Mūsdienu pasaulē, kur lielos un mazos uzņēmumus lielā mērā ietekmē kiberuzbrukumi un datu pārkāpumi, izdevumi kiberdrošībai ir palielinājušies. Uzņēmumi tērē miljoniem dolāru, lai aizsargātu savu kiberaizsardzību. Un, kad mēs runājam par kiberdrošību un informācijas drošību, Džordžija Veidmens ir viens no nedaudzajiem ievērojamajiem nosaukumiem nozarē, kas ienāk prātā.
Džordžija Veidmens ir ētiskais hakeris, iespiešanās testētājs, uzņēmuma Shevirah Inc / Bulb Security LLC izpilddirektors un grāmatas “Iespiešanās pārbaude: praktisks ievads hakeru ieviešanā” autors.
Šeit ir ekskluzīva Džordža Veidmena intervija ar mūsu komandu Ivacy, kur mēs uzdevām dažus jautājumus, kas saistīti ar viņu un kiberdrošību kopumā:
Q1 - Sveika, Džordžija, mēs esam ļoti priecīgi par jums un esam ļoti pārsteigti, zinot, cik daudz jūs esat sasniedzis īsā laika posmā. Kas jūs noved pie šīs infosec nozares? Kā jūs sākāt savu ceļojumu kā ētiskais hakeris?
Es devos uz koledžu agri, pulksten 14, nevis parasto 18. Un es paņēmu matemātikas grādu, jo es negribēju būt datorzinātnieks. Mana māte bija viena, un kāds pusaudzis vēlas būt tāds kā viņu vecāki?
Bet tad es īsti nevarēju atrast darbu 18 gadu vecumā ar tikai bakalaura grādu un bez darba pieredzes, man tika lūgts veikt maģistra grādu datorzinātnēs, un viņi gatavojās dot man naudu! Tas bija labāk nekā dzīvot pie vecākiem.
Tāpēc es iestājos maģistrantūrā, un universitātei bija kiberaizsardzības klubs. Kiberaizsardzības kluba kapteinis šķita patiešām interesants, un es gribēju uzzināt vairāk par viņu. Tātad, neko nezinot par kiberdrošību, es iestājos kiberdrošības klubā un mēs sacentāmies Vidusatlantijas kiberaizsardzības sacensībās. Nu es uzzināju, ka kiberdrošība ir daudz interesantāka nekā puisis, bet es atradu arī to, ko vēlos darīt ar savu dzīvi.
Q2 - Kāda bija jūsu iedvesma un motivācija grāmatas “Iespiešanās pārbaude” uzrakstīšanai?
Es gribēju uzrakstīt grāmatu, kas man bija vēlme, kad es sāku iesākumā. Kad es pirmo reizi sāku un mēģināju iemācīties tik daudz no tā, kas bija pieejams mācību veidā, un guvu tik daudz iepriekšēju zināšanu, ka es darīju tehnisko ekvivalentu, meklējot visus vārdus vārdnīcā. Tad šie vārdi bērnu vārdnīcā, lai pat iegūtu priekšstatu par to, kā viss darbojās daudz mazāk, kāpēc viņi strādāja.
Lūdzot palīdzību, es saņēmu daudz skaidrojumu, nevis “Izkāp no n00b” vai “Izmēģini grūtāk!”. Es gribēju atvieglot tiem, kas man sekoja, un aizpildīt šo plaisu ar manu grāmatu.
Q3 - Cik interesants ir nosaukums, pastāstiet mums par savu uzņēmumu Bulb Security un kā tas viss sākās?
Man faktiski ir divi uzņēmumi Shevirah Inc. un Bulb Security LLC. Es sāku Bulb, kad saņēmu DARPA Cyber Fast Track stipendiju viedtālruņu Pentest ietvara izveidošanai, un pēc tam man tika izteikts aizrādījums par to, ka viņam ir pārdrošība patstāvīgi pieteikties uz dotāciju.
Papildus pētniecības projektiem es šajā laikā arī uzbūvēju konsultāciju biznesu, kas aptver iespiešanās testēšanu, apmācību, reverso inženieriju un pat patentu analīzi. Savā bagātīgajā brīvajā laikā esmu arī Merilendas universitātes koledžas un Tulānas universitātes profesors.
Es sāku Shevirah, kad pievienojos Mach37 starta paātrinātājam, lai produktīvi veiktu darbu mobilajā un lietu interneta izplatības testēšanā, pikšķerēšanas simulācijā un profilaktiskā kontroles pārbaudē, lai paplašinātu savu redzesloku no palīdzības citiem pētniekiem līdz palīdzībai uzņēmumiem labāk izprast viņu mobilos un IoT drošības poza un kā to uzlabot.
Q4 - Nu, pastāstiet mums par aizraujošāko laiku, kad jūs tiešām jutāties lepns par savu darbu kā Penetration Tester.
