Ηθικό Hacking 101

1) Threat Modeling (STRIDE) για Web Apps & APIs

Το threat modeling δεν είναι “θεωρία”. Είναι η διαδικασία που σου δίνει καθαρή εικόνα: ποιος μπορεί να σε χτυπήσει, πώς, και πού πρέπει να επενδύσεις άμυνα. Για web εφαρμογές/REST APIs, ένα πρακτικό πλαίσιο είναι το STRIDE:

• Spoofing: πλαστοπροσωπία (π.χ. session hijacking, weak auth).
• Tampering: αλλοίωση δεδομένων (π.χ. parameter tampering, insecure direct object refs).
• Repudiation: “δεν το έκανα εγώ” → κακό audit trail.
• Information Disclosure: διαρροή (π.χ. verbose errors, misconfigured S3, IDOR).
• Denial of Service: κατάρρευση/κορεσμός (π.χ. rate limits, expensive queries).
• Elevation of Privilege: από user σε admin (π.χ. broken access control).

Πρακτική ρουτίνα: σχεδίασε “data flow” (browser → API → DB → τρίτα services), σημείωσε “trust boundaries”, και για κάθε boundary γράψε 2–3 ρεαλιστικές επιθέσεις + mitigation (authZ checks, validation, rate limiting, logging).

2) Detection Engineering: από logs σε σήματα (SIGMA / MITRE ATT&CK)

Η άμυνα δεν είναι μόνο firewalls. Είναι ανίχνευση. Θες να μετατρέπεις logs σε “σήματα” που πιάνουν συμπεριφορές επίθεσης με όσο γίνεται λιγότερα false positives.

• Σκέψη με ATT&CK: χαρτογράφησε detections σε τεχνικές (π.χ. Credential Access, Lateral Movement).
• Σήματα υψηλής αξίας: “impossible travel”, νέα admin grants, abnormal token usage, process chains.
• Σταθερότητα: προτίμησε detections που βασίζονται σε invariants (π.χ. “εκτέλεση από Temp με unsigned binary”).

Tip για προγραμματιστές: βάλε structured logs (JSON), correlation IDs, και event names. Χωρίς αυτά, το SOC δουλεύει “στα τυφλά”.

3) Incident Response Runbook: τι κάνεις όταν “χτυπήσει”

Όταν γίνει incident, ο χρόνος μετράει. Ένα runbook κρατάει την ομάδα ψύχραιμη και αποτελεσματική.

• Triaging: τι βλέπεις (alerts, συμπτώματα), πόσο σοβαρό είναι, ποιο asset αφορά.
• Containment: σταματάς την αιμορραγία (rotate keys, isolate hosts, disable accounts).
• Eradication: καθαρίζεις root cause (patch, remove persistence, fix IAM).
• Recovery: επαναφορά υπηρεσιών με επιτήρηση (enhanced logging, canaries).
• Post-incident: lessons learned + μόνιμα controls (guardrails, unit tests ασφάλειας, policies).

Χρυσός κανόνας: πρώτα containment, μετά “forensics perfection”. Η τελειότητα έρχεται αφού σταματήσει το ongoing compromise.

4) Web Security Hardening: CSP, cookies, headers, ASVS

Αν έχεις περάσει OWASP Top 10, το επόμενο επίπεδο είναι να τυποποιήσεις ασφάλεια με “standards mindset”. Το OWASP ASVS είναι πολύ καλό checklist για requirements.

• CSP: μειώνει δραστικά XSS impact όταν σχεδιαστεί σωστά.
• Cookies: HttpOnly, Secure, SameSite, σωστό lifetime.
• Headers: HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
• AuthZ: έλεγχος δικαιωμάτων server-side σε κάθε request, όχι μόνο στο UI.

Στόχος: να μπορείς να πεις “η εφαρμογή μου περνάει ASVS L2” και να ξέρεις τι σημαίνει αυτό.

5) Cloud & IAM: Least Privilege χωρίς να “σπάει” το σύστημα

Στο cloud, τα περισσότερα incidents είναι IAM και λάθος defaults. Το “least privilege” δεν είναι ένα policy, είναι διαδικασία.

• Ξεκίνα από read-only: δώσε ελάχιστα permissions και άνοιγε μόνο ό,τι χρειάζεται.
• Separation of duties: διαφορετικοί ρόλοι για deploy, secrets, billing, incident response.
• Logging παντού: audit logs, access logs, alerts για “high-risk” actions (π.χ. key creation).
• Break-glass accounts: ισχυρή διαδικασία έκτακτης ανάγκης, όχι “μόνιμος admin”.

6) Secrets & Supply Chain: το αόρατο ρίσκο

Δύο μοντέρνα “προχωρημένα” πεδία που χτυπάνε συχνά πραγματικά projects: διαρροή μυστικών και supply chain.

• Secrets: ποτέ κλειδιά στο frontend ή σε repos. Κάνε rotation, scopes, και παρακολούθηση χρήσης.
• Dependencies: pin versions, κάνε audit, παρακολούθησε CVEs, και πρόσεχε typosquatting packages.
• Build pipeline: CI/CD permissions, signed artifacts, προστασία από “poisoned” builds.
• Runtime controls: περιορισμός egress, allowlists, και anomaly detection σε outbound calls.

Αν θες να πας ακόμα πιο βαθιά, το επόμενο βήμα είναι να οργανώσεις secure SDLC: threat modeling ανά feature, security gates στο CI, και baseline policies σε infra.