Proses pemalsuan etika - dummies

Seperti hampir apa-apa projek IT atau keselamatan, peretasan etika perlu dirancang terlebih dahulu. Isu-isu strategik dan taktikal dalam proses penggodaman etika harus ditentukan dan dipersetujui. Untuk memastikan kejayaan usaha anda, habiskan masa sehingga perkara perancangan depan keluar. Perancangan adalah penting untuk apa-apa jumlah ujian - dari ujian kerahsiaan kata laluan mudah ke ujian penetrasi semua keluar pada aplikasi Web.

Merumuskan pelan anda

Kelulusan untuk penggodaman etika adalah penting. Buat apa yang anda lakukan diketahui dan dapat dilihat - sekurang-kurangnya kepada pembuat keputusan. Mendapatkan tajaan projek adalah langkah pertama. Ini boleh menjadi pengurus anda, eksekutif, pelanggan anda, atau anda sendiri jika anda bos. Anda memerlukan seseorang untuk menyokong anda dan menandatangani pelan anda. Jika tidak, ujian anda boleh dipadamkan secara tidak disangka-sangka jika seseorang mendakwa mereka tidak pernah membenarkan anda melakukan ujian.

Kebenaran boleh semudah memo dalaman atau e-mel dari bos anda jika anda menjalankan ujian ini pada sistem anda sendiri. Sekiranya anda sedang menguji pelanggan, pastikan kontrak ditandatangani, menyatakan sokongan dan kebenaran pelanggan. Dapatkan persetujuan bertulis mengenai penajaan ini secepat mungkin untuk memastikan tiada masa atau tenaga anda dibazirkan. Dokumentasi ini adalah kad anda Get Out of Jail Free jika sesiapa yang menyoal apa yang anda lakukan, atau lebih buruk lagi, jika pihak berkuasa menghubungi.

Satu slip boleh merosakkan sistem anda - tidak semestinya apa yang orang mahu. Anda memerlukan pelan terperinci, tetapi itu tidak bermakna anda memerlukan jumlah prosedur ujian. Skop yang jelas termasuk maklumat berikut:

• Sistem tertentu yang akan diuji: Apabila memilih sistem untuk diuji, mulakan dengan sistem dan proses yang paling kritikal atau yang anda anggap menjadi yang paling mudah terjejas. Misalnya, anda boleh menguji kata laluan komputer, aplikasi Web yang menghadap ke Internet, atau cuba serangan kejuruteraan sosial sebelum mengebom ke semua sistem anda.
• Risiko yang terlibat: Ia membayar untuk mempunyai pelan kontingensi untuk proses penggodaman etika anda sekiranya sesuatu berlaku tergesa-gesa. Bagaimana jika anda menilai firewall atau aplikasi Web anda dan anda mengambilnya? Ini boleh menyebabkan ketiadaan sistem, yang dapat mengurangkan prestasi sistem atau produktiviti pekerja. Lebih buruk lagi, ia boleh menyebabkan kehilangan integriti data, kehilangan data itu sendiri, dan juga publisiti yang buruk. Ia pasti akan menandakan satu atau dua orang dan membuat anda kelihatan buruk.
Mengendalikan kejuruteraan sosial dan serangan DoS dengan berhati-hati. Tentukan bagaimana mereka boleh mempengaruhi sistem yang anda uji dan seluruh organisasi anda.
• Apabila ujian akan dilakukan dan garis masa keseluruhan anda: Penentuan apabila ujian dilakukan adalah sesuatu yang anda mesti berfikir panjang dan keras. Adakah anda melakukan ujian semasa waktu perniagaan biasa? Bagaimana dengan larut malam atau awal pagi supaya sistem pengeluaran tidak terjejas? Melibatkan orang lain untuk memastikan mereka meluluskan masa anda.
Pendekatan terbaik adalah serangan tanpa had, di mana sebarang jenis ujian boleh dilakukan pada bila-bila masa. Orang jahat tidak melanggar sistem anda dalam skop terhad, jadi kenapa awak? Beberapa pengecualian untuk pendekatan ini adalah melakukan serangan DoS, kejuruteraan sosial, dan ujian keselamatan fizikal.
• Berapa banyak pengetahuan mengenai sistem yang anda ada sebelum anda mula menguji: Anda tidak memerlukan pengetahuan yang luas mengenai sistem yang anda uji - hanya pemahaman asas. Pengertian asas ini membantu melindungi anda dan sistem yang diuji.
• Tindakan apa yang akan diambil apabila kerentanan utama ditemui: Jangan berhenti selepas anda menemui satu lubang keselamatan. Ini boleh menyebabkan rasa aman palsu. Terus melihat apa lagi yang anda boleh temui. Anda tidak perlu terus menggodam sehingga hujung masa atau sehingga anda merosakkan semua sistem anda; semata-mata mengejar laluan yang anda turun sehingga anda tidak boleh menggodamnya lagi (pun dimaksudkan). Jika anda tidak menemui apa-apa kelemahan, anda tidak kelihatan cukup keras.
• Keahlian khusus: Ini termasuk laporan penilaian keselamatan dan laporan tahap lebih tinggi yang menggariskan kerentanan umum yang harus ditangani, bersama dengan tindakan penanggulangan yang harus dilaksanakan.

