Segurança da informação como assunto: A história de um instrutor GeekBrains

Olá, Habr. Meu nome é Vladimir Dushkevich, sou um especialista em segurança da informação, professor do corpo docente de segurança da informação. Entrei para a equipe GeekBrains há alguns anos e quero falar sobre isso. No final do artigo haverá um pequeno anúncio para os leitores que também desejam fazer parte de nossa equipe. Mas isso é mais tarde, e primeiro é a minha história.



Tudo começou em 2018, quando ouvi pela primeira vez sobre GeekBrains. E, tendo decidido melhorar minhas habilidades de programação, fiz cursos. Então soube que a empresa estava procurando um professor de segurança da informação e fiquei interessado. Naquela época, eu já ensinava no Arkhangelsk College of Telecommunications (AKT (f) SPbSUT) e a carreira de professor offline estava bem para mim. Mas foi interessante saber como tudo acontece quando você ensina remotamente.

Um pouco sobre você

Eu me formei na universidade em 2008 com uma licenciatura em Física com uma especialidade adicional em Informática na Pomor State University. M.V. Lomonosov. Em seguida, ele recebeu repetidamente educação adicional: na área de segurança da informação, Linux, redes e tecnologias web. Um profissional precisa aprender constantemente para que o conhecimento e a experiência não fiquem desatualizados - eu entendi e entendi bem. Simplesmente não há outra maneira em TI. Por exemplo, você não pode ser um especialista em segurança da informação sem conhecer as configurações de rede do antivírus, então o último certificado que recebi foi o certificado DrWebpara administração DrWeb Enterprise Security Suite v.11. Por outro lado, pode ser útil olhar para a segurança da perspectiva de um invasor, então tive que aprender as técnicas usadas em ataques à rede. Em particular, às vezes você precisa estudar arquivos suspeitos, então não pode ficar sem conhecimento de técnicas.





Ambiente para análise dinâmica de malware.



Infelizmente, os cursos de codificação que decidi fazer no GeekBrains não puderam ser concluídos, pois lecionar na faculdade era muito demorado. Estávamos passando o credenciamento da especialidade 10.02.02 “ Segurança da informação de sistemas de telecomunicações ”, e tive que elaborar um grande número de documentos. Ou seja, o trabalho burocrático simplesmente não deixava tempo para estudos.



Agora sobre como cheguei ao GeekBrains. Em maio de 2018, no portal hh.ru, vi uma vaga para professor de segurança da informação com formato de trabalho remoto. Eu queria me aventurar em um novo negócio e decidi me candidatar à vaga. O metodologista entrou em contato comigo e disse que eu precisava fazer um teste de transmissão no YouTube com uma pequena aula. Conduzi-o com sucesso, depois fui convidado a dar aulas.

Meu trabalho na GeekBrains

Atualmente, estou ministrando dois cursos: segurança do lado do servidor e do lado do cliente para aplicativos da web. O primeiro curso é dedicado a questões gerais de segurança da informação e uma série de vulnerabilidades no lado do servidor de aplicativos da web. Em particular, considera:

• metodologias de pesquisa de vulnerabilidade;
• pentest e Bug Bounty;
• serviço de inteligência;
• inteligência 2.0;
• configuração incorreta de segurança;
• inclusão;
• execução remota de código;
• vulnerabilidades não RCE.

No segundo ano, consideramos as vulnerabilidades do lado do cliente e possíveis métodos de proteção. Este é um curso interativo no qual aprendemos:

• o que é XSS;
• Contextos XSS;
• Classificação XSS;
• exploração de XSS;
• bypass WAF;
• CSRF;
• política de segurança de conteúdo;
• outras vulnerabilidades no cliente.

Os benefícios do ensino online

Eu realmente gosto de trabalhar remotamente. Além disso, o processo educacional tornou-se muito mais ativo, à medida que procuro analisar materiais mais práticos.



Por exemplo, consideramos na prática cenários para pesquisar as 10 principais vulnerabilidades do OWASP, que muitas vezes faltam em instituições educacionais.





O ambiente vulnerável Owasp Mutillidae é usado em cursos para demonstrar vulnerabilidades.



Tanto alunos quanto professores reclamam da pouca prática em faculdades e universidades. Estou na faculdade há nove anos, então sei do que estou falando.



