No mundo de hoje, onde grandes e pequenas empresas são amplamente afetadas por ataques cibernéticos e violações de dados, os gastos com segurança cibernética dispararam. As empresas estão gastando milhões de dólares para proteger suas defesas cibernéticas. E quando falamos sobre Segurança Cibernética e Segurança da Informação, Georgia Weidman é um dos poucos nomes proeminentes na indústria que vem à mente.
Georgia Weidman é uma Hacker Ética, Testadora de Penetração, CEO da Shevirah Inc / Bulb Security LLC e autora do livro “Testes de Penetração: Uma Introdução Prática a Hackers”.
Aqui está uma entrevista exclusiva da Georgia Weidman com a nossa equipe na Ivacy, onde fizemos algumas perguntas relacionadas a ela e ao Cyber Security em geral:
Q1 - Oi Georgia, estamos muito contentes em ter você e ficamos totalmente impressionados em saber o quanto você conseguiu em um curto espaço de tempo. O que te leva a essa indústria de infosec? Como você começou sua jornada como Hacker Ético?
Fui para a faculdade cedo, aos 14 anos, em vez dos 18 usuais. E fiz um curso de matemática porque não queria ser um cientista da computação. Minha mãe era uma e qual adolescente quer ser como seus pais?
Mas então eu realmente não conseguia encontrar um emprego aos 18 anos apenas com um diploma de bacharel e sem experiência de trabalho, me pediram para fazer um mestrado em ciência da computação, e eles iam me dar dinheiro! Isso foi melhor do que ter que morar com meus pais.
Então eu entrei no programa de mestrado e a universidade tinha um clube de defesa cibernética. O capitão do clube de defesa cibernética parecia muito interessante e eu queria aprender mais sobre ele. Portanto, sem saber nada sobre segurança cibernética, entrei para o clube de defesa cibernética e competimos na competição de Defesa Cibernética Mid-Atlantic. Bem, eu aprendi que a cibersegurança era mais interessante que o cara, mas também encontrei o que queria fazer da minha vida.
Q2- Qual foi a sua inspiração e motivação para escrever seu livro “Penetration Testing”?
Eu queria escrever o livro que gostaria de ter quando comecei na infosec. Quando comecei e estava tentando aprender muito sobre o que estava disponível na forma de tutoriais e acumulei tanto conhecimento prévio que estava fazendo o equivalente técnico de procurar todas as palavras do dicionário. Então, essas palavras no dicionário das crianças até para ter uma ideia de como as coisas funcionavam muito menos por que funcionavam.
Quando pedi ajuda, recebi muitos “Get n00b” ou “Try Harder!” Ao invés de explicações. Eu queria tornar mais fácil para aqueles que vieram depois de mim e preencher essa lacuna com o meu livro.
Q3 - Por mais interessante que seja o nome, conte-nos sobre a sua empresa Bulb Security e como tudo começou?
Na verdade, tenho duas empresas, a Shevirah Inc. e a Bulb Security LLC. Eu comecei Bulb quando recebi uma concessão DARPA Cyber Fast Track para construir o Smartphone Pentest Framework e, posteriormente, foi repreendido por ter a audácia de solicitar o subsídio de forma independente.
Além dos projetos de pesquisa, também construí um negócio de consultoria de testes de penetração, treinamento, engenharia reversa e até mesmo análise de patentes neste momento. No meu tempo livre copioso, também sou professor da Universidade de Maryland University College e da Universidade de Tulane.
Eu iniciei o Shevirah quando entrei no acelerador de inicialização Mach37 para produzir meu trabalho em dispositivos móveis e testes de penetração, simulação de phishing e validação de controle preventivo da Internet of Things para expandir meu alcance ajudando outros pesquisadores a ajudar as empresas a entender melhor seus dispositivos móveis e IoT postura de segurança e como melhorá-lo.
Q4- Bem, conte-nos sobre o momento mais emocionante em que você realmente se sentiu orgulhoso de seu trabalho como Testador de Penetração.
Toda vez que entro, particularmente de um jeito novo, tem a mesma pressa da primeira vez. O que também me deixa orgulhoso é ter clientes repetidos que não apenas consertaram tudo o que encontramos pela primeira vez, mas também continuaram a elevar sua postura de segurança à medida que novas vulnerabilidades e ataques se tornaram conhecidos no intervalo entre os testes.
Para ver um cliente não apenas corrigir o que eu costumava usar, mas também criar uma postura de segurança mais madura para a empresa como um todo, significa que causei muito mais impacto do que apenas mostrá-lo. Envenenamento LLMNR ou EternalBlue.
Q5- Para aqueles que querem começar a sua jornada no campo do Teste de Hacking Ético e Penetração, que sugestões ou conselhos de carreira você gostaria de dar? Pode ser qualquer sugestão de cursos on-line, certificados ou e grau educacional para esse assunto.
Eu recomendaria meu livro, Testes de penetração: Uma introdução prática ao Hacking, é claro. Também sugeriria participar de reuniões ou conferências de hackers locais, como um capítulo de grupo local do DEF CON ou BSides de segurança. Essa é uma ótima maneira de conhecer potenciais mentores e conexões no setor. Eu também sugiro fazer um projeto de pesquisa ou aula.
Esta é a competição que me colocou no #infosec em primeiro lugar. Há competições em regiões de todo o país, bem como nacionais para os vencedores regionais. Um bom lugar para colocar seus dólares de divulgação e horas de voluntariado. https://t.co/TcNLC7r8tV
- Georgia Weidman (@georgiaweidman) 28 de fevereiro de 2019
Muitas pessoas pensam que a pesquisa de segurança é uma magia negra que requer habilidades arcanas sobre o funcionamento interno do gerenciador de inicialização, mas, na maioria dos casos, não é esse o caso. Mesmo se você está apenas começando, todo mundo tem um conjunto de habilidades que seria útil para os outros no campo que eles podem compartilhar. Talvez você seja ótimo em formatação no Word ou tenha anos de experiência como administrador do sistema Linux?
Q6- Você gostaria de sugerir algum software de segurança, complementos, extensões, etc. para o nosso público que está preocupado com sua privacidade e segurança online? Existem métodos infalíveis para máxima proteção online?
Considerando que parte da minha empresa está validando a eficácia das soluções preventivas, tenho certeza de que você entenderá que tenho que permanecer independente do fornecedor em entrevistas. É importante notar que não existe segurança infalível. Na verdade, acredito fortemente que a estratégia de marketing dos fornecedores de segurança preventiva de “Se você instalar nosso software (ou colocar nossa caixa em sua rede), você não terá mais que se preocupar com segurança”, é a causa de muitos deles. as violações de alto perfil que vemos hoje.
As empresas, tendo sido informadas por esses chamados fornecedores especialistas, gastam muito dinheiro com o problema de segurança, mas negligenciam coisas como reconhecimento de patches e phishing, porque seus fornecedores disseram que tinham tudo coberto. E, como vemos uma e outra vez, nenhuma solução preventiva vai parar tudo.
Q7- Do ponto de vista de um Hacker, como é difícil hackear alguém se ele tiver uma VPN em execução em seu dispositivo inteligente? Quão eficazes são as VPNs? Você usa algum?
Como a maioria dos ataques atualmente, a maioria dos ataques móveis envolve algum tipo de engenharia social, geralmente como parte de uma cadeia maior de exploração. Tal como acontece com os produtos preventivos, uma VPN pode certamente ser útil contra alguns ataques e certamente contra espionagem, mas, enquanto os usuários móveis estiverem baixando aplicativos maliciosos, perfis de gerenciamento, etc. e abrindo links maliciosos em seus dispositivos inteligentes, uma VPN Vá tão longe.
Eu incentivaria os usuários a usarem VPNs, particularmente em redes públicas, bem como outros produtos de segurança, é claro. Eu gostaria que os usuários continuassem vigilantes sobre sua postura de segurança, em vez de confiar apenas nesses produtos para protegê-los.
Q8- Com o crescimento exponencial dos dispositivos inteligentes e o incrível desenvolvimento no campo da IOT, quais são as possíveis ameaças e vulnerabilidades de segurança que provavelmente serão acompanhadas?
Eu vejo as ameaças contra dispositivos móveis e IoT como os dispositivos tradicionais com mais pontos de entrada e saída. Em um computador Windows, há a ameaça de ataques de execução remota de código em que o usuário não precisa fazer nada para que o ataque seja bem-sucedido, ataques do lado do cliente em que o usuário precisa abrir um arquivo mal-intencionado, seja uma página da Web, um PDF executável, etc. Há também ataques de engenharia social e escalonamento de privilégios locais.
Patches estão faltando, senhas são fáceis de adivinhar, software de terceiros é inseguro, a lista continua. Em dispositivos móveis e IoT lidamos com esses mesmos problemas, exceto em vez de apenas a conexão com fio ou sem fio que agora temos o modem móvel, Zigbee, Bluetooth, Near Field Communication, apenas para citar alguns como vetores de ataque