Подготовка
Лекции
В течении семестра у меня было по две пары занятий в неделю для каждой группы, и в это время я постарался впихнуть максимум информации для расширения кругозора. На лекциях рассказывал разное:
- Про опасности интернета вещей;
- Историю борьбы Niantic с любителями покемонов;
- Суть bug bounty программ;
- Примеры уязвимостей, найденных на PornHub;
- Почему так сложно защититься от атак с мобильных приложений;
- Чем так хорош Тор, и почему он может не спасти;
- Истории про фрод в банковской сфере;
И ещё многое другое. На самом деле, я отлично понимаю, что студенты забывают три четверти полученной информации, а оставшаяся четверть к моменту выпуска становится неактуальной.
Поэтому самым важным для меня было донести до студентов, что:
- Сейчас почти любой чайник может быть атакован хакером;
- Нельзя доверять никому, ничему и никогда. Ни пользователям, ни железу, ни софту.
- Хороший разработчик, хороший хакер и специалист по безопасности — три качества, которые не могут не сосуществовать;
- Текущие вычислительные мощности позволяют совершать жуткие вещи;
- Ломать — не строить. Это и интересно и уметь нужно;
- Тёмная сторона может быть привлекательной. Но там печенек гораздо меньше, чем на светлой — а вот отхватить от джедаев можно по полной.
Семинары
С учётом того, что времени на семинарах было заметно меньше, чем хотелось бы (да, этот предмет я готов вести хоть несколько лет — тема очень глубокая), пришлось выбирать какую-то конкретику, которой студенты будут заниматься в максимально прикладном характере, чтобы их представление о хакинге несколько отличалось от фильмов с красивыми бегущими зелёными строчками. При этом мне хотелось максимально рассмотреть именно способы атаки, а не варианты защиты. Наиболее интересно мне показалось рассмотреть атаки на веб приложения. Они наглядны, эффектны, и многие из используемых там принципов можно так же применить на мобильные и даже десктопные приложения. Поскольку студенты в прошлом семестре изучали PHP, то рассматривали эти уязвимости в PHP — с оговоркой на то, что практически всё то же самое справедливо для других языков разработки.
В целом лабораторные были такие:
- SQL injections. Возможно, кто-то назовёт меня старпёром, и расскажет, что все современные языки уже не дают так себе выстрелить в ногу… Но практика показывает, что это не так. Легаси код и кривые ленивые руки творят чудеса.
- XSS;
- Загрузка вредоносных файлов;
- Clickjacking;
- Генерация HTTP запроса. Эту лабораторную я добавил, когда увидел, что студенты не очень хорошо понимают, как работает HTTP. В следующий раз эта лабораторная будет первой;
- Автоматизированное тестирование;
- Шифрование. Криптографию я постарался свести к полному минимуму (безумно важная наука и предмет, на которую можно было бы отвести отдельный семестр, но время, время). Но нужно хотя бы знать, чем хэширование отличается от шифрования и ЭЦП, а так же где можно и где нельзя использовать md5.
- Тестирование DVWA (Damn Vulnerable Web Application) при помощи инструментов Kali Linux. Из забавного — в процессе тестирования мы нашли несовместимость с PHP 7. После чего мгновенно исправили это в студенческом дистрибутиве и отправили пулл реквест в основной репозиторий. Пулл реквест был сразу принят.
Полные задания лабораторных можно посмотреть тут — выкладка на github pages быстра, удобна, и позволяет быстро исправлять какие-то найденные в задании косяки. Студент нажал F5 — и вот у него уже новая версия задания! Для особо вредных читателей — сразу признаюсь, что местами там идёт копирование википедии. Можно было бы давать ссылки — но там часто попадаются прекрасные вещи вроде этой. Так что приходится переписывать материалы руками. И то периодически студенты находили в интернете всякие нетривиальные решения…
Экзамен
Для экзамена было заготовлено специальное уязвимое веб приложение (ссылка есть в конце поста). Изначально у меня было желание заготовить дополнительных уязвимостей в самой машине (устаревшее ПО, открытые порты сервисов с простыми паролями и так далее), но решил, что на это не хватит времени — поэтому ломали только непосредственно само приложение.
