Requisitos para un Consultor de Seguridad

Share

|

Hay ciertos requisitos que debe cumplir para ser un probador de penetración efectiva en un papel de consultor independiente. El acuerdo con los requisitos de su nivel de habilidades de seguridad, sus sistemas y red de conocimientos, la profundidad y la amplitud de las herramientas a su disposición, y el sistema operativo y hardware en el que los utiliza. También es fundamental la atención al mantenimiento de registros y el mantenimiento de la ética de la seguridad. Los empleadores potenciales de los consultores de seguridad que presten servicios de penetración debe considerar los siguientes puntos antes de contratar a un consultor.

Conjunto de habilidades

Un consultor de seguridad debe ser por lo menos a nivel de administrador del sistema (nivel y dos piratas cibernéticos) con el fin de prestar con eficacia los servicios de seguridad de asesoramiento. Esto no quiere decir que "script kiddies" no reconocen los fallos de seguridad o no se puede hackear, como se dijo anteriormente, a menudo hacen más daño que los piratas informáticos en cualquier otro nivel. "script kiddies" generalmente no tienen una comprensión completa de las herramientas y exploits que utilizan, y por lo tanto se pierda o agujeros críticos o que puedan dañar los sistemas.

Como consultor pagado, se espera hacer valer definitivamente lo que está haciendo y todos los posibles efectos de sus acciones puedan tener. En concreto, debe ser capaz de defender su elección de la herramienta, por qué lo uso, y lo que lo utilizan para durante la prueba. También se espera para responder a cualquier y todas las cuestiones relacionadas con la configuración de una herramienta. Algunas de estas herramientas de seguridad puede causar daños considerables a las redes o el tiempo de inactividad si no se utiliza correctamente. Al término de la prueba, se le pedirá para articular el método utilizado para penetrar en los sistemas y para ofrecer recomendaciones sobre cómo arreglar los agujeros de seguridad detectados durante las pruebas.

Conocimiento

El éxito de los consultores de seguridad debe estar familiarizado con varias piezas de la tecnología, tales como firewalls, sistemas de detección de intrusos, rastreadores, herramientas de auditoría, mecanismos de autenticación y la lista continúa. Aunque sin duda es recomendable ser un experto en tantas tecnologías como sea posible, el probador debe ser al menos familiarizados con cómo funciona la tecnología (y los productos que implementan la tecnología) con el fin de encontrar maneras de resolver la seguridad de que estos sistemas proporcionan. El auditor debe tener conocimiento de todos los principales sistemas operativos (Windows, UNIX, Mac OS, y, posiblemente, Novell) y un experto en uno. El conocimiento profundo de TCP / IP y protocolos de red se requiere. Conocimientos de programación de aplicaciones o conocimiento de los otros también pueden ser útiles, ya que muchos nuevos exploits están constantemente en libertad como "trabajo" de código con fallas ocasionales. Esta experiencia es muy útil cuando se escribe varios ataques, como desbordamientos de búfer.

El probador debe ser capaz de utilizar diversas herramientas de hacking, scripts y exploits para poner a prueba de fallos y vulnerabilidades conocidas. Además, el auditor debe tener acceso a los servicios de vulnerabilidad que puede impedir que él o ella al tanto de las últimas herramientas de hacking, scripts y exploits, así como nuevos bugs de seguridad descubiertos en todos los principales componentes de hardware, software y sistemas operativos. Esto no tiene que ser un servicio de pago, pero debe ser confiable y actualizada, y que éste debe proporcionar información sobre cómo explotar los errores conocidos, así como ofrecer una amplia colección de exploits y herramientas.

Mantenerse al día sobre las últimas novedades y tendencias de la seguridad es esencial para cualquier consultor de seguridad de éxito. El consultor de seguridad deben suscribirse y participar en una colección de listas de seguridad de correo electrónico. Además de la lectura de material técnico, consultores de seguridad debe revisar periódicamente lo que se envió a "underground" sitios Web. La mejor manera de defenderse contra amenazas o explotar es entenderlos.

Kit de herramientas

Consultores de desarrollar una colección de programas útiles, una caja de herramientas, con las herramientas y scripts para realizar todo tipo de trabajo de seguridad, tales como las pruebas de vulnerabilidad, pruebas de penetración, acceso telefónico en la penetración, la penetración de Internet, la denegación de servicio, descifrado de contraseñas, desbordamientos de búfer, y evaluaciones de riesgo. Este conjunto de herramientas que cubren tanto los de Windows (9x/NT/2000) y el UNIX (incluyendo las variantes, Linux, HP / UX, AIX, IRIX, DG / UX, los BSD, y así sucesivamente) los sistemas operativos. A medida que su propia técnica se desarrolla, es posible encontrar herramientas que funcionan mejor para su estilo.

