Upgrade to Pro
— share decks privately, control downloads, hide ads and more …
Speaker Deck
Features
Speaker Deck
PRO
Sign in
Sign up for free
Search
Search
Timur Yunusov - Особенности проведения социотех...
Search
DC7499
July 03, 2015
Research
0
99
Timur Yunusov - Особенности проведения социотехнического тестирования на проникновение
DEFCON Moscow 9
DC7499
July 03, 2015
Tweet
Share
More Decks by DC7499
See All by DC7499
Sergey Sobko - Hackashop: Hackathon + Pentest + Workshop [RU]
defcon
0
540
Dmitry Sklyarov - Intel ME: Security keys Genealogy, Obfuscation and other Magic
defcon
0
270
Anton Lopanitsyn - Initial reconnaissance of web applications.
defcon
0
290
Dmitry Volkov - Private messengers: without pain??
defcon
1
230
Andrey Skuratov and Sergey Migalin - DNS tunneling in 2018. What is that, and what to do with it?
defcon
2
210
Sergey Belov - Another side of Bug Bounty programs
defcon
0
300
Dmitry Sklyarov - Intel ME: Flash file system explained
defcon
0
520
Maxim Goryachiy & Mark Ermolov - Inside Intel Management Engine
defcon
0
600
Sergey Golovanov - Indecent Response 2018
defcon
0
520
Other Decks in Research
See All in Research
SSII2025 [TS3] 医工連携における画像情報学研究
ssii
PRO
2
1.3k
GeoCLIP: Clip-Inspired Alignment between Locations and Images for Effective Worldwide Geo-localization
satai
3
300
集合間Bregmanダイバージェンスと置換不変NNによるその学習
wasyro
0
140
利用シーンを意識した推薦システム〜SpotifyとAmazonの事例から〜
kuri8ive
1
240
「どう育てるか」より「どう働きたいか」〜スクラムマスターの最初の一歩〜
hirakawa51
0
820
Type Theory as a Formal Basis of Natural Language Semantics
daikimatsuoka
1
280
EOGS: Gaussian Splatting for Efficient Satellite Image Photogrammetry
satai
4
430
20250502_ABEJA_論文読み会_スライド
flatton
0
190
問いを起点に、社会と共鳴する知を育む場へ
matsumoto_r
PRO
0
580
Large Language Model Agent: A Survey on Methodology, Applications and Challenges
shunk031
14
9.7k
最適化と機械学習による問題解決
mickey_kubo
0
160
最適決定木を用いた処方的価格最適化
mickey_kubo
4
1.8k
Featured
See All Featured
Large-scale JavaScript Application Architecture
addyosmani
512
110k
ピンチをチャンスに:未来をつくるプロダクトロードマップ #pmconf2020
aki_iinuma
126
53k
Statistics for Hackers
jakevdp
799
220k
GraphQLの誤解/rethinking-graphql
sonatard
71
11k
Git: the NoSQL Database
bkeepers
PRO
431
65k
How to Think Like a Performance Engineer
csswizardry
25
1.8k
What's in a price? How to price your products and services
michaelherold
246
12k
The Invisible Side of Design
smashingmag
301
51k
Principles of Awesome APIs and How to Build Them.
keavy
126
17k
Embracing the Ebb and Flow
colly
87
4.8k
Building Flexible Design Systems
yeseniaperezcruz
328
39k
Practical Tips for Bootstrapping Information Extraction Pipelines
honnibal
PRO
23
1.4k
Transcript
None
Особенности проведения социотехнического тестирования на проникновение Юнусов Тимур
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
В чем разница: • сведения о сотрудниках (ФИО, должность, email)
• сведения о компании (структура, новости, почта, инсайды, шаблоны документов) • время на сбор этих данных
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
• имитация угрозы с целью покрыть 100% сотрудников • сведения
об антивирусном ПО • whitelisting (антиспам и т.д.) • интернет не нужен • результаты совершенно другие
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
• сбор данных • создание нагрузок и сценариев • рассылка
• получение статистики • интерпретация
Сбор данных • списки от заказчика • Google, Linkedin (FOCA,
Maltego), etc • SMTP: vrfy, expn • Bruteforce
Сценарии • многолетние «best cases» с поправкой на «ветер» и
фирменный стиль • «личные» пожелания заказчика
Best Cases:
Нагрузки (win oriented) • macro • mht/chm+zip • exe/bat/vbs/ps/ •
ExternalResource • малварь • фишинг
Рассылка (SMTP) • ptsecurity.ru / DigitalOcean • news.c0mpany.com • XSS
on company.com • AD+OWA
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
Сбор и обработка статистики • HTTP/DNS • Intranet HTTP •
Разница между целями социалки и ОО
• внешний/внутренний нарушитель • оценка осведомленности • план работ •
интерпретация результатов • создание нагрузок
Задачи, которые стоят: • автоматизация создания индивидуальной нагрузки • защита
от мошенничества • новые интересные вектора •«многоходовки»
Задачи, которые НЕ стоят: • AV Bypass • Post-exploitation
Вместо резюме
None