qu’est-Ce que le piratage éthique?
Le piratage éthique, également connu sous le nom de test d’intrusion ou test de stylo, pénètre légalement dans les ordinateurs et les appareils pour tester les défenses d’une organisation. C’est parmi les emplois informatiques les plus excitants auxquels toute personne peut être impliquée. Vous êtes littéralement payé pour suivre les dernières technologies et arriver à pénétrer dans les ordinateurs sans la menace d’être arrêté.
Les entreprises engagent des pirates éthiques pour identifier les vulnérabilités de leurs systèmes., Du point de vue du testeur de pénétration, il n’y a pas d’inconvénient: si vous piratez au-delà des défenses actuelles, vous avez donné au client une chance de fermer le trou avant qu’un attaquant ne le découvre. Si vous ne trouvez rien, votre client est encore plus heureux car il peut maintenant déclarer ses systèmes « suffisamment sécurisés pour que même les pirates payés ne puissent pas s’y introduire.” Win-win!
je suis dans la sécurité informatique depuis plus de 30 ans, et aucun travail n’a été plus difficile et amusant que les tests de pénétration professionnels., Vous obtenez non seulement de faire quelque chose d’amusant, mais les testeurs de stylo sont souvent vus avec une aura de fraîcheur supplémentaire qui vient de tout le monde sachant qu’ils pourraient pénétrer dans presque n’importe quel ordinateur à volonté. Bien que maintenant depuis longtemps devenu légitime, L’ancien pirate uber le plus notoire du monde, Kevin Mitnick, m’a dit qu’il obtenait exactement le même frisson émotionnel d’être payé pour pénétrer légalement dans des endroits comme il l’a fait pour toutes ces années de piratage illégal. Mitnick a dit, la seule différence » est la rédaction du rapport. »
que font les hackers éthiques?,
définition de la portée et des objectifs
Il est essentiel pour tout testeur de stylo professionnel de documenter la portée et les objectifs convenus. Voici le genre de questions concernant la portée que vous devez poser:
- quels actifs informatiques sont dans la portée du test?
- inclut-Il tous les ordinateurs, juste une certaine application ou service, certaines plates-formes de système d’exploitation, ou des appareils mobiles et des services cloud?
- la portée ne comprend-elle qu’un certain type de ressources informatiques, telles que les serveurs web, les serveurs SQL, tous les ordinateurs au niveau du système d’exploitation hôte et les périphériques réseau sont-ils inclus?,
- Les tests de stylo peuvent-ils inclure une analyse automatisée des vulnérabilités?
- l’ingénierie sociale est-elle autorisée, et si oui, quelles méthodes?
- à quelles dates les tests de stylo seront-ils autorisés?
- y a-t-il des jours ou des heures où les tests d’intrusion ne devraient pas être essayés (pour éviter toute panne involontaire ou interruption de service)?
- Les testeurs devraient-ils faire de leur mieux pour éviter de causer des interruptions de service ou de causer tout type de problème qu’un véritable attaquant peut faire, y compris les interruptions de service, une partie cruciale du test?,
- Les tests de pénétration seront-ils blackbox (ce qui signifie que le testeur de stylo a peu ou pas de détails internes sur les systèmes ou applications impliqués) ou whitebox (ce qui signifie qu’ils ont une connaissance interne des systèmes attaqués, éventuellement en place et impliquant du code source pertinent)?
- Les défenseurs de la sécurité informatique seront-ils informés du test du stylo ou une partie du test consistera-t-elle à voir si les défenseurs le remarquent?
- Les attaquants professionnels (par exemple, l’équipe rouge) devraient-ils essayer de s’introduire sans être détectés par les défenseurs (par exemple,, blue team), ou devraient-ils utiliser des méthodes normales que de vrais intrus pourraient utiliser pour voir si cela déclenche les défenses de détection et de prévention existantes?
posez ces questions concernant les objectifs du test de pénétration.
- Est-ce simplement pour montrer que vous pouvez rompre dans un ordinateur ou un périphérique?
- Le Déni de service est-il considéré comme un objectif intégré?
- l’accès à un ordinateur particulier ou l’exfiltration de données fait-il partie de l’objectif, ou obtient-il simplement un accès privilégié suffisant?
- Qu’est-ce qui devrait être soumis dans le cadre de la documentation à la fin du test?, Devrait-il inclure toutes les méthodes de piratage échouées et réussies, ou simplement les hacks les plus importants? Combien de détails est nécessaire, chaque frappe et clic de souris, ou juste des descriptions sommaires? Les hacks doivent-ils être capturés sur vidéo ou captures d’écran?
