IT bezpečnost - jak začít?

[ahojcau]

Zdravím,
jak už z názvu tématu plyne - jak začít s IT bezpečností? Od čeho se odrazit?
Obor rozsáhlý, ale určitě se tady najdou lidé, kteří se v této oblasti orientují, tak by mě zajímalo, jak probíhaly jejich začátky. Nejde mi o rady typu stáhni aircrack-ng atd., jde mi spíše o to, kde se dá dozvědět o chybách, které se kde můžou vyskytovat, čím jsou způsobeny, jak jim zabránít a vše kolem.

[Reklama]

[Jenda]

Pročítání Wikipedie. Nějaké manuály o zabezpečení k Debianu a Archu. Přednášky z CCC, DefCon, Blackhat. http://cryptopals.com/.

[drobax]

Nejlépe od začátku. Od konce to jde ztěžka. Co takhle kouknout nejdřív jak to funguje.

[lzap]

Assembler, základy toho jak funguje počítač a paměť atd. Zrovna na rootu začal vycházet vynikající seriál :-)

A pak praxe - dost firem dneska nabízí odměny za nalezení chyby. Znám nejednoho člověka, komu se podařilo cenu opravdu získat. Takže se rýpat a rýpat a rýpat... legálně.

[VVS]

IT bezpečnost v obecném pojetí zasahuje celou oblast IT a je to mix všeho (HW, sítě, programování, databáze, Internet, fyzická bezpečnost, virtualizace, cloud, ochrana osobních údajů atd.) Pochopitelně je i v této oblasti úzká specializace a "nejatraktivnější" je asi oblast penetračních testů, často jsou poptáváni specialisté na SIEM.

Já jsem se k řešení oblasti "dostal" po předchozí zkušenosti s programováním a provozem systémů a skutečností, že bylo nutné se této oblasti začít věnovat, aby zaměstnavatel byl v souladu s požadavky norem pro bankovní oblast. Bylo to a stále je průběžné vzdělávání převážně samostudiem doplněném kurzy. Mohu doporučit kurzy z nabídky Gopasu (ale nejsou příliš pro samoplátce).

Pro všeobecný přehled a seznámení s oblastí bych jako nejvhodnější začátek viděl seznámení s normami ČSN/ISO 27001 a 27002 nejlépe v kombinaci anglické a české verze. Podobných norem a metodik je více (např. PCI, HIPAA, SOX, atd.). Tyto normy tvoří soubor požadavků na systémy a rozpracování těchto požadavků je realizace určité bezpečnostní politiky.
Např. norma stanoví pro oblast řízení přístupu uživatelů k systémům požadavek "Zajistit oprávněný přístup uživatelů a předcházet neoprávněnému přístupu k informačním systémům." Konkrétní realizace je již realizací bezpečnostní politiky a v hrubém zjednodušení osoba pověřená řízení IT bezpečnosti toto navrhne, provoz ji zrealizuje a IT bezpečnost následně kontroluje.

[Reklama]

[JardaH]

1. Stáhni si z torrentu Certified Ethical Hacker course.
2. Prostuduj si to, pokrývá to základy většiny oblastí ohledně bezpečnosti.
3. Během studia CEH se ti rozšíří obzory a hlavně ta část "vím, že to existuje, ale neumím to".
4. Pokračuj ve studiu "neumím to".
5. Stáhni si nějaké tooly na penetrační testy, hrej si s tcpdumpem, nmapem, script-kiddie tooly, assemblerem, strace, atd...
6. Nech se zaměstnat na nějaké pozici týkající se bezpečnosti v nějaké velké korporaci. Z vlastní zkušenosti z HP vím, že je to pozice pro cvičenou opici, které jednou měsíčně přijde nějaký automatický log v spreadsheetu, kde budou některé řádky zelené a jiné červené (např. na nějakým serveru běží FTP, ty pak půjdeš za členy projektu a upozorníš je na to, oni ti řeknou, že FTP byl požadavek od zákazníka, ty se uklidníš, zapomeneš na to a příští měsíc se bude situace opakovat).
7. Pokračuj v bodech 4-5, občas se vyskytni na nějaké konferenci o bezpečnosti, udělej si tam známé. Sleduj bezpečností weby, databáze chyb.
8. Za dva roky si najdi novou práci, kde využiješ znalosti a HR budou plesat nad tím, že máš podle CV praxi.

