Искусство обмана - [94]
В последнее время все чаще появляются новости о подрывах системы безопасности с использованием зараженных флешек и специальных устройств. Поэтому профессиональный СИ-пентестер просто обязан освоить имперсонацию и предлагать клиентам этот вектор атаки.
Составление отчета
Когда я только начинал свой профессиональный путь социального инженера, мне поступил заказ: протестировать возможность проникновения на семи складах одной компании. Я справился с задачей на 100 %. На один из складов я даже пробрался дважды, в один и тот же день, использовав разные легенды.
Успех меня окрылил. Я собрал все записи и приготовился отчитаться перед клиентом. Руководитель проекта сказал, что нужно написать отчет, и выслал шаблон документа, в котором было несколько заголовков.
Мне кажется, я сидел, уставившись на эти пустые страницы, несколько часов. Потом начал составлять отчет: что-то писал, удалял, снова пытался начать. Я корпел над документом несколько дней, а когда закончил, был уверен, что создал настоящее произведение искусства.
Мне так и представлялись восторги клиента: как его команда прочтет отчет, восхитится и, когда я приду к ним в офис, под ноги мне в знак признательности полетят розовые лепестки. В таком вдохновленном настроении я отправил документ заказчику и стал ждать похвалы.
Через день зазвонил телефон, и я услышал примерно следующее (имейте в виду, здесь, в книге, я привожу смягченные формулировки):
«Крис, что за вонючую кучу мусора я от тебя получил? Это шутка какая-то? Ты что, тут самый главный весельчак? Неужели ты всерьез думаешь, что такой отчет кто-то примет? Доведи его до ума сейчас же!»
Отчет, который он мне прислал на доработку, был испещрен разноцветными исправлениями и комментариями. Казалось, ни один абзац не избежал редактуры.
На внесение исправлений у меня ушло две недели. Этот отчет смело можно назвать самым неудачным за всю мою СИ-карьеру. Но в то же время он меня многому научил. Я понял, как должен выглядеть хороший отчет и как его нужно готовить. Первая версия моего «шедевра» была посвящена тому, какой я крутой Джеймс Бонд. Который тем не менее забыл упомянуть целый ряд крайне важных для клиента подробностей.
Мне не хочется превращать эту главу в конспект семинара по подготовке отчетов. Но все же несколько основополагающих принципов я назову.
Профессионализм
Профессионализмом называется умение действовать в соответствии с профессиональными нормами. Возьмем, к примеру, врача: направляясь к нему, вы рассчитываете на его профессионализм. Но только представьте ситуацию: вы входите в кабинет доктора, а он восклицает: «Матерь божья, чем же питается этот огромный кит?!» Затем он хлопает вас по плечу и улыбаясь заверяет, что это «просто шутка».
Думаю, мало кому понравилось бы такое обращение. Вот и наши клиенты тоже не хотят слышать фразочки типа: «Как я вас обдурил!», «Представляете, он действительно додумался опубликовать эту информацию!» или «Теперь все ваши склады принадлежат нам» (последнюю фразу я, к сожалению, не выдумал, а позаимствовал из горького личного опыта).
Всегда нужно помнить: отчет прочитают многие люди, и больше всего конструктивных изменений произойдет, если при чтении они не будут чувствовать себя пристыженными или униженными. Стиль изложения, подбор выразительных определений и грамотное представление фактов — вот что поможет вам продемонстрировать свой профессионализм.
Правописание и грамматика
Правописание и грамматика — две мои любимые мозоли. Вектор атаки, не аттаки. Раппорт, а не раппорп. Короче, вы понимаете. Всегда нужно найти время на то, чтобы проверить грамотность ваших отчетов. А еще лучше — отдать их на проверку человеку, профессионализму которого доверяете.
Впрочем, ошибки могут оставаться в документах даже после неоднократных проверок. Бывает. Не нужно стремиться к совершенству, но и отсылать совершенно непроверенный текст тоже не стоит — иначе клиент подумает, что вы относитесь к работе спустя рукава.
