Kysymys:
Kuinka voit tulla päteväksi verkkosovellusten tietoturva-asiantuntijaksi rikkomatta lakia?
user3127
2011-06-27 23:21:46 UTC
view on stackexchange narkive permalink

Tämä kysymys esitettiin täällä Programmers Exchangessa, mutta ehdotettiin, että kysyisin myös täältä, koska suurin osa asiantuntijoista todennäköisesti hengailee sen sijaan IT-tietoturvan vaihdossa. Minusta tämä vastaa salaista poliisia, joka liittyy jengiin, tekee huumeita ja rikkoo lakia viimeisenä keinona sen täytäntöönpanemiseksi. Ollakseni pätevä tietoturva-asiantuntija, mielestäni hakkeroinnin on oltava jatkuvaa käytännön työtä. Se vaatii kuitenkin hyväksikäyttöjen löytämisen, testaamisen live-sovelluksissa ja kyvyn osoittaa nämä hyödyntämiset luottavaisin mielin. Niille, jotka pitävät itseään "verkkosovellusten tietoturvan asiantuntijoina", mitä teit oppiaksesi taidetta rikkomatta lakia? Vai onko tämä harmaa alue, josta kukaan ei halua puhua, koska lakia on taivutettava sen rajoille?

@hal10001, tervetuloa sivustolle! Kopioin tekstin alkuperäisestä kysymyksestä. Vaikka periaatteessa ristiviestien lähettämistä ei suositella, ja se olisi voinut olla parempi, jos pyydät moduuleja siirtämään sen.
todella hyvät hakkerit eivät koskaan jätä jälkeä, "se ei ole laitonta, jos et jää kiinni"
Tämä kysymys on yhdistetty toiseen StackExchangesta siirrettyyn kysymykseen, mutta vasta sen jälkeen, kun se on kerännyt monia vastauksia ja kommentteja, joiden perusteluissa on joitain aukkoja, mutta jotka ovat jo saaneet paljon positiivisia ääniä muilta kuin ITSecurity-käyttäjiltä. IT-tietoturvalla ei todennäköisesti ole riittävän suuri joukko osallistujia puhdistamaan tämä takautuvasti. (Siitä lähtien, kun se yhdistettiin, siirtymisestä ei ole varoitusta.) Joten varoitan kaikkia lukijoita: älä oleta, että ääntenumerot heijastavat turvallisuuteen liittyvien ihmisten näkemyksiä. Tämä on ongelma kysymyksen siirtämisessä.
@D.W. erittäin hyvä asia - ja tietysti ainoa vastaus, joka meillä yhteisöksi on, on äänestää hyvistä. Asiat häviävät lopulta, jos me kaikki osallistumme.
Hei kaverit, kiitos tämän kysymyksen yhdistämisen työstä. Arvostan aikaa, joka kului sen muokkaamiseen ja sijoittamiseen oikeaan paikkaan.
@Jarrod Siellä on aina jäljitys, ja menneisyytesi huonot virheet voivat palata puremaan sinua tulevaisuudessa. On parempi pysyä puhtaana niin paljon kuin mahdollista. Sinulla on käytännössä sama tieto kumpaankin suuntaan.
Neljätoista vastused:
#1
+35
Jon Hopkins
2011-06-27 19:30:40 UTC
view on stackexchange narkive permalink

En toimi tietoturvakonsulttina, mutta olen työskennellyt heidän kanssaan (ja poliisin kanssa muuten ja sinun analogisuutesi on enemmän poliisinäyttelyä kuin todellisuutta), eikä yksikään heistä ole tietäni viettänyt aikaa hakkeroimalla laitonta. p>

Hakkerointi on laitonta vain, jos sinulla ei ole lupaa, mutta teknisellä tasolla (toisin sanoen turvallisuuden kannalta) ei ole eroa palvelimen, jolla sinulla on hakkerointilupa, välillä. ' t. Jos työskentelet yrityksen palveluksessa tai yrityksen kanssa, yritys yrittää käyttää palvelimiaan (heidän etukäteen antamallaan kirjallisella ymmärryksellä ja luvalla) on hieno eikä yhtä todellinen kokemus kuin satunnaisen järjestelmän valitseminen.

Jos näin ei ole, ei ole syytä, ettet voi asettaa omia isännöityjä palvelimiasi ja yrittää vaarantaa niitä - tai kaveri, kaksi teistä molemmista perustaa palvelimen ja voittaja on ensimmäinen, joka löytää hyödyn muiden järjestelmässä. Sillä on kaksi etua nähdä se molemmilta puolilta.

