渗透测试、监狱安全,和母亲

总有一个有趣的声音在RSA,看起来可能是一个不错的博客主题基于标题。今年是“我妈妈打入监狱然后我们派”的John Strand黑山信息安全。

笔测试是渗透测试。他们可以采取多种形式试图登录到一个系统,他们不应该试图进入大楼。这被称为物理测试笔,这可能包括从简单的寻找晚上打开的窗口。但常见的笔,和有关,是否有人能进入建设和伤害在工作时间:过去的警卫,通过任何锁着的门,等等。

约翰说这已经变得有点程式化的这些天,因为每个人都有点过于保守。笔测试人员不想尝试一些小说或者冒险。公司不想知道他们的安全是多么糟糕,他们想要通过测试。常见的方法是像冒充地铁交付(完整的制服,盒三明治,等等)。在最后RSA我参加了,我记得有人说梯子是伟大的,因为人们会为你打开门,把它从你的手中。

但是,正如约翰说,“一致性是廉价…但一致性是平庸的。”

另一方面,你也不想吓到组织自“恐惧并不是一个很好的教学工具。“你想展示的公司雇佣了你会发生什么,但是没有说类似于“我要进入你的计算机系统,CEO的电脑,读他的私人邮件…”他们的反应将不会“太好了,”这将是“永远不会再雇用黑山安全。”

丽塔
丽塔是约翰的(当时)58-year的老母亲。三件事约翰告诉我们相关的丽塔:

• 她曾经是学校食品服务总监,是所有的自助餐厅的主管学校的学区。
• 她成为了黑山的首席财务官信息安全。
• 阅读很多报告进入公司之后,她真的想做笔测试自己。

所以丽塔想试试看。所以约翰建议地铁三明治,或者些简单的东西。

“那永远不会工作,”丽塔说。

“为什么?”

“我看起来像三明治艺术家吗?”

她看着监狱的细节他们应该进入说,“我会在五分钟!我要给,我要成为一个健康检查。”

记住,她通过数以百计的卫生检查。她知道他们是如何做的。

“我有剪贴板,我有表,我会给他们一个完整的健康检查,我要插入你的u盘,它不会花很长时间。在不到一个小时。”

他们由一个合适的函件徽章。丽塔实际打印几份形式所使用的卫生检查员在该地区。丽塔不是技术所以他们不想让她试图破解任何计算机系统。他们只是给了她一串USB拇指驱动器,当插入电话回家,这样他们会知道他们已经成功地破坏另一台计算机。显然,这些词是“橡胶的鸭子”虽然我从没注意到约翰在他的演讲中使用短语从有线文章表现出来的前一天他甚至给它。

这是设置。约翰和他的同事们要呆在咖啡店。他妈妈将车,开车到监狱,她做的评估,他们会等着他们的笔记本电脑,并等待信号灯尽快回来她开始堵塞的东西。汽车驶离,半个小时…什么都没有。没有电话,没有信号。约翰开始恐慌,因为他没有车,走着去太远了。

突然,本,他的同事说,“她一定是好的。”

“你怎么知道她没事吧?”

“我们是贝壳。”

十五分钟后,另一个连接。十五分钟之后,他们得到一个连接电脑的监狱的主管。“不仅是妈妈成功,妈妈是个坏蛋。”

她最终出现,没有费心去打电话说她和安全。

“妈妈,怎么了?告诉我关于它吗?”

“嗯,他们实际上只有82的总分。冰箱里没有设定在适当的温度,我注意到他们的下沉不干净。他们没有任何漂白剂…。”

“但…但…评估呢?”

“哦,是的,评估。我差点忘了。”

“发生了什么?”

“我出现,去了前门,说我是个意外健康卫生检查员检查。”

所以他们问她她需要去的地方,她说她需要访问员工休息区,也员工办公室,因为有时候人们把食物垃圾在垃圾桶,他们不应该,”我也需要看看你的NOC。我需要确保温度是正确的,湿度是正确的。”

她整个录音时间,显然你可以听到这家伙的叮当声衣柜钥匙打开网络。然后他说“你好吗?”,走开了。

结果发生了什么是,她已经完成了整个健康检查,然后忘记了为什么她的存在!她回到地方插入u盘。她几乎完成,导演叫她到她的办公室。所以她在整个健康检查,和所有的问题,需要解决。

最后,导演说:“有什么方法我们可以准备好吗?”

丽塔说,“是的。在这个USB驱动器是一个文档,一个自我评估问卷…”玩弄了!

教训
他们写了一版为例。从那以后,他们会经常得到客户会说,“我们想要一个自我评估,但你不能用丽塔。”

约翰原路返回他开,他说,很多客户不愿意尝试新事物。他们不想使用丽塔,因为他们知道这是去工作。

“这进入权力的问题,我们如何处理权力。我妈妈有了背景,培训,和她处理的权威。人几乎从未想质疑权威。我妈妈从未有挑战。第一,我们需要做得更好的训练人们的挑战。第二,如果你在一个权威的位置,有人挑战你的权威,你呢不炸掉。”

约翰另一个教训是尊重用户,因为没人喜欢被奉承,他们可以告诉。“让我给你一个例子。我们擅长安全,在RSA。你可能在它的尖矛的安全。人不擅长其他的事情,会计、数学、钩针。他们擅长别的,因为他们把他们的时间和精力。不要像它的人群,把用户当作白痴。”

用故事不统计
思考如何传达的想法,人们需要更舒适挑战每个人,甚至是权威的人。你可以有很多的统计信息是多么容易避开那些不,之类的。或者,你可以讲述一个故事点。这样的演讲。

另一个好故事
另一个伟大的和难忘的故事是一个我写了我的帖子一些真正的俄罗斯黑客。两个黑客挑战一个电视频道黑客的生产商之一,她在一次会议上他们都参加在莫斯科。故事的结局(有视频)是面试的两个节目生产者,他们给她一个小旗…之前承认他们买了她的信用卡,在使用她的超级账户到旗店,并使用微博后她蓝格子ID。