Віталій К.
In labore virtus, in studio anima.
Особисте повідомлення
Запропонувати роботу
Львів,
Україна
1 рік тому
вільний для роботи
на сервісі 2 роки
Рейтинг
Успішних проєктів
Середня оцінка
Рівень володіння мовами
Українська: носій
Резюме
Займаюсь аудитом і тестуванням безпеки сайтів, веб-додатків, застосунків, програмного забезпечення, інформаційних систем, хмарних сервісів і технологій. Надаю консультації з інформаційної безпеки. Виявляю і усуваю недоліки, баги, вразливості в роботі електронних ресурсів.
Навички та вміння
Програмування
Портфоліо
-
2500 UAH Розгорнути поштовий сервер і додати DNS-записи безпеки
Адміністрування систем та мереж
Задача: Клієнт звернувся з проханням налаштувати поштовий сервер для його бізнесу, забезпечити правильну роботу відправки та отримання електронних листів, а також налаштувати всі необхідні записи безпеки (SPF, DKIM, DMARC), щоб уникнути потрапляння листів у спам.
Робота включала:
— Розгортання поштового сервера на виділеному VPS.
… — Налаштування безпечної аутентифікації та шифрування з використанням SSL/TLS.
— Конфігурація записів DNS (SPF, DKIM, DMARC) для захисту домену від спуфінгу та підвищення надійності відправлених листів.
— Проведення тестування на відповідність стандартам поштових служб і перевірка, щоб листи не потрапляли у спам.
— Оптимізація налаштувань сервера для стабільної та надійної роботи.
— Тестування сервера на платформі Mail-tester.com, щоб отримати найвищий рейтинг з точки зору поштових налаштувань і безпеки.
Результати:
— Успішно налаштований поштовий сервер, що відповідає сучасним стандартам безпеки.
— Всі листи клієнта надійно відправляються та доставляються до скриньок отримувачів без потрапляння у спам.
— Забезпечений високий рівень захисту від шахрайства та фальшивих листів через впровадження SPF, DKIM і DMARC.
— Підвищена репутація домену, що сприяє безперебійній роботі поштової системи.
-
10 000 UAH Зовнішній аудит безпеки веб-додатку
Кібербезпека та захист даних
Задача: Проведення зовнішнього аудиту безпеки веб-додатку [NDA] для виявлення потенційних вразливостей, оцінки рівня захисту і забезпечення відповідності кращим практикам кібербезпеки. Основною метою було виявити потенційні загрози і запропонувати рекомендації для їх усунення, тим самим підвищивши загальний рівень безпеки веб-додатку.
Робота включала:
… — Первинний огляд: Збір інформації про веб-додаток, включаючи структуру, використовувані технології та зовнішні інтеграції, для розуміння загального контексту безпеки.
— Автоматичне IAST/DAST сканування: Проведення динамічного та інтерактивного аналізу безпеки додатку з використанням автоматизованих інструментів для виявлення вразливостей на рівні коду та під час виконання додатку.
— Напівавтоматичне / ручне сканування: Виконання детальних напівавтоматичних і ручних перевірок для виявлення складних вразливостей, які можуть бути пропущені автоматичними інструментами.
— Збір хостів: Ідентифікація доменів, субдоменів та IP-адрес, пов'язаних із веб-додатком (Host Harvesting / Subdomain Discovery), для подальшого аналізу їх безпеки.
— Аналіз хостів і IP-адрес (WEBINT): Проведення розвідки (WEBINT) для збору інформації про хости та IP-адреси, що дозволило виявити потенційні точки входу для атак.
— Сканування мережевого периметру (Network Perimeter Overview): Оцінка захищеності мережевого периметру веб-додатку, виявлення відкритих портів і сервісів, а також оцінка ризиків.
— Аналіз DNS-зони (DNS Discovery): Перевірка конфігурації DNS-зон на наявність можливих уразливостей і неправильних налаштувань.
— Аналіз TLS/SSL: Перевірка налаштувань TLS/SSL для забезпечення надійного шифрування даних і захисту від відомих атак на рівні протоколу.
