बॉक्स में खेलते हैं

कई साल पहले, जब मुझे पहली बार सक्रिय निर्देशिका के साथ काम करने में युवा पेशेवरों को प्रशिक्षित करना था, तो मैं दुख की बात कर रहा था कि प्रशिक्षण केंद्र से मुझे किस तरह की कंप्यूटिंग शक्ति की आवश्यकता होगी। यह वह समय था जब वर्चुअलाइजेशन ने आईटी को जीतना शुरू कर दिया था। मैंने नौकरियों, डोमेन नियंत्रकों, अनुप्रयोग सर्वरों के लिए आवश्यकताओं को एक कॉलम में रखा, और संख्याओं ने मुझे बिल्कुल भी खुश नहीं किया। वे प्रशिक्षण केंद्र के प्रशासक को खुश नहीं करते थे।

तब से, बड़ी संख्या में पाठ्यक्रम पढ़े गए हैं, लेकिन संसाधनों की समस्या कहीं भी गायब नहीं हुई है, जबकि कंटेनरों से भरा एक विशाल नीला स्तन क्षितिज पर लूम में है।
बेशक, मुझे लगता है कि सभी ने "कंटेनर बनाम वीएम" को गुगला दिया और ऐसा कुछ मिला।


यह अधिक व्याख्या नहीं करता है, लेकिन सामान्य सार स्पष्ट है: बड़ी संख्या में ऑपरेटिंग सिस्टम और उन पर एप्लिकेशन के बजाय, हम एक ऑपरेटिंग सिस्टम लॉन्च करते हैं, और आवश्यक अनुप्रयोग इसके अंदर शुरू होते हैं। इस दृष्टिकोण के पास इसके पेशेवरों और विपक्ष हैं, लेकिन आज हम इस बारे में बात करेंगे कि कंटेनर पेंटर और ऑडिटर के प्रशिक्षण में कैसे मदद कर सकते हैं।

जानबूझकर कमजोर काम के माहौल बनाने के लिए कंटेनर का उपयोग करने वाली सबसे सरल चीज हो सकती है। अब, अपाचे, mysql और अन्य चीजों के आवश्यक संस्करणों को तैनात करने के बजाय, हमें हर चीज के साथ एक तैयार कंटेनर मिल सकता है। चलो, निश्चित रूप से, क्लासिक्स के साथ शुरू करते हैं:

• सबसे लोकप्रिय और लानत कमजोर DVWA वेब एप्लिकेशन। अपने पसंदीदा XSS, CSRF, LFI और अधिक के साथ एक क्लासिक php / mysql एप्लिकेशन। थोड़ा पुराना है, लेकिन हर दूसरे पंचक में पाया जाना जारी है:
लानत कमजोर वेब एप्लिकेशन (DVWA) (डॉकटर सिटीस्टिग / डीवीवा खींचो)

• एक अन्य लोकप्रिय अनुप्रयोग जिसमें कमजोरियों को OWASP TOP10 के अनुसार संरचित किया गया है:
OWASP Mutillidae II वेब पेन-टेस्ट प्रैक्टिस एप्लीकेशन (डॉकटर सिटिस्टिक / नोवास्प)

• OWASP जूस स्टोर, जो लोकप्रिय कोणीय, नोड.ज, नोस्कल के आधार पर बनाया गया है, लेकिन इसके लिए कोई कम संवेदनशील नहीं है। प्रवेश परीक्षण के बहादुर दुनिया में उतरने वाले किसी भी व्यक्ति के लिए मेरी पसंद:
OWASP जूस शॉप (docker पुल bkimminich / जूस-शॉप)।

• एक ही OWASP TOP10, केवल Node.js पर आधारित है:
OWASP NodeGoat (बिल्ड- कंपोज़ बिल्ड और& डॉक - कंपोज़ अप)

• कमजोरियों के एक ही सेट के साथ OWASP से एक और आवेदन:
OWASP WebGoat प्रोजेक्ट 8.0 डॉकटर छवि (docker pull webgoat / webgoat-8.0)

• एक बार बकरी होने पर, एक चरवाहा होना चाहिए। हमारे मामले में, यह ओडब्ल्यूएएसपी सुरक्षा शेफर्ड है, जो आपको वेब अनुप्रयोगों के साथ-साथ मोबाइल एप्लिकेशन के ग्राहक पक्ष को देखने की अनुमति देता है:
OWASP सुरक्षा शेफर्ड (docker पुल ismisepaul / securityshepherd)

समय-समय पर, जब एक और भेद्यता प्रकट होती है, तो इसे अपने हाथों से छूने के लिए उपयोगी हो सकता है। इसके लिए आपको वर्चुअल मशीन जुटाने की जरूरत नहीं है। हमारे पास VaaS है - सेवा के रूप में भेद्यता:

• एक सेवा के रूप में भेद्यता: हार्दिक (docker पुल hmlio / vaas-cve-2014-0160)

• एक सेवा के रूप में भेद्यता: SambaCry ( docker पुल कमजोरियों / cve-2017-7494)

• एक सेवा के रूप में भेद्यता: शेलशॉक (docker पुल hmlio / vaas-cve-2014- 25-2727)

आप उन विशिष्ट उत्पादों का भी पता लगा सकते हैं, जिनका आप सबसे अक्सर कीटों से सामना करते हैं, उदाहरण के लिए, कमजोर वर्डप्रेस:

• कमजोर वर्डप्रेस इंस्टॉलेशन (डॉकर्स wpscanteam / weakablewordpress)

इसके अलावा, परीक्षण उपकरण स्वयं कंटेनरों के रूप में प्राप्त किए जा सकते हैं: नैम्प , जैप , वेप्सकैन , मेटासैप्लिट आदि।

और यहां तक ​​कि पूरी काली लिनक्स छवि को डोलर कलिलिनक्स / काली-लिनक्स-डू-कमांड के साथ प्राप्त किया जा सकता है

वैसे, अब कंटेनर स्वयं परीक्षण की वस्तु बन गए हैं, इसलिए स्व-अध्ययन के लिए संबंधित आभासी मशीनें दिखाई देने लगीं - कमजोर डॉकटर: 1 , बीएसआईडीएसटीएलवी: 2018 सीटीएफ , myHouse7: 1 , डोनडॉकॉकर: 1 ।

कंटेनरों के कई फायदे हैं, हालांकि, यह स्पष्ट है कि क्लासिक आभासी मशीनों के अनुयायियों की संख्या कम नहीं हो रही है। इसके कई कारण हैं, लेकिन वास्तव में, यदि आपके प्रशिक्षण केंद्र के संसाधन अनुमति देते हैं, और आप पैकर और वैग्रान्ट का उपयोग करके काम को स्वचालित कर सकते हैं, तो इस विषय पर सोचना जल्दबाजी होगी।

सर्गेई पोलुनिन ,
टीम लीडर, डिज़ाइन विभाग, गजिनफॉर्मस्वेस्क एलएलसी