Il est important que la portée et les objectifs soient décrits en détail et convenus avant toute tentative de test d’intrusion.,
découverte: en savoir plus sur votre cible
chaque pirate éthique commence son piratage d’actifs (à l’exclusion des techniques d’ingénierie sociale pour cette discussion) en apprenant autant sur les cibles de test de stylo qu’ils le peuvent. Ils veulent connaître les adresses IP, les plates-formes de système d’exploitation, les applications, les numéros de version, les niveaux de correctifs, les ports réseau annoncés, les utilisateurs et tout ce qui peut conduire à un exploit. Il est rare qu’un pirate éthique ne voie pas une vulnérabilité potentielle évidente en ne passant que quelques minutes à regarder un actif., À tout le moins, même s’ils ne voient pas quelque chose d’évident, ils peuvent utiliser les informations apprises dans discovery pour une analyse continue et des tentatives d’attaque.
Exploitation: pénétrer dans l’actif cible
c’est ce pour quoi le pirate éthique est payé – le « cambriolage. »En utilisant les informations apprises lors de la phase de découverte, le testeur de stylo doit exploiter une vulnérabilité pour obtenir un accès non autorisé (ou un déni de service, si tel est l’objectif). Si le pirate ne peut pas pénétrer dans un actif particulier, il doit essayer d’autres actifs intégrés., Personnellement,
si j’ai fait une découverte approfondie de l’emploi, alors que j’ai toujours trouvé un exploit. Je ne connais même pas un testeur de pénétration professionnel qui n’a pas pénétré dans un actif dans lequel ils ont été embauchés, du moins au début, avant que leur rapport livré ne permette au défenseur de fermer tous les trous trouvés. Je suis sûr qu’il existe des testeurs de pénétration qui ne trouvent pas toujours des exploits et n’atteignent pas leurs objectifs de piratage, mais si vous effectuez le processus de découverte suffisamment à fond, la partie exploitation n’est pas aussi difficile que beaucoup de gens le croient., Être un bon testeur de pénétration ou hacker est moins d’être un génie et plus sur la patience et la rigueur.
en fonction de la vulnérabilité et de l’exploit, l’accès désormais acquis peut nécessiter une « escalade des privilèges” pour transformer l’accès d’un utilisateur normal en un accès administratif plus élevé. Cela peut nécessiter l’utilisation d’un deuxième exploit, mais uniquement si l’exploit initial n’a pas déjà donné à l’attaquant un accès privilégié.
selon la portée, la découverte de la vulnérabilité peut être automatisée à l’aide d’un logiciel d’exploitation ou d’analyse de vulnérabilité., Ce dernier type de logiciel trouve généralement des vulnérabilités, mais ne les exploite pas pour obtenir un accès non autorisé.
ensuite, le testeur de stylo effectue l’action d’objectif convenue s’ils sont dans leur destination finale, ou ils utilisent l’ordinateur actuellement exploité pour accéder plus près de leur destination finale. Les testeurs de stylo et les défenseurs appellent ce mouvement” horizontal « ou” vertical », selon que l’attaquant se déplace dans la même classe de système ou vers l’extérieur vers des systèmes non liés., Parfois, l’Objectif du pirate éthique doit être prouvé comme atteint (comme révéler des secrets du système ou des données confidentielles) ou la simple documentation de la façon dont il aurait pu être accompli avec succès est suffisant.
documenter l’effort de test au stylo
enfin, le testeur de pénétration professionnel doit rédiger et présenter le rapport convenu, y compris les constatations et les conclusions.,
comment devenir un hacker éthique
tout hacker doit prendre des mesures communes pour devenir un hacker éthique, dont le strict minimum est de s’assurer que vous avez la permission documentée des bonnes personnes avant de pénétrer dans quelque chose. Ne pas enfreindre la loi est primordial pour être un pirate éthique. Tous les testeurs de pénétration professionnels doivent suivre un code d’éthique pour guider tout ce qu’ils font. L’EC-Council, créateurs de L’examen Certified Ethical Hacker (CEH), a l’un des meilleurs codes d’éthique publics disponibles.,
la plupart des pirates éthiques deviennent des testeurs de pénétration professionnels de deux façons. Soit ils apprennent des compétences de piratage par eux-mêmes, soit ils suivent des cours d’éducation formelle. Beaucoup, comme moi, ont fait les deux. Bien que parfois moqués par les auto-apprenants, les cours de piratage éthique et les certifications sont souvent la passerelle vers un emploi bien rémunéré en tant que testeur de pénétration à temps plein.
