Η διαδικασία ηθικής πειρατείας - ανδρείκελα

Όπως και για οποιοδήποτε έργο πληροφορικής ή ασφάλειας, η ηθική hacking πρέπει να προγραμματιστεί εκ των προτέρων. Πρέπει να καθοριστούν και να συμφωνηθούν στρατηγικά και τακτικά ζητήματα στη διαδικασία ηθικής πειρατείας. Για να εξασφαλίσετε την επιτυχία των προσπαθειών σας, ξοδεύετε χρόνο μέχρι να σχεδιάσετε τα πράγματα μπροστά. Ο προγραμματισμός είναι σημαντικός για οποιαδήποτε ποσότητα δοκιμών - από μια απλή δοκιμή ρωγμών με κωδικό σε μια δοκιμή διείσδυσης σε μια εφαρμογή Web.

Διατύπωση του σχεδίου σας

Η έγκριση για ηθική hacking είναι απαραίτητη. Κάνετε αυτό που κάνετε γνωστό και ορατό - τουλάχιστον στους υπεύθυνους λήψης αποφάσεων. Η λήψη χορηγίας του έργου είναι το πρώτο βήμα. Αυτό θα μπορούσε να είναι ο διευθυντής σας, ο εκτελεστικός σας, ο πελάτης σας ή ακόμα και ο εαυτός σας εάν είστε ο προϊστάμενος. Χρειάζεστε κάποιον που να σας υποστηρίζει και να υπογράφετε το σχέδιό σας. Διαφορετικά, ο έλεγχός σας ενδέχεται να απενεργοποιηθεί απροσδόκητα εάν κάποιος ισχυρίζεται ότι ποτέ δεν σας εξουσιοδότησε να εκτελέσετε τις δοκιμές.

Η εξουσιοδότηση μπορεί να είναι τόσο απλή όσο μια εσωτερική σημείωση ή ένα ηλεκτρονικό μήνυμα από τον προϊστάμενό σας εάν εκτελείτε αυτές τις δοκιμές στα δικά σας συστήματα. Αν δοκιμάζετε έναν πελάτη, έχετε υπογράψει συμβόλαιο, δηλώνοντας την υποστήριξη και την εξουσιοδότηση του πελάτη. Γράψτε γραπτώς την έγκριση αυτής της χορηγίας το συντομότερο δυνατό, για να διασφαλίσετε ότι δεν χάσατε κανέναν χρόνο ή προσπάθεια. Αυτή η τεκμηρίωση είναι η κάρτα σας Get Out of Jail Free εάν κάποιος ρωτάει τι κάνετε ή αν χειρότερες οι αρχές έρχονται να καλούν.

Μια ολίσθηση μπορεί να συντρίψει τα συστήματά σας - όχι απαραίτητα αυτό που θέλει κάποιος. Χρειάζεστε ένα λεπτομερές σχέδιο, αλλά αυτό δεν σημαίνει ότι χρειάζεστε τόμους διαδικασιών δοκιμών. Ένα σαφώς καθορισμένο πεδίο περιλαμβάνει τις ακόλουθες πληροφορίες:

