Mama Hacker bei einem offiziellen Job: Was Pentester tun

"Pentester" - das Wort ist eigentlich nicht russisch, geliehen. Was Menschen, die nicht aus der IT stammen, in den Sinn kommt, kann ich mir leider nicht vorstellen. Deshalb nennen wir selbst „in Russland“ stolz „Penetrationstest-Spezialisten“. Was ist „Penetration“ noch und warum sollte es getestet werden? In diesem Artikel werde ich versuchen, den Schleier der Geheimhaltung für die Uneingeweihten zu öffnen.

Es gibt große Unternehmen, in denen angesehene "Onkel" arbeiten. Sie werden von Programmierern bearbeitet, die Code schreiben und manchmal Fehler machen. Die Fehlerursachen sind alltäglich: wegen Dummheit, Faulheit oder Unkenntnis der Technologie und meistens wegen brennender Fristen von Fristen, die es Ihnen nicht ermöglichen, die Anwendungslogik zu durchdenken und den Code mit Tests zu bedecken.

In einem Softwareprodukt ist jeder Fehler eine potenzielle Sicherheitsanfälligkeit. Sicherheitslücke ist bereits ein potenzielles Risiko. Und das Risiko ist irgendwie schlecht, und Sie können Geld verlieren (im Allgemeinen können Sie viele Dinge verlieren: Kundendaten, geistiges Eigentum, Ruf, aber all dies wird in Geld berechnet).

Und was denkst du? Große Onkel beschließen, Programmierer nicht zu überstürzen, sie zu sicheren Entwicklungskursen zu bringen, Zeit zu geben, um den Code zu perfektionieren und ihnen eine Fußmassage zu geben? Natürlich nicht. Große Onkel beschließen, diese Risiken zu akzeptieren (reduzieren, übertragen, versichern und viele andere Schlagworte). Im Allgemeinen drehen sich die Programme - die Lavekha ist trübe. Hacker haben ein bisschen gestohlen, und alles lief in einem Standard-Stream, aber es war vorerst so.

Im Laufe der Zeit begann die Datenmenge erheblich zu wachsen, die Arroganz der Hacker wuchs noch schneller. Der Schaden durch Hacking begann akzeptable Grenzen zu überschreiten. Außerdem begannen die Benutzer, den Wert ihrer „wichtigen“ personenbezogenen Daten zu erkennen, und dann kamen die „Jungs“ aus der Politik und begannen sich zu drehen (Abhören von Spitzenbeamten, Störung des iranischen Atomkraftwerks, Wahlbetrug, Redefreiheit, Recht auf Privatsphäre, Recht auf Vergessenheit) und schließlich "Cyberwaffen"!).

Jeder hat sofort verstanden, dass Informationssicherheit nichts für Sie ist "Khuhra-Mukhra".
Hier sagten die angesehensten Leute, dass sie natürlich böse Hacker einsperren würden (nach denen sie greifen würden), aber alle anderen müssten irgendwie für ihre Aktivitäten verantwortlich sein und die notwendigen Maßnahmen zur Informationssicherheit ergreifen. Sie gaben Anweisungen, schlugen mit einem Hammer und flohen.

Ein wichtiger Punkt für den Leser: "Unternehmen" kann natürlich sagen, dass Ihre Privatsphäre für ihn sehr wichtig ist, die Daten nicht an Dritte weitergegeben werden und jede Information von einer speziell geschulten Person geschützt wird, aber in der Tat ist dies für niemanden von Belang. Die Hauptmotive für die Gewährleistung der Informationssicherheit sind „Omas“ oder genauer gesagt:

• regulatorische Anforderungen (ansonsten hohe Geldbußen);
• verhindern, dass Hacker viel stehlen (kann zum Bankrott führen);
• einen guten Ruf behalten (damit leichtgläubige Benutzer das Geld des Unternehmens weiter tragen).

