ในโลกปัจจุบันที่ธุรกิจขนาดใหญ่และขนาดเล็กได้รับผลกระทบส่วนใหญ่จากการโจมตีทางไซเบอร์และการรั่วไหลของข้อมูลการใช้จ่ายด้านความปลอดภัยทางไซเบอร์ได้พุ่งสูงขึ้น องค์กรต่างๆใช้จ่ายเงินหลายล้านดอลลาร์เพื่อปกป้องการป้องกันทางไซเบอร์ และเมื่อเราพูดถึง Cyber Security และความปลอดภัยของข้อมูล Georgia Weidman เป็นหนึ่งในไม่กี่คนที่มีชื่อเสียงในอุตสาหกรรมนี้
Georgia Weidman เป็น Hacker ที่มีจริยธรรม, Penetration Tester, ซีอีโอของ Shevirah Inc / Bulb Security LLC และผู้เขียนหนังสือ“ การทดสอบการเจาะ: A เบื้องต้นเกี่ยวกับการแฮ็ก”
นี่คือการสัมภาษณ์พิเศษของ Georgia Weidman กับทีมงานของเราที่ Ivacy ซึ่งเราได้ถามคำถามบางอย่างเกี่ยวกับเธอและ Cyber Security โดยทั่วไป:
Q1 - สวัสดีจอร์เจียเรามีความยินดีเป็นอย่างยิ่งที่ได้รับคุณและประทับใจอย่างมากกับการรู้ว่าคุณประสบความสำเร็จในระยะเวลาอันสั้น อะไรนำคุณไปสู่อุตสาหกรรมข่าวสารนี้ คุณเริ่มต้นการเดินทางในฐานะนักจริยธรรมได้อย่างไร
ฉันไปโรงเรียนตั้งแต่อายุ 14 แทน 18 ปกติและฉันเรียนคณิตศาสตร์เพราะฉันไม่ต้องการเป็นนักวิทยาศาสตร์คอมพิวเตอร์ แม่ของฉันเป็นหนึ่งเดียวและวัยรุ่นคนไหนที่อยากเป็นพ่อแม่ของพวกเขา?
แต่แล้วฉันก็หางานไม่ได้ตอนอายุ 18 ด้วยปริญญาตรีและไม่มีประสบการณ์การทำงานฉันถูกขอให้ทำปริญญาโทสาขาวิทยาศาสตร์คอมพิวเตอร์และพวกเขาจะให้เงินฉัน! มันดีกว่าต้องอยู่กับพ่อแม่ของฉัน
ดังนั้นฉันเข้าสู่โปรแกรม Masters และมหาวิทยาลัยมีสโมสรป้องกันไซเบอร์ กัปตันของสโมสรป้องกันไซเบอร์ดูน่าสนใจมากและฉันต้องการเรียนรู้เพิ่มเติมเกี่ยวกับเขา ดังนั้นไม่รู้อะไรเลยเกี่ยวกับความปลอดภัยทางไซเบอร์ฉันจึงเข้าร่วมชมรมการป้องกันทางไซเบอร์และเราเข้าร่วมการแข่งขันการป้องกันไซเบอร์ระดับกลาง - แอตแลนติก ฉันได้เรียนรู้ว่าการรักษาความปลอดภัยทางไซเบอร์นั้นน่าสนใจยิ่งกว่าผู้ชายคนนั้น แต่ฉันก็พบว่าฉันต้องการทำอะไรกับชีวิตของฉัน
Q2- อะไรคือแรงบันดาลใจและแรงบันดาลใจของคุณที่อยู่เบื้องหลังการเขียนหนังสือ“ การทดสอบการเจาะ” ของคุณ
ฉันต้องการเขียนหนังสือที่ฉันอยากได้เมื่อเริ่มใช้งานอินโฟเซค เมื่อฉันเริ่มต้นครั้งแรกและพยายามที่จะเรียนรู้สิ่งที่มีอยู่มากมายในแบบฝึกหัดและสะสมความรู้เดิม ๆ ไว้มากมายว่าฉันกำลังทำสิ่งที่เทียบเท่ากับเทคนิคการค้นหาคำทั้งหมดในพจนานุกรม จากนั้นคำเหล่านั้นในพจนานุกรมของเด็ก ๆ จะได้รับความคิดว่าทำไมสิ่งต่าง ๆ ถึงทำงานได้น้อยลง
