Недавно мне посчастливилось пройти курс Offensive Security под названием «Тестирование на проникновение с помощью Kali Linux», который знакомит студентов с основами тестирования на проникновение.
С моей точки зрения, этот курс — один из лучших, которые я когда-либо проходил.
Мне приходилось участвовать в разного рода тренингах и курсах по разным направлениям теории и практики, но этот произвел на меня одно из самых сильных впечатлений в жизни.
Услуги в области информационной безопасности, называемые тестированием на проникновение или пентест, в нашей стране (Узбекистан) практически не предоставляются, нет специалистов соответствующего уровня и подготовки.
Мне было крайне интересно разобраться в тонкостях того, как работают специалисты по тестированию на проникновение, а учитывая тот факт, что Offensive Security считается признанным мировым лидером в области обучения этому навыку, выбор этого обучения был идеальным вариантом.
В этой статье я хотел бы поделиться своим опытом соприкосновения с миром специалистов по информационной безопасности на самом высоком уровне и уроками, которые я из него извлек.
Давайте по порядку - расскажу в рамках разрешенного по договору с Offensive Security о самом курсе.
Он состоит из видеоматериалов и письменных материалов в формате pdf, которые предоставляются студенту для самостоятельного изучения.
Однако красота курса не в этом.
Все самое интересное начинается в лабораторной работе, в которой предлагается проверить на наличие уязвимостей ряд виртуальных машин, организованных как корпоративная сеть потенциального заказчика.
Что дает студенту курс Offensive Security?
Не вдаваясь в технические подробности материалов курса и лабораторных работ, разглашение которых запрещено, хотелось бы выделить следующие моменты, с которыми столкнется каждый участник курса: 1. Главный девиз курса, которым пронизано все обучение, – «Try Harder» или в переводе на русский язык – «Старайся больше».Мой главный урок, полученный во время обучения, заключается в том, что нужно изучить все возможное программное обеспечение на целевом компьютере, проанализировать, что и как должно работать, что и как на самом деле работает. Проверка работающего сервера или компьютера пользователя является основой успеха любого тестирования на проникновение.
Эта работа может занять многие часы и даже дни, но если ее выполнить неправильно, вы, скорее всего, потерпите неудачу.
Именно настойчивость, настойчивость и любознательность позволяют пентестеру добиться успеха.
2. В процессе работы специалисту, занимающемуся исследованием безопасности информационных систем, приходится иметь дело с множеством различных фреймворков, языков программирования, операционных систем и типов программного обеспечения.
Современный IT-мир настолько велик и разнообразен, что знать все одному человеку не под силу.
Зачастую специалисту, занимающемуся тестированием безопасности системы, приходится провести серьезное исследование новой системы, чтобы понять ее уязвимости.
Во многом эта работа схожа с работой ученых-исследователей и обзорщиков.
Результатом является обнаружение слабых мест в программных системах, которые приводят к компрометации системы в той или иной форме.
Курс учит быть готовым постоянно знакомиться с новыми программными системами, анализировать их и выявлять уязвимости.
3. Знание непосредственных инструментов, с помощью которых осуществляется работа специалистов по тестированию, а также оттачивание навыков их использования – одна из самых полезных вещей, которые получают участники курсов.
Задачи в области исследования информационной безопасности зачастую просто невозможно решить без знания необходимых инструментов и утилит. Такие программные пакеты, как Metasploit, NMAP, SQLmap, позволяют автоматизировать большой объем рутинной работы тестера на проникновение, не изобретая каждый раз велосипед и изобретая программный код для решения стандартных задач исследователя информационной безопасности.
В дистрибутиве Kali Linux имеется большое количество программных утилит для пентестирования; запоминать, как работает каждая из них, наверное, не имеет особого смысла, но базовые навыки использования основных утилит необходимо уверенно развивать, чтобы проводить качественное тестирование различных информационных систем.
4. Самое интересное и важное в курсе — тестовая лабораторная среда с большим количеством виртуальных машин, каждая из которых имеет определенные уязвимости, позволяющие студенту отточить определенные навыки проникновения в компьютеры и серверы.