— Аналіз SMTP-сервера: Оцінка безпеки SMTP-сервера, включаючи налаштування аутентифікації та захисту від спаму.
— Аналіз FTP-сервера: Перевірка FTP-сервера на наявність слабких місць, таких як незахищена передача даних або слабкі паролі.
— Аналіз SQL-сервера: Перевірка SQL-сервера на наявність уразливостей, таких як SQL-ін'єкції або неправильні налаштування безпеки.
— Аналіз SSH-сервера: Оцінка безпеки SSH-сервера, включаючи налаштування аутентифікації, захист від брутфорсу та використання надійних ключів.
— Аналіз HTTP-заголовків: Перевірка конфігурації HTTP-заголовків для запобігання атакам XSS, Clickjacking, ін'єкціям та іншим типам загроз.
— Аналіз технологій (Technology Lookup): Визначення технологій і фреймворків, що використовуються на сайті, для виявлення можливих вразливостей у їх конфігурації.
— Парсинг структури (збір файлів і URL): Збір та аналіз усіх доступних файлів і URL на сайті для подальшого тестування на вразливості.
— Аналіз параметрів URL: Перевірка параметрів URL на наявність можливих уразливостей, таких як SQL-ін'єкції або XSS.
— Аналіз вихідного коду (Source Code Analysis): Проведення аналізу вихідного коду для виявлення логічних помилок, вразливостей у коді та інших ризиків.
— Аналіз веб-елементів: Детальне тестування POST/GET запитів, форм і інших веб-елементів на наявність уразливостей.
— Ідентифікація та оцінка вразливостей: Збір і оцінка всіх виявлених вразливостей, включаючи їх класифікацію за рівнем критичності.
— Підготовка звіту: Складання детального звіту, що включає всі виявлені вразливості, їх можливий вплив на безпеку веб-додатку та рекомендації щодо усунення ризиків.
Результат: Веб-додаток пройшов всебічний аналіз безпеки, що дозволило виявити та усунути критичні вразливості. Після впровадження рекомендованих заходів безпеки було забезпечено високий рівень захисту додатку, що значно знизило ризик успішних атак і забезпечило безпечну роботу для користувачів.
-
6000 UAH Виявлення та видалення шкідливого коду на веб-сайті
Кібербезпека та захист даних
Задача: Клієнт звернувся з проблемою підозрілого поведінки веб-сайту [NDA], що вказувало на можливе зараження шкідливим кодом. Мета полягала у виявленні та видаленні шкідливого коду, щоб відновити безпечну роботу сайту та запобігти подальшому поширенню загроз.
Робота включала:
… — Початковий аудит: Виконання сканування сайту для виявлення шкідливого коду, прихованих скриптів та інших підозрілих елементів.
— Виявлення шкідливого коду: Шкідливий код був знайдений у файлі:
/home/[nda]/[nda]/www/catalog/view/javascript/jquery/jquery-2.1.1.min.js
— Реверс-аналіз шкідливого коду: Шкідливий код document.write(""+"") реалізував зашифрований редирект на CDN34.com, який перенаправляв користувачів на шкідливі сайти.
— Аналіз і видалення: Видалено зловмисний код з відповідного файлу, після чого проведено повний перегляд інших файлів для забезпечення відсутності аналогічних загроз на сайті.
— Відновлення файлу: Відновлено оригінальний, чистий файл jquery-2.1.1.min.js, щоб забезпечити його коректну роботу без шкідливих елементів.
— Перевірка сайту після видалення: Після видалення шкідливого коду сайт був протестований на предмет безпеки та коректної роботи, щоб переконатися у відсутності подальших загроз.
Результат: Шкідливий код було успішно виявлено та видалено з сайту. Було забезпечено відновлення безпечної роботи веб-ресурсу, зупинено редирект на шкідливі сайти, що захистило користувачів від потенційних загроз. Підготовлено рекомендації щодо подальших заходів безпеки для запобігання повторному зараженню.
