Włamanie z dobrego powodu

Nie wszyscy hakerzy atakujący firmy to źli ludzie; niektórym płaci za to cel. W usłudze znanej jako testy penetracyjne firma zajmująca się bezpieczeństwem próbuje uzyskać dostęp do systemów klienta lub kontrolować je w celu wykrycia słabych punktów, które mogą zostać wykorzystane przez prawdziwego atakującego.

Szukanie kłopotów: Brian Holyfield, współzałożyciel Gotham Digital

Niektóre rodzaje firm są prawnie zobowiązane do poddania się testom penetracyjnym, ale wiele innych również je wybiera, mówi Brian Holyfield, współzałożyciel Gotham Cyfrowa nauka , firma z siedzibą w Nowym Jorku, która specjalizuje się w tej usłudze. Holyfield powiedział Tomowi Simonite: Przegląd technologii jest edytorem IT zajmującym się sprzętem i oprogramowaniem, który podczas niektórych dużych zadań Gotham wysyła na kilka tygodni trzech swoich hakerów przeciwko firmie.

DZIECI : Dlaczego potrzebne są testy penetracyjne? Czy nie można po prostu powiedzieć firmie, jakich luk w zabezpieczeniach szukałby atakujący?

Holyfield: Nie szukamy standardowych luk w zabezpieczeniach. Przez większość czasu szukamy luk na poziomie kodu w aplikacjach niestandardowych. Każdy ma teraz aplikacje internetowe, a rzeczywistość jest taka, że ​​zapora niewiele robi, aby je chronić.

Z jakimi firmami współpracujesz?

Współpracujemy głównie z dostawcami usług bankowych i finansowych, opieki zdrowotnej i oprogramowania. Oczekuje się, że wszystkie witryny i systemy, które akceptują karty kredytowe, przejdą testy, jeśli dokonują więcej niż określonej liczby transakcji rocznie. Ale wiele firm nie jest do tego zmuszanych. Największym rynkiem, który obsługujemy, są firmy, które dostarczają oprogramowanie jako usługę. Klienci pytają ich o to, co robią, aby zapewnić bezpieczeństwo.

Czy klienci boją się zgłaszać się na ochotnika do włamania?

Gdy ktoś przechodzi przez to po raz pierwszy, pojawia się pewien poziom nerwowości, a nawet paranoi. Musimy pracować nad tym, aby odłożyli na bok swoje ego i zrozumieli, że to nie jest ćwiczenie „my kontra oni”; nie staramy się, aby ktokolwiek wyglądał źle. Kiedy test pióra się kończy, klienci są ogólnie zadowoleni, że znaleźliśmy problem przed złym facetem.

Jaki jest dobry przykład znalezionych luk?

W jednym z ostatnich działań naruszyliśmy witrynę marketingową dużej instytucji finansowej, która działała na niezałatanym serwerze internetowym. Ten serwer był używany jako punkt przeskoku do przechodzenia przez zaporę i uzyskiwania łączności z systemami w ich sieci wewnętrznej.

Odkryliśmy, że jedno z kont [pobranych z] serwera WWW (złamaliśmy hasło) było również administratorem w skarbcu, który przechowuje hasła wszystkich użytkowników do tej sieci. Mogliśmy się zalogować jako każdy. Dobrą lekcją jest to, że tylko dlatego, że system nie jest krytyczny, nie oznacza to, że serwer może zostać spisany na straty z punktu widzenia bezpieczeństwa. Gdy uzyskasz dostęp do skrzynki obwodowej, zazwyczaj masz o wiele więcej możliwości atakowania ważniejszych systemów, ponieważ jesteś teraz za zaporą ogniową. Druga lekcja dotyczy tego, jak ważne jest, aby nie używać tego samego hasła w różnych systemach.

Co przedstawiasz klientowi po zakończeniu ataku?

Zawsze mamy pisemny raport i zrzuty ekranu krok po kroku oraz instrukcje, które możemy przekazać programiście i powiedzieć: Oto jak to zrobić. Po teście penetracyjnym dodajemy wartość, wyjaśniając dokładnie, co należy zrobić. Można to porównać z klasycznym audytem bezpieczeństwa, który zwykle jest mocno skoncentrowany na najlepszych praktykach.

Czy ludzie, którzy robią to dla dobrych, różnią się od złych?

Wymaga nie tylko specjalistycznych umiejętności, ale także określonego typu osoby. Nie chodzi o to, że ludzie są dobrzy w swojej pracy, ale o ich hobby, to czym żyją i czym oddychają. Mają pragnienie nie tylko dowiedzieć się, jak coś działa, ale także dowiedzieć się, jak użyć czegoś [w celu], do którego nie było to przeznaczone.

Jest cienka granica między kimś, kto ma tę pasję tylko ze względu na zainteresowanie i wiedzę, a kimś, kto wyrządzi krzywdę lub spróbuje zarobić pieniądze. Kiedy szukamy talentów, częścią naszego procesu rekrutacji jest bardzo rygorystyczne sprawdzenie przeszłości, aby znaleźć ciemną stronę. Było wiele przypadków, w których znamy bardzo utalentowanych ludzi, których po prostu nie możemy zatrudnić.

Czy testy penetracyjne stają się coraz bardziej powszechne?

Tak, zaczyna być coraz bardziej powszechny. Jedną z oznak tego jest to, że ludziom łatwiej jest uzyskać pozwolenie od dostawcy usług internetowych, który musi o tym wiedzieć, aby zrozumieć, że nie jest to prawdziwy atak. Dziś firmy infrastrukturalne, takie jak Amazon, bardzo to ułatwiają. Jeśli jesteś hostowany w chmurze Amazon, uzyskanie pozwolenia na test penetracyjny jest tak proste, jak wypełnienie prostego formularza internetowego.

Czy testy penetracyjne mogły przygotować Sony na niedawne ataki, w których skradziono dane użytkowników?

Test penetracyjny zazwyczaj koncentruje się na drzwiach wejściowych, ale jest mnóstwo okien. Myślę, że Sony było właściwie na celowniku. Socjotechnika i spear phishing [wytwarzanie wiadomości w celu nakłonienia konkretnej osoby do ujawnienia poufnych danych] mogły zostać wykorzystane przeciwko osobom mającym dostęp do danych. Testowanie ataków socjotechnicznych jest opcją dla testu piórkowego, ale większość ludzi tego nie robi. Oni już znają ryzyko.

ukryć