السـﻻم عليكم
يختلف المخترقين من نوع الى اخر ويقسمون الى انواع تتخد اختصاصات معينة و تتنقسم الى تلات انواع
القبعة السوداء:
وهو ما يعرف بالكراكرز هو شخص مخرب لا يوجد في قلبه رحمة يسرق معلوماتك يتميز بروح التحدي همه الوحيد هو زيادة معلوماته
وتخريب وتحدي أشخاص أكبر منه وإسقاط شركات ومواقع كبيرة.....وصناعة الفايروسات ونشرها....بمعنى هو مجرم أنترنات
جميع عملاء النت تبحث عنه......ولكي تصبح كراكرز ستواجه او متاعب الحماية,يجب أن تكون مخفي كليا على النت لتجنب الإيقاع بك أو إمساك بك من طرف شرطة النت
صناعة برامج خاص بك وتطويرها.....تتميز بروح الخداع والهندسة الإجتماعية......هذا نوع من القبعات لا احبه شخصيا اولا هو حرام وثانيا تعرض نفسك للخطر
المهم الكراكرز شيئ جميل صراحة بس حرام وخطر جدا أنصحك بتجنبه
القبعات البيضاء:
واضح من إسمها هو شخص خبير في امور البرمجة وأساليب الهكرز والحماية...ليس مخرب يخترق لي يخترقه...انا احب هذا النوع من هكرز اولا
انت غير معرض للخطر تجيد البرمجة والحماية لست انسان مجهول الكل يكرهك او يضن بك السوء
في هذا النوع هو شبيه بالكراكرز في كل شيئ من حيث التقنية كل شيئ ولكن في شيئ واحد فقط لا يشبهه سوى في التخريب فالقبعة البيضاء ليس مخرب أنصحك بهذا
النوع من الهكرز
Penetration Testing:
ماذا سأتكلم عن هذا النوع.....يستخدم الـ Penetration Test في اختبار مستوى حماية الشركات واكتشاف الثغرات ونقاط الضعف الموجودة بها. ببساطة أكثر تقوم الشركة بالاتفاق مع Ethical Hacker ليقوم بفحص مستوى الحماية واكتشاف الثغرات ونقاط الضعف التي قد تشكل خطورة على الشركة ويقدم بعد الانتهاء من عمله تقرير مفصّل عن أماكن نقاط الضعف والثغرات التي وجدها بالاضافة الى الأسباب واقتراح الحلول المناسبة لها. أثبتت هذه الطريقة أنها أكثر الطرق فعالية للحماية لأن هذا الهاكر سيستخدم نفس الأساليب والأدوات التي يستخدمها المخترقين لكن بشكل أخلاقي هذه المرة ولصالح الشركة!
شخصيا أجد أن العمل كـ Penetration Tester أمر جميل جدا وممتع بنفس الوقت فأنت ستحاول اختراق الشركة وتتحدى الأنظمة ومدراء السيرفرات وتقوم بعمل أي هاكر يريد اختراق الشركة وتستعمل نفس الطرق والأدوات التي يستخدمها لكن الفرق أنك تفعلها هذه المرة بطريقة شرعية بعد موافقة الشركة ولصالحها وفي النهاية ستحصل على مقابل مادي أيضا! هذا العمل موجود ومنتشر في الدول المتقدمة والشركات التي تهتم بالحماية وتهتم بأمن المعلومات الموجودة عندها أما الشركات العربية لا أتوقع أنها تعلم بوجود هذا العمل أساسا! (في الوقت الحالي على الأقل) لأن هذه الشركات تكتفي على الأغلب بوضع شخص واحد مسؤول عن جميع الأمور التي تخص السيرفر أو الشبكة من ادارة, صيانة, تحديث, حماية… حاليا لا يوجد مشكلة طالما الوضع متكافئ (لا يوجد حماية قوية وبالمقابل لا يوجد هاكرز عرب أقوياء!) فللأسف في عالمنا العربي أكثر من 95% من الأشخاص الذين يطلقون على أنفسهم Hackers لا يعلمون سوى استغلال أبسط الثغرات المكتشفة في السكريبتات المبرمجة بلغة php بغرض اختراق المواقع فقط! أو اختراق الأجهزة باستخدام احدى البرامج أو القيام بسرقة الايميل عن طريق صفحة تسجيل دخول مزورة!! وهذا بكل تأكيد لا يمكنهم من اختراق أي شركة! أما بالنسبة للهاكرز الذين يقومون بعمل Penetration Test لشركة ما يمكننا القول أنهم Hackers