U današnjem svijetu, gdje su velike i male tvrtke uvelike pogođene cyber napadima i kršenjem podataka, potrošnja na cyber-sigurnost naglo je narasla. Poduzeća troše milijune dolara za zaštitu svoje cyber obrane. A kad govorimo o cyber sigurnosti i informacijskoj sigurnosti, Georgia Weidman jedno je od rijetkih istaknutih imena u industriji koja pada na pamet.
Georgia Weidman je etički haker, ispitivač prodora, izvršni direktor Shevirah Inc / Bulb Security LLC i autor knjige „Probijanje prodora: Uvod u hakiranje.“
Evo ekskluzivnog intervjua Georga Weidmana s našim timom u Ivacyju gdje smo postavili neka pitanja koja se odnose na nju i Cyber Sigurnost općenito:
Q1 - Bok Georgia, super nam je drago što smo vas imali i bili smo impresionirani znanjem koliko ste postigli u kratkom vremenu. Što vas dovodi do ove infosec industrije? Kako ste započeli svoj put kao etički haker?
Na fakultet sam išla rano, s 14, umjesto uobičajenih 18. I stekla sam maturu jer nisam željela biti informatičarka. Moja majka je bila jedna i kakav tinejdžer želi biti poput njihovih roditelja?
Ali tada zapravo nisam mogao naći posao sa 18 godina sa samo diplomiranjem i bez radnog iskustva, tražili su me da napravim magisterij iz informatike, a oni će mi dati novac! To je bilo bolje nego živjeti s mojim roditeljima.
Tako sam ušao u Masters program i sveučilište je imalo klub za cyber odbranu. Kapetan kluba za cyber odbranu izgledao je zaista zanimljivo i želio sam saznati više o njemu. Dakle, ne znajući ništa o kibernetičkoj sigurnosti, pridružio sam se klubu za cyber odbranu i natjecali smo se u Srednjoatlantskom natjecanju u cyber odbrani. Pa, naučio sam da je cyber-sigurnost zanimljivija od momka, ali također sam pronašla ono što želim učiniti sa svojim životom.
Q2 - Koja je bila vaša inspiracija i motivacija za pisanje knjige "Test penetracije"?
Htio sam napisati knjigu koju sam želio da imam kada polazim u infosec. Kada sam prvi put započeo i pokušavao naučiti toliko onoga što je bilo dostupno u vezi s udžbenicima i nagomilao toliko prethodnog znanja da sam radio tehnički ekvivalent pretraživanja svih riječi u rječniku. Zatim te riječi u dječjem rječniku čak i imaju ideju o tome kako su stvari funkcionirale mnogo manje zašto rade.
Kad sam tražio pomoć, dobio sam mnogo pitanja “Skloni se n00b” ili “Pokušaj jače!” Umjesto objašnjenja. Htio sam olakšati onima koji su došli iza mene i popuniti taj jaz mojom knjigom.
Q3 - Koliko je zanimljivo ime, recite nam o svojoj tvrtki Bulb Security i kako je sve počelo?
Zapravo imam dvije tvrtke Shevirah Inc. i Bulb Security LLC. Zapalio sam žarulju kad sam dobio grant za DARPA Cyber Fast Track za izgradnju okvira za pametne telefone Smartphone, a kasnije sam dobio uvredu zbog drskosti da se samostalno kandidira.
Pored istraživačkih projekata, u ovom sam trenutku izgradio i savjetodavni posao penetracijskog testiranja, obuke, obrnutog inženjerstva, čak i analize patenata. U svoje bogatstvo, ujedno sam i profesor na University of Maryland University College i na Sveučilištu Tulane.
Započeo sam sa Shevirahom kada sam se pridružio pokretaču akceleratora Mach37 kako bih produktizirao svoj rad na testiranju prodora mobilnih uređaja i Interneta stvari, simulacije krađe identiteta i provjere preventivne kontrole kako bih proširio svoj domet pomažući drugim istraživačima da tvrtkama pomažu u boljem razumijevanju svojih mobilnih i IoT sigurnosno držanje i kako ga poboljšati.
Q4 - Pa, recite nam o jedinstvenom najuzbudljivijem trenutku kada ste se zaista osjećali ponosnim svojim poslom kao ispitivač prodora.