เมื่อขอความช่วยเหลือฉันได้รับจำนวนมาก“ เลิกใช้ n00b” หรือ“ ลองให้หนักขึ้น!” แทนที่จะอธิบาย ฉันต้องการทำให้ง่ายขึ้นสำหรับผู้ที่มาหลังจากฉันและเติมช่องว่างนั้นด้วยหนังสือของฉัน
คำถามที่น่าสนใจเช่นเดียวกับชื่อบอกให้เราทราบเกี่ยวกับ Bulb Security ของ บริษัท ของคุณและมันเริ่มต้นอย่างไร
จริง ๆ แล้วฉันมีสอง บริษัท Shevirah Inc. และ Bulb Security LLC ฉันเริ่มใช้ Bulb เมื่อฉันได้รับ DARPA Cyber Fast Track เพื่อสร้างสมาร์ทโฟน Pentest Framework และต่อมาถูกตำหนิอีกครั้งว่ามีความกล้าพอที่จะสมัครขอรับทุนได้อย่างอิสระ
นอกเหนือจากโครงการวิจัยฉันยังสร้างธุรกิจให้คำปรึกษาด้านการทดสอบการเจาะการฝึกอบรมวิศวกรรมย้อนกลับแม้แต่การวิเคราะห์สิทธิบัตร ณ จุดนี้ ในเวลาว่างมากมายฉันยังเป็นอาจารย์ที่มหาวิทยาลัย University of Maryland และวิทยาลัย Tulane
ฉันเริ่ม Shevirah เมื่อฉันเข้าร่วมตัวเร่งการเริ่มต้น Mach37 เพื่อสร้างผลงานของฉันในมือถือและการทดสอบการเจาะอินเทอร์เน็ตการจำลองฟิชชิ่งและการตรวจสอบการควบคุมเชิงป้องกันเพื่อขยายขอบเขตการเข้าถึงของฉันจากการช่วยนักวิจัยคนอื่น ๆ IoT ท่าทางความปลอดภัยและวิธีการปรับปรุง
Q4- เอาล่ะบอกเราถึงเวลาที่น่าตื่นเต้นที่สุดเมื่อคุณรู้สึกภูมิใจในงานของคุณในฐานะผู้ทดสอบการเจาะเกราะ
ทุกครั้งที่ฉันเข้ามาโดยเฉพาะอย่างยิ่งในวิธีการใหม่มีความเร่งรีบเหมือนครั้งแรก สิ่งที่ทำให้ฉันภูมิใจคือการมีลูกค้าประจำที่ไม่เพียง แต่แก้ไขทุกสิ่งที่เราพบในครั้งแรก แต่ยังเพิ่มระดับความปลอดภัยอย่างต่อเนื่องเนื่องจากมีช่องโหว่และการโจมตีใหม่เกิดขึ้นในเวลาระหว่างการทดสอบ
หากต้องการดูลูกค้าไม่เพียง แต่แก้ไขสิ่งที่ฉันเคยเข้าไป แต่ยังสร้างท่าความปลอดภัยที่เป็นผู้ใหญ่มากขึ้นสำหรับองค์กรโดยรวมนั่นหมายความว่าฉันได้รับผลกระทบมากกว่าการแสดงพวกเขาฉันจะได้ผู้ดูแลโดเมนด้วย LLMNR พิษหรือ EternalBlue
Q5- สำหรับผู้ที่ต้องการเริ่มต้นการเดินทางของพวกเขาในด้านการทดสอบการแฮ็กจริยธรรมและการเจาะระบบคุณต้องการให้คำแนะนำหรือคำแนะนำด้านอาชีพอะไร อาจเป็นคำแนะนำหลักสูตรออนไลน์ใบรับรองหรือระดับการศึกษาสำหรับเรื่องนั้น
