Nykymaailmassa, jossa verkkohyökkäykset ja tietorikkomukset vaikuttavat suuresti isoihin ja pieniin yrityksiin, verkkoturvallisuusmenot ovat lisääntyneet nopeasti. Yritykset käyttävät miljoonia dollareita suojatakseen kyberpuolustustaan. Ja kun puhumme tieto- ja tietoturvasta, Georgia Weidman on yksi harvoista mieleen tulevista alan merkittävistä nimistä.
Georgia Weidman on eettinen hakkeri, läpäisytesteri, Shevirah Inc: n / Bulb Security LLC: n toimitusjohtaja ja kirjan “Läpäisytestaus: Käytännöllinen johdatus hakkerointiin” kirjoittaja.
Tässä on eksklusiivinen haastattelu Georgia Weidmanista Ivacy-tiimimme kanssa, jossa kysyimme joitain hänen ja kyberturvallisuuteen liittyviä kysymyksiä:
Q1 - Hei Georgia, olemme erittäin iloisia siitä, että saimme sinut ja olimme täysin vaikuttuneita tietäessään kuinka paljon olet saavuttanut lyhyessä ajassa. Mikä vie sinut tähän infosec-teollisuuteen? Kuinka aloit matkasi eettisenä hakkereina?
Menin yliopistoon varhain, klo 14 tavallisen 18 sijaan. Ja suoritin matematiikan tutkinnon, koska en halunnut olla tietoteknikko. Äitini oli yksi ja mikä teini-ikäinen haluaa olla vanhempiensa kaltainen?
Mutta silloin en oikeasti löytänyt työtä 18-vuotiaana vain kandidaatin tutkinnolla ja ilman työkokemusta, minua pyydettiin suorittamaan tietojenkäsittelytieteen maisteri, ja he aikoivat antaa minulle rahaa! Se oli parempi kuin asua vanhempieni kanssa.
Joten aloitin Masters Program ja yliopistolla oli kyberpuolustuskerho. Kyberpuolustuskerhon kapteeni näytti todella mielenkiintoiselta ja halusin oppia lisää hänestä. Joten tietämättä mitään kyberturvallisuudesta, liittyin kyberpuolustuskerhoon ja kilpailemme Mid-Atlantic Cyber Defense -kilpailussa. No, olen oppinut, että kyberturvallisuus oli mielenkiintoisempaa kuin kaveri, mutta löysin myös mitä halusin tehdä elämäni kanssa.
Kysymys 2 - Mikä oli inspiraatio ja motivaatio kirjoittaessasi kirjaasi "Läpäisytestaus"?
Halusin kirjoittaa kirjan, jonka toivin olevanani aloittaessani innostuksessa. Kun aloitin ja yritin oppia niin paljon siitä, mitä oli saatavilla opetusohjelmien muodossa, ja keräsin niin paljon aiempaa tietoa, että tein teknisen vastineen etsiessään kaikkia sanakirjan sanoja. Sitten nuo sanat lasten sanakirjasta edes saa käsityksen siitä, kuinka asiat toimivat paljon vähemmän miksi he toimivat.
Pyydettäessä apua sain paljon selityksiä pikemminkin “Get off n00b” tai “Try Harder!”. Halusin tehdä siitä helpompaa niille, jotka seuraavat minua ja täyttää sen aukon kirjani.
Kysymys 3 - niin mielenkiintoinen kuin nimi, kerro meille yrityksesi Bulb Security -laitteesta ja kuinka se kaikki alkoi?
Minulla on itse asiassa kaksi yritystä Shevirah Inc. ja Bulb Security LLC. Aloitin Bulb-ohjelman, kun sain DARPA Cyber Fast Track -apurahan älypuhelinten Pentest-kehyksen rakentamiseksi, ja minulle annettiin myöhemmin huomautus siitä, että hänellä oli varmuus hakea apurahaa itsenäisesti.
Tutkimusprojektien lisäksi rakensin tässä vaiheessa myös tunkeutumistestien, koulutuksen, käänteisen suunnittelun ja jopa patentti-analyysien konsultointiyrityksen. Runsaalla vapaa-ajallani olen myös professori Marylandin yliopiston korkeakoulussa ja Tulanen yliopistossa.
Aloitin Shevirah, kun liittyin Mach37-käynnistyskiihdyttimeen tuottaaksesi työni mobiili- ja esineiden Internetin tunkeutumisen testaamisessa, tietojenkalastelusimulaatiossa ja ennaltaehkäisevällä valvonnan validoinnilla laajentaaksesi tavoitetani auttamalla muita tutkijoita auttamaan yrityksiä ymmärtämään paremmin heidän mobiili- ja IoT-turvallisuusasento ja kuinka sitä parantaa.
Q4- No, kerro meille yksittäisestä jännittävimmästä ajasta, jolloin olit todella ylpeä työstään läpäisytestajana.
Joka kerta kun saan sisään, etenkin uudella tavalla, on sama kiire kuin ensimmäisellä kerralla. Ylpeäksi on myös se, että toistamme asiakkaita, jotka paitsi korjasivat kaiken, mitä löysimme ensimmäistä kertaa, mutta ovat myös jatkaneet turvallisuusasenteensa nostamista, kun testien välisenä aikana havaittiin uusia haavoittuvuuksia ja hyökkäyksiä.
