Ostatnio czytałem tonę pytań, postów i ogólnej dyskusji na temat dostania się do “Bezpieczeństwa Informacji” gry, i moim zdaniem przynajmniej to jest zazwyczaj po przez dość dużą ilość informacji wprowadzających w błąd. To może być trochę surowy, biorąc pod uwagę, że jestem pewien, że to dobre intencje, to jest również nawet możliwe, że rada pracował dla nich (nie ma jednego rozmiaru pasuje do wszystkich porad), ale myślałem, że będę kłaść moje myśli tutaj w nadziei, aby pomóc nowy początkujący haker move forward.
Chcę uprawiać sport, gdzie powinienem zacząć?
To niejasne, otwarte i bardzo niejednoznaczne pytanie jest bardzo podobny do kogoś, kto pyta, jak powinni iść o coraz do bezpieczeństwa informacji. Pierwszą rzeczą, jaką należy sobie uświadomić, jest ogromny zakres dziedzin związanych z bezpieczeństwem informacji, a w każdej z tych dziedzin znajduje się warta całego życia treść nauczania. Podobnie jak w przypadku wyboru dyscypliny sportowej, nie ma “najlepszej”, po prostu czasami jest to dziedzina, która może się podobać bardziej niż inne. Z wierzchu mojej głowy oto kilka przykładowych obszarów, które nie są w żaden sposób wyczerpujące.
.
Niektóre z nich są bardziej technicznej natury, podczas gdy inne są bardziej teoretyczne. Gwarantuję, że niezależnie od tego, co lubisz, są inni, którzy uznają to za nudne, tak samo jak ty będziesz się czasem nudził tym, co interesuje innych. W tej chwili spodziewam się, że jeśli to czytasz, możesz wiedzieć bardzo mało o którejkolwiek z tych dziedzin, ale ważna jest twoja chęć do nauki i rodzaj motywacji, jaką masz.
Typ Hacking
Jednym znakiem firmowym, który jest prawie uniwersalny dla ludzi w tych dziedzinach jest ich skupienie się na niezależnej, samodzielnie kierowanej nauce. Niestety, w pewnym sensie bezpieczeństwo jest nadal uważane za “mroczną sztukę”, to znaczy, dlaczego ktoś miałby chcieć wiedzieć, jak włamać się do systemu komputerowego, jeśli nie miałby zamiaru tego zrobić? W rezultacie wiele osób okazuje pogardę lub wręcz wrogość, kiedy pyta o kwestie związane z bezpieczeństwem, wychodząc z fałszywego (czasem prawdziwego) założenia, że to tylko ‘script kiddie’, który chce się nauczyć włamywać do systemów komputerowych, a nie chce się uczyć i wykorzystać tę wiedzę w dobrym celu. Faktem jest również, że zasoby “nauki” w zakresie bezpieczeństwa informacji są dość rozproszone, bez prawdziwego centralnego repozytorium materiałów edukacyjnych.
Punktem podkreślenia tego jest to, że jeśli chcesz prosperować i pomyślnie wejść na pole bezpieczeństwa informacji, powinieneś być przygotowany do skoku i znaleźć swoją drogę bez czekania na kogoś, kto trzyma cię za rękę i prowadzi cię w dół właściwej ścieżki. Wyszukaj w Google niektóre z powyższych terminów i zobacz, co brzmi jak zabawa. Pomimo tego, co czasami wydaje się jak stała walka, aby znaleźć “najlepsze” pole do nauki, lub “najlepsze” zasobów, lub “najlepszy” sposób, aby dowiedzieć się często więcej czasu spędza się prokrastynacji zastanawiając się te pytania, a nie poświęcając czas na rzeczywiste uczenie się. Spójrz na wideo na youtube dla przykładów hacking – to jest ok, jeśli nie wiesz, co wiele z nich oznacza, ale zapisz listę następnie google tych terminów. Korzystaj z punktów zainteresowania, aby zrodzić coraz większą sieć wiedzy na tematy, które cię interesują.