ฉันอยากจะแนะนำหนังสือของฉันการทดสอบการเจาะ: การแนะนำแบบแฮ็กข้อมูลเบื้องต้น ฉันขอแนะนำให้มีส่วนร่วมในการประชุมหรือการประชุมแฮ็กเกอร์ในท้องถิ่นเช่นบท DEF CON กลุ่มท้องถิ่นหรือ BSides ความปลอดภัย นั่นเป็นวิธีที่ยอดเยี่ยมในการพบปะผู้ให้คำปรึกษาและการเชื่อมต่อที่มีศักยภาพในอุตสาหกรรม ฉันขอแนะนำให้ทำโครงการวิจัยหรือชั้นเรียน
นี่คือการแข่งขันที่พาฉันเข้าสู่ #infosec ตั้งแต่แรก มีการแข่งขันในภูมิภาคทั่วประเทศรวมถึงบุคคลสัญชาติสำหรับผู้ชนะในระดับภูมิภาค เป็นสถานที่ที่ดีที่จะวางเงินดอลลาร์และชั่วโมงอาสาสมัครของคุณ https://t.co/TcNLC7r8tV
- Georgia Weidman (@georgiaweidman) 28 กุมภาพันธ์ 2019
มีหลายคนที่คิดว่าการวิจัยด้านความปลอดภัยนั้นเป็นเวทย์มนตร์มืดที่ต้องใช้ทักษะความลับเกี่ยวกับการทำงานด้านในของ bootloader แต่ในกรณีส่วนใหญ่นั้นไม่ได้เป็นเช่นนั้น แม้ว่าคุณเพิ่งจะเริ่ม แต่ทุกคนมีชุดทักษะที่จะเป็นประโยชน์ต่อผู้อื่นในสาขาที่พวกเขาสามารถแบ่งปันได้ บางทีคุณอาจจะเก่งเรื่องการจัดรูปแบบใน Word หรือมีประสบการณ์ในฐานะผู้ดูแลระบบ Linux?
Q6- คุณต้องการแนะนำซอฟต์แวร์ความปลอดภัยส่วนเสริมส่วนขยาย ฯลฯ ให้กับผู้ชมของเราที่มีความกังวลเกี่ยวกับความเป็นส่วนตัวและความปลอดภัยออนไลน์ของพวกเขาหรือไม่? มีวิธีการที่ป้องกันไม่ได้ในการป้องกันออนไลน์สูงสุดหรือไม่?
เนื่องจากส่วนหนึ่งของธุรกิจของฉันกำลังตรวจสอบประสิทธิผลของการแก้ปัญหาเชิงป้องกันฉันมั่นใจว่าคุณจะเข้าใจว่าฉันยังคงต้องเป็นผู้ขายที่ไม่เชื่อเรื่องพระเจ้าในการสัมภาษณ์ เป็นสิ่งสำคัญที่จะต้องทราบว่าไม่มีสิ่งเช่นความปลอดภัยที่จะเข้าใจผิดได้ ในความเป็นจริงฉันเชื่อมั่นอย่างยิ่งว่ากลยุทธ์ทางการตลาดของผู้ค้าความปลอดภัยเชิงป้องกันของ“ หากคุณติดตั้งซอฟต์แวร์ของเรา (หรือใส่กล่องของเราในเครือข่ายของคุณ) คุณไม่ต้องกังวลเกี่ยวกับความปลอดภัยอีกต่อไป” รายละเอียดสูงที่เราเห็นในวันนี้
รัฐวิสาหกิจที่ได้รับแจ้งจากผู้จำหน่ายมืออาชีพเหล่านี้ได้รับเงินจำนวนมากจากปัญหาด้านความปลอดภัย แต่มองข้ามสิ่งต่าง ๆ เช่นการรับรู้แพตช์และการรับรู้เรื่องฟิชชิ่ง และในขณะที่เราเห็นครั้งแล้วครั้งเล่าไม่มีวิธีแก้ปัญหาป้องกันจะหยุดทุกอย่าง
Q7- จากมุมมองของแฮ็กเกอร์มันยากที่จะแฮ็คใครสักคนหากพวกเขามี VPN ที่ทำงานบนอุปกรณ์สมาร์ทโฟนของพวกเขา VPN มีประสิทธิภาพเพียงใด คุณใช้อะไรบ้าง?
