In der heutigen Welt, in der große und kleine Unternehmen in hohem Maße von Cyberangriffen und Datenverletzungen betroffen sind, sind die Ausgaben für Cybersicherheit in die Höhe geschossen. Unternehmen geben Millionen von Dollar aus, um ihre Cyber-Abwehrkräfte zu schützen. Und wenn wir über Cybersicherheit und Informationssicherheit sprechen, ist Georgia Weidman einer der wenigen bekannten Namen in der Branche, die in den Sinn kommen.
Georgia Weidman ist Ethical Hacker, Penetration Tester, CEO von Shevirah Inc / Bulb Security LLC und Autor des Buches „Penetration Testing: Eine praktische Einführung in das Hacken“.
Hier ist ein exklusives Interview von Georgia Weidman mit unserem Team von Ivacy, in dem wir einige Fragen zu ihr und Cyber Security im Allgemeinen gestellt haben:
Q1 - Hallo Georgia, wir freuen uns sehr über Ihren Besuch und waren total beeindruckt, wie viel Sie in kurzer Zeit erreicht haben. Was bringt Sie in diese Infosec-Branche? Wie hast du deine Reise als ethischer Hacker begonnen?
Ich ging früh aufs College, mit 14 statt der üblichen 18. Und ich machte ein Mathematikstudium, weil ich kein Informatiker werden wollte. Meine Mutter war eine und welcher Teenager möchte wie seine Eltern sein?
Aber dann konnte ich mit 18 Jahren keinen richtigen Job mit nur einem Bachelor-Abschluss und ohne Berufserfahrung finden. Ich wurde gebeten, einen Master-Abschluss in Informatik zu machen, und sie wollten mir Geld geben! Das war besser, als mit meinen Eltern leben zu müssen.
Also nahm ich am Masterstudiengang teil und die Universität hatte einen Cyber Defense Club. Der Kapitän des Cyber Defense Clubs schien wirklich interessant zu sein und ich wollte mehr über ihn erfahren. Da ich nichts über Cybersicherheit wusste, trat ich dem Cyber Defense Club bei und wir nahmen am Mid-Atlantic Cyber Defense Competition teil. Nun, ich habe gelernt, dass Cybersicherheit interessanter ist als der Typ, aber ich habe auch herausgefunden, was ich mit meinem Leben anfangen wollte.
F2- Was war Ihre Inspiration und Motivation für das Schreiben Ihres Buches „Penetration Testing“?
Ich wollte das Buch schreiben, von dem ich mir wünschte, ich hätte es, als ich in der Infosek angefangen habe. Als ich anfing und versuchte, so viel über die verfügbaren Tutorials zu lernen, sammelte ich so viel Vorwissen, dass ich das technische Äquivalent dazu tat, alle Wörter im Wörterbuch nachzuschlagen. Dann diese Wörter im Kinderwörterbuch, um sogar eine Vorstellung davon zu bekommen, wie die Dinge funktionierten, und noch viel weniger, warum sie funktionierten.
Als ich um Hilfe bat, bekam ich eine Menge "Steig von n00b" oder "Try Harder!" Anstatt Erklärungen. Ich wollte es denjenigen, die nach mir kamen, leichter machen und diese Lücke mit meinem Buch füllen.
Q3- So interessant der Name auch ist, erzählen Sie uns von Ihrem Unternehmen Bulb Security und wie alles begann?
Ich habe tatsächlich zwei Unternehmen, Shevirah Inc. und Bulb Security LLC. Ich habe mit Bulb angefangen, als ich ein DARPA Cyber Fast Track-Stipendium zum Aufbau des Smartphone Pentest Framework erhalten habe, und wurde daraufhin verwiesen, dass ich die Kühnheit hatte, das Stipendium unabhängig zu beantragen.
Zusätzlich zu den Forschungsprojekten baute ich zu diesem Zeitpunkt ein Beratungsgeschäft für Penetrationstests, Schulungen, Reverse Engineering und sogar Patentanalysen auf. In meiner Freizeit bin ich außerdem Professor am University of Maryland University College und an der Tulane University.
Ich habe Shevirah gegründet, als ich mich dem Mach37-Startup-Accelerator angeschlossen habe, um meine Arbeit mit Penetrationstests, Phishing-Simulationen und vorbeugender Kontrollvalidierung für das Internet der Dinge zu produktivieren IoT-Sicherheitslage und wie man sie verbessert.
Frage 4: Erzählen Sie uns von der aufregendsten Zeit, in der Sie wirklich stolz auf Ihren Job als Penetrationstester waren.
Jedes Mal, wenn ich einsteige, besonders auf eine neue Art und Weise, habe ich den gleichen Ansturm wie beim ersten Mal. Ich bin auch stolz darauf, Stammkunden zu haben, die nicht nur alles behoben haben, was wir zum ersten Mal gefunden haben, sondern auch ihre Sicherheitslage weiter verbessert haben, da in der Zeit zwischen den Tests neue Sicherheitslücken und Angriffe bekannt wurden.