Перечислять лишний раз уязвимости не буду, поскольку там было ровно то, что мы проходили на лабораторных работах. Заранее предупреждаю — там некачественный код! Тонны его! В этом и был смысл.
Забавный алгоритм мы придумали для оценки студентов. Для экзамена использовался формат bug bounty, и поэтому каждая уязвимость стоила там некоторую сумму вознаграждения. Всё как во взрослом настоящем мире. И экзамен нужно было купить… Отличная оценка стоила 20.000 долларов, удовлетворительная 12.000.
Если кому интересно, то сама виртуалка была поднята на vagrant+virtualbox, в качестве ОС там был CentOS 7, из ПО стоял nginx+mariadb+php-fpm плюс несколько расширений. Так же на экзамене можно было пользоваться заготовленным стандартным образом Kali Linux 2016.2 — аналогичный тому, который мы использовали на лабораторных работах.
Экзамен длился пять часов (мы практикуем формат WorldSkills). Он прошёл без всяких неожиданностей — всё работало, всё (что нужно) ломалось, все студенты, которые ходили на пары, сдали. Кто не ходили — увы. По-моему, так и должно быть.
Работа над ошибками
После экзамена я запилил вот такой анонимный опросник — гугл формы просто божественны для быстрого сбора фидбека. Если интересно, можете прокликать — я специально экспортировал себе результаты опроса студентов и оставил форму открытой (на текущий момент их заполнило уже 160 человек с хабра). Приятно было получить 13 ответов — при общем количестве студентов в 30 человек и отсутствию обязаловки по заполнению это просто отличный результат. Так же очень обрадовало, что ребятам понравился курс, и отзывы по большей части позитивные. Хвалить себя здесь я смысла не вижу, так что остановимся на критике (авторская орфография сохранена):
Крайне мало информативности по лабам на лекциях.
Да, есть такое дело. Мне хотелось максимум всего интересного рассказать на лекциях, а лабораторками заниматься на семинарах. Но, видимо, надо им тоже уделять время лекций.
Мало времени выделено в течении семестра на лекции.
Да, у нас было по паре лекций в неделю. Приятно, что ребята увидели, что можно было рассказать ещё очень много всего. Ну что же — может быть, мы ещё встретимся в магистратуре.
Отсутствие проектора на первых лекциях.
Да, аудиторию с проектором я получил не сразу. С ним выходит гораздо нагляднее.
Kali и LInux в целом надо бы показать людям более подробно.
Да, тут проблема в том, что курса по Linux до этого не было. Надо будет скорректировать последовательность курсов.
Было трудно приходить на лекции так рано.
Мне тоже :)
В качестве улучшения, я бы предложил(а) добавить в курс интеректива. Например блиц опросы, тесты на лекциях (гуглить kahoot). Это бы увеличило вовлечённость студентов и дало бы понимание кто и где плавает.
Отличная идея. В следующий раз сделаем.
Видео с ютуба
Да, проблема с наглядными материалами была. Причём с видео на русском вообще проблема серьёзная. Его нет, а то, что есть, настолько чудовищно… И дикция куда хуже моей, и часто возникают ситуации, когда автор совершает ошибку, после чего в течении 10 минут её ищет и откатывается обратно… А на заднем фоне в это время играет «Владимирский централ» и фишки домино стучат. В общем, нужны очень крепкие нервы, чтобы это смотреть. А писать своё видео с нуля это весьма трудозатратно. Так что в результате я или использовал видео материалы Positive Technologies (очень люблю этих ребят!), или ставил английское видео и озвучивал его. В следующий раз нужно будет или записать самостоятельно, или хотя бы наложить свою озвучку. Но надо будет искать человека на это, поскольку моя дикция хромает. В общем, задача есть, сложная, но подъёмная.
Трудно слушать речи с недочетами в дикции, а также стоило бы говорить погромче, дальше 2-й парты часто просто было неслышно.
