Den etiske hackingsprosessen - dummies

Som praktisk talt ethvert IT- eller sikkerhetsprosjekt, må etisk hacking planlegges på forhånd. Strategiske og taktiske problemer i den etiske hackingsprosessen bør bestemmes og avtalt. For å sikre suksessen av din innsats, tilbringer tid oppe med å planlegge ting ut. Planlegging er viktig for en hvilken som helst mengde testing - fra en enkel passordsprengningstest til en all-out penetrasjonstest på en webapplikasjon.

Formulering av planen

Godkjennelse for etisk hacking er viktig. Gjør det du gjør kjent og synlig - i hvert fall til beslutningstakerne. Å skaffe sponsing av prosjektet er det første trinnet. Dette kan være din leder, en leder, din klient eller selv om du er sjefen. Du trenger noen til å sikkerhetskopiere deg og logge deg på planen din. Ellers kan testen din bli avslått uventet hvis noen hevder at de aldri har autorisert deg til å utføre testene.

Fullmakten kan være så enkel som et internt notat eller en e-post fra sjefen din hvis du utfører disse testene på dine egne systemer. Hvis du tester for en klient, har du en signert kontrakt på plass, med angivelse av kundens støtte og autorisasjon. Få skriftlig godkjenning på denne sponsoren så snart som mulig for å sikre at ingen av din tid eller innsats er bortkastet. Denne dokumentasjonen er ditt Få ut av fengsel gratis -kort hvis noen spør hva du gjør, eller verre hvis myndighetene kommer til å ringe.

En glidende kan kollisjonere systemene dine - ikke nødvendigvis hva noen vil. Du trenger en detaljert plan, men det betyr ikke at du trenger mengder testprosedyrer. Et godt definert omfang inkluderer følgende opplysninger:

• Spesifikke systemer som skal testes: Når du velger systemer for testing, starter du med de mest kritiske systemene og prosessene eller de du mistenker å være de mest utsatte. Du kan for eksempel teste datamaskinpassord, et Internett-vendt webprogram eller forsøke sosialtekniske angrep før du borer ned i alle systemene dine.
• Risiko involvert: Det lønner seg å ha en beredskapsplan for din etiske hackingsprosess hvis noe går galt. Hva om du vurderer brannmuren eller webapplikasjonen din og tar den ned? Dette kan føre til at systemet ikke er tilgjengelig, noe som kan redusere systemytelsen eller produktiviteten til arbeidstakeren. Enda verre, det kan føre til tap av dataintegritet, tap av data selv, og til og med dårlig publisitet. Det vil helt sikkert krysse av en person eller to og få deg til å se dårlig ut.
Håndter sosialteknikk og DoS-angrep nøye. Bestem hvordan de kan påvirke systemene du tester og hele organisasjonen din.
• Når testene skal utføres og din overordnede tidslinje: Bestemme når testene utføres, er noe du må tenke lenge og hardt om. Utfører du tester i løpet av normale åpningstider? Hva med sent på kvelden eller tidlig om morgenen, slik at produksjonssystemene ikke påvirkes? Involver andre for å sikre at de godkjenner timingen din.
Den beste tilnærmingen er et ubegrenset angrep, hvor enhver type test er mulig når som helst på dagen. De gutta bryter ikke inn i systemene dine innenfor et begrenset omfang, så hvorfor skal du? Noen unntak fra denne tilnærmingen er å utføre DoS-angrep, sosialteknikk og fysiske sikkerhetstester.
• Hvor mye kunnskap om systemene du har før du begynner testing: Du trenger ikke omfattende kunnskap om systemene du tester - bare en grunnleggende forståelse. Denne grunnleggende forståelsen bidrar til å beskytte deg og de testede systemene.
• Hvilke tiltak vil bli tatt når et stort sikkerhetsproblem oppdages: Ikke stopp etter at du har funnet ett sikkerhetshull. Dette kan føre til en falsk følelse av sikkerhet. Fortsett å se hva annet du kan oppdage. Du trenger ikke å holde hacking til slutten av tiden eller til du krasjer alle systemene dine; Bare følg stien du går ned til du ikke kan hacke den lenger (ordspill beregnet). Hvis du ikke har funnet noen sårbarheter, har du ikke sett hardt nok.
• Spesifikke leveranser: Dette inkluderer sikkerhetsvurderingsrapporter og en høyere rapport som beskriver de generelle sikkerhetsproblemene som skal behandles, sammen med motforanstaltninger som bør implementeres.

Et av målene dine kan være å utføre testene uten å bli oppdaget. For eksempel kan du utføre testene dine på eksterne systemer eller på et eksternt kontor, og du vil ikke at brukerne skal være oppmerksomme på hva du gjør. Ellers kan brukerne få tak i deg og være på sitt beste, i stedet for sin vanlige oppførsel.

Gjennomføre planen

God etisk hacking tar utholdenhet. Tid og tålmodighet er viktig. Vær forsiktig når du utfører dine etiske hackingstester. En hacker i nettverket ditt eller en tilsynelatende gunstig medarbeider som ser over skulderen din, kan se hva som skjer og bruke denne informasjonen mot deg.

Det er ikke praktisk å sørge for at ingen hackere er på systemene dine før du begynner. Bare vær sikker på at du holder alt så stille og privat som mulig. Dette er spesielt viktig når du sender og lagrer testresultatene dine. Hvis mulig, krypter eventuelle e-post og filer som inneholder sensitiv testinformasjon ved å bruke ganske god personvern eller lignende teknologi. På et minimum, passordbeskytte dem.

Du er nå på en rekognosjonsoppgave. Få så mye informasjon som mulig om din organisasjon og systemer, som er det som ondsinnede hackere gjør. Begynn med en bred visning og begrense fokuset ditt:

1. Søk på Internett etter organisasjonens navn, datamaskin- og nettverkssystemnavn og IP-adressene dine.

Google er et flott sted å starte.

2. Begrens omfanget ditt, målrett mot de spesifikke systemene du tester.

Uansett om du vurderer fysiske sikkerhetsstrukturer eller webapplikasjoner, kan en uformell vurdering vise mye informasjon om systemene dine.

3. Videre begrense fokuset ditt med et mer kritisk øye. Utfør faktiske skanninger og andre detaljerte tester for å avdekke sårbarheter på systemene dine.

4. Utfør angrepene og utnyt eventuelle sårbarheter du har funnet, hvis det er det du velger å gjøre.

Evaluere resultatene

Vurder resultatene dine for å se hva du har avdekket, forutsatt at sårbarhetene ikke er gjort åpenbare før nå. Det er her kunnskap teller. Evaluering av resultatene og korrelering av de spesifikke sikkerhetsproblemene som oppdages, er en ferdighet som blir bedre med erfaring. Du vil ende opp med å vite systemene dine mye bedre enn noen andre. Dette gjør evalueringsprosessen mye enklere fremover.

Send en formell rapport til overordnet ledelse eller til klienten din, og redegjør for resultatene dine og eventuelle anbefalinger du vil dele. Hold disse partiene i løkken for å vise at innsatsen og pengene dine er godt brukt.