Turinys

• Kas yra pilka skrybėlė?
• Pristatome etinį įsilaužėlį
• Kaip vyksta įsilaužimai?
• Kaip įsilaužėliai įsilaužė: geriausios strategijos
• Sukčiavimo apsimetant užpuolimas
• SQL injekcija
• Nulio dienos išnaudojimas
• Brutalios jėgos išpuolis
• „DOS Attack“
• Jūsų, kaip etinio įsilaužėlio, darbas
• Kaip pradėti dirbti kaip etiniam įsilaužėliui

Kai galvojate apie įsilaužėlius, jūs linkę galvoti apie žmones, besislapstančius bandant surinkti neskelbtinus didelių įmonių duomenis - etiškas įsilaužimas skamba kaip oksimoronas.

Tiesa, daugelis žmonių, įsilaužę, tai daro dėl visiškai sąžiningų priežasčių. Yra daugybė svarių priežasčių mokytis įsilaužimo. Tai galima suskirstyti į neutralias „pilkosios skrybėlės“ priežastis ir produktyvias „baltosios skrybėlės“ priežastis.

Kas yra pilka skrybėlė?

Pirma, tai meilė susinervinti: pamatyti, kaip viskas veikia, ir įgalinti save. Tas pats impulsas, kuris verčia vaiką atidaryti laikrodį ir pakeisti inžinieriaus darbą, gali paskatinti jus pasidomėti, ar galite vienodai efektyviai apeiti X programos ar Y saugumą.

Labai malonu žinoti, kad galite apsiginti internete

Tikimės, kad jums niekada nereikės įsibrauti į el. Pašto abonementą, bet žinokite apie jus galėtų jei reikia (jūsų sesuo buvo pagrobta!) vis dėlto kreipiasi. Tai šiek tiek primena kovos menus. Daugeliui iš mūsų tikimės, kad niekada nereikės kovoti už tikrus dalykus, tačiau malonu žinoti, kad galite apsiginti.

Piratai tikrai gali būti naudinga savisaugos priemonė. Perskaitę etinio įsilaužimo įvadą, galite sužinoti apie grėsmes jūsų privatumui ir saugumui internete. Tai darydami galite apsisaugoti nuo galimų išpuolių prieš jiems įvykstant ir priimti protingesnius sprendimus. Auštant daiktų internetui, vis daugiau mūsų gyvenimo bus „internetiniai“. Išmokdami duomenų saugumo pagrindus, netrukus gali kilti savisaugos reikalas.

Pristatome etinį įsilaužėlį

Etinis įsilaužimas taip pat yra labai naudingas pinigais. Jei norite apeiti apsaugos sistemas pragyvenimui, tam yra daugybė labai pelningų karjeros būdų. Galite dirbti informacijos saugos analitiku, penteistru, bendru IT specialistu, taip pat galite parduoti savo įgūdžius internetu per kursus ir elektronines knygas. Nors daug darbo vietų naikina automatizavimas ir skaitmeninimas, saugumo specialistų poreikis tik didės.

Etinis įsilaužimas yra labai naudingas pinigais

Kažkas, dirbantis bet kurioje iš šių sričių, paprastai yra tai, ką turime omenyje terminą „etinis įsilaužėlis“. Panagrinėkime toliau.

Kaip vyksta įsilaužimai?

Pagrindiniame lygmenyje etiniai įsilaužėliai tikrina sistemų saugumą. Kiekvieną kartą, kai naudojatės sistema nenumatytu būdu, jūs darote „įsilaužimą“. Paprastai tai reiškia sistemos „įvesties“ vertinimą.

Įvestys gali būti bet kokios formos nuo tinklalapio formų, norint atidaryti tinklo prievadus. Tai yra būtina norint susisiekti su tam tikromis tarnybomis, tačiau jie žymi įsilaužėlių taikinius.

Kartais tai gali reikšti mąstymą lauke. Palikite šalia esančią USB atmintinę ir dažnai kas nors ją suras. Tai gali suteikti USB atminties savininkui didelę kontrolę paveiktoje sistemoje. Yra daug informacijos, kurios paprastai negalite laikyti grėsme, tačiau patyręs įsilaužėlis gali rasti būdą, kaip jas išnaudoti.

Daugiau įėjimų reiškia didesnį „puolimo paviršių“ ar daugiau galimybių užpuolikams. Tai viena iš priežasčių, kodėl nuolat pridedant naujas funkcijas (žinomas kaip funkcijų išsipūtimas) ne visada tokia gera idėja kūrėjams. Saugumo analitikas dažnai bando sumažinti tą atakos paviršių pašalindamas visus nereikalingus duomenis.

Kaip įsilaužėliai įsilaužė: geriausios strategijos

Norėdami būti efektyviu etiniu įsilaužėliu, turite žinoti, su kuo kovojate. Būdamas etiniu įsilaužėliu ar „penteriu“, jūsų užduotis bus bandyti tokio pobūdžio išpuolius prieš klientus, kad galėtumėte jiems suteikti galimybę pašalinti silpnąsias vietas.

tai bus jūsų darbas bandyti tokio pobūdžio atakas prieš klientus

Tai tik keli iš būdų, kaip įsilaužėlis gali bandyti įsilaužti į tinklą:

Sukčiavimo apsimetant užpuolimas

Sukčiavimo apsimetant išpuolis yra „socialinės inžinerijos“ forma, kai įsilaužėlis nukreipia į vartotoją („šlapią programinę įrangą“), o ne tiesiai į tinklą. Jie tai daro bandydami priversti vartotoją noriai perduoti savo duomenis, galbūt paskelbdami kaip IT taisymo asmenį arba siųsdami el. Laišką, kuris, atrodo, yra iš prekės ženklo, kuriuo jie naudojasi ir kuriais pasitiki (tai vadinama apgaulingumu). Jie netgi gali sukurti netikrą svetainę su formomis, kuriose kaupiama išsami informacija.