Да, есть такое. Рад, что это заметил только один студент (ну или просто остальные избыточно вежливы). Буду стараться исправляться и использовать микрофон для усиления звука. Громко говорить две-три пары подряд просто горла не хватает — и так на работу потом приходил без голоса.
Неприменимая теория, которую я забуду через пару месяцев.
Увы, так со всей теорией. Но я надеюсь, что ребята запомнили основные мысли (см. выше). Ну и такие вещи умеют всплывать в памяти, если вы продолжаете ими заниматься.
Письменный материал, который в курсе не особо был полезен.
Тут, видимо, имелось в виду, что не особо полезен для экзамена. Увы, теорию в экзамен положить не удалось. Буду думать, как лучше связать курс.
Люди боятся подходить и спрашивать(проблема глобальная и видимо не лечится с годами и курсами), надо как-то придумать подход к ним, чтобы студенты сами приходили и интересовались как что делать, если совсем не понимают. Ничего предлагать не стану, просто это надо как-то обдумать.
Да, проблема есть, и она очень серьёзная. У первого курса, который курирую по проектам микроэлектроники, всё ещё хуже. Ребята просто не умеют спрашивать (хотя тут есть интересное разделение по половому признаку — девушки охотнее задают вопросы). Постараюсь исправить большим количеством обратной связи — в том числе тестами, опросами и так далее. Убедить ребят задавать вопросы безумно сложно.
Так же многие студенты указали на то, что хотелось бы иметь больше времени на экзамен. Надо думать. ИМХО, 6-8 часов работать головой почти нереально — возможно, надо сокращать программу экзамена, чтобы лучше уложиться в 4-5 часов. Или действительно делать перерыв.
Ещё ребята писали, что была несовершенная система оценки уязвимостей — были небольшие награды за небольшие уязвимости, а за большие можно было получить сразу треть нужной награды. С одной стороны, большие уязвимости мной так и задумывались — их мало кто найдёт, но если уж найдёт — это вознаградится по полной. С другой стороны, явно было нужно больше маленьких уязвимостей. Есть над чем поработать.
Итоги
В целом я доволен, хотя предстоит ещё много работы по доработке курса. Радует то, что теперь есть костяк, на который уже легче наращивать больше вкусного “мяса”. И хорошо, что первый блин — не комом. А дальше будет больше, интереснее и вкуснее!
Буду рад фидбеку от аудитории хабра. Прямо сейчас вы можете повлиять на будущее российского образования и на то, какие соискатели придут к вам через несколько лет.
P.S. Ищу сейчас хорошего QA-инженера в свою команду. Принимаю резюме с отчётами по данному приложению ;)
P.S.2. Вы можете позвать меня читать какой-то курс у вас. Но должно быть социально-полезно, интересно, или за деньги (лучше, конечно, все три). А то постоянно приходят предложения от всяких милых компаний — придумайте и прочитайте нам курс за несколько рублей, с вас все материалы, видео, методички, и курс остаётся в нашей собственности… Мне страшно думать, кто для них пишет материалы, и чему такие курсы обучают студентов.
Благодарности
Без этих людей такого экзамена не было бы. Так что благодарности:
- Руководителю образовательной программы «WEB-технологии» Ивану Чикунову и декану факультета информатики и систем управления Андрею Филипповичу — за то, что позволили мне устроить такой беспредел;
- Денису Васильеву, ведущему курс по мобильной разработке — за то, что смог круто проинтегрировать свой экзамен по мобильной разработке с моим;
- Заведующей Фаблаба Московского Политеха Ольге Прудковской — за то, что позвала меня в Московский Политех, и за вдохновляющий пример (она очень крута!);
- Владимиру Канину, моему директору в компании PayMe — за то, что выделяет мне время на то, чтобы делать мир немного лучше;
- Дмитрию Леонову, автору BugTraq.Ru и замечательному преподавателю моей родной кафедры АСУ в РГУ нефти и газа имени Ивана Михайловича Губкина. Без него я бы ни за что не стал ни хорошим специалистом, ни преподавателем. Отдельное спасибо за разрешение использовать его методические материалы на своих занятиях. Спасибо ему за глубокие и современные знания, которые он даёт. Уже семь лет с момента моего выпуска ему икается, когда я в очередной раз вспоминаю с благодарностью его занятия. Могу только надеяться, что мне когда-нибудь будет икаться так же.