Wenn ein Kunde nicht nur das ändert, worauf ich mich eingelassen habe, sondern auch eine ausgereiftere Sicherheitsposition für das gesamte Unternehmen aufbaut, bedeutet dies, dass ich viel mehr bewirkt habe, als nur zu zeigen, dass ich Domänenadministratoren damit erreichen kann LLMNR-Vergiftung oder EternalBlue.
Frage 5: Welche Vorschläge oder Karrieretipps möchten Sie denjenigen geben, die ihre Reise im Bereich ethisches Hacken und Penetrationstests antreten möchten? Dabei kann es sich um beliebige Online-Kursvorschläge, Zertifikate oder einen Bildungsabschluss handeln.
Ich würde mein Buch Penetration Testing empfehlen: Natürlich eine praktische Einführung in das Hacken. Ich würde auch vorschlagen, an lokalen Hacker-Meetings oder Konferenzen teilzunehmen, wie z. B. einem lokalen DEF CON-Gruppenkapitel oder Security BSides. Dies ist eine großartige Möglichkeit, potenzielle Mentoren und Kontakte in der Branche zu knüpfen. Ich würde auch vorschlagen, ein Forschungsprojekt oder eine Klasse zu machen.
Dies ist der Wettbewerb, der mich in erster Linie zu #infosec gebracht hat. Es gibt Wettbewerbe in Regionen im ganzen Land sowie ein Staatsangehöriger für die regionalen Gewinner. Ein guter Ort, um Ihre Outreach-Dollars und Freiwilligenstunden zu investieren. https://t.co/TcNLC7r8tV
- Georgia Weidman (@georgiaweidman) 28. Februar 2019
So viele Leute denken, Sicherheitsforschung sei dunkle Magie, die geheimnisvolle Fähigkeiten über das Innenleben des Bootloaders erfordert, aber in den meisten Fällen ist dies nicht der Fall. Selbst wenn Sie gerade erst anfangen, verfügt jeder über Fähigkeiten, die für andere auf dem Gebiet hilfreich sind und die sie teilen können. Vielleicht können Sie hervorragend in Word formatieren oder haben jahrelange Erfahrung als Linux-Systemadministrator?
F6- Möchten Sie unserer Zielgruppe Sicherheitssoftware, Add-Ons, Erweiterungen usw. vorschlagen, die sich um ihre Online-Privatsphäre und -Sicherheit sorgen? Gibt es narrensichere Methoden für maximalen Online-Schutz?
Angesichts der Tatsache, dass ein Teil meines Geschäfts darin besteht, die Wirksamkeit vorbeugender Lösungen zu überprüfen, werden Sie sicher verstehen, dass ich in Interviews herstellerunabhängig bleiben muss. Es ist wichtig zu beachten, dass es keine narrensichere Sicherheit gibt. Tatsächlich glaube ich fest daran, dass die Marketingstrategie vorbeugender Sicherheitsanbieter "Wenn Sie unsere Software installieren (oder unsere Box in Ihr Netzwerk stellen), müssen Sie sich keine Sorgen mehr um die Sicherheit machen" die Hauptursache für viele von ihnen ist die hochkarätigen Verstöße, die wir heute sehen.
Unternehmen, die von diesen sogenannten Experten informiert wurden, werfen eine Menge Geld in das Sicherheitsproblem, übersehen jedoch Dinge wie das Patchen und das Phishing-Bewusstsein, weil ihre Anbieter angaben, sie hätten alles abgedeckt. Und wie wir immer wieder sehen, kann keine vorbeugende Lösung alles aufhalten.
F7 - Wie schwierig wird es aus Sicht eines Hackers, jemanden zu hacken, wenn auf seinem Smart Device ein VPN ausgeführt wird? Wie effektiv sind VPNs? Benutzt du welche?
Wie die meisten Angriffe heutzutage beinhalten die meisten mobilen Angriffe eine Art Social Engineering, oft als Teil einer größeren Ausbeutungskette. Wie bei den vorbeugenden Produkten kann ein VPN sicherlich gegen einige Angriffe und das Abhören hilfreich sein, aber solange mobile Benutzer bösartige Anwendungen, Verwaltungsprofile usw. herunterladen und bösartige Links auf ihren Smart-Geräten öffnen, kann ein VPN nur geh so weit.
Ich möchte die Benutzer ermutigen, VPNs, insbesondere in öffentlichen Netzwerken, sowie andere Sicherheitsprodukte zu verwenden. Ich möchte nur, dass Benutzer weiterhin wachsam in Bezug auf ihre Sicherheitslage sind, anstatt sich ausschließlich auf diese Produkte zu verlassen, um sie zu schützen.
Frage 8: Welche potenziellen Sicherheitsbedrohungen und Sicherheitslücken sind angesichts des exponentiellen Booms intelligenter Geräte und der unglaublichen Entwicklung im Bereich IOT Ihrer Meinung nach am wahrscheinlichsten?
