Hvis hoveddøren til dit hus er dækket af buske og træer, betyder det at du ikke behøver at låse det? Det er slags grundlag for sikkerhed ved dunkelhed. Væsentligt er sikkerhed ved uklarhed afhængig af, at en given sårbarhed er skjult eller hemmelig som en sikkerhedsforanstaltning. Selvfølgelig, hvis nogen eller noget ved et uheld opdager sårbarheden, eksisterer der ingen reel beskyttelse for at forhindre udnyttelse.
Der er dem i cybersikkerhedsområdet og regeringsorganisationer, der foretrækker at holde tricks og tips fra hackere og crackere hemmelige. De føler, at for at dele viden er det tilsvarende at opmuntre nye ondsindede hackere og krakkere til at prøve teknikkerne for ulovlige og uetiske formål. De tror det ved at holde tricks og teknikker ud af det offentlige område, at de beskytter verden som helhed.
Vi er mere tilbøjelige til at være enige med den side, der mener, at fuld offentliggørelse af tricks og teknikker giver den bedste mulighed for at være i stand til at beskytte imod dem eller ophæve dem helt. At antage, at sikkerhed ved dunkelhed tilbyder beskyttelse er at antage, at ingen andre i verden kan opdage de samme fejl eller sårbarheder. Det lader til en fjols antagelse.
Det faktum, at du måske ikke ved, hvordan du bruger en pistol, vil ikke stoppe en uetisk eller umoralsk person, der ved, hvordan man bruger en pistol, fordi han skader dig. På samme måde kan man ikke vide, hvordan hackerteknikker fungerer, ikke beskytte dig mod en uetisk eller umoralsk person, som gør kender tricks og teknikker fra at hackere ind i dit computersystem eller forårsage andre ondsindede skader på dit netværk eller computer.
Etik vs viden
Hvad adskiller tyvene fra detektiverne og hackerne fra sikkerhedsadministratorer er etik, ikke viden. Du skal kende din fjende for at forberede et forsvarligt forsvar. Whitehat hackerne i verden har samme viden som verdens sorte hackere - de vælger simpelthen at bruge deres viden til etiske formål snarere end ondsindede eller ulovlige aktiviteter.
Nogle af whitehat hackere er gået på at starte virksomheder som sikkerhedskonsulenter eller danne virksomheder dedikeret til at hjælpe andre virksomheder med at beskytte sig mod blackhat hackere i verden. I stedet for at anvende deres viden om ulovlig aktivitet, der måske eller måske ikke gør et hurtigt penge, men helt sikkert vil lande dem i fængsel, vælger de at anvende deres viden til at gøre, hvad de elsker at gøre, mens de laver mange penge på at gøre det - lovligt .
Nogle af disse mennesker gør også det, de kan for at dele de tips, tricks og teknikker, der bruges af hackere og krakkere med resten af verden for at lære dem at forsvare sig selv. George Kurtz og Stuart McClure grundlagde sikkerhedsfirmaet Foundstone (senere købt af McAfee). Disse to informationssikkerhedsveteraner sammen med Joel Scambray, en IT-sikkerhedskonsulent til Fortune 50-firmaer, skrev den bedst sælgende computersikkerhedsbog Hacking Exposed, lige udgivet i sin 6. udgave og oprindelse af den meget succesfulde Hacking Exposed-serie.
Den 6. udgave af Hacking Exposed blev for nylig udgivet. Hacking Exposed skabte også en meget succesrig serie af andre Hacking Exposed titler: Hacking Exposed - Wireless, Hacking Exposed - Linux, Hacking Exposed - Computer Forensics, og meget mere. Der er også lignende bøger fra andre forfattere som Hack Attacks Revealed af John Chirillo og Counter Hack Reloaded af Ed Skoudis.
Hacking Exposed anses af mange for at være den bedste bog om emnet. Disse tre herrer, med bidrag fra mange andre informationssikkerhedseksperter (de fleste arbejder også for Foundstone), har samlet en omfattende vejledning til metoder, tricks og teknologi, som hackere bruger til at bryde ind på dit netværk eller computer.
I forordet til bogen Patrick Heim, vicepræsident for Enterprise Security for McKesson Corporation, skriver "nu, da den svarte kunst af hacking er blevet dæmoniseret, ville jeg hævde, at det er vigtigt for enkeltpersoner, der har ansvaret for design, opbygning og vedligeholdelse af information infrastruktur for at være fuldt klar over de sande trusler om, at deres systemer skal afvise. "
Når du ser en læge, forventer du, at de skal diagnosticere dine symptomer korrekt og bestemme det egentlige problem, før du giver råd eller ordinerer medicin. For at gøre det skal lægen være fuldt klar over de forskellige trusler, som din krop kan støde på, og hvad de effektive modforanstaltninger er for de specifikke trusler.
Ligesom en detektiv skal tænke som en tyv for at fange en tyv, og en læge skal vide, hvordan vira og sygdomme virker og opfører sig for at diagnosticere og modvirke dem, forventer vi en informationssikkerhedsekspert at være ekspert i at bruge tricks, værktøjer og teknikker de bliver bedt om at forsvare sig imod. Kun med denne viden kan vi ærligt forvente, at nogen skal være i stand til at forsvare forsvarligt mod hackere og opdage, hvornår og hvordan et indbrud opstod, hvis dit netværk i virkeligheden er kompromitteret.
Uvidenhed er ikke lyksalighed. Sikkerhed gennem uklarhed virker ikke. Det betyder kun, at de onde kender ting, som du ikke gør, og vil udnytte din uvidenhed til fulde enhver lejlighed, de får.