- Моей жене и детям. Жене — за то, что терпит мои ночные посиделки с подготовкой. Детям — за то что стимулируют меня к тому, чтобы ко времени их поступления в ВУЗ там были хорошие образовательные программы.
Ссылки
- Исходник приложения;
- Образ машины, готовой для тестирования. Развернуть крайне просто — стартуете машину и идёте на 80 порт. Логин и пароль для тестирования — «ivanov», «1». Прошу некоторое время оставаться на раздаче — раздаёт только мой сервер на Google Compute Engine, и поэтому выходит не слишком быстро. Приятно, что уже 11 человек скачали образ;
- Мои контактные данные на случай, если у нас нашлось что-то общее.
Комментарии (35)
DarkGenius
23.01.2017 16:30+1Но нужно хотя бы знать, чем хэширование отличается от шифрованиЯ…
foxmuldercp
23.01.2017 17:50Ну, хоть не Кеширование, а то я и такую опечатку встречал. специалисту то понятно, но споткнуться и затупить можно.
lnroma
23.01.2017 19:50Это вы сспецом так на «быдлокодили» а в глаза бросаеться сразу dump.sql, sql-inj в авторизации, файлы .inc, проверка авторизации через cookie, Ну и coding style нервно курит в сторонке
jehy
23.01.2017 19:57+1Вы не поверите, но да. Об этом даже в статье было написано. Но, кстати, именно в авторизации SQL injection нет...
NoMad42
23.01.2017 20:42Давно не секрет что один из лучших дистрибутивов линукс для пентеста — Kali.
Но не так давно встретил blackarch. И многие отзывы очень положительны. Хотелось бы узнать ваше (и других опытных товарищей) мнение об этом дистрибутиве.jehy
23.01.2017 20:51Ммм, моё мнение — волшебный дистрибутив на все случаи жизни собирать довольно бесполезно. Вы же не будете пользоваться всеми двадцатью тысячами встроенных инструментов? Имхо, избыточный дистрибутив превращается в что-то вот такое. А конкретно актуального для вас софта там всё равно может не быть… Так что если вы серьёзно занимаетесь пентестами, то вам нужен свой дистрибутив с кучей дополнительного софта. А собирать его нужно на том, на чём быстрее и проще. В этом плане мне кажется, что лучше Kali (так как Ubuntu). Ну или что-нибудь от редахата. И при этом забить на размеры и легковесность. Вы же не на дискете с Arduino его запускаете…
Но скрины blackarch выглядят очень по-хакерски. Красиво. В особенности top.
LukaSafonov
23.01.2017 21:26+4Кроме Kali есть еще несколько не менее популярных дистрибутивов: лучшие дистрибутивы для проведения тестирования на проникновение.
Dimenko
23.01.2017 20:51«Криптографию я постарался свести к полному минимуму...»
и при этом курс называется Информационная безопасность?
Практики, видимо, много в курсе было, а теория была предварительно?jehy
23.01.2017 20:58+2Увы, теории предварительно не было — только то, что успел дать на лекции. Просто у меня стоял выбор — или выделить половину времени на криптографию (которую они благополучно забудут к выпуску), или попробовать дать довольное практичные вещи, которые они смогут использовать вот прямо сейчас — и есть шанс, что не забудут. Поскольку это было направление веб разработки, то я выбрал второй вариант. А вот собственно у направления информационной безопасности в Политехе программа полноценная, и там криптографии выделено много времени.
bvsKenny
24.01.2017 00:04У нас только к пятому курсу появилась такая практика. Было достаточно интересно, по теории и лекциям все было сухо, пришлось все материалы самим искать…
з.ы. Студент пятого курса.