Czy muszę się najpierw nauczyć X?
Oczywiście musisz mieć pełną wiedzę o warstwie OSI zanim zaczniesz. Tak, musisz przeczytać tę 1000-stronicową książkę o protokole TCP. Tak, musisz być biegły w 5 językach programowania (co najmniej!) zanim zaczniesz hakować. Czy potrafisz skompilować własne jądro Linuksa z kodu źródłowego? Nie? Nie zawracaj sobie głowy nauką hackingu. Właściwie…. to wszystko jest pełne bzdur, a jednak jest to jedna z najczęstszych odpowiedzi udzielanych osobom chcącym nauczyć się bezpieczeństwa informacji. Jest jeden warunek, aby stać się przyzwoitym hakerem – zainteresowanie. Różnica między przyszłym hakerem a script kiddie nie polega na wiedzy, ale na chęci do nauki.
Tak długo, jak masz mgliste pojęcie o tym, jak korzystać z komputera, jesteś w punkcie wyjścia, z którym możesz pracować. Tak, jeśli nie masz solidnego zrozumienia jak działa TCP, powinieneś mieć to na swojej liście rzeczy do zrobienia, aby sprawdzić, kiedy ktoś mówi o tym w tutorialu hakerskim – ale to niedorzeczne myśleć, że potrzebujesz tony wiedzy wstępnej, zanim będziesz mógł zacząć uczyć się o tematach, którymi jesteś zainteresowany. Kiedy sprawdzasz, jak działa zagadka logowania na stronie hakerskiej i używa ona JavaScriptu, nauczysz się, jak działa JavaScript. Kiedy czytasz, jak działa przepełnienie bufora i ma to szablon w Pythonie, nauczysz się podstaw Pythona. Nie, nie dostaniesz pracy jako programista w tych językach, ale poznasz typowe sposoby łamania języka.
Uczenie się nieformalne
“Ok, rozumiem aluzję – muszę nauczyć się rzeczy sam, ale czy możesz przynajmniej dać mi punkt wyjścia?”
Pewnie, istnieje tona wspaniałych darmowych lub tanich zasobów tam na zewnątrz, aby zacząć w zależności od tego, jaki temat do Ciebie przemawia. Oto kilka przykładów.
Web Application Security
Reverse Engineering / Malware Reversing
Network Security
Exploit Development
Inne niż to, Google, Google, i jeszcze trochę Google. Pominąłem niektóre obszary, takie jak kryminalistyka i zgodność, ponieważ osobiście nie jestem nimi zainteresowany, więc nie poszedłem szukać zasobów, jestem pewien, że jest tam kilka fantastycznych.
Uczenie się formalne
Poza darmowymi zasobami możesz również zacząć zdobywać certyfikaty aby stać się bardziej atrakcyjnym dla pracodawców jeśli chcesz przejść do tej dziedziny jako bardziej ścieżki kariery. Niektóre certyfikaty, które bardzo polecam to “Penetration Testing with Kali Linux” kurs z Offensive Security (link) jeśli jesteś zainteresowany bezpieczeństwem sieci. Jest to z łatwością jedno z najlepszych doświadczeń edukacyjnych jakie kiedykolwiek miałem w tej dziedzinie i nauczyło mnie więcej w ciągu 60 dni niż nauczyłem się w ciągu roku na własną rękę. Ich “Cracking the Perimeter” jest również świetnym kursem, skupiającym się nieco bardziej na rozwoju exploitów (link).
Jeśli patrzysz na rozwój swoich umiejętności programistycznych, to SecurityTube’s “Python for Pentesters and Hackers” (link) jest świetną podstawą, która nauczy cię jak robić mnóstwo fajnych rzeczy, takich jak budowanie własnych skanerów portów, łamanie haseł itp. Nie przykładam wielkiej wartości do ich certyfikatów, które oferują z perspektywy zatrudnienia, ale patrzyłbym na to bardziej jak na skonsolidowaną bryłę wiedzy i przykładów na sprzedaż, które wciąż mogą być cenne.