Все подробности
Некоторые знакомые мне пентестеры предпочитают исключать из отчетов подробности: как именно они организовали сбор данных из открытых источников, какой была цепочка Google-поиска и т. п. Им кажется, что, получив такую информацию, клиент больше не станет обращаться к ним за услугами, потому что все будет знать сам.
На мой взгляд, это просто глупо. Впрочем, то же самое я не раз слышал и о своей книге «Темные воды фишинга», в которой были подробнейшим образом описаны методы и процессы создания фишинговых программ. Но эффект от книги получился прямо противоположным: компании использовали ее для разработки программ информирования сотрудников по вопросам фишинга, а в процессе обращались ко мне за помощью.
Поэтому я уверен: не стоит переживать, что клиенты получат от вас слишком много информации. Большинство заказчиков оценят ваши знания и находки. И наверняка захотят снова обратиться к человеку, который настолько уверен в себе как в профессионале, что не боится раскрыть свои карты.
В то же время, если вы наткнетесь на информацию, не предназначенную для распространения, имеет смысл обсудить с вашим контактным лицом в компании дальнейшие действия по ее представлению или не-представлению в отчете.
Новая книга Л. Т. Левиной, автора знаменитых энциклопедий для ржавых чайников, обязательно понравится тем, кто считает, что пенсия – это не конец жизни. Ведь все самое интересное только начинается! У вас появилось много свободного времени, а куда его деть не знаете? Любовь Тимофеевна расскажет вам, как перебороть свой страх перед общением, особенно общением в сети, как поддержать здоровый дух в здоровом теле и справляться с плохими мыслями. А главное, на своём примере покажет, что жизнь никогда не теряет красок.
Говорят, что то, что называется проблемами, появляется из-за отсутствия нужной информации. Посвящается тем, кто рос в неполной или в так называемой неблагополучной семье.....Содержит нецензурную брань.
Разбор характеров и главных стратегий управления лидеров! Браун провел исследование выдающихся руководителей прошлого и разобрал их по ключевым типам, которые станут ключом к пониманию лидерства. Книга поможет проанализировать слабые и сильные стороны личности, научиться использовать эти знания для эффективного управления окружающими и отстаивать свои позиции в переговорах.
Когда тема старости подступает к нашим дверям, нам приходится делать выбор: изображать, что нас нет дома, прикидываться кем-то другим, баррикадировать дверь, бежать со всех ног или готовиться к встрече. И тогда — постараться достойно стареть. Стать по-настоящему свободным человеком. Чувствовать, Думать, Быть мудрым и милосердным. Ценить жизнь и радоваться ей. Автор книги Юлия Жемчужникова — психотерапевт, публицист, писатель.
Каждого из нас время от времени посещает желание заглянуть в голову другого человека. О чем он думает? Чего хочет? Как ко мне относится? Книга Сюзанны Стабил – путеводитель по девяти типам личности и их отношениям друг с другом. Она учит понимать людей, максимально непохожих на нас, и разбираться в своих собственных мотивах, страхах и ограничениях. В основе авторской системы лежит концепция эннеаграммы – модели, которая описывает девять типов личности и связи между ними. А еще – помогает определить свой собственный тип и при необходимости трансформировать его в желаемый.
Эта книга для тех, кто устал от бесконечной гонки за теплое место под солнцем, за лучший кусок хлеба, за более высокую ступеньку на карьерной лестнице, кто понял, что богатство и власть не приносят долгожданного счастья. Всё, пора приземлиться, вспомнить, что жизнь одна и поэтому должна приносить только удовольствие! И это правильно: добро пожаловать в мир философии наслаждения, радости и пофигизма – Акуна Матата! Она доказывает: когда ты не «паришься», живешь в свое удовольствие, радуешься жизни, любишь себя, людей и весь мир, то становишься счастливчиком, обласканным богиней Фортуной.