в направлении увеличения надежности, а в сторону снижения расхода топлива, повышения динамики и при этом удешевления конструкции. Основное изменение – в гидравлике привода. Все соленоиды теперь в нем линейные, причем одинаковые – это позволило, в частности, избавиться от степ-мотора. Изменения дали возможность использовать режим скольжения блокировки гидротрансформатора в широком диапазоне. Конструкцию с одной стороны усилили, а с другой – облегчили. Получилось… неоднозначно.

Вариатор стал намного лучше себя вести в зоне средних и низких оборотов, что улучшило впечатления от управления. С другой стороны, уже известные проблемы стали проявляться чаще и при меньших пробегах. Особенно в вариаторах выпуска до 2016-17 годов, после чего производители немного «поджали» настройки, снизив динамику разгона, но обеспечив этим рост ресурса конструкции.

Старые проблемы с давлением масла в маслонасосе, подшипниками и износом ремня никуда не делись. Только теперь вместо замены 30-долларового степ-насоса нужно менять весь гидроблок в сборе – он не ремонтируется. При легких возможна промывка и продувка, но калибровку гидроблока после ремонта провести практически невозможно даже при наличии дилерского сканера.

В духе времени ГДТ активно загрязняет масло при интенсивных разгонах, а оно быстрее добивает маслонасос и подшипники. Цена же среднего ремонта подросла за счет более дорогих комплектующих. Короче говоря, новый вариатор получился менее ресурсным и более хлопотным, зато несколько более «комфортным» для водителя.

Моторы

Двигатели 1,6 4A92 имеют неприятную склонность к закоксовке поршневых колец и проявлению масляного аппетита уже до сотни тысяч пробега. Также масляное голодание можно поймать даже при достаточно большом запасе масла в картере из-за специфической конструкции маслозаборника.

При этом мотор удобно скомпонован и, если не брать в расчет его «маслолюбивость», надежен. Под капотом ASX он встречается нечасто, его ставили только на базовую комплектацию и только с МКП.

Самый распространенный двигатель для ASX – это 4В10 объемом 1,8 литра, реже попадается 2-литровый 4В11. Моторы относятся к одной серии, и отличия – только в поршневой группе. Здесь алюминиевый блок цилиндров с чугунными гильзами, привод ГРМ цепью, фазорегуляторы, распределенный впрыск. Это продукт альянса GEMA, и двигатели являются родственниками моторов серии Theta от Hyundai/KIA.

Задиров цилиндров на Mitsubishi, в отличие от родственных Hyundai, почти не бывает, и маслонасос с балансирными валами работает надежнее, чем у корейцев. Масляный аппетит начинает подрастать к пробегам 200 и более тысяч и интервалах замены масла в 15 тысяч километров. При более тщательном обслуживании двигатели легко перешагивают планку 350 тысяч до капремонта. Ремонтируются они легко и недорого. Главное – не забывайте, что клапаны здесь нужно регулировать, многие владельцы этим пренебрегают.

Поскольку моторная линейка ASX сильно пересекается с Lancer X и Outlander XL, то интересующимся имеет смысл прочитать и про эти автомобили, где о моторах сказано более подробно. В частности, по обзорам этих более возрастных моделей можно понять, что ждет относительно свежие ASX в ближайшем будущем.

Брать или не брать?

Так как на самом старте с подвеской Mitsubishi откровенно просчитались, экземпляры выпуска до 2012 года лучше не рассматривать. Особенно, если вы понимаете, что такое управляемость. Лучший выбор – это машины американской сборки, у которых на одиннадцатой позиции VIN номера буква E, а не Z, как у «японцев». Там и ЛКП качественней, и подвески лучше настроены.

Моторы хороши все, кроме 1,6, вариатор лучше предпочесть «дореформенный», хотя если в полной мере следовать этим рекомендациям, то остается весьма скромный выбор «американцев» 2013 и начала 2014 года. Можно рассмотреть и совсем свежие машины, держа в уме потенциальные уязвимости вариатора и обслуживая его превентивно, а не тогда, когда начнутся осязаемые проблемы.

Что представляет собой сканер уязвимостей?

