Fade to black: Запрещено ли обучение хакеров в белых шляпах?

Они говорят, что время решает все, и что есть что сказать, чтобы оказаться в нужном месте в нужное время. Когда я был ребенком в 1980-х годах, меня приняли в специальную школу, в которой основное внимание уделялось математике, естественным наукам и технологиям. Это был первый раз, когда программа была предложена, и это было задолго до того, как кто-либо придумал термин «STEM-образование». Из-за характера программы студенты узнали то, чему в то время они не могли научиться больше нигде. Конечно, поскольку дети есть дети, некоторые брали то, чему их учили, и использовали это в целях, которые, скажем так, не одобрялись. Например, в школе не преподавали хакерство, но не так уж сложно было понять, как взять то, чему мы научились в компьютерном классе, и использовать это незаконным образом. Сегодня мир совсем другой. Методы взлома открыто преподаются различными учреждениями, а информация о взломе легкодоступна в Интернете. Белые хакеры, когда программисты ищут уязвимости и сообщают о своих выводах в соответствующие органы, наряду с программами вознаграждения за ошибки, которые платят белым хакерам за поиск эксплойтов, являются важной частью кибербезопасности.

Шаг, чтобы запретить хакерство в белых шляпах?

Тем не менее, ранее в этом году было принято решение запретить обучающие программы по взлому. YouTube ведет список принципов сообщества, регулирующих типы видео, которые можно загружать. В разделе «Вредоносный или опасный контент» специально запрещены видеоролики о «Обучающем взломе и фишинге: показ пользователям, как обойти защищенные компьютерные системы или украсть учетные данные пользователей и личные данные». как показано ниже. The Verge сообщает, что YouTube теперь разрешает хакерские видео с белыми хакерами, но, как вы можете видеть на снимке экрана, страница YouTube «Вредный или опасный контент» не делает различий между хакерскими атаками и хакерскими атаками.

Независимо от того, разрешает ли YouTube видео с белыми хакерами, вопрос о том, следует ли запрещать учебные материалы, связанные с хакерством, в последнее время, кажется, возникает гораздо чаще. Таким образом, я хотел воспользоваться возможностью, чтобы взвесить этот вопрос.

Безвредный и полезный

На мой взгляд, хакерское образование в белых шляпах не только безвредно, но и может быть полезным. Конечно, самый большой аргумент против хакерского образования заключается в том, что оно, по сути, учит студентов совершать преступления. Тем не менее, есть другие, возможно, лучшие места для потенциального хакера, чтобы получить эту информацию.

Запрет обучения белых хакеров не помешает кому-то научиться взламывать дома. Хакеры по своей природе изобретательны, а преступники не играют по правилам. Устранение образования белых хакеров не остановит хакеров. Помните мой предыдущий пример со школьниками, которые использовали то, чему научились в компьютерном классе, чтобы понять, как взломать компьютер? Никто специально не учил их хакерству, и тем не менее они смогли собрать воедино кусочки и разобраться во всем сами.

Даже если отложить в сторону все этические вопросы, есть одна важная причина, по которой я совершенно не боюсь того, что курсы белого хакера станут общедоступными. Причина в том, что эти курсы почти всегда отстают. Позволь мне объяснить.

За последние несколько лет у меня была возможность разработать несколько различных обучающих видеокурсов (ни один из этих курсов не был связан с хакерством). При этом я обнаружил, что практически невозможно создать курс, содержащий все, что вы хотите включить. Например, однажды я создал курс Windows, который длился почти 10 часов. Несмотря на продолжительность курса, было несколько разных предметов, которые я хотел включить в курс, но просто не мог из-за организационных причин и сроков.

Дело в том, что как автор курса вы вынуждены принимать решения о том, какой материал включить в курс, а какой исключить. В случае курса хакерства, я думаю, будет разумным предположить, что большинство инструкторов сосредотачиваются на основных хакерских методах, которые оказали наибольшее влияние на разработку политик безопасности. Большинство преподавателей, вероятно, не собираются тратить много времени на обсуждение малоизвестных методов, с которыми студенты вряд ли столкнутся в реальном мире.

Точно так же курсы, связанные с ИТ, могут относительно быстро устареть. Новый эксплойт, обнаруженный через неделю после выпуска курса, не попадет в курс, потому что к этому моменту курс уже завершен. Вот что я имею в виду, когда говорю, что хакерские курсы почти всегда отстают. Новые эксплойты появляются постоянно, но включение этих новых эксплойтов в существующие учебные программы представляет собой серьезную проблему.

Дело в том, что авторы курсов, как правило, сосредотачиваются на массовых эксплойтах, а эти эксплойты уже хорошо известны. Таким образом, почти наверняка существуют исправления и процедуры для защиты от этих конкретных эксплойтов. Другими словами, распространенный эксплойт, которому обучают на курсах белых хакеров, почти не имеет шансов быть успешно использованным против организации, которая придерживается лучших практик безопасности.

Кроме того, некоторые курсы белого хакерства специально разработаны таким образом, чтобы не допустить использования изучаемых методов в реальном мире. Несколько лет назад, например, я посетил конференцию Microsoft в Орландо. Одна из лучших сессий, представленных в этом году, была посвящена тому, как защитить вашу сеть Windows. Сессия продемонстрировала несколько различных методов взлома, а затем показала, как можно настроить Windows таким образом, чтобы полностью устранить эти методы. Хотя докладчики продемонстрировали 90 процентов того, что необходимо для взлома сети Windows, они упустили некоторые ключевые детали, чтобы никто из аудитории не мог использовать эти конкретные эксплойты.

Неотъемлемая часть обучения ИТ

Причина № 1, по которой я всецело поддерживаю обучение хакеру в белых шляпах, заключается в том, что я считаю его неотъемлемой частью обучения ИТ-безопасности. Несмотря на то, что различные хакерские приемы, которым обучают, не обязательно могут быть применены в реальном мире, образование белых хакеров учит специалистов по безопасности думать как преступник.

Возможно, что еще более важно, образование белых хакеров дает специалистам по безопасности гораздо более глубокое понимание систем, которые им поручено защищать. Одно дело, когда специалист по безопасности знает, какие параметры следует включить для усиления защиты конкретного программного продукта. Совсем другое дело, когда специалист по безопасности понимает, что происходит за графическим интерфейсом и что на самом деле делает реализация политики безопасности на системном уровне. Глубокое понимание систем и лежащей в их основе инфраструктуры (уровень понимания, который можно получить только при попытке взлома системы) позволяет ИТ-специалистам лучше защищать системы, находящиеся под их опекой.