le programme D’éducation à la sécurité informatique d’aujourd’hui regorge de cours et de certifications qui enseignent à quelqu’un comment être un pirate éthique., Pour la plupart des examens de certification, vous pouvez vous auto-étudier et apporter votre propre expérience au centre de test ou suivre un cours de formation approuvé. Bien que vous n’ayez pas besoin d’une certification de piratage éthique pour être employé en tant que testeur de pénétration professionnel, cela ne peut pas faire de mal.
en tant que formateur CBT Nuggets, Keith Barker a déclaré: « Je pense que la possibilité d’avoir » quelque chose d’éthique certifié » sur votre CV ne peut être qu’une bonne chose, mais c’est plus une entrée dans plus d’études. De plus, si les entreprises voient que vous êtes certifié en piratage éthique, elles savent que vous avez vu et accepté un code d’éthique particulier., Si un employeur examine un curriculum vitae et qu’il voit quelqu’un qui a une certification de piratage éthique et quelqu’un qui ne l’a pas fait, cela doit aider. »
même s’ils enseignent la même compétence, chaque cours et certification de piratage éthique est différent. Faites un peu de recherche pour trouver le bon pour vous.,
5 top ethical hacking courses and certifications
- Certified Ethical Hacker
- Sans GPEN
- Offensive Security Certified Professional
- Foundstone Ultimate Hacking
- CREST
Certified Ethical Hacker
Le certificat Ethical Hacker (CEH) du Conseil européen est facilement le cours et la certification de pénétration les plus anciens et les plus populaires., Le cours officiel, qui peut être suivi en ligne ou avec un instructeur en personne, contient 18 domaines de sujets différents, y compris les sujets de piratage traditionnels, ainsi que des modules sur les logiciels malveillants, les plates-formes sans fil, cloud et Mobiles. Le cours complet à distance comprend six mois d’accès à la gamme Cyber en ligne iLab, qui permettra aux étudiants de pratiquer plus de 100 compétences de piratage.
pour obtenir la certification CEH, il faut suivre un cours officiel ou, si vous êtes autodidacte, justifier de deux années d’expérience ou d’études pertinentes. Il contient 125 questions à choix multiples avec une limite de quatre heures., Passer l’examen nécessite d’accepter le Code D’éthique du Conseil européen, qui était l’un des premiers codes d’éthique requis des candidats aux tests de sécurité informatique. Le didacticiel et les tests sont régulièrement mis à jour.
sans GPEN
SysAdmin, Networking, and Security (SANS) Institute est un organisme de formation très respecté, et tout ce qu’ils enseignent avec leurs certifications est grandement respecté par les praticiens de la sécurité informatique. SANS offre plusieurs cours et certifications de test de stylo, mais son testeur de pénétration GIAC de base (GPEN) est l’un des plus populaires.,
le cours officiel du GPEN, SEC560: Network Penetration Testing and Ethical Hacking, peut être suivi en ligne ou en personne. L’examen GPEN a 115 questions, une limite de temps de trois heures, et nécessite un score de 74 pour cent pour réussir. Aucune formation spécifique n’est requise pour un examen GIAC. Le GPEN est couvert par le code général d’éthique du GIAC, qu’ils prennent très au sérieux, comme en témoigne le nombre de participants à l’examen qui ont été disqualifiés pour violation du code.,
« j’aime les liens avec les compétences pratiques que les testeurs de pénétration doivent avoir pour faire leur travail tous les jours”, explique Skoudis. « Il couvre tout, des approches techniques détaillées aux tests, en passant par la définition de la portée, les règles d’engagement et les rapports. L’examen est très axé sur le scénario, il présentera donc un scénario de test de pénétration donné et demandera quelle est la meilleure voie à suivre. Ou, il vous montrera la sortie d’un outil et vous demandera ce que l’outil vous dit et ce que vous devez faire ensuite. J’apprécie tellement cela, car il mesure mieux les compétences du monde réel., L’examen n’a pas beaucoup de questions qui sont simplement définitifs, où ils ont une phrase qui manque un mot et vous demandent lequel des mots suivants remplit le mieux la phrase. Ce n’est pas un très bon moyen de mesurer les compétences. »
Offensive Security Certified Professional
Le cours et la certification Offensive Security Certified Professional (OSCP) ont acquis une réputation bien méritée de ténacité avec une structure d’apprentissage et un examen très pratiques., Le cours de formation officiel en ligne et autonome s’appelle Penetration Testing avec Kali Linux et comprend 30 jours d’accès au laboratoire. Parce qu’il repose sur Kali Linux (le successeur de la précédente distribution Linux préférée des testeurs de stylo, BackTrack), les participants doivent avoir une compréhension de base de la façon d’utiliser Linux, les shells bash et les scripts.
