Le processus éthique de piratage
Comme pratiquement tout projet informatique ou de sécurité, le piratage d'une cible doit être pensé à l'avance. Les questions stratégiques et tactiques doivent être déterminées et approuvées. Pour assurer la réussite de vos efforts, passer du temps avant de planifier les choses. La planification est importante pour toute quantité d'essais - d'un simple test de craquage de mots de passe à un test de pénétration complète sur une application Web.
Étape 1: Formuler votre plan
L'approbation d'un piratage éthique est essentielle. Faites ce que vous faites connu et visible - du moins aux décideurs. Obtenir le parrainage du projet est la première étape. Cela pourrait être votre manager, un exécutif, votre client, ou même vous-même si vous êtes le patron. Vous avez besoin de quelqu'un pour vous soutenir et signer sur votre plan. Sinon, votre test peut être annulé de façon inattendue si quelqu'un affirme ne jamais vous autoriser à effectuer les tests. L'autorisation peut être aussi simple qu'un mémo interne ou e-mail de votre patron si vous effectuez ces tests sur vos propres systèmes. Si vous faites des tests pour un client, faites signer un contrat en place, en indiquant le soutien et l'autorisation du client. Obtenez une approbation écrite sur ce parrainage dès que possible pour s'assurer que votre temps et vos efforts ne sont pas perdus. Cette documentation est votre carte Get Out of Jail Free si quelqu'un vous demande ce que vous faites, ou pire, si les autorités viennent d'appeler.
Un glissement peut briser vos systèmes - pas nécessairement ce que n'importe qui veut. Vous avez besoin d'un plan détaillé, mais cela ne signifie pas que vous avez besoin de volumes de procédures d'essai. Une portée bien définie comprend les informations suivantes:
● Systèmes spécifiques à tester: Lors de la sélection des systèmes à tester, commencez par les systèmes et processus les plus critiques ou ceux que vous soupçonnez être les plus vulnérables. Par exemple, vous pouvez tester les mots de passe de l'ordinateur, une application Web orientée vers Internet ou tenter des attaques d'ingénierie sociale avant de creuser dans tous vos systèmes.
● Risques impliqués: Il est avantageux d'avoir un plan d'urgence pour votre processus de piratage éthique en cas de problème. Que faire si vous évaluez votre pare-feu ou votre application Web et que vous le retirez? Cela peut provoquer une indisponibilité du système, ce qui peut réduire les performances du système ou la productivité des employés. Pire encore, il pourrait entraîner la perte de l'intégrité des données, la perte de données elle-même, et même mauvaise publicité. Il va certainement cocher une personne ou deux et vous rendre mauvais look.Handle ingénierie sociale et DoS attaques soigneusement. Déterminer comment ils peuvent affecter les systèmes que vous testez et toute votre organisation.
● Lorsque les tests seront effectués et votre calendrier global: Déterminer quand les tests sont effectués est quelque chose que vous devez réfléchir longuement. Faites-vous des tests pendant les heures normales d'ouverture? Que diriez-vous tard dans la nuit ou tôt le matin pour que les systèmes de production ne sont pas touchés? Impliquer les autres pour s'assurer qu'ils approuver de votre synchronisation. La meilleure approche est une attaque illimitée, où tout type de test est possible à tout moment de la journée. Les méchants ne sont pas entrer dans vos systèmes dans une portée limitée, alors pourquoi devriez-vous? Certaines exceptions à cette approche sont l'exécution d'attaques DoS, d'ingénierie sociale et de tests de sécurité physique.
● Quelle connaissance des systèmes que vous avez avant de commencer le test: Vous n'avez pas besoin d'une connaissance approfondie des systèmes que vous testez - juste une compréhension de base. Cette compréhension de base aide à vous protéger et les systèmes testés.
● Quelles mesures seront prises lors de la découverte d'une vulnérabilité majeure: Ne vous arrêtez pas après avoir découvert un trou de sécurité. Cela peut conduire à un faux sentiment de sécurité. Continuez à voir ce que vous pouvez découvrir. Vous n'avez pas à continuer de piratage jusqu'à la fin des temps ou jusqu'à ce que vous plantez tous vos systèmes; Simplement poursuivre le chemin que vous allez vers le bas jusqu'à ce que vous ne pouvez pas pirater plus longtemps (jeu de mots). Si vous n'avez pas trouvé de vulnérabilités, vous n'avez pas assez regardé.
● Les livrables spécifiques: Ceci inclut les rapports d'évaluation de sécurité et un rapport de niveau supérieur décrivant les vulnérabilités générales à aborder, ainsi que les contre-mesures qui devraient être mises en œuvre.
