차례:
비디오: Hì i í ì i í i i ì í ì (십월 2024)
대부분의 IT 전문가는 네트워크가 해커로부터 보호된다는 가정하에 하루 중 어느 날이라도 통과 할 수 있습니다. 당신이 그 중이라면 모든 기본 사항이 만족되어 임의의 임의의 소시 오 패스가 네트워크에 로그인 할 수없고, 중요한 정보를 유출하고, 멀웨어를 심은 후 떠날 수도 있습니다. 질문은 확실합니까?
요컨대, 약점의 위치를 알 수 있도록 해킹을 당하고, 흰 모자 해커가 찾은 것을 고쳐야합니다. 화이트 햇 해커는 실제 나쁜 사람이나 블랙 햇 해커를 포함하지 않고 네트워크 보호 품질을 테스트하려는 경우 사용하는 해커입니다. 화이트 햇 해커가하는 일은 네트워크의 방어력을 조사하고 보안을 평가하고 기록하는 것입니다. 이를 침투 테스트 또는 "펜 테스트"라고하며 많은 IT 전문가가 인식하지 못하는 것은 고가의 전문가를 즉시 고용하지 않아도된다는 것입니다. 침투 테스트의 기초를 스스로 시작할 수 있습니다.
2018 년 IT 및 보안 전문가를위한 최우선 과제
(이미지 크레디트: Statista)
침투 테스트: 해킹에 대한 실습 소개 저자 인 Georgia Weidman은“가장 중요한 것은 실제로 취약성 평가, 위험 평가입니다. Weidman은 침투 테스트 전문 보안 회사 인 Shevirah의 설립자이자 CTO (Chief Technology Officer)입니다. "그들은 간과되고있다. 기업은 기본적인 취약점이있을 때 침투 테스트에 많은 돈을 낭비한다." 그녀는 조직이 가장 먼저해야 할 일은 기본적인 취약점 테스트를 수행 한 다음 침투 테스트로 넘어 가기 전에 취약점을 해결하는 것이라고 말했습니다. "침투 테스트는 첫 단계가되어서는 안된다"고 그녀는 말했다.
또한 Weidman은 피싱 및 사회 공학에 대한 교육을 포함하여 회사가 보안 인식의 첫 단계를 밟을 것을 제안했습니다. 그녀는 누군가가 액세스 권한을 얻기 위해 자격 증명을 제공하더라도 가장 안전한 네트워크에 여전히 침투 할 수 있다고 지적했습니다. 이것들은 실제 테스트를 시작하기 전에 좋은 침투 테스터가 확인해야 할 모든 것입니다.
Weidman은 "직원들이 보안 인식에 대한 교육을 얼마나 잘 받는지에 관심이 있다면 자신의 피싱 테스트를 설정하십시오"라고 말했다. "당신은 그것을하기 위해 누군가에게 돈을 지불 할 필요가 없으며, 사람들이 들어가는 가장 큰 방법 중 하나입니다." 그녀는 문자 메시지와 소셜 미디어를 통해 피싱을 사용한다고 말했다.
비밀번호 테스트
웨이드 먼은 다음 단계는 조직의 비밀번호와 신원 관리 기능을 테스트하는 것이라고 말했다. "암호의 Active Directory 해시를 다운로드하여 암호 테스터로 테스트하십시오. 이는 침투 테스트에서 수행하는 작업입니다."라고 그녀는 말했습니다.
Weidman에 따르면 암호 테스트를위한 중요한 도구로는 Hashcat과 John the Ripper 암호 크래커가 있으며 침투 테스트에 일반적으로 사용된다고합니다. 그녀는 Microsoft Azure Active Directory에서 비밀번호를 확인하는 것 외에도 Wireshark와 같은 네트워크 프로토콜 분석기를 사용하여 네트워크에서 스니핑 할 수 있다고 말했습니다. 여기서 목표는 사용자가 자격 증명에 "암호"와 같이 쉽게 추측 할 수있는 암호를 사용하지 않도록하는 것입니다.
네트워크 트래픽을 검사하는 동안 LLMNR (Link-Local Multicast Name Resolution)을 찾아 가능한 경우 비활성화해야합니다. Weidman은 LLMNR을 사용하여 비밀번호 해시를 캡처 할 수 있다고 말했다. "나는 네트워크에서 듣고 해시를 얻은 다음 해킹했다"고 말했다.
컴퓨터 인증
Weidman은 일단 암호를 해독 한 후에는 암호를 사용하여 네트워크의 시스템을 인증한다고 말했다. "모두의 이미지가 동일하기 때문에 로컬 관리자가있을 수 있습니다."라고 그녀는 말했습니다. "도메인 관리자가 있습니다."
Weidman은 관리자 자격 증명을 받으면이를 사용하여 컴퓨터의 비밀 영역으로 들어갈 수 있습니다. 그녀는 때때로 보조 인증이 있기 때문에 암호를 해독해야한다고 말했습니다.
Weidman은 자신의 침투 테스트를 수행한다면 조심해야한다고 말했다. "침투 테스트를 할 때 아무것도 깨지 않기 위해 나아 간다"고 덧붙였다. "아무것도 잘못되지 않을 것이라는 100 % 확신이 없습니다."
멀웨어 다운로드 방지
Weidman은 매우 유용한 침투 테스트 도구 중 하나는 Metasploit 무료 버전이지만, 악성 코드를 포함 할 수 있기 때문에 인터넷에서 익스플로잇을 다운로드하지 않도록주의합니다. "우연히 자신을 공격하지 마십시오"라고 그녀는 경고했다. 그녀는 테스트를 위해 제공된 익스플로잇에는 종종 공격 할 맬웨어가 포함되어 있다고 말했습니다.
- 2019 년 최고의 비밀번호 관리자 2019 년 최고의 비밀번호 관리자
- 2019 년 최고의 맬웨어 제거 및 보호 소프트웨어 2019 년 최고의 맬웨어 제거 및 보호 소프트웨어
- 2019 년 최고의 비즈니스 용 랜섬웨어 보호 2019 년 최고의 비즈니스 용 랜섬웨어 보호
또한 Microsoft는 Microsoft Windows 10, Windows Server 2012R2 및 Office 2016을 지원하는 Microsoft Security Compliance Toolkit v1.0이라는 Windows 용 취약성 평가 도구도 제공합니다.
Weidman은 침투가 일종의 짙은 어둠의 마법이라고 생각하지 않도록 경고합니다. 그녀는 대신 기본을 먼저 다루는 것이 중요하다고 말했다. "모든 사람이 섹시한 이름을 가지고 있기 때문에 침투 테스트에 뛰어 들었다"고 그녀는 말했다. "하지만 낮은 매달린 과일을 찾아서 먼저 고치는 것은 많은 가치가 있습니다."