L’OSCP est connu pour pousser ses étudiants et les preneurs d’examen plus fort que les autres voies de test de stylo. Par exemple, l’OSCP cours enseigne, et l’examen exige, la capacité d’obtenir, de modifier et d’utiliser publiquement obtenu le code d’exploitation., Pour l ‘” examen », le participant reçoit des instructions pour se connecter à distance à un environnement virtuel où il est censé compromettre plusieurs systèmes d’exploitation et périphériques dans les 24 heures, et documenter soigneusement comment il l’a fait. Offensive Security propose également des cours et des examens de test de stylo encore plus avancés (par exemple, impliquant l’exploitation web, sans fil et Windows avancée). Les lecteurs voudront peut-être profiter de leur cours de base en ligne gratuit sur L’outil Metasploit.,
Foundstone Ultimate Hacking
L’unité commerciale Foundstone de McAfee (pour laquelle j’ai travaillé il y a plus de 10 ans) a été l’un des premiers cours pratiques de test de pénétration disponibles. Sa série de cours et de livres Ultimate Hacking a longtemps mené le terrain. Ils couvraient Windows, Linux, Solaris, web, SQL et une foule de techniques de piratage avancées (telles que le tunneling). Malheureusement, les cours Ultimate Hacking n’ont pas d’examens ni de certifications formels.,
Aujourd’hui, Foundstone offre une foule d’options de formation bien au-delà des tests de stylo, y compris la criminalistique et la réponse aux incidents (comme le font beaucoup d’autres joueurs dans cet article). De plus, Foundstone propose une formation sur le piratage de l’Internet des objets (IoT), le micrologiciel, les systèmes de sécurité de contrôle industriel, le Bluetooth et la RFID. Les instructeurs Foundstone sont souvent de vrais testeurs de stylo et des consultants en sécurité, bien que beaucoup, sinon la plupart, des cours de formation soient gérés par des partenaires.,
CREST
à l’échelle internationale, les cours et examens pen test de L’organisme sans but lucratif CREST information assurance accreditation and certification body sont généralement acceptés dans de nombreux pays, y compris le Royaume-Uni, L’Australie, L’Europe et L’Asie. La mission de CREST est d’éduquer et de certifier les testeurs de stylo de qualité. Tous les examens approuvés par CREST ont été examinés et approuvés par le Government Communication Headquarters (GCHQ) du Royaume-Uni, qui est analogue à la NSA des États-Unis.,
L’examen de test de stylo de base de CREST est connu sous le nom de Crest Registered Tester (ou CRT), et il existe des examens pour les testeurs de stylo web et d’infrastructure. Les examens et les coûts varient selon les pays. Les participants au test CREST doivent examiner et reconnaître le Code de conduite CREST. La certification OSCP de sécurité Offensive peut être utilisée pour obtenir le CRT.
Tous les instructeurs à qui j’ai parlé croyaient que les cours qu’ils enseignaient n’étaient qu’un début. Barker de CBT Nuggets dit, » sont un excellent point d’entrée et l’exposition à toutes les fondations que vous pouvez ensuite aller sur plus.,”
« Chacun n’est pas seulement une classe autonome quelqu’un prend pour six jours, puis disparaît,” dit Skoudis. « Au lieu de cela, nos cours ressemblent davantage à un écosystème, centré sur les 6 jours de formation, mais avec des webcasts et des blogs de suivi pour un apprentissage continu à l’avenir. De plus, nous avons eu la chance de voir nos anciens étudiants contribuer à cet écosystème par le biais de leurs propres blogs et du développement d’outils, en redonnant à la communauté. C’est vraiment un beau cycle vertueux, et je suis tellement reconnaissante d’être un peu partie., »
Ethical hacking tools
Les pirates éthiques ont généralement un ensemble standard d’outils de piratage qu’ils utilisent tout le temps, mais ils pourraient devoir rechercher et stocker différents outils en fonction du travail particulier. Par exemple, si le testeur de pénétration est invité à attaquer des serveurs SQL et n’a aucune expérience pertinente, il peut vouloir commencer à rechercher et tester différents outils D’attaque SQL.