Jos haluat nähdä asiakkaan paitsi korjaamaan sen, mihin pääsin, mutta myös rakentamaan kypsempi turvallisuusasento koko yritykselle, tarkoitan, että olen tehnyt paljon enemmän vaikutusta kuin vain osoittanut heille, että saan verkkotunnuksen järjestelmänvalvojan kanssa LLMNR -myrkytys tai EternalBlue.
Q5 - Mitä ehdotuksia tai urasuosituksia haluaisit aloittaa matkallaan eettisen hakkeroinnin ja läpäisytestien alalla? Se voi olla mikä tahansa verkkokurssiehdotus, todistus tai koulutustutkinto asiasta.
Suosittelisin tietysti kirjaani, Penetration Testing: Käytännöllinen johdanto hakkerointiin. Ehdotan myös osallistumista paikallisiin hakkereiden kokouksiin tai konferensseihin, kuten paikallisen DEF CON -ryhmän lukuun tai Security BSides -tapahtumiin. Se on loistava tapa tavata mahdollisia menttoreita ja yhteyksiä teollisuuteen. Ehdotan myös tutkimusprojektin tai luokan tekemistä.
Tämä on kilpailu, joka sai minut #infosec-tapahtumaan. Alueilla ympäri maata järjestetään kilpailuja sekä alueellisten voittajien kansalaisia. Hyvä paikka laittaa tiedotusdollarisi ja vapaaehtoistyötuntisi. https://t.co/TcNLC7r8tV
- Georgia Weidman (@georgiaweidman) 28. helmikuuta 2019
Niin monet ihmiset ajattelevat, että turvallisuustutkimus on tummaa magiaa, joka vaatii arkipäivän taitoja bootloaderin sisäisestä toiminnasta, mutta useimmissa tapauksissa niin ei ole. Vaikka olet vasta aloittamassa, jokaisella on taitojoukko, josta olisi hyötyä muille kentällä oleville, joita he voivat jakaa. Ehkä osaat muotoilla Wordissa hienosti tai sinulla on vuosien kokemus Linux-järjestelmän järjestelmänvalvojana?
Kysymys 6 - Haluatko ehdottaa joitain tietoturvaohjelmistoja, lisäosia, laajennuksia jne. Yleisöllemme, joka on huolissaan online-tietosuojastaan? Onko mitään tyhjää suojattua menetelmää maksimaalisen online-suojauksen saavuttamiseksi?
Koska osa yritystäni vahvistaa ennaltaehkäisevien ratkaisujen tehokkuutta, olen varma, että ymmärrät, että minun on pysyttävä myyjän agnostiikana haastatteluissa. On tärkeää huomata, että ei ole sellaista kuin tyhmätön turvallisuus. Itse asiassa uskon vakaasti, että ennaltaehkäisevien tietoturvatoimittajien markkinointistrategia: "Jos asennat ohjelmistomme (tai laitamme laatikkomme verkkoon), sinun ei tarvitse enää huolehtia turvallisuudesta", on monien korkean profiilin rikkomukset, joita näemme tänään.
Nämä ns. Asiantuntijayritykset ovat saaneet tietoa heistä paljon rahaa turvallisuusongelmaan, mutta unohtavat esimerkiksi korjaustiedon ja tietojenkalastelutietoisuuden, koska niiden myyjät sanoivat, että kaikki katettiin. Ja kuten näemme kerta toisensa jälkeen, mikään ennaltaehkäisevä ratkaisu ei pysäytä kaikkea.
Kysymys 7 - Hackerin näkökulmasta kuinka vaikeaa on hakkeroida jotakuta, jos heidän älylaitteellaan on käynnissä VPN? Kuinka tehokkaita ovat VPN: t? Käytätkö mitään?
Kuten useimmat hyökkäykset nykyäänkin, useimpiin mobiilihyökkäyksiin liittyy jonkinlainen sosiaalinen suunnittelu, usein osana suurempaa hyväksikäyttöketjua. Kuten ennaltaehkäisevissä tuotteissa, VPN: stä voi varmasti olla hyötyä joihinkin hyökkäyksiin ja varmasti salakuunteluun, mutta niin kauan kuin mobiilikäyttäjät lataavat haitallisia sovelluksia, hallintaprofiileja jne. Ja avaa haitallisia linkkejä älylaitteisiinsa, VPN voi vain mennä niin pitkälle.
Kannustan käyttäjiä käyttämään VPN-verkkoja, etenkin julkisissa verkoissa, samoin kuin muita tietoturvatuotteita. Haluan vain, että käyttäjät jatkavat valppauttaan turvallisuusasentoonsa sen sijaan, että luottaisivat pelkästään näihin tuotteisiin heidän suojelemiseksi.
Q8 - Älykkäiden laitteiden räjähdysmäisen nousun ja uskomattoman kehityksen kanssa IOT: n kanssa mitkä ovat mielestäsi mahdolliset tietoturvauhat ja haavoittuvuudet, jotka todennäköisesti merkitään?
