Tweets by @buherablog
profile for buherator at IT Security Stack Exchange, Q&A for IT security professionals

A BitBetyár Blog

Túljártál a nagyokosok eszén? Küldd be a mutatványodat! (e-mail a buherator gmailkomra jöhet)

Full-Disclosure / Névjegy / Coming out


Promó

H.A.C.K.

Címkék

0day (110) adobe (87) adobe reader (21) anonymous (26) apple (60) az olvasó ír (49) blackhat (20) botnet (22) bug (200) buherablog (44) buhera sörözés (39) bukta (49) deface (38) dns (22) dos (29) esemény (82) facebook (26) firefox (64) flash (33) gondolat (31) google (59) google chrome (36) hacktivity (37) hírek (117) incidens (224) internet explorer (88) iphone (35) java (50) jog (22) kína (21) kriptográfia (68) kultúra (21) linux (24) malware (43) microsoft (142) móka (48) mozilla (23) office (26) oracle (40) os x (43) patch (197) php (20) politika (31) privacy (58) programozás (22) safari (34) sql injection (62) windows (85) xss (77) Címkefelhő

Licensz

Creative Commons Licenc

Leendő hackereknek

2009.10.30. 14:41 | buherator | 4 komment

Dave Shackleford összehozott egy útmutatót az IT biztonság területén tevékenykedni kívánó újoncok, "n00b-ok" számára, és meg kell mondjam, szívemből beszélt a srác, úgyhogy most igyekszem átadni az általa megfogalmazott gondolatok lényegét (ez félig 1-1 fordítás lesz, félig összefoglaló):

Az IT biztonsággal foglalkozó (elismert) szakértőknek megvan az az igen kellemetlen szokása, hogy nagyon nehezen engednek be másokat a klubjukba. Olyanok vagyunk [már ha egyáltalán besorolhatom magam ebbe a kategóriába...], mint egy középiskolai klikk, akik nem engedik a körön kívülieket az asztalukhoz az ebédlőben, és nem hívják meg őket a bulijaikba. Ez sajnos adott, viszont lehet tenni egyet s mást a könnyebb bejutás érdekében:

  • Attól, hogy elvégeztél egy iskolát vagy szereztél valamilyen minősítést, még ne hívd magad biztonsági szakértőnek, mivel nem vagy az. A tapasztalat és a technikai ismeretek azok, amelyek számítanak ezen a területen - amíg ezekkel nem rendelkezel, a létra ajáról indulsz a papírjaidtól függetlenül.
  • Mutasd meg mit tudsz! Ne beszélj elméletekről, koncepciókról, és Isten őrizz, hogy felhozd a Bell-LaPadula modellt! Segíts a biztonság megvalósításában! A modellek valójában semmit sem tesznek, maximum alkoholgőzös meetingekre és CISSP vizsgákra jók.
  • A legjobb biztonsági szakértők valójában nem csak biztonsági háttérrel rendelkeznek. Tényleg úgy hiszem, hogy el kell töltened néhány évet azzal, hogy valami mást csinálj. Programozás, rendszer-, hálózat- vagy adatbázis-adminisztráció, stb. Hogyan tudnál biztonságossá tenni valamit, amihez nem értesz? A biztonság nem az IDS-ekről meg a behatolástesztelésről szól. A biztonság legfontosabb komponense a veszélyek megelőzése a hagyományos régi technológiák tervezésekor és használatakor, és nem árt ha foglalkozol ezzekkel egy kicsit, mielőtt nekiállnál a világ megmentésének.
  • Legyél tisztában a következőkkel: TCP/IP, Cisco IOS, alapvető Windows és Uinux adminisztráció. Válassz egy szrkiptnyelvet és próbálj profivá válni benne. Ezek az alapvető ismeretek.
  • Vásárolj könyveket és olvass! Ajánlott irodalom: Hacking Exposed, legújabb kiadás. Counter-Hack Reloaded. Network Security Hacks (2. kiadás). Minden Richard Bejtlich-től. Malware (Skoudis és Zeltser). Security Engineering (2. kiadás). Applied Cryptography. Szánj 5-10.000 Ft-ot havonta könyvekre.
  • Értsd meg, hogy hogyan lehet biztonságossá tenni egy operációs rendszert. Olvasd el a CIS benchmark-okat, a DISA STIG-eket, és a különböző gyártók, pl. a Microsoft útmutatóit. Ezek alapvető dolgok, amiket jóval azelőtt meg kell tanulnod, mielőtt olyan szexi dolgokkal kezdenél foglalkozni, mint a behatolástesztelés.
  • Ismerj meg egy tetszőleges packet sniffert. A Wireshark jó. A TCPdump is. Mindkettő ingyenes, és segítségükkel elkezdhetsz belenézni a csomagokba, hogy lásd, mi a franc is történik.
  • Tanuld meg a Snort használatát! Szánj hónapokat a telepítésre, a konfiguráció hangolására, a szabályok megtervezésére, az architektúra kialakítására stb. Ez lesz az egyetlen IDS amit használni fogsz? Talán, talán nem, de ár/érték arányban ez a legjobb, és tanulnod kell.
  • Töltsd le a Backtrack disztribúciót, és próbáld ki egy teszt hálózatban, és kezdj el megismerkezni a felderítési technikákkal (nmap, hping3, Nessus, OpenVAS), és sebezhetőségkihasználási módszerekkel (milw0rm, Metasploit).

 

A fentieken kívül a roo362 egyik bloggere összegyűjtött pár online tudástárat, ami szintén jó kiindulási alap lehet:

Folyt köv.!

Címkék: gondolat hacker hogyan

Kommentek:

A hozzászólások a vonatkozó jogszabályok  értelmében felhasználói tartalomnak minősülnek, értük a szolgáltatás technikai  üzemeltetője semmilyen felelősséget nem vállal, azokat nem ellenőrzi. Kifogás esetén forduljon a blog szerkesztőjéhez. Részletek a  Felhasználási feltételekben és az adatvédelmi tájékoztatóban.

HoaxSpecialist · http://hacker.blog.hu 2009.10.30. 15:06:22

Nice post +
Egyetertek.
Bar a kozossegi szemleletrol es a 'shared knowledge' -rol nem esik szo :)

justin time 2009.10.30. 16:17:20

Fyodornak is volt egy hasonló listája. Olvasói kérdésre képes volt step-by-step leírást adni:
interviews.slashdot.org/article.pl?sid=03/05/30/1148235&startat=&threshold=4&mode=nocomment&commentsort=3&op=Change

(a 4. pont az)

r@ek (törölt) 2009.10.31. 18:26:32

"olvass"

Kb. ennyi a lenyeg... A tobbi jon magatol. (Ugyis ki akarod majd probalni azt amirol olvastal...)

conscience 2009.11.15. 22:01:36

Keresem a szavakat... Szívemből szólt, az biztos.
Lenin.VlagyimirIljics.msg="Tanulni! Tanulni! Tanulni!"; :) Nem mondott hülyeséget az öreg...