Svaki put kada uđem, posebno na novi način, imam isti nalet kao i prvi put. Ponosan sam i na to što imam ponavljane kupce koji ne samo da su popravili sve što smo pronašli prvi put, već su i nastavili podizati svoje sigurnosno držanje jer su nove ranjivosti i napadi postali poznati u vremenu između testova.
Ako vidim kupca ne samo da zakrpi ono što sam koristio za ulazak, nego i izgradi zrelije sigurnosno držanje za poduzeće u cjelini, znači da sam učinio puno više učinka nego što sam samo pokazao da mogu dobiti administratora domene Trovanje LLMNR-om ili EternalBlue.
Q5 - Za one koji žele započeti svoje putovanje iz područja etičkog testiranja hakiranja i prodiranja, koje prijedloge ili savjete o karijeri želite dati? U tom slučaju može biti bilo koji prijedlog internetskog tečaja, potvrda ili stepen obrazovanja.
Preporučio bih moju knjigu, testiranje na penetraciju: Uvod u Hakiranje, naravno. Također bih predlagao da se uključite u lokalne hakerske sastanke ili konferencije, poput poglavlja lokalne DEF CON grupe ili Security BSides. To je sjajan način upoznavanja potencijalnih mentora i veza u industriji. Također bih predložio istraživački projekt ili predavanje.
Ovo je natjecanje koje me u prvom redu dovelo u #infosec. U regijama diljem zemlje postoje natjecanja, kao i nacionalna država za regionalne pobjednike. Dobro mjesto za ulaganje dolara za dolazak i sate volontera. https://t.co/TcNLC7r8tV
- Georgia Weidman (@georgiaweidman) 28. veljače 2019. godine
Tako mnogi misle da je sigurnosno istraživanje mračna magija koja zahtijeva tajne vještine o unutrašnjem radu uređaja za pokretanje, ali u većini slučajeva to nije slučaj. Čak i ako tek počinjete, svi imaju skup vještina koji bi mogli biti od koristi drugima u polju koji mogu dijeliti. Možda ste izvrsni u oblikovanju Worda ili imate dugogodišnje iskustvo kao administrator Linux sustava?
Q6 - Želite li predložiti neki sigurnosni softver, dodatke, proširenja itd. Našoj publici koja je zabrinuta zbog svoje internetske privatnosti i sigurnosti? Postoje li nepromjenjive metode za maksimalnu internetsku zaštitu?
S obzirom da dio mojeg poslovanja validira učinkovitost preventivnih rješenja, siguran sam da ćete shvatiti da moram ostati zastupnik agnostik u intervjuima. Važno je napomenuti da ne postoji takva stvar kao što je bezobrazna sigurnost. Zapravo, čvrsto vjerujem da je marketinška strategija proizvođača preventivne sigurnosti, „ako instalirate naš softver (ili stavite naš okvir na vašu mrežu), više nećete morati brinuti o sigurnosti“, što je temeljni uzrok mnogih kršenja visokog profila kakva danas vidimo.
Poduzeća, nakon što su ih obavijestili takozvani stručnjaci, bacaju mnogo novca na sigurnosni problem, ali previđaju stvari poput zakrpanja i krađe identiteta jer su njihovi dobavljači rekli da su to sve pokrili. I, kako iznova i iznova vidimo, nijedno preventivno rješenje neće sve zaustaviti.
P7 - S hakerskog stajališta, koliko je teško hakirati nekoga ako na njegovom pametnom uređaju ima VPN? Koliko su učinkoviti VPN-ovi? Koristite li ih?
Kao i većina napada ovih dana, većina mobilnih napada uključuje neku vrstu društvenog inženjeringa, često kao dio većeg lanca iskorištavanja. Kao i kod preventivnih proizvoda, tako i VPN može biti od koristi protiv nekih napada i zasigurno prisluškivanja, ali sve dok mobilni korisnici preuzimaju zlonamjerne aplikacije, profile upravljanja itd. I otvaraju zlonamjerne veze na svojim pametnim uređajima, VPN može samo idi tako daleko.
Potaknuo bih korisnike da koriste VPN-ove, posebno na javnim mrežama, kao i druge sigurnosne proizvode, naravno. Samo bih želio da korisnici i dalje budno paze na svoje sigurnosno držanje, a ne da se oslanjaju samo na ove proizvode kako bi ih zaštitili.
P8 - S eksponencijalnim procvatom pametnih uređaja i nevjerojatnim razvojem na polju IOT-a, što mislite, koje su potencijalne sigurnosne prijetnje i ranjivosti koje će se najvjerojatnije obilježiti?