Mitä tulee ensimmäiseen huomautukseen, eikö se ole kuin kana ennen muna-skenaariota? Kukaan ei aio antaa minulle lupaa testata järjestelmän tai sovelluksen tietoturvaa, ellei minulla ole kokemusta järjestelmän ja sovellusten turvallisuuden testaamisesta. Toisen mielipiteesi osalta ajattelin, että näin voi olla tosiasiassa, mutta se vaatii eräänlaisia ​​henkilökohtaisia ​​taloudellisia investointeja testattavan ympäristön luomiseksi.
@hal10001 - Monilla suurilla yrityksillä on joko sisäisen turvallisuuden testaajien ryhmä tai pari nimettyä kehittäjää, jotka testaavat sisäisen kehityksen turvallisuutta. Normaalisti hankit kokemusta tällaisesta tehtävästä jonkin aikaa, ennen kuin sinusta tulee turvakonsultti "luonnossa".
@hal10001 - Mitä Justin sanoo. Normaali reitti on verkon tai palvelimen järjestelmänvalvojan kautta. Opi asettamaan asiat ennen kuin opit vetämään asioita alas.
@hal10001: Ensimmäinen askel on hankkia suojaustodistukset, jotka tunnistavat sinut tietoisiksi tietoturvasta. Toiseksi, hanki työpaikka turvallisuus- / tilintarkastusyritykselle saadaksesi käytännön kokemuksen. Kun hankit osaamista, sinulle annetaan suuremmat budjetit / resurssit, jotta voit aloittaa tiettyjen hyödyntämisten tutkimisen tietyissä ympäristöissä. Aivan kuten minkä tahansa muun ohjelmointiin liittyvän työn kohdalla - hanki ensin sertifikaatti ja sitten kokemus. Muuten, älä jää kiinni.
@Justin Cave: Löydän nykyään, että monet näistä testeistä viljellään tosiasiassa turvallisuus- / tilintarkastusyrityksille. Näen edelleen jonkin verran paikallista sovellusta, mutta näkemilläni vakavilla taloussivustoilla kaikilla on ollut kolmannen osapuolen tarkastuksen avoimuus.
@Joel - lopulliset kokeet ovat viljeltyjä. Mutta useimmilla vakavilla rahoitusyrityksillä on edelleen sisäinen turvallisuusryhmä, joka ainakin suorittaa ensimmäisen testin kehitystyön aikana turva-aukkojen tunnistamiseksi.
@Justin Cave: Voi aivan ensimmäinen kierros tehdään talon sisällä, mutta ensimmäinen kierros ei silti yleensä ole OP-tason osoittama. Kehitys / ensimmäisen kierroksen testaus osuu tavallisiin epäiltyihin tai helposti tunnistettavissa oleviin hyväksikäyttöihin, ja sitten se viljellään lopullista tarkastusta varten. Olen henkilökohtaisesti joutunut vastaamaan tällaiseen tarkastukseen ensimmäisen kierroksen tuloksilla. Se oli melko hauska.
@Joel - Oikea. Mutta jos saat jonkin verran kokemusta sisäisen turvallisuuden testaajana, joka lyö tavallisia epäiltyjä (SQL-injektio, sivustojen välinen komentosarja jne.), Se antaa sinulle kohtuullisen hyvän mahdollisuuden siirtyä yrityksiin, jotka tekevät turvatarkastuksia kokopäiväisesti.
@Justin Cave: Tru dat.
Keinotekoisella hakkeroinnilla on kuitenkin se, ettei siinä ole ihmistä; Usein on mahdollista murtautua järjestelmään sekavan sysadminin tai ystävällisen verkkopalvelun tukihenkilöstön avulla, ja nämä inhimilliset kerrokset ovat joskus helpoin tapa murtautua todellisiin järjestelmiin. Todellisen turvallisuusasiantuntijan tulisi ottaa huomioon ihmisluonto, ei pelkästään tekniset viat.
@Lie - Jos testaat tietoturvaa yritykselle luvalla, voit (ja sinun pitäisi) tehdä nuo asiat. Miksi et voinut / ei?
@Joel "" Ensimmäinen askel on hankkia tietoturvasertifikaatit, jotka tunnistavat sinut tietoisiksi tietoturvasta. Toiseksi, hanki työpaikka turvallisuus- / tilintarkastusyritykselle saadaksesi käytännön kokemuksen "" - tällä ei ole mitään järkeä. Hanki ensin todiste tiedosta, sitten hanki tieto? Lisäksi turvallisuusalalla sertifikaatit ovat vähemmän tärkeitä kuin asiantuntemus.
@AviD: En ole varma, miten sillä ei ole järkeä. Minusta se tuntuu melko ilmeiseltä. Tämä ei ole kana / muna -skenaario. Opiskelemalla ja saavuttamalla vaaditut todistukset on helpompaa saada työpaikka, jossa opitaan käytännön asiantuntemus. Olen samaa mieltä siitä, että todellinen kokemus ylittää sertifikaatit milloin tahansa viikonpäivänä, mutta kuten 4-vuotinen tutkinto näinä päivinä, todistukset ovat pääsyn hinta enemmän kuin todistus pätevyydestä.
@Joel - ah, nyt ymmärrän - tarkoitit "* opiskelu * sertifiointia varten, sitten hanki kokemusta". On hieman järkevämpää ... mutta silti väärin. A. parempia tapoja opiskella kuin oppia testiin. B. Todistuksia ei välttämättä vaadita sijainnista riippuen. Hyvin pidetyt sertifikaatit vaativat käytännön kokemusta (esim. 3 vuotta CISSP: lle).
@AviD - Kokemuksen suhteen mikään hyvin pidetty sertifikaatti ei kuitenkaan pääse hyväksymään lain rikkomista.
@Jon ei tietenkään, se on virheellinen oletus kysymyksessä. On sanomattakin selvää - no, sen * pitäisi *, mutta ilmeisesti ei ... Tähän on hyviä ratkaisuja, kuten mainitsit ja tarkennetaan muissa vastauksissa.
Mitä tämä vastaus ei sano, on se, että pentestingin oppiminen ei välttämättä ole arvokkain tapa viettää aikaa. Vaikuttaa siltä, ​​että käsitys siitä, että web-tietoturva-asiantuntija on kyse siitä, että tietää parhaat tyylitavat hakkeroida verkkosivustoja. Se on myytti.
@D.W. Sillä ei ole mitään tekemistä sen kanssa, että menetelmä on "viileä", vain se, että se on toteuttamiskelpoinen hyökkäystapa, joka on otettava huomioon suunnittelun kannalta.
#2
+11
DKGasser
2011-06-27 23:43:45 UTC
view on stackexchange narkive permalink