-
5000 UAH Очистка веб-сайту від вірусів
Кібербезпека та захист даних
Задача: Клієнт звернувся з проблемою зараження веб-сайту [NDA] шкідливим програмним забезпеченням, що призводило до небезпечної поведінки ресурсу та можливого компрометації даних користувачів. Мета полягала в повній очистці сайту від вірусів, відновленні його безпеки та захисті від подібних загроз у майбутньому.
Робота включала:
… — Початковий аудит: Виконання комплексного сканування сайту для виявлення шкідливого коду, прихованих скриптів і шкідливих файлів, використовуючи спеціалізовані інструменти та методи аналізу.
— Ідентифікація джерела зараження: Визначення шляхів, через які шкідливе ПЗ потрапило на сайт, наприклад, через уразливості в CMS, плагінах або завантажених файлах.
— Видалення шкідливого коду: Повна очистка файлів і баз даних від шкідливого коду, скриптів та бекдорів. Видалення або заміна заражених файлів на чисті копії.
— Аудит та зміцнення конфігурацій: Перевірка та оновлення всіх конфігураційних файлів, бази даних, а також прав доступу для мінімізації ризиків повторного зараження.
— Встановлення та налаштування заходів безпеки: Встановлення та налаштування засобів захисту, таких як Web Application Firewall (WAF), антивірусний сканер на сервері та інструменти моніторингу для виявлення та блокування загроз у реальному часі.
— Повторне сканування та тестування: Проведення повторного сканування сайту після очистки для підтвердження відсутності вірусів та інших шкідливих елементів.
— Надання рекомендацій щодо безпеки: Розробка рекомендацій для клієнта щодо підтримки безпеки сайту, включаючи регулярні оновлення, резервне копіювання та моніторинг.
Результат: Сайт був повністю очищений від шкідливого ПЗ, відновлено його безпечну роботу. Після виконання роботи всі тестові перевірки показали відсутність загроз. Було впроваджено додаткові заходи безпеки, що допомогли захистити сайт від подібних атак у майбутньому.
-
4000 UAH Покращення безпеки SSL/TLS для веб-додатка
Кібербезпека та захист даних
Задача: Завдання полягало в підвищенні рівня безпеки SSL/TLS конфігурації веб-додатка [NDA] для забезпечення надійного шифрування даних, що передаються між сервером і клієнтами. Мета — захист від атак типу Man-in-the-Middle, зловживань слабкими шифрами та іншими загрозами, пов'язаними з неправильною конфігурацією SSL/TLS.
Робота включала:
… — Аудит поточної конфігурації SSL/TLS: Перевірка використовуваних протоколів, шифрів і налаштувань на відповідність кращим практикам безпеки.
— Відключення небезпечних протоколів: Вимкнення застарілих та уразливих протоколів, таких як SSL 2.0 і TLS 1.0/1.1, для запобігання атак типу POODLE та інших вразливостей.
— Налаштування сильних шифрів: Забезпечення використання тільки надійних шифрів для шифрування даних, що передаються.
— Впровадження HSTS (Strict-Transport-Security): Налаштування HSTS для примусового використання HTTPS на всіх з'єднаннях, захисту від атак з пониженням рівня безпеки.
— Аудит і налаштування сертифікатів: Перевірка коректності встановлення SSL-сертифікатів, їх відповідності доменам і термінів дії, а також налаштування сертифікатів з використанням сучасних алгоритмів підпису (наприклад, SHA-256).
— Тестування на уразливості SSL/TLS протоколів: Проведення тестів на вразливості SSL/TLS за допомогою інструментів, таких як SSL Labs та ssltest.sh, для перевірки на відсутність відомих загроз.
— Оптимізація налаштувань конфігурацій: Внесення змін для досягнення балансу між безпекою і продуктивністю, включаючи налаштування оптимальних параметрів сесійних ключів та сеансів.
