「むかしむかし、現実の世界がありました…」 この前提で百年後、私たちは玄孫を眠らせる物語を語るでしょう。 まず、あるかわいい女の子の話から始めます。その女の子の祖母は、病院に入る前にコンピューターに向かうために着ていた赤いベルベットのマントを贈りました。 インクルード サイバードメイン。 赤ずきんちゃんは赤ずきんちゃんになりたかった ハッカー...
「彼の種族の皆と同じように、彼も半分はマシン、半分はオタクという混合人種でした。 彼女は社交的な生活を持たず、すべてを自分で行い、スクリーンの上から降りてくる数字を理解し、常にフードをかぶっており、生まれながらにしてすべてを知っていました。」.
決まり文句や矮小化から始まるこの物語は、私たちの小さな子どもたちに、彼らを責任ある大人に変える価値観を教えてくれます。 しかしその後、子供たちは成長し、自分自身に質問をするようになります。その質問に対して、私たちは理解できるほど単純でありながら、恥ずかしい洞察を避けるために十分に網羅的な方法で答える準備ができていなければなりません。
そして、小さな子は、乳歯の残された穴から舌を出して尋ねます。 「曾祖父様、ハッカーって何ですか？」
「彼らは、コンピューター スキルを使ってコンピューターやコンピューター ネットワークを探索し、その使用を拡張する方法を実験する人たちです。 中にはブラックハットと呼ばれる悪質な者もいます。悪玉'、他の人は良い人ですが、もちろん、私たちは彼らをホワイトハット、または'と呼びます。白い帽子'1。 前者は、悪意のある目的でコンピュータ システムに侵入する詐欺師、不正行為者、泥棒です。 単にデータを盗む場合もあれば、何も知らない所有者の当座預金口座を犠牲にして金持ちになる場合もあり、テロ目的で自動システムに侵入する場合もあります。 それらは、時には工場に放火したり、河川を汚染したりするため、最も卑劣です。 またある時は飛行機が墜落する2 または自動運転車間で事故を引き起こす3 .
新鮮な水を一口飲むために少し立ち止まった後、おじいさんは続けます...
「身を隠すために逃げる必要があり、前世紀の最初の2001年間（注：私は2100世紀、西暦XNUMX年から西暦XNUMX年までのことを指します）に、企業は自らを守るようになりました。 コンピューター緊急対応チームが創設されました4 そして彼らに最高の専門家を集めました。青チームサイバーセキュリティの「。」 彼らは監視システムを使用し、管理者がネットワークとシステムのセキュリティ対策を最新の状態に保つのを支援します。5。 奇妙なアクティビティや疑わしいアクティビティはすべて、強力なツールによって阻止されます。6 数十億のデジタル パケットをスキャンし、ブラック ハット感染の手掛かりとなる異常を検出します。 事故が発生した場合、青チームが最初に介入します。 彼らは調査を実行して攻撃者を特定し、攻撃を可能にした欠陥を発見します。 仕事中、クラウドはより安全な場所です。 彼らはネットワークの武装警備員だ」.
現実には、残念なことに、牛がすでに逃げてしまったときに厩舎を閉鎖せざるを得なくなることが非常に多いのです。 予防することが望ましいですが、予防するには予測ができなければなりません。
攻撃を予測するには、攻撃者のテクニックを習得する必要があることは明らかです。 しかし、誰がそれをできるでしょうか？ コンピュータ科学者はシステムを操作する訓練を受けており、管理者はシステムを保護する訓練を受けています。 サイバー警察 彼女は防御し、調査し、抑圧するように訓練されています。 彼らは誰も攻撃方法を知りません。
それで、ついに、私を倒すには、ということがわかりました。 悪玉 彼らはいくつかのサービスを提供しました ハッカー 善良な人たちのために自分のテクニックを使う人たち。 そこに現れたのが「白い帽子」だった。
I 白い帽子 彼らは、脆弱性の所有者に知らせるためにコンピュータ システムを侵害する人々です。 彼らは銀行オーナーに雇われた泥棒のようなもので、セキュリティ システムをテストするために金庫に入り、模擬盗品を持って出ようとします。 このようにして、壁を頑丈に保つという任務を負っている人は誰でも、最良の建設技術を研究します。 金庫を作る鍛冶屋は、頑丈な鍵が付いた破壊防止用のドアを金庫に装備します。 入り口の警備員は不審な行動を認識するように訓練されています。 警察は手遅れになる前に犯罪を阻止するために介入する方法を学び、監督はリスクを最小限に抑えて危機を管理するためのルールを採用します。 比喩から言えば、私は 白い帽子 プログラマーとネットワーク管理者がシステムを強化していることを確認する7、キーと暗号化プロトコルは攻撃不可能です8、 青チーム 悪意のある活動を認識するように訓練され、管理者はリスクを計算し、リソースを割り当て、インシデントに対処するための企業ポリシーを開発する方法を学びます。
