Requisiti di un consulente in materia di sicurezza

Share

|

Ci sono determinate richieste che dovete soddisfare per essere un tester efficace di penetrazione in un ruolo freelance del consulente. I requisiti si occupano del vostro livello delle abilità di sicurezza, i vostra sistemi e conoscenza della rete, la profondità e la larghezza degli attrezzi a vostra disposizione e l'OS ed i fissaggi su cui le usate. Inoltre critica è la vostra attenzione per registrare mantenere ed effettuare l'etica di sicurezza. I datori di lavoro potenziali dei consulenti in materia di sicurezza che prestano i servizi di penetrazione dovrebbero considerare la seguente lista prima di assumere un consulente.

Insieme Di Abilità

Un consulente in materia di sicurezza deve essere almeno al livello del coordinatore di sistema (hacker della fila-due) per rendere efficacemente i servizi consultivi di sicurezza. Ciò non deve dire che i kiddies dello scritto non riconoscono i difetti di sicurezza o non possono hack.as precedentemente dichiarato, spesso fa più danni che i hackers a qualunque altro livello. I kiddies dello scritto non hanno generalmente una comprensione completa degli attrezzi e delle imprese che usano e quindi mancano i fori o potenzialmente i sistemi critici di danni.

Come consulente paid, vi pensate che definitivo asseriate che cosa state facendo e tutti gli effetti di potenziale le vostre azioni possono avere. Specificamente, dovreste potere difendere la vostra scelta dell'attrezzo, perchè la usate e che cosa lo usate per durante la prova. Inoltre vi pensate che rispondiate a c'è ne e tutto interroga relativo alla configurazione dell'attrezzo. Alcuni di questi attrezzi di sicurezza possono causare il danneggiamento o il tempo morto considerevole delle reti se non usate correttamente. Alla conclusione della prova, sarete chiesti di articolare il metodo impiegato per penetrare i sistemi e per trasportare le raccomandazioni su come riparare i fori di sicurezza identificati durante la prova.

Conoscenza

I consulenti in materia riusciti di sicurezza dovrebbero avere una conoscenza di con parecchie parti di tecnologia, quali le pareti refrattarie, i sistemi di rilevazione di intrusione, le ventose, gli attrezzi di verifica, lista di autenticazione mechanisms.the accende. Mentre è certamente consigliabile essere un esperto in altretante tecnologie come possibile, il tester deve almeno avere una conoscenza di con come gli impianti di tecnologia (ed i prodotti che effettuano la tecnologia) per trovare i sensi intorno alla sicurezza che questi sistemi assicurano. Il tester dovrebbe essere informato in tutti i sistemi operativi principali (Windows, UNIX, OS del mac e possibilmente Novell) ed in un esperto in uno. La conoscenza approfondita di TCP/IP e dei protocolli di rete è richiesta. La conoscenza dell'applicazione che si programma o oltre esperienza di programmazione può anche essere utile poiché molte nuove imprese sono liberate costantemente come codice del working. con i difetti occasionali. Tale esperienza viene in pratico quando scrive i vari attacchi, quale l'amplificatore trabocca.

Il tester deve potere usare i vari attrezzi, scritti ed imprese d'incisione per esaminare ad insetti ed a vulnerabilità conosciuti. Più ulteriormente, il tester dovrebbe avere accesso ai servizi di vulnerabilità che possono mantenerli informato di ultimi attrezzi, scritti ed imprese d'incisione come pure i nuovi insetti di sicurezza scoperti in tutti i fissaggi principali, software e sistemi operativi. Ciò non deve essere un servizio paid, ma deve essere certa ed aggiornata e deve fornire le informazioni su come sfruttare gli insetti conosciuti così come l'offerta una collezione completa di imprese e di attrezzi.

Mantenere la corrente sugli sviluppi e sulle tendenze più recenti di sicurezza è essenziale per tutto il consulente in materia riuscito di sicurezza. Il consulente in materia di sicurezza dovrebbe abbonarsi a e partecipare ad una collezione di liste di E-mail di sicurezza. Oltre che il materiale tecnico della lettura, i consulenti in materia di sicurezza dovrebbero rivedere periodicamente che cosa sta inviando a underground. Luoghi di fotoricettore. Le minacce di impresa o contro difendere di senso migliori deve capirla.

Corredo Di Attrezzo

I consulenti sviluppano una collezione di software utile, un corredo di attrezzo, con gli attrezzi e gli scritti per l'effettuazione de tutti i tipi di lavori di sicurezza, quali la prova di vulnerabilità, la penetrazione verificanti, manopola- nella penetrazione, nella penetrazione del Internet, nella smentita di servizio, spezzarsi di parola d'accesso, nei trabocchi dell'amplificatore e nelle valutazioni di rischio. Questo insieme di attrezzo dovrebbe riguardare sia Windows (9x/NT/2000) che i sistemi operativi di UNIX (varianti comprese, Linux, HP/UX, AIX, IRIX, DG/UX, i BSD ed e così via). Mentre la vostra propria tecnica è sviluppata, potete trovare gli attrezzi che funzionano più meglio per il vostro stile.

