วันอังคารที่ 31 พฤษภาคม พ.ศ. 2554

ทักษะที่แฮกเกอร์ต้องมี

ทักษะที่แฮกเกอร์ต้องมี

Required Skills of Ethical Hackers

• ความรู้ทางด้าน Router, Routing protocol และ Access control lists (ACLs)
สามารถเรียนรู้ได้จาก หนังสือหรือไปสอบใบ certificate ทางด้าน network เช่น Cisco Certified Network Associate (CCNA) หรือ Cisco Certified Internetworking Expert (CCIE) ยิ่งดีใหญ่
• ทักษะทางด้าน Microsoft ไม่ว่าจะเป็นการปรับแต่งหรือการจัดการ software ของ Microsoft เช่น Windows 2003 เช่นกัน สามารถเรียนรู้ได้จากการสอบ Microsoft Certified Administrator (MCSA) หรือ Microsoft Certified Security Engineer (MCSE) certified.
• ทักษะทางด้าน Linux/UNIX OS รวมทั้งทางด้านการปรัปแต่ง services ที่นิยมใช้ในปัจจุบันเช่น Apache. และ Certificate ทางด้านนี้คือ Red Hat Certified Engineer (RHCE) , หรือ Linux+.
• ทักษะทางด้านการปรับแต่ง Firewalls และ intrusion detection systems (IDS/IPS) สามารถเรียนรู้ได้จากการสอบ certified in Cisco Certified Security Professional (CCSP) or Checkpoint Certified Security Administrator (CCSA).
• ทักษะทาง Mainframes ถึงแม้ว่า mainframes จะเริ่มค่อยๆลดน้อยลงแล้วในปัจจุบัน แต่ก็ยังคงใช้กันอยู่ และการที่มีคนที่มีทักษะทางด้านนี้จะสร้างความได้เปรียบให้แก่ทีม
• ความรู้ทางด้าน Network protocol เช่น TCP/IP จะทำให้เข้าใจกระบวนการติดต่อสื่อสารข้อมูลได้อย่างลึกซึ้ง
• ทักษะทางด้านการเป็น project management ซึ่งจะต้องเป็นผู้นำทีมและจะต้องมีทักษะทางด้าน Security หลากหลายโดยเฉพาะอย่างยิ่ง ทักษะในการจัดการเช่นการวางแผน, การจัดการทรัพยากร (ลูกทีม), และการควบคุมการทดสอบให้เป็นไปตามแผนงาน แนะนำให้ไปสอบ Project Management Professional (PMP) certification
นอก จากทักษะที่กล่าวไว้ข้างต้น Ethical hackers จำเป็นต้องมีทักษะในการเขียน report และต้องติดตามข่าวสารที่เกี่ยวกับช่องโหว่ใหม่ๆ เพื่อให้ก้าวล้ำหน้า hackers อีกด้วย จะเห็นได้เลยคับว่าจริงๆแล้วการจะเป็น Hacker ผู้มีคุณธรรมนั้น ไม่ได้ทำกันได้ง่ายๆเลย

Modes of Ethical Hacking

หลัง จากที่ได้อธิบายทักษะที่จำเป็นต่างๆแล้ว คุณอาจจะสงสัยว่า ethical hacker จะนำทักษะเหล่าในไปใช้อย่างไร เนื่องจากระบบขององค์กรส่วนใหญ่นั้นมีความซับซ้อน จึงขอแบ่งการโจมตีที่รวมเอาทักษะข้างต้นมาใช้ได้ดังต่อไปนี้

• การโจมตีจากภายใน ethical hacker จะจำลองการโจมตี โดยเลียนแบบพฤติกรรมการโจมตีจากผู้ที่ได้รับอนุญาติในการใช้ระบบ เช่น พนักงานทั่วไป หรือผู้ดูแลระบบ
• การโจมตีจากภายนอก ethical hacker จะจำลองการโจมตี ที่สามารถทำได้ผ่านทาง Internet ตัวอย่างเช่น Hypertext Transfer Protocol (HTTP), Simple Mail Transfer Protocol (SMTP), Structured Query Language (SQL), หรือ services อื่นๆที่เปิดให้บริการ
• การโจมตีทางกายภาพ (physical attack) เช่น แอบดอดไปขโมย Notebook ของ CEO, ขโมย Tape back-up,หรือ การทำลายเครื่อง Server ด้วยวิธีต่างๆ (วิธีนี้เห็นได้ในเรื่อง Mission Impossible คับ)
• การโจมตีแบบ Social Engineering เป็นการใช้จิตวิทยาเพื่อให้ได้มาซึงข้อมูล มักจะถูกใช้กับพนักงานบริษัทหรือบุคลากรภายในองค์กร เช่น “สมทรงจ๊ะ วันนี้เธอใส่กระโปรงลายดอกสวยเซ็กซี่จัง บอกพาสเวิร์ดเราหน่อยได้ปะ” เป็นต้น

Rules of Engagement

Ethical hacker จะต้องรักษากฎในการทดสอบการเจาะระบบที่ได้ระบุไว้ในสัญญา หากไม่ปฏิบัติตามกฎอาจนำมาซึ่งการถูกไล่ออกจากงาน ถูกปรับ หรือแม้กระทั่งถูกจำคุก

• ห้ามทำเกินขอบเขตอำนาจที่ระบุไว้ รวมทั้งอำนาจที่เกี่ยวกับการนำข้อมูลหรือสิ่งที่ได้มาเพื่อน้ำไปใช้, เผยแพร่, ดัดแปลง, ทำซ้ำ ใดๆทั้งสิ้น
• ผู้ทดสอบระบบ ควรจะปกป้องตนเองด้วยการกำหนดขอบเขตในความเสียหายที่เกิดขึ้นในการทดสอบการ เจาะระบบ เพื่อให้เป็นการเข้าใจแก่ผู้รับบริการ
• มีจรรยาบรรณในหน้าที่การงาน เป็นสิ่งที่แบ่งแยกระหว่าง Ethical hacker กับ hacker คือ “จรรยาบรรณ”
• รักษาความลับ ในระหว่างการทดสอบระบบนั้น tester อาจได้รับข้อมูลที่เป็นความลับกับองค์กรหรือบุคคลซึ่งสามารถนำความเสียหาย ดังนั้นจึงไม่ควรเปิดเผยความลับนอกจากได้รับการอนุญาติเท่านั้น
• ห้ามทำลายหรือทดลองสิ่งที่ยังไม่ได้ทำการตรวจสอบแล้วว่าไม่สร้างความเสียหาย ให้กับระ
บบ
เช่น การใช้เครื่องมือแบบผิดๆอาจนำไปซึ่งการทำให้ account lockหรือ เป็นสาเหตุของการโจมตีแบบ DoS และการทำให้ Application server ล่ม

credit: mindterra

ไม่มีความคิดเห็น:

แสดงความคิดเห็น