Архив автора: admin

Шифрование дисков в Linux

Безопасность и конфиденциальность очень важны, для тех, кто хранит важные данные на компьютере. Ваш домашний компьютер находится в безопасности, но с ноутбуком или другими переносными устройствами ситуация очень сильно меняется. Если вы носите свой ноутбук с собой почти везде и к нему могут иметь доступ посторонние лица, возникает вопрос — как защитить свои данные от чужого вмешательства. Именно от физических атак, где каждый желающий может попытаться получить данные из USB накопителя или жесткого диска ноутбука просто забрав устройство или в случае ноутбука, вытянув жесткий диск и подключив его к другой операционной системе.

Многие предприятия и даже простые пользователи используют шифрование дисков в linux чтобы защитить конфиденциальную информацию, такую как: сведения о клиенте, файлы, контактную информацию и многое другое. В операционной системе Linux поддерживается несколько криптографических методов для защиты разделов, отдельных каталогов или полностью всего жесткого диска. Все данные, в любом из этих способов автоматически зашифровываются и расшифровываются на лету.

Читать

Хакерская правда и взлом веба: компания Headlight Security на PHDays VI

 

Крупные компании тратят миллионы долларов на безопасность. Почему специалистам по тестированию на проникновение достаточно пары дней для преодоления периметра сети организации и реализации возможности доступа к критическим ресурсам? Эти и другие вопросы обсуждали в рамках секции «Хакерская правда: зачем ломаете?» на международном форуме PHDays VI. В числе участников секции был технический директор Headlight Security Дмитрий Евтеев, один из идеологов Positive Hack Days. Другой сотрудник Headlight Security, Михаил Фирстов, провел на форуме мастер-класс по взлому веб-приложений.
На секции собрались известные российские специалисты по тестированию на проникновение Дмитрий Евтеев, Никита Кислицин, Тимур Юнусов, Сергей Белов и Омар Ганиев. Острые вопросы задавал директор по развитию Positive Technologies Борис Симис.
«Грамотные люди есть и среди нападающих, и защитников, — уверен Дмитрий Евтеев. — Представим компанию, которая сделала все правильно с точки зрения парольной защиты, фаерволов, антивирусов и пр.. Но пользователи начинают жаловаться на сложную политику, связанную с паролями. Потом на компьютере бухгалтера надо установить важную программу, которая не умеет работать через прокси. Таким образом, в системе появляются бреши, которые изначально не закладывались. Компаниям приходится идти на многочисленные компромиссы в угоду бизнес-процессам. Безопасность должна быть безопасной, но я понимаю, как часто это неудобно».
По словам представителя Positive Technologies Тимура Юнусова, специалисты по безопасности играют черными фигурами и всегда опаздывают на один шаг.
«Безопасность нельзя прикрутить, купив какой-то продукт, — говорит Никита Кислицин из Group-IB, — она связана с процессами, культурой, людьми. Я немало работал с анализом бот-сетей, которые шлют самые разные данные с зараженных компьютеров — перехваченные пост-запросы, пароли, раскадровку рабочего дня, видео, ключи, которые можно вынуть из файловой системы или USB-стиков. На моей практике минимум треть компаний, в том числе крупных банков, были заражены ботнетами. До сих пор реально попасть в очень важные компьютеры, просто написав правильный текст и прислав человеку вирус, поэтому вся эта тема со строением DMZ и защитой периметра немного отходит на второй план. Одной рукой системный администратор может администрировать домен банка, а другой — сидеть во ВКонтакте и переходить по присылаемым оттуда ссылкам. Если есть запрет — появится личный 3G-модем. Банк может купить любую систему защиты за миллион долларов, но от таких случаев система не спасает».