Fissaggi

La penetrazione che esamina usa spesso il tempo CPU molto e la larghezza di banda. Più potente la macchina, migliore l'efficienza. Abbiamo trovato che un laptop del doppio-caricamento del sistema Linux/NT (con l'ultimo CPU, la maggior parte della RAM e velocemente come possibile) per essere una configurazione sufficiente. Un laptop è spesso migliore di un tavolo perché è tiene conto mobilità. VMWare funzionante permette che operiate simultaneamente entrambi i sistemi operativi. Ciò aggiunge la convenienza, in quanto gli attrezzi sono generalmente disponibili per almeno uno di questi ambienti, ma costa più in termini di velocità e memoria del processor.

Ulteriormente, fare funzionare un programma di utilità di bloccaggio di battitura è un senso efficace annotare la prova. Questi programmi di utilità annotazione e bollo di tempo tutte le attività al livello di battitura, in parte che scarica la difficoltà di record-keeping da voi al laptop.

Mantenere Record

Mantenere le annotazioni esatte e dettagliate è un'attività critica per un tester di penetrazione. Suggeriamo le vostre annotazioni forniamo abbastanza particolare per ricreare i punti della prova di penetrazione. Nell'evento sfavorevole che un'azienda dovrebbe sostenere che un consulente è responsabile di danni ha subito come conseguenza della prova di penetrazione, rivedente le annotazioni sarà il primo punto nella risoluzione del problema.

L'annotazione dovrebbe dettagliare tutto che sia stato effettuato durante la prova, compresi ogni attrezzo utilizzato ed ogni ordine pubblicato ed i sistemi o indirizzi del IP contro cui sono state usate. Una pratica utile deve documentare le vostre procedure mentre le effettuate ed usare l'ultima parte del giorno per scrivere sulle vostre note e per registrare i vostri risultati.

Un coordinatore di sistema potrebbe accusare occasionalmente un tester di essere responsabile degli attacchi che hanno avvenuto prima o dopo il lavoro è stato realizzato. Per difendere contro queste accuse, la documentazione dettagliata è richiesta. I ceppi da un programma di utilità di bloccaggio di battitura così come le vostre proprie note forniscono la base di difesa.

È non soltanto importante tenersi al corrente delle azioni realizzate durante la penetrazione che esamina, esso è inoltre importante tenersi al corrente di tutte le informazioni riunite sul vostro cliente. Ciò può includere le informazioni sulle debolezze nella rete del cliente, nelle lime di parola d'accesso, nel processo di affari ed in tutta la proprietà intellettuale quale documentazione sui processi brevetto-in corso. È importante mantenere queste informazioni in modo da potete presentarli al cliente per verificare potevate accederle e sollecitare l'importanza delle debolezze che hanno permesso che la otteneste. Tuttavia, tutte le informazioni ottenute dal cliente dovrebbero essere trattare come altamente confidenziali. Se queste informazioni dovessero uscire, ad un hacker o ad una ditta competente, potrebbero mettere il cliente allo svantaggio competitivo significativo, conducente ad una perdita di capitale. In più, le notizie di una prova di penetrazione riuscita possono anche condurre ad un calo nella riservatezza di consumatore.

Etica

Gli impegni difficili di penetrazione sono limitati dalla portata e dalla lunghezza disposte nelle regole dell'aggancio. Queste regole sono specificate dal cliente e permettono all'organizzazione di ritenere abbastanza comoda per permettere la prova da continuare. Queste regole richiamano le emissioni della smentita di servizio, delle informazioni del contatto, della portata del progetto e degli orari. Queste informazioni forniscono i contorni dell'aggancio e non possono misinterpreted.

All'edizione qui è la fiducia. Una delle cose chiave i consulenti in materia di sicurezza che devono offrire i loro clienti è assicurazione e riservatezza che mentre il consulente sta esaminando la sicurezza del cliente, non pianterà i portelli posteriori o non comprometterà la rete del cliente. Purtroppo, non ci è scritto o attrezzo che garantiscono l'integrità del consulente. Ogni consulente deve proteggere con attenzione la sua integrità su ogni aggancio ed assegnazione. Se la vostra integrità è messa in discussione persino una volta, non recupererete dall'accusa. Ci è poca stanza per l'errore, gli incidenti, o i problemi. La prova di penetrazione richiede il cliente dà la moltissima fiducia ad un consulente. Quella fiducia deve essere protetta.