معرفی نقشه راه و منابع موردنیاز برای تامین امنیت سایبری اخلاقی

معرفی نقشه راه و منابع موردنیاز برای تامین امنیت سایبری اخلاقی

نقشه راه و منابع موردنیاز نفوذ اخلاقی

سلام… من Inderjeet Singh هستم. یک شکارچی جایزه آسیب‌پذیری، هکر اخلاقی، تستر نفوذ و یک کارآگاه خصوصی امنیت سایبری. اکنون دو سال است که دراین زمینه فعالیت می‌کنم و دراین مقاله مسیری که هرکسی بااستفاده از آن می تواند خودش را به فضای تامین امنیت اخلاقی وارد کند را به اشتراک می‌گذارم.

نقشه راه

  1. یادگرفتن برنامه نویسی

برخی معتقد هستند که داشتن علم برنامه نویسی برای تایمن امنیت سایبری زیاد مهم نیست. اجازه دهید همین ابتدا یک مساله را برای شما حل کنم، در واقعیت برای اینکه بتوانید به چیزی نفوذ کنید بایستی با نحوه درست شدن آن آشنایی داشته باشید. مثلا باید بلد باشید که یک سرور، وب سایت، اپلیکیشن چگونه ساخته می‌شود، یا ارتباطات پایگاه داده ای چگونه تشکیل می‌شوند، یا توسعه دهندگان چگونه در تاسیسات مرکزی کدهای خود را مدیریت می‌کنند.

پیشنهاد من به افرادیکه می‌خواهند وارد عرصه امنیت سایبری شوند، این است که این مسیر را با درنظرگرفتن این دلایل،با یادگیری برنامه نویسی شروع کنند:

  • دراینصورت می‌توانید ابزارهایتان را خودتان کدنویسی کنید.
  • خودتان بدافزار بسازید.
  • خودتان XSS بسازید.
  • خودتان SQLi بسازید.

payloadها. زمانیکه درحال انجام دادن مهندسی معکوس هستید به این مهارت ها نیاز پیدا خواهید کرد. بدون داشتن مهارت برنامه نویسی، حتی متوجه نمی‌شوید که این payload ها چگونه کار می‌کنند. دراینصورت باید با روش آزمون و خطا جلو بروید.

خب به حدکافی درباب فلسفه یادگیری برنامه نویسی صحبت کردیم، الان مساله این است که یادگیری برنامه نویسی را از کجا و چگونه شروع کنیم؟ دستتان برای انتخاب زبانب رنامه نویسی باز است، اما اگر نظر من را بخواهید، پیشنهاد من شروع با یادگیری زبان C است. علت انتخاب این زبان از طرف من این است که، C به مفهوم نشانگرها پرداخته است، که به وسیله نشانگرها به راحتی می توانید مفهوم آدرس دهی در حافظه را یادبگیرید.

صرفا فقط زبان برنامه نویسی را یاد نگیرید، مفاهیم برنامه نویسی را یاد بگیرید.

مفاهیمی که باید یادبگیرید: مدیریت ورودی/خروجی، متغیرها، عملیات ریاضی، if-else، Switch، حلقه ها، توابع، نشانگرها، آرایه ها، ساختمان داده، الگوریتم ها و … .

  1. یادگرفتن Linux

 لینوکس یک مهارت بسیار بسیار ضروری برای افرادی است که میخواهند وارد دنیای امنیت سایبری شوند. ویندوز 82.56% بازار سیستم عامل های جهانی را به خوداختصاص داده است، این درحالیست که 96.3%، بیشتر از یک میلیون سروربرتر جهان روی لینوکس اجرا می‌شوند. 90%  زیرساخت های ابری روی لینوکس اجرا می‌شوند و اساسا تمام هاست های ابری از سیستم عامل لینوکس استفاده می‌کنند. لینوکس سیستم عاملی است درست مثل ویندوز و macOS با این تفاوت که سورس کد آن متن باز و رایگان است و این امکانات به شما اجازه می دهد تا ویژگی های آن را مطابق با انتخاب خودتان شخصی سازی کنید.

چک لیست چیزهایی که در زمان یادگیری لینوکس باید یادبگیرید:

شِل، پیمایش، فایل سیستم، تغییرمسیر، مجوزها، فرایندها، محیط، ویرایشگر متن، مدیریت بسته، رسانه ذخیره سازی، بایگانی، شبکه سازی، تهیه پشتیبان، جستجوی فایل، Regex و … .

  1. یادگرفتن شبکه سازی

شبکه سازی بخش اصلی و هسته ای مبحث امنیت سایبری است. شما بایستی با درک مفهوم جریان بسته ها با نحوه جریان اطلاعات از دستگاه شما به سمت وب سرور و اتفاقاتی که در گره های میانی رخ می‌دهند آشنا شوید. یادگیری این مفاهیم به شما کمک می‌کند تا مفهوم حملات Wifi،حملات DNS، حفره های به دام انداختن بسته های شبکه، حملات متنوعی که روی وب سایت انجام می‌شود بهتر و بیشتر درک کنید.

چک لیست مفاهیمی که باید در زمان یادگیری شبکه سازی با آن ها بیشتر آشنا شوید:

تجهیزات شبکه، TCP/IP، مدل OSI، سرویس ها و پروتکل ها مانند DNS،SNMP، SMB، HTTP، FTP، SSH و…، تحلیل ترافیک شبکه بااستفاده از Wireshark، وب سرورها، شبکه بی‌سیم، شبکه بلوتوث، پروتکل CAN (برای هک خودرو)

  1. یادگرفتن رمزنگاری

امروز همه ما بیشتر در سایت های HTTPS گشت و گذار می‌کنیم، که قسمت اعظم اطلاعات در آن رمزنگاری شده است. این یعنی، اگر وارد چنین شبکه بشوید و کاملا درآن نفوذ کنید، بخاطر رمزنگاری های صورت گرفته قادر به درک اتفاقاتی که درآن می افتد نخواهید بود.

