Hur man använder Attack Tree Analysis för att förbereda sig för en etisk hackdummies

Attack tree analysis är processen att skapa en flödesschema-typ kartläggning av hur skadliga angripare skulle attackera ett system. Attackträd används vanligtvis i riskanalyser på högre nivå och av säkerhetsskydda utvecklingsgrupper när man planerar ett nytt mjukvaruprojekt.

Om du verkligen vill ha din etiska hacking till nästa nivå genom att noggrant planera dina attacker, jobba väldigt metodiskt och vara mer professionell att starta, då är attackanalys bara det verktyg du behöver.

Den enda nackdelen är att angreppsträd kan ta lång tid att dra ut och kräva en hel del expertis. Varför svettas det, när du kan använda en dator för att göra mycket av arbetet för dig? Ett kommersiellt verktyg som heter Secur IT ree, av Amenaza Technologies Limited, är specialiserat på attackanalys, och du kan överväga att lägga till den i din verktygslåda.

En tidigare säkerhetsriskbedömning, sårbarhetsprov eller analys av företagsimpact kan redan ha genererat svar på de föregående frågorna. Om så är fallet kan den dokumentationen hjälpa till att identifiera system för vidare testning. Failure Modes and Effects Analysis (FMEA) är ett annat alternativ.

Etisk hacking går några steg djupare än högre riskbedömningar och sårbarhetsbedömningar. Som en etisk hacker börjar du ofta med att samla information om alla system - inklusive organisationen som helhet - och sedan ytterligare utvärdera de mest utsatta systemen. Men igen är denna process flexibel.

En annan faktor som hjälper dig att bestämma var du ska börja är att bedöma de system som har störst synlighet. Om du till exempel fokuserar på en databas eller filserver som lagrar klient eller annan viktig information kan det vara mer meningsfullt - åtminstone initialt - än att koncentrera sig på en brandvägg eller webbserver som är värd för marknadsinformation om företaget.