Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
Timur Yunusov - Особенности проведения социотех...
Search
DC7499
July 03, 2015
Research
0
100
Timur Yunusov - Особенности проведения социотехнического тестирования на проникновение
DEFCON Moscow 9
DC7499
July 03, 2015
Tweet
Share
More Decks by DC7499
See All by DC7499
Sergey Sobko - Hackashop: Hackathon + Pentest + Workshop [RU]
defcon
0
550
Dmitry Sklyarov - Intel ME: Security keys Genealogy, Obfuscation and other Magic
defcon
0
270
Anton Lopanitsyn - Initial reconnaissance of web applications.
defcon
0
300
Dmitry Volkov - Private messengers: without pain??
defcon
1
240
Andrey Skuratov and Sergey Migalin - DNS tunneling in 2018. What is that, and what to do with it?
defcon
2
210
Sergey Belov - Another side of Bug Bounty programs
defcon
0
300
Dmitry Sklyarov - Intel ME: Flash file system explained
defcon
0
530
Maxim Goryachiy & Mark Ermolov - Inside Intel Management Engine
defcon
0
620
Sergey Golovanov - Indecent Response 2018
defcon
0
530
Other Decks in Research
See All in Research
Panopticon: Advancing Any-Sensor Foundation Models for Earth Observation
satai
3
260
財務諸表監査のための逐次検定
masakat0
0
150
とあるSREの博士「過程」 / A Certain SRE’s Ph.D. Journey
yuukit
11
4.6k
多言語カスタマーインタビューの“壁”を越える~PMと生成AIの共創~ 株式会社ジグザグ 松野 亘
watarumatsuno
0
130
[CV勉強会@関東 CVPR2025] VLM自動運転model S4-Driver
shinkyoto
2
550
長期・短期メモリを活用したエージェントの個別最適化
isidaitc
0
210
HoliTracer:Holistic Vectorization of Geographic Objects from Large-Size Remote Sensing Imagery
satai
3
150
一人称視点映像解析の最先端(MIRU2025 チュートリアル)
takumayagi
6
4k
When Learned Data Structures Meet Computer Vision
matsui_528
1
110
EarthSynth: Generating Informative Earth Observation with Diffusion Models
satai
3
410
説明可能な機械学習と数理最適化
kelicht
0
260
引力・斥力を制御可能なランダム部分集合の確率分布
wasyro
0
270
Featured
See All Featured
Fireside Chat
paigeccino
41
3.7k
The Pragmatic Product Professional
lauravandoore
36
7k
Intergalactic Javascript Robots from Outer Space
tanoku
272
27k
Practical Tips for Bootstrapping Information Extraction Pipelines
honnibal
PRO
23
1.5k
Done Done
chrislema
185
16k
Making Projects Easy
brettharned
120
6.4k
Bootstrapping a Software Product
garrettdimon
PRO
307
110k
How to Create Impact in a Changing Tech Landscape [PerfNow 2023]
tammyeverts
55
3k
Art, The Web, and Tiny UX
lynnandtonic
303
21k
The Art of Programming - Codeland 2020
erikaheidi
56
14k
Rebuilding a faster, lazier Slack
samanthasiow
84
9.2k
Building a Modern Day E-commerce SEO Strategy
aleyda
44
7.8k
Transcript
None
Особенности проведения социотехнического тестирования на проникновение Юнусов Тимур
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
В чем разница: • сведения о сотрудниках (ФИО, должность, email)
• сведения о компании (структура, новости, почта, инсайды, шаблоны документов) • время на сбор этих данных
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
• имитация угрозы с целью покрыть 100% сотрудников • сведения
об антивирусном ПО • whitelisting (антиспам и т.д.) • интернет не нужен • результаты совершенно другие
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
• сбор данных • создание нагрузок и сценариев • рассылка
• получение статистики • интерпретация
Сбор данных • списки от заказчика • Google, Linkedin (FOCA,
Maltego), etc • SMTP: vrfy, expn • Bruteforce
Сценарии • многолетние «best cases» с поправкой на «ветер» и
фирменный стиль • «личные» пожелания заказчика
Best Cases:
Нагрузки (win oriented) • macro • mht/chm+zip • exe/bat/vbs/ps/ •
ExternalResource • малварь • фишинг
Рассылка (SMTP) • ptsecurity.ru / DigitalOcean • news.c0mpany.com • XSS
on company.com • AD+OWA
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
Сбор и обработка статистики • HTTP/DNS • Intranet HTTP •
Разница между целями социалки и ОО
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
Задачи, которые стоят: • автоматизация создания индивидуальной нагрузки • защита
от мошенничества • новые интересные вектора •«многоходовки»
Задачи, которые НЕ стоят: • AV Bypass • Post-exploitation
Вместо резюме
None