เช่นเดียวกับการโจมตีส่วนใหญ่ในทุกวันนี้การโจมตีทางโทรศัพท์มือถือส่วนใหญ่เกี่ยวข้องกับวิศวกรรมสังคมบางประเภทซึ่งมักเป็นส่วนหนึ่งของการแสวงหาผลประโยชน์ เช่นเดียวกับผลิตภัณฑ์ป้องกัน VPN จะมีประโยชน์ต่อการโจมตีและการดักฟังอย่างแน่นอน แต่ตราบใดที่ผู้ใช้มือถือกำลังดาวน์โหลดแอปพลิเคชั่นที่เป็นอันตรายโปรไฟล์การจัดการ ฯลฯ และการเปิดลิงก์ที่เป็นอันตรายบนอุปกรณ์สมาร์ทโฟนนั้น ไปไกล
ฉันขอแนะนำให้ผู้ใช้ใช้ VPN โดยเฉพาะอย่างยิ่งในเครือข่ายสาธารณะรวมถึงผลิตภัณฑ์ด้านความปลอดภัยอื่น ๆ แน่นอน ฉันแค่ต้องการให้ผู้ใช้ยังคงระมัดระวังเกี่ยวกับท่าทางความปลอดภัยของพวกเขามากกว่าที่จะพึ่งพา แต่เพียงผู้เดียวในผลิตภัณฑ์เหล่านี้เพื่อปกป้องพวกเขา
Q8- ด้วยการเติบโตอย่างรวดเร็วของอุปกรณ์อัจฉริยะและการพัฒนาอย่างไม่น่าเชื่อในด้านของ IOT คุณคิดว่าเป็นภัยคุกคามความปลอดภัยและช่องโหว่ที่อาจติดแท็กได้หรือไม่
ฉันเห็นภัยคุกคามจากมือถือและ IoT เหมือนกับอุปกรณ์ดั้งเดิมที่มีจุดเข้าและออกมากกว่า บนคอมพิวเตอร์ Windows มีการคุกคามของการโจมตีด้วยรหัสระยะไกลที่ผู้ใช้ไม่ต้องทำอะไรเพื่อให้การโจมตีสำเร็จการโจมตีฝั่งไคลเอ็นต์ที่ผู้ใช้ต้องการเปิดไฟล์ที่เป็นอันตรายไม่ว่าจะเป็นเว็บเพจ PDF และ ปฏิบัติการได้ ฯลฯ นอกจากนี้ยังมีการโจมตีทางวิศวกรรมทางสังคมและการเพิ่มสิทธิ์ระดับท้องถิ่น
การแก้ไขขาดหายไปรหัสผ่านง่ายต่อการคาดเดาซอฟต์แวร์ของบุคคลที่สามไม่ปลอดภัยรายการจะดำเนินต่อไป ในมือถือและ IoT เราจัดการกับปัญหาเดียวกันเหล่านั้นยกเว้นเพียงแค่การเชื่อมต่อแบบใช้สายหรือไร้สายเรามีโมเด็มมือถือ Zigbee, Bluetooth, Near Field Communication เพียงเพื่อระบุชื่อของเวกเตอร์การโจมตีที่อาจเกิดขึ้น การป้องกันการสูญหายของข้อมูลถูกปรับใช้ หากข้อมูลที่เป็นความลับถูกดูดออกจากฐานข้อมูลโดยอุปกรณ์พกพาที่ถูกบุกรุกแล้วส่งไปยังเครือข่ายเซลลูลาร์ผ่าน SMS เทคโนโลยีการป้องกันทั้งหมดในโลกที่ขอบเขตเครือข่ายจะไม่สามารถดักจับได้ ในทำนองเดียวกันเรามีวิธีมากขึ้นกว่าที่เคยที่ผู้ใช้สามารถออกแบบทางสังคม
แทนที่จะเป็นเพียงแค่อีเมลและโทรศัพท์ตอนนี้เรามี SMS, โซเชียลมีเดียเช่น Whatsapp และ Twitter, รหัส QR, รายการของวิธีการมากมายที่ผู้ใช้อาจถูกกำหนดเป้าหมายเพื่อเปิดหรือดาวน์โหลดสิ่งที่เป็นอันตรายไปเรื่อย ๆ
คำถามที่ 9 - มีการประชุมด้านความปลอดภัยใด ๆ ที่คุณรอคอยใช่ไหม ถ้าใช่แล้วนั่นคืออะไร
