Курс повышения квалификации

Памятка слушателя

Пентест как управляемая проверка: полномочия → гипотеза → минимальное доказательство → исправление → повторная проверка.

Маршрут дня

Технологии атакующих: модели, ATT&CK v19.2, связь с защитными сигналами VA, пентест, red team; методики, полномочия и Rules of Engagement Инструменты: цель → наблюдение → доказательство; локальная демонстрация Жизненный цикл находки и приоритизация CVSS + EPSS + KEV DoS/DDoS: узкие места, датированная статистика и tabletop

Rules of Engagement до первого пакета

Юридическая граница

«Образовательная цель» не заменяет полномочия. Действия вне подтверждённого стенда могут повлечь юридическую ответственность; квалификация зависит от фактов и применимого права.

Карта артефактов: не смешивать

NIST SP 800-115 / RoE

Планирование, выполнение, коммуникации и отчётность. Документ 2008 года полезен как стабильная основа, но не единственный источник.

PTES

Community execution model из семи фаз; не нормативный международный стандарт.

WSTG / MASTG

Процедуры и тест-кейсы: как проверять конкретный класс поведения.

ASVS / MASVS

Проверяемые требования: что должна обеспечивать система. MASVS 2.1 содержит восемь категорий.

Top 10 / CWE

Taxonomy и язык обучения/классификации; не исчерпывающий тест-план.

ATT&CK v19.2

Поведение противника и связь с наблюдаемыми сигналами; 15 Enterprise-тактик. Состав техник сверяется по официальному permalink матрицы v19.

Приоритизация: CVSS + EPSS + KEV

Priority = severity × exploitability × exposure × asset impact CVSS-B описывает тяжесть технических последствий; EPSS v5 — вероятность наблюдаемой эксплуатации CVE в следующие 30 дней; CISA KEV — подтверждённый факт эксплуатации. Ни один из них отдельно не равен риску организации.
СигналОтвечает на вопросНе отвечает
CVSS v4.0Насколько серьёзны технические последствия?Эксплуатируют ли сейчас и есть ли у нас актив?
EPSS v5Какова вероятность наблюдаемой эксплуатации CVE в 30 дней?Каков ущерб именно нашей системе?
CISA KEVЕсть ли подтверждённая эксплуатация?Какова применимость к нашей версии и экспозиции?
Контекст активаДоступен ли актив, критичен ли процесс, есть ли controls?Не заменяет техническую валидацию.

Правила безопасной лаборатории

Граница

Только http://127.0.0.1:3000. Docker bind — 127.0.0.1, отдельная bridge-сеть без IP masquerading, образ закреплён; pull на занятии запрещён.

Не цель

Не сканировать LAN, внешние адреса и рабочие локальные сервисы на 8080/8081/8090. Kali — рабочий инструмент, не намеренно уязвимая машина.

Минимальный PoC

После подтверждения смены контекста остановиться: не выгружать данные, не выполнять persistence и не расширять доступ.

Reset

Остановить только контейнер pentest-juice, удалить только сеть pentest-lab, убедиться, что порт 3000 закрыт.

Учебная последовательность

  1. До запуска: порт 3000 закрыт; сформулировать scope и ожидаемый результат.
  2. После запуска: nmap -Pn -sV -p 3000 127.0.0.1; отделить наблюдение от вывода.
  3. В браузере: обычная ошибка Login как baseline.
  4. Только в локальном Juice Shop: email ' OR true--, любой непустой учебный пароль.
  5. Зафиксировать request/response без токена; после смены роли — STOP.
  6. Описать CWE-89, исправление, detection и проверку устранения.

Шаблон находки

НазваниеКоротко: дефект + компонент + последствие ГраницаТочный актив, версия, роль, время и разрешённый сценарий НаблюдениеЧто было видно до интерпретации ШагиМинимальная воспроизводимая последовательность без лишних действий ДоказательствоОбезличенные request/response, скриншот, релевантный журнал КлассификацияCWE / OWASP / WSTG; CVSS-вектор с допущениями ПриоритетCVSS, EPSS/KEV при наличии CVE, экспозиция и критичность актива ИсправлениеRoot cause, конкретная инженерная мера и защитный сигнал RetestPoC отклонён; допустимый сценарий не сломан; артефакты очищены

Проверенные источники

Актуальность: по указанным первоисточникам