Setelah peluncuran bukunya, seorang hacker yang telah direhabilitasi, Kevin Mitnick berbicara tentang pekerjaannya sebagai konsultan keamanan kepada Tim Phillips (vnunet.com, 22 Mar 2005)
Antara 1995 dan 2000, Kevin Mitnick dipenjara di penjara Federal AS karena eksploitasi hackingnya. Itu adalah karir yang dimuat halaman depan surat kabar di seluruh dunia, dan ketakutan pemerintah AS begitu besar sehingga mereka menolak banyak hal bahkan penggunaan telepon saat dia berada di balik jeruji, khawatir jika dia dalam keadaan yang entah bagaimana mengkompromikan tentang keamanan nasional.
Setelah bebas, Mitnick telah berubah: ia memiliki kesibukan sebagai pendiri Defensive Thinking, sebuah konsultan yang membantu perusahaan-perusahaan menguji dan meningkatkan keamanan mereka, dan juga menerbitkan buku, dan bahkan menghabiskan waktu sebagai host acara radio di Los Angeles.
Ketika dia dibebaskan, Mitnick bahkan tidak diizinkan untuk menggunakan komputer. Kini pembatasan pemerintah AS masih diterapkan kepadanya yaitu larangan mengambil keuntungan dari kisah hidupnya sendiri sampai Januari 2007.
Sementara itu, Mitnick dan asisten penulis, William Simon telah sibuk dengan kompilasi The Art of Intrusion (Wiley Publishing), sebuah kompilasi cerita nyata hacking yang dituturkan kepada Mitnick oleh sesama hacker.
Pada minggu saat buku ini diterbitkan di Inggris, vnunet.com menemui Mitnick di Milan di mana ia berbicara kepada sekelompok petugas utama informasi pada keamanan komputer.
kisah-kisah dalam The Art of Intrusion yang belum pernah dituturkan sebelumnya, apakah benar ada sesuatu yang baru di dunia hacking?
Buku ini memang untuk audiens bisnis secara umum. Apa yang saya ingin tunjukkan adalah bagaimana attackers bekerja hari ini, titik-titik serangan yang paling umum, apa tujuan mereka dan bagaimana mereka menutupi jejak mereka.
Apakah ada beberapa bentuk baru serangan? Tidak. Keamanan komputer digunakan untuk panggilan perang, sekarang perang tengah berjalan. Dulu memakai dialing numbers dan berusaha mencari modem. saat ini ada kesamaan tetapi berbeda: kamu pergi dan menemukan jaringan nirkabel. Semuanya adalah sama,hal itu tidak sepenuhnya berubah.
Apakah Anda memiliki cerita favorit di buku ini?
Las Vegas Hack [di mana sekelompok hacker membangun perangkat untuk memprediksi hasil video mesin poker]. Ini adalah sebuah pencurian perhatian, meskipun tidak menawarkan banyak teknis ‘kembali ke ruang kerja dan implementasikan sekarang’.
Saya suka kecerdikan para hacker dibandingkan dengan orang yang mudah tertipu yang seharusnya mereka mengetahui. Di Texas hack [di mana dua tahanan memperoleh akses ke komputer penjara untuk mengajari mereka sendiri tentang networking dan melewati waktu], hal ini hanya menarik saat orang-orang ini mengatur seluruh jaringan internet di bawah pengawasan pemerintah.
Mereka memiliki kemampuan untuk melakukan banyak penipuan, tetapi mereka memilih untuk mengambil pengalaman ini dan menggunakannya secara positif saat mereka keluar. Kedua orang ini sekarang memiliki karir di bidang komputer dan bersih. Ini seperti sebuah cerita sukses.
Bagaimana Anda tahu bahwa cerita dalam buku Anda adalah benar? Jika Anda seorang hacker, itu akan cukup menjadi sebuah penipuan untuk mengelabui Kevin Mitnick.
Banyak cerita yang kita ditolak karena kami tidak bisa melakukan pengecekan fakta dengan benar. Ini sangat sulit di dunia hacking untuk melakukan pengecekan fakta karena ada yang bisa memalsukan log.
Saya katakan ‘sediakan log’ dan mereka masuk ke Notepad dan membuatnya. Mungkin ada cerita yang benar-benar palsu–itu mungkin—tetapi saya menggunakan insting saya dan kembali mempertanyakan mereka. Ada kemungkinan bahwa aku ditipu, tapi aku melakukan due diligence terbaik yang aku bisa lakukan untuk mencoba memverifikasi keaslian dari cerita-cerita.
Anda mengubah nama-nama dalam buku dan tidak mengidentifikasi target, sehingga beberapa pembaca akan menjadi skeptis.
Dalam satu cerita dalam buku ini, dua orang yang profesional keamanan hari ini. Ketika mereka membawaku ke satu sisi dan menceritakan cerita itu, aku berkata: “Berapa tahun yang lalu ini?” karena saya tidak ingin ada tanggal. Dan mereka berkata: “Oh tidak, baru-baru ini.”
Aku seperti ‘Hah? Apakah Anda gila? Khusus untuk memberitahu saya. ” Meskipun mereka percaya padaku, itu lompatan besar iman untuk mengakui kegiatan kriminal. Mereka bisa dalam bahaya serius jika orang menemukan apa yang mereka lakukan.
