Clever Geek Handbook

信息安全作为主题：GeekBrains讲师的故事



哈Ha 我叫Vladimir Dushkevich，我是一名信息安全专家，是信息安全学院的一名老师。几年前，我加入了GeekBrains团队，我想谈一谈。在文章的结尾，对于那些也想加入我们团队的读者来说，这是一个小公告。但这是稍后的事情，首先是我的故事。



这一切始于2018年，当时我第一次听说GeekBrains。而且，在决定提高自己的编程技能之后，我参加了课程。然后我得知该公司正在寻找信息安全方面的老师，对此我很感兴趣。那时，我已经在阿尔汉格尔斯克电信学院（AKT（f）SPbSUT）任教，而离线教师的职业生涯对我来说很好。但是，很有趣的是，当您进行远程教学时，会知道一切如何发生。



关于你自己的一点



我于2008年从大学毕业，获得了波莫州立大学的物理学学位和额外的信息学专业学位。MV 罗蒙诺索夫。然后他反复接受了额外的教育：在信息安全，Linux，网络和Web技术领域。专业人士需要不断学习，以确保知识和经验不会过时-我理解并理解得很好。IT领域根本没有其他方法。例如，如果您不了解反病毒网络设置，就不能成为信息安全专家，因此我收到的最后一个证书是DrWeb证书。用于管理DrWeb Enterprise Security Suite v.11。另一方面，从攻击者的角度看安全性可能很有用，因此我必须学习网络攻击中使用的技术。特别是，有时您必须研究可疑文件，因此，如果没有技术知识就无法做。





动态恶意软件分析的环境。



不幸的是，我决定在GeekBrains上的编码课程无法完成，因为在大学里的教学花费了很多时间。我们刚刚通过了专业10.02.02“电信系统的信息安全”的认证，因此我不得不草拟大量文件。就是说，官僚主义的工作根本没有留学的时间。



现在介绍我如何到达GeekBrains。2018年5月，在hh.ru门户上，我看到了一位远程工作格式的信息安全老师的空缺。我想尝试自己的新业务，因此决定申请空缺。方法学家与我联系，并说我需要在YouTube上进行一堂小课的测试广播。我进行得很成功，之后被邀请教书。



我在GeekBrains的工作



我目前正在教授两门课程：Web应用程序的服务器端和客户端安全。第一门课程专门讨论一般信息安全性问题以及Web应用程序服务器端的许多漏洞。特别要考虑以下内容：



  • 漏洞搜索方法；
  • pentest和Bug赏金；
  • 情报服务；
  • 智力2.0;
  • 安全配置错误；
  • 包含
  • 远程执行代码；
  • 非RCE漏洞。


在第二年，我们考虑了客户端的漏洞以及可能的保护方法。这是一门互动课程，我们在其中学习：



  • 什么是XSS；
  • XSS上下文；
  • XSS分类；
  • 利用XSS；
  • 绕过WAF;
  • CSRF；
  • 内容安全政策；
  • 客户端上的其他漏洞。


在线教学的好处



我真的很喜欢远程工作。此外，随着我​​尝试分析更多实用的资料，教育过程变得更加活跃。



例如，我们在实践中考虑了搜索OWASP十大漏洞的方案，而这在教育机构中通常是缺少的。





在课程中使用了脆弱的Owasp Mutillidae环境来演示漏洞。



学生和老师都抱怨大学中实践很少。我上大学已经九年了，所以我知道我在说什么。



对于老师来说，远程工作也很不错，因为这样可以减少官僚主义。在大学中，您经常需要填写一些文件，准备纸质教具，报告等。另外，在正常情况下，老师只能使用很多种工作方法。遥不可及，一切并非如此：没有官僚机构，解决问题的方法和手段由老师本人选择（当然是根据课程的概念）。



例如，在本课程中，我们使用Kali Linux（及其组成的实用程序），而在我以前的工作中，对该操作系统的使用是负面的。





我们的课程中使用了Nikto扫描仪来查找漏洞。



即使在我们的课程中，您也可以调整和开发公司开发的程序，在离线教学中存在很大的问题。我会运用我的实践技能和经验，尝试用学生感兴趣的信息来补充课程内容（根据我的工作性质，我会处理检测和预防攻击的实际问题，因此有一些共享之处）。



我不仅描述了积极的经验，而且还描​​述了计算机安全专家在工作中可能出现的问题。例如，使用某些实用程序的效果在很大程度上取决于系统设置。如果缺少某些东西，那么通常的工具将无法使用。您需要谈论这一点，并在实践中进行演示。例如，您可以阻止使用许多“不需要的”实用程序来分析服务器并搜索有关它的信息。这个想法是，许多实用程序具有User_Agent唯一的字段值。.htaccess如果有已安装并激活的模块，则阻止方法之一是通过文件mod_rewrite。该文件的内容将如下所示（例如Apache 2）： 



RewriteEngine on
RewriteCond %{HTTP_USER_AGENT} curl [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^$ [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^Acunetix [NC]
RewriteRule ^.* - [F,L]


哪里：



  • curl表示字段中必须出现“ curl”一词User_Agent；
  • ^指线，即开始时^Acunetix，即开头的线Acunetix;
  • ^$ 意味着空虚；
  • RewriteRule ^.* — [F,L]-第403页（Forbidden，选项[F]）; 如果至少满足一个条件，则返回它。


结果，包含User_Agentcurl实用程序的请求将被阻止：





卷曲请求被阻止。



信息安全课程毕业生将获得什么？



如果我们讨论整个课程，则在完成培训后，学生会收到：



  • 具有使用Linux操作系统的技能，使用Python进行编程的基础知识以及有关构成Web的主要组件的知识：URL，HTTP，HTML，JavaScript，Same Origin Policy等；
  • 在Web应用程序的客户端中搜索漏洞，利用客户端漏洞，保护方法的知识，了解主要Web协议的操作原理和浏览器保护机制的技能；
  • 查找服务器端漏洞的技能和对Bug Bounty功能的理解，这将使您可以通过Bug Bounty赚钱；
  • 使用有线和无线网络的技能，了解其设备，了解如何确保网络安全以及测试其安全参数的能力；
  • 应用程序逆向工程技能，二进制漏洞的搜索和利用，密码协议基础知识。


至于我在课程中所领导的方向，学生们：



  • 学习发现Web应用程序的客户端和服务器部分中的漏洞；
  • 测试和验证各种漏洞；
  • ;
  • web-, ;
  • , , , ;
  • , web-, , .




在线教学具有许多优势，甚至可能比在大学或学院工作还要多。至少在我的工作经验上。



现在是非常公告。如果您想加入GeekBrains团队，现在有一个很好的机会：该公司正在寻找新的老师，作者和审稿人，从后端开发人员到数据科学家，从测试人员到信息安全专家。所有这些都可以与主要工作结合在一起。了解更多信息以及提交申请，如果您对此优惠感兴趣，可以点击此链接。


More articles:


All Articles