Top Tip Til At Blive En White Hat Hacker

2023 Forfatter: Susan Creighton | [email protected]. Sidst ændret: 2023-08-25 03:47

6/17/2019 8:00 am En hvid hathacker, eller etisk hacker, bruger penetrationstestteknikker til at teste en organisations IT-sikkerhed og identificere sårbarheder. IT-sikkerhedsmedarbejdere bruger derefter resultaterne af sådanne penetrationstest til at afhjælpe sårbarheder, styrke sikkerheden og sænke organisationens risikofaktorer.

Penetrationstest er aldrig en tilfældig virksomhed. Det involverer masser af planlægning, som inkluderer at få eksplicit tilladelse fra ledelsen til at udføre test og derefter køre test så sikkert som muligt. Disse test involverer ofte de samme teknikker, som angribere bruger til at overtræde et netværk for ægte.

Krav til baggrund og uddannelse

Hacking af hvid hat involverer en hel del problemløsning samt kommunikationsevner. En hvid hathacker kræver også en balance mellem intelligens og sund fornuft, stærke tekniske og organisatoriske færdigheder, upåklagelig bedømmelse og evnen til at forblive kølig under pres.

Samtidig er en hvid hathacker nødt til at tænke som en sort hathacker med alle deres uærlige mål og uærlige færdigheder og opførsel. Nogle top-rate hvid hat-hackere er tidligere sorte hat-hackere, der blev fanget, og af forskellige grunde besluttede at efterlade et liv med kriminalitet bagefter og sætte deres færdigheder til at arbejde på en positiv (og lovlig) måde.

Der er ingen standarduddannelseskriterier for en hvid hat-hacker - enhver organisation kan stille sine egne krav til denne position - men en bachelor- eller kandidatgrad i informationssikkerhed, datalogi eller endda matematik giver et stærkt fundament.

For dem, der ikke er college-bundet, kan en militær baggrund, især inden for efterretning, hjælpe dit CV med at blive bemærket af ansættelse af ledere. Militærtjeneste er også et plus for arbejdsgivere, der kræver eller foretrækker at ansætte ansatte, der allerede har en sikkerhedsklarering.

Relevante certificeringer

Mange hvid hat-hacking og sikkerhedsrelaterede IT-certificeringer kan hjælpe en kandidat med at få en fod i døren, selv uden rigelige mængder hands-on erfaring.

Opnåelse af den certificerede etiske hacker (CEH) -certificering fra EC-Rådet er et anbefalet udgangspunkt. CEH er en leverandørneutral legitimation, og CEH-certificerede fagfolk er i høj efterspørgsel. Ifølge PayScale er medianlønnen for en etisk hacker næsten $ 80.000, og den øverste række kan klatre til godt over $ 100.000. På høringssiden siger EF-Rådet, at CEH-fagfolk kan forvente at blive betalt $ 15.000 til $ 45.000 pr. Kontrakt eller kortvarig opgave.

CEH-referencen på mellemniveau fokuserer på hacking af systemer, opregning, social engineering, SQL-injektion, trojanere, orme, vira og andre former for angreb, herunder afslag på service (DoS). Kandidater skal også demonstrere grundigt kendskab til kryptografi, penetrationstest, firewalls, honepotter og mere.

EF-Rådet anbefaler en fem-dages CEH-uddannelsesklasse for kandidater uden tidligere arbejdserfaring. For at klare sig godt i kurset skal de studerende have Windows og Linux-systemadministrationsevner, kendskab til TCP / IP og arbejdskendskab til virtualiseringsplatforme. Dog er selvstudie muligheder også tilgængelige for at hjælpe kandidater med at bestå den krævede enkelt eksamen. Vær opmærksom på, at EF-Rådet kræver, at kandidater skal have mindst to års erfaring med informationssikkerhed og betale et ansøgningsgebyr på $ 100.

At blive certificeret hvid hathacker indebærer også at blive på den juridiske side af hacking, aldrig deltage i ulovlige eller uetiske hackingaktiviteter og altid beskytte andres intellektuelle ejendom. Som en del af certificeringsprocessen er kandidater nødt til at blive enige om at opretholde EF-Rådets etiske kodeks og aldrig omgås uetiske hackere eller ondsindede aktiviteter.

Foruden CEH er SANS GIAC-læseplanen værd at kigge på. Organisationen har tildelt mere end 81.000 legitimationsoplysninger til dato. Kandidater, der starter med GIACs Cyber Defense-certifikater, der begynder med GSEC, kan måske finde sig bedre i stand til at klatre gennem et aktivt, respekteret og dybt sikkerhedsplan. GIAC Penetration Tester (GPEN) og GIAC Exploit Researcher og Advanced Penetration Tester (GXPN) er begge bemærkelsesværdige certifikater til håbefulde hvide hathacker.

Et andet sæt af etiske hacking-certificeringer kommer fra mile2. Organisationens Cyber Security Certification Roadmap-serie inkluderer den grundlæggende Certified Vulnerability Assessor (CVA), efterfulgt af den Certified Professional Ethical Hacker (CPEH), den Certified Penetration Testing Engineer (CPTE) og endelig den avancerede Certified Penetration Testing Consultant (CPTC)). Yderligere kan kvalificerede amerikanske veteraner bruge deres GI Bill-fordele til at tjene cybersikkerhedscertifikater og træning gennem mile2.

Relaterede certificeringer i retsmedicin

Nogle dabbling i computer forensics er altid en god ide for nogen, der arbejder inden for informationssikkerhed. For dem, der er interesseret i den undersøgende side af sikkerhed, skal du fortsætte med EF-Rådets certificeringsopstilling og derefter tackle Computer Hacking Forensic Investigator (CHFI) -oplysninger.

CHFI fokuserer på den kriminaltekniske undersøgelsesproces og udnytter de rigtige værktøjer og teknikker til at skaffe computerens retsmedicinske beviser og data. Som en del af CHFI's certificeringstræning lærer kandidater også, hvordan man gendanner slettede filer, knækker adgangskoder, undersøger netværkstrafik og bruger en række retsmedicinske værktøjer til at indsamle information.

Et par andre værdige kriminaltekniske relaterede certs inkluderer GIAC Certified Forensics Analyst (GCFA), den certificerede computer-rettsmedicinske tekniker og Certified Computer Crime Investigator-certifikater fra High Tech Crime Network.

Den fysiske side af penetrationstest

En ting til: Ikke alle aspekter af penetrationstest er digitale, og de er heller ikke altid afhængige af digitale midler eller metoder til forfølgelse. Sikkerhedseksperter henviser generelt til sikkerhedsfunktionerne på et websted eller en facilitet og fysisk adgangskontrol, der er involveret i indrejse eller brug af faciliteter eller udstyr personligt under overskriften "fysisk sikkerhed." Fuldstændig penetrationstest involverer således også forsøg på at kompromittere eller omgå fysisk sikkerhed.

Træne penetrationstestere kan forsøge at bagudklappe gennem en adgangsport, bede nogen om at holde døren for dem, når de søger at omgå en badge-læser eller et betjeningssystem for tastaturindgang, eller bruge andre former for social engineering til at omgå fysisk sikkerhedskontrol og barrierer. Fordi at komme tæt på og personlig med udstyr er et nødvendigt første skridt i at angribe dets sikkerhed, fysiske sikkerhed og dermed forbundne sikkerhedskontrol, er politikker og procedurer lige så vigtige som lignende foranstaltninger på den digitale side af sikkerhedshegnet.

De fleste certificeringer af informationssikkerhed, herunder CISSP, CISM og Security +, giver en vis dækning af fysisk sikkerhed i de fælles viden, som de beder kandidater om at lære og forstå, når de forbereder sig til test.

For dem, der specifikt er interesseret i fysisk sikkerhed, er fysisk sikkerhedsfaglig (PSP) -oplysning fra ASIS International sandsynligvis creme de la creme af fysiske sikkerhedscertifikater. Det er værd at tjekke ud for dem, der ønsker at forstå hele spektret af penetrationstestmetoder, metoder og teknikker, især inden for fysisk sikkerhed.