Der ethische Hacking-Prozess - Dummies

Wie bei jedem IT- oder Sicherheitsprojekt muss ethisches Hacken im Voraus geplant werden. Strategische und taktische Fragen im ethischen Hacking-Prozess sollten festgelegt und vereinbart werden. Um den Erfolg Ihrer Bemühungen sicherzustellen, verbringen Sie Zeit mit der Planung. Die Planung ist für jede Art von Tests wichtig - von einem einfachen Passwort-Knack-Test bis hin zu einem umfassenden Penetration-Test für eine Webanwendung.

Formulierung Ihres Plans

Genehmigung für ethisches Hacken ist unerlässlich. Machen Sie das, was Sie tun, bekannt und sichtbar - zumindest für die Entscheidungsträger. Das Sponsoring des Projekts ist der erste Schritt. Dies kann Ihr Manager, eine Führungskraft, Ihr Kunde oder auch Sie selbst sein, wenn Sie der Chef sind. Sie brauchen jemanden, der Sie unterstützt und Ihren Plan unterschreibt. Andernfalls wird Ihr Test möglicherweise unerwartet beendet, wenn jemand behauptet, dass er Sie nie autorisiert hat, die Tests durchzuführen.

Die Autorisierung kann so einfach sein wie ein internes Memo oder eine E-Mail von Ihrem Chef, wenn Sie diese Tests auf Ihren eigenen Systemen durchführen. Wenn Sie für einen Kunden testen, müssen Sie einen unterzeichneten Vertrag unterzeichnen, in dem der Support und die Autorisierung des Kunden angegeben sind. Erhalten Sie so bald wie möglich eine schriftliche Genehmigung für dieses Sponsoring, um sicherzustellen, dass keine Zeit oder Mühe vergeudet wird. Diese Dokumentation ist Ihre Get Out of Jail Free -Karte, wenn jemand fragt, was Sie tun, oder noch schlimmer, wenn die Behörden anrufen.

Ein Beleg kann Ihre Systeme zum Absturz bringen - nicht unbedingt das, was jemand will. Sie benötigen einen detaillierten Plan, aber das bedeutet nicht, dass Sie eine Menge an Testverfahren benötigen. Ein klar definierter Bereich enthält die folgenden Informationen:

• Zu ​​testende spezifische Systeme: Beginnen Sie bei der Auswahl der zu testenden Systeme mit den kritischsten Systemen und Prozessen oder denjenigen, von denen Sie vermuten, dass sie am anfälligsten sind. Zum Beispiel können Sie Computerkennwörter, eine Internet-orientierte Webanwendung testen oder Social-Engineering-Angriffe versuchen, bevor Sie in alle Ihre Systeme eindringen.
• Eingeschlossene Risiken: Es lohnt sich, einen Notfallplan für Ihren ethischen Hacking-Prozess zu erstellen, falls etwas schiefgeht. Was ist, wenn Sie Ihre Firewall oder Webanwendung bewerten und diese ablegen? Dies kann zur Nichtverfügbarkeit des Systems führen, was die Systemleistung oder die Produktivität der Mitarbeiter beeinträchtigen kann. Schlimmer noch, es könnte zu Datenintegritätsverlust, Datenverlust selbst und schlechter Publicity führen. Es wird höchstwahrscheinlich eine Person oder zwei abhaken und dich schlecht aussehen lassen.
Behandeln Sie Social Engineering und DoS-Angriffe sorgfältig. Bestimmen Sie, wie sie sich auf die getesteten Systeme und die gesamte Organisation auswirken können.
• Wann die Tests durchgeführt werden und Ihre Gesamtzeitachse: Die Bestimmung, wann die Tests durchgeführt werden, ist etwas, worüber Sie lange und intensiv nachdenken müssen. Führen Sie Tests während der normalen Geschäftszeiten durch? Wie wäre es spät in der Nacht oder früh am Morgen, so dass Produktionssysteme nicht betroffen sind? Beziehen Sie andere ein, um sicherzustellen, dass sie Ihr Timing genehmigen.
Der beste Ansatz ist ein unbegrenzter Angriff, bei dem jede Art von Test zu jeder Tageszeit möglich ist. Die bösen Jungs brechen nicht in einem begrenzten Umfang in Ihre Systeme ein, also warum sollten Sie? Einige Ausnahmen von diesem Ansatz sind DoS-Angriffe, Social Engineering und physische Sicherheitstests.
• Wie viel Wissen über die Systeme, die Sie haben, bevor Sie mit dem Testen beginnen: Sie benötigen keine umfassenden Kenntnisse über die Systeme, die Sie testen - nur ein grundlegendes Verständnis. Dieses grundlegende Verständnis hilft Ihnen und den getesteten Systemen.
• Welche Maßnahmen werden ergriffen, wenn eine schwerwiegende Sicherheitslücke entdeckt wird: Hören Sie nicht auf, nachdem Sie eine Sicherheitslücke gefunden haben. Dies kann zu einem falschen Gefühl der Sicherheit führen. Gehen Sie weiter, um zu sehen, was Sie sonst noch entdecken können. Sie müssen nicht bis zum Ende der Zeit hacken oder bis Sie alle Ihre Systeme zum Absturz bringen. verfolge einfach den Weg, den du gehst, bis du ihn nicht mehr hacken kannst (Wortspiel beabsichtigt). Wenn Sie keine Schwachstellen gefunden haben, haben Sie nicht hart genug gesucht.
• Die spezifischen Ergebnisse: Dazu gehören Sicherheitsbewertungsberichte und ein übergeordneter Bericht, in dem die allgemeinen Schwachstellen aufgeführt sind, die behoben werden müssen, sowie Gegenmaßnahmen, die umgesetzt werden sollten.