Результат: Внаслідок виконаної роботи веб-додаток отримав значно покращену SSL/TLS конфігурацію, що забезпечила високий рівень захисту від атак на рівні транспортного протоколу. Усі тестові перевірки пройшли успішно, що підтвердило відповідність найкращим практикам безпеки в галузі.
-
2000 UAH Додати HTTP-заголовки безпеки для домену
Кібербезпека та захист даних
Задача: Мені було доручено підвищити рівень безпеки веб-додатку [NDA] шляхом додавання та налаштування HTTP-заголовків безпеки. Мета полягала в захисті від широкого спектру веб-загроз, таких як атаки XSS, Clickjacking, MITM, SQL-ін'єкції та інші вразливості.
Робота включала:
… — Аналіз поточного стану безпеки веб-додатку з точки зору відсутніх або неправильно налаштованих HTTP-заголовків.
— Додавання та налаштування критичних заголовків безпеки, таких як:
—— Content-Security-Policy (CSP): Запобігання виконанню шкідливих скриптів і захист від XSS-атак.
—— Strict-Transport-Security (HSTS): Примусове використання HTTPS для всіх з'єднань, захист від атак з перехопленням даних.
—— X-Frame-Options: Запобігання атакам типу Clickjacking шляхом обмеження можливості вбудовування сторінок на сторонніх ресурсах.
—— X-Content-Type-Options: Захист від MIME-тип атаки шляхом відключення автоматичного визначення типу контенту.
—— Referrer-Policy: Контроль за тим, яка інформація передається в заголовку Referrer.
—— Permissions-Policy: Обмеження доступу до API браузера, які можуть бути використані для шкідливих дій.
— Перевірка та тестування внесених змін для забезпечення сумісності та ефективності доданих заголовків.
— Оптимізація налаштувань заголовків для максимального рівня безпеки без негативного впливу на продуктивність і функціональність сайту.
— Повторне сканування та тестування домену для підтвердження правильності та ефективності налаштувань.
Результат: Після впровадження HTTP-заголовків безпеки домен став значно більш захищеним від широкого спектру веб-атак. Результати тестів показали зниження ризиків і відповідність кращим практикам безпеки для веб-додатків.
-
6000 UAH Інтегрувати систему кіберзахисту та підвищити безпеку веб-сайту
Кібербезпека та захист даних
Задача: Мені було доручено покращити систему безпеки веб-сайту [NDA] та захистити його від вразливостей, виявлених під час сканування за допомогою Acunetix. Мета полягала в тому, щоб підвищити рівень безпеки сайту та забезпечити успішне проходження всіх перевірок на вразливості.
Робота включала:
… — Аналіз звіту Acunetix та ідентифікація вразливих місць.
— Аудит мережевого периметру для виявлення слабких місць і потенційних точок доступу для атак.
— Встановлення файєрволу на сервері для захисту від несанкціонованих доступів і атак.
— Розгортання зовнішнього WAF (Web Application Firewall) для додаткового захисту від веб-атак.
— Аудит усіх файлів конфігурації з налаштуванням на максимальну безпеку, щоб мінімізувати можливі ризики.
— Впровадження необхідних заходів безпеки для усунення вразливостей, таких як: XSS, SQL ін'єкції, SSRF, LFI/RFI, RCE, слабкі конфігурації SSL/TLS та інших.
— Оптимізація налаштувань сервера та веб-додатку для підвищення їх стійкості до атак.
— Повторне сканування сайту з Acunetix для підтвердження успішного усунення всіх виявлених вразливостей.
Результат: Після проведеної роботи сайт успішно пройшов сканування Acunetix, підтвердивши свою захищеність від відомих типів атак. Було досягнуто високого рівня безпеки, що зменшило ризики компрометації даних і покращило загальний стан безпеки сайту.
Активність
| Останні ставки 2 | Бюджет | Додано | Терміни | Ставка | |
|---|---|---|---|---|---|
|
Потрібно розробити спуфер камери для Android/Iphone
27 000 UAH
|
|||||
|
Потрібен спеціаліст з пінтестингу, мережева безпека і данні
10 000 UAH
|