طبق نقل قولی از Kaspersky.com “رمزنگاری دانش تکنیک های ارتباطات امن است که تنها به فرستنده و گیرنده پیام اجازه مشاهده محتوای پیام را می‌دهد”

این سخنان اهمیت یادگیری عمیق رمزنگاری را بیش از پیش به نمایش می‌گذارد. رمزنگاری یک موضوع بسیار گسترده است، اما برای محققان امنیتی تنها درک مفهوم آن کافی است. فقط کافیست مفاهیم پایه ای زیر را یادبگیرید:

رمزنگاری و رمزگشایی، انواع رمزنگاری، کدها و رمزنگاری هایی مانند ROT13، کد سزار، کد مورس، هگزادسیمال، Base32، Base64 و … هش کردن و هش هایی مانند SHA256، NTML،SHA512  (درصورت لزوم)و… .

  1. یادگرفتن حملات وب سایت

پس ازاینکه مراحل قبلی که پیش‌نیازهای یادگیری رشته امنیت بودند را با سلامت پشت سر گذاشتید، اکنون زمان آن رسیده که نفوذ کردن را یادبگیرید. حملات اپلیکیشن های اندروید را هم می توانید یادبگیرید. اما یادگرفتن حملات وب به شما یک پیش زمینه ذهنی آماده برای آموزش تست نفوذ اندروید و iOS می‌دهد. ازاین جهت پیشنهاد من شروع یادگیری حملات بهتر است از تست نفوذ وب اپلیکیشن باشد.

حملات زیادی مثل بای‌پس 2FA، حملات پایگاه داده ای، نفوذ به حساب کاربری، دزدیدن کوکی‌ها و … وجود داردند که شما می توانید روی وب سایت ها اجرا کنید. برای اجرای این حملات، بایستی ابتدا با تعدادی از تکنیک ها و باگ های امنیتی وب اپلیکیشن ها آشنا شوید:

یادگرفتن تشخیص، تزریق SQL، CSRF،SSRF، LFI، RFI، تزریق XML، حملات هدر هاست HTTP، مسموم کردن کش وب. یادگرفتن CVEها، خودکارسازی BurpSuit و و و و….

  1. بعد از این چه؟

اینجا تازه به اول راه سفر خود می‌رسیم، بعد از این به یک زمینه مطالعاتی تخصصی وارد می‌شوید و حوزه های مختلف این حوزه از امنیت سایبری را عمیق یادخواهیدگرفت. برای زمینه تخصصی می توانید تست نفوذ وب اپلیکیشن، مهندسی معکوس تست اپلیکیشن های اندروید، امنیت سخت افزار، متخصص OSINT، مهندسی اجتماعی، کارآگاه امنیت سایبری، تست نفوذ کننده iOS، متخصص امنیت شبکه و … را انتخاب کنید. یکی از این رشته ها را انتخاب کنید و کند و کاو در هرگوشه از آن را شروع کنید. کارتان با یک رشته تمام شد، به سراغ رشته بعدی بروید.

اینکه در زمینه امنیت سایبری هیچ گاه فرایند یادگیری شما متوقف نمی‌شود، به نظر من بهترین وجه این رشته است.

منابع آموزشی امنیت سایبری

کانال های یوتوب

  1. Bitten Tech
  2. Clever Programmer
  3. codingo
  4. Cristi Vlad
  5. David Bombal
  6. DC CyberSec
  7. Farah Hawa
  8. org
  9. HackerSploit
  10. Hak5
  11. InsiderPhD
  12. John Hammond
  13. Kalle Hallden
  14. LiveOverFlow
  15. Lio Liang Yang
  16. Null Byte
  17. Stok Fredrick
  18. SysAdmGirl
  19. The XSS Rat
  20. TomNomNom

کتابها

  1. The Linux Command Line
  2. Networking for Dummies
  3. Hacking The Art of Exploitation
  4. WebApp Hackers Handbook 2
  5. Kali Linux Revealed
  6. Linux Basics for Hackers
  7. Penetration Testing: A Hands-On Introduction to Hacking
  8. The Hacker Playbook 2
  9. The Hacker Playbook 3
  10. Practical Windows Forensics
  11. Practical Linux Forensics for Digital Investigators
  12. Ghost in the Wires
  13. Black Hat Python
  14. Metasploit: The Practical Tester’s Guide
  15. Real-World Bug Hunting
  16. Practical Malware Analysis
  17. Wireshark 101
  18. Black Hat Go
  19. RTFM: Red Team Field Manual
  20. How to Hack Like A Pornstar

مخازن GitHub

GitHub – Hack-with-Github/Awesome-Hacking: A collection of various awesome lists for hackers…

A collection of awesome lists for hackers, pentesters & security researchers. Your contributions are always welcome …

github.com

GitHub – The-Art-of-Hacking/h4cker: This repository is primarily maintained by Omar Santos and…

This repository is primarily maintained by Omar Santos and includes thousands of resources related to ethical hacking /…

github.com

GitHub – enaqx/awesome-pentest: A collection of awesome penetration testing resources, tools and…

A collection of awesome penetration testing and offensive cybersecurity resources. Penetration testing is the practice…

github.com

GitHub – B3nac/Android-Reports-and-Resources: A big list of Android Hackerone disclosed reports and…

https://hackerone.com/reports/351555 https://blog.oversecured.com/Android-security-checklist-webview/…

github.com

GitHub – infoslack/awesome-web-hacking: A list of web application security

This list is for anyone wishing to learn about web application security but do not have a starting point. You can help…

github.com

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *