こんにちは。 通常、私は開発者として記事を書きますが、今日はモスクワ工科大学で情報セキュリティ試験を実施した経験を共有したいと思います。 私の意見では、それはかなり興味深いことが判明しました。 このタスクは、初心者のテスターやペンテスターに​​も役立ちます。 しかし、最初に、学期中にクラスがどのように開催されたかについて少しお話します。そうすれば、私たちがそのような人生をどのようにして達成したかが明確になりました。

準備する

講義

学期中、私は各グループに週に2組のクラスがありましたが、この時点で、視野を広げるためにできるだけ多くの情報を突き出そうとしました。 講義で彼はさまざまなことを語った。

• モノのインターネットの危険性について。
• ポケモンファンとのナイアンティックの戦いの物語。
• バグ報奨金プログラムの本質。
• PornHubで見つかった脆弱性の例;
• モバイルアプリケーションからの攻撃を防御するのがなぜ難しいのですか。
• なぜトールはこんなに優れていて、なぜ彼は救えないのか。
• 銀行部門の詐欺に関するストーリー。

その他。 実際、学生は受け取った情報の4分の3を忘れており、残りの4分の1は卒業する頃には無関係になっていることをよく理解しています。



したがって、私にとって最も重要なことは、生徒に次のことを伝えることでした。

• 現在、ほぼすべてのケトルがハッカーによって攻撃される可能性があります。
• あなたは誰も、何も信頼することはできません。 ユーザーも、ハードウェアも、ソフトウェアもありません。
• 優れた開発者、優秀なハッカー、セキュリティスペシャリストは、共存せざるを得ない3つの特性です。
• 現在の計算能力により、ひどいことをすることができます。
• 破壊-建物ではありません。 これは興味深いと同時に必要です。
• ダークサイドは魅力的です。 ただし、ライトクッキーよりもはるかに少ないCookieがありますが、ジェダイから完全に取得できます。

ワークショップ

セミナーの時間が私が望んでいるよりも著しく短いことを考慮して（はい、少なくとも数年間このテーマを取り上げる準備ができています-トピックは非常に深いです）、学生が最も適用される方法で従事するいくつかの詳細を選択する必要がありましたハッキングのアイデアは、美しい緑色の線が描かれた映画とは多少異なっていました。 同時に、防衛オプションではなく、可能な限り攻撃方法を検討したかったのです。 Webアプリケーションへの攻撃を検討することは、私にとって最も興味深いように思えました。 これらは視覚的で効果的であり、そこで使用される多くの原則は、モバイルアプリケーションやデスクトップアプリケーションにも適用できます。 学生は前学期にPHPを学んだので、PHPのこれらの脆弱性を調査しました。ただし、他の開発言語でもほとんどすべてが同じであるという条件があります。



一般に、実験室のものは次の通りでした：

• SQLインジェクション。 おそらく誰かが私に古いおならを呼んで、すべての現代の言語はもはや自分で足で撃つことを許可しないと教えてくれるでしょう...しかし、練習はこれがそうではないことを示しています。 レガシーコードと曲がった怠け者の手は驚異的に機能します。
• XSS;
• 悪意のあるファイルをダウンロードします。
• クリックジャッキング
• HTTPリクエストの生成。 学生がHTTPの仕組みをあまりよく理解していないことがわかったときに、このラボを追加しました。 次回はこの研究室が最初になります。
• 自動テスト
• 暗号化 私は暗号を完全に最小限に抑えようとしました（非常に重要な科学と主題であり、別の学期を要することもありますが、時間も時間もかかります）。 ただし、少なくともハッシュと暗号化およびデジタル署名との違い、およびmd5を使用できる場所と使用できない場所を知る必要があります。
• Kali Linuxツールを使用したDVWA（Damn Vulnerable Web Application）のテスト。 面白いことに、テストプロセス中にPHP 7との非互換性が見つかりました。その後、学生ディストリビューションですぐに修正し、プルリクエストをメインリポジトリに送信しました。 プル要求はすぐに受け入れられました。

ラボの完全なタスクはここで表示できます-githubページのレイアウトはすばやく便利で、タスクで見つかったジャムをすばやく修正できます。 学生はF5を押しました-そして今、彼は課題の新しいバージョンを持っています！ 特に有害な読者の場合-私はすぐにウィキペディアのコピーがある場所にあることを認めます。 リンクを与えることは可能ですが、 このような美しいものはしばしばそこに出くわします。 そのため、手で材料を書き換える必要があります。 そして、定期的に学生がインターネット上であらゆる種類の重要なソリューションを見つけました...

試験

特別な脆弱なWebアプリケーションが試験用に準備されました（投稿の最後にリンクがあります）。 最初は、マシン自体に追加の脆弱性（古いソフトウェア、単純なパスワードを使用してサービスポートを開くなど）を追加することを望んでいましたが、これでは十分な時間ではないと判断しました。したがって、アプリケーション自体を壊しただけです。

私たちが実験室で経験したことがまさにあったので、私は再び脆弱性をリストしません。 事前に警告します-質の悪いコードがあります！ それのトン！ それがポイントでした。



学生を評価するための面白いアルゴリズムを思いつきました。 試験では、バグ報奨金の形式が使用されたため、各脆弱性には一定の報酬がかかりました。 すべてが大人の現実世界のようです。 そして、試験を購入しなければなりませんでした...優秀なマークの費用は$ 20,000、満足できる12,000です。 現金化できます。



誰かが興味を持っている場合、仮想マシン自体がvagrant + virtualboxに引き上げられ、OSとしてCentOS 7があり、nginx + mariadb + php-fpmといくつかの拡張機能がソフトウェアからインストールされました。 また、試験では、準備したKali Linux 2016.2の標準イメージを使用できます。これは、実験室で使用したものと同様です。



試験は5時間続きました（WorldSkills形式を練習します）。 驚くことなく、すべてが機能し、すべてが（必要な）壊れ、ペアで行ったすべての学生が合格しました。 誰が行かなかった-悲しいかな。 私の意見では、そうであるはずです。

エラー処理

試験後、私はここでそのような匿名のアンケートを撮影しました-Googleのフォームは、フィードバックをすばやく収集するために神聖なものです。 興味のある方はクリックしてください-学生アンケートの結果を自分にエクスポートし、フォームを開いたままにします（現時点では、Habréの160人がすでに記入済みです）。 13人の回答が得られてうれしかったです。30人の生徒の総数と記入する義務がないため、これは素晴らしい結果です。 私はまた、男たちがこのコースを気に入ってくれたことに非常に満足しており、レビューはほとんど肯定的でした。 ここで自分を賞賛する意味はありませんので、批判について説明しましょう（著者のスペルは保存されます）。

講義でのラボに関する情報はほとんどありません。

はい、そのようなことがあります。 私は講義ですべての興味深いことを最大限に伝え、セミナーで実験室の仕事に従事したかったのです。 しかし、明らかに、彼らは講義に時間を割く必要もあります。

講義の学期中、ほとんど時間は割り当てられませんでした。

はい、1週間に2、3回講義を受けました。 もっと多くのことを伝えることができるのを見たのは良いことです。 それでは-多分私たちは政務で再び会うでしょう。

最初の講義でのプロジェクターの欠如。

はい、すぐにプロジェクターで観客を獲得できませんでした。 彼といっそうはっきりと出てきます。

KaliとLInuxは全体として、より詳細に人々に示されるべきです。

はい、ここでの問題は、以前にLinuxコースがなかったことです。 コースの順序を調整する必要があります。

こんなに早く講義に参加するのは大変でした。

私も:)

改善として、（a）コースにインタラクティブなディレクティブを追加することをお勧めします。 たとえば、電撃投票、講義テスト（google kahoot）。 これにより、生徒の関与が高まり、誰がどこで泳いでいるかを理解できるようになります。

素晴らしいアイデア。 次回はそれをします。

YouTubeビデオ

はい、視覚資料に問題がありました。 さらに、ロシア語のビデオでは、問題は一般に深刻です。 彼はそこにいませんが、そこにあるものは非常に怪物です...そして、辞書は私のものよりもはるかに悪く、そして著者が間違いを犯した後、彼はそれを検索して10分以内にロールバックする状況がしばしばあります...そしてバックグラウンドで、ウラジミールスキーは演じます中央」とドミノがノックしています。 一般的に、それを見るには非常に強い神経が必要です。 また、ビデオをゼロから作成することは非常に面倒です。 ですから、結果として、Positive Technologiesのビデオ資料を使用しました（これらの人たちは本当に大好きです！）か、英語のビデオを入れて吹き替えました。 次回は、自分で録音するか、少なくとも自分の声の演技を課す必要があります。 しかし、私の辞書は足が不自由なので、このために人を探す必要があります。 一般に、タスクは難しいですが、持ち上げます。

口頭での欠点のあるスピーチを聞くことは困難であり、2番目の机を越えて、より大きな声で話すことは価値があります。

はい、あります。 これに気づいたのは1人の学生だけです（まあ、または残りの1人だけが過度に丁寧です）。 私は自分自身を修正し、マイクを使用して音を増幅しようとします。 連続して2つか3つのペアで大声で話すのは喉だけでは不十分です。

当てはまらない理論。これは数か月で忘れられます。

悲しいかな、理論全体で。 しかし、私は彼らが主な考えを覚えていることを願っています（上記参照）。 まあ、そうしたことを続けてやると、メモリ内にそのようなことが起こります。

コースで特に役に立たなかった文書。

ここで、明らかに、それは試験にとって特に有用ではないことを意味していました。 残念ながら、理論を試験に入れることはできませんでした。 コースをより良くリンクする方法について考えます。

人々は思いついて尋ねることを恐れています（問題はグローバルであり、明らかに長年にわたって解決できないと思われます）、どういうわけか彼らへのアプローチを考え出す必要があります。そうすれば、学生自身が来て、彼らがまったく理解しない場合、それを行う方法に興味があります。 何も提供しません。どうにか考え直さなければなりません。

はい、問題があり、それは非常に深刻です。 私がマイクロエレクトロニクスプロジェクトを監督している最初のコースは、さらに悪いです。 男たちはただ尋ねる方法を知らない（性別による興味深い区分があるが、少女は質問をする可能性が高い）。 テストや投票など、多くのフィードバックを修正しようとします。 みんなに質問するよう説得するのはめちゃくちゃ難しい。



また、多くの学生は、試験のためにより多くの時間を持ちたいと述べました。 私は考えなければなりません。 私見、6〜8時間頭を使って作業するのはほとんど非現実的です。4〜5時間の時間をより良く満たすためには、試験プログラムを短縮する必要があるかもしれません。 または実際に休憩します。



彼らはまた、脆弱性を評価するための不完全なシステムがあると書きました。小さな脆弱性には小さな報酬があり、大きな脆弱性には望みの報酬の3分の1をすぐに受け取ることができました。 一方で、私は大きな脆弱性について考えました-それらを見つける人はほとんどいませんが、もしそうなら、それは完全に報われるでしょう。 一方で、より小さな脆弱性が明らかに必要でした。 やるべきことがあります。

まとめ

コースを完成させるための作業はまだたくさんありますが、一般的には満足しています。 良いニュースは、スケルトンが存在することです。これにより、よりおいしい「肉」を簡単に作成できます。 そして、最初のパンケーキがゴツゴツしていないのは良いことです。 そして、もっと、もっと面白くて、もっとおいしくなります！



Habrの聴衆からのフィードバックを歓迎します。 今、あなたはロシアの教育の未来に影響を与えることができ、どの志願者が数年後にあなたに来るでしょう。



PS今、私のチームで優秀なQAエンジニアを探しています。 私はこの申請に関する報告書で履歴書を受け入れます;）



PS2。 あなたと一緒にいくつかのコースを読むように私を招待することができます。 しかし、それは社会的に有用で、面白く、またはお金のためでなければなりません（もちろん、3つすべて）。 そして、あらゆる種類の素敵な企業から絶えず提供されています-いくつかのルーブルのコースを考えて読んでください、すべての資料、ビデオ、マニュアル、そしてコースは私たちの所有物のままです...私は彼らのために資料を書いている人とそのようなコースが教えることを考えるのが怖いです学生。

謝辞

これらの人々がいなければ、そのような試験は存在しませんでした。 おかげで：

• WEB技術教育プログラムのイヴァン・チクノフ長官と情報制御システム学部長のアンドレイ・フィリッポ ヴィッチ氏 -私がそのような混乱を整理できるようにしてくれた。
• モバイル開発コースのリーダーであるDenis Vasilievは、自分のモバイル開発試験を自分のものとクールに統合できることで、
• モスクワ工科大学のファブラブの責任者であるオルガ・プルドコフスカヤは、私をモスクワ工科大学に招き入れ、刺激的な例でした（彼女はとてもクールです！）。
• PayMeの私のディレクターであるVladimir Kaninに 、世界を少し良くする時間を与えてくれた。
• BugTraq.Ruの著者であり、Ivan Mikhailovich Gubkin Russian State University of Oil and GasのACS出身の素晴らしい教師であるDmitry Leonov氏。 彼がいなければ、私は良い専門家にも教師にもなれなかったでしょう。 私のクラスで彼の教材を使用できるようにしてくれてありがとう。 彼が与えた深くて現代的な知識を彼に感謝します。 私が卒業してから7年間、彼の職業を感謝して思い出したとき、彼はしゃっくりしました。 私はいつか私が同じようにしゃっくりすることを望むことができるだけです。
• 妻と子供たち。 妻-毎晩の集まりに備えて準備をします。 子供たちのために-大学に入学するまでに良い教育プログラムがあるように刺激してくれました。

参照資料

• アプリケーションソース ;
• テストの準備ができたマシンのイメージ 。 拡張は非常に簡単です-車を始動してポート80に進みます。 テスト用のログイン名とパスワード-「ivanov」、「1」。 しばらくの間ディストリビューションに留まるようお願いします。GoogleCompute Engineで配信するのは自分のサーバーだけなので、すぐには終了しません。 すでに11人が画像をダウンロードしているのは素晴らしいことです。
• 共通点が見つかった場合の連絡先情報 。