Что такое этичный взлом и тестирование на проникновение?

Что такое этичный взлом и тестирование на проникновение Изучение

Знаете ли вы, что за взлом компьютеров можно получить деньги? Этичный взлом предполагает легальное проникновение в компьютеры для проверки средств защиты организации.

Существует разрыв в спросе и предложении на тестирование на проникновение и этичный взлом. В связи с повышением озабоченности по поводу кибербезопасности растет потребность в профессиональных хакерах. Эта отрасль не только важна для будущего вычислительной техники, но и является хорошо оплачиваемой карьерой. Средняя базовая зарплата составляет 121 000 долларов в год.

Если вы новичок в области этического взлома, вы попали в нужное место. Я расскажу вам о различных типах хакеров и о том, как получить сертификат пентестера.

Что такое этичный взлом и тестирование на проникновение?

Этические хакеры является экспертом в области информационной безопасности, которые систематически пытается проникнуть в сеть или компьютерную систему или сеть, чтобы найти уязвимости в системе безопасности, что злоумышленник может злоупотреблять. Эта работа требует такого же набора навыков, как и злонамеренный хакер, например:

  • Отправляйте фишинговые письма
  • Парольные атаки методом перебора
  • Периметры нарушения
  • Использовать неверные конфигурации системы

Этичных хакеров обычно нанимают до того, как новая система будет запущена, и часто организации используют схему вознаграждения : финансовое вознаграждение предоставляется этическим хакерам, которые демонстрируют доказательства недостатков системы.

Тестирование на проникновение — это особый тип этического взлома, который включает в себя найм сертифицированного специалиста для оценки сильных сторон существующей системы. Обычно пентестерам предоставляется конфиденциальная информация, и они используют ее для поиска уязвимых мест. Эти тесты включают:

  • Тесты веб-приложений
  • Тесты беспроводной сети
  • Внешние / внутренние сетевые тесты

Эти тесты на проникновение обычно более систематичны и проводятся регулярно, в заранее установленное время, то есть до того, как будут выпущены серьезные изменения в приложении.

Законен ли этический взлом?

Этический взлом существует в интересной правовой серой зоне. Некоторые законы об этическом взломе неоднозначны или не учитывают все сценарии, с которыми сталкивается этический хакер.

Основное различие между этичным и неэтичным взломом — это согласие. Хакер должен иметь право действовать, а организация должна иметь разрешение клиента на разглашение конфиденциальных данных.

Лучший способ обезопасить стороны — это подписать юридическое соглашение, отвечающее следующим четырем условиям:

  1. Заявление работы (СОУ)подписывается как хакера и клиентом. Здесь описывается цель взлома и какие действия разрешено предпринимать хакеру.
  2. NDAподписал контракт с защитите деловой информации.
  3. Обе стороны полностью прозрачны вотношении ожиданий и всех предпринятых действий.
  4. Обе стороны подписывают формуосвобождения от ответственности, чтобы освободить хакера от любой ответственности за непредвиденные последствия.

Типы хакеров и терминология

Типы хакеров и терминология

Итак, мы знаем, что этичные хакеры используют навыки злоумышленника, чтобы помочь компании. Но как насчет других типов хакеров? Давайте исследуем различные типы хакеров и узнаем, чем они отличаются от этичного хакера.

Белые хакеры

Также называемые этическими хакерами, это профессиональные специалисты / аналитики по безопасности и тестеры на проникновение, которые работают с компаниями, отраслями и компьютерными системами для разработки более надежных систем безопасности. Они должны понимать методологии злонамеренных хакеров, а также действующие правовые основы, которые определяют текущие протоколы безопасности.

Хакеры в черной шляпе

Это злонамеренные хакеры, которые используют слабые стороны для наживы. Это люди, которых мы хотим остановить. Это хакеры, которые злонамеренно ищут утечки данных, такие как распространение вредоносных программ / вирусов и злонамеренный анализ данных. Хакеры в черной шляпе обычно совершают банковское мошенничество, вымогательство, шантаж и кражу личных данных пользователей сети.