Это комплекс программ, дающий возможность осуществлять проверку сети на присутствие уязвимостей и других проблем в системе безопасности. Кроме того сканеры позволяют контролировать всю активность в сети, определяя вызывающие подозрение процессы, обезопасив фирму от значительных атак. Подробнее о сканерах уязвимости и их принципах работы можно почитать в статье.

Одним из действенных решений сканеров уязвимостей становятся пен-тесты. Они позволяют найти проблемные места в системе безопасности – через них хакеры могут попасть в сеть. Любой специалист имеет собственные предпочтения при выборе инструментов – рассмотрим самые востребованные комплексы, которые дают возможность решить большинство возникающих проблем.

Tenable Nessus

Специалист, ни разу не применявший на практике продукты компании, скорее всего, все же о них наслышан. В настоящий момент Nessus считается мировым лидером в области инструментов для обеспечения защиты сети. Данное решение представляет собой платформу, выстроенную так, что при использовании плагинов можно серьезно расширить возможности программы.

nessus professional

Изначально данный сканер уязвимости распространялся бесплатно, имея при этом открытый код. Но когда представители компании Tenable осознали, что у разработки присутствует значительный потенциал, за нее взялись со всей серьезностью – перед специалистами была поставлена сверхзадача создать оптимальный для использования инструмент.

Основной особенностью предложения становится его модульность. Любое тестирование на проникновение не применяет все имеющиеся в арсенале методы, а формируется специалистом при использовании набора плагинов, исходя из конкретной ситуации. Это даст возможность сэкономить уйму времени, а также ресурсов сервера. Вариант «на борту» представляет 42 варианта плагинов, которые охватывают действия различных операционных систем. Ограничений нет – любой специалист может создать тест, который будет удовлетворять потребностям конкретной системы. Для этого компанией создан отдельный язык скриптов NASL (Nessus Attack Scripting Language).

Разработчики на этом не остановились – они решили обеспечить системе значительную гибкость, отделив от серверной части клиентскую. Сервером выполняются все заданные действия, клиентская составляющая – это лишь оболочка, служащая для управления. При этом последние версии дают возможность обеспечить запуск «клиента» непосредственно в браузере.

Новые облачные технологии применяются и здесь – теперь при использовании всех возможностей Nessus не нужно даже локального сервера. Nessus Cloud – это отказ от серверного оборудования при использовании облачных технологий для обработки запросов.

Любой пен-тест начинается с формирования правил, по которым осуществляется сканирование. Тут можно выделить особенности Nessus и широкие возможности, связанные с кастомизацией запросов. Помимо некоторых вариантов сканирования, таких как TCP, UDP администратор выбирает нужное число одновременных подключений, другие опции, а также плагин или группы таковых. К примеру, можно подключить опцию Safe Checks, которая дает возможность поочередно отключать модули, могущие навредить друг другу.

Выбор плагинов огромен: Default Unix Account, Slackware Local Security, Windows и пр., То есть администратор ничем не ограничивается. Отличием Nessus от других сканеров является наличие «умных» плагинов. К примеру, сканер не может запускать плагины, которые проводят сканирование сети через анонимные пользователи, если таковые отключены. Если сервер был перемещен на другой порт, он сможет сканировать сеть не только через свой.

GFI LANguard

Представленный вариант имеет большое число установленных заранее профилей для осуществления сканирования. Доступен и вариант с полным сканированием, и решения, включающие различные виды проверок, профили целевого сканирования, выявления уязвимостей. Удобным становится реализация профилей, которые подразумевают сканирование удаленных систем через VPN с невысокой пропускной способностью.

Предустановленные профили дают возможность проверить сеть на наличие 20 чаще других встречающихся уязвимостей из рейтинга, созданного SANS. Сделав буквально пару кликов можно инициировать проверку всех сетевых устройств, выбрать конкретную подборку пен-тестов для сканирования веб-приложений и пр.

Кроме предустановленных профилей, позволяющих обнаруживать уязвимости, представлены статистические и аналитический инструменты, а также варианты поиска открытых уязвимостей портов, плагин для выяснения конфигураций оборудования. То есть одно решение объединяет массу инструментов, позволяя содержать сеть в порядке.

