Кевин Митник - Искусство вторжения

Как мудро писал китайский философ Сун Тзу (Sun Tzu) в своей книге «Искусство войны» (Oxford University press: New York , 1963): «Познайте себя и познайте вашего врага, тогда в сотне битв вы избежите поражения. Даже если вы хорошо знаете себя, но не знаете вашего врага, — ваши шансы на победу и поражение примерно равны…» Идея понятна: ваши соперники могут потратить любое время на проникновение туда, куда им нужно. Поэтому вам следует провести оценку различных рисков, чтобы четко понять степень угрозы для вашей компании, и все обнаруженные угрозы надо принимать во внимание при разработке стратегии безопасности. Если вы будете готовы к нападению, и постоянно будете продумывать, внедрять и совершенствовать ваши методы защиты безопасности, то вам удастся сдерживать атаки хакеров.

Как мы уже отмечали, любой серьезный хакер может проникнуть куда угодно, но ваша цель — сделать его жизнь настолько сложной и утомительной, чтобы «овчинка не стоила выделки».

В начале предыдущей главы мы предостерегали читателей, что людям без технического образования будет трудно воспринять некоторые ее части. Это еще более справедливо для этой главы. Но советую вам все же прочитать ее. поскольку история просто удивительная. И суть ее вполне можно понять, опуская сложные технические детали.

ГДЕ - ТО В ЛОНДОНЕ

Итак — мы находимся где-то в лондонском Сити.

Картина следующая: большая комната без окон в глубине здания, где тусуется технический персонал. Прекрасная иллюстрация для историй о «хакерах, как о существах, далеких от общества и не связанных с ним», работающих каждый за собственным компьютером и связанных друг с другом только «в удаленном доступе».

Давайте назовем одного из них Луисом. Он вырос в маленьком городке в северной Англии и начал общаться с компьютером в возрасте семи лет, когда его родители купили «какое-то старое железо», чтобы дети получили представление о современной технологии. Он начал заниматься хакерством еще в школе, когда случайно обнаружил список всех пользователей и их паролей, и его любопытство впервые зашевелилось. Этим первым хакерским опытом он нажил себе большие проблемы, так как один из студентов старших курсов («префект» по английской терминологии) поймал Луиса. Но эта неудача не отвратила его от компьютерных секретов.

Теперь высокого темноволосого взрослого Луиса больше не волнуют достижения в «самых английских видах спорта» — крикете и футболе, которые так занимали его, когда он был школяром.

ПОГРУЖЕНИЕ

Некоторое время тому назад Луис со своим приятелем Броком занимались совместным проектом. Их мишенью была компания, расположенная где-то в Европе — компания, занимающаяся безопасностью, перевозящая большие суммы денег, а также и заключенных из тюрьмы в суд и обратно, и из одной тюрьмы в другую. ( Т о , что одна и та же компания занимается перевозкой денег и заключенных, необычно для американцев, но это вполне общепринято в Европе и в Англии).

Любая компания, которая объявляет, что занимается чем-то, связанным с безопасностью, берет на себя большую ответственность. Если они занимаются безопасностью, означает ли это, что хакеры не могут взломать их систему? Для любой группы ребят с хакерским менталитетом подобная декларация звучит как вызов, особенно, если вначале у ребят нет ничего, кроме названия компании.

«Мы относились к этому, как к проблеме, которая должна быть решена. Поэтому сначала мы должны были отыскать как можно больше информации об этой компании», — говорит Луис. Они начали с того, что стали искать упоминания о компании в Google, используя Google даже для перевода текстов, поскольку никто из них не говорил на языке той страны, где была расположена их мишень.

Автоматический перевод давал им вполне достаточное представление о том, чем занимается компания и насколько велик ее бизнес. Но им было непросто организовывать атаки социальной инженерии из-за языкового барьера.

Они смогли определить общедоступные IР-адреса компании для Интернет-сайта и почтового сервера из европейского регистра IP-ад-ресов (RIPE), аналогичного A R I N в США.