Overholde de ti bud af etisk hacking - dummies

Disse bud blev ikke bragt ned fra Mount Sinai, men du Hvis du følger disse bud, skal du beslutte dig for at blive en troende i lærdommen om etisk hacking.

Du skal sætte dine mål

Din vurdering af sikkerheden for et trådløst netværk skal søge svar på tre grundlæggende spørgsmål:

• Hvad kan en ubudne se på måladgangspunkterne eller netværket?

• Hvad kan en ubudne gøre med disse oplysninger?
• Er der nogen som er opmærksom på indtrengernes forsøg - eller succeser?

Du kan angive et forenklet mål, f.eks. At finde uautoriserede trådløse adgangspunkter. Eller du kan angive et mål, der kræver, at du henter oplysninger fra et system på det kablede netværk. Uanset hvad du vælger, skal du formulere dit mål og kommunikere det til dine sponsorer.

Involver andre i din målindstilling. Hvis du ikke gør det, finder du planlægningsprocessen ret svært. Målet bestemmer planen. At omskrive Cheshire Cat's svar på Alice: "Hvis du ikke ved, hvor du skal hen, vil enhver vej tage dig der. "Inkluderende interessenter i målsætningen vil skabe tillid, der vil betale sig i spader senere.

Du skal planlægge dit arbejde, for at du ikke går af kurs

Få, hvis nogen af ​​os, er ikke bundet af en eller flere begrænsninger. Penge, personale eller tid kan begrænse dig. Derfor er det vigtigt for dig at planlægge din testning.

Med hensyn til din plan skal du gøre følgende:

1. Identificer de netværk, du har til hensigt at teste.

2. Angiv testintervallet.

3. Angiv testprocessen.

4. Udvikle en plan og del den med alle interessenter.

5. Få godkendelse af planen.

Del din plan. Socialiser det med så mange mennesker som du kan. Bare rolig, at mange mennesker vil vide, at du kommer til at hakke i det trådløse netværk. Hvis din organisation er som de fleste andre, så er det usandsynligt, at de kan bekæmpe den organisatoriske inerti for at gøre noget for at blokere din indsats. Det er dog vigtigt at huske at du vil gøre testen under "normale" forhold.

Du skal få tilladelse

Når du laver etisk hacking, følg ikke den gamle sag, at "at spørge tilgivelse er nemmere end at anmode om tilladelse. "Ikke spørger om tilladelse kan lande dig i fængsel!

Du skal få din tilladelse skriftligt. Denne tilladelse kan repræsentere det eneste der står mellem dig og en uhyggelig sort-hvid-stribet jakkesæt og et længere ophold i Heartbreak Hotel.Det skal anføres, at du er autoriseret til at udføre en test i henhold til planen. Det skal også sige, at organisationen vil "stå bag dig", hvis du er kriminelt ladet eller sagsøgt. Det betyder, at de vil yde juridisk og organisatorisk støtte, så længe du har opholdt sig inden for rammerne af den oprindelige plan (se kommando 2).

Du skal arbejde etisk.

Begrebet etisk betyder i denne sammenhæng professionelt og med god samvittighed. Du må ikke gøre noget, der ikke er i den godkendte plan, eller som er godkendt efter godkendelsen af ​​planen.

Som en etisk hacker er du bundet af fortrolighed og manglende videregivelse af oplysninger, du afdækker, og det omfatter resultaterne af sikkerhedsafprøvning. Du kan ikke videregive noget til enkeltpersoner, der ikke "behøver at vide". "Det du lærer under dit arbejde er ekstremt følsomt - du må ikke åbenlyst dele det.

Du skal også sikre dig, at du overholder din organisations styring og lokale love. Udfør ikke et etisk hack, når din politik udtrykkeligt forbyder det - eller når loven gør det.

Du skal beholde optegnelser

De væsentlige egenskaber ved en etisk hacker er tålmodighed og grundighed. At gøre dette arbejde kræver timer bøjet over et tastatur i et mørkt rum. Det kan være nødvendigt at lave noget off-timer arbejde for at nå dine mål, men du behøver ikke at bruge hacker gear og drikke Red Bull. Hvad du skal gøre er at holde kontakten væk, indtil du når dit mål.

Et kendetegn ved professionalisme er at holde tilstrækkelige journaler til støtte for dine resultater. Når du holder papir eller elektroniske noter, skal du gøre følgende:

• Log alt arbejde udført.
• Optag alle oplysninger direkte i din logfil.
• Gem en kopi af din logbog.
• Dokument - og dato - hver test.
• Opbevar fakta og registrer alt arbejde, selvom du tror, ​​at du ikke lykkedes.

Du skal respektere andres privatliv.

Behandle de oplysninger, du samler, med den største respekt. Du skal beskytte hemmeligholdelsen af ​​fortrolige eller personlige oplysninger. Alle oplysninger, du får under din testning - for eksempel krypteringsnøgler eller klare tekstadgangskoder - skal holdes private. Misbrug ikke din autoritet brug det ansvarligt Det betyder, at du ikke vil snyde ind i fortrolige virksomhedsregistre eller privatliv. Behandle oplysningerne med samme omhu som du ville give til dine egne personlige oplysninger.