私が 白い帽子 彼らは組織の一員となり、レッドチームを形成します。 彼らは継続的に自分自身を研究し、記録します。 彼らは常に誰よりも一歩先を行かなければなりません。 サイバードメイン XNUMX 位で終了することは最下位で終了することと同じです。 このために、彼らは動的かつ柔軟な手順を開発します。 彼らは、秘密が知る必要のない人に届かないように、非常に短い指揮統制系統を持っています。
しかし、これには大きなリスクが伴います。 ジュベナルは尋ねるだろう 「Quiscustodietipsos custodes？」 または 「コントローラーを制御しているのは誰ですか? 答えは複雑ですが、子供には簡単に説明します9。 誰もそれはできない10。 だから、 赤チーム 疑いの余地のないレベルの道徳性を備え、経営トップから絶大な信頼を得なければなりません。
明かりが消える時間をもう少し遅らせるために、孫たちは必然的に私たちに別の質問をします。 「曾祖父さん、どうやってホワイトハットになれるの？」
を伝える伝説についてお話します。 悪玉 暗い面を捨てて光に戻る人たちですが、おそらくこれは最初から可能でした。 今日では、自称悔い改めた泥棒に自分で鍵を開けることを喜んで許可する人は誰もおらず、市場の需要に応じて、この分野の専門家を訓練するための供給が組織され始めています。 のコース 倫理的ハッカー。 問題は、これらの認定が意味論的な知識に基づいていることです。 有名なミームには次のようなものがあります。 「93本中100本のクロスを正解しました！ これで私はエシカルハッカーになります！」。 こんなに美しい夢を壊してしまうのは残念ですが、残念ながら事態はそれよりも複雑です。
いつから サイバーセキュリティ さらなる成熟に達しており、基礎を学び専門家のスキルを評価するためのコースや認定資格があります。
最も要求されている認定は、次の機関によって与えられたものです。 攻撃的なセキュリティ これは、純粋に実用的な型からのコースの終わりに、11 24時間体制で検査を受けます。 「旗をつかむ」ゲームのようなものです。 特別に用意された仮想環境で練習します。 つまり、リモート コンピューターのセキュリティ対策を回避して、秘密のコード文字列を読み取ることができなければなりません。 技術力と疲労回復力が問われる難しい試験です。 時間との戦いです。 ただし、このコースでは基本的なことしか教えてもらえず、そこからは頭をぶつけてパズルの解決策を見つけなければなりません。 彼らのモットーは「もっと頑張ろう」または「もっと頑張ろう」です。 哲学は、インターネットにはすべてがあり、必要なのは問題の解決策を見つける方法を知ることだけだということです。12。 これが「理解するために行う」アプローチです。
「理解してから行う」という全く逆の発想で、 SANS （GIAC認証）および eラーニングセキュリティ。 しかし、後者の XNUMX 社の類似点はそこまでです。 のコース SANS13 彼らはより伝統的です。 対面でのフェーズとマニュアルベースでのフェーズのXNUMX段階で構成されています。 一方、eLearnSecurity はオンラインのみです。 まず、それぞれにいくつかの概念を含む数千枚のスライドを通じて理論を学び、次に説明されているツールを使用して作業する人のビデオを視聴し、最後に実践的なラボが開催されます。 問題が発生した場合は、検索したり答えを求めたりできる内部フォーラムがあります。
そうすることで文化的背景が構築され、それが作業方法に反映されます。 インターネット上にはあらゆるものが存在するのは事実ですが、その逆もまた存在し、最適なツールとベスト プラクティスを知らなければ、誰もがクラウドで道に迷ってしまう可能性があります。
学習者の選択に寄り添うことを目的として、 eラーニングセキュリティ 神を勧める トレーニングパス、つまり、専門家を養成するトレーニングコースです。 サイバーセキュリティ 一定の成熟度に達すること。 提案されている経路は、企業防衛からインシデント対応まで多岐にわたります (ブルーチーム）、 ネットワーク e Web アプリケーション ペンテスター14 (レッドチーム).
「ずきんちゃんは「赤」という色が大好きだったので、最初に受講するコースは侵入テストの学生になると決めました。 すべての資料を何度も読み返した後、彼は習得したスキルをテストし認定するための研究室と試験を購入することに決めました。」.
これは簡単なコースではありませんが、数か月間コミットし、ビデオを視聴し、 チュートリアル、教育ワークショップを試してみましょう。 試験は現実的な環境で行われ、XNUMX 日間続きます。初歩的ですが明らかではなく、難しいですがイライラするものではありません。 あなたは急いで走りに行きます。 状況を打破する方法を見つけなければなりません ウェブサーバー 設定が間違っているため、この「ドア」を使用してプライベート エリアにアクセスします。 境界内に入ると、脆弱性を見つけて機密データを抽出します。
彼女は勤勉な生徒であり、多くのメモを取ったおかげで、理論の知識と研究室でのテストで得られた能力のおかげで、赤ずきんちゃんは最初の栄誉ある認定資格を取得しました。彼女は eJPT (つまり「eLearnSecurity Junior Penetration Tester」) になりました。
それが働く世界であるということ サイバーセキュリティ 彼はオオカミよりもお腹が空いている。数日後にはオファーが届き始め、仕事も見つけた。 OSINTの活動を体験した15、防諜要員は感じた16は、顧客の許可なく盗まれた機密情報を発見しました。 彼はシステムとネットワークをテストし、欠陥と脆弱性を特定しました。 彼はそれらを社内の同僚に報告していた 青チーム 彼らは、仮想世界の一部をより堅牢にするための措置を講じていました。 幼い頃から培った経験を活かして ハッカー インクルード レッドチーム （そして参加したいという大きな願望）、彼女は新しい挑戦を開始し、eCPPT プロセスに着手して、その一員になる準備ができていました。 認定プロフェッショナルペネトレーションテスター。 そこで彼女は新しい技術を学び、いつか認定資格を取得できる新しい目標を達成することになるでしょう。 エクストリームペネトレーションテスター17.
そしてある日、赤ずきんちゃんは自分が大人になったことに気づき、結婚しました。 ハッカー 悔い改め、二人はたくさんの子供をもうけました…そして彼らは皆、その後ずっと幸せに暮らしました。
でももう遅いので、愛する甥っ子さん、寝てください...
1 この区別は非常に一般的ですが、この分野の事業者は表面的であると考えています。
2 そのような事件はまだ起こっていません。
3 多くのメディアがこの趣旨を何年も報道してきた。
4 コンピュータ緊急対応チーム.
5 これは単純化したものであり、 ブルーチーム それらは無数にあります。
6 たとえば、SIEM、 セキュリティ情報とイベント管理: https://it.wikipedia.org/wiki/Security_Information_and_Event_Management.
7 の段階 硬化: 理想的には、プログラミング コードには脆弱性が存在しない必要があります (例: バッファオーバーフロー)、ネットワーク システムには保護ツール (ファイアウォール、ポリシーなど) が含まれている必要があります。 残念ながら、経済性と機能性の理由から、ある程度のリスクは常に受け入れなければなりません。
8 暗号化は、理論数学のかなり複雑な分野です。 セキュリティは多くの異種要因に依存します。 完全な秘密は存在しますが、実際の状況では適用できないため、数学者が計算方法を知っているというある程度のリスクは受け入れなければなりません。 独自の暗号コードを開発するのは危険ですが、新進の暗号学者の間では非常に一般的であり、ハッカーはこれらのホールを悪用する方法を知っています。 詳細については、「Jonathan Katz、Yehuda Lindell - 現代暗号入門 - 原理とプロトコル - Chapman および Hall」を参照してください。
9 情報技術に応用され、サイバーに特化した法学。
10 ここでも単純化が行われ、レッドチームは制限を正確に定義する非常に正確な契約に基づいて行動します。 これらの制限を超えると、民事上の責任が生じ、重い刑事罰が科される可能性があります。
11 PWK - Kali Linux を使用した侵入テスト。
12 の最初の認証を例として取り上げました 攻撃的なセキュリティ、または OSCP (Offensive Security Certified Professional)。 この名門企業のオファーには、攻撃的なトレーニングを目的とした、さらに価値があり難しいコースが他にも充実しています。 赤チーム.
13 SANS は、サイバー セキュリティのあらゆる分野で、非常に権威あるコースを提供していますが、非常に高額な費用がかかります。
14 ペネトレーションテスターの概要。
15 オープンソースインテリジェンス。
16 この件については、私の以前の記事を参照してください。「私の名前はセキュリティ、サイバーセキュリティです。 Google ハッキングと初段: 予想外のインテリジェンス。」
17 以下の説明は必須です。
- 認定資格自体がサイバーセキュリティオペレーターのスキルを証明するものではなく、 ペネトレーションテスター それは主に現場での経験に基づいています。
- 説明されているものと比較して、同様に有効なトレーニング コースがあります。 この物語は著者の個人的な経験に基づいており、科学的価値はありません。
- 記事の目的は宣伝ではなく、著者、出版社、コースや認定資格を提供する企業との間には何の関係もありません。