Katru reizi, kad iekļūstu, it īpaši jaunā veidā, notiek tikpat steigas kā pirmo reizi. Kas man arī lepojas, ir tas, ka mums ir atkārtoti klienti, kuri ne tikai fiksēja visu, ko atradām pirmo reizi, bet arī turpināja paaugstināt savu drošības pozu, jo laika posmā starp testiem kļuva zināmas jaunas ievainojamības un uzbrukumi.
Lai redzētu klientu ne tikai ielāgojot to, ar ko es iekļuvu, bet arī izveidotu nobriedušāku drošības pozu uzņēmumam kopumā, tas nozīmē, ka es esmu daudz vairāk ietekmējis, nekā tikai parādījis viņiem, ka varu iegūt domēna administratoru ar Saindēšanās ar LLMNR vai EternalBlue.
Q5 - kādus ieteikumus vai karjeras ieteikumus jūs vēlētos sākt ceļojumā ētiskas uzlaušanas un iespiešanās testēšanas jomā? Tas var būt jebkurš tiešsaistes kursu ieteikums, sertifikāti vai izglītības grāds šajā jautājumā.
Es, protams, ieteiktu savu grāmatu “Iespiešanās pārbaude”: praktisks ievads Datorurķēšanā. Es arī iesaku iesaistīties vietējās hakeru sanāksmēs vai konferencēs, piemēram, vietējā DEF CON grupas nodaļā vai drošības BSides. Tas ir lielisks veids, kā satikt potenciālos mentorus un sakarus nozarē. Es arī ieteiktu veikt pētījumu projektu vai klasi.
Šīs ir sacensības, kas, pirmkārt, mani ieveda #infosec. Visā valstī notiek sacensības reģionos, kā arī tiek uzvarēti valstspiederīgie. Laba vieta, kur ievietot savus informatīvos dolārus un brīvprātīgo stundas. https://t.co/TcNLC7r8tV
- Džordžija Veidmena (@georgiaweidman), 2019. gada 28. februāris
Tik daudz cilvēku domā, ka drošības izpēte ir tumšā maģija, kurai ir vajadzīgas izcilas zināšanas par bootloader iekšējo darbību, taču vairumā gadījumu tas tā nav. Pat ja jūs tikai sākat darbu, ikvienam ir prasmju kopums, kas būtu noderīgs citiem jomā, ar kuru viņi var dalīties. Varbūt jūs lieliski protat formatēt Word vai jums ir vairāku gadu pieredze kā Linux sistēmas administratoram?
6. jautājums. Vai vēlaties mūsu auditorijai, kurai rūp savas tiešsaistes privātums un drošība, piedāvāt kādu drošības programmatūru, papildinājumus, paplašinājumus utt.? Vai ir kādas drošas metodes maksimālai tiešsaistes aizsardzībai?
Ņemot vērā, ka daļa no mana biznesa apstiprina preventīvu risinājumu efektivitāti, es esmu pārliecināts, ka jūs sapratīsit, ka man ir jāpaliek pārdevēja agnostiķim intervijās. Ir svarīgi atzīmēt, ka nav tādas lietas kā droša drošība. Patiesībā es stingri uzskatu, ka preventīvas drošības pārdevēju mārketinga stratēģija “Ja instalējat mūsu programmatūru (vai ievietojat mūsu kasti savā tīklā), jums vairs nevajadzēs uztraukties par drošību”, ir daudzu augsta līmeņa pārkāpumi, kurus mēs šodien redzam.
Uzņēmumi, kurus ir informējuši šie tā saucamie ekspertu pārdevēji, izmet daudz naudas drošības problēmai, bet neņem vērā tādas lietas kā lāpīšana un pikšķerēšanas izpratne, jo viņu pārdevēji teica, ka viņiem tas viss ir segts. Un, kā mēs atkal un atkal redzam, neviens preventīvs risinājums neapturēs visu.
7. jautājums. No Hacker viedokļa, cik grūti ir uzlauzt kādu, ja viņu viedierīcē darbojas VPN? Cik efektīvi ir VPN? Vai jūs izmantojat kādu?
Tāpat kā šajās dienās lielākajā daļā uzbrukumu, arī lielākajā daļā mobilo uzbrukumu tiek veikta sava veida sociālā inženierija, bieži kā daļa no plašākas ekspluatācijas ķēdes. Tāpat kā profilaktisko produktu gadījumā, VPN noteikti var būt noderīgs pret dažiem uzbrukumiem un noteikti arī pret krāpšanos, taču, kamēr mobilo sakaru lietotāji lejupielādē ļaunprātīgas programmas, pārvaldības profilus utt. Un savās viedajās ierīcēs atver ļaunprātīgas saites, VPN var tikai iet tik tālu.
Es mudinātu lietotājus izmantot VPN, īpaši publiskajos tīklos, kā arī, protams, citus drošības produktus. Es tikai vēlētos, lai lietotāji turpina būt modri attiecībā uz savu drošības pozu, nevis paļauties tikai uz šiem produktiem, lai tos aizsargātu.
8. jautājums - ņemot vērā viedo ierīču eksponenciālo uzplaukumu un neticamo attīstību IOT jomā, kādi, jūsuprāt, ir potenciālie drošības draudi un ievainojamības, kas, visticamāk, tiks atzīmēti?