Im Allgemeinen störte zunächst niemand viel, sie entwickelten intelligente Zettel, kauften zertifizierte Geräte, stellten zertifizierte Spezialisten ein (oder kauften Zettel für ihre Mittelmäßigkeit), und auf den ersten Blick schien alles sicher zu sein. Aber wie jeder versteht, kommt ein Stück Papier im wirklichen Leben nicht davon.

Wieder kamen die „intelligenten Onkel“ zusammen und entschieden: Um sich gegen einen Angreifer zu verteidigen, muss man wie ein Angreifer denken. Nicht unbedingt selbst, Sie können diesen Prozess formalisieren, speziell ausgebildete Personen "in Jacken" einstellen und sie sich hacken lassen, und die Ausgabe wird ein neues Stück Papier sein, aber bereits ein "technischer Bericht"!

Ein „Pentester“ ist also auf einfache Weise jemand, der die Arbeit eines echten Angreifers nachahmt und dabei die Organisation auf die Möglichkeit des Eindringens (Kompromisses) und des Zugriffs auf Informationsressourcen (vertrauliche Informationen) testet.

Wie teste ich? Woher? Wo eindringen? Welche Informationen zu bekommen? Was sind die Einschränkungen? - All dies sind Details, die im Voraus vereinbart wurden.

Von außen scheint es, dass die Arbeit einfach und hochbezahlt ist und der Markt nicht mit Spezialisten gesättigt ist. Daher geht der Trend dahin, dass viele Studenten zu „coolen Hackern“ werden möchten, die zu Hause auf der Couch sitzen und ein paar Tasten drücken und IT-Giganten hacken. Aber ist es so einfach?

Lebenserfahrung

Pentester ist nicht nur ein Tester, es ist besser, nicht von der Schulbank hierher zu gehen, ohne Erfahrung als Angestellter eines regulären Unternehmens oder eines Lieferantenunternehmens zu haben .

Sie müssen durch die Schule des Lebens gehen, Beispiele:

• Erklären Sie dem Buchhalter, dass der Drucker nicht funktioniert, weil das Kabel nicht an den Computer angeschlossen ist.
• Erklären Sie dem Finanzdirektor des Unternehmens, dass das Schreiben eines Passworts auf einen Aufkleber auf einem Computer sehr schlecht ist.
• Installieren Sie Software mit Mindestanforderungen von 4 GB auf einem Computer mit 256 MB RAM.
• Richten Sie das Unternehmensnetz auf Heimroutern so ein, dass alles fliegt.
• Warten Sie einige Monate, um sich auf den Zugang zu einem einfachen Informationssystem zu einigen.
• Entwicklung einer Informationssicherheitsrichtlinie in wenigen Tagen durch Herunterladen von „Fisch“ aus dem Internet;
• Bitten Sie Gott, das Programm zu kompilieren und ohne Änderungen im Code Erfolg zu haben.
• Machen Sie die Arbeit zweimal schneller als geplant und erhalten Sie noch mehr Arbeit anstelle des Preises.
• usw.

Andernfalls bleibt Ihr gesamter Bericht, ohne die tatsächliche Praxis und Persönlichkeit des Kunden zu verstehen, ein schönes Stück Papier, und die Empfehlungen werden niemals erfüllt.

Es ist normalerweise nicht schwierig, ein „Loch“ in einem mehrtausendsten Unternehmen zu finden, aber ohne Lebenserfahrung wird es schwierig sein, andere Systeme vollständig zu analysieren und zu knacken, ohne zu verstehen:

• Wie wurde es gebaut? (qualitativ oder unter Substanzen)
• Warum so? (Faulheit, Budget, Bedingungen, Personal)
• Was könnte der Entwickler / Architekt / Netzwerker vermissen?
• Warum ist niemand für das Hacken des Systems verantwortlich? (und es passiert)
• Warum will niemand Ihre überaus wichtige Sicherheitslücke beheben? (und es passiert)
• Warum kann eine kritische Sicherheitsanfälligkeit nicht in ein paar Stunden behoben werden? (Vielleicht haben die Leute gerade ihren Arbeitstag beendet und niemand bezahlt für die Verarbeitung)
• Wie einfach ist es, eine entdeckte Sicherheitsanfälligkeit zu beheben? (Vielleicht gibt es Unterstützung für abgelaufenes Outsourcing)
• Usw.