Степень сложности проникновения на каждую машину очень разная: от очень простых, которые можно победить благодаря одному известному эксплойту, до тех, в которых нужно проделать большую интеллектуальную работу, чтобы найти потенциально проблемное приложение, модифицировать существующие эксплойты.
, а также определить внутренние механизмы приложения.
и операционные системы.
Лаборатория охватывает широкий спектр операционных систем, как клиентских, так и серверных, а также широкий спектр используемых ими приложений и языков программирования.
Подготовка к курсу
После прохождения курса, сравнив свои предварительные ожидания и то, что произошло на самом деле, можно сказать следующее.Во-первых, по моим предварительным оценкам, на прохождение курса ушло около 100 часов.
Однако на самом деле время, потраченное на этот курс, было в разы больше.
Я думаю, что общее время, потраченное на курс, составило около 300 часов.
Свой общий опыт в области информационных технологий я оцениваю на достаточно высоком уровне; Имею хорошие знания как операционных систем, так и серверных приложений, а также сетевых технологий, а также базовые знания и навыки написания программ на различных языках программирования.
Но у меня раньше не было серьезного опыта или знаний в области тестирования на проникновение.
И этот курс стал для меня настоящим испытанием, требующим специфических навыков и нестандартного мышления.
Часто та или иная задача оказывалась тупиковой, требующей времени на размышления и интенсивного использования поисковых систем Интернета.
Вполне вероятно, что существующие специалисты по тестированию на проникновение найдут этот курс простым.
По сути, это введение в эту область информационной безопасности и служит базой знаний для тех, кто хочет заниматься этим профессионально.
В дальнейшем, по мере развития ваших навыков, вы сможете прокачивать свои навыки не только в том, как правильно находить уязвимости и использовать эксплойты, но и в том, как создавать эксплойты самостоятельно.
Что хотелось бы сказать тем, кто планирует пройти этот курс, но не имеет за плечами большого опыта пентестинга — заказывайте курс на максимальное количество дней, которое вы можете себе позволить финансово.
Будьте готовы к тому, что все ваше свободное время будет потрачено на прохождение этого курса.
Вы будете изучать курс на работе, дома, на отдыхе, и во сне вам будет сниться, как получить доступ к тому или иному компьютеру в лаборатории.
Скорее всего, ваши близкие «потеряют» вас за то время, пока вы будете заняты курсом, и к этому нужно быть готовым.
Если по тем или иным причинам вы не готовы уделять прохождению курса достаточно большое количество часов, то лучше отложить его и не выбрасывать деньги на ветер.
Один из моих коллег как-то спросил, можно ли провести для клиентов быстрые тесты на проникновение, которые не отнимали много времени и быстро выявляли проблемы безопасности.
Сейчас для меня очевидно, что если организации-заказчики не однотипны в сфере организации ИТ-инфраструктуры, то каждая новая работа по пентестированию будет во многом представлять собой новые исследования и требовать приличного количества времени на ее реализацию.
Выявить реальные проблемы в безопасности ИТ-инфраструктуры без серьезной подготовки и глубокого изучения сети маловероятно.
Мысли об информационной безопасности на практике
В процессе, а также после прохождения курса в голове было много мыслей о том, что полезного я мог бы забрать себе в будущем для использования в работе и в жизни.Особое внимание хотелось бы обратить на следующие вещи: 1. Первое, о чем начинаешь думать при изучении материалов курса – это антивирусное программное обеспечение и персональный фаервол на вашем персональном компьютере.
Даже если они не обеспечивают полную защиту вашего рабочего места, они, по крайней мере, существенно усложняют задачу злоумышленнику, планирующему украсть данные с вашего компьютера.
Способ взлома многих компьютеров с использованием общедоступных данных из Интернета сбивает с толку – в курсе показаны различные приемы, позволяющие эксплуатировать как уязвимости самой операционной системы, так и установленного на ней программного обеспечения с удаленных компьютеров, а также уязвимости в Интернете.
браузеры, что дает злоумышленникам возможность проникнуть на ваш компьютер без вашего ведома при просмотре различного веб-контента в сети.
Методики проникновения настолько разнообразны, а новые уязвимости появляются в изобилии каждый день, что быть уверенным в безопасности своего персонального компьютера становится непозволительной роскошью.
Не хочу рекламировать какой-то конкретный продукт, но для себя еще раз пришел к выводу – на компьютере должен быть антивирус, и его необходимо постоянно обновлять.
Каждый, конечно, должен выбрать тип антивирусного программного обеспечения, которому он доверяет. 2. Второе, что наиболее важно при построении защиты вашей сети, и в чем снова убеждает курс, это необходимость регулярного обновления всех программных компонентов ИТ-инфраструктуры.
Большинство известных уязвимостей, а тем более известных эксплойтов, существуют только в программном обеспечении, которое не обновляется или обновляется нерегулярно.
Первостепенной задачей любого администратора, как сетевого, так и системного, является установка обновлений, особенно критичных, связанных с безопасностью, на все подконтрольные серверы, компьютеры, сетевые устройства и т. д. Только следуя этим простым шагам, вы сможете существенно снизить риск атак злоумышленников.
проникнуть в вашу корпоративную сеть и сделать ее менее доступной для посторонних.
3. Чтобы заниматься тестированием на проникновение, нужно безумно любить это дело.
Вы не сможете сделать это случайно или под давлением.
Большая часть работы представляет собой изначально неформализованные задачи, которые пентестер должен понять и решить.
Готовых способов и рецептов поиска уязвимостей зачастую не существует; каждый сервер, каждая виртуальная машина имеет свои особенности, которые зачастую мешают работе готовых эксплойтов.
Но прежде чем использовать эксплойты, все равно необходимо найти уязвимости в конкретном приложении, понять, как эти приложения работают и где находится уязвимость.
Как я писал выше, отточенные навыки работы с инструментами пентестера, а также четкое понимание методологии тестирования делают этот процесс более прозрачным и простым в реализации.
Однако даже обладая этими навыками и знаниями, от пентестера требуется нетривиальный подход к решению возникающих задач, а также трудолюбие и трудолюбие, чтобы довести свою работу до логического завершения.
Весь описанный процесс пентестера приводит к огромным затратам времени при работе.
Работу пентестеров можно сравнить с профессией врача – нужна обширная теоретическая база и знания, плюс страсть к своему делу и упорство.
Краткое содержание
Подводя итог всему написанному, хотелось бы дать краткое изложение самого тестирования на проникновение в сфере услуг информационной безопасности, а также необходимости проведения такого исследования вашей инфраструктуры.Пентест, как услуга, позволяет выявить уязвимости в работе сети, серверов, приложений и различных ИТ-сервисов, которые могут быть использованы злоумышленниками и привести к потере или модификации данных.
Само тестирование во многом зависит от людей, которые его проводят, от их опыта и навыков.
Чем более теоретически и практически подкованы участвующие пентестеры, тем лучше будет результат работы.
Необходимость проведения такой работы в первую очередь зависит от того, насколько важна и критична информация, работа ИТ-систем и всей ИТ-инфраструктуры для руководства организации.
Если организации не требуется безопасность внутренней ИТ-инфраструктуры, а время восстановления сервисов в случае сбоя может быть достаточно длительным, то проводить пентест точно не нужно.
Пентест служит одним из строительных блоков информационной безопасности организации, позволяя с технической точки зрения провести реальный аудит безопасности систем организации и выявить те места, которые необходимо усилить, а над чем необходимо поработать.
на.
На бумаге и на словах безопасность организации может быть отличной, но на практике все может быть не так радужно, а забывчивость администраторов или невнимательность программистов часто могут привести к огромным бреши в безопасности.
Я вижу, что пентест позволит руководителям организаций быть уверенными в том, что их система информационной безопасности построена правильно и функционирует так, как задумано.
Теги: #информационная безопасность #тестирование на проникновение #наступательная безопасность #информационная безопасность
-
Как Сэкономить Больше На Тонере – Кроме Цены
19 Oct, 24 -
Симулятор
19 Oct, 24 -
Тумбочка Своими Руками За 15 Минут.
19 Oct, 24