[František Krupka]

Od 16ti jsem hodně četl o počítačích a programování, od 21 programoval (pascal, sem tam strojový kód), od 24 jsme spravoval OS Ultrix, SCO UNIX, SINIX, Digital UNIX, Novell, Windows NT, sítě s IP a DECnet protokolem apod., instaloval spousty SW, řešil problémy, postupně přicházel na to jak co funguje, nacházel díry (zranitelnosti), naučil se obcházet kde co, psal patche, dostal jsem se do desítek systémů, hodně komunikoval s lidmi po internetu a radil ostatním, co jak zabezpečit. Musí tě to bavit, občas je to řehole, musíš být schopen rychle nastudovat, vyřešit, občas narazíš na blbce. Kromě toho, že studuješ, co jak funguje (bez toho to nejde) bylo (pro mě tehdy) čtení TCSEC (plus další knihy z duhové série), ITSEC apod., aby člověk věděl co jsou to bezpečnostní funkce a mechanismy, potom hromady čtení kolem kryptografie, atd. Je potřeba umět se bavit se všemi lidmi (a taky jim umět říci jak mají dělat svou práci), kteří se podílejí na projektech, od všeho je potřeba znát něco, do určité hloubky. Dnes bych asi doporučil čtení The Official (ISC)² Guide to the CISSP CBK, je tam veliká část toho, s čím se potkáš v praxi.

[Oliiver]

Reagujem len koli reakcii JardaH: nadherne!

[kojot4]

Jestli ti jde jako o práci IT Security, tak upozorňuji, že se jedná vesměs o byrokratickou roli, která s reálnou bezpečností má jen málo společného.

Práce security specialisty spočívá ve vyplňování tabulek o otevřených portech, auditech atd.

Reálná IT bezpečnost, kdyby tě to zajímalo, doporučuji přečíst si pár knížek od Kevina Mitnicka. Je to minimálně přes 50% o social engineeringu. Technické znalosti v reálném zabezpečení systémů nejsou ve skutečnosti až tak na prvním místě.

To co dělají tzv. security specialisti má z bezpečností společného jen málo.

[dword]

Doporucuji knizku The Art of Exploitation (Jon Erickson) a pak The Art of War (Sun Tzu).

[...]

https://www.offensive-security.com/metasploit-unleashed/

[j]

...
To co dělají tzv. security specialisti má z bezpečností společného jen málo.

Tak nejak, realne je utok pres zamestnance kterej ma legalne pristup daleko jednodussi a predevsim levnejsi, nez utocit na neco zvenku.

[hackingkurzy.cz]

Ahoj,
co tě zajímá je technická IT bezpečnost, ptáš se na to, jak se dělají penetrační testy a jak vypadá hacking.

Pokud je tvým cílem zkusit nějaký ten bezpečnostní program "Bug Bounty (platforma HackerOne, BugCrowd, Citadelo.cz)" zační s penetračními testy webových aplikací. Pokud si chceš doplnit i teorii, seznam se s přípravnou knihou pro certifikaci CISSP, najdeš zde hezké prolnutí doménami IT bezpečnosti, kde na jednom konci je jakýsi "model" jak by to mohlo fungovat a na druhém konci je technická bezpečnost, kterou už dostuduješ sám.

Chceš to vzít opravdu od podlahy, pak přečti, co budeš potřebovat: http://www.hackingkurzy.cz/blog/jak-se-stat-hackerem/.

Knihy o hackingu
Dle meho nazoru kniha "Exploitace zranitelnosti" je dost težká a špatně uchopitelná pro začátečníka. Zvolil bych spíše knihu "Gray Hat Hacking" a pak se zaměřil na nějakou konkrétní oblast, ke které máš nejblíže. Pak v této oblasti začneš chápat postupy a rozpoznávat význám jednotlivých nástrojů.

Hacking kurzy
Pokud jde o hacking kurzy, tak CEH až zas tak hackingový není, je to defenzivní kurz a neříká přímo jak testovat (terminologie, situace plus nějaké tooly v metodickém kontextu). Offsec trénink je zase moc velký brutus, ale pokud máš dostatek času 2 - 4 týdny, stojí to za zkoušku. Zlatá střední cesta jsou hacking kurzy Hackerlab.

Hacking nástroje
Co se týče nástrojů, tak mezi penetračními testery je hojně použivaná distribuce Kali linux, která je násroji sice nabitá, ale dost špatně se chápe jejich použití. Něco málo o ní najdeš na našem blogu a na socíalních sítích.
http://www.hackingkurzy.cz/blog-kategorie/eticky-hacking/

Největším omerzením je čas, jinak na internetu se toho válí mraky včetně kvalitního materiálů, no a pak doma zkoušet a zkoušet...

petr

[txt]

Bacha v IT security se často jede nepřetržitý provoz, proto jsem zůstal u nudnějšího programování s volnou pracovní dobou...

[zed]

ahojcau: jestli to mas blizko do Prahy, tak bych ti mozna mohl neco nabidnout. Napis na zedzed@wed.cz.