Le processus de piratage éthique - mannequins

Comme pratiquement tout projet informatique ou de sécurité, le piratage éthique doit être planifié à l'avance. Les questions stratégiques et tactiques dans le processus de piratage éthique devraient être déterminées et acceptées. Pour assurer le succès de vos efforts, passez du temps à planifier les choses. La planification est importante pour tous les types de tests, depuis un simple test de mot de passe avec un test d'intrusion sur une application Web.

Formuler votre plan

L'approbation du piratage éthique est essentielle. Faites en sorte que ce que vous faites soit connu et visible - du moins pour les décideurs. L'obtention du parrainage du projet est la première étape. Cela pourrait être votre gestionnaire, un cadre, votre client, ou même vous-même si vous êtes le patron. Vous avez besoin de quelqu'un pour vous soutenir et signer votre plan. Sinon, votre test peut être annulé de manière inattendue si quelqu'un prétend qu'il ne vous a jamais autorisé à effectuer les tests.

L'autorisation peut être aussi simple qu'un mémo interne ou un e-mail de votre supérieur si vous effectuez ces tests sur vos propres systèmes. Si vous testez un client, ayez un contrat signé indiquant le support et l'autorisation du client. Obtenez une approbation écrite sur ce parrainage dès que possible pour vous assurer que vous ne perdez pas votre temps ou vos efforts. Cette documentation est votre carte Sortir de la prison si quelqu'un vous interroge sur ce que vous faites, ou pire, si les autorités vous appellent.

Une erreur peut faire planter vos systèmes - pas nécessairement ce que n'importe qui veut. Vous avez besoin d'un plan détaillé, mais cela ne signifie pas que vous avez besoin de volumes de procédures de test. Une portée bien définie inclut les informations suivantes:

• Systèmes spécifiques à tester: Lorsque vous sélectionnez des systèmes à tester, commencez par les systèmes et processus les plus critiques ou ceux que vous soupçonnez d'être les plus vulnérables. Par exemple, vous pouvez tester des mots de passe d'ordinateur, une application Web faisant face à Internet ou tenter des attaques d'ingénierie sociale avant de vous lancer dans tous vos systèmes.
• Risques impliqués: Il est avantageux d'avoir un plan d'urgence pour votre processus de piratage éthique au cas où quelque chose tournerait mal. Que faire si vous évaluez votre pare-feu ou votre application Web et que vous l'enlevez? Cela peut entraîner une indisponibilité du système, ce qui peut réduire les performances du système ou la productivité des employés. Pire encore, cela pourrait entraîner une perte d'intégrité des données, une perte de données et même une mauvaise publicité. Il va certainement cocher une personne ou deux et vous faire paraître mauvais.
Gérer l'ingénierie sociale et les attaques DoS avec précaution. Déterminez comment ils peuvent affecter les systèmes que vous testez et l'ensemble de votre organisation.
• Quand les tests seront effectués et votre chronologie globale: Déterminer quand les tests sont effectués est quelque chose que vous devez réfléchir longuement. Effectuez-vous des tests pendant les heures normales de bureau? Que diriez-vous tard dans la nuit ou tôt le matin pour que les systèmes de production ne soient pas affectés? Impliquer les autres pour s'assurer qu'ils approuvent votre timing.
La meilleure approche est une attaque illimitée, où n'importe quel type de test est possible à n'importe quel moment de la journée. Les méchants ne pénètrent pas dans vos systèmes dans un cadre limité, alors pourquoi le feriez-vous? Certaines exceptions à cette approche sont les attaques DoS, l'ingénierie sociale et les tests de sécurité physique.
• Connaissance des systèmes dont vous disposez avant de commencer les tests: Vous n'avez pas besoin d'une connaissance approfondie des systèmes que vous testez - juste une compréhension de base. Cette compréhension de base vous protège ainsi que les systèmes testés.
• Quelles mesures seront prises lorsqu'une vulnérabilité majeure est découverte: Ne vous arrêtez pas après avoir trouvé un trou de sécurité. Cela peut conduire à un faux sentiment de sécurité. Continuez à voir ce que vous pouvez découvrir d'autre. Vous n'avez pas besoin de continuer à pirater jusqu'à la fin des temps ou jusqu'à ce que vous écrasiez tous vos systèmes; poursuivez simplement le chemin que vous descendez jusqu'à ce que vous ne puissiez plus le pirater (jeu de mots). Si vous n'avez trouvé aucune vulnérabilité, vous n'avez pas regardé assez fort.
• Les livrables spécifiques: Cela inclut les rapports d'évaluation de la sécurité et un rapport de haut niveau décrivant les vulnérabilités générales à traiter, ainsi que les contre-mesures à mettre en œuvre.

L'un de vos objectifs pourrait être d'effectuer les tests sans être détecté. Par exemple, vous pouvez effectuer vos tests sur des systèmes distants ou sur un bureau distant, et vous ne voulez pas que les utilisateurs soient conscients de ce que vous faites. Dans le cas contraire, les utilisateurs peuvent vous suivre et adopter leur meilleur comportement - au lieu de leur comportement normal.

Exécution du plan

Un bon piratage éthique exige de la persévérance. Le temps et la patience sont importants. Soyez prudent lorsque vous effectuez vos tests de piratage éthique. Un hacker dans votre réseau ou un employé apparemment bénin regardant par-dessus votre épaule peut regarder ce qui se passe et utiliser cette information contre vous.

Il n'est pas pratique de s'assurer qu'aucun pirate n'est sur vos systèmes avant de commencer. Assurez-vous de garder tout aussi calme et privé que possible. Ceci est particulièrement important lors de la transmission et du stockage de vos résultats de test. Si possible, cryptez les e-mails et les fichiers contenant des informations de test sensibles en utilisant Pretty Good Privacy ou une technologie similaire. Au minimum, mot de passe-les protéger.

Vous êtes maintenant en mission de reconnaissance. Exploiter autant d'informations que possible sur votre organisation et vos systèmes, ce que font les pirates informatiques malveillants. Commencez avec une vue large et affinez votre concentration:

1. Recherchez sur Internet le nom de votre organisation, les noms de votre ordinateur et de votre système réseau, ainsi que vos adresses IP.

Google est un bon point de départ.

2. Affinez votre portée en ciblant les systèmes spécifiques que vous testez.

Que vous évaluiez les structures de sécurité physique ou les applications Web, une évaluation occasionnelle peut générer beaucoup d'informations sur vos systèmes.

3. En outre, affinez votre attention avec un œil plus critique. Effectuez des analyses réelles et d'autres tests détaillés pour découvrir les vulnérabilités sur vos systèmes.

4. Effectuez les attaques et exploitez les vulnérabilités que vous avez trouvées, si c'est ce que vous choisissez de faire.

Évaluer les résultats

Évaluez vos résultats pour voir ce que vous avez découvert, en supposant que les vulnérabilités n'ont pas été rendues évidentes auparavant. C'est là que la connaissance compte. Évaluer les résultats et corréler les vulnérabilités spécifiques découvertes est une compétence qui s'améliore avec l'expérience. Vous finirez par connaître vos systèmes beaucoup mieux que quiconque. Cela rend le processus d'évaluation beaucoup plus simple.

Soumettez un rapport formel à la haute direction ou à votre client, décrivant vos résultats et les recommandations que vous souhaitez partager. Gardez ces parties dans la boucle pour montrer que vos efforts et leur argent sont bien dépensés.