Ich betrachte die Bedrohungen für Mobilgeräte und das Internet der Dinge als dieselben wie für herkömmliche Geräte mit mehr Ein- und Ausstiegspunkten. Auf einem Windows-Computer drohen Remotecodeausführungsangriffe, bei denen der Benutzer nichts tun muss, um den Angriff erfolgreich auszuführen, und clientseitige Angriffe, bei denen der Benutzer eine schädliche Datei öffnen muss, sei es eine Webseite, eine PDF oder eine ausführbare Dateien usw. Es gibt auch Social-Engineering-Angriffe und die Eskalation lokaler Rechte.
Patches fehlen, Passwörter sind leicht zu erraten, Software von Drittanbietern ist unsicher, die Liste geht weiter. In Mobile und IoT haben wir mit denselben Problemen zu kämpfen, außer dass wir jetzt anstelle der kabelgebundenen oder kabellosen Verbindung das mobile Modem, ZigBee, Bluetooth und die Nahfeldkommunikation verwenden, um nur einige mögliche Angriffsmethoden sowie Möglichkeiten zur Umgehung von Angriffen zu nennen Verhinderung von Datenverlust implementiert. Wenn vertrauliche Daten von einem infizierten Mobilgerät aus der Datenbank entfernt und dann per SMS an das Mobilfunknetz gesendet werden, wird dies von der gesamten Präventionstechnologie der Welt am Netzwerkrand nicht erfasst. Ebenso haben wir mehr denn je Möglichkeiten, Benutzer sozial zu gestalten.
Statt nur per E-Mail und Telefonanruf haben wir jetzt SMS, soziale Medien wie WhatsApp und Twitter, QR-Codes, die Liste der unzähligen Möglichkeiten, auf die ein Benutzer abzielt, um etwas Bösartiges zu öffnen oder herunterzuladen, und so weiter.
F9- Gibt es Sicherheitskonferenzen, auf die Sie sich freuen? Wenn ja, welche?
Ich mag auch neue Orte sehen und neue Leute treffen. Deshalb bin ich immer bereit, in fremde Länder zu reisen, um Konferenzen zu veranstalten. Dieses Jahr wurde ich zur Keynote RastacCon eingeladen! in Jamaika. Letztes Jahr hatte ich eine wundervolle Zeit in Salvador, Brasilien, als Keynot einer der Roadsec-Konferenzen. Auch in diesem Jahr schreibe ich Carbon Black Connect, was für mich ein guter Ort ist, um in der Geschäftswelt genauso bekannt zu werden wie in der Infosec-Welt. Trotz des heißen und überfüllten Las Vegas ist das Infosec-Sommercamp (Blackhat, Defcon, BSidesLV und verschiedene andere Veranstaltungen gleichzeitig) eine großartige Möglichkeit, um viele Leute aus der Branche zu treffen und zu sehen, was sie bisher gemacht haben zu.
Q10- Was sind deine Zukunftspläne? Wirst du ein weiteres Buch schreiben? Eine andere Firma gründen? Die vorhandene skalieren? Was will Georgia Weidman in ihrem Leben noch erreichen?
Ich beende gerade die 2. Ausgabe des Penetrationstests: Eine praktische Einführung in das Hacken. Ich würde auf jeden Fall gerne in Zukunft weitere anfängerfreundliche Fachbücher schreiben. Obwohl ich bisher nur ein paar Engelsinvestitionen getätigt habe, hoffe ich, in Zukunft in andere Startup-Gründer, insbesondere technische Gründer wie mich, investieren und sie als Mentor unterstützen zu können und mehr für Frauen und Minderheiten in der Informationssicherheit zu tun.
Ich habe viel von einem Startup gelernt, aber ich gehöre auch zu dieser seltenen Rasse, die wirklich nur Sicherheitsforschung betreiben will. Nach dem Start stelle ich mir vor, ich mache nur eine Weile ganztägig Sicherheitsforschung. Völlig nicht mit Technologie verwandt, aber wenn Sie mir in den sozialen Medien folgen, haben Sie vielleicht bemerkt, dass ich an Pferdesportveranstaltungen teilnehme. In diesem Jahr hoffen mein Pferd Tempo und ich, das Finale der Virginia Horse Show Association zu gewinnen. Längerfristig würde ich gerne mehr Zeit und Ressourcen investieren, um Rettungspferde mit verdienten Besitzern zusammenzubringen und Meeresschildkröten zu retten.
„ Sicherheit kann man nicht allein mit vorbeugenden Produkten reparieren. Testen ist ein notwendiger und oft übersehener Teil der Sicherheit. Wie kann ein echter Angreifer in Ihre Organisation eindringen? Werden sie in der Lage sein, Ihre vorbeugende Lösung zu umgehen? (Hinweis: ja.) - Georgia Weidman