Аудитор ИБ компании Digital Security Сергей Белов считает, что компании необоснованно экономят на услугах offensive-специалистов, которые обязательно должны быть в команде ИБ. Вместо этого берут экспертов по SDLC, на практике умеющих обеспечить лишь красивую бумажную безопасность. В таких компаниях любой responder или nmap всегда находит много всего интересного.
Выступающие также подняли тему несовершенства систем, которые следят за паролями.
«Когда мы в Positive Technologies сделали бесплатный онлайн-сканер, мне в почту упало забавное письмо от одного человека, говорит Дмитрий Евтеев. — Он писал, что у него FreeBSD, один порт, все под фаерволом и завернуто в systrace и jail. Давай, отсканируй меня, найди уязвимости. Быть таким смелым легко, когда у человека одна система, он холит и лелеет ее, блюдет логи в режиме реального времени. Сейчас же ситуация поменялась. Даже у одного пользователя нередко несколько компьютеров, а у компаний их тысячи. Есть множество паролей на разные сервисы, электронные почты, социальные сети, VPN, мессенджеры. Человек, как правило, использует один и тот же пароль везде, что удобно — прозрачная авторизация во всем интернете. Другие пишут на листочке. Третьи хранят пароль в текстовом виде на рабочем столе. Пароли не только забываются. Страшно то, что их надо постоянно менять. Человек придумал в голове пароль, который он может запомнить, а система говорит: срок вышел, придумай новый. Нет, этот не подойдет, придумай сложнее».
«В логах малварей мы часто наблюдаем, как человек пытается вспомнить пароль, — вспоминает Никита Кислицин. — Добавляет одну цифру, потом меняет ее. В результате разоблачает всю свою парольную базу от всех сервисов».
«Для каждой из отраслей, включая АСУ ТП, необходимо что-то вроде банковского стандарта PCI DSS, — отметил Дмитрий Евтеев. — Это касается и пентеста, и аудита. Но правильные требования повышают уровень защищенности только в том случае, если их выполняют. Мы встречались с компанией, которая сертифицировала небольшой участок инфраструктуры по ISO27001. Разумеется, в ходе пентеста была найдена дыра на другом участке. Бумага есть, а безопасности нет.».
Дмитрий Евтеев считает, что проводить ежегодное тестирование на проникновение следует силами разных компаний. Это позволит защититься от некачественного пентеста, но и дает возможность взглянуть свежим взглядом на все уязвимые места инфраструктуры. Иной раз, например перед запуском критически-важной инфраструктуры, полезно приглашать лучшие команды страны друг за другом.
«Найти одну или две уязвимости на периметре и сдать отчет — это не пентест, — уверен Дмитрий Евтеев. — Тестирование на проникновение предполагает максимально широкий охват всех систем, а не остановку после первого «пробива» веб-приложения. У компании могут быть уязвимые сервисы на внешних площадках, а пароль администратора сайта совпадать с паролем у VPN к этой сети. Во время пентеста следует учитывать все нюансы».
Дмитрий Евтеев несколько лет возглавлял отдел анализа защищенности Positive Technologies, в котором собрал уникальную команду «белых хакеров». В 2013 году занял третье место в рейтинге ИБ-спикеров. Автор множества исследований (об одном из них писали ведущие СМИ России). В 2015 году основал компанию HeadLight Security, в которой и работает по сей день на должности технического директора.

Практические занятия по взлому веб-приложений от

HeadLight Security

 