Näen mobiili- ja Internet-uhkia samoina kuin perinteisiä laitteita, joissa on enemmän lähtö- ja poistumispaikkoja. Windows-tietokoneessa on etäkoodin suorittamishyökkäysten vaara, kun käyttäjän ei tarvitse tehdä mitään hyökkäyksen onnistumiseksi, asiakaspuolen hyökkäykset, joissa käyttäjän on avattava haittaohjelma, olipa kyse sitten verkkosivusta, PDF: stä, suoritettavia jne. On myös sosiaalisen insinöörin hyökkäyksiä ja paikallisten etuoikeuksien laajenemista.
Korjauksia puuttuu, salasanat on helppo arvata, kolmannen osapuolen ohjelmistot ovat epävarmoja, luettelo jatkuu. Mobiili- ja Internet-palveluissa käsittelemme näitä samoja ongelmia paitsi, että vain langallisen tai langattoman yhteyden sijasta meillä on nyt mobiili modeemi, Zigbee, Bluetooth, Near Field Communication, vain muutamia mainitakseni potentiaalisina hyökkäysvektoreina sekä keinoja ohittaa kaikki tietojen katoamisen estäminen otettu käyttöön. Jos vahingoittunut mobiililaite erottaa luottamuksellisia tietoja tietokannasta ja lähettää sitten matkapuhelinverkkoon tekstiviestinä, kaikki maailman ennaltaehkäisevä tekniikka verkon kehällä ei tartu siihen. Samoin meillä on enemmän tapoja kuin koskaan, että käyttäjät voidaan suunnitella sosiaalisesti.
Pelkän sähköpostin ja puhelun sijasta meillä on nyt tekstiviesti, sosiaalinen media, kuten Whatsapp ja Twitter, QR-koodit, luettelo lukemattomista tavoista, joihin käyttäjä voi kohdistua avaamaan tai lataamaan jotain haitallista.
Kysymys 9 - Onko odotettavissa turvallisuuskonferensseja? Jos kyllä, niin mitä ne ovat?
Haluan myös nähdä uusia paikkoja ja tavata uusia ihmisiä. Joten olen aina valmis matkustamaan vieraille maille tekemään konferensseja. Tänä vuonna minut on kutsuttu RastacCon-aloittelijaan! Jamaikalla. Viime vuonna minulla oli hieno aika vierailla Brasilian Salvadorissa käynnistäessään yhtä Roadsec-konferensseista. Myös tänä vuonna käynnistän Carbon Black Connect -sivuston, joka on hyvä paikka minulle työskennellessäni tullakseni tunnetuksi yritysmaailmassa kuin infosec-maailmassa. Infosec-kesäleiri (Blackhat, Defcon, BSidesLV sekä valikoima muita tapahtumia samanaikaisesti) on hieno tapa viettää paljon teollisuuden ihmisiä ja nähdä, mitä he ovat tehneet, vaikka olisimme lämpimässä ja tungosta Las Vegasissa. on.
Q10- Mitkä ovat tulevaisuuden suunnitelmasi? Aiotko kirjoittaa uuden kirjan? Perustettiin toinen yritys? Skaalataan olemassa oleva? Mitä Georgia Weidman haluaa saavuttaa edelleen elämässään?
Viimeistelen parhaillaan läpäisytestauksen 2. painosta: käytännön johdanto hakkerointiin. Haluaisin ehdottomasti kirjoittaa lisää aloittelijaystävällisiä teknisiä kirjoja tulevaisuudessa. Vaikka olen toistaiseksi tehnyt vain muutama enkelisijoitus, toivon kykeneväni tulevaisuudessa investoimaan muihin startup-perustajiin ja mentoroimaan niitä, erityisesti minä kuten teknisiä perustajia, ja auttamaan enemmän naisten ja vähemmistöjen tukemisessa infosec-tapauksissa.
Olen oppinut paljon käynnistyksen tekemisestä, mutta olen myös yksi harvinaisista rotuista, jotka todella haluavat vain tehdä turvallisuustutkimuksia. Käynnistyksen jälkeen kuvittelen itseni tekevän tietoturvatutkimusta kokopäiväisesti jonkin aikaa. Ei täysin tekniikkaan liittyvää, mutta jos seuraat minua sosiaalisessa mediassa, olet ehkä huomannut kilpailevani hevosurheilutapahtumiin, joten hevonen Tempo ja toivon voivani voittaa Virginia Horse Show Association -finaalin. Pidemmällä aikavälillä haluaisin käyttää enemmän aikaa ja resursseja pelastushevosten sovittamiseen ansaitseviin omistajiin ja merikilpikonnien pelastamiseen.
” Suojausta ei voida korjata pelkästään ennaltaehkäisevillä tuotteilla. Testaus on välttämätön ja usein huomioimaton osa turvallisuutta. Kuinka oikea hyökkääjä tunkeutuu organisaatioosi? Pystyvätkö he ohittamaan ennaltaehkäisevän ratkaisun? (Vihje: kyllä.) ”- Georgia Weidman