حقيقيين لكنهم يستغلون مهاراتهم بطريقة صحيحة ولحماية الشركة. وللعمل بهذا المجال يجب أن تكون على علم بكثير من الأمور والمجالات المختلفة فبكل تأكيد ستحتاج لمعرفة بالشبكات وأدق تفاصيلها, ادارة السيرفرات والتعامل مع أنظمة التشغيل المختلفة, قواعد البيانات, التشفير وقد تحتاج لمعرفة بلغات البرمجة أيضا وكثير من الأمور الأخرى بجانب معرفتك بالهاكر وأساليبه ومن الضروري الحصول على شهادات تثبت خبرتك في المجالات السابقة مثل: MCP , CCNA , CISSP , RHCE , C|EH , CPTS , OPST وغيرهم الكثير طبعا ليس من الضروري الحصول عليهم جميعا لتعمل بهذا المجال لكن كلما ازداد عدد شهاداتك وارتفعت مستوياتها ازادت معرفتك وارتفع الأجر معها. فمثلا قد تحتاج لأن تتعامل مع شركة تستخدم أنظمة Linux و Windows وتستخدم راوترات Cisco فاذا لم تكن على معرفة بجميع الأمور السابقة لن تتمكن من القيام بعملك! تخيل أنك تريد اختراق نظام لا تعرف كيف تتعامل معه؟! الموضوع هنا ليس اختراق فقط بل كتابة تقرير مفصل واقتراح الحلول المناسبة أيضا. باختصار يجب أن تكون هاكر حقيقي بنى علمه على معرفة وليس شخص تعلم استخدام بضعة أدوات!
أما طريقة العمل تتم بعد الاتفاق مع الشركة وأخذ موافقة خطيّة منهم لأن القيام بمحاولة اختراق أمر غير شرعي ويعرضك للمسألة القانونية بعد ذلك يتم الاتفاق على التفاصيل مثل المدة المحددة, الأجر, عدد السيرفرات, الأسلوب المتبع, نوعية الثغرات التي ستقوم بتجربتها… بعد ذلك يتم تحديد الأسلوب المتبع Black Box أم White Box في الاسلوب الأول لن تقوم الشركة بتزويدك بأي معلومات وعليك أن تبدأ عملك بجمع المعلومات وعمل Information Gathering عن الشركة كأن تقوم بمعرفة أيبيات السيرفرات التي تستخدمها الشركة, معرفة الأنظمة التي تعمل عليها, تحديد اصدارات البرامج والسيرفرات التي تستخدمها الشركة, أساليب الحماية التي تتبعها… أو الاسلوب الثاني White Box وبهذه الحالة تقوم الشركة بتزويدك بجميع المعلومات التي تحتاجها كأن تخبرك بوجود سيرفر قواعد بيانات Oracle يعمل بنظام لينوكس يستخدم الأيبي xxx.xx.xx.x متصل مع Webserver يعمل بنظام Windows يوجد عليه موقع مبرمج بلغة ASP ويوجد فايروول على سيرفر قواعد البينات يسمح بالاتصال بآيبيات محددة… وطبعا يتم تحديد بعض الشروط أيضا مثل نوعية الثغرات التي قد تقوم بتجربتها حيث بعض أنواع هذه الثغرات من الممكن أن تؤدي لتوقف السيرفر عن العمل مما يسبب خسائر للشركة!
بعد الاتفاق على كل شيء تبدأ عملك وفق خطة منظمة
يتم استخدام جميع الأساليب والبرامج التي يستخدمها المخترقين وشركات الحماية في اكتشاف الثغرات ونقاط الضعف وكما نعلم تختلف هذه الأدوات في قوتها ودرجة احترافيتها فبعضها مجاني ومفتوح المصدر أو مجاني فقط أو حتى تجاري ويحتاج لشراء (غالبا تكون أسعار هذه النوعية من البرامج مرتفعة!) وطبعا بالنسبة لعمل يجب أن تستخدم أدوات احترافية وحديثة لتضمن لك نتائج صحيحة ولا يجب عليك استخدام أي برامج مقرصنة ولاتنسى أيضا أنك هاكر أخلاقي ولست مخترق وقد تتمكن من اختراق الشركة بشكل فعلي ومن الممكن أن تصل لمعلومات حساسة أيضا, يجب عليك الحفاظ عليها وعدم نسخها, تعديلها أو تسريبها لأي جهة ثالثة ومن ثم القيام بكتابة تقرير مفصّل يوضح الطريقة التي مكنتك من الوصول لهذه المعلومات واقتراح الحلول المناسبة لها!
ليست هناك تعليقات:
إرسال تعليق