Согласно отчету Verizon DBIR, в 2016 году большинство взломов связано именно с уязвимостями веб-приложений. Подробный мастер-класс по взлому веб-приложений на PHDays VI представил эксперт HeadLight Security Михаил Фирстов. Все рассмотренные атаки встречаются в реальной жизни (как на стороне сервера, так и клиента). Запись выступления представлена на сайте PHDays, а вскоре все желающие смогут познакомиться с учебным материалом в удобном формате (GitBook и Doker).
«Почти любая уязвимость в веб-приложении несет серьезную угрозу для бизнеса, — говорит Михаил Фирстов. — Проблемы банку (или, например, компании Starbucks) могут создать не только распространенные XXE или XSS, но и ошибка Race Condition, позволяющая перевести деньги  от одного клиента к другому с накруткой. В социальной сети может стать фатальной хранимая XSS, что показал Сэми Камкар, десять лет назад сгенерировав почти миллион запросов на добавление в друзья в MySpace. До сих пор половина сайтов подвержены данной уязвимости».
Об уязвимости межсайтого скриптинга (XSS) Михаил рассказывает в начале второй части своего выступления. Ошибка позволяет злоумышленнику внедрить в HTML сайта свой JavaScript-код. Опасность представляют не только «хранимые XSS» (stored), но и «отраженные XSS» (reflected).
«Reflected XSS встречается довольно часто, в том числе на крупных проектах, — отмечает Михаил. — Если из всей информации, которую отправляет им пользователь, они научились вырезать угловые скобки и вредные слова, то в случае отраженной XSS для реализации атаки нужно лишь закрыть атрибут при помощи кавычки, которые могут и не экранироваться. В некоторых случаях нельзя вставить точку или вектор, который содержит скобки, но люди все равно находят способы атаковать приложение. Все зависит от того, насколько вы хорошо знаете JavaScript или Google».
В примере ниже приведена инъекция в атрибуте тега.
В ходе мастер-класса были рассмотрены все распространенные уязвимости, с которыми можно столкнуться на сайтах крупных компаний. Например, RFI (Remote file include) встречается редко, так как требует определенной конфигурации от сервера. Уязвимость LFI (Local File Inclusion) более популярна, ее можно обнаружить, например, в Mail.ru.
«Курс будет полезен разработчикам веб-сервисов и специалистам по безопасности компаний большинства отраслей, от банков до государственных учреждений. По ходу обучения слушатели смогут скачать прикладную часть в Doker и самостоятельно воспроизводить все описанные техники. Тексты, примеры и презентации будут размещены в сети. Запланирован также перенос в формат GitBook», — отмечает Михаил Фирстов.
Компания HeadLight Security планирует активно развивать данный курс на бесплатной основе. В настоящее время он содержит основные вещи, которые подойдут для знакомства с уязвимостями PHP, MSQL, Client Side и другими атаками. Вскоре в него будут добавлены различные языки, СУБД, техники обхода WAF, а также практические методы защиты веб-сервисов.
Посмотреть выступление Дмитрия Евтеева на секции «Хакерская правда: зачем ломаете?» и мастер-класс Михаила Фирстова «Базовый курс по взлому веб-приложений» можно на сайте форума по адресу: http://www.phdays.ru/broadcast/

Автор:
Дата публикации:

Основные и быстрые способы продаж товаров в Интернете

Как известно, всемирная сеть, является самой популярной и самой восстребованной для заработка многих людей, от мала до велика и к радости или сожалению невозможно представить себе как обойтись без интернета.
Зарабатывать в интернете сегодня можно и при правильной организации бизнеса, вполне реально иметь стабильный заработок. Давайте рассмотрим некоторые секреты, изучив которые можно приступить к действиям.

Существует большое количество способов продажи товаров: это использование всевозможных интернет-ресурсов, где можно разместить вашу рекламу, различные каталоги и доски, специализированные площадки, откуда продажи будут вестись как в розницу, так и оптом. Маленькие такой секрет, чтобы начать успешно продавать, сконцентрируйтесь на одном виде заработка, чтобы получить первые положительные результаты.

Рассмотрим какие существуют основные способы продаж через интернет:
1. Партнерские программы.
2. Интернет-магазин.
3. Бесплатные доски объявлений.
4. Одностраничник.

Как известно, Партнёрская программа  это хороший способ заработка, в них существует лишь за что будет осуществляться оплата(оплата за регистрацию, продажу, результат или за клик, или же оплата за показ вашего материала). Считается, что Партнёрские программы это только для тех, у кого есть свой сайт, но это ошибочное мнение, зарабатывать в партнёрке можно не имея своего сайта. Как это? Спросите вы. Очень просто, вы можете рекламировать сайт и товары партнёрской программы, также можете разместить реферальную ссылку в подписи на форумах, в социальных сетях, не забывайте только одно, главное не заниматься спамом. Поскольку такой способ рекламы является нарушением правил партнёрской программы и кроме бана вы ничего не получите.  На сегодняшний день партнёрская программа является одним из самых распространённых видов получения дохода для вебмастера. Партнёрская программа принесёт неплохой доход, только если Вы затратите определённое количество своих сил и времени. Если Вы отнесётесь к этому довольно серьёзно и сделаете всё правильно, то доход не заставить себя ждать!

