security careers cybersecurity

Как присоединиться к наступательным максимумам безопасности (часть 1 пути)

4 апреля 2023 г.

За долгие годы и вне зависимости от их специализации я встречал лишь пару человек, которым не нравились наступательные операции по обеспечению безопасности. Но большинство людей понятия не имеют, как происходит такое взаимодействие.

Примечание. В этой статье (и последующих статьях этой серии) мы говорим только о законных действиях, когда у вас есть разрешение на атаку системы (или ради интереса на ваши собственные локальные уязвимые виртуальные машины). Не забывайте, что вы можете быть привлечены к ответственности, если будете действовать вопреки этим принципам здравого смысла.

Кто такой наступательный инженер по безопасности?

Инженер по наступательной безопасности — это профессионал, который отвечает за выявление и использование уязвимостей в сетях, системах и приложениях.

Они проводят тестирование на проникновение и другие оценки безопасности, чтобы найти слабые места в защите компании и предоставить рекомендации по улучшению.

Кроме того, наступательные инженеры по безопасности работают над «этическими хакерскими проектами», выполняя симулированные атаки для проверки безопасности систем и сетей компании.

Они используют свои навыки и знания, чтобы имитировать действия реальных злоумышленников и определять потенциальные точки входа, которые могут быть использованы злоумышленниками.

Этапы вовлечения на высоком уровне

Команда наступательных инженеров (обычно называемая красной командой) использует набор шагов, подобных приведенным ниже, для выполнения своего боя.

Performing an engagement

Область: определите область действия, в том числе, какие системы и сети входят в область действия и какие типы атак будут смоделированы.

Сбор информации: проведите разведку для сбора информации о целевых системах и сетях, такой как IP-адреса, топология сети и версии программного обеспечения. Разведка может быть пассивной или активной.

Под пассивным мы подразумеваем поиск общедоступной информации или полу-частной информации, такой как социальные сети. Двумя известными инструментами пассивной разведки являются поисковая система Shodan и theHarvester.

Под активным мы подразумеваем прямое исследование системы с помощью таких инструментов, как Nmap или Amass.

Выявление уязвимостей. Используйте инструменты и методы для выявления уязвимостей в целевых системах и сетях. Это может включать сканирование открытых портов, проверку слабых паролей и поиск неисправленного программного обеспечения. Известными инструментами здесь являются Nessus и OpenVAS.

Использование уязвимостей: попытка использования выявленных уязвимостей для получения доступа к целевым системам и сетям. Кто-нибудь метасплоит?

Задокументируйте результаты и отчет. Запишите все результаты, включая уязвимости, которые были успешно использованы, а также те, которые не были использованы, а также любые рекомендации по устранению проблемы. Вы думали, что будете только ломать машины и идти домой? 🙂

Кто решает мелочи?

В компании может быть внутренняя или внешняя красная команда.

Процесс взаимодействия обычно предлагается организациями по кибербезопасности, такими как MITRE, и может быть адаптирован к потребностям команды. На внутреннюю группу может больше повлиять решение высшего руководства (например, CISO), чем на внешнюю группу.

Независимо от того, является ли красная команда внутренней или внешней, процесс взаимодействия должен быть четко определен и задокументирован, чтобы гарантировать, что все стороны понимают объем и цели взаимодействия.

Как стать участником Red Team?

Я думаю, что правильный вопрос заключается в том, как улучшить свое наступательное инженерное мышление. Побочным продуктом этого является членство в красной команде. По моему скромному мнению, несмотря на нехватку людей с надлежащими навыками кибербезопасности, зона красной команды немного перегружена.

Чтобы начать формировать наступательное мышление, я бы предложил следующий процесс:

Узнайте об основах кибербезопасности. Да, нет короткого пути к этому. Хорошей отправной точкой является курс по основам кибербезопасности от Coursera.

* Уверенность в программировании. Не критично, но вам нужно будет написать свой эксплойт или автоматизировать процесс, скорее раньше, чем позже.

* Уверенность в сети. То же, что и выше, но не нарушение условий сделки, если вы это сделаете, ваша игра повысится быстрее.

* Аналитическое мышление. Вы должны быть в состоянии построить маршрут атаки, учитывая уязвимость. В большинстве случаев вы уже видели что-то подобное раньше, но иногда нет. И именно здесь вам действительно понадобится этот навык.

* Практика, практика, практика. Здесь тоже не сбежать. Вы можете использовать такие платформы, как tryhackme и hackthebox, или создать свой собственная лаборатория с уязвимыми образами, такими как vulnhub

* Будьте в курсе. Посещайте конференции, читайте отраслевые публикации и участвуйте в онлайн-сообществах, чтобы быть в курсе событий.