Prijete od mobilnog i IoT-a vidim kao iste kao kod tradicionalnih uređaja s više ulaznih i izlaznih točaka. Na Windows računalu postoji prijetnja napadima daljinskog izvršavanja koda gdje korisniku nije potrebno učiniti ništa da bi napad bio uspješan, napadi na strani klijenta kada korisnik treba otvoriti zlonamjernu datoteku bilo da se radi o web stranici, PDF-u, izvršljivi su itd. Također postoje napadi socijalnog inženjeringa i eskalacija lokalnih privilegija.
Zakrpe nedostaju, lozinke je lako pogoditi, softver treće strane je nesiguran, popis se nastavlja. U mobilnom i IoT-u bavimo se istim problemima, osim samo žičane ili bežične veze sada imamo mobilni modem, Zigbee, Bluetooth, komunikacija u blizini polja, samo da navedemo neke od potencijalnih vektora napada, kao i puteve za zaobilaženje bilo kojeg implementirana prevencija gubitka podataka. Ako se kompromitiranim mobilnim uređajem iz povjerljivih podataka sifriraju povjerljivi podaci, a zatim se SMS-om pošalju u mobilnu mrežu, sva preventivna tehnologija u svijetu na mrežnom obodu neće ih uhvatiti. Isto tako, imamo više načina nego što je ikad moguće da korisnici mogu biti društveno zasnovani.
Umjesto samo e-pošte i telefonskog poziva sada imamo SMS, društvene medije poput Whatsappa i Twittera, QR kodove, popis bezbrojnih načina na koje bi korisnik mogao biti usmjeren da otvori ili preuzme nešto zlonamjerno nastavlja se i dalje.
P9 - Postoje li sigurnosne konferencije koje se radujete? Ako da, što su onda ti?
Također volim vidjeti nova mjesta i upoznati nove ljude. Tako da sam uvijek za putovanje u strane zemlje raditi konferencije. Ove godine pozvan sam na vodstvo RastacCon-a! na Jamajci Prošle godine sam se divno proveo posjećujući Salvador u Brazilu, vodeći kao jednu od Roadsec konferencija. Također ove godine držim glavnu ulogu Carbon Black Connect, što je dobro mjesto za mene jer radim kako bih postao poznat u poslovnom svijetu kao što sam i u svijetu infoseka. Iako je u vrućem i pretrpanom Las Vegasu, ljetni kamp infosec (Blackhat, Defcon, BSidesLV, plus mnoštvo drugih događanja u isto vrijeme) je odličan način da nadoknadite puno ljudi iz branše i vidite što im se spremalo do.
P10 - Koji su vaši planovi za budućnost? Hoćete li napisati još jednu knjigu? Osnivate drugu tvrtku? Skaliranje postojećeg? Što Georgia Weidman želi postići u svom životu?
Trenutno dovršavam drugo izdanje ispitivanja prodora: Uvod u hakiranje. Definitivno bih želio ubuduće napisati dodatne tehničke knjige prilagođene početnicima. Iako sam dosad učinio samo nekoliko anđeoskih ulaganja, nadam se da ću moći ubuduće ulagati i mentorirati druge osnivače startupa, posebno tehničke osnivače poput mene, i činiti više na podršci ženama i manjinama u infoscu.
Puno sam naučio od pokretanja, ali također sam jedna od onih rijetkih pasmina koje se samo žele baviti sigurnosnim istraživanjima. Nakon pokretanja, zamišljam da upravo neko vrijeme provodim istraživanje o sigurnosti. Potpuno nije povezano s tehnologijom, ali ako me pratite na društvenim medijima, mogli ste primijetiti da se natječem u konjičkim disciplinama, tako da ću ove godine moj konj Tempo i nadam se pobijediti u finalu Virginia Horse Show Association. Dugoročno, želio bih posvetiti više vremena i resursa usklađivanju spasilačkih konja s zaslužnim vlasnicima i spašavanju morskih kornjača.
" Ne možete popraviti sigurnost samo preventivnim proizvodima. Testiranje je nužan i često previdan dio sigurnosti. Kako će pravi napadač provaliti u vašu organizaciju? Hoće li oni moći zaobići vaše preventivno rješenje? (Savjet: da.) ”- Georgia Weidman