Что лучше выбрать для заработка партнерскую программу или партнерскую сеть?
Партнёрская сеть включает в себя множество товаров с различных интернет-магазинов и дает вам небольшое преимущество, поскольку здесь вы можете продвигать товар, который пользуется спросом и просмотрев статистику по продажам продвигать самые выгодные товары. Итак основное преимущество в том:
Партнерские программы (офферы, партнерки) — это ваше сотрудничество, рекламодатель и вебмастер работают вместе.
Партнерская сеть — это посреднический сервис, объединяющий несколько партнерских программ в одном интерфейсе.
Существует мнение, что партнерские программы -это несерьезный вид заработка, но это не так. Для того, что успешно работать в партнёрских программах, необходимо правильно выбрать тематику товаров и соответственно их тематические категории, ну и конечно же, следует обратить внимание на место размещения этих рекламных материалов.

Интернет-магазин. Пожалуй здесь присутствует одно самое главное преимущество  — это быстро и удобно. В интернет-магазинах и цены часто ниже, чем в локальной рознице, и товары бывают такие, которые не так-то просто найти. Но покупать в непроверенном интернет-магазине часто бывает страшно, поэтому давайте рассмотрим — Признаки хорошего и надёжного интернет-магазина:
1. Присутствие контактные данных.
2. Менеджеры всегда готовы к диалогу.
3. Сайт работает без серьёзных ошибок.
4. Отзывы.
5. Удобные и безопасные способы оплаты.
6. Условия доставки товара.
7. Гарантия, договор-оферта, соглашение о персональных данных.
8. У сайта есть группа в социальной сети.

Бесплатные доски объявлений — это пожалуй один из доступных и несложных вариантов. Разместив свою информацию о своем товаре на крупнейших досках с обьявлениями, вы буквально на следубщий день можете получить первые заказы. Что неоходимо помнить и знать для привлечения клиентов?
Первое — это заголовок, он должен быть броским и вызывающим, привлекающим внимание посетителя. В заглавии в двух словах нужно раскрыть всю суть вашего товара и дать понять, почему товар необходимо купить только у вас. Остановившись на товаре первое что бросится в глаза — это фото вашего товара. Это – именно тот кульминационный момент, когда покупателем принимается решение: изучать дальше объявление, или перейти на другое. Фото товара должно быть также весьма привлекательным и хорошего качества.
Следующий пункт — это описание товара. Описание товара, которое и должно окончательно разжечь огромное желание приобрести его. Покупателю это неинтересно ему нужна информация больше о товаре, а именно: какие проблемы он поможет решить, какая будет выгода и почему нужно купить его именно у вас.

Существует простой принцип рекламирования товара. Он состоит из трех основных пунктов: Ваше предложение – Ограничение по времени – Призыв к действию.

Одностраничник — представляейт собой страницу с одним товаром. Создаются одностраничники простым способом, выбирается конкретная серия или один товар, но обязательно товар должен быть восстребованным на рынке продаж. Далее придумывается акция, здесь срабатывает ваша фантазия: бесплатный подарок, скидка, акция. Для акции, должно присутствовать событие, просто так скидку нельзя устанавливать. Создается страница, на которую подключается корзина и техническая сторонаоформления заказа. Затем, с помощью контекствной рекламы льется трафик.
Используются одностраничники как розничный канал продаж, в таком случае он является независимым сайтом, который обладает собственной формой заказа и своими условиями работы. Также его используют как дополнительный канал для продаж, в помощь основному интернет-магазину. Цель -максимально превратить рекламный трафик в продажи. Или же его используют как оптовый канал продаж, что приносит максимальную прибыль.

Таким образом кто еще сомневается в эффективности заработка в Интернете, главное начать пробовать и не бояться ошибок. А каким образом вы будете это делать, выбор за вами. Желаем всем удачи и большой  прибыли!

