Etikus hacker szemmel.

A legkisebb jogosultság elve kulcskérdés a vállalati biztonságban A kibertámadások jelentős része egy olyan jogosultság megszerzésével kezdődik, amelyet valaki évekkel ezelőtt megkapott, és azóta senki sem vizsgált …

Dangling CNAME rekordok: rejtett DNS-biztonsági kockázatok vállalatok számára A modern webes infrastruktúrák egyik kevésbé ismert, mégis komoly biztonsági kockázata a „dangling CNAME” rekordok jelenléte. Bár elsőre …

Tény: a legdrágább biztonsági megoldásokat is ki lehet játszani egy jól megírt e-maillel. Szeretnénk azt mondani, hogy ez költői túlzás, de sajnos nem az…

Mikor érdemes penetrációs tesztelést rendelni? Sok vállalat még mindig úgy tekint a penetrációs tesztelésre, mint kötelező adminisztratív elemre, ami kell az ISO, az audit vagy a tender miatt. Csakhogy a pentesztelés nem …

Host header injection penteszter szemmel: kockázatok, támadási utak és védekezés A Host header injection nem új sérülékenység: rendszeresen visszatérő probléma, negy gyakran jár kritikus hatással. Nem véletlenül, hiszen …

Pentest-szolgáltatás kiválasztása: Mi alapján döntsünk egy etikus hacker cég mellett? A pentest a vállalatok életében gyakran formális követelményként jelenik meg. Azaz elkészül a riport, lezárul a projekt, és a …

Adatvédelmi kisokos munkavállalóknak egy senior pentestertől Van egy kényelmetlen igazság, amit a legtöbb szervezet nem szeret hangsúlyozni: a sikeres támadások jelentős része nem technológiai hibán, hanem emberi …

HTTP header és webalkalmazás-biztonság: az alulértékelt védelmi réteg A webalkalmazás-biztonságról szóló beszélgetések jellemzően a backend logikára, autentikációra, WAF-ra vagy éppen a sérülékenységvizsgálatokra …

Munkamenet-rögzítés: egy alábecsült támadás A munkamenet-rögzítés – vagy session fixation – ritkán kerül a fókuszba úgy, mint az XSS vagy az SQL injection. Ennek oka egyszerű: kevésbé látványos, nehezebben érthető, és …

Mit csinál egy etikus hacker – és miért üzleti kérdés ez valójában? Spoiler: az etikus hacker – polgári nevén pentester – nem fekete hoodie-ban ül egy sötét alagsorban. Akkor sem, ha a hollywoodi hackermítosz ezt a képet …

Clickjacking: Amikor a kattintás nem azt jelenti, amit gondolunk A webbiztonság világában sok támadás bonyolult exploitokra, sérülékeny kódra vagy rosszul konfigurált rendszerekre épül, a clickjacking azonban egészen más …

Beszéljünk a jelszópolitikáról! – Mitől jó egy jelszó felhasználói és vállalati szemmel? A jelszó digitális életünk kapuja. Banki alkalmazások, céges rendszerek, közösségi oldalak: szinte minden hozzáférésünk egy …

Egy húszéves hacker talált egy biztonsági rést a spanyol luxusszállodák online foglalási rendszerében, így mindössze egy euro centért tudott szobákat és apartmanokat foglalni. A legnagyobb egyszeri kár 4 000, az …

Mik azok a cookie-k és mire valók? Gyakran egy rosszul konfigurált cookie az, amely csendben megnyitja az utat a session-átvételhez egy weboldalon. Pedig az XSS elleni védelem és a CSRF védelem nem komplex architektúrán, …

Portszkennelés (port scan): Miért kopogtassunk be minden ajtón? Lehet, hogy azt gondolod, hogy a portszkennelés nem igényel több szaktudást, mint a vízóra-leolvasás. Pedig a rendszeres port scan a digitális higiénia …

A támadás előtti csend: a passzív OSINT reconnaissance szerepe a pentestekben Egyetlen domain, néhány ügyes hacker és a passzív OSINT reconnaissance alkalmas arra, hogy támadók később kiberbiztonsági problémákat …

Az Adatvédelem Nemzetközi Napja minden év január 28-a, mivel az Európa Tanács e napon fogadta el a 108. Adatvédelmi Egyezményt. Az emléknap célja, hogy a személyes adatok védelme és az adatbiztonság beépüljön a …

Az admin felület saját dolgozóinknak szóló adminisztrációs felület, ahol kezelhetik az ügyfelek rendeléseit/anyagait. Kell vizsgálni a biztonságosságát?…

Az OWASP zászlóshajója az OWASP Top Ten projekt, amiben a webalkalmazásokat érintő legkritikusabb 10 problémára mutatnak rá…

A webalkalmazás vizsgálat lehetőséget teremt arra, hogy az oldal tulajdonosa képet kapjon az alkalmazást érintő fenyegetések nagyságáról. Kell ez nekem?…

A grey box vizsgálatok célja, hogy átfogó, a rendszer részleges ismeretén alapuló képet kaphassunk az egyes elemeket érintő biztonsági kockázatokról…

Red team, blue team, purple team… mit jelentenek ezek a kifejezések egy biztonsági vizsgálatban? Mit csinál a red team? Mikor kell bevetni?…

Mikor és miért van szükség a biztonsági szempontú kódelemzés igénybevételére? Tényleg ennyire fontos? Megválaszoljuk a kérdéseket!…

Egy betörés a cég hálózatába akár teljes adatszivárgáshoz is vezethet. Az adatok a helyükön, mégis óriási a veszteség. Mit tehetünk, hogy megelőzzük?…

A black box megközelítésű külső vizsgálat felderíti azokat a gyenge pontokat, amiken keresztül hálózatunk feltörhetővé válik. Fontos a rendszeres vizsgálat!…

Egy vállalat életében a zsarolóvírus fertőzés katasztrofális következményekkel járhat, hiszen az adatvesztésen túl súlyos anyagi veszteséggel is járhat. Ki lehet védeni!…

Az otthoni munkavégzés rávilágíthat az alkalmazásokban és a munkafolyamatokban rejlő hiányosságokra. Ellenőrizni kell a jogosultság kezelés helyes módját!…

Ha a dolgozók WiFi kapcsolatot akarnak, komolyan is gondolják. Ha hiányzik a WiFi, a rendszergazdák elől eltitkolva, otthonról hozott eszközökkel barkácsolnak egyet. A céges hálózatot megnyitják mobil eszközeiknek és …

Mi történik, ha holnap itt az átadás határideje, de kiderül, hogy az alapvető biztonsági szabályokat sem tartották be a fejlesztők? Ráadásul a hardver eszközök könnyen kihasználható, jól dokumentált biztonsági réseket …

Az igazság az, hogy egy jól képzett hacker nehezen észrevehető nyomokat hagy csak. A veszélyes támadók ki-be járkálhatnak céges hálózatunkba tudtunk nélkül, átállítva szolgáltatásainkat és védelmi eszközeinket. Hónapokat …