Obéissant aux dix commandements de piratage éthique

Ces commandements ne sont pas ramenés du mont Sinaï, mais tu suivez ces commandements shouldst tu décidez de devenir un partisan de la doctrine de piratage éthique.

Tu mettras tes objectifs

Votre évaluation de la sécurité d'un réseau sans fil doit chercher des réponses à trois questions fondamentales:

• Qu'est-ce qu'un intrus peut le voir sur les points d'accès de la cible ou de réseaux?

• Qu'est-ce qu'un intrus peut faire avec cette information?

• Est-ce que quiconque à la cible remarqué les tentatives de l'intrus - ou succès?

Vous pouvez fixer un objectif simpliste, comme la recherche de points d'accès sans fil non autorisés. Ou vous pourriez fixer un objectif qui vous oblige à obtenir des informations à partir d'un système sur le réseau câblé. Quoi que vous choisissiez, vous devez formuler votre objectif et de le communiquer à vos sponsors.

Impliquer les autres dans votre établissement d'objectifs. Si vous ne le faites pas, vous trouverez le processus de planification très difficile. Le but détermine le plan. Pour paraphraser la réponse du chat du Cheshire à Alice: «Si vous ne savez pas où vous allez, n'importe quel chemin vous y mènera." Les parties prenantes, y compris dans le processus d'établissement d'objectifs seront de renforcer la confiance qui va payer au centuple plus tard.

Tu planifier ton travail, de peur que tu aller hors cours

Peu, sinon aucun d'entre nous, ne sont pas liés par un ou plusieurs contraintes. L'argent, le personnel, ou le temps peut vous contraindre. Par conséquent, il est important pour vous de planifier vos tests.

En ce qui concerne votre plan, vous devez faire ce qui suit:

1. Identifier les réseaux que vous souhaitez tester.

2. Spécifiez l'intervalle d'essai.

3. Indiquez le processus de test.

4. Élaborer un plan et le partager avec toutes les parties prenantes.

5. Obtenir l'approbation du plan.

Partagez votre plan. Socialiser avec autant de personnes que vous le pouvez. Ne vous inquiétez pas que beaucoup de gens savent que vous allez pirater le réseau sans fil. Si votre organisation est comme la plupart des autres, alors il est peu probable qu'ils puissent lutter contre l'inertie organisationnelle de faire quelque chose pour bloquer vos efforts. Il est important, cependant, de se rappeler que vous ne voulez faire vos tests dans des conditions "normales".

Tu obtenir la permission

Quand vous faites le piratage éthique, ne suivez pas le vieux dicton que «demander pardon est plus facile que de demander la permission." Non demander la permission peut vous débarquer en prison!

Vous devez obtenir votre autorisation écrite. Cette autorisation peut représenter la seule chose entre vous et un costume noir et blanc à rayures mal ajustées et un long séjour à l'Hôtel Heartbreak. Il devrait indiquer que vous êtes autorisé à effectuer un test, selon le plan. Il faut dire aussi que l'organisation «se tenir derrière vous" au cas où vous êtes criminellement accusé ni poursuivi. Cela signifie qu'ils vont fournir un soutien juridique et organisationnel aussi longtemps que vous restez dans les limites du plan d'origine (voir Commandement Deux).

Tu travailleras éthique

Le terme éthique dans ce contexte signifie travailler professionnellement et avec bonne conscience. Vous devez ne rien faire qui ne figure pas dans le plan approuvé ou qui a été autorisée après l'approbation du plan.

Comme un hacker éthique, vous êtes lié à la confidentialité et de non-divulgation des informations que vous découvrez, et qui comprend les résultats de la sécurité-test. Vous ne pouvez pas divulguer quoi que ce soit à des personnes qui ne le font pas "besoin de savoir." Ce que vous apprenez pendant votre travail est extrêmement sensible - vous ne devez pas ouvertement partager.

Vous devez également vous assurer que vous êtes en conformité avec la gouvernance de votre organisation et les lois locales. Ne pas effectuer une bidouille éthique lorsque votre politique interdit expressément - ou lorsque la loi le fait.

Tu tenir des registres

Les principaux attributs d'un hacker éthique sont la patience et de la rigueur. Faire ce travail exige des heures penchés sur un clavier dans une pièce sombre. Vous pourriez avoir à faire quelques-dehors des heures de travail pour atteindre vos objectifs, mais vous ne devez pas porter des vêtements de pirate et boire Red Bull. Qu'est-ce que vous avez à faire est de garder à trimer jusqu'à ce que vous atteignez votre objectif.

Une des caractéristiques de professionnalisme est de garder des dossiers adéquats pour appuyer vos conclusions. En gardant papier ou des notes électroniques, procédez comme suit:

• Connectez-vous tout le travail accompli.

• Enregistrer toutes les informations directement dans votre journal.

• Gardez une copie de votre journal.

• Document - et la date - chaque test.

• Gardez dossiers factuels et d'enregistrer tous les travaux, même si vous pensez que vous étiez pas réussi.

Tu respecter la vie privée d'autrui

Traiter l'information recueillie avec le plus grand respect. Vous devez protéger le secret des renseignements confidentiels ou personnels. Toutes les informations que vous obtenez lors de votre test - par exemple, des clés de chiffrement ou des mots de passe en texte clair - doit être maintenu privé. Ne pas abuser de votre autorité-utiliser de façon responsable. Cela signifie que vous ne serez pas fouiner dans les dossiers confidentielles de l'entreprise ou la vie privée. Traiter l'information avec le même soin que vous donneriez à vos propres renseignements personnels.