Es uzskatu, ka draudi mobilajām ierīcēm un IoT ir tādi paši kā tradicionālajām ierīcēm ar vairāk ieejas un izejas punktiem. Windows datorā pastāv attālu koda izpildes uzbrukumu draudi, kad lietotājam nekas nav jādara, lai uzbrukums būtu veiksmīgs, klienta puses uzbrukumi, kad lietotājam ir jāatver ļaunprātīgs fails, piemēram, Web lapa, PDF, izpildāmi utt. Ir arī sociālās inženierijas uzbrukumi un vietējo privilēģiju saasināšanās.
Trūkst ielāpu, paroles ir viegli uzminēt, trešo personu programmatūra ir nedroša, saraksts turpinās. Mobilajā un IoT mēs risinām šīs pašas problēmas, izņemot tikai vadu vai bezvadu savienojuma vietā, tagad mums ir mobilais modems, Zigbee, Bluetooth, Near Field Communication, tikai dažus nosaucot par iespējamiem uzbrukuma vektoriem, kā arī iespējas apiet visus ieviesta datu zaudēšanas novēršana. Ja konfidenciālus datus no datubāzes sifonē ar apdraudētu mobilo ierīci un pēc tam ar īsziņu nosūta uz mobilo tīklu, visas pasaules profilaktiskās tehnoloģijas tīkla perimetrā to neuztver. Tāpat mums ir vairāk nekā jebkad agrāk, kā lietotāji var būt sociāli izstrādāti.
Tagad e-pasta un tālruņa zvana vietā mums ir SMS, sociālie mediji, piemēram, Whatsapp un Twitter, QR kodi, to neskaitāmo veidu saraksts, uz kuriem lietotājs var tikt vērsts, lai atvērtu vai lejupielādētu kaut ko ļaunprātīgu.
9. jautājums - Vai ir kādas drošības konferences, kuras jūs gaidāt? Ja jā, tad kas tie ir?
Man arī patīk redzēt jaunas vietas un satikt jaunus cilvēkus. Tāpēc es vienmēr esmu gatavs ceļot uz svešām zemēm konferenču rīkošanai. Šogad esmu uzaicināts uz RastacCon galveno sarunu! Jamaikā. Pagājušajā gadā man bija lielisks laiks, apmeklējot Salvadoru, Brazīliju, vadot vienu no Roadsec konferencēm. Arī šogad es uzstājos ar Carbon Black Connect, kas man ir piemērota vieta, kur es strādāju, lai biznesa pasaulē kļūtu tikpat pazīstams kā es esmu infosec pasaulē. Neskatoties uz to, ka viņi atrodas karstā un pārpildītā Lasvegasā, infosec vasaras nometne (Blackhat, Defcon, BSidesLV, kā arī citi pasākumi vienlaikus) ir lielisks veids, kā piezvanīt daudziem nozares pārstāvjiem un redzēt, kādi viņi ir bijuši. uz.
Q10- Kādi ir jūsu nākotnes plāni? Vai jūs rakstīsit vēl vienu grāmatu? Dibināt citu uzņēmumu? Esošā mērogošana? Ko Džordžija Veidmena vēlas sasniegt tālāk savā dzīvē?
Es šobrīd beidzu iespiešanās pārbaudes otro izlaidumu: praktisks ievads Datorurķēšana. Es noteikti nākotnē vēlētos rakstīt papildu iesācējiem draudzīgas tehniskās grāmatas. Lai arī līdz šim esmu veicis tikai pāris investīcijas eņģelī, es ceru, ka nākotnē varētu ieguldīt un konsultēt citus startup dibinātājus, īpaši tādus tehniskos dibinātājus kā es, un darīt vairāk, lai atbalstītu sievietes un minoritātes inosec.
Es esmu daudz iemācījies veikt startēšanu, bet esmu arī viena no retajām šķirnēm, kas patiešām vēlas tikai veikt drošības pētījumus. Pēc starta es iedomājos sevi tikai kādu laiku veikt drošības pētījumus pilnu darba laiku. Pilnīgi nav saistīts ar tehnoloģijām, bet, ja jūs man sekojat līdzi sociālajos medijos, jūs, iespējams, pamanījāt, ka es sacenšos jāšanas sporta pasākumos, tāpēc šogad mans zirgs Tempo un es ceru uzvarēt Virdžīnijas zirgu izstāžu asociācijas finālā. Ilgākā laika posmā es gribētu vairāk laika un resursu veltīt glābšanas zirgu pieskaņošanai pelnītajiem īpašniekiem un jūras bruņurupuču glābšanai.
“ Drošību nevar noteikt tikai ar profilaktiskiem līdzekļiem. Pārbaude ir nepieciešama un bieži aizmirsta drošības sastāvdaļa. Kā īsts uzbrucējs ielauzīsies jūsu organizācijā? Vai viņi spēs apiet jūsu preventīvo risinājumu? (Padoms: jā.) ”- Džordžija Veidmena
