Lyda de tio budorden om etisk hacking - dummies

Dessa bud har inte kommit ner från Mount Sinai, men du Om du följer dessa bud skulle du bestämma dig för att bli en troende i lärdomen om etisk hacking.

Du ska ställa in dina mål

Din utvärdering av säkerheten för ett trådlöst nätverk ska söka svar på tre grundläggande frågor:

• Vad kan en inkräktare se på målåtkomstpunkterna eller nätverk?

• Vad kan en inkräktare göra med den informationen?
• Uppfattar någon i målet att inkräktarens försök - eller framgångar?

Du kan ställa in ett förenklat mål, till exempel att hitta obehöriga trådlösa åtkomstpunkter. Eller du kan ställa in ett mål som kräver att du får information från ett system på det trådbundna nätverket. Oavsett vad du väljer måste du formulera ditt mål och kommunicera det med dina sponsorer.

Involver andra i din målinställning. Om du inte gör det, hittar du planeringsprocessen ganska svårt. Målet bestämmer planen. Att parafrasera Cheshire-kattens svar på Alice: "Om du inte vet var du går, kommer en väg ta dig dit. "Inklusive intressenter i målinställningen kommer att bygga förtroende som kommer att löna sig i spader senare.

Du ska planera ditt arbete, för att du inte går iväg

Få, om någon av oss, är inte bunden av ett eller flera hinder. Pengar, personal eller tid kan begränsa dig. Det är därför viktigt att du planerar din testning.

Med hänsyn till din plan ska du göra följande:

1. Identifiera de nätverk du tänker testa.

2. Ange testintervallet.

3. Ange testprocessen.

4. Utveckla en plan och dela den med alla intressenter.

5. Få godkännande av planen.

Dela din plan. Socialisera det med så många människor som möjligt. Oroa dig inte för att många människor kommer att veta att du kommer att hacka in i det trådlösa nätverket. Om din organisation är som de flesta andra, är det osannolikt att de kan bekämpa organisatorisk tröghet för att göra något för att blockera dina ansträngningar. Det är dock viktigt att komma ihåg att du vill göra testningen under normala förhållanden.

Du får tillstånd

När du gör etisk hacking, följ inte den gamla sågen att "att be om förlåtelse är lättare än att begära tillstånd. "Att inte be om tillstånd får landa dig i fängelse!

Du måste få ditt tillstånd skriftligt. Denna tillåtelse kan representera det enda som står mellan dig och en obehaglig svartvit randig kostym och en lång vistelse i Heartbreak Hotel.Det bör anges att du är behörig att utföra ett test enligt planen. Det ska också säga att organisationen kommer att "stå bakom dig" om du är straffrättsad eller stämd. Detta innebär att de kommer att ge juridiskt och organisatoriskt stöd så länge du stannade inom ramen för den ursprungliga planen (se kommandot två).

Du ska arbeta etiskt. Termen

etisk betyder i detta sammanhang att du arbetar professionellt och med gott samvete. Du måste inte göra något som inte finns i den godkända planen eller som har godkänts efter planens godkännande. Som en etisk hacker är du bunden till sekretess och icke-avslöjande av information som du upptäcker, och det inkluderar säkerhetsresultatet. Du kan inte avslöja någonting för individer som inte behöver "behöva veta". "Det du lär dig under ditt arbete är extremt känsligt - du får inte öppna det öppet.

Du måste också se till att du överensstämmer med organisationens styrelse och lokala lagar. Utför inte en etisk hack när din policy uttryckligen förbjuder det - eller när lagen gör det.

Du ska behålla poster

De viktigaste egenskaperna hos en etisk hacker är tålamod och grundighet. Att göra detta arbete kräver timmar böjda över ett tangentbord i ett mörkt rum. Det kan hända att du måste göra lite arbete utanför arbetet för att uppnå dina mål, men du behöver inte bära hackerutrustning och dricka Red Bull. Vad du behöver göra är att hålla kontakten tills du når ditt mål.

Ett kännetecken för professionalism är att hålla adekvata journaler för att stödja dina resultat. Gör följande när du håller papper eller elektroniska anteckningar:

Logga in all utförd arbete.

• Spela in all information direkt i din logg.
• Håll en duplikat av din logg.
• Dokument - och datum - varje test.
• Håll faktablad och registrera allt arbete, även om du tror att du inte lyckades.
• Du ska respektera andras integritet.

Behandla informationen du samlar med största respekt. Du måste skydda sekretessen för konfidentiell eller personlig information. All information som du erhåller under testningen - till exempel krypteringsnycklar eller tydliga textlösenord - måste vara privat. Missbruk inte din auktoritet; använd det på ett ansvarsfullt sätt Det betyder att du inte kommer snoopa in i konfidentiella företagsregister eller privatliv. Behandla informationen med samma omsorg som du skulle ge till din egen personliga information.

Du kommer ingen skada

Kom ihåg att de åtgärder du tar kan ha oförutsedda konsekvenser. Det är lätt att komma ikapp i det glädjande arbetet med etisk hacking. Du försöker något, och det fungerar, så du fortsätter. Tyvärr kan du med lätthet orsaka ett slag av något slag eller trampa på andras rättigheter. Motstå uppmaningen att gå för långt och hålla fast vid din ursprungliga plan.

Du måste också förstå beskaffenheten av dina verktyg. Alltför ofta hoppar folk in utan att verkligen förstå verktygets fulla konsekvenser. De förstår inte att upprättandet av en attack skulle kunna leda till förnekande av tjänsten.Koppla av, ta ett djupt andetag, sätt dina mål, planera ditt jobb, välj dina verktyg och (oh ja) läs dokumentationen.

Du ska använda en "vetenskaplig" process

Ditt arbete borde ge större acceptans när du antar en empirisk metod. En empirisk metod har följande attribut:

Ange kvantifierbara mål:

• Kärnan att välja ett mål är att du vet när du har nått det. Välj ett mål som du kan kvantifiera: associera med tio åtkomstpunkter, brutna krypteringsnycklar eller en fil från en intern server. Tidskvantifierbara mål, som testa dina system för att se hur de står upp till tre dagar av samordnad attack, är också bra. Testen är konsekventa och repeterbara:
• Om du skannar ditt nätverk två gånger och får olika resultat varje gång, är detta inte konsekvent. Du måste ge en förklaring till inkonsekvensen, eller testet är ogiltigt. Om vi ​​upprepar ditt test får vi samma resultat? När ett test är repeterbart eller replikerbart kan du med säkerhet säga att samma resultat kommer att inträffa oavsett hur många gånger du replikerar det. Testerna är giltiga bortom tidsramen "Nu":
• När dina resultat är sanna kommer din organisation att få dina test med mer entusiasm om du har tagit upp ett bestående eller permanent problem snarare än ett tillfälligt eller övergående problem. Du ska inte begära dina nästers verktyg.

Oavsett hur många verktyg du kan ha kommer du att upptäcka nya. Trådlösa hackverktyg är skarpa på Internet - och fler kommer ut hela tiden. Frestelsen att fånga dem alla är hård.

Tidigt var dina val av programvara som användes för denna "fascinerande hobby" begränsad. Du kan ladda ner och använda Network Stumbler, vanligtvis kallad NetStumbler, på en Windows-plattform, eller du kan använda Kismet på Linux. Men i dag har du många fler alternativ: Aerosol, Airosniff, Airscanner, APsniff, BSD-Airtools, Dstumbler, Gwireless, iStumbler, KisMAC, MacStumbler, MiniStumbler, Mognet, PocketWarrior, pocketWiNc, THC-RUT, THC-Scan, THC- WarDrive, Radiate, WarLinux, Wellenreiter WiStumbler och Wlandump, för att nämna några. Och det är bara de fria. Om du har obegränsad tid och budget, kan du använda alla dessa verktyg. Istället väljer du ett verktyg och håller fast vid det.

Du ska rapportera alla dina resultat

Om varaktigheten av ditt test sträcker sig längre än en vecka, ska du lämna veckovisa uppdateringar. Människor blir nervösa när de vet att någon försöker bryta sig in i sina nätverk eller system och de hör inte av de personer som har blivit behöriga att göra det.

Du bör planera att rapportera eventuella högriskriskproblem som upptäckts under testningen så fort de hittas. Dessa inkluderar

upptäckta överträdelser

• sårbarheter med kända och höga utnyttjandegrader
• sårbarheter som kan utnyttjas för fullständig, obevakad eller oåtkomlig åtkomst
• Sårbarheter som kan riskera omedelbara liv
• Du don vill inte att någon ska utnyttja en svaghet som du visste om och tänkte rapportera.Detta kommer inte göra dig populär hos någon.

Din rapport är ett sätt för din organisation att bestämma fullständigheten och veraciteten i ditt arbete. Dina kollegor kan granska din metod, dina resultat, din analys och dina slutsatser, och erbjuda konstruktiv kritik eller förslag till förbättringar.

Om du finner att din rapport kritiseras orättvist, bör du, efter de tio budorden om etisk hacking, enkelt låta dig försvara det.

En sista sak: När du hittar 50 saker, rapportera om 50 saker. Du behöver inte inkludera alla 50 fynd i sammanfattningen, men du måste inkludera dem i den detaljerade berättelsen. Att behålla sådan information ger ett intryck av latskap, inkompetens eller ett försök att manipulera testresultat. Gör det inte.