Tu ne feras pas de mal

Rappelez-vous que les mesures que vous prenez peuvent avoir des répercussions imprévues. Il est facile de se laisser prendre dans le travail gratifiant de piratage éthique. Vous essayez quelque chose, et ça marche, de sorte que vous continuez. Malheureusement, ce faisant, vous pouvez facilement causer une panne de quelque sorte, ou empiéter sur les droits de quelqu'un d'autre. Résistez à l'envie d'aller trop loin et coller à votre plan initial.

Aussi, vous devez comprendre la nature de vos outils. Bien trop souvent, les gens sautent sans vraiment comprendre les implications de l'outil. Ils ne comprennent pas que la mise en place d'une attaque pourrait créer un déni de service. Détendez-vous, prenez une profonde respiration, définir vos objectifs, planifier votre travail, sélectionnez vos outils, et (oh yeah) lire la documentation.

Tu utiliser un processus «scientifique»

Votre travail devrait recueillir une plus grande acceptation lorsque vous adoptez une méthode empirique. Une méthode empirique a les attributs suivants:

• Fixer des objectifs quantifiables: L'essence de la sélection d'un but est que vous savez quand vous avez atteint il. Choisissez un objectif que vous pouvez quantifier: associer avec dix points d'accès, les clés de chiffrement cassées ou un fichier à partir d'un serveur interne. Objectifs de temps quantifiable, comme tester vos systèmes pour voir comment ils se tiennent jusqu'à trois jours d'attaque concertée, sont également bonnes.

• Tests sont constants et reproductibles: Si vous numérisez votre réseau deux fois et obtenez des résultats différents à chaque fois, ce ne sont pas compatibles. Vous devez fournir une explication à l'incohérence, ou le test est invalide. Si nous répétons votre test, nous obtiendrons les mêmes résultats? Lorsqu'un test est reproductible ou reproductible, vous pouvez conclure avec certitude que le même résultat se produira, peu importe combien de fois vous reproduire.

• Des tests sont en cours de validité au-delà du "maintenant" laps de temps: Lorsque vos résultats sont vraies, votre organisation recevra vos tests avec plus d'enthousiasme si vous avez abordé un problème persistant ou permanente, plutôt que d'un problème temporaire ou transitoire.

Tu ne convoiteras pas les outils de ton voisin

Peu importe la façon dont de nombreux outils que vous pouvez avoir, vous découvrirez de nouveaux. Les outils de piratage sans fil sont monnaie courante sur Internet - et plus sortent tout le temps. La tentation de les saisir est féroce.

Dès le début, vos choix de logiciels à utiliser pour ce «passe-temps fascinant" étaient limitées. Vous pouvez télécharger et utiliser Stumbler réseau, communément appelé NetStumbler, sur une plate-forme Windows, ou vous pouvez utiliser Kismet sur Linux. Mais ces jours-ci, vous avez beaucoup plus de choix: aérosols, Airosniff, Airscanner, APsniff, BSD-airtools, dstumbler, Gwireless, iStumbler, KisMAC, MacStumbler, MiniStumbler, Mognet, PocketWarrior, PocketWiNc, le THC-ornière, THC-Scan, THC WarDrive, rayonner, WarLinux, Wellenreiter WiStumbler et Wlandump, pour en nommer quelques-uns. Et ce sont seulement celles qui sont libres. Si vous avez un temps illimité et le budget, vous pouvez utiliser tous ces outils. Au lieu de cela, choisir un outil et rester avec elle.

Tu signaler tous tes conclusions

Si la durée de votre test prolonger au-delà d'une semaine, vous devez fournir les mises à jour d'avancement hebdomadaires. Les gens deviennent nerveux quand ils savent que quelqu'un tente de percer dans leurs réseaux ou de systèmes et ils ne entendre les personnes qui ont été autorisés à le faire.

Vous devez planifier à signaler tout vulnérabilités à haut risque découverts pendant les tests dès qu'ils se trouvent. Ceux-ci inclus

• violations découvertes

• vulnérabilités connues avec - et élevés - taux d'exploitation

• vulnérabilités sont exploitables pour un accès complet, sans surveillance, ou introuvable

• vulnérabilités qui peuvent mettre des vies en danger immédiat

Vous ne voulez pas quelqu'un pour exploiter une faiblesse que vous connaissiez et destiné à signaler. Ce ne sera pas vous rendre populaire avec quiconque.

Votre rapport est une façon pour votre organisation afin de déterminer l'exhaustivité et la véracité de votre travail. Vos pairs peuvent revoir votre méthode, vos résultats, votre analyse et vos conclusions, et d'offrir des critiques constructives ou des suggestions d'amélioration.

Si vous trouvez que votre rapport est injustement critiqué, en suivant les Dix Commandements de l'Ethical Hacking, devrait facilement vous permettre de défendre.

Une dernière chose: quand vous trouvez 50 choses, rapport sur 50 choses. Vous ne devez pas inclure tous les 50 conclusions dans le résumé, mais vous devez les inclure dans le récit détaillé. Retenue à la source de telles informations donne une impression de la paresse, de l'incompétence, ou une tentative de manipulation des résultats des tests. Ne pas le faire.