ZAJĘCIA BEZPIECZEŃSTWO APLIKACJI WEBOWYCH 29.03.2026 (zdalny blok zajęć Teams) Marcin Migacz 4174
Podczas zajęć zdalnych omawialiśmy takie zagadnienia jak w poniższych zamieszczonych linkach:
http://karty.apgw.gov.pl:4200/jcw-powierzchniowe
http://bazaoos.gdos.gov.pl/web/guest/home
http://pup.bialystok.sisco.info
http://bip.warszawa.sko.gov.pl/
http://sde24.sw.gov.pl/pinInformation.html
http://www.dzielautracone.gov.pl/katalog-strat-wojennych
http://www.hcv.pzh.gov.pl/Page/o-hcv
https://sklep.certum.pl/bezpieczenstwo-danych/certyfikaty-ssl.html
Porównanie certyfikatów EV według weryfikacji – SSL24
https://www.lh.pl/certyfikaty-sslhttps://www.netwave.pl/certyfikaty-ssl/cennik-certyfikaty-ssl.html
Tanie i najlepsze Certyfikaty SSL. Bezpieczny Home Certyfikat SSL – HitMe.pl
Jeśli masz dostęp do serwera, możesz zalogować się jako administrator lokalny i ustawić bazę danych w trybie jedno użytkownikowym. Stamtąd możesz zmienić hasło SA, a następnie zalogować się i zmienić cokolwiek innego.
- Zatrzymaj usługę SQL Server
- net start MSSQL$INSTANCE /m”SQLCMD” (z podwyższonego wiersza polecenia)
- SQLCMD -S localhost\INSTANCE
- sp_password @new=’hasło’, @loginame=’sa’
- go
- alter login sa
- enable;
- go
https://www.europarl.europa.eu/factsheets/en/sheet/64/digital-agenda-for-europe
https://www.gov.pl/web/cyfryzacja/program-polityki-droga-ku-cyfrowej-dekadzie-do-2030-r3
https://commission.europa.eu/news-and-media/news/state-digital-decade-2025-report-urgent-and-bold-a…
https://www.zus.pl/ezus/logowanie
https://www.gov.pl/web/mobywatel
https://pz.gov.pl/dt/login/login?urlt=3a3o8gku5o5vwc7cu68b
https://pacjent.gov.pl/internetowe-konto-pacjenta/erecepta
https://www.fortinet.com/resources/cyberglossary/unified-threat-management
https://demo.sophos.com/webconsole/webpages/index.jsp#28695
https://www.netia.pl/pl/srednie-i-duze-firmy/youtro-strefa-wiedzy/byod-cyod-cope-ktory-model-jest-n…
Podać po jednym przykładzie rozwiązań hybrydowych i SOA w odniesieniu do aplikacji webowych.
Gdzie zgłaszamy i jak incydenty dotyczące cyberbezpieczeństwa w odniesieniu do aplikacji web?
Zgłoszenie incydentu do CSIRT GOV CSIRT GOV
Zgłoś incydent | CERT.PL>_
1. Gdzie zgłaszać incydenty?
W Polsce funkcjonują trzy główne zespoły poziomu krajowego (CSIRT – Computer Security Incident Response Team):
A. CERT Polska (CSIRT NASK) – Dla obywateli i firm
To najważniejszy punkt kontaktu dla większości osób. Obsługują incydenty dotyczące osób prywatnych, małych i średnich firm oraz operatorów usług kluczowych.
- Strona do zgłoszeń: incydent.cert.pl
- Co zgłaszać: Ataki na strony www, phishing (fałszywe panele logowania), malware, wycieki danych.
B. CSIRT GOV (Agencja Bezpieczeństwa Wewnętrznego) – Dla administracji
Jeśli incydent dotyczy aplikacji webowej należącej do administracji rządowej (np. strony ministerstwa, systemy e-PUAP, gov.pl).
- Strona: csirt.gov.pl
C. CSIRT MON (Wojsko Polskie) – Dla resortu obrony
Dotyczy tylko infrastruktury związanej z Ministerstwem Obrony Narodowej.
D.Właściciel aplikacji (Programy Bug Bounty / Responsible Disclosure)
Zanim zgłosisz incydent do organów państwowych (jeśli np. znalazłeś lukę bezpieczeństwa, a nie jesteś ofiarą ataku), sprawdź, czy firma posiada politykę Responsible Disclosure.
- Poszukaj pliku /.well-known/security.txt na domenie aplikacji (np. example.com/.well-known/security.txt). Tam znajdziesz instrukcję, jak bezpiecznie poinformować twórców o błędzie.
E. Urząd Ochrony Danych Osobowych (UODO)
Jeśli incydent w aplikacji webowej doprowadził do wycieku danych osobowych (Twoich lub Twoich klientów), administrator danych ma obowiązek zgłosić to do UODO w ciągu 72 godzin.
- Strona: uodo.gov.pl
F. Policja / Prokuratura
Jak zgłosić incydent? (Krok po kroku)
Skuteczne zgłoszenie powinno zawierać jak najwięcej konkretów technicznych. Oto co przygotować:
- Adres URL: Dokładny link do aplikacji lub podstrony, której dotyczy problem.
- Opis zdarzenia: Co się stało? (np. strona przestała działać, pojawił się komunikat o okupie, dane użytkowników są widoczne dla wszystkich).
- Czas zdarzenia: Kiedy zauważyłeś incydent (data i godzina).
- Dowody (bardzo ważne):
- Zrzuty ekranu (screenshots): Pokaż błąd, podejrzany formularz lub komunikat.
- Logi serwera: Jeśli jesteś właścicielem aplikacji, dołącz logi (np. z serwera Apache/Nginx).
- Nagłówki HTTP / Payload: Jeśli jesteś specjalistą i znalazłeś lukę, opisz metodę (np. błąd typu XSS lub SQL Injection).
- Twoje dane kontaktowe: Aby eksperci z CERT mogli dopytać o szczegóły.
https://www.enforcementtracker.com
uodo.gov.pl
Zidentyfikować wszystkie podmioty i mechanizm działania Phototrollingu , posiadająć informacje że Kancelaria nazywa się Depicta Legal a serwer z zdjęciami jest obsługiwany przez firmę z Warszawy, której właścicielem jest fotograf upubliczniający swoje licencjonowane zdjęcia.