GFI занимается обновлением баз уязвимостей постоянно – сегодня насчитывается уже более полутора тысяч верифицированных уязвимостей. Встроенный сканер может осуществлять проверку как локальных машин, так и виртуальных вне зависимости от используемой операционной системы.

Обновление базы данных может быть сформировано и благодаря отчетам security-корпораций (BugTrag, SANS). Как только база обновляется, решение загружается автоматически.

Как и масса других сканеров, GFI LANguard предоставляет возможность создания собственных тестов. Для этого у компании существует скриптовый язык, совместимый с VBScript и Python. Тесты создаются в специальной среде, включающей текстовый редактор и дебаггер. В итоге рождается полноценная встроенная IDE. Чтобы иметь отличия от других сканеров уязвимостей компанией разработан уникальный функционал. Подобной особенностью становится выяснение, является ли машина виртуальной или локальной, но пока возможна поддержка только сред Virtual PC и VMWare.

В результате специалисты получают два решения, у каждого их которых имеются свои положительные стороны. Что именно важнее в конкретной ситуации – решать пользователям.

Дали течь: как сделать переписку в мессенджерах защищенной

Безопасность мессенджеров — один из ключевых запросов аудитории, особенно учитывая тот факт, что пользователи доверяют приложениям как деловые, так и интимные подробности своей жизни. Именно поэтому нахождение любой уязвимости остро воспринимается клиентами, по крайней мере в комментариях и обсуждениях.

Основным инструментом защиты в мессенджерах является технология сквозного шифрования. Термин означает, что сообщения шифруются на одном устройстве и расшифровываются на втором. Информация о переписке недоступна сотрудникам мессенджера или третьим лицам.

Почти все мессенджеры декларируют ее использование, однако как обстоит дело на практике, никому не известно, отметил основатель сервиса разведки утечек данных и мониторинга даркнета DLBI Ашот Оганесян.

— Практически никто не публикует исходный код, и даже в случае Signal, который имеет репозиторий на GitHub, мы не можем быть до конца уверены, что приложения собираются именно из него без изменений и бекдоров, — заявил специалист.

Помимо сквозного шифрования, которое де-факто является стандартом, эксперты призывают учитывать и другие особенности приложений.

— Нужно обращать внимание на наличие следующих технологий: возможность анонимной регистрации без выгрузок адресной книги телефона, возможность каким-либо способом проверить подлинность собеседника (сверка ключей), отношение мессенджера к данным, которые он оставляет на устройстве пользователя (есть ли фактическое удаление того, что пользователь удалил в интерфейсе), открыты ли спецификации и исходные коды мессенджера всему миру, — перечислил заместитель руководителя департамента аудита и консалтинга Group-IB Павел Супрунюк.

Руководитель отдела web-разработки TravelLine Сергей Калинин советует также брать в расчет территориальную принадлежность серверов мессенджера и то, как давно приложение популярно в конкретной стране.

Какие данные о нас известны мессенджерам

Считается, что при сквозном шифровании владельцам мессенджеров недоступно содержание сообщения, но остается известен сам факт отправки сообщения от пользователя к пользователю, время и дата отправки, а также объем отправленных данных.

— На уровне заявлений большинство операторов мессенджеров не имеют доступа к содержимому сообщений при включении опции сквозного шифрования, которая, впрочем, у Android Messenger по умолчанию выключена, а в Telegram доступна только в «секретных» чатах, — напомнил Атош Оганесян. — Остальные данные, такие как ID устройств и IP-адрес, вполне официально им доступны. Кроме того, проприетарные мессенджеры производителей мобильных ОС, такие как iMessage, имеют доступ к геолокации.

Если мессенджер не использует сквозное шифрование (end-to-end encryption, E2EE), то владельцу мессенджера технически может быть доступна любая информация, которую юзер доверил приложению, за исключением разве что паролей, так как обычно они не хранятся в открытом виде, отметил Павел Супрунюк.

— Если же сквозное шифрование присутствует, то самыми типичными метаданными, к которым мессенджер получает доступ, являются адресные книги мобильных устройств, то есть номера телефонов и имена, — добавил эксперт.