Eines Ihrer Ziele kann sein, die Tests durchzuführen, ohne entdeckt zu werden. Beispielsweise führen Sie Ihre Tests möglicherweise auf Remote-Systemen oder in einem Remote-Büro aus, und Sie möchten nicht, dass die Benutzer wissen, was Sie tun. Ansonsten können sich die Nutzer an Sie wenden und sich besser verhalten - statt sich normal zu verhalten.

Den Plan ausführen

Gutes ethisches Hacken erfordert Beharrlichkeit. Zeit und Geduld sind wichtig. Seien Sie vorsichtig, wenn Sie Ihre ethischen Hacking-Tests durchführen. Ein Hacker in Ihrem Netzwerk oder ein scheinbar harmloser Mitarbeiter, der Ihnen über die Schulter schaut, kann beobachten, was vor sich geht und diese Informationen gegen Sie verwenden.

Es ist nicht sinnvoll sicherzustellen, dass sich keine Hacker auf Ihren Systemen befinden, bevor Sie beginnen. Achte nur darauf, dass du alles so ruhig und so privat wie möglich hältst. Dies ist besonders wichtig bei der Übertragung und Speicherung Ihrer Testergebnisse. Wenn möglich, verschlüsseln Sie alle E-Mails und Dateien, die sensible Testinformationen enthalten, mit Pretty Good Privacy oder einer ähnlichen Technologie. Schützen Sie sie mindestens mit einem Kennwort.

Sie befinden sich jetzt auf einer Aufklärungsmission. Nutzen Sie so viele Informationen wie möglich über Ihre Organisation und Ihre Systeme, was böswillige Hacker tun. Beginnen Sie mit einer umfassenden Ansicht und schränken Sie Ihren Fokus ein:

1. Durchsuchen Sie das Internet nach dem Namen Ihrer Organisation, den Namen Ihres Computers und des Netzwerksystems sowie nach Ihren IP-Adressen.

Google ist ein guter Ausgangspunkt.

2. Grenzen Sie Ihren Bereich ein, indem Sie auf die spezifischen Systeme zielen, die Sie testen.

Unabhängig davon, ob Sie physische Sicherheitsstrukturen oder Webanwendungen bewerten, kann eine gelegentliche Bewertung viele Informationen über Ihre Systeme liefern.

3. Verengere deinen Fokus mit einem kritischeren Auge. Führen Sie tatsächliche Scans und andere detaillierte Tests durch, um Schwachstellen auf Ihren Systemen aufzudecken.

4. Führen Sie die Angriffe aus und nutzen Sie alle gefundenen Schwachstellen aus, falls dies der Fall ist, für die Sie sich entscheiden.

Ergebnisse auswerten

Bewerten Sie Ihre Ergebnisse, um zu sehen, was Sie aufgedeckt haben, vorausgesetzt, dass die Sicherheitslücken bisher nicht offensichtlich wurden. Hier zählt Wissen. Die Auswertung der Ergebnisse und die Korrelation der gefundenen spezifischen Schwachstellen ist eine Fähigkeit, die mit der Erfahrung besser wird. Am Ende werden Sie Ihre Systeme besser kennen als jeder andere. Dies macht den Bewertungsprozess viel einfacher.

Senden Sie einen formellen Bericht an das obere Management oder an Ihren Kunden, in dem Sie Ihre Ergebnisse und Empfehlungen, die Sie teilen möchten, darlegen. Halten Sie diese Parteien auf dem Laufenden, um zu zeigen, dass Ihre Bemühungen und Ihr Geld gut angelegt sind.