FancyMalware
24.01.2017 01:51+1А я вот смотрю на все это. И не понимаю, то ли мне улыбаться ( как бывшему блэку ), то ли грустить ( как бывшему блеку ).
Я бы не делал упор на всяких хаколинуксах, специалисты из них не вырастут. Максимум что может быть полезно из этих кали всех — это BurpSuite и sqlmap — для пентеста веба. Что прекрасно работает и под виндой. И все. Я бы добавил что-нибудь про бинарные уявзимости, вроде rce и lpe, ибо актуально.
И все эти хакосборки пентестные вбивают в голову человека, что блекбокс — это круто, а на самом деле блекбокс почти никогда не дает действенных результатов. Я не знаю, как проходил курс, но все же более подробно нужно показать именно код, код, и еще раз код, а не пентестить все эти дырявые приложения в режиме блекбокса.
Разберите не то, что специально писалось в наигранном режиме «быдлокодера», а существующие патчи и дыры. Посмотрите багфиксы на SQLi, LFI, CSRF, XSS и подобные в багтрекерах на таких движках, как Wordpress, Joomla. Пользы будет больше.
Расскажите про бинарные уязвимости. shellshock линуксовый, различные lpe виндовые.
Иначе вы растите дипломированных скрипткиддисов.
У меня всеjehy
24.01.2017 02:29А вы не грустите, а прочитайте таки статью внимательно. Специально же рассказано, как занятия проходили. Каждая лабораторная подробно описывала свой тип уязвимости, а в финале был DVWA, одна из главных фич которого — наглядная демонстрация кода нескольких уровней качества. И по большей части ребята из Kali использовали sqlmap, burp и Hydra. И проще всего было выдать им одну пентестерскую виртуалку, чем тащить весь огород по овощу отдельно. Хотя общее представление об остальных инструментах они так же получили. Тот же siege, nmap, aircrack-ng…
А на экзамене был black box… Потому что это экзамен. Поверьте, такой формат экзамена для пентестеров принят во всём мире не просто так. И его ребята ломали, исходя именно из предположений о том, что могло быть в коде. И поверьте — мой «наигранный» режим написания кода вполне отражает текущую печальную реальность. Риск получить script kiddies, показывая уязвимости реальных версий старых приложений — гораздо больше. А наглядность ровно та же самая.
И пользовались ребята не какими-то волшебными утилитами из хакерских дистрибутивов, а теми же лошадками, что указано выше. Ну да, плюс парочка утилит на поиск generic уязвимостей вроде лишних файлов — почему бы нет.
В программу могло бы войти больше — от lpe до реализации ботнетов, полиморфных вирусов, атаки на облачные инфраструктуры, взлома Android и прочих хартблидов — но тогда мне бы пришлось присвоить себе эксклюзивно студентов на пять лет, и никому не отдавать…FancyMalware
24.01.2017 03:31Тогда извиняюсь. Но в любом случае я уже опубликовал свою версию
https://habrahabr.ru/post/320286/
>> от lpe до реализации ботнетов
Все же по сложности лучше наоборот поставить «от реализации ботнетов до lpe» ;)jehy
24.01.2017 07:55Прочитал. Получается сравнение тёплого и мягкого. Как я уже упоминал в другом комментарии, у меня были ребята со специальности веб разработки. И вы очень наглядно показали в примерах, что для них и для их работы ваша версия бесполезна… Хотя хорошо уметь писать эксплойты — кто бы спорил. Но у меня было цели донести это знание до студентов. Так что я и говорю — тёплое с мягким…
jehy
24.01.2017 02:39Кстати да, забавная вторичная причина появления Kali в восьмой лабораторной — в том, что мне было проще показать, как поднять там тёплый ламповый стек для DVWA. На Windows я это делал в последний раз лет 7 назад, и тогда это было ужасно.
jehy
24.01.2017 08:29Забыл с вами согласиться ещё в одном пункте — про тест black box. Абсолютно согласен, что именно полноценное тестирование должно выполняется с наличием исходного кода, иначе это фикция, а не тест. Хотя опыт показывает, что даже этого не умеют делать — в том числе серьёзные компании, занимающиеся аудитом. Видел, как такую дичь пропускали, что хоть плачь.
