윤리적 해킹 프로세스

실제로 IT 또는 보안 프로젝트와 마찬가지로 윤리적 해킹을 미리 계획해야합니다. 윤리적 해킹 프로세스에서의 전략적 및 전술적 문제가 결정되고 합의되어야합니다. 노력의 성공을 보장하기 위해 계획을 세우는 데 시간을 할애하십시오. 계획은 간단한 암호 해독 테스트에서 웹 응용 프로그램의 전면적 인 침투 테스트에 이르는 모든 테스트의 중요성을 나타냅니다.

계획 수립

윤리적 해킹에 대한 승인이 필수적입니다. 최소한 의사 결정권자들에게 당신이하고있는 것을 보이고 가시적으로 만드십시오. 이 프로젝트의 스폰서 쉽 획득이 첫 번째 단계입니다. 상사라면 관리자, 임원, 고객 또는 자신이 될 수 있습니다. 당신을 뒷받침하고 계획에 서명 할 누군가가 필요합니다. 그렇지 않으면 시험을 수행 할 권한이 없다고 누군가 주장하면 시험이 예기치 않게 중단 될 수 있습니다.

감옥에서 나가기 카드이며, 당국이 전화 할 경우에는 악화됩니다.

하나의 실수로 시스템이 다운 될 수 있습니다. 상세한 계획이 필요하지만, 그렇다고해서 많은 수의 테스트 절차가 필요하지는 않습니다. 잘 정의 된 범위에는 다음 정보가 포함됩니다.

테스트 할 특정 시스템:

테스트 할 시스템을 선택할 때 가장 취약한 시스템 또는 프로세스 또는 가장 취약한 것으로 의심되는 시스템부터 시작하십시오. 예를 들어 컴퓨터 암호 나 인터넷 연결 웹 응용 프로그램을 테스트하거나 사회 공학 공격을 시도하여 모든 시스템을 조사 할 수 있습니다. 관련 위험:
문제가 발생할 경우를 대비하여 윤리적 해킹 절차를 대비하는 비상 계획을 세우는 것이 좋습니다. 방화벽이나 웹 응용 프로그램을 평가하고 제거한다면 어떨까요? 이로 인해 시스템을 사용할 수 없게되어 시스템 성능이나 직원 생산성을 저하시킬 수 있습니다. 더 나쁜 것은 데이터 무결성의 손실, 데이터 자체의 손실, 심지어 나쁜 홍보를 유발할 수 있다는 것입니다. 가장 확실한 것은 한 두 사람을 깍아 내고 나빠 보이게 만듭니다. 사회 공학과 DoS 공격을 조심스럽게 다루십시오. 그들이 테스트중인 시스템과 전체 조직에 미치는 영향을 확인하십시오.
테스트가 수행되는시기를 결정하는 것은 오랫동안 열심히 생각해야하는 사항입니다. 정상 업무 시간 중에 테스트를 수행합니까? 늦은 밤이나 아침 일찍 일어나서 생산 시스템에 영향을주지 않습니까? 다른 사람들이 당신의 타이밍을 승인하는지 확인하십시오. 최선의 방법은 무제한의 공격이며, 모든 유형의 테스트가 하루 중 언제라도 가능합니다. 악의적 인 사람들은 제한된 범위 내에서 시스템에 침입하지 않으므로 왜 그렇습니까? 이 접근법에 대한 일부 예외는 DoS 공격, 사회 공학 및 물리적 보안 테스트를 수행하는 것입니다.
테스트중인 시스템에 대한 광범위한 지식은 필요하지 않습니다. 기본적인 이해입니다. 이 기본 이해는 사용자 및 테스트 된 시스템을 보호하는 데 도움이됩니다. 주요 취약점이 발견 될 때 취할 조치:
보안 구멍 하나를 찾은 후에 중지하십시오. 이것은 보안에 대한 잘못된 인식을 초래할 수 있습니다. 그 밖의 무엇을 발견 할 수 있는지 계속 알아보십시오. 시간이 끝날 때까지 또는 모든 시스템이 다운 될 때까지 해킹을하지 않아도됩니다. 당신이 더 이상 그것을 해킹 할 수 없을 때까지 당신이가는 길을 간단히 추구하십시오 (말장난 의도). 어떤 취약점도 발견하지 못했다면, 충분히 열심히 보지 않았습니다. 구체적인 결과물:
여기에는 보안 평가 보고서와 해결해야 할 일반적인 취약점을 요약 한 상위 수준 보고서 및 구현해야하는 대응책이 포함됩니다. 목표 중 하나는 발견되지 않고 테스트를 수행하는 것입니다. 예를 들어, 원격 시스템이나 원격 사무실에서 테스트를 수행하고 있으며 사용자가 수행중인 작업을 사용자가 알지 못하게 할 수 있습니다. 그렇지 않으면 사용자가 정상적으로 행동하는 대신 자신을 따라 잡을 수 있습니다.

계획 실행

올바른 윤리적 해킹이 지속됩니다. 시간과 인내가 중요합니다. 윤리적 해킹 테스트를 수행 할 때주의하십시오. 네트워크에있는 해커 또는 어깨 너머로 보이는 겉보기에 양성인 직원이 무슨 일이 일어나고 있는지보고 자신에 대해이 정보를 사용할 수 있습니다.

시작하기 전에 해커가 시스템에 있는지 확인하는 것은 실용적이지 않습니다. 가능한 한 모든 것을 조용하고 사적인 것으로 유지하십시오. 이는 테스트 결과를 전송하고 저장할 때 특히 중요합니다. 가능한 경우 Pretty Good Privacy 또는 유사한 기술을 사용하여 중요한 테스트 정보가 포함 된 전자 메일 및 파일을 암호화하십시오. 최소한 암호로 보호하십시오.

당신은 이제 정찰 임무를 수행 중입니다. 악의적 인 해커가하는 일인 조직 및 시스템에 대해 최대한 많은 정보를 활용하십시오. 넓은 시야로 시작하고 초점을 좁히십시오:

1. 인터넷에서 조직의 이름, 컴퓨터 및 네트워크 시스템 이름, IP 주소를 검색하십시오.

Google은 시작하기에 좋은 장소입니다.2. 범위를 좁히고 테스트중인 특정 시스템을 대상으로하십시오.

실제 보안 구조 또는 웹 응용 프로그램을 평가하는 경우 일반 평가를 통해 시스템에 대한 많은 정보를 얻을 수 있습니다. 3. 더욱 중요한 눈으로 초점을 좁히십시오. 실제 검사 및 기타 자세한 테스트를 수행하여 시스템의 취약점을 발견하십시오. 4. 공격을 수행하고 발견 한 모든 취약점을 악용하십시오.

결과 평가

이전에 발견되지 않은 취약성을 가정하여 결과를 평가하여 발견 한 내용을 확인합니다. 지식이 중요한 부분입니다. 발견 된 특정 취약성과 결과를 평가하고 상호 연관시키는 것은 경험을 통해 더 잘 발달하는 기술입니다. 다른 시스템보다 시스템을 훨씬 잘 이해하게 될 것입니다. 따라서 평가 프로세스가 훨씬 간단 해집니다.

고위 경영진 또는 고객에게 공식 보고서를 제출하고 결과 및 권장 사항을 요약하십시오. 귀하의 노력과 돈이 잘 소비되었음을 보여주기 위해 이들 당사자들을 계속 루프에 둡니다.