athacker

Use client certificate authentication, Luke! Только колхозить подписание запросов не нужно, как рекомендует камрад Кирилл Горелов, достаточно просто TLS наладить. Заодно получите шифрованный канал данных. Если нативно сервер этого не умеет, можно на фронт поставить nginx (у вас же там наверняка какой-нибудь REST или что-нибудь такое, да?), который прекрасно умеет в аутентификацию по клиентским сертификатам.

Коллеги выше правильно говорят. Частные знания о некоторых самых простых векторов атаки типа XSS или SQL injection -- это даже не верхушка айсберга, это снежинка на его вершине.

ИБ включает в себя массу самых разных методологий, процессов и технических средств. Попробуйте хотя бы основы системного подхода к ИБ почитать: https://habr.com/ru/company/vps_house/blog/343110/

Для этого используется TLS. Это спец-протокол, который решает все вопросы, которые вы хотите решить. Там есть возможность шифрования, взаимной аутентификации как клиента, так и сервера и всё такое. Минусы -- вычислительно сложно. Т. е. на слабых микроконтроллерах процесс установления TLS-сессии может занимать время, плюс расход батарей. Плюсы -- уже есть готовые либы под множество платформ/архитектур, которые можно использовать, чтобы не изобретать велосипеды и не писать своё.

Гарантия от replay attack достигается тем, что для передачи команды сторонам нужно аутентифицироваться, т. е. это всегда двусторонний обмен. Технически сначала стороны обмениваются сертификатами, проверяют их, затем на основании алгоритма Диффи-Хэллмана формируют симметричный ключ шифрования, который будет использоваться для шифрования потока данных. В общем случае, в каждой сессии этот ключ будет разным. Есть механизмы кэширования и сохранения стейта, для ускорения установления TLS-сессии (допустим, на случай если клиент недавно уже подключался) -- это нужно, чтобы увеличить скорость согласования TLS-соединения), но это всё опционально и отключабельно.

Внутрь TLS можно засунуть что угодно -- кастомный бинарный протокол на базе TCP/IP или REST API на базе HTTP -- без разницы.

Зависит от должностных обязанностей, и от имеющихся у него навыков. Если руководитель в состоянии сам заниматься пентестом -- то почему бы ему этим и не заниматься периодически?

А в целом да -- его задача обеспечить минимизацию рисков ИБ. А как конкретно он будет это делать -- дело десятое. Есть персонал в отделе с определёнными компетенциями и знаниями, есть бюджет отдела, есть стратегия ИБ. Вот в рамках этих трёх ресурсов и нужно действовать.

Инфобез большой. Вас что конкретно интересует?

Я проходил курс Security essentials в учебном центре Hewlett Packard. Хороший курс. Ровно то, что я искал -- основы ИБ с точки зрения методик и подходов, с минимальным касанием техники. С техническими средствами ИБ я и так неплохо знаком, но интересовал именно общий организационный подход, поэтому брал этот курс, и не пожалел. "CIA triad", понимание и оценка рисков, построение стратегии информационной безопасности и так далее. Мне понравилось. Учебный центр хороший, преподы в теме, не только по ИБ, по другим курсам тоже. Курсы по VMware, например, ведёт Максим Мошков :-)