Vastaus tähän kysymykseen muistuttaa vastausta kaikkiin "Kuinka minusta tulee asiantuntijaksi * *" -kysymykseen ... se loppujen lopuksi riippuu ajasta ja kokemuksesta.

Joidenkin yksityiskohtien osalta, jos korkeakoulu / yliopisto on vaihtoehto, tutustu tietoturvaa, tietokonerikollisuutta ja tietoturvaa käsitteleviin ohjelmiin. Kaikki nämä antaisivat sinulle vankan taustan sovellusturvan kehittämiselle. p> Tutustu myös näiden lakien erityispiirteisiin ... esimerkiksi voit hyökätä oman verkon palveluihin / sovelluksiin / järjestelmiin laillisesti useimmissa paikoissa (olettaen, että omistat käytettävät laitteet ja verkkoinfrastruktuurit). Myös avoimen lähdekoodin sovellus, jossa sinulla on vapaus muokata / käyttää koodia uudelleen, olisi useimmissa tapauksissa avoin haavoittuvuustesteille, kunhan et käyttänyt 'haitallista' koodia etäjärjestelmissä tai jakanut sitä .. mutta taas, lait vaihtelevat suuresti osavaltioittain / maittain.

Lukeminen, kuten aina, on hyvä lähde ... paitsi itse "turvallisuudesta", myös yleisistä koodausperiaatteista. Taustatieto on aina voimavara. Sivustot, kuten "hackthissite.com", tarjoavat myös käytännön oppaita ja "haasteita". Se ei kuitenkaan ole lainkaan "sovellusturva".

#3
+9
Thomas Owens
2011-06-27 19:53:06 UTC
view on stackexchange narkive permalink

Jettin ja Jon Hopkinsin vastausten lisäksi on olemassa organisaatioita ja työkaluja, jotka on suunniteltu verkkoturvallisuuden perusteiden opettamiseen. Open Web Application Security Project (OWASP) tulee mieleen erinomaisena esimerkkinä tästä.

OWASPilla on sivustollaan kattava dokumentaatio erilaisista tietoturvahyödykkeistä ja tekniikoista. ohjeet sekä turvallisten ohjelmistojen luomiseen että hyödyntämisten löytämiseen olemassa olevista ohjelmistoista. He tuottavat myös WebGoat -työkalun, joka on epävarma JEE-sovellus, jota voit isännöidä ja oppia erilaisista tekniikoista verkkoympäristöjen vahingoittamiseksi tai vaarantamiseksi.

Kiitos WebGoat-linkistä. Tiesin OWASP: sta, mutta en tiennyt tästä projektista. Se on erittäin hyödyllistä.
+1 OWASP: n mainitsemisesta. Suuri organisaatio ja verkkosivusto.
#4
+8
dboss
2011-06-27 19:54:53 UTC
view on stackexchange narkive permalink

En myöskään toimi turva-alueella, mutta mikään ei estä sinua simuloimasta Internetiä parilla reitittimellä ja kytkimellä kotiverkkoon, lukuun ottamatta joitain siellä olevia korkean hinnan suojauslaitteistoja. Kuten Jon totesi, voit helposti asettaa IIS: n, Apachen tai minkä tahansa haluamasi verkkopalvelimen kotiverkkoon. Siellä on myös joitain harjoitussovelluksia, kuten Hacme bank, joissa voit harjoitella verkkohäiriöitä.

