База знаний Антона Сидорова

База знаний по аналитике, ИТ архитектуре, API. Документирование. Тесты инструментов.

---

Project maintained by daemon110282 Hosted on GitHub Pages — Theme by mattgraham

Security Информационная безопасность

• Security Информационная безопасность
  • Зачем
  • Виды атак
  • TODO
  • Меры защиты
    • Аутентификация
    • Авторизация
  • Примеры требований
  • Триггеры для подключения ОИБ, анализа ИБ
  • Технологии

Зачем

Информационная безопасность - комплекс мер, которые нужны, чтобы защитить от утечки или взлома программы, компьютерные системы и данные.

Виды атак

• Атаки загрязнения прототипа
• Кликджекинг
• Табнаббинг и обратный табнаббинг
• API
• Man In the Middle (MitM)
• Pass The Hash - перехват хэша пароля

TODO

• АСП
• PCI DSS

Меры защиты

• Паттерны.
• Криптозащита
• Web Application firewall (WAF) Межсетевые экраны
• Аутентификация и Авторизация
  • Identity and Access Management (IAM)
    • SSO
      • Oauth 2, OpenID Connect, SAML
      • WS-Federation (token)
      • MFA или в частности Two-factor authentication (2FA)
  • Access Control Mechanism (ACM)

Аутентификация

Состоит из:

• Сессии Session (ИД, Роль)
  • Который хранится на стороне сервера
  • ИЛИ передается и проверяется на уровне API GW\ИС
    • API Key
    • Token
      • JWT
      • OAuth
      • Access
      • Refresh
• Контекста

Способы аутентификации пользователей и обеспечения безопасности транзакций:

• одноразовые пароли на основе времени/события TOTP
• одноразовые пароли на основе механизма «запрос – ответ»
• различные механизмы подписи транзакции на базе симметричных криптографических механизмов (например, технологии EMV-CAP, OATH, проприетарных механизмов)
• механизмы на основе несимметричных алгоритмов (PKI)
• специфические механизмы привязки к мобильным устройствам
• passwordless: биометрия

Методы защиты:

• CORS
• XSS
• captcha
• CSRF Token
• Аутентификация HTTPS
  • SSL\TLS
  • MTLS
  • Сертификаты безопасности (Security Certificates) нужны для подтверждения подлинности участников информационного взаимодействия, обеспечения защищённого обмена данными (ЭЦП, шифрование, целостность), установления доверия между системами.
• Схемы аутентификации API

Авторизация

• Access Control List (ACL)
  • по URI
  • по IP Nginx white list Apache, Proxy Server, Firewall - only pre-approved IP addresses can interact with your system
• RBAC\ABAC

Примеры требований

• Взаимодействие осуществляется через сеть Интернет по протоколу HTTP с использованием стандартного сетевого порта
• Передача конфиденциальной информации в рамках взаимодействия не предполагается
• Взаимная аутентификация клиента и сервера на базе SSL-сертификатов, шифрование передаваемой информации с использованием протокола HTTPS (TLS 1.2)
• SSL-сертификаты должны быть выпущены доверенными удостоверяющими центрами
• В случае, если взаимодействие осуществляется по внешним сетям передачи данных (далее – внешние сети), и участвующая во взаимодействии ИС Компании не является публичной , сетевой доступ к ИС Компании из внешних сетей, открываемый для обеспечения взаимодействия, должен быть ограничен конкретными адресами внешней ИС или сетью ее владельца и конкретными сетевыми протоколами, используемыми ИС Компании.
• Токен (id сессии), при его использовании, должен быть динамическим (актуальным только для одной сессии одного клиента) и не должен передаваться в URL.

Триггеры для подключения ОИБ, анализа ИБ

• Добавление или, напротив, отказ от внешних точек выхода в интернет
• Изменение внешних API
• Архитектурно-значимые изменения
• Рефакторинг

Технологии

Фреймворки:

• Spring Security
• NodeJS Passport