Какой мессенджер самый безопасный

Пока эксперты не пришли к единому мнению, какой мессенджер мог бы однозначно претендовать на звание самого надежного и защищенного. Разные аналитики формируют рейтинги по-своему.

Так, согласно исследованию компании Artezio, наиболее безопасными средствами связи являются Signal, Wickr Me и Viber. Четвертую строчку в этом году занял Telegram, ранее обгонявший своего фиолетового коллегу — мессенджер Viber. Между тем эксперты высоко оценили Signal за качество протоколов шифрования, наличие двухфакторной идентификации и неготовность к раскрытию персональных данных.

В то же время специалист Google Project Zero Натали Сильванович во время исследования аудио- и видеосвязи обнаружила несколько уязвимостей в популярных мессенджерах. Например, в коде Signal присутствовала логическая ошибка, которая могла привести к ответу на входящий вызов, даже если вызываемый абонент не поднимал трубку. Не прошли тест на идеальность Google Duo и Facebook Messenger. Однако после обращения Сильванович все разработчики устранили названные ей ошибки. Аналитик не обнаружила проблем с видеозвонками в Telegram и Viber.

Компания Group-IB предложила свой рейтинг защищенных мессенджеров. Она рассмотрела Signal, Telegram и Wickr Me на соответствие трем критериям: архитектура, функциональность и открытость сообществу. Signal и Telegram, в отличие от Wickr Me, имеют открытый исходный код, что позволяет программистам со всего мира принимать участие в работе над ошибками. В то же время оба мессенджера демонстрируют недостатки при хранении чувствительной информации в локальном хранилище. Поэтому первое место ушло Wickr Me, второе — Telegram, далее — Signal. Последний уступил продукту Павла Дурова в категории «функциональность»: при отправке определенного формата файла на платформе Android мессенджер Signal дает сбой и «вылетает».

Формально в пользовательской среде наиболее защищенным считается всё же Signal, отметил Ашот Оганесян. Но с учетом его инкорпорации в США, нет никакой уверенности, что тот не станет расшифровывать трафик по требованию американских правоохранительных органов.

— Все мессенджеры одинаково небезопасны, и выбор пользователя лежит в основном в плоскости выбора оператора, который будет или не будет продавать его данные рекламодателям. Если вы не хотите этого, избегайте продуктов компании Facebook, — посоветовал собеседник.

Сергей Калинин, в свою очередь, предлагает обратить внимание на пока еще малоизвестные Wickr Me, Threema и Twinme:

— К примеру, у Wickr Me есть возможность, недоступная популярным мессенджерам: получатель сообщения не может сохранить текст — сообщение обязательно пропадет из памяти смартфона. Время уничтожения сообщения контролирует отправитель.

Мария Уткина добавляет к Wickr Me и Threema мессенджер Sessio, появившийся в 2020 году. Он не требует телефонный номер или email-адрес для регистрации. Вместо этого при создании аккаунта генерируется случайный уникальный ID, что повышает уровень конфиденциальности.

Утечка данных и мошенничество

По мнению Ашота Оганесяна, мошенничество в мессенджерах имеет относительно короткую историю и начало развиваться только с приходом туда большого числа технически и финансово неграмотных «обычных» пользователей. На подходы мошенников куда больше повлияло развитие маркетплейсов и карточных платежей, считает эксперт. Это позволило перейти от попрошайничества в долг, от имени взломанного аккаунта к рассылке фишинговых ссылок под видом оплаты покупки или продажи чего-либо.

А вот взламывать аккаунты становится всё сложнее.

— Мешают системы антифрода и двухфакторная аутентификация, плюс растет защищенность клиентской части мессенджеров, — разъяснил Павел Супрунюк. — Мошенникам приходится использовать всю социальную инженерию для развода пользователей на запуск вредоносных программ, которые и «уведут» аккаунт, либо применять схемы с «угоном» мобильных номеров через дубликаты SIM-карт.

По оценке экспертов Viber, основные угрозы безопасности в мессенджерах — это кража учетной записи или чтение злоумышленниками личной переписки пользователей. Как пояснили «Известиям», у незаконного доступа к подобной информации есть несколько разновидностей:

  • перехват и чтение данных на лету (так называемая атака посредника, или man in the middle attack) — например, перехват интернет-провайдером, системным администратором или другим пользователем той же сети;
  • кража переписки непосредственно с устройства;
  • взлом сервера и кража данных с него;
  • завладение учетными данными (credentials).

