El proceso de hacking ético

Al igual que prácticamente cualquier TI o la seguridad del proyecto, hacking ético debe planificarse con antelación. Cuestiones estratégicas y tácticas en el proceso de hacking ético deben ser determinados y acordados. Para asegurar el éxito de sus esfuerzos, pasar tiempo a las cosas de planificación delanteros cabo. La planificación es importante para cualquier cantidad de pruebas - de una simple prueba de violación de contraseñas a una prueba sin cuartel penetración en una aplicación web.

La formulación de su plan

La aprobación de hacking ético es esencial. Asegúrese de lo que estás haciendo conocido y visible - al menos para los que toman las decisiones. Obtención patrocinio del proyecto es el primer paso. Esta podría ser su gerente, ejecutivo, su cliente, o incluso a ti mismo, si usted es el jefe. Necesitas a alguien que te apoye y firmar en su plan. De lo contrario, su prueba puede ser cancelada inesperadamente si alguien afirma que nunca te autorizados para realizar las pruebas.

La autorización puede ser tan simple como un memorándum interno o el correo electrónico de su jefe si usted está realizando estas pruebas en sus propios sistemas. Si usted está probando para un cliente, tener un contrato firmado en el lugar, indicando el apoyo del cliente y autorización. Obtener la aprobación por escrito sobre este patrocinio tan pronto como sea posible para asegurarse de que ninguno de su tiempo o esfuerzo se desperdicia. Esta documentación es su Salir de la cárcel gratis tarjeta si alguien cuestiona lo que estás haciendo, o peor, si las autoridades vienen llamando.

Un resbalón puede chocar sus sistemas - no necesariamente lo que nadie quiere. Usted necesita un plan detallado, pero eso no significa que usted necesita volúmenes de procedimientos de prueba. Un ámbito bien definido incluye la siguiente información:

• Sistemas específicos a ensayar: Al seleccionar los sistemas a prueba, comenzar con los sistemas y procesos más críticos o los que usted sospecha de ser los más vulnerables. Por ejemplo, usted puede probar contraseñas de computadoras, una aplicación Web orientado a Internet, o intentar ataques de ingeniería social antes de perforar hacia abajo en todos sus sistemas.

• Los riesgos involucrados: Vale la pena tener un plan de contingencia para su proceso de hacking ético en caso de que algo va mal. ¿Qué pasa si usted está evaluando su cortafuegos o aplicación Web y hacerla caer? Esto puede causar falta de disponibilidad del sistema, lo que puede reducir el rendimiento del sistema o productividad de los empleados. Lo que es peor, podría causar la pérdida de la integridad de los datos, la pérdida de datos en sí, e incluso la mala publicidad. Se va sin duda marcar la casilla correspondiente a una persona o dos y te hacen ver mal.

Manejar la ingeniería social y ataques de denegación de cuidado. Determinar cómo pueden afectar a los sistemas que está probando y toda su organización.

• Cuando se llevarán a cabo las pruebas y su línea de tiempo general: Determinar cuándo se realizan las pruebas es algo que usted debe pensar largo y tendido sobre. ¿Realiza pruebas durante el horario normal? ¿Qué tal por la noche o temprano en la mañana para que los sistemas de producción no se ven afectados? Involucrar a los demás para asegurarse de que aprueban su sincronización.

El mejor enfoque es un ataque sin límites, donde cualquier tipo de prueba es posible en cualquier momento del día. Los chicos malos no están rompiendo en sus sistemas dentro de un alcance limitado, así que ¿por qué debería? Algunas excepciones a este enfoque están realizando ataques DoS, la ingeniería social, y las pruebas de seguridad física.

• ¿Cuánto conocimiento de los sistemas que tiene antes de empezar la prueba: No es necesario un amplio conocimiento de los sistemas que está probando - sólo un conocimiento básico. Esta comprensión básica ayuda a usted ya los sistemas probados a proteger.

• ¿Qué medidas se tomarán cuando se descubrió una importante vulnerabilidad: No deje después de encontrar un agujero de seguridad. Esto puede conducir a una falsa sensación de seguridad. Sigue adelante para ver qué más se puede descubrir. Usted no tiene que mantener la piratería hasta el final del tiempo o hasta que usted se estrella toda tu Sistemas simplemente seguir el camino que va hacia abajo hasta que usted no puede entrar ilegalmente en él por más tiempo (nunca mejor dicho). Si no ha encontrado ningún vulnerabilidades, usted no ha mirado lo suficiente.

• Los resultados específicos: Esto incluye los informes de evaluación de seguridad y de un informe de alto nivel delineando las vulnerabilidades generales que deben abordarse, junto con contramedidas que deben implementarse.

Uno de sus objetivos puede ser para realizar las pruebas sin ser detectado. Por ejemplo, es posible que realizando sus pruebas en sistemas remotos o en una oficina remota, y no desea que los usuarios sean conscientes de lo que estás haciendo. De lo contrario, los usuarios pueden ponerse a usted y estar en su mejor comportamiento - en vez de su comportamiento normal.

Ejecutar el plan de

Bueno hacking ético requiere persistencia. Tiempo y paciencia son importantes. Tenga cuidado cuando usted está realizando sus pruebas de hacking ético. Un hacker en su red o un empleado aparentemente benigno mirando sobre su hombro puede ver lo que está pasando y utilizar esta información en su contra.

No es práctico para asegurarse de que los hackers no están en sus sistemas antes de empezar. Sólo asegúrese de mantener todo lo más tranquila y privada posible. Esto es especialmente crítico cuando la transmisión y el almacenamiento de sus resultados de la prueba. Si es posible, cifrar los correos electrónicos y los archivos que contienen información de la prueba sensible utilizando Pretty Good Privacy o tecnología similar. Como mínimo, proteger con contraseña ellos.

Ahora se encuentra en una misión de reconocimiento. Aproveche la mayor información posible acerca de su organización y sistemas, que es lo que los hackers hacen. Comience con una visión amplia y afinar la puntería:

1. Busque en Internet el nombre de su organización, sus nombres de equipo y del sistema de la red y sus direcciones IP.

Google es un gran lugar para comenzar.

2. Limitar tu alcance, apuntando a los sistemas específicos que está probando.

Ya sea que esté evaluando las estructuras de seguridad o aplicaciones Web físico, una evaluación informal puede convertir una gran cantidad de información acerca de sus sistemas.

3. reducir aún más su enfoque con un ojo más crítico. Realizar exploraciones reales y otras pruebas detalladas para descubrir vulnerabilidades en sus sistemas.

4. Lleve a cabo los ataques y explotar cualquier vulnerabilidad que has encontrado, si eso es lo que elijas hacer.

La evaluación de los resultados

Evalúe sus resultados para ver lo que descubriste, suponiendo que las vulnerabilidades no se han hecho evidentes antes de ahora. Aquí es donde cuenta con el conocimiento. La evaluación de los resultados y la correlación de las vulnerabilidades específicas descubiertos es una habilidad que mejora con la experiencia. Usted va a terminar sabiendo que sus sistemas mucho mejores que nadie. Esto hace que el proceso de evaluación mucho más sencillo de seguir adelante.

Presentar un informe oficial a la alta dirección o de su cliente, que señalan sus resultados y cualquier recomendación que desea compartir. Mantenga estas partes en el bucle para mostrar que sus esfuerzos y su dinero están bien gastados.