The “Certified Ethical Hacker” kurs jest inny powszechnie wymienione. Szczerze mówiąc jest to typowe spojrzenie w dół, więc nie sądzę, że jest to koniecznie warte pieniędzy – ale jeśli potrzebujesz formalnego kursu, aby nauczyć się rzeczy, to może być warte pieniędzy dla Ciebie. Wiele z tych certyfikatów i ich wartość są omawiane na forum TheEthicalHacker.net znajduje się tutaj.
“Just seeing if you can”
Hacking jest wszystko o uzyskanie dostępu do rzeczy, które nie są przeznaczone do. Tworzenie exploitów, znajdowanie SQL injection, łamanie haseł – wszystko to ma na celu przybliżenie nas do celu, jakim jest przejęcie kontroli nad atakowanym komputerem. Gwarantuję, że prawie każdy nowy haker zaczął marzyć o “Zobaczeniu, czy może” uzyskać dostęp do szkolnej strony internetowej. “Tylko patrząc, czy mogą” uzyskać dostęp do sieci WiFi sąsiadów. Wysyłanie ich przyjaciel wirus trojański “tylko zobaczyć, czy mogą” przejąć kontrolę. Co gorsza, możesz skończyć odwiedzając miejsca takie jak HackForums.net i widząc wielu ludzi próbujących infekować innych RAT-ami, budować botnety itp. pod wrażeniem, że to jest hacking, lub niestety, że jest to jedyny sposób, w jaki możesz się tego nauczyć.
Muszę podkreślić, że tak nie jest. Każdy rodzaj ćwiczeń typu “po prostu zobacz czy potrafisz” może być odtworzony poprzez wykorzystanie maszyn wirtualnych, własnych routerów lub nawet konkursów typu capture the flag / wargame. Będąc realistą, nawet jeśli uda Ci się uzyskać dostęp do maszyny innej osoby, co zamierzasz z nią zrobić? Czy naprawdę będziesz próbował wykraść dane karty kredytowej i dokonać oszukańczych transakcji? Czy naprawdę zamierzasz wykradać hasła i popadać w paranoję, że Twoja aktywność zostanie prześledzona z powrotem do Ciebie przez wzgląd na podglądanie czyichś maili? Było wiele przykładów, gdy nowicjusze zostali oskarżeni, nie zdając sobie sprawy z powagi przestępstw, które popełniają. Jeśli starałbyś się o pracę w FBI, a oni przejrzeliby Twoją historię postów, czy chciałbyś, żeby przeczytali ten post, w którym pytałeś, jak stworzyć botnet? To klasyczny przykład tego, że to, co jest w Internecie, pozostaje na zawsze, a jeśli naprawdę chcesz zrobić karierę w bezpieczeństwie informacji, potrzebujesz czystej kartoteki, aby uzyskać wszelkie poświadczenia bezpieczeństwa, których będziesz potrzebował do wykonywania swojej pracy. Dać się złapać za głupie rzeczy po prostu nie jest tego warte.
Podsumowanie
Więc po tym długim wywodzie, jakie są kluczowe punkty?
Baw się dobrze, przepraszam, jeśli pod koniec zrobiło się kaznodziejsko i ciesz się pwningiem skrzynek! Bezpieczeństwo informacji jest wspaniałym polem i będziesz się uczyć czegoś nowego każdego dnia, kiedy będziesz w to zaangażowany. Nie ma dobrej odpowiedzi na to, jak dostać się do tej dziedziny, oprócz skakania w nią obiema nogami. Zamocz się, naucz się chodzić po wodzie i utrzymywać się na powierzchni, pewnego dnia możesz nawet być w stanie trochę popływać!
.