• Συγκεκριμένα συστήματα προς έλεγχο: Όταν επιλέγετε συστήματα για δοκιμή, ξεκινήστε με τα πιο κρίσιμα συστήματα και διαδικασίες ή εκείνα που υποψιάζεστε ότι είναι τα πιο ευάλωτα. Για παράδειγμα, μπορείτε να δοκιμάσετε κωδικούς υπολογιστών, μια εφαρμογή Web που αντιμετωπίζει το Διαδίκτυο ή να επιχειρήσετε επιθέσεις κοινωνικής μηχανικής προτού γεμίσετε σε όλα τα συστήματά σας.
• Σχετικοί κίνδυνοι: Πληρώνει για να έχετε ένα σχέδιο έκτακτης ανάγκης για τη διαδικασία ηθικής σας hacking σε περίπτωση που κάτι πάει στραβά. Τι γίνεται αν αξιολογείτε το τείχος προστασίας ή την εφαρμογή Ιστού και το κατεβάζετε; Αυτό μπορεί να προκαλέσει μη διαθεσιμότητα του συστήματος, γεγονός που μπορεί να μειώσει την απόδοση του συστήματος ή την παραγωγικότητα των εργαζομένων. Ακόμη χειρότερα, θα μπορούσε να προκαλέσει απώλεια της ακεραιότητας των δεδομένων, απώλεια δεδομένων από μόνη της, ακόμη και κακής δημοσιότητας. Είναι βέβαιο ότι θα τσεκάρετε ένα άτομο ή δύο και θα σας κάνει να φαίνεστε άσχημα.
Χειριστείτε προσεκτικά την κοινωνική μηχανική και τις επιθέσεις DoS. Προσδιορίστε τον τρόπο με τον οποίο μπορούν να επηρεάσουν τα συστήματα που δοκιμάζετε και ολόκληρο τον οργανισμό σας.
• Όταν οι δοκιμές θα εκτελεστούν και το συνολικό χρονοδιάγραμμά σας: Ο καθορισμός του χρόνου εκτέλεσης των δοκιμών είναι κάτι που πρέπει να σκεφτείτε πολύ και πολύ. Εκτελείτε δοκιμές κατά τις κανονικές εργάσιμες ώρες; Πόσο αργά το βράδυ ή νωρίς το πρωί, ώστε να μην επηρεαστούν τα συστήματα παραγωγής; Συμμετοχή άλλων για να βεβαιωθείτε ότι εγκρίνουν το χρονοδιάγραμμα σας.
Η καλύτερη προσέγγιση είναι μια απεριόριστη επίθεση, όπου οποιοσδήποτε τύπος δοκιμής είναι δυνατός σε οποιαδήποτε στιγμή της ημέρας. Οι κακοί άντρες δεν σπάζουν στα συστήματά σας μέσα σε ένα περιορισμένο πεδίο, οπότε γιατί θα έπρεπε; Μερικές εξαιρέσεις σε αυτήν την προσέγγιση εκτελούν επιθέσεις DoS, κοινωνική μηχανική και δοκιμές φυσικής ασφάλειας.
• Πόσες γνώσεις των συστημάτων που έχετε πριν ξεκινήσετε τη δοκιμή: Δεν χρειάζεστε εκτενή γνώση των συστημάτων που δοκιμάζετε - απλά μια βασική κατανόηση. Αυτή η βασική κατανόηση συμβάλλει στην προστασία σας και των δοκιμασμένων συστημάτων.
• Τι μέτρα θα ληφθούν όταν εντοπιστεί μια μεγάλη ευπάθεια: Μην σταματάτε αφού βρείτε μια τρύπα ασφαλείας. Αυτό μπορεί να οδηγήσει σε μια ψεύτικη αίσθηση ασφάλειας. Συνεχίστε να βλέπετε τι άλλο μπορείτε να ανακαλύψετε. Δεν χρειάζεται να κρατάτε την πειρατεία μέχρι το τέλος του χρόνου ή μέχρι να συντρίψετε όλα τα συστήματά σας. Απλώς ακολουθήστε το μονοπάτι που πηγαίνετε κάτω μέχρι να μην μπορείτε να το χάσετε πια (το παιχνίδι προορίζεται). Αν δεν έχετε εντοπίσει τρωτά σημεία, δεν έχετε κοιτάξει αρκετά.
• Τα συγκεκριμένα παραδοτέα: Περιλαμβάνουν εκθέσεις αξιολόγησης της ασφάλειας και έκθεση υψηλότερου επιπέδου που περιγράφει τις γενικές αδυναμίες που πρέπει να αντιμετωπιστούν, καθώς και αντίμετρα που πρέπει να εφαρμοστούν.

Ένας από τους στόχους σας μπορεί να είναι η εκτέλεση των δοκιμών χωρίς να εντοπιστεί. Για παράδειγμα, ενδέχεται να εκτελείτε τις δοκιμές σας σε απομακρυσμένα συστήματα ή σε απομακρυσμένο γραφείο και δεν θέλετε οι χρήστες να γνωρίζουν τι κάνετε. Διαφορετικά, οι χρήστες ενδέχεται να σας πιάσουν και να ακολουθήσουν την καλύτερη συμπεριφορά τους - αντί για τη συνήθη συμπεριφορά τους.