Apa benar cerita dari pihak yang tidak kompeten bahwa laporan para hacker sesuai pengalaman Anda?
Kekasih saya mulai di perusahaan konstruksi Fortune 50, mereka menempatkan password dan empat digit terakhir adalah empat angka terakhir dari nomor jaminan sosial Anda.
Apa yang aneh adalah bahwa Anda tidak bisa mengubah mereka, dan mereka selalu menginginkan orang lain dalam grup anda untuk memiliki password anda jika anda jatuh sakit dan mereka ingin masuk ke dalam email Anda atau Lotus Notes Anda.
Beginilah bisnis benar-benar beroperasi, karena pada bagian dalam yang mereka pikirkan tentang kompetensi inti mereka adalah: membuat uang. Segala sesuatu menjadi tergantung pada waktu, menggunakan sumber daya komputasi untuk menyelesaikan pekerjaan. Itulah yang merupakan prioritas tinggi, tidak berpikir tentang keamanan.
Dalam buku tersebut, mudah-menebak password sering menjadi titik masuk bagi hacker.
Manajemen Password banyak klien saya tampaknya tidak memadai. Bila pengguna mengubah password yang kompleks mereka menuliskannya, dan orang-orang menyimpan password mereka di dalam email mereka sepanjang waktu.
Ketika saya melakukan test penetrasi akhir-akhir ini, dan mendapat hak admin, saya secara sederhana mencari password dalam semua dokumen. Saya menemukan bahwa departemen TI memiliki spreadsheet Excel yang bahkan memiliki kombinasi penyimpanan mereka, karena ketika orang menempatkan informasi mereka berpikir: “Dapatkah seseorang sampai ke sini nantinya?”
Hampir setiap perusahaan yang terus menerus saya nilai password-teksnya biasa disimpan dalam file di suatu tempat. Apa yang hacker lakukan? Langsung menuju ke admin sistem, departemen TI, langsung ke direktori orang-orang tersebut, melihat bash history mereka, dan Anda memiliki password SQL di sana.
Kini, Anda akan berasumsi bahwa CIO akan mengambil pemberitahuan kekurangan yang Anda tunjukkan.
Saya baru-baru ini melakukan security assessment. Aku telah menyelesaikan tahun lalu, menyusun laporannya, dan perusahaan yang sama mempekerjakan saya tahun ini karena ia harus mematuhi Sarbanes-Oxley. Mereka memberi saya izin untuk mulai dari jam 5 sore dan saya memiliki akses penuh atas seluruh domain mereka dengan hak administrator dalam tiga jam, dan mereka ketakutan.
Rasa malu pada mereka adalah bahwa saya menggunakan cara yang sama untuk masuk seperti yang saya lakukan tahun sebelumnya, dan mereka tidak mendengarkan saran saya. Banyak perusahaan-perusahaan ini tidak benar-benar peduli tentang menopang pertahanan mereka. Mereka memuaskan peraturan atau auditing. Jika saya berada di posisi mereka saya benar-benar ingin menyewa sebuah perusahaan konsultan untuk melakukan perbaikan
Apakah Anda menemukan kesalahan dasar yang sama ketika Anda menghack?
Untuk benar-benar memiliki kebijakan keamanan yang berarti, Anda harus memiliki proses set up: Anda harus melatih orang-orang, dan Anda perlu memiliki semua komponen ini. Orang menghabiskan banyak uang membeli firewall dan intrusion detection systems. Mereka memasangnya dan berpikir bahwa mereka akan mengelola sendiri, sehingga mereka tidak mengkonfigurasi dengan benar. Bahkan di bisnis di mana saya menemukan mereka telah mengkonfigurasi dengan benar, mereka tidak meluangkan waktu untuk membaca activity log.
Dalam perusahaan lain, saya mengidentifikasi bahwa semua password router mereka adalah sebuah kamus kata yang sederhana. Dan ketika Anda memiliki kendali atas router, Anda dapat men-takedown seluruh perusahaan. Biasanya administrator sistem menggunakan satu password di semua sistem. Mereka malas.
Apa nasihat yang akan Anda berikan kepada seorang sistem administrator yang ingin meningkatkan keamanan?
Pikirkan tentang wireless, jika mereka menyebarkan jaringan nirkabel. Dan jangan lupa keamanan fisik. Dalam buku tersebut, ada cerita bagaimana seorang hacker berjalan langsung ke ruang konferensi dan dengan mudah plug-in ke sebuah wireless access point.
Dan, jangan memiliki rasa aman yang palsu dan hanya melindungi perimeter. Seperti bank yang baru saja saya uji ketika saya sedang menguji penetrasi, seluruh jaringan adalah ‘flat’, berarti yang harus saya lakukan adalah masuk ke dalam satu mesin. Kemudian untuk semua komputer lain pada jaringan, saya bisa mengontak setiap port.
Gunakan juga teknologi – firewall dan intrusion detection systems – sesuatu seperti sebuah tripwire: berpikir tentang detection sebaik berpikir tentang protection.
[translated into indonesian]
[original link]
Filed under: cyber, cyberlife, cyber crime, cyberlife, hacker
sarungtenun 