Но для экзамена всё равно таки лучше подходит black box.
georgevp
24.01.2017 06:50Выбор сайта в 4-ом пункте программы сделан, наверное, исходя из возраста аудитории? ;-).
jehy
24.01.2017 07:45+1Если вы про порнхаб, то для выбора есть много причин:
- Да, вся аудитория про него знает, и пусть хихикнет и проснётся;
- У них есть bug bounty программа и есть наглядные примеры их багов;
- Там используется родной студенческому сердцу PHP;
theWaR_13
24.01.2017 09:35Кстати, у меня диплом как раз этого вуза (бывший МАМИ) по направлению информационная безопасность. Образования хуже, чем там, как мне кажется, быть просто не может. Это так, вкратце. Если интересно, могу рассказать об этом в личке.
jehy
24.01.2017 09:51Там очень многое изменилось буквально за последнюю пару лет. Очень надеюсь, что темпы сохранятся.
theWaR_13
24.01.2017 10:14Все бы ничего, но закончил я его в 2016 году :) Поэтому ничего там не изменилось…
GerrAlt
24.01.2017 13:52Иногда бывает так что качество полученного образования не можешь правильно оценить сразу после его получения, нужно время попробовать его применить.
Я свое образование начал ценить ~через 3 года, когда понял что фишка его не в том, каким конкретно навыкам/теории меня обучили (всякое было, и актуальное и не очень), а в том что с ним я знаю как становится и оставаться актуальным в области самостоятельно. Дали хорошую базу + рассказали как на нее надстраивать что-то и показали обзор чего вообще существует и куда можно/нужно смотреть.
Само собой оспаривать тезис о качестве не готов т.к. сам там не учился.theWaR_13
24.01.2017 13:56Ну… Когда у вас ведут преподаватели, которые предпочитают выпить перед парой, а иногда и прям на паре. Или на зачете вам покурить в лицо… Преподаватели, которые не знают свой предмет в принципе. Точнее знают на уровне того, что написано в книге 1990 года.
Нет, ничему научиться там нереально. Я сейчас работаю и свою работу я получил исключительно благодаря тому, что учился сам (с ИБ никак не связано). Мой альма-матер абсолютно никак мне не помог. Разве что только дал мне бумажку, которая, возможно, даже и не пригодится.
P.S. Именно бумажку, ибо денег на корочки видимо пожалели :)GerrAlt
24.01.2017 14:39То что вы говорить несомненно является грубым нарушение преподавательской этики и наверняка нарушает устав самого учебного заведения (в части курения еще и ряд общероссийских законодательных актов), но само по себе это все же не является мерилом профессиональной компетенции. По части знания учебника 1990 года издания — тут многое зависит от области.
Из IT области самая старая (по году издания) книга с которой имел дело бы учебник по Си Кернигана Ритчи 1985 года. На мой взгляд хорошо знать этот учебник не стыдно и сейчас (хотя я не сишник, могу ошибаться).
Насчет бесполезности самой «бумажки» должен вас расстроить: по моему опыту работодатели приглашают на собеседования только тех у кого выполнен ряд формальностей. Наличие диплома о ВО часто является критерием допуска на собеседование (иногда даже профильность важна).theWaR_13
24.01.2017 15:28Я не спорю, но всему надо знать меру. Есть известные всему миру книги, которые не теряют свою актуальность и сейчас. Однако, это не из нашей серии. Ибо конкретно у нас были книги малоизвестных авторов, в основном преподавателей вузов, аля «Информационная безопасность. Пособие для студентов». Я что-то крайне сомневаюсь в хотя бы даже малейшей полезности такой книги.
В плане образования зависит от рода деятельности. Много моих коллег-разработчиков говорили о том, что диплом им надо было приносить только в крупные компании, которые работают по закону и выплачивают белые ЗП. В остальном случае было достаточно только строчки в резюме.jehy
24.01.2017 15:45По поведению преподавателей с вами согласен — такое недопустимо. Хотя не совсем понятно, где вы встречались с преподавателем — курение на территории университета не допускается. Ну да ладно. Теоретически всякое может быть, но я такого не встречал.