Εκτέλεση του σχεδίου

Η καλή ηθική hacking απαιτεί επιμονή. Ο χρόνος και η υπομονή είναι σημαντικοί. Προσέξτε όταν εκτελείτε τις δοκιμές δεοντολογίας σας. Ένας χάκερ στο δίκτυό σας ή ένας φαινομενικά καλοπροαίρετος υπάλληλος που κοιτάζει πάνω από τον ώμο σας μπορεί να προσέξει τι συμβαίνει και να χρησιμοποιήσει αυτές τις πληροφορίες εναντίον σας.

Δεν είναι πρακτικό να σιγουρευτείτε ότι κανένας χάκερς δεν βρίσκεται στα συστήματά σας πριν ξεκινήσετε. Απλά φροντίστε να κρατάτε τα πάντα όσο πιο ήσυχα και ιδιωτικά. Αυτό είναι ιδιαίτερα σημαντικό όταν μεταδίδετε και αποθηκεύετε τα αποτελέσματα των δοκιμών σας. Εάν είναι δυνατόν, κρυπτογραφείτε τα μηνύματα ηλεκτρονικού ταχυδρομείου και τα αρχεία που περιέχουν ευαίσθητες πληροφορίες δοκιμής, χρησιμοποιώντας τη μέθοδο Pretty Good Privacy ή παρόμοια τεχνολογία. Τουλάχιστον, προστατεύστε με κωδικό πρόσβασης.

Βρίσκεστε τώρα σε μια αποστολή αναγνώρισης. Χρησιμοποιήστε όσο το δυνατόν περισσότερες πληροφορίες σχετικά με τον οργανισμό και τα συστήματά σας, κάτι που κάνουν οι κακόβουλοι χάκερ. Ξεκινήστε με μια ευρεία προβολή και περιορίστε την εστίασή σας:

1. Αναζητήστε στο διαδίκτυο το όνομα του οργανισμού σας, τα ονόματα του υπολογιστή σας και του συστήματος δικτύου και τις διευθύνσεις IP.

Η Google είναι ένα εξαιρετικό μέρος για να ξεκινήσετε.

2. Περιορίστε το πεδίο εφαρμογής σας, στοχεύοντας τα συγκεκριμένα συστήματα που δοκιμάζετε.

Είτε αξιολογείτε δομές φυσικής ασφάλειας είτε εφαρμογές Web, μια περιστασιακή αξιολόγηση μπορεί να οδηγήσει σε πολλές πληροφορίες σχετικά με τα συστήματά σας.

3. Περιορίστε περαιτέρω την εστίασή σας με ένα πιο επικριτικό μάτι. Πραγματοποιήστε τις πραγματικές σαρώσεις και άλλες λεπτομερείς δοκιμές για να αποκαλύψετε ευπάθειες στα συστήματά σας.

4. Εκτελέστε τις επιθέσεις και εκμεταλλευτείτε τυχόν ευπάθειες που έχετε εντοπίσει, αν αυτό επιλέγετε.

Αξιολόγηση αποτελεσμάτων

Αξιολογήστε τα αποτελέσματά σας για να δείτε τι αποκαλύψατε, αν υποτεθεί ότι τα τρωτά σημεία δεν έχουν γίνει προφανή πριν από τώρα. Αυτό είναι όπου η γνώση μετράει. Η αξιολόγηση των αποτελεσμάτων και η συσχέτιση των συγκεκριμένων ευπαθειών που ανακαλύφθηκαν είναι μια ικανότητα που βελτιώνεται με την εμπειρία. Θα καταλήξετε να γνωρίζετε τα συστήματά σας πολύ καλύτερα από οποιονδήποτε άλλο. Αυτό καθιστά την διαδικασία αξιολόγησης πολύ πιο απλή κίνηση προς τα εμπρός.

Υποβάλετε επίσημη αναφορά στην ανώτερη διοίκηση ή στον πελάτη σας, αναφέροντας τα αποτελέσματα και τις συστάσεις που θέλετε να μοιραστείτε. Κρατήστε αυτά τα μέρη στο βρόχο για να δείξετε ότι οι προσπάθειές σας και τα χρήματά σας δαπανώνται καλά.