search

OS-IS / ai201-shumejko

0 stars 0 forks source link

CW8 #21

Closed caramel2312 closed 1 day ago

caramel2312 commented 2 days ago

Завдання 1. Варіант для 1 завдання — 2.

Запитання No 1.1 (1 бал). Опишіть ПЗ або програмну бібліотеку, в яких знайдено вразливість

Назва ПЗ або програмної бібліотеки: vRealize Network Insight (vRNI)

URL-посилання в інтернеті: https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/23649

Призначення ПЗ: vRealize Network Insight (vRNI) — це програмне забезпечення від VMware, призначене для моніторингу, аналізу та оптимізації мережевої інфраструктури в дата-центрах і хмарних середовищах. Основні функції:

Приклади споживачів:

Корпоративний сектор

  1. Підприємства зі складною IT-інфраструктурою:
    • Великі компанії, що використовують приватні, публічні або гібридні хмарні середовища. Наприклад, фінансові установи, медичні організації, рітейлери.
  2. Провайдери хмарних послуг (CSPs):
    • Постачальники хмарних рішень, що надають клієнтам послуги IaaS, PaaS, SaaS.
  3. Виробничі компанії:
    • Організації, що використовують IoT та розподілені мережі для автоматизації та управління.

Індустрія IT та DevOps

  1. Мережеві інженери та архітектори:
    • Інженери, відповідальні за побудову й оптимізацію мереж.
  2. DevOps-команди:
    • Фахівці, які займаються CI/CD процесами та масштабуванням додатків у хмарі.

Організації з високими вимогами до безпеки

  1. Державні установи:
    • Органи, що обслуговують державні інформаційні системи й забезпечують їх безперебійну роботу.
  2. Телекомунікаційні компанії:
    • Оператори, що підтримують глобальні мережі передачі даних.

Запитання No 1.2 (1 бал). Опишіть знайдену вразливість, переклавши на українську мову розділ Description.

vRealize Network Insight (vRNI) містить вразливість типу впровадження команд (command injection), яка присутня в REST API цього програмного забезпечення. Зловмисник, який має мережевий доступ до REST API vRNI, може виконувати команди без необхідності автентифікації.

Запитання No 1.3 (1 бал). Наведіть фрагменти прикладів вразливого програмного коду, розглянувши розділ References to Advisories, Solutions, and Tools.

На основі наданої інформації з посилань розділу References to Advisories, Solutions, and Tools, конкретні приклади вразливого коду для вразливостей CVE-2022-31702 і CVE-2022-31703 у vRealize Network Insight (vRNI) у відкритих джерелах не надаються.

caramel2312 commented 2 days ago

Завдання 2. Варіант для 2 завдання — 29 . Погроза автентифікації — Passwords written on paper are disclosed.

Запитання No 2.1 (1 бал). Опишіть погрозу автентифікації у вигляді історії взаємовідносин між зловмисником та користувачем.

Робітник компанії обирає пароль для входу до корпоративної мережі. Щоб не забути його, він записує його на папері та кладе в шухляду свого столу. Зловмисник бачить записку з паролем під час спільної роботи в офісі. Він запам’ятовує пароль і потім використовує його для отримання доступу до облікового запису робітника. Зловмисник отримує доступ до конфіденційної інформації компанії, завантажує секретні дані, змінює файли, а також розсилає корпоративну інформацію третім сторонам. Таким чином, паролі, записані на папері, є слабким місцем у безпеці автентифікації. Робітник мав би використовувати захищений менеджер паролів або запам’ятати пароль, уникаючи його фізичного запису.

Запитання No 2.2 (1 бал). Надайте рекомендації щодо зниження ймовірності виникнення погрози автентифікації.

  1. Уникнення використання паролів на папері:

    • Заборонити записувати паролі на папері чи інших фізичних носіях, які можуть бути легко втрачені або викрадені.
    • Заохочувати використання менеджерів паролів для зберігання автентифікаторів у зашифрованій формі.

  2. Впровадження багатофакторної автентифікації (MFA):

  1. Захист середовища автентифікації:

    • Забезпечити фізичний захист робочих місць, щоб сторонні особи не могли отримати доступ до чутливої інформації.
    • Використовувати технічні засоби захисту для автентифікації (наприклад, PIN-коди для захисту апаратних автентифікаторів).

  2. Політика створення паролів:

    • Вимагати використання довгих і складних паролів, які важко вгадати або підробити.
    • Регулярно нагадувати користувачам змінювати паролі й уникати повторного використання старих.

  3. Моніторинг і реакція:

    • Впровадити механізми для моніторингу компрометації автентифікаторів (наприклад, перевірка паролів на компрометацію у відомих витоках даних).
    • Негайно блокувати підозрілі автентифікатори та надавати можливість користувачам відновлювати доступ через резервні методи.

  4. Використання криптографічних автентифікаторів:

    • Віддати перевагу апаратним криптографічним пристроям, які забезпечують захист ключів, що не можуть бути експортовані.

  5. Фізичний захист автентифікаторів:

    • Використовувати механізми фізичної безпеки для запобігання доступу до паролів і пристроїв (наприклад, сейфи чи замкнені ящики).

  6. Навчання користувачів:

    • Проводити регулярні тренінги, щоб пояснити користувачам ризики, пов’язані з записуванням паролів на папері.
    • Надавати чіткі інструкції щодо дій у разі підозри на компрометацію автентифікатора.
caramel2312 commented 2 days ago

Завдання 3.

За адресою https://www.researchgate.net/ існує науковий портал та соціальна мережа ResearchGate як засіб співробітництва між науковцями з будь-яких наукових дисциплін. На порталі необхідно виконати пошук наукових публікацій, пов’язаних з темою лабораторної роботи No 9, наприклад, за такими ключовими словами: «Broken Authentication», «Digital Identity», «Multi-Factor Authentication», «Identification and Authentication Failures». Після узгодження з викладачем обраної публікацію, яка доступна для завантаження, перекладіть українською узгоджений з викладачем розділ.

Наукові публікації за ключовими словами «Broken Authentication»:

https://www.researchgate.net/publication/344851347_Broken_Authentication_and_Session_Management_Vulnerability

https://www.researchgate.net/publication/382520973_Broken_Authentication_and_Its_Significance_in_Protecting_Online_Applications_An_Overview_Paper

oleksandrblazhko commented 1 day ago

7