聘請經過認證的道德駭客的 12 個好處

[Jhon Dolton]

你可能聽過這句話「你不知道你不知道什麼」。 這是大多數人都曾經歷過的學習階段 破解服务器。 在網路安全方面，駭客透過找到您錯過的安全漏洞和漏洞來取得成功。 惡意攻擊者確實如此。 但這也適用於您身邊的同等人：經過認證的道德駭客。

經過認證的道德駭客 (CEH) 可以成為您抵禦威脅行為者的最佳專家之一。

什麼是道德駭客？
道德駭客是專業的滲透測試人員、進攻性安全研究員以及實踐網路駭客黑暗藝術的顧問或員工。 「道德駭客」一詞是由 IBM 前高管約翰·帕特里克 (John Patrick) 在 20 世紀 90 年代創造的，旨在將建設性駭客與新興網路犯罪世界區分開來。

道德和惡意網路安全專家都可以使用類似的技術來破壞系統並存取公司網路上的資料。 不同之處在於，人們試圖利用缺陷和漏洞來謀取個人利益。 另一個則試圖為了客戶的利益而修復它們。 他們有時也被稱為白帽駭客（與攻擊者或黑帽駭客相對）。 道德駭客利用他們的攻擊技巧來為「受害者」謀取利益。

所有道德駭客的共同點是，他們試圖從威脅行為者的角度來看待客戶的系統。

自由職業道德駭客，因為漏洞賞金提供的獎勵或僅僅是它的挑戰而從事這項工作，可以幫助發現漏洞。 任何人都可以進行道德駭客攻擊。 但只有經過認證的道德駭客才能證明他們擁有大多數組織應該尋求的知識範圍。

什麼是經過認證的道德駭客？
非政府組織的道德駭客認證存在兩個層面。 通過知識測試後即可獲得基本的 CEH 認證。 在下一個級別，CEH 大師級別需要在模擬系統上成功進行滲透測試。

CEH 許可證由三大團體頒發：國際電子商務顧問委員會、資訊保障認證審查委員會提供的認證滲透測試員課程以及全球資訊保障認證。 您可以透過許多線上資源找到 CEH 的教育和考試準備。 培訓和測試都可以在線上完成。

雄心勃勃的年輕網路安全工作者可以（而且可能應該）獲得 CEH 認證作為培訓的一部分。 即使他們無意擔任全職 CEH，這也是有幫助的。

道德駭客擁有哪些技能？
經過認證的道德駭客需要三大技能領域。 首先是尋找差距和漏洞所需的技能和知識。 這種培訓的關鍵要素是廣度。 由於認證過程的原因，CEH 專家在一般駭客攻擊領域不會出現盲點。

第二個是創造力——跳出框框思考並嘗試突破網路的令人驚訝的方式。 這實際上是一項比聽起來更重要的工作。 使用 CEH 的客戶應嘗試採取保護措施，免受各種駭客攻擊。 CEH 的角色是發現盲點、差距和漏洞。

第三個是可信度——獲取敏感公司資料的存取權限，同時始終保護資料並且絕不濫用客戶授予的存取權限的專業實踐。 CEH 專業人士必須認真對待其頭銜中的道德部分。 除了獲取敏感或私人資料並保持其隱私和安全性之外，CEH 還將其社會工程限制在道德版本上。 例如，將拇指驅動器扔在停車場，看看員工是否撿起並插入電源是合乎道德的。但使用暴力威脅或侵犯個人隱私的行為是不道德的，也違反了 CEH 職業準則。員工資料。

如何使用道德駭客
經過認證的道德駭客對您組織的網路安全工作非常有幫助。 以下是他們可以帶來的簡短清單：

尋找漏洞，無論是軟體、實體安全或政策方面的漏洞
垃圾箱潛水並掃描公共網站尋找有助於攻擊的信息
使用連接埠掃描工具進行連接埠掃描，查找開放埠
弄清楚威脅行為者如何逃避防火牆、蜜罐和入侵偵測系統
滲透測試（滲透測試和一般道德駭客之間的區別在於，滲透測試是有計劃的，並且更集中於網路安全的特定方面）
幫助運行網路安全危機模擬
揭露內部威脅
參與並幫助組織紅隊/藍隊練習
執行網路流量分析
進行各種隱蔽的社會工程駭客攻擊。 他們不僅可以測試網路安全系統和政策，還可以測試員工的知識、意識和準備。
審查和測試補丁安裝過程，以確保您的員工以最有效的方式進行安裝
向安全團隊介紹網路犯罪分子使用的最新方法。
簡而言之，CEH 可以充當網路安全防禦「產品」的 beta 測試人員或品質保證工程師。

如果您沒有經過認證的道德駭客怎麼辦？
CEH 的員工很棒。 但如果您沒有，您可以聘請自由工作者來完成這項工作。 自由道德駭客將駭客作為一種服務，就像壞人一樣。

另一個成本較低的選擇是組織一個內部團隊來嘗試道德駭客攻擊。 它可能不如僱用經過認證的道德駭客好，但總比沒有好。 或者，您可以向企業外部的人員提供賞金，讓他們嘗試突破您的網路防禦。

最重要的是，CEH 的工作非常有價值。 您需要對網路安全基礎設施、專業知識、員工培訓以及其他所有方面的投資進行測試。