la plupart des testeurs de pénétration commencent par un système D’exploitation Linux « distro” spécialisé dans les tests de pénétration., Les distributions Linux pour le piratage vont et viennent au fil des ans, mais à l’heure actuelle, la distribution Kali est celle que les pirates éthiques les plus professionnels préfèrent. Il existe des milliers d’outils de piratage, y compris un tas de piliers que presque tous les testeur de stylo utilise.
le point le plus important de tout outil de piratage, au-delà de sa qualité et de son adéquation au travail à accomplir, est de s’assurer qu’il ne contient pas de logiciels malveillants ou d’autres codes conçus pour pirater le pirate. La grande majorité des outils de piratage que vous pouvez obtenir sur internet, en particulier gratuitement, contiennent des logiciels malveillants et des portes dérobées non documentées., Vous pouvez généralement faire confiance aux outils de piratage les plus courants et les plus populaires, comme Nmap, mais les meilleurs pirates éthiques écrivent et utilisent leurs propres outils parce qu’ils ne font confiance à rien écrit par quelqu’un d’autre.
pour un examen plus approfondi des outils de piratage éthique, lisez « 17 outils de test de pénétration utilisés par les pros. »
Ethical hacking jobs: comment le rôle évolue
Comme toute autre discipline de sécurité informatique, le piratage éthique est en train de mûrir. Les pirates autonomes qui montrent simplement des prouesses techniques sans professionnalisme et sophistication sont de moins en moins demandés., Les employeurs recherchent le hacker professionnel complet-à la fois dans la pratique et les ensembles d’outils qu’ils utilisent.
de meilleures boîtes à outils: les logiciels de test de pénétration ou de vulnérabilité ont toujours fait partie de la boîte à outils du pirate éthique. Plus que probablement, le client exécute déjà l’un ou les deux sur une base régulière. L’un des développements les plus passionnants dans les tests de stylo sont des outils qui font essentiellement tout le travail dur de la découverte à l’exploitation, un peu comme un attaquant pourrait.
un exemple de ce type d’outil est open source Bloodhound., Bloodhound permet aux attaquants de voir, graphiquement, les relations entre les différents ordinateurs sur un réseau Active Directory. Si vous entrez un objectif cible souhaité, Bloodhound peut vous aider à voir rapidement plusieurs chemins de piratage pour arriver d’où vous commencez à cette cible, identifiant souvent des chemins dont vous ne saviez pas l’existence. J’ai vu des utilisations complexes où les testeurs de stylo ont simplement entré des points de départ et de fin, et Bloodhound et quelques scripts ont fait le reste, y compris toutes les étapes de piratage nécessaires pour aller du point A à Z., Bien sûr, les logiciels de test de pénétration commerciale ont eu ce genre de sophistication depuis beaucoup plus longtemps.
Une image vaut mille mots: autrefois, pour vendre une défense à la haute direction, les testeurs de stylo pirataient la haute direction ou leur montraient de la documentation. Aujourd’hui, la haute direction veut des diapositives, des vidéos ou des animations de la façon dont des hacks particuliers ont été effectués dans leur environnement. Ils l’utilisent non seulement pour vendre d’autres cadres supérieurs sur des défenses particulières, mais aussi dans le cadre de la formation des employés.,
gestion des risques: il ne suffit pas non plus de transmettre une liste de vulnérabilités trouvées au reste de l’entreprise et de considérer votre travail accompli. Non, les testeurs de pénétration professionnels d’aujourd’hui doivent travailler avec la direction informatique pour identifier les menaces les plus importantes et les plus probables. Les testeurs de pénétration font désormais partie de l’équipe de gestion des risques, aidant à réduire efficacement les risques encore plus que de simples vulnérabilités., Cela signifie que les pirates éthiques fournissent encore plus de valeur en montrant à la direction et aux défenseurs ce qui est le plus susceptible de se produire et comment, et pas seulement leur montrer un hack unique qui est peu susceptible de se produire à partir d’un intrus de la vie réelle.
Les tests D’intrusion professionnels ne sont pas pour tout le monde. Cela nécessite de devenir un quasi-expert dans plusieurs technologies et plates-formes différentes, ainsi qu’un désir intrinsèque de voir si quelque chose peut être brisé au-delà des limites normalement présentées. Si vous avez ce désir et que vous pouvez suivre certaines directives juridiques et éthiques, vous pouvez également être un pirate informatique professionnel.,