Автор: Edward Artemiev

Стадирование опухолей позвоночника

Принципиально выделяют первичные и вторичные опухоли позвоночника на основании первичной локализации очага. Первичные опухоли разделяются на доброкачественные и злокачественные новообразования. Доброкачественная опухоль не проявляет способности к метастазированию, в то время как злокачественная опухоль потенциально может давать метастазы. В обновленной классификации ВОЗ была выделена группа промежуточных (с локально агрессивным ростом) опухолей, способных к озлокачествлению. 



Деление вторичных опухолей позвоночника на метастатические и условно-контактные мотивировано первичной локализацией опухоли. Первый вариант обусловлен формированием опухолевого депозита в позвонке в результате гематогенной или лимфогенной диссеминации первичной опухоли из другого органа или позвонка; особым вариантом являются skip-метастазы («прыгающие» метастазы внутри пораженного опухолью позвонка). Второй – прорастанием в позвоночник опухоли, первично расположенной в паравертебральных органах и тканях. Среди метастических поражений отдельно выделяют опухоли с неустановленной первичной локализацией (CUP-синдром, сancer of unknown primary origin).

В основе стадирования опухолевого процесса лежит степень распространения опухоли в организме и пораженном органе. Boriani et al. (1997) предложил хирургическую систему стадирования, основанную на работах Enneking et al. (1980). Стадии основаны на наличии капсулы (псевдокапсула), агрессивности поражения, «прыгающих» метастазов, экстраоссальном росте и отдаленных метастазах.

Классификация Enneking


На настоящее время широкое распространение получили анатомические классификации опухолей позвоночника, которые позволяют описать не только распространенность поражения, но и наметить предполагаемый план резекции очага. Среди анатомических систем наиболее популярны классификация Tomita и модифицированная Weinstein-Boriani-Biagini (WBB).

Классификация Tomita


В основу системы Tomita легли наиболее часто встречающиеся варианты распространения опухоли в горизонтальной плоскости и в краниокаудальном направлении. 


Модифицированная анатомическая классификация WBB адаптирована для оценки опухоли на основании КТ и МРТ (имеет ту же ориентацию). 

Классификация WBB: слева – шейный отдел, справа – грудной, поясничный отделы позвоночника.
Принципиально она основана на секторальном и уровневом делении поперечного среза позвоночника. Секторально позвонок разделен на 12 частей: 5-8 тело позвонка, 4 и 9 – ножки позвонка, 3-10 дуга позвонка. Так же на поперечном срезе были выделены следующие уровни: А – экстраоссальное распространение; B – поверхностный переферический отдел кости; C – глубокая внутрикостная (центральная) локализация, прилежащая к позвоночному каналу; уровни B и C были выделены с учетом интраорганной микроциркуляции; D – экстраоссальное эпидуральное распространение; E – интрадуральное распространение опухоли; F (только для шейного отдела) – поражение опухолью канала позвоночной артерии. При наличии отдаленных метастазов вводится обозначение M.

Классификация опухолей костей ВОЗ 2013

Дифференциальная диагностика патологических переломов на фоне опухоли и остеопороза на основании МРТ

Автор: Никита Заборовский
Дата публикации: 2016-05-19T16:02:00.001+03:00

Поисковая оптимизация и продвижение вашего ресурса с помощью Чёрного SEO

https://seopharma.files.wordpress.com/2016/05/d187d191d180d0bdd0bed0b5_d181d0b5d0be.png?w=181&h=278

Сегодня мы поговорим о чёрных методах поисковой оптимизации, которые запрещены к использованию поисковиками. Давайте рассмотрим какие существуют преимущества для чёрной оптимизации.
Первое, что следует отметить — это минимальные расходы на продвижение сайта для владельца такого ресурса. А вот для оптимизатора — это быстрая индексация сайта, а значит быстрое продвижение на первые позиции в поисковой выдаче. Существует несколько самых распространённых чёрных методов для продвижения сайтов в топ Google. Давайте ознакомимся кратко с каждым из них.