Читайте также:  Как создать Ansible Playbook в Ubuntu

Серые хакеры

Эти хакеры могут не использовать данные в плохих целях, но они используют неэтичные средства для повышения безопасности системы. Хакеры в серых шляпах понимают все тонкости взлома и могут использовать его в личных целях. Например, неавторизованный хакер взламывает веб-сайт и отправляет техническому директору электронное письмо о найденной им уязвимости. Нет, они никому не вредят. Но да, они нарушают закон.

Зеленые хакеры

Это хакеры с ограниченным пониманием процесса и могут использовать очевидные методы для взлома личных данных и паролей. Их обычно можно найти в социальных сетях, особенно на онлайн-форумах, чтобы заманить в ловушку ничего не подозревающих пользователей.

Хакеры в синей шляпе

Эти хакеры обычно злонамерены по отношению к одной компании или человеку. Хакеры в этой группе используют свои навыки, чтобы эксплуатировать конкретных людей с целью возмездия. У хакера в синей шляпе могут быть политические мотивы.

Хакеры в красной шляпе

Это хакеры-линчеватели. Эти хакеры пытаются остановить злоумышленников с помощью вирусов, инициировать DoSing или даже уничтожить компьютер изнутри. Их чрезмерные методы нацелены на полное уничтожение хакера в черной шляпе.

Script kiddies

Это хакеры, которые имеют очень ограниченные практические знания о взломе, но умеют проникать в сетевые системы. Они могут искать знания о различных архитектурах и полагаться на заранее написанный код или программное обеспечение для проникновения в сети.

Что делает этичный хакер?

Этический взлом представляет собой широкий круг обязанностей. Как и в любой другой области, есть несколько областей, на освоение которых могут потребоваться годы. Например, некоторые этические хакеры сосредотачиваются на оценке уязвимости (VA), в то время как другие сосредотачиваются на тестировании на проникновение.

В общем, вот некоторые из наиболее распространенных обязанностей этичного хакера:

  • Выполните ВА и предложите ремонт
  • Обнюхивать сети или обходить беспроводное шифрование
  • Взломать веб-серверы и веб-приложения
  • Попытка обойти IDS (системы обнаружения вторжений), IPS (системы предотвращения вторжений) и межсетевые экраны
  • Анализировать установку исправлений
  • Использовать методы социальной инженерии, такие как фишинговые электронные письма, для обучения сотрудников работе с конфиденциальной информацией.
  • Используйте инструменты сканирования портов, чтобы найти открытые порты
  • Получите доступ с помощью SSH-атак, DoS-атак, подмены MAC-адресов или SQL-инъекций
  • Работайте с командой, чтобы протестировать конкретный продукт, используя реальное вторжение (так называемое Red Teaming).
  • Замаскируйте следы, чтобы избежать обнаружения
  • Создайте подробный отчет о своем хакерском опыте

Какие инструменты использует этичный хакер?

Помимо базовых навыков программирования, существуют сотни инструментов, которые этические хакеры используют для тестирования сайтов и приложений. Многие из самых популярных инструментов имеют открытый исходный код и требуют передовых навыков программирования. Давайте посмотрим на лучшие инструменты, которые используют этичные хакеры.

  • Языки программирования: как этическому хакеру важно знать несколько языков. Самыми популярными для взлома являются HTML, Java, JavaScript, Python, PHP, SQL, C / C ++ и Ruby.
  • Безопасность и анализ кода : Kiuwan — это обычная система безопасности приложений, которая также используется для анализа кода и безопасности кода. Например, вы можете использовать это для создания планов действий по устранению уязвимости.
  • Создавайте собственные плагины: Ettercap — это кроссплатформенный инструмент для создания пользовательских плагинов. Это помогает обеспечить общую безопасность сети от атак типа «злоумышленник в середине».
  • Сканер портов: Nmap — это сканер безопасности и портов, который можно использовать для исследования сетей. Он популярен для обнаружения хостов в сети и любых фильтров пакетов.
  • Подражайте хакеру: Netsparker идеально подходит для этичных хакеров. Он имитирует действия хакера по идентификации SQL-инъекций и межсайтовых сценариев.
  • Управление уязвимостями: Acunetix может выявить более 4500 уязвимостей веб-приложений. Это поисковый робот, который может интегрироваться с другими инструментами и платформами.
  • Сканирование веб-сервера: Nikto можно использовать для сканирования веб-сервера на наличие опасных файлов, проблем с версиями и т. Д. Он может проверить более 6700 опасностей.
  • Взломщик паролей: самый популярный взломщик паролей — это Джек-потрошитель. Он обнаруживает слабые пароли UNIX и может выполнять атаки по словарю.
Читайте также:  Как отключить подсветку синтаксиса VIM?

