JК
Искусство вторжения :: Митник Кевин
Страница: 189 из 415Является ли эта проверка чисто технической атакой, чтобы посмотреть, смогут ли проверяющие получить доступ к важной информации, найдя незащищенные участки системы или пробравшись через межсетевой экран? Или это проверка приложений общедоступного Интернет-сайта, или внутренней компьютерной сети, или всей системы? Должны ли быть включены в проверку атаки социальных инженеров — попытки обмануть сотрудников и получить неавторизованную информацию? А как быть с физическими атаками, в процессе которых проверяющие пытаются проникнуть в здание, обманув охрану или просочившись через вход «только для сотрудников»? А как насчет попыток получить информацию при помощи «рытья в помойках», то есть, просматривая все мусорные корзины в поисках выброшенной ценной информации? Все это должно быть оговорено заранее.
Часто компании заказывают лишь ограниченную проверку. Один из членов группы l0pht, Карлос, считает такую практику нереальной, подчеркивая, что «хакеры так не работают». Он предпочитает более агрессивный подход, как бой «без перчаток», где нет никаких ограничений. Такой тип проверки не только более результативен и ценен для клиентов, но более привлекателен и для самих проверяющих. Как говорит Карлос, «это гораздо приятнее и интереснее». В данном случае его желания были удовлетворены: компания «Newton» согласилась на неограниченную атаку.
Проверка безопасности по сути своей основана на доверии. Компания, которая приглашает людей для проверки, должна полностью доверять им, чтобы согласиться на проведение оценки безопасности. Более того, большинство бизнес-компаний и правительственных агентств требуют заключения соглашения о неразглашении ( N D A — non disclosure agreement), чтобы законным образом защитить всю свою информацию от неавторизованного раскрытия.
Для проверяющих вполне естественно подписывать NDA. поскольку они вполне могут добраться до секретной информации. (Конечно, N D A кажется чрезмерной предосторожностью: если компания без разрешения использует информацию одного клиента, то она, скорее всего, лишится всех остальных. Тем не менее — береженого Бог бережет, как говорится). Кроме того, проверяющих просят подписать еще одну бумагу о том, что они попытаются не нарушать текущего бизнеса компании.
Часто компании заказывают лишь ограниченную проверку. Один из членов группы l0pht, Карлос, считает такую практику нереальной, подчеркивая, что «хакеры так не работают». Он предпочитает более агрессивный подход, как бой «без перчаток», где нет никаких ограничений. Такой тип проверки не только более результативен и ценен для клиентов, но более привлекателен и для самих проверяющих. Как говорит Карлос, «это гораздо приятнее и интереснее». В данном случае его желания были удовлетворены: компания «Newton» согласилась на неограниченную атаку.
Проверка безопасности по сути своей основана на доверии. Компания, которая приглашает людей для проверки, должна полностью доверять им, чтобы согласиться на проведение оценки безопасности. Более того, большинство бизнес-компаний и правительственных агентств требуют заключения соглашения о неразглашении ( N D A — non disclosure agreement), чтобы законным образом защитить всю свою информацию от неавторизованного раскрытия.
Для проверяющих вполне естественно подписывать NDA. поскольку они вполне могут добраться до секретной информации. (Конечно, N D A кажется чрезмерной предосторожностью: если компания без разрешения использует информацию одного клиента, то она, скорее всего, лишится всех остальных. Тем не менее — береженого Бог бережет, как говорится). Кроме того, проверяющих просят подписать еще одну бумагу о том, что они попытаются не нарушать текущего бизнеса компании.