Nepaisant to, užpuolikui tada tiesiog reikia naudoti šią informaciją norint prisijungti prie paskyros ir jie turės prieigą prie tinklo.

Sukčiavimas sukčiavimu yra sukčiavimas, nukreiptas į konkretų asmenį organizacijoje. Banginis reiškia, kad užpuola didžiausi kahūnai - aukšto rango vadovai ir vadybininkai. Dažniausiai sukčiavimui nebūtini jokie kompiuterio įgūdžiai. Kartais viskas, ko reikia įsilaužėliams, yra el. Pašto adresas.

SQL injekcija

Tai tikriausiai yra šiek tiek arčiau to, ką įsivaizduojate fotografuodami įsilaužėlius. Struktūrizuota užklausos kalba (SQL) yra išgalvotas būdas apibūdinti komandų, kurias galite naudoti manipuliuodami duomenų bazėje saugomais duomenimis, seriją. Kai svetainėje pateikiate formą, norėdami sukurti naują vartotojo slaptažodį, paprastai tai sukuria įrašą lentelėje su tais duomenimis.

Kartais forma taip pat netyčia priims komandas, kurios gali leisti įsilaužėjui neteisėtai atgauti ar manipuliuoti įrašais.

Įsilaužėliui ar skandalininkui prireiks daug laiko, kai šios galimybės rankiniu būdu ieškos didelėje svetainėje ar žiniatinklio programoje, kur pateks tokie įrankiai kaip „Hajiv“. Tai automatiškai ieškos pažeidžiamumų, kuriuos reikia išnaudoti, o tai yra labai naudinga. saugumo specialistams, bet ir tiems, kurie turi blogų ketinimų.

Nulio dienos išnaudojimas

Nulinės dienos eksploatacija veikia ieškant programinės įrangos kodavimo ar saugos protokolų trūkumų, prieš tai kūrėjui suteikiant galimybę juos pašalinti. Tai gali būti susiję su taikymu pagal pačios įmonės programinę įrangą arba gali būti taikoma pagal taikomą programinę įrangą, kurią ji naudoja. Vieno garsaus išpuolio metu įsilaužėliams pavyko pasiekti apsaugos kameras įmonės biure, kur jų eksploatavimas niekuo dėtas. Iš ten jie galėjo įrašyti bet ką, kas juos sudomino.

Piratai gali sukurti kenkėjiškas programas, skirtas išnaudoti šią saugumo spragą, kurią jie tada slapta įdės į taikinio kompiuterį. Tai yra įsilaužimo rūšis, kuriai naudinga žinoti, kaip koduoti.

Brutalios jėgos išpuolis

Žiaurios jėgos išpuolis yra slaptažodžio ir vartotojo vardo derinio nulaužimo būdas. Tai veikia kiekvienu įmanomu deriniu po vieną, kol pasiekia pergalę laimėjusią porą - lyg įsilaužėlis gali pereiti derinius seife. Šis metodas paprastai apima programinės įrangos, kuri gali tvarkyti procesą jų vardu, naudojimą.

„DOS Attack“

Paslaugos atmetimo (DOS) ataka reiškia tam tikro serverio tam tikrą laiką neveikimą, tai reiškia, kad jis nebegali teikti įprastų paslaugų. Taigi vardas!

DOS atakos vykdomos pingvinant ar kitaip siunčiant srautą į serverį tiek kartų, kai jis tampa priblokštas srauto. Tam gali prireikti šimtų tūkstančių užklausų ar net milijonų.

Didžiausios DOS atakos yra „platinamos“ keliuose kompiuteriuose (bendrai žinomu kaip „botnet“), kuriuos perėmė įsilaužėliai, naudojantys kenkėjiškas programas. Tai daro juos DDOS išpuoliais.

Jūsų, kaip etinio įsilaužėlio, darbas

Tai tik nedidelis pasirinkimas įvairių metodų ir strategijų, kuriuos įsilaužėliai dažnai naudoja norėdami prisijungti prie tinklų. Dalis apeliacijų dėl etiško įsilaužimo daugeliui galvoja kūrybiškai ir ieško galimų saugumo trūkumų, kurių kiti praleistų.

Kaip etinis įsilaužėlis, jūsų užduotis bus nuskaityti, nustatyti ir pulti pažeidžiamumus, kad būtų galima patikrinti įmonės saugumą. Kai rasite tokių skylių, pateiksite ataskaitą, kurioje turėtų būti nurodytos taisomosios priemonės.

Pvz., Jei surengtumėte sėkmingą sukčiavimo išpuolį, galite rekomenduoti mokyti personalą, kuris geriau atpažintų apgaulingą asmenį. Jei tinklo kompiuteriuose gavote nulinės dienos kenkėjiškas programas, galite patarti įmonei įdiegti geresnes ugniasienes ir antivirusinę programinę įrangą. Galite pasiūlyti įmonei atnaujinti savo programinę įrangą arba visiškai nustoti naudoti tam tikrus įrankius. Jei pastebėsite pažeidžiamumų pačios įmonės programinėje įrangoje, tuomet galite apie tai pranešti „dev“ komandai.

Kaip pradėti dirbti kaip etiniam įsilaužėliui

Jei tai jums atrodo įdomu, internete yra daugybė kursų, kuriuose mokoma etinio įsilaužimo. Štai vienas vadinamas „Ethical Hacker Bootcamp Bundle“.

Taip pat turėtumėte patikrinti mūsų pranešimą apie tapimą informacijos saugumo analitiku, kuris parodys jums geriausius sertifikatus, geriausias vietas susirasti darbą ir dar daugiau.