Как получить сертификат этичного хакера

Итак, мы знаем, что такое этичный хакер, и понимаем, в чем заключается его работа. Но как на самом деле стать этичным хакером или пентестером?

Вот что вам нужно вкратце:

  • Эксперт по нескольким языкам программирования
  • Глубокие знания компьютерных сетей и системного проектирования
  • UNIX / LIUX
  • Понимание криптографии
  • Знание операционных систем и баз данных
  • Сертификация CEH
  • Мастерство над хакерскими инструментами

Шаг 1. Базовые знания

Чтобы стать этичным хакером, вам необходимо знать несколько языков программирования, разбираться в компьютерных сетях, ОС, базах данных и концепциях проектирования систем.

Чтобы стать хакером в белой шляпе, вам нужно хорошо разбираться в сетевых концепциях, сетевой архитектуре, интернет-протоколах и портах.

Важно хорошо разбираться в MySQL и SQL. Начните с создания собственной базы данных.

Linux — самая распространенная операционная система для взлома. Большинство хакеров используют ядро ​​Linux. Не изучив UNIX / LINUX, стать хакером невозможно.

Шаг 2. Изучите криптографию и кибербезопасность.

Когда вы освоите основы информатики, вам следует перейти к криптографии, такой как шифрование и дешифрование. Это важные процессы для любой хакерской работы. Чтобы быть хорошим хакером, вам нужно глубоко понимать, как работает криптография. Вам также потребуются знания в области кибербезопасности, такие как такие концепции, как TCP / IP, прокси и протоколы UDP.

Шаг 3. Начните использовать хакерские инструменты.

Этичные хакеры используют много программного и аппаратного обеспечения. Важно знать эти инструменты. Я упомянул несколько выше. Изучите онлайн-курсы и сайты, которые позволят вам изучить эти инструменты на практике или в играх. Некоторыми практическими средами являются Burp Suite, Ettercap, Wireshark, DVWA и Linux Distro.

Шаг 4. Получите сертификат CEH

Основной сертификат, который вам понадобится, — это CEH (Certified Ethical Hacker). Вы можете посещать онлайн-классы для получения этого сертификата, а фактический тест занимает около 4 часов. Обычно вам не нужны предварительные знания в области этического взлома.

Обычно это является обязательным при поступлении на должность этичного хакера или пентестера. Другие, более специализированные сертификаты:

  • CHFI — (Специалист по компьютерным взломам и судебной экспертизе)
  • OSCP — (Сертифицированный специалист по наступательной безопасности)
  • ОБСЕ — (Сертифицированный эксперт по безопасности нападений)
  • CISM — (Сертифицированный менеджер по информационной безопасности)

Шаг 5. Подать заявку на вакансию

Получив CEH V9 или CEH V10, вы можете подать заявление на работу в качестве тестировщика на проникновение или этичного хакера. Для этичных хакеров и пентестеров существует множество вакансий. Взгляните на несколько:

  • Следователь киберпреступности
  • Аналитик по кибербезопасности
  • Инженер по кибербезопасности
  • ИТ-аудитор
  • Менеджер по информационной безопасности

Что изучать дальше

Поздравляю! Вы только что узнали основы этического взлома и тестирования на проникновение. Вы готовы перейти к следующему шагу. Куда вы пойдете дальше, во многом зависит от того, какие знания у вас уже есть.

Если вы новичок в программировании, я рекомендую изучить такой язык программирования, как Python, HTML, JavaScript или Java. В блоге Educative есть множество бесплатных руководств для начинающих по большинству из этих языков.

Оцените статью
bestprogrammer.ru
Добавить комментарий