Kiitos Hacme Bank -linkistä. Se on erittäin hyödyllistä haavoittuvuuksien testaamiseen.
#5
+7
AviD
2011-06-28 14:54:59 UTC
view on stackexchange narkive permalink

Aloita ensin oppimalla teoria. Aloita OWASP: lla ("webappsecin" raamatulla ") ja selaa sitten tätä sivustoa. Olen varma, että löydät lukuisia sinua kiinnostavia kysymyksiä ...

Etsi seuraavaksi ongelmat omasta koodistasi ...

Sitten on useita "rikki sovelluksia" sarjat, joita voit käyttää opetustarkoituksiin.
Katso esimerkiksi Aloitus hiekkalaatikkokehityksestä. Olin käyttänyt OWASP WebGoat -sovellusta monien vuosien ajan kouluttamiseen, mutta tämän kysymyksen ansiosta löysin Google Gruyeren, jota suosittelen sinulle.

Btw, mielestäni sinun pitäisi myös tarkastella tätä kysymystä: Mitkä ovat urapolut tietoturvan alalla? - Uskon, että se auttaa antamaan sinulle suunnan.

Jatka ongelmien löytämistä omasta koodistasi. Löydä myös koodikysymyksiä avoimen lähdekoodin projekteista, tuki on laajaa ja ihmiset arvostavat panostustasi. Sekä hajota omat verkkosovelluksesi, älä vain tuijota koodia, katso sitä kuin hakkeri. Lisäksi on paljon ryhmiä, jotka isännöivät verkkosovelluksia testaustarkoituksiin, eli niiden avulla voit hakata niitä.
#6
+5
this.josh
2011-06-28 03:29:54 UTC
view on stackexchange narkive permalink

Olen huolissani siitä, että helpoin tapa rikkoa lakia on "pätevä verkkosovellusten tietoturva-asiantuntija". Olen samaa mieltä @DKGasserin kanssa, yleinen tapa tulla asiantuntijaksi on samanlainen kaikilla aloilla. Sinun täytyy oppia, harjoitella, keskustella ja kokeilla.

Lainvastainen toiminta opettaa sinulle vain sitä, kuinka hyödyntää huonosti suojattuja järjestelmiä ja kuinka käyttää hyvin erityisiä haavoittuvuuksia. On epätodennäköistä, että opetat teille suojattujen järjestelmien teoriaa.

Voit tutkia verkkosovellusten tietoturvaa monella laillisella tavalla aloittamalla oman kotiverkon luomisen verkkopalvelimella ja hyökkäyksen verkkopalvelimellesi. Voit jopa tarkastella verkkopalvelinten kirjautumista reaaliajassa, kun yrität erilaisia ​​hyökkäyksiä. Yleensä on parempi asettaa kaksi kiinteää tietokoneverkkoa, jossa on hyökkäystietokone ja kohdetietokone, ainoina kokeellisen verkon koneina, koska tämä estää sinua vahingossa hyökkäämästä jonkun muun kimppuun.

Kokeile eri käyttöjärjestelmiä, erilaisia ​​verkkopalvelimia, erilaisia ​​sovelluskehyksiä, erilaisia ​​ohjelmointikieliä jne. Määritä honeypot-palvelin ja tarkkaile mitä hyökkäyksiä sitä yritetään käyttää.

#7
+5
atdre
2011-06-28 04:25:58 UTC
view on stackexchange narkive permalink

Vietä paljon aikaa henkilökohtaisesti sellaisen henkilön kanssa, joka on jo verkkosovellusten tietoturva-asiantuntija.

Aww, etsiekö joku kaveria ...? ;)
#8
+5
bethlakshmi
2011-06-28 23:46:16 UTC
view on stackexchange narkive permalink

Ajattelin, että soitan ja huomautan, että poliisin analogia on hieman virheellinen, jos etsimäsi on koulutus verrattuna havaitsemiseen. Myönnetty lainvalvontakokemukseni on rajoitettu lain & Orderin liialliseen rakkauteen, mutta poliisien näyttämien analogioiden kanssa - kun poliisin tarjoukset menevät peitteen alle - se on yleensä fiksu, kokenut, vakaa kaveri, joka valmistui kunnollisilla arvosanoilla poliisiakatemiasta. Ei kesäharjoittelija. :)

Sama asia tunkeutumistestissä (kuten John Hopkins kuvailee) - yritykset palkataan kynätesteihin perustuen yrityskokemukseen, tiimin yksittäisten insinöörien valtakirjoihin, kaikkien mukana olevien ammattimaineeseen, ja ryhmän ehdottamat kustannukset ja aikataulu. Aivan kuin et todellakaan halua hullun, pätevän poliisin olevan kaveri salassa, et myöskään palkkaa nimeämätöntä, epäluotettavaa yritystä tekemään levinneisyystestauksesi.