Para um professor, o trabalho remoto também é bom porque há um mínimo de burocracia. Em uma universidade ou faculdade, você constantemente precisa preencher alguns documentos, preparar materiais de apoio ao ensino, relatórios, etc. Além disso, em uma situação normal, o professor pode usar apenas uma gama restrita de métodos de trabalho. À distância nem tudo é assim: não há burocracia, os métodos e meios de resolução dos problemas são escolhidos pelo próprio professor (de acordo com a concepção dos cursos, claro).



Por exemplo, no curso usamos o Kali Linux (e os utilitários de sua composição), e no meu trabalho anterior, o uso desse sistema operacional foi bastante negativo.





O scanner Nikto é usado em nossos cursos para encontrar vulnerabilidades.



Mesmo em nossos cursos, você pode ajustar e desenvolver o programa que a empresa desenvolveu, o que é um grande problema no ensino off-line. Procuro complementar o curso com informações que sejam interessantes para os alunos, aplicando minhas habilidades práticas e experiência (pela natureza do meu trabalho, lido com as questões práticas de detecção e prevenção de ataques, portanto, há algo para compartilhar).



Descrevo não apenas experiências positivas, mas também problemas que podem surgir no trabalho de um especialista em segurança de computadores. Por exemplo, o efeito do uso de alguns utilitários depende muito das configurações do sistema. Se algo estiver faltando, a ferramenta usual não funcionará. Você precisa falar sobre isso, demonstrando tudo na prática. Por exemplo, você pode bloquear o uso de muitos utilitários "indesejados" para analisar o servidor e pesquisar informações sobre ele. A ideia é que muitos utilitários tenham valores de campo User_Agentexclusivos. Um dos métodos de bloqueio é por meio de arquivo .htaccessse houver um módulo instalado e ativado mod_rewrite. O conteúdo do arquivo será assim (por exemplo, Apache 2):

RewriteEngine on
RewriteCond %{HTTP_USER_AGENT} curl [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^$ [NC,OR]
RewriteCond %{HTTP_USER_AGENT} ^Acunetix [NC]
RewriteRule ^.* - [F,L]

Onde:

• curlsignifica que a palavra "curl" deve aparecer no campo User_Agent;
• ^significa o início de uma linha, ou seja ^Acunetix, uma linha que começa com Acunetix;
• ^$ significa vazio;
• RewriteRule ^.* — [F,L]- página 403 ( Forbidden, opção [F]); ele é retornado se pelo menos uma das condições for atendida.

Como resultado, a solicitação contendo User_Agentutilitários curl será bloqueada:





Solicitação de curl bloqueada.

O que ganha o graduado do curso de segurança da informação?

Se falarmos sobre todo o curso, então , após a conclusão do treinamento, o aluno recebe:

• habilidades em trabalhar com o sistema operacional Linux, noções básicas de programação em Python e conhecimento dos principais componentes que compõem a web: URL, HTTP, HTML, JavaScript, Política de Mesma Origem, etc.;
• competências na procura de vulnerabilidades no lado cliente de aplicações web, exploração de vulnerabilidades de clientes, conhecimento dos métodos de protecção, compreensão dos princípios de funcionamento dos principais protocolos web e mecanismos de protecção do navegador;
• habilidades em busca de vulnerabilidades do lado do servidor e compreensão dos recursos do Bug Bounty, o que permitirá que você ganhe dinheiro com o Bug Bounty;
• habilidade no uso de redes cabeadas e wireless, entendendo seu dispositivo, sabendo como garantir a segurança em redes e a capacidade de testar seus parâmetros de segurança;
• competências em engenharia reversa de aplicações, pesquisa e exploração de vulnerabilidades binárias, conhecimentos básicos de protocolos criptográficos.

Quanto às orientações que dou dentro do curso, os alunos:

• aprender a encontrar vulnerabilidades nas partes cliente e servidor de aplicativos da web;
• testar e validar várias vulnerabilidades;
• ;
• web-, ;
• , , , ;
• , web-, , .

O ensino online tem muitas vantagens, talvez até mais do que trabalhar em uma universidade ou faculdade. Pelo menos no que diz respeito à minha experiência de trabalho.



E agora o próprio anúncio. Se você deseja fazer parte da equipe GeekBrains, agora existe uma boa oportunidade: a empresa está em busca de novos professores, autores e revisores, de desenvolvedores de back-end a cientistas de dados, de testadores a especialistas em segurança da informação. Tudo isso pode ser combinado com o trabalho principal. Saiba mais, além de enviar uma inscrição, caso tenha interesse na oferta, pode seguir este link .