ฉันชอบที่จะเห็นสถานที่ใหม่และพบปะผู้คนใหม่ ๆ ดังนั้นฉันจึงพร้อมสำหรับการเดินทางไปยังดินแดนต่างประเทศเพื่อทำการประชุม ปีนี้ฉันได้รับเชิญให้เป็น Keynote RastacCon! ในจาเมกา ปีที่แล้วฉันมีช่วงเวลาที่ยอดเยี่ยมในการไปเยือนซัลวาดอร์ประเทศบราซิลซึ่งเป็นประเด็นสำคัญสำหรับการประชุม Roadsec นอกจากนี้ในปีนี้ฉันกำลังพูดถึง Carbon Black Connect ซึ่งเป็นสถานที่ที่ดีสำหรับฉันเนื่องจากฉันกำลังทำงานเพื่อเป็นที่รู้จักในโลกธุรกิจเช่นเดียวกับฉันในโลกอินโฟ แม้จะอยู่ในลาสเวกัสที่มีผู้คนพลุกพล่าน แต่ค่ายฤดูร้อนของ infosec (Blackhat, Defcon, BSidesLV และกิจกรรมอื่น ๆ ที่หลากหลายในเวลาเดียวกัน) เป็นวิธีที่ยอดเยี่ยมในการติดต่อกับผู้คนจำนวนมากจากอุตสาหกรรมและดูว่าพวกเขาทำอะไร ไปยัง
Q10 - แผนการในอนาคตของคุณคืออะไร? คุณจะเขียนหนังสืออีกเล่มหนึ่งหรือไม่? ก่อตั้ง บริษัท อื่นหรือไม่ ปรับขนาดที่มีอยู่หรือไม่ Georgia Weidman กำลังมองหาอะไรที่จะทำให้สำเร็จในชีวิตของเธอต่อไป?
ฉันกำลังเสร็จสิ้นการทดสอบการเจาะระบบรุ่นที่ 2: บทนำเกี่ยวกับการแฮ็ก ฉันอยากจะเขียนหนังสือทางเทคนิคที่เป็นมิตรกับผู้เริ่มต้นเพิ่มเติมในอนาคต แม้ว่าฉันจะลงทุนนางฟ้าเพียงแค่ไม่กี่ครั้ง แต่ฉันหวังว่าจะสามารถลงทุนและให้คำปรึกษาผู้ก่อตั้งผู้เริ่มธุรกิจรายอื่น ๆ ในอนาคตโดยเฉพาะผู้ก่อตั้งทางเทคนิคอย่างฉันและทำสิ่งต่าง ๆ เพื่อช่วยเหลือผู้หญิงและชนกลุ่มน้อย
ฉันได้เรียนรู้อะไรมากมายจากการเริ่มต้น แต่ฉันก็เป็นหนึ่งในสายพันธุ์ที่หายากที่จริง ๆ แล้วแค่อยากจะทำวิจัยด้านความปลอดภัย โพสต์สตาร์ทอัพฉันจินตนาการว่าตัวเองกำลังทำวิจัยด้านความปลอดภัยเต็มเวลาซักพัก ไม่เกี่ยวข้องกับเทคโนโลยีอย่างสมบูรณ์ แต่ถ้าคุณติดตามฉันในโซเชียลมีเดียคุณอาจสังเกตเห็นว่าฉันเข้าร่วมการแข่งขันขี่ม้าดังนั้นปีนี้ Tempo ม้าของฉันและฉันหวังว่าจะชนะรอบชิงชนะเลิศสมาคมแสดงม้าแห่งเวอร์จิเนีย ในระยะยาวฉันต้องการอุทิศเวลาและทรัพยากรมากขึ้นในการจับคู่ม้ากู้ภัยกับเจ้าของที่สมควรได้รับและประหยัดเต่าทะเล
“ คุณไม่สามารถแก้ไขความปลอดภัยด้วยผลิตภัณฑ์ป้องกันเพียงอย่างเดียว การทดสอบเป็นส่วนที่จำเป็นและมักมองข้ามความปลอดภัย ผู้โจมตีที่แท้จริงจะบุกเข้ามาในองค์กรของคุณอย่างไร พวกเขาจะสามารถหลีกเลี่ยงวิธีการป้องกันของคุณได้หรือไม่? (คำแนะนำ: ใช่) ” - Georgia Weidman