Tapa päästä onko sinulla kynätestiryhmän yksilö?

Se on melkein mikä tahansa muu tekninen ura:

  • opiskele tekniikkaa, joka sallii ja estää tietoturvahyötyjä - oppia niin monesta turvallisuuskaupan alueesta kuin mahdollista - inhimillisistä tekijöistä, fyysisistä, verkko-, ohjelmisto-, käyttöjärjestelmät, tietosuoja jne.

  • käytä korkeakouluja ja ammattilaisia sertifikaatit todistusten laatimiseksi - jotkut ammatilliset organisaatiot sisältävät myös lupauksen eettisyydestä.

  • vakiinnuttaminen tapa tarjota lisää varmuutta rehellisyydestä - tämä toimii samalla tavalla kuin lukkoseppä.

  • työskentele kentällä vähemmän riskialttiissa tehtävissä - turvajärjestelmien kehittäminen, järjestelmän hallinta, IT-tietoturvaryhmät, riskienhallintaryhmät jne.

  • tee itsenäisiä hankkeita saadaksesi kokemusta - esimerkiksi rakenna hunajakannu kotona tai pelaa verkon laitteiden turvakokoonpanoilla.

  • hanki mentori vanhemmalta.

Aivan kuten salaiset poliisit ovat erityinen ryhmä poliiseja, jotka saavat erityiskoulutusta, ainutlaatuista kohtelua ja joilla on erityiset valtakirjat - tunkeutumistestaajat ovat ainutlaatuinen ryhmä turvallisuusammattilaisia. Ihmiset, jotka olen tavannut ja jotka tekevät tämän tyyppistä työtä, ovat usein samanlaisia ​​persoonallisuustyyppejä kuin aggressiivinen startup-yrityksen ohjelmoija / arkkitehti / CTO-tyyppinen henkilö - erittäin älykäs, hyvin ajautuva, keskittynyt voimakkaasti tekniikan tasoon ja melko älyllisesti aggressiivinen . Heillä on yleensä erittäin korkeatasoiset tunnistetiedot ja ne ovat erittäin kalliita.

Olen varma, että siellä on paljon ihmisiä, jotka ovat typeriä ja yrittävät murtautua omaisuuteen ilman yrityksen lupaa - mutta ihmiset, joita pidän todelliset alan ammattilaiset ovat liian älykkäitä siihen. He ovat tietoisia tämän alan laeista, ja he ovat liian älykkäitä vaarantamaan uraansa hakkeroimalla. Hyvä kynätestaaja tietää, että osa hänen korkeasta palkkiostaan ​​tulee siitä, että yritys on valmis luottamaan häneen ja jos hän tekee jotain puolella murtaakseen luottamuksen, hän on poissa työstä ja luultavasti urasta.

#9
+4
Jetti
2011-06-27 19:45:04 UTC
view on stackexchange narkive permalink

Mielestäni Jon Hopkinsilla on hyvä asia, laittoman hakkeroinnin ja hakkeroinnin välillä ei ole eroa. Teini-ikäisenä muistan, että halusin päästä hakkerointiin (hienon Hackers-elokuvan ansiosta), ja joissakin sivustoissa on asetuksia, jotka kannustavat ihmisiä hakkeroimaan heitä oppimista varten. Toivon, että voisin muistaa sivustot, mutta tiedän, että ne ovat siellä, ja olen varma, että ne ovat edelleen elossa ja hyvin.

Muutamia huomioitavia asioita:

  • Haluat ehkä antaa Internet-palveluntarjoajasi tietää, että teet tämän ja että sinulla on täydellinen suostumus. Tällä tavoin, jos he näkevät jotain epäilyttävää, he eivät keskeytä palvelua tai pahemmassa tapauksessa ilmoittavat sinusta viranomaisille.
  • Itse asiassa hakkerointi järjestelmään ei ole ainoa tapa oppia tietoturvasta. Yhtä tärkeää on tunnistaa koodin epävarmuus tai muut haavoittuvuudet.
  • On melko paljon ihmisiä, jotka ovat entisiä hakkereita ja johtavat nyt omia turvallisuusyhtiöitä, mutta heidän täytyi myös viettää aikaa Liittovaltion vankila päästä sinne. Kevin Mitnick tulee ensimmäisenä mieleen, mutta tiedän, että niitä on enemmän. Ole siis varovainen "harmaalla alueella"
  • "ei ole mitään eroa laittoman hakkeroinnin ja sellaisen hakkeroinnin välillä, jonka sait hakata" - vai? Entä ero, että esimerkiksi yksi on laitonta ja toinen laillista?
    @Jetti - arvaamalla tarkoitat 'toiminnallisesti - ei eroa'?
    #10
    +3
    Peter Smith
    2011-06-27 20:36:58 UTC
    view on stackexchange narkive permalink

    Ero on siinä, että jos haluat tulla tietoturva-asiantuntijaksi, sinun on tiedettävä, MIKSI sellaiset asiat kuin hyödyntäminen, puskurin ylivuoto ja salauksen rikkominen toimivat. Et ole vain vastuussa reiän löytämisestä, vaan tiedät kuinka korjata se oikein, mukaan lukien ohjelmisto \ verkon uudelleensuunnittelu.

    Hyökkäykset ja hyväksikäytöt julkaistaan ​​verkossa. Voit lukea viimeisimmät tietoturvakorjaukset eri järjestelmille ja kokeilla niitä paikallisen kopion ohjelmistosta omalla tietokoneellasi, virtualisointi olisi hienoa tähän.

    #11
    +3
    D.W.
    2011-06-28 18:56:45 UTC
    view on stackexchange narkive permalink

    Tämä kysymys on täynnä virheellisiä tiloja ja ennakkoluuloja.

    Ei ole EI TOSI , että sinun täytyy rikkoa lakia oppiaksesi olemaan tietoturva-asiantuntija tai rikkomaan laki on jopa erityisen hyödyllinen, kun sinusta tehdään asiantuntija tällä alalla. Näyttää siltä, ​​että oletat, että tapa oppia verkkoturvallisuus on rikkoa lakia, ja se ei yksinkertaisesti ole oikein.

    Kysymyksessä näyttää myös oletettavan, että verkkoturva-asiantuntijana on kyse hienoimpien tuntemisesta. tapoja hakkeroida verkkosivustoja, joten paras tapa tulla verkkoturva-asiantuntijaksi on hakata monet verkkosivustot. Se ei ole myöskään paikkansa pitävä.

    Saat parempia vastauksia, jos sinulta kysytään, kuinka oppia tulemaan tietoturva-asiantuntijaksi tekemättä etukäteen oletuksia vastauksen muodosta.

    #12
    +3
    bstpierre
    2011-12-22 03:26:18 UTC
    view on stackexchange narkive permalink

    Harjoittelu omalla laitteistolla ei ole laitonta!

    Harjoittelu kirjallisella luvalla ei ole laitonta!

    Oletan, että sinulla on jo riittävä tekniikan tausta ymmärtääksesi perusasiat. Ottaen huomioon, että omalla laitteistolla harjoittelu on erittäin helppoa, ja pienellä investoinnilla voit vuokrata virtuaalikoneita tarpeen mukaan harjoittelemaan muilla alustoilla (esim. Amazon EC2).

    Materiaalia, jolla voit harjoitella omalla laitteistolla, on runsaasti:

    • Mukava työskentely virtuaalikoneiden kanssa. Kyky tuoda nopeasti uusi kone, joka käyttää tietyn käyttöjärjestelmän tietyssä kokoonpanossa, on hyödyllistä tiettyjen taitojen harjoittamiseen (ja toistamiseen). (Sen avulla voit myös tehdä hyviä virheraportteja, koska pystyt luomaan virheen helposti puhtaaseen järjestelmään.)
    • Pidä muistikirjaa tai sinulla on keinoja järjestää omistamaasi materiaalia. oppiminen. Käytän (itse ylläpitämän, yksityisen) wikin ja kirjanmerkkityökalujen yhdistelmää seuratakseni asioita, kun opin uutta materiaalia.
    • Seuraa postituslistoja tai foorumeita, kuten tämä sivusto, bugtraq jne. pysyt ajan tasalla nykyisistä ja tulevista hyökkäyksistä.
    • Lisätietoja verkkosovellusten turvallisuudesta yleensä. On olemassa useita hyviä verkkosivustoja (esim. OWASP) ja kirjoja (esim. The Web Application Hacker's Handbook, Stuttard ja Pinto). Nämä viitteet tarjoavat luettelon työkaluista ja tekniikoista, joita voit käyttää heti käytännössä. WAHH: lla on harjoituksia ripoteltu jokaisessa luvussa - tee nämä .
    • Tutustu verkkoinfrastruktuuriin. Huippuluokan käyttöönotto on paljon kehittyneempää kuin mitä voit määrittää omassa laboratoriossasi. Kuormituksen tasapainottimet, palomuurit, välimuistit jne. Ne voivat joko tehdä elämästä tunkeutumistestaajana vaikeampi (eli toimimalla kerroksina puolustuksina) tai helpottaa (eli ottamalla käyttöön monimutkaisuuden ja enemmän hyökkäyspintaa).
    • Lisätietoja Internet-infrastruktuurista. Ymmärrä esimerkiksi DNS: n toiminta; mitä se on järjestelmän haavoittuvuus ja miten sitä voidaan sekä suojata että hyökätä.
    • Asenna joitain sovelluksia virtuaalikoneeseesi. Esim. LAMPPU suosituilla sovelluksilla - phpMyAdmin, phpBB jne. Tai IIS. Tai kissa. (Loppujen lopuksi sinun kannattaa harjoittaa niitä kaikkia! Tämä antaa sinulle kokemusta useista alustoista, kielistä, kokoonpanoista ja erilaisista asioista.)
      1. Jätä ne oletusasetuksiin.
      2. Hyökkää heitä vastaan. (DoS, tunkeutuminen, XSS, SQLi, tulipesä jne.)
      3. Suojaa heitä hyökkäyksiltä.
      4. Siirry 2.
    • Buddy up: etsi kumppani, jonka kanssa voit harjoitella. Voit esimerkiksi suorittaa "sieppaa lippu" (CTF) -harjoituksia, joissa kukin perustat järjestelmän ja yrität sitten tunkeutua kumppanisi järjestelmään. Tämä antaa sinulle harjoitusta sekä turvallisen kokoonpanon luomisessa ja ylläpidossa että tunkeutumistestauksessa. (Ole vain varovainen, kun asennat järjestelmiäsi: en suosittele kumppanin hyökkäystä kotoa; hänen Internet-palveluntarjoajasi tai Internet-palveluntarjoajasi saattaa ottaa hämärän kuvan tietyistä heidän verkkojensa ylittävistä toiminnoista. Ja et todennäköisesti halua hänen hyökkäävän sinun koti; Internet-palveluntarjoajasi ei ehkä pidä houkuttelevasta haitallista liikennettä.)
    • Jos sinulla on budjetti työkaluille ja kirjoille:
      • Pidä yllä lukujono tai vastaava (esim. Amazonin toivelista) uusille kirjat, jotka näet suositeltavina. Kun näen kirjan, jota suositellaan yli 3 tai 4 kertaa, laitan sen lukemisjonooni.
      • Voit noutaa halpoja laitteita harjoitteluun, jos pidät silmällä craigslistia, freecycleä, ebayä jne. Virtuaalikoneilla voi tehdä paljon, mutta muutaman halvan tietokoneen ja reitittimen käyttö on mukavaa harjoitella palomuuri-dmz-intranetin asentamista aidolla laitteistolla.
      • Varalaitteiden käyttö helpottaa myös "lähiverkon" käyttöä. juhlatyyppinen CTF kaverisi kanssa. Määritä tietokone tämän viikon pelisääntöjen mukaan, tartu kytkimeen / reitittimeen / jne. Ja liity juhliin.
    • Lähde ulos ja tapa ihmisiä. OWASP: lla on lukuja kaikkialla. Katso tapaamisia tietoturvalähtöisille kokouksille. (Tai verkkosovelluksiin liittyvät kokoukset - esim. Paikallisessa PHP- tai RoR-tapaamisessasi voi joskus olla istunto tietoturvasta.)
      • Nämä kokoukset etsivät aina puhujia. Opi tarpeeksi kapealla aiheesta tai luo uusi erikoistyökalu tai -tekniikka tai löydä uusi luokan haavoittuvuus, joka liittyy kokouksen aiheeseen, tai ota jokin uusi tekniikka, jonka näit bugtraqissa, ja tee siitä merkityksellinen tapaamiselle, ja valmistaudu "salama puhua". (Jos ilmoittaudut yliopistokurssille, sinun on usein tehtävä tällainen asia.)
    • Hanki lähtötason työ tai harjoittelu. Etsi mentori.

    On olemassa muutamia verkkosivustoja ja sovelluksia, jotka on määritetty hakkerointiharjoituksiksi. Olen huomannut, että nämä ovat yleensä hyvin johdantokappaleita, mutta ne ovat hyödyllisiä aloittelijoille:

    • hACME-peli
    • Hack this Site!
    • Yritä etsiä hakusanalla "tietoturvasatama" tai "kaapata lipputietoturva".
    • Hitto Haavoittuva verkkosovellus - tämä on verkkosovellus, jonka voit pudottaa johonkin virtuaalikoneistasi. se on rakennettu samalla tavalla kuin yllä mainitut hakkerointisivustot
    • Hackme Bank, Google Gruyere, OWASP WebGoat. (En ole vielä kokeillut näitä, mutta olen nähnyt niiden suositeltavan.)
    • Asenna suosittu verkkokehys, jossa on paljon laajennuksia. Wordpress tulee mieleen. (Ok, sitä ei ole tarkoitettu kuten hakkerointi, mutta se voi myös olla ...)
      • Asenna se virtuaalikoneeseen, asenna kourallinen laajennuksia, lisää joitain täyteaine.
      • Aloita perusasioista, tekemällä asioita "käsin". Voit esimerkiksi asentaa firebugin Firefoxiin, muokata evästeitä, muokata lomakekenttiä, asettaa taittopisteitä javascriptissa asiakaspuolen validoinnin muuttamiseksi jne. Voit myös käyttää curlia ja muita matalan tason työkaluja rakentamaan pyyntöjä suojauksen ohittamiseksi. Kun teet sen "kovalla tavalla", saat hyvän käsityksen siitä, mitä työkalut tekevät sinulle - jotta ymmärrät niiden rajoitukset ja parhaan sovelluksen.
      • Kun olet tuntenut, mitä tapahtuu alla kannet (ja olet onnistunut löytämään pari tietoturva-aukkoa ja ilmoittamaan niistä vastuullisesti), aloita oppimalla työkalut, jotka olet löytänyt lukemastasi ja tallentanut muistikirjaasi.
      • Sinun pitäisi pystyä löytää tietoturva-aukko muutamassa tunnissa hakkeroimalla esimerkiksi Wordpressia kourallisella laajennuksella. Onnistuin löytämään 3 tai 4 XSS: n sekä joitain muita vikoja 3 tai 4 tunnin kokeilussa joitain erittäin suosittuja WP-laajennuksia käyttämättä paljon työkaluihin FF + firebugin, kromin ja kiharan lisäksi. Jos katsot bugtraqia tai muita vastaavia luetteloita, saat tuntuman siitä, mitkä sovellukset ovat hyviä asentaa ja testata.
    • Vastaavasti sovelluksille, joilla on pitkä tietoturva-aukko . phpMyAdmin ja BIND tulevat mieleen. (Totta, BIND ei ole "verkkosovellus", mutta se tekisi mielenkiintoisen testauksen erilaisella akselilla, ja se on tärkeä osa infrastruktuuria, josta verkkosovelluksesi riippuu.) Myös Apache olisi reilu peli.

    Kaikki tämä ei tietenkään tee sinusta asiantuntijaa , mutta olet tien päällä ja olet ainakin saavuttanut " tietoisen epäpätevyyden "- tiedät, mitä seuraavia vaiheita sinulla on taitotasosi nostamiseksi.

    #13
    +1
    M'vy
    2011-06-28 14:54:36 UTC
    view on stackexchange narkive permalink

    Mielestäni ensimmäinen asia on saada jonkinlainen akateeminen kurssi. Mutta se ei ole pakollista. Ja se ei riitä, koska sinun on kohdattava todellinen maailma. Saadaksesi enemmän kokemusta sinulla on kaksi vaihtoehtoa (mieleeni tulee).

    • Ole osa yritystä, joka työskentelee tietoturvassa: kynätestaus, tunkeutumisen havaitseminen / ehkäisy, katastrofien palautus. Tämä opettaa sinulle myös, mitä yritys haluaa turvallisuusasiantuntijoilta, ja antaa sinulle ohjeet siitä, mitä oppia.
    • Uteliaisuus: rakenna itsellesi hiekkalaatikko, jota voit testata itse (tämän pitäisi estää sinua rikkomasta lakia). Pidä ajan tasalla Internetin tietoturvakysymyksistä, mitkä ovat nousussa olevat aiheet, eniten hyödynnetyt rikkomukset. Käytä hiekkalaatikkoa tämän toistaaksesi ja selvitäksesi, miten voit torjua sen. Tältä alueelta opit yrityksen tarvitsemat turvallisuusasiantuntijoilta, mutta et ole tietoinen siitä.
    Ja ollakseni rehellinen, suurimmalla osalla kynätestereistani ei ollut akateemisia arvioita tietoturvasta. Monilla oli tosin tietokonemoduuli tai ainakin jotain tietotekniikkaa, mutta ytimenä heille oli osoittaa, että heillä oli kyky ymmärtää, miten asiat toimivat, tai etsiä tapoja ottaa jotain palasiksi ja rakentaa uudelleen paremmin ...
    #14
    +1
    Matt
    2011-06-27 21:39:35 UTC
    view on stackexchange narkive permalink

    Turva-aukkojen löytämisessä ja näiden reikien hyödyntämisessä on suuri ero. Tietenkin edellinen voi silti olla laitonta riippuen siitä, mitä teet.



    Tämä Q & A käännettiin automaattisesti englanniksi.Alkuperäinen sisältö on saatavilla stackexchange-palvelussa, jota kiitämme cc by-sa 3.0-lisenssistä, jolla sitä jaetaan.
    Loading...