Hardware

Las pruebas de intrusión a menudo se utiliza una gran cantidad de tiempo de CPU y ancho de banda. El más poderoso de la máquina, mayor será la eficiencia. Hemos encontrado que un arranque dual Linux / NT ordenador portátil (con la última CPU, la mayoría de RAM, y lo más rápido posible) a una configuración adecuada. Un ordenador portátil es a menudo mejor que una computadora de escritorio porque es permite la movilidad. Ejecutar VMWare le permite ejecutar dos sistemas operativos al mismo tiempo. Esto se suma conveniencia, en que las herramientas están generalmente disponibles por lo menos uno de estos ambientes, pero cuesta más en términos de velocidad del procesador y la memoria.

Además, ejecuta una utilidad de captura de pulsaciones de teclas es una manera eficaz de registro de la prueba. Estos registros públicos y marca de tiempo todas las actividades a nivel de teclado, en cierta medida la descarga de la carga de registros de usted a la computadora portátil.

Mantenimiento de Registros

Mantener registros precisos y detallados es una actividad crítica para una prueba de intrusión. Se recomienda su archivo proporciona suficiente detalle para recrear los pasos prueba de penetración. En el desafortunado caso de que una empresa debe declararse que un consultor es responsable por los daños sufridos como resultado de las pruebas de penetración, la revisión de los registros será el primer paso para resolver el problema.

El registro deberá detallar todo lo que se llevó a cabo durante las pruebas, incluyendo todas las herramientas utilizadas y cada comando ejecutado y los sistemas o las direcciones IP en la que se usaban. Una práctica útil para documentar sus procedimientos a medida que los realiza y utilizar la última parte del día para escribir sus notas y registrar los resultados.

En ocasiones, un administrador del sistema puede acusar a un probador de ser responsables de los ataques que tuvieron lugar antes o después del trabajo se llevó a cabo. Con el fin de defenderse de estas acusaciones, la documentación detallada que deberá aportar. Registros de un capturador de pulsaciones de teclas, así como sus propias notas constituyen la base de la defensa.

No sólo es importante hacer un seguimiento de las acciones realizadas durante las pruebas de penetración, también es importante hacer un seguimiento de toda la información recogida en el cliente. Esto puede incluir información sobre las debilidades en la red del cliente, los archivos de contraseñas, el proceso de negocio, y cualquier propiedad intelectual, tales como documentación sobre los procesos pendientes de patente. Es importante tener esta información para que pueda presentarlo al cliente para comprobar que fueron capaces de acceder a ella y hacer hincapié en la importancia de las debilidades que le ha permitido conseguirlo. Sin embargo, toda la información obtenida del cliente deben ser tratados de manera confidencial. Si esta información fuera a salir, a un hacker o una empresa competidora, podría poner al cliente en situación de desventaja competitiva significativa, lo que lleva a una pérdida de capital. Además, la noticia de una prueba de penetración exitosa también puede conducir a una caída en la confianza del consumidor.

Ética

Pruebas de penetración compromisos están vinculados por el alcance y la duración establecidos en las normas del trabajo. Estas reglas son especificados por el cliente y permitir que la organización se sienta lo suficientemente cómodo como para permitir que las pruebas para proceder. Estas normas abordar los problemas de denegación de servicio, información de contacto, el alcance del proyecto, y los horarios. Esta información proporciona los límites de la participación y no puede ser mal interpretado.

La cuestión aquí es la confianza. Uno de los consultores de las cosas clave de seguridad que ofrecen a sus clientes es la seguridad y la confianza de que, si bien el consultor está examinando la seguridad del cliente, no se siembra de nuevo las puertas o poner en peligro la red del cliente. Desafortunadamente, no hay ninguna secuencia de comandos o una herramienta que garantiza la integridad del consultor. Cada consultor cuidado debe proteger su integridad en cada compromiso y misión. Si su integridad es cuestionada, ni una sola vez, no se recuperará de la acusación. Hay poco margen de error, accidentes o problemas. Las pruebas de penetración requiere el cliente para dar una gran confianza a un consultor. Esa confianza debe ser protegida.

---