Du skal ikke skade

Husk at de handlinger du tager, kan have uplanlagte konsekvenser. Det er nemt at blive fanget i det glædeligt arbejde med etisk hacking. Du forsøger noget, og det virker, så du fortsætter. Desværre kan du ved at gøre dette let forårsage en eller anden form for svigt eller trække på andres rettigheder. Modstå trangen til at gå for langt og holde fast i din oprindelige plan.

Du skal også forstå karakteren af ​​dine værktøjer. Alt for ofte går folk ind uden virkelig at forstå de fulde virkninger af værktøjet. De forstår ikke, at oprettelsen af ​​et angreb kan skabe et benægtelsesforhold.Slap af, tag en dyb indånding, sæt dine mål, planlæg dit arbejde, vælg dine værktøjer, og (oh ja) læs dokumentationen.

Du skal bruge en "videnskabelig" proces.

Dit arbejde bør opnå større accept, når du vedtager en empirisk metode. En empirisk metode har følgende egenskaber:

• Indstil kvantificerbare mål: Essensen ved at vælge et mål er at du ved, hvornår du har nået det. Vælg et mål, som du kan kvantificere: associering med ti adgangspunkter, brudte krypteringsnøgler eller en fil fra en intern server. Tidsmålbare mål, som f.eks. At teste dine systemer for at se, hvordan de står op til tre dage med samordnet angreb, er også gode.
• Testene er konsekvente og gentagelige: Hvis du scanner dit netværk to gange og får forskellige resultater hver gang, er dette ikke konsistent. Du skal give en forklaring på inkonsekvensen, eller testen er ugyldig. Hvis vi gentager din test, får vi de samme resultater? Når en test kan gentages eller replikeres, kan du med sikkerhed slutte, at det samme resultat vil opstå, uanset hvor mange gange du replikerer det.
• Testene er gyldige ud over "nu" tidsrammen: Når dine resultater er sande, vil din organisation modtage dine tests med mere begejstring, hvis du har behandlet et vedvarende eller permanent problem snarere end et midlertidigt eller midlertidigt problem.

Du skal ikke begære din nages redskaber.

Uanset hvor mange værktøjer du har, vil du opdage nye. Trådløse hackingsværktøjer er forrevne på internettet - og flere kommer ud hele tiden. Fristen for at få fat i dem alle er hård.

Tidligt var dine valg af software til brug for denne "fascinerende hobby" begrænset. Du kan downloade og bruge Network Stumbler, der almindeligvis hedder NetStumbler, på en Windows-platform, eller du kan bruge Kismet på Linux. Men i disse dage har du mange flere valg: Aerosol, Airosniff, Airscanner, APsniff, BSD-Airtools, Dstumbler, Gwireless, iStumbler, KisMAC, MacStumbler, MiniStumbler, Mognet, PocketWarrior, pocketWiNc, THC-RUT, THC-Scan, THC- WarDrive, Radiate, WarLinux, Wellenreiter WiStumbler og Wlandump, for at nævne nogle få. Og det er bare de frie. Hvis du har ubegrænset tid og budget, kan du bruge alle disse værktøjer. I stedet skal du vælge et værktøj og holde fast ved det.

Du skal rapportere alle dine resultater

Hvis varigheden af ​​din test overstiger en uge, skal du give ugentlige opdateringer. Folk bliver nervøse, når de ved, at nogen forsøger at bryde ind i deres netværk eller systemer, og de hører ikke fra de mennesker, der har fået tilladelse til det.

Du bør planlægge at rapportere eventuelle højrisikosårbarheder, der blev opdaget under testningen, så snart de er fundet. Disse omfatter

• opdagede brud på
• sårbarheder med kendte og høje udnyttelsesgrader
• sårbarheder, der kan udnyttes til fuld, uovervåget eller uacceptabel adgang
• sårbarheder, der kan sætte umiddelbare liv i fare

Du don Jeg vil ikke have nogen til at udnytte en svaghed, som du vidste om og havde til hensigt at rapportere.Dette vil ikke gøre dig populær hos nogen.

Din rapport er en måde for din organisation at bestemme, hvorvidt dit arbejde er fuldstændigt og rigtigt. Dine jævnaldrende kan gennemgå din metode, dine resultater, din analyse og dine konklusioner og tilbyde konstruktiv kritik eller forslag til forbedringer.

Hvis du finder ud af, at din rapport er uretfærdigt kritiseret, skal du efter de Ti Commandments of Ethical Hacking let give dig mulighed for at forsvare det.

En sidste ting: Når du finder 50 ting, rapporter om 50 ting. Du behøver ikke inkludere alle 50 fund i resuméet, men du skal inkludere dem i den detaljerede fortælling. At tilbageholde sådanne oplysninger giver et indtryk af dovenskab, inkompetence eller et forsøg på manipulation af testresultater. Må ikke gøre det.