Salah satu tujuan anda adalah untuk melakukan ujian tanpa dikesan. Sebagai contoh, anda mungkin menjalankan ujian anda pada sistem jauh atau di pejabat jauh, dan anda tidak mahu pengguna menyedari apa yang anda lakukan. Jika tidak, pengguna boleh menangkap anda dan melakukan tingkah laku yang terbaik - bukannya kelakuan biasa mereka.

Melaksanakan pelan

Peretasan etika yang baik memerlukan ketekunan. Masa dan kesabaran adalah penting. Berhati-hati apabila anda melakukan ujian penggodam etika anda. Seorang penggodam dalam rangkaian anda atau pekerja yang kelihatan jinak mencari di bahu anda boleh melihat apa yang sedang berlaku dan menggunakan maklumat ini terhadap anda.

Tidak praktikal untuk memastikan bahawa tiada penggodam pada sistem anda sebelum anda memulakannya. Pastikan anda menyimpan segala-galanya sebagai senyap dan peribadi yang mungkin. Ini amat penting apabila menghantar dan menyimpan keputusan ujian anda. Jika boleh, siarkan mana-mana e-mel dan fail yang mengandungi maklumat ujian sensitif dengan menggunakan Privasi Pretty Good atau teknologi serupa. Sekurang-kurangnya, kata laluan melindungi mereka.

Anda kini sedang dalam misi peninjauan. Memanfaatkan sebanyak mungkin maklumat mengenai organisasi dan sistem anda, yang dilakukan oleh penggodam berniat jahat. Mulailah dengan pandangan yang luas dan sempit fokus anda:

1. Cari Internet untuk nama organisasi anda, nama komputer dan sistem rangkaian anda, dan alamat IP anda.

Google adalah tempat yang bagus untuk bermula.

2. Kecilkan skop anda, menyasarkan sistem khusus yang anda uji.

Sama ada anda menilai struktur keselamatan fizikal atau aplikasi Web, penilaian biasa boleh mencantumkan banyak maklumat mengenai sistem anda.

3. Lebih jauh fokus anda dengan mata yang lebih kritikal. Lakukan imbasan sebenar dan ujian terperinci yang lain untuk mendedahkan kelemahan pada sistem anda.

4. Melakukan serangan dan mengeksploitasi sebarang kelemahan yang anda temukan, jika itulah yang anda pilih.

Menilai keputusan

Menilai keputusan anda untuk melihat apa yang anda ketahui, dengan mengandaikan bahawa kelemahan belum dibuat jelas sebelum ini. Inilah di mana pengetahuan dianggap penting. Menilai keputusan dan mengaitkan kelemahan khusus yang ditemui adalah kemahiran yang menjadi lebih baik dengan pengalaman. Anda akan mengetahui sistem anda lebih baik daripada orang lain. Ini menjadikan proses penilaian lebih mudah bergerak ke hadapan.

Kirimkan laporan rasmi kepada pihak pengurusan atasan atau kepada pelanggan anda, menggariskan keputusan anda dan sebarang cadangan yang anda ingin kongsi. Simpan pihak-pihak ini dalam gelung untuk menunjukkan bahawa usaha dan wang mereka dibelanjakan dengan baik.