hans on hacking 태그의 내용은 모두 한빛미디어 출판사의 핸즈온 해킹이란 책의 내용과 작성자의 수정이 들어가있음을 알려드립니다.
출처 : 핸즈온 해킹 - 매슈 히키, 제니퍼 아커리 지음, 류광 옮김 (한빛미디어)
본 책에서는 1장부터 15장까지 "순서대로" 읽을 것을 권합니다
2장) 윤리적이고 합법적인 해킹
- 대중적으로 '해커'는 부정적인 이미지를 가지고 있지만 의사, 교사와 같이 가치중립적인 전문직이다.
컴퓨터 해커는 자신의 기술 지식으로 문제점을 극복하는, 능력 있는 컴퓨터 전문가이다. 능력 있는 컴퓨터 프로그래머라면 모두 해커라고 할 수 있지만, 대중문화에서 해커는 보안 해커, 즉 자신의 전문 지식으로 버그 또는 악용 기법을 이용해서 컴퓨터 시스템에 칩입하는 사람을 말한다.
영문 위키백과 Hacker 항목 (2018년 11월)
exploit : 특정 취약점을 공격에 활용하는 것 또는 그러한 공격 기법이나 도구
버그 또는 악용 기법(exploit)을 이용해서 컴퓨터 시스템에 침입하는 것은 반드시 소유자의 서면허가와 허가서가 있어야 한다.
- ISP (인터넷 서비스 제공업체)와 연결된 상태에서 해킹 도구를 실행하는 것에 대한 영향도 생각해야 한다.
책에서 추천하는 침투 테스트 방법론
http://www.pentest-standard.org/index.php/Main_Page - 침투 테스팅 수행 표준 (Penetration Testing Execution standard, PTES)
- 해킹을 위해 시스템이나 기술에 접근할 때 아래와 같은 논리적 단계들이 있다
- 정찰
- 수동 및 능동 탐색(probe)
- 열거
- 취약점 분석
- 취약점 공격
- 마무리
권환 획득
고객사를 위해 침트 테스트를 진행할 때 미리 합의하지 않은 시스템에 접근하는 것은 불법이다. 모든 것을 미리 명확하게 밝히고 조건을 정해둬야 한다. 이를 위해 테스팅 권한 부여(authorization for testing) 계약서를 미리 작성해야 한다.
계약서 명시 사항 (기본적인 부분)
- 컴퓨터 부정사용법으로 서로를 기소하지 않겠다는 조항
- 합의된 테스팅 범위(scope) 문서 참조, 테스트할 모든 시스템을 나열
- 침투 테스터가 접근하지 말아야 할 영역
- 취약점을 공격하기 전에 시스템에 피해를 끼칠 만한 부분은 시스템 소유자에게 그 사실을 미리 알리는 것이 중요하다.
책임 있는 공개 (reponsible disclosure)
- 어떤 취약점을 발견했을 때 먼저 해당 제품의 제조사에게 그 사실을 알린 후에 해결책을 구하는 관행
- 보통 취약점을 알린 후 90일까지는 제조사의 패치를 기다린다. 90일이 넘어간다면 취약점을 일반 사용자나 업계 등에 공개를 고려해볼 수 있다.
- 제조사가 패치를 개발했다면, 그 영향을 받은 이용자들이 해당 패치를 적용할 때까지 30일을 기다려야 한다.
버그 현상금 프로그램
- 정보 보안 개선을 위해 기업이나 조직이 이용하는 접근 방식 중 하나. 자신의 응용 프로그램이나 제품을 누구나 테스트 할 수 있도록 공개한다.
※ 만약 당신이 윤리적으로 해킹 활동을 펼쳤음에도 법적 분쟁에 휘말렸다면, 사이버 범죄 변호사와 같은 전문가에게 상담하는 것이 좋다.