Насчёт бумажки и «белой зарплаты»… По моему скромному мнению, просто не стоит идти работать в компании, которые в 2017 году платят серую зарплату — это очень стрёмно. Но соглашусь с тем, что многие хорошие компании не требуют диплом — по той простой причине, что разработчиков безумно мало, и первичный отбор по наличию мозгов проходят единицы — тут уже не до отбора по диплому. Сам знаю, поскольку набираю себе команды. Для меня наличие диплома не является сколько либо значащим критерием. Но при этом, надо сказать, все принятые ко мне разработчики имеют высшее образование.
И соглашусь с GerrAlt — парадигма «меня научат» не работает. Максимум, что может дать учебное заведение — вводную и направление движения. Дальше нужно работать самому — в любой области. А в IT в особенности. Есть базовые вещи, но 90% того, что требуют на собеседовании это тренды последних 2-3 лет.theWaR_13
24.01.2017 15:47jehy, если в корпусе на Автозаводской будете, постойте минут 15-20 около мужского туалета на 8 этаже, там и встретите :)
safinaskar
24.01.2017 11:25Я надеюсь, вы объяснили студентам, что не все вендоры рады репортам уязвимостей, не говоря о баг баунти. Бывают угрозы, ругань, подают в суд
kazin8
25.01.2017 03:30+1Читал несколько лекций по пентестингу для студентов как в вузе, так и на научных конференциях. Слушали всегда охотно, вопросов всегда была масса. Просто перед началом лекции сажусь на парту и общаюсь с ними — узнаю, кто где работает, чем интересуется и так далее. И всегда прошу задавать вопросы сразу, как только они у них возникают в голове — обычно, когда знаешь материал, тебя невозможно сбить с мысли, а вот студент со своим вопросом может не дождаться окончания твоих рассуждений. Это так, может в следующий раз поможет вам еще больше расположить к себе аудиторию.
Что касается содержания вашего курса и тд — это не так важно, как может показаться. Если курс поможет заинтересовать ребят практической стороной вопроса, сможет показать, что те знания, которые они получают в ВУЗе, действительно можно применить на практике просто немного включив голову — то курс такой очень ценен. Приятно, что в ВУЗах начинают потихоньку думать в этом направлении.
VladSkliar
Добрый день. Скажите есть ли материалы ваших лекций в облаке или как можно получить эти материалы? Все по частям думаю можно найти в интернете, думаю Ваши материалы уже структурированы и будут очень полезны.
jehy
Здравствуйте. Части материалов в открытом виде, к сожалению, нет (читал по разрешению автора, а вот выкладывать некорректно), часть читалась по мотивам свежих уязвимостей, ещё часть — на основании опыта. К сожалению, пока не успел это формализовать в письменном виде. Но это лекционные материалы, которые служат по большей части для расширения кругозора и осознанию ситуации, сложившейся вокруг информационной безопасности. Их можно неплохо заменить хабром по метке «информационная безопасность» и каналом Positive Technologies (нет, они мне не платят, просто они крутые).
Что касается практических заданий — я старался давать исчерпывающее описание прямо в задании — там обычно есть и тексты и ссылки.
Xadok
Сам сейчас студент, и интересует несколько моментов. Некоторые отдельные аспекты из указанных вами направлений мне известны. Но собственно самой ИБ у нас нет, посему на каком курсе был экзамен? И как вы оцениваете, насколько студентам было интересно это узнать и позже использовать свои знания пусть и в обучающих целях?
jehy
Экзамен был на третьем курсе. Раньше делать точно нет смысла — должны быть какие-то начальные знания по сетям и по разработке. Можно делать немного позже. В следующем семестре, скорее всего, буду вести в магистратуре.
Студентам было интересно, это было видно и приятно. Многие после курса успешно сломали собственные веб проекты и радостно мне об этом сообщили — это было лучшей наградой мне как преподавателю.