Pentester-Anforderungen

Die Anforderungen an einen solchen Spezialisten unterscheiden sich natürlich von den Anforderungen an den Astronauten. Es ist nicht erforderlich, körperlich belastbar zu sein. Sie können im Allgemeinen lange Zeit nicht vom Sofa aufstehen, aber es gibt einige eigene Nuancen.

Hier sind Beispiele für Aufgaben:

• Penetrationstests (Pentest):
  
  • externe und interne Penetrationstests;
  • Sicherheitsanalyse von Webanwendungen;
  • Sicherheitsanalyse von drahtlosen Netzwerken;
  • Penetrationstests mit Methoden der soziotechnischen Technik;
• Penetrationstests als Teil des PCI DSS-Standards.
• Entwicklung von Berichten und Empfehlungen zu den durchgeführten Tests.
• Eigene Entwicklung und Entwicklung von Kompetenzen der Abteilung im Bereich Informationssicherheit.

Beispielanforderungen:

• Das Vorhandensein einer technischen Hochschulausbildung im Bereich der Informationssicherheit.
• Kenntnisse in der Verwaltung von * nix- und Windows-Systemen, Webservern.
• Kenntnisse über Netzwerkprotokolle (TCP / IP), Sicherheitstechnologien (802.1x) sowie die Hauptschwachstellen von Netzwerkprotokollen (Arp-Spoofing, Ntlm-Relay).
• Kenntnisse über die Arbeit von Webprotokollen und -technologien (http, https, soap, ajax, json, rest ...) sowie über die wichtigsten Web-Schwachstellen (OWASP Top 10).
• Kenntnis des Marktes für Informationssicherheitsprodukte (Hersteller, Lieferanten, Wettbewerber, Entwicklungstrends, Merkmale der Nachfrage, Bedürfnisse und Erwartungen der Kunden).
• Grundlegendes zu Informationssicherheitstechnologien (WAF, VPN, VLAN, IPS / IDS, DLP, DPI usw.).
• Erfahrung mit den Programmen nmap, sqlmap, dirb, wireshark, burp suite, Metasploit, Responder, Bloodhound.
• Erfahrung mit Kali Linux OS.
• Kenntnisse der OWASP-, PCI-DSS-Methoden.
• Entwicklungserfahrung in Python, PHP, Ruby, Bash, Powershell, Java, C, Assembly.
• Grundlegendes zum Reverse Engineering verstehen.
• Die Englischkenntnisse sind nicht niedriger als die Mittelstufe.
• Chinesischkenntnisse (bald warten).

Plus:

• Erfahrung in Reverse Engineering und Malware-Analyse.
• Erfahrung in der Ausnutzung von binären Schwachstellen.
• Verfügbarkeit von Berufszertifikaten CEH, OSCP, OSZE usw.
• Teilnahme an professionellen Wettbewerben (CTF, Hackathon, Olympiaden).
• Teilnahme an Bug Bounty-Programmen.
• Haben Sie Ihren CVE.
• Rede auf Fachkonferenzen.

Von mir:

In diesem Fall interessieren sich nur wenige Menschen für das technische Genie-Soziophobie. In der Regel wird hier eine kontaktfreudige Person benötigt, die:

• Erklären Sie dem Kunden, was er wirklich will und wie es aussehen wird.
• ihre Handlungen und Empfehlungen in schriftlicher und mündlicher Form korrekt darzustellen und zu schützen;
• Wenn dies erfolgreich ist, erstellen Sie einen „Wow-Effekt“.
• Erstellen Sie im Fehlerfall einen „Wow-Effekt“ (die Minuspunkte des Pentests sind die Vorteile der Informationssicherheit).
• stressresistent sein (es ist heiß, besonders bei versteckter Arbeit);
• Lösen Sie Aufgaben auch bei projektübergreifenden Aufgaben pünktlich.
• in einem Trend zu sein (oh ja, in einem Trend zu sein, ist die "Last" aller IT-Profis):
  • [Sie können es nicht einfach nehmen und nicht an Arbeit nach Arbeit denken].
  • Müssen sich ständig weiterentwickeln.
  • Lesen Sie Chatrooms in einem Telegramm, lesen Sie ausländische Blogs, lesen Sie Nachrichten, verfolgen Sie Twitter, lesen Sie Habr, sehen Sie sich Berichte an.
  • Lernen Sie neue Tools kennen und verfolgen Sie Änderungen in Repositorys.
  • Nehmen Sie an Konferenzen teil, sprechen Sie für sich selbst, schreiben Sie Artikel .
  • Neue Mitarbeiter schulen.
  • Zertifiziert werden.
• Nicht ausbrennen.

Pentest-Philosophie

Sie müssen nicht glauben, dass der Pentest alle Probleme aufzeigt und dass das Ergebnis eine objektive Bewertung Ihrer Informationssicherheit im Unternehmen (Produkt) ist.

Der Pentest zeigt nur, welches Ergebnis ein Team spezifischer Spezialisten unter bestimmten Bedingungen (Zeit, Ort, Modell eines Angreifers, Kompetenzen, zulässige Maßnahmen, gesetzliche Beschränkungen, Prioritäten, Mondphase ) erzielen kann, indem es die Arbeit eines Angreifers nachahmt.

Denken Sie daran: Pentester sind keine wirklichen Eindringlinge , die Diebstahl, Hacking, Erpressung, Bestechung von Mitarbeitern, Fälschung von Dokumenten, deren Einfluss und andere universelle menschliche Faktoren miteinander verbinden können. Hier wird alles 100 Mal koordiniert, die Ladung wird kontrolliert und alles ist bekannt.

Pentest ist auch Glück. Heute haben Sie es geschafft, das Administratorkennwort aus dem RAM zu extrahieren und sind für das gesamte Unternehmensnetzwerk zum Domänenadministrator gegangen. Morgen ist es noch nicht vorhanden, und nur unprivilegierter (einfacher) Zugriff wird auf den Bericht auf einem alten, für niemanden interessanten Server übertragen.

Unterschiede zu nahen Zielen

Neben den „Pentestern“ gibt es auch „Redtimer“, „Baghunter“, „Forscher“, „Auditoren“, nur Experten für Informationssicherheit - all dies kann eine Person sein oder es können verschiedene Personen sein, die sich in Bezug auf Kompetenzen nur teilweise überschneiden. Aber versuchen Sie, diese Begriffe ein wenig zu „kauen“:

"Auditor"

Diesem Spezialisten werden alle Dokumente, Netzwerkdiagramme und Gerätekonfigurationen zur Verfügung gestellt, auf deren Grundlage Schlussfolgerungen und Empfehlungen für die Organisation gemäß den besten Standards und Erfahrungen des Auditors gezogen werden. Aufgrund der Offenheit der Informationen bietet es die größte Abdeckung für alle IS-Prozesse und eine ganzheitliche Sicht auf die gesamte Infrastruktur.

Der Prüfer überprüft selten unabhängig jede Einstellung in der Organisation. In der Regel werden ihm die Informationen vom Kunden selbst zur Verfügung gestellt, manchmal veraltet oder falsch.

Es ist notwendig, die Bemühungen von Wirtschaftsprüfern und Pentestern zu kombinieren, um beide Zettel mit Geschäftsprozessen und deren Umsetzung in die Praxis zu überprüfen.

"Forscher"

Pentester in seiner reinsten Form ist kein Forscher, dafür hat er einfach keine Zeit. Mit Forscher meine ich einen Spezialisten, der einen Stand aufbauen, bestimmte Software bereitstellen und nur diese mehrere Wochen oder sogar Monate lang auf und ab untersuchen kann.