— Доступ к «кредам» можно получить, взломав устройство клиента, устроив фишинг-атаку или воспользовавшись нестареющим приемом — социальной инженерией. Согласно отчету американской компании Purplesec, 98% кибератак приходятся именно на социальную инженерию, когда пользователи под психологическим воздействием добровольно делятся конфиденциальной информацией, — подытожили в пресс-службе мессенджера.

Сравнение инструментов сканирования локальной сети

Когда я работал в нескольких государственных организациях кавычкодавом, овощем пентестером, суровые бородатые дяди в свитерах учили меня использовать только Nmap для сканирования сети. Сменив место работы, Добби стал свободен от предрассудков и решил выбрать сканер самостоятельно на основании псевдо-объективных данных сравнения реального функционала популярных сканеров, которые смог найти в сети самостоятельно, или, спросив у коллег, какой их любимый сканер. Собственно, о результатах внутреннего холливара сравнения сетевых сканеров и решил написать статью. Объективность не гарантирую, но постарался сделать колличественный анализ. Кому интересно, что из этого вышло, добро пожаловать под кат.

Старый и опытный волк безопасник предложил свой любимый и привычный консольный Nmap. Ещё один наш выходец из «госухи», combonik, говорил, что разницы нету, опенсорсный или вендорский, главное — веб-интерфейс для работы. Ещё наш погонщик менеджер сказал, что вендорские сканеры — самые лучшие, аргументируя свои слова тем, что такие сканеры имеют постоянную поддержку, удобный интерфейс для работы и постоянные обновления.

Дабы сгладить наши противоречия, было решено провести блиц-тестирование сетевых сканеров уязвимостей. Холивар среди пентестеров Hacken привел нас к новой задаче — проведению сравнительной характеристики по результатам сканирования. Для проведения сравнения эффективности сканирования было выбрано четыре сканера: Rapid7 Nexpose, Tenable Nessus, OpenVAS 9 и Nmap. Их выбрали на основании аналитики интернет-публикаций и личного опыта. Лично я делал ставку на Nessus, но увы, не угадал.

Rapid7 Nexpose – это сканер уязвимостей, который выполняет активное сканирование IT-инфраструктуры на наличие ошибочных конфигураций, дыр, вредоносных кодов, и предоставляет рекомендации по их устранению. Под анализ попадают все компоненты инфраструктуры, включая сети, операционные системы, базы данных и web-приложения. По результатам проверки Rapid7 Nexpose в режиме приоритетов классифицирует обнаруженные угрозы и генерирует отчеты по их устранению. [2]

Tenable Nessus Scanner – это сканер, предназначенный для оценки текущего состояния защищённости традиционной ИТ-инфраструктуры, мобильных и облачных сред, контейнеров и т.д. По результатам сканирования выдаёт отчёт о найденных уязвимостях. Рекомендуется использовать, как составную часть Nessus Security Center. [3]

OpenVAS — это сканер уязвимостей с открытым исходным кодом. OpenVAS предназначен для активного мониторинга узлов вычислительной сети на предмет наличия проблем, связанных с безопасностью, оценки серьезности этих проблем и для контроля их устранения. Активный мониторинг означает, что OpenVAS выполняет какие-то действия с узлом сети: сканирует открытые порты, посылает специальным образом сформированные пакеты для имитации атаки или даже авторизуется на узле, получает доступ к консоли управления, и выполняет на нем команды. Затем OpenVAS анализирует собранные данные и делает выводы о наличии каких-либо проблем с безопасностью. Эти проблемы, в большинстве случаев касаются установленного на узле необновленного ПО, в котором имеются известные и описанные уязвимости, или же небезопасно настроенного ПО. [1,6]

Nmap — свободная утилита, предназначенная для разнообразного настраиваемого сканирования IP-сетей с любым количеством объектов, определения состояния объектов сканируемой сети (портов и соответствующих им служб). Изначально программа была реализована для систем UNIX, но сейчас доступны версии для множества операционных систем.[4,5]

Тестовая среда

Для проведения тестирования я собрал тестовую сеть на VMware Workstation 12 Pro в схему, которая представлена на рис. 1.

Рис. 1. Схема сети

  • Windows 7 со всеми установленными обновлениями, запущенным приложением XAMPP, развёрнутыми сервисами MySQL и Apache. Также развёрнута тестовая система DVWA.
  • Metasploitable 2 – операционная система с предустановленными уязвимыми сервисами и приложениями, которая используется для тестирования.
  • Ubuntu 16.04 c установленным IDS Suricata [10] и сконфигурированным iptables [9].
  • Kali Linux — дистрибутив Linux, который используется для тестирования на проникновения.
  • Перечень уязвимых сервисов в Metasploitable 2 приведены в таблице 1.

Таблица 1

ServicePortStatus
Vsftpd 2..four21Open
OpenSSH four.7p1 Debian 8ubuntu 1 (protocol 2.zero)22Open
Linux telnetd service23Open
Postfix smtpd25Open
ISC BIND 9.four.253Open
Apache httpd 2.2.eight Ubuntu DAV/280Open
A RPCbind service111Open
Samba smbd .X139, 445Open
r companies512, 513, 514Open
GNU Classpath grmiregistry1099Open
Metasploitable root shell1524Open
A NFS service2048Open
ProFTPD 1..12121Open
MySQL 5.zero.51a-3ubuntu53306Open
PostgreSQL DB eight..zero — eight..75432Open
VNC protocol v1.5900Open
X11 service6000Open
Unreal ircd6667Open
Apache Jserv protocol 1.8009Open
Apache Tomcat/Coyote JSP engine 1.18180Open

На практике, когда проводится сканирование внутренних сетей на межсетевом экране и IPS, создаются правила, исключающие блокировку сканирования. Поэтому Suricata использовалась в режиме детектирования, и были написаны разрешающие правила на межсетевом экране.

Nessus Scanner запускался в режиме «Basic Network Scanning». [3]
Rapid 7 Nexpose запускался в режиме «Full audit without Web Spider». [2]
OpenVAS 9 запускался в режиме «default». [1,6]
Nmap запускался двумя командами: [4,5]

  • nmap -sV -T4 -O -F —version-light 192.168.234.130-131
  • nmap -Pn —script vuln 192.168.234.130-131

Результаты тестирования

Nexpose обнаружил 527 уязвимости (см. Диаграмма 1), из них:
Репорт

167 – получили статус “critical” — уязвимости необходимо закрывать в первую очередь.
349 – получили статус “severe” — уязвимости сложны в эксплуатации, но могут привести к тяжёлым последствиям.
46 – получили статус “moderate” — найденные уязвимости могут предоставить атакующему информацию о системе, которую он может применить при проведении атаки.

Найдены уязвимости не только тестированных систем, но и потенциальные уязвимости в системе виртуализации.

Tenable Nessus обнаружил 168 уязвимостей (см. Диаграмма 2), из них:
Репорт

3 – получили статус “critical”
9 – получили статус “high”
33 – получили статус “medium”
5 – получили статус “low”
118 получили статус “info”

Уязвимости уровня “critical” и “high” необходимо закрывать в первую очередь.
Уязвимости уровня “medium” — сложны в эксплуатации, но при должной проработке могут нанести ущерб.
Уязвимости уровня “low” и “info” — могут предоставить атакующему информацию о системе, которую он может применить при проведении атаки через другие векторы.

OpenVAS 9 обнаружил 53 уязвимости (см. Диаграмма 3), из них:
Репорт
Результаты срабатывания IDS

16 – получили статус “high”
33 – получили статус “medium”
4 – получили статус “low”

Уязвимости уровня “high” необходимо закрывать в первую очередь.
Уязвимости уровня “medium” — сложны в эксплуатации, но при должной проработке могут нанести ущерб.
Уязвимости уровня “low” могут предоставить атакующему информацию о системе, которую он может применить при проведении атаки через другие векторы.

Отдельно следует отметить полученные результаты с помощью сканера Nmap. Сканирование проводилось двумя командами, которые описывались выше. Результатом выполнения стал вывод информации об операционной системе, открытых сервисах и найденные возможные уязвимые сервисы и ссылки.

Использование скрипта “vuln” определило следующие типы уязвимостей:

  • открытый telnet
  • http-csrf
  • http-enum
  • http-sql-injection
  • http-vuln-cve2017-1001000
  • rmi-vuln-classloader
  • mysql-vuln-cve2012-2122
  • ssl-ccs-injection
  • ssl-dh-params
  • ssl-poodle
  • irc-botnet-channels
  • http-cookie-flags

Выводы

Для формирования выводов я применил количественный метод оценки по суммарному количеству найденных уязвимостей. В результате выяснилось, что наибольшую глубину сканирования проводит Nexpose. Довольно слабо отработал Nessus, так как в режиме сканирования сети выдал много служебных данных о системах и сервисах, которые только дают информацию для аналитики. С очень слабой стороны показал себя сканнер OpenVAS 9 с последними обновлениями. Отдельного слова требует Nmap – очень хороший инструмент для проведения аналитического тестирования с возможностью расширения с помощью NSE-скриптов.

Во время тестирования IDS Suricata обнаружила сканнеры NMap и OpenVAS.

Данное тестирование не является каноничным, как например, тесты Gartner или NSS Labs. Но не смотря на это, думаю, статья будет актуальна для специалистов в сфере администрирования систем и технического аудита.

P.S. А для чего это всё делалось?

Необходимо было принять на вооружение выбрать сканер для компании Hacken. Кроме того, проведение сканирования внутренней сети регламентировано стандартами управления информационной безопасности в коммерчиских организациях, банковской, энергетической и прочих сферах деятельности. Сканирование сети необходимо проводить не только для получения сертификации для организации, но и для управления уязвимостями в информационно-телекоммуникационной системе, контроля обновления операционных систем и другие не менее важные задачи по управлению информационной безопасностью. [8, 11]

Уязвимости и решения в системе безопасности React.js

Давайте посмотрим на наиболее распространенные уязвимости React.js и рекомендации по их предотвращению.

Опасные схемы URL

Ссылки на другие ресурсы становятся опасными, когда хакеры добавляют к URL-адресам вредоносный код, который начинается с JavaScript. Когда пользователь нажимает на ссылку, он активирует скрипт в браузере. Безопасность приложения React.js не предотвращает использование ссылок без протоколов «HTTP:» или «HTTPS:» и не имеет функций для предотвращения потенциальных угроз.

Чтобы избежать использования JavaScript в своих ссылках, веб-разработчики могут:

  • сделать ссылки начинающимися с протокола белого списка и отображать HTML-объекты в браузере;
  • исключить ввод URL от пользователей, например, использовать идентификатор видео YouTube вместо ссылки;
  • реализовать сторонние инструменты для очистки всех входных ссылок.

Сломанная аутентификация

Небезопасное соединение между веб-клиентом и сервером приводит к нарушению аутентификации и авторизации пользователей. Хакеры могут вмешиваться в процессы аутентификации и авторизации и испортить данные учетной записи пользователя, пароли, токены сеанса и другие объекты.

К наиболее распространенным факторам риска безопасности React.js, связанным со сломанной аутентификацией, относятся:

  • отображение идентификаторов сеансов в URL-адресе;
  • простые или легко предсказуемые учетные данные для входа;
  • идентификаторы сессий и пароли, передаваемые с незашифрованными соединениями;
  • атаки фиксации сеанса;
  • сеансы, которые не становятся недействительными после выхода пользователя из системы, и другие.

Чтобы защитить протоколы базовой аутентификации HTTP, веб-разработчикам необходимо:

  • определить, есть ли у заголовка «WWW» домена реальный атрибут, который помогает избежать несоответствия в идентификаторах пользователей и их паролях;
  • используйте правильные методы аутентификации, например, убедитесь, что веб-приложение отвечает страницей с ошибкой статуса 401 в случае неудачной аутентификации;
  • реализовать многофакторную аутентификацию;
  • внедрить облачную аутентификацию, например, Google Cloud Identity Platform или Azure Active Directory;
  • реализовать проверку паролей на сильные и слабые стороны.

Рендеринг на стороне сервера

Многие веб-приложения используют рендеринг на стороне сервера при отображении своих веб-страниц и контента для пользователей. Серверный рендеринг имеет много преимуществ. Это улучшает производительность приложений, ускоряет загрузку веб-страниц и обеспечивает стабильную работу SEO. Тем не менее, этот тип рендеринга страницы может вызвать некоторые проблемы с безопасностью.

При рендеринге начального состояния веб-страницы с помощью Redux веб-разработчики могут сгенерировать переменную документа из строки JSON, которая выглядит следующим образом:

JSON.stringify () может быть рискованным методом, поскольку он преобразует любые данные в строку и отображает ее на веб-странице. В результате злоумышленники могут вставить вредоносный код в строку JSON и в конечном итоге получить контроль над веб-приложением или его данными.

Чтобы устранить эту уязвимость, веб-разработчикам необходимо:

  • часто выполняйте обзоры кода и проверяйте данные, которые появляются в JSON.stringify ();
  • используйте модуль NPM сериализации-JavaScript, чтобы избежать рендеринга JSON.

SQL-инъекции

Этот тип атаки направлен на базы данных приложения. Злоумышленники внедряют вредоносный код SQL в базу данных и получают доступ к хранимой информации. Получив учетные данные администратора, они могут редактировать, удалять или создавать новые записи.

Существуют различные типы SQL-инъекций, такие как на основе ошибок, на основе времени и на основе логических ошибок, и приложения React уязвимы для всех из них. Таким образом, чтобы свести к минимуму количество SQL-атак, веб-разработчики могут:

  • реализовать белые списки для фильтрации всех видов входных данных;
  • применять принцип наименьших привилегий ко всем учетным записям, когда веб-приложение может использовать только один оператор (SELECT, UPDATE, INSERT или DELETE) для определенных операций;
  • назначать роли базы данных разным учетным записям;
  • использовать сканеры уязвимостей;
  • проверять все функции API в соответствии с их схемами API.

Застежка-молния

Уязвимость Zip Slip возникает, когда пользователи приложения отправляют zip-файлы уменьшенного размера в приложения React.js. Когда веб-приложение распаковывает такие файлы, оно восстанавливает их до исходного размера. Некоторые из этих файлов могут содержать хакерские коды, которые предоставляют злоумышленникам доступ к системе.

Злоумышленники могут использовать эту уязвимость React.js и перезаписать файлы, отвечающие за конфигурации приложений и хранение информации. С помощью Zip Slip они могут проникнуть в систему приложения на клиентском или серверном уровнях.

Чтобы исключить возможность хакерской атаки Zip Slip, веб-разработчики могут:

  • убедитесь, что все файлы в их веб-приложении имеют стандартные имена и не содержат специальных символов;
  • генерировать новые имена для zip-файлов, загруженных в систему.

Межсайтовый скриптинг

Межсайтовый скриптинг (XSS) — серьезная уязвимость, которая появляется, когда злоумышленникам удается обманом заставить веб-приложение запустить код JavaScript. Его можно разделить на две формы:

  • Отраженный межсайтовый скриптинг

Это происходит, когда веб-приложение получает вредоносный код JavaScript из надежного источника в виде HTTP-запроса. И этот код обрабатывается браузером приложения.

В результате вредоносный сценарий получает доступ к файлам cookie

В результате вредоносный сценарий получает доступ к файлам cookie, токенам сеанса или другим конфиденциальным данным из браузера. Эти сценарии также могут переписывать содержимое HTML-страницы или выполнять нежелательные действия, которые может выполнить пользователь.

  • Сохраненные межсайтовые сценарии

Сохраненный XSS поступает из ненадежного источника. Веб-приложение хранит вредоносный контент на сервере или в базе данных для последующего использования. Когда пользователь запрашивает сохраненные данные, скрипт начинает работать на стороне сервера, генерируя данные и отправляя их пользователю.

голоса
Рейтинг статьи
Читать еще:  Что такое облачный сервис хранения данных, как он используется
Ссылка на основную публикацию
ВсеИнструменты
Adblock
detector