Stellen Sie sich vor, Sie stellen einen Spezialisten ein, der Ihre Unternehmensinfrastruktur testet. Er hat die ganze Zeit damit verbracht, die auf dem Computer eines Mitarbeiters installierte Software "send Valentine's" zu untersuchen. Auch wenn Sie erfolgreich sind, interessieren Sie sich nicht sehr für seine Arbeitsergebnisse.

Redimer

Redtim ist eine völlig andere Testphilosophie. Geeignet für Unternehmen mit ausgereiftem IS, die bereits Audits und Pentests durchgeführt haben, und alle Mängel wurden beseitigt.

Hier ist es einem echten Angreifer am nächsten, und der IS-Dienst der Organisation und die damit verbundenen Dienste ( SOC ...) werden bereits überprüft.

Unterschiede zum Pentest:

• Nur wenige wissen über die Arbeit Bescheid, der Rest reagiert in Echtzeit auf Angriffe.
• Die Arbeit wird verdeckt ausgeführt - Sie können nachts von Cloud-Hostern aus angreifen.
• Es ist keine Testabdeckung erforderlich. Sie können dem Pfad des geringsten Widerstands folgen und das Kennwort auf github.com finden.
• Breiterer Belichtungsbereich - 0 Tage können angewendet werden, fest im System.
• Die Arbeiten werden über einen langen Zeitraum (mehrere Monate, ein Jahr) durchgeführt und erfordern keine Eile. Hier können Sie es sich leisten, die Infrastruktur des Kunden auf erhöhten Ständen zu untersuchen, um den Einsatz von Schutzausrüstung zu minimieren.

Baghunter

Ein Baghunter mit einem Pentester zu vergleichen ist falsch - es ist wie warm mit weich, einer stört den anderen nicht. Aber für die Trennung kann ich sagen, dass Pentester eher eine Position ist. Die Arbeit beinhaltet eine Reihe von formalen Aufgaben im Rahmen einer Vereinbarung mit dem Kunden gemäß der angegebenen Methodik und unter Bildung von Empfehlungen.

Es reicht für einen Baghunter aus, ein Loch in irgendjemandem zu finden (normalerweise aus einer Liste auf der Website) und einen Fehlernachweis zu senden (Voraussetzungen, Schritte).

Wieder keine vorläufigen Vereinbarungen, keine Genehmigungen - ich habe gerade die Sicherheitsanfälligkeit gefunden und sie über die Website an den Kunden gesendet (die Website www.hackerone.com kann als Beispiel für die Website dienen). Sie können sogar sehen, wie gerade Petya es in Organisation „A“ getan hat, und es genau dort in Organisation „B“ wiederholen. Die Konkurrenz hier ist groß und „niedrig hängende Früchte“ kommen immer weniger vor. Es ist besser, es als eine Form des zusätzlichen Einkommens für den Pentester zu betrachten.

Die Spezifität des Pentests von der Integratorfirma

Dieser Abschnitt mag als Werbung erscheinen, aber Sie werden den Fakten nicht entkommen.

Jeder Pentest ist auf seine Weise einzigartig (obwohl die Technik stereotyp sein kann). Viele Faktoren machen es einzigartig, vor allem aber Menschen, ein Team von Spezialisten, deren Stil sicherlich von dem Unternehmen beeinflusst wird, in dem sie arbeiten.

So ist zum Beispiel nur Pentent selbst für ein Unternehmen wichtig, seine Ergebnisse, sie verdienen nur damit Geld. Das zweite Unternehmen möchte während des Pentests bestimmte Fehler verursachen, um seine Schutzlösung zu verkaufen. Der dritte Schwerpunkt liegt mehr auf gestörten Geschäftsprozessen, um eine ganze Reihe von Problemen aufzuwerfen und Maßnahmen zu ihrer Lösung vorzuschlagen.

Ich arbeite in einem Integrator-Unternehmen und werde über die Funktionen unserer Pentests für externe Kunden sprechen. Die Besonderheit ist, dass:

• Wir sind nicht daran interessiert, einen Pentest zum Wohle eines Pentests durchzuführen und ihn mehrere Monate lang zu dehnen.
• Die Arbeiten werden in kürzester Zeit ausgeführt, und die Ergebnisse zielen darauf ab, das tatsächliche Bild der Informationssicherheit des Kunden zu ermitteln.
• Es ist notwendig, die problematischen Geschäftsprozesse der Informationssicherheit durch Testen der wichtigsten Infrastrukturpunkte hervorzuheben. Wenn also auf 20 von 20 Computern ein veraltetes Betriebssystem erkannt wird, was bringt es dann, weitere 200 anzuzeigen? Eine vollständige Abdeckung ist häufig nicht erforderlich, und wer kann dies überhaupt garantieren?
• Nach den Ergebnissen des Pentests kann das Unternehmen sofort anbieten, ein Audit durchzuführen, Geschäftsprozesse aufzubauen, Schutzmaßnahmen vorzuschlagen, diese umzusetzen, zu begleiten und zu überwachen. In Russland können sich nicht viele Unternehmen solcher Möglichkeiten rühmen. Dies ist praktisch, wenn das gesamte Leistungspaket von einem Unternehmen mit umfassender Erfahrung in solchen Projekten bereitgestellt werden kann.

Aus Sicht der Mitarbeiter ist ein Integratorunternehmen eine Vielzahl von Projekten aller Art von Arbeiten mit kleinen und sehr großen Kunden im ganzen Land. Dies ist das Vorhandensein von Geschäftsreisen in Russland und im Ausland. Und natürlich Seite an Seite in einem Team mit Auditoren, Implementierungs-, Wartungsingenieuren, Lieferanten usw. arbeiten.

Arbeitstage

Stellen Sie sich vor, Sie arbeiten bereits als Pentester. Wie sehen Ihre Arbeitstage aus?

Von Montag bis Freitag führen Sie zusammen mit einem Kollegen einen „externen Pentest“ des Kunden1 durch. Die Arbeiten werden auf der Grundlage persönlicher Erfahrungen und internationaler Methoden unter Berücksichtigung der Besonderheiten des Kunden durchgeführt. Sie starten Scanner, erstellen eine Karte, überprüfen sie anhand von Checklisten und korrespondieren mit einem Kollegen über entdeckte Schwachstellen.

Gleichzeitig ruft ein anderes Team die Mitarbeiter des Kunden an, gibt sich als Sicherheitsdienst aus, verschickt beeindruckende Briefe mit böswilligen Anhängen. Jemand geht sogar, um Flash-Laufwerke zu werfen und Plakate auf dem Gebiet des Kunden anzubringen.

Dies ist kein Wettbewerb, interessante Schwachstellen werden hier nicht immer gefunden, Benutzer melden Passwörter nicht immer über das Telefon und Sicherheitsmaßnahmen sind nicht immer "undicht" eingerichtet, sodass nur eine Liste der durchgeführten Arbeiten in den Bericht aufgenommen werden kann, aber Sie müssen sich keine Sorgen machen, da Ihnen jeder Pentest etwas beibringt etwas Neues und zeigt interessante menschliche Faktoren.

Ein paar Mal, nachdem der Kunde die Eingabedaten durcheinander gebracht hat, verschlechtert sich die Wartungsfreundlichkeit der Dienste und die Arbeit wird ausgesetzt. Nach Anpassungen der Einschränkungen werden sie fortgesetzt. Alles ist normal. Schreiben Sie einen Bericht.

Anschließend werden Sie mit einer Geschäftsreise in die Stadt N dem „internen Pentest“ des Kunden2 zugeordnet. Einer Ihrer Kollegen kann die mobile Anwendung testen. Bei Ihrer Ankunft werden Sie zu einem separaten Büro begleitet, wo Sie einen Arbeitsplatz zur Verfügung stellen können. Sie schließen das Netzwerkkabel ruhig an den Laptop an und führen gemäß der angegebenen Vereinbarung einen „internen Pentest“ durch. Vielleicht erfassen Sie den Domänencontroller 3 Stunden nach Arbeitsbeginn über ms17-010 und sammeln den Rest der Tage andere Vektoren. Vielleicht haben Sie die ganze Woche versucht, mit der "Kerberos-Delegation von Befugnissen" auf zwei empfangenen Konten zu "spielen". IB-Mitarbeiter werden sicherlich zu Ihnen kommen und fragen, was sie gefunden haben. Bereits nach 15 Minuten erwarten Sie die Frage: „Nun? Hast du es geschafft, etwas zu knacken? ", Obwohl nmap nicht einmal" aufwärmte ". In jedem Fall haben Sie normalerweise etwas, mit dem Sie die Sicherheitskräfte überraschen können, und selbst mit einem Konto vom Drucker können Sie Exchange-Server-Backups abrufen. Weitere Berichte, Geschichten über die „große Reise“ zu Kollegen, Überraschung des Kunden, viele Empfehlungen und noch mehr Klarstellungen, aber am Ende beginnt das Unternehmen wirklich zu verstehen, dass Sicherheit ein Prozess ist, keine einmalige Maßnahme, und Sie werden von der geleisteten Arbeit begeistert sein.

Dann werden Sie einem roten Team zugeordnet, Sie fahren mit einem Kollegen in einem Auto, parken neben der Bank. Starten Sie einen Angriff auf Wi-Fi mit einem Laptop und einer speziellen Antenne. Sie sind nicht die GRU, Sie haben keine Kruste, Sie können den unvorhersehbaren Wachen wirklich einen Hut abnehmen, also ist die Antenne versteckt und Sie haben eine Legende, die Sie von Freunden erwarten.

Aber jetzt ist der WLAN-Handshake des Unternehmens empfangen, und Ihre Kollegen im Büro haben ihn bereits entbündelt und sind über das Internet zum Postfach des Top-Managers gegangen. Es ist ein Erfolg. Weitere Sammlung von Informationen, Berichten, Präsentationen.

An Wochentagen schreiben Sie außerdem Skripte, um einen Teil Ihrer Arbeit zu optimieren. Lesen Sie die Nachrichten und testen Sie neue Techniken am Stand. Parallel dazu senden Ihnen alte Kunden vor einem Monat Fragen zur Arbeit.

Ein paar Stunden am Samstag (Bearbeitungskosten werden bezahlt), Lasttests sind beim Kunden geplant, Sie lassen die Site 10 Minuten nach dem Start fallen und wissen Sie was? Schreiben Sie einen Bericht über die Ergebnisse.

In Kürze wird es einen interessanten ASU TP-Pentest und eine Reise zur IS-Konferenz auf Kosten des Unternehmens geben. Sie lassen eine Träne des Glücks fallen und fügen ein Anführungszeichen in ein neues Webformular ein.

Abschließend

Das Thema Pentests ist nicht neu, sie haben viel darüber und auf unterschiedliche Weise geschrieben (Sie können es hier und hier lesen).
An den Universitäten gibt es geeignete Disziplinen, es werden Wettbewerbe organisiert, verschiedene Konferenzen abgehalten, aber der „Hunger“ nach Personal nimmt von Jahr zu Jahr zu. Darüber hinaus wächst die Reife der Informationssicherheit vieler Unternehmen, es erscheinen immer mehr Informationsschutzinstrumente, und von Spezialisten werden hohe und vielseitige Kompetenzen verlangt. Es ist für jeden IT-Spezialisten (ganz zu schweigen von Spezialisten für Informationssicherheit) nützlich, mindestens einmal an einem echten Pentest teilzunehmen.

Und trotz der Anfänge der Automatisierung (ein Beispiel hier ) ist es unwahrscheinlich, dass in den nächsten zehn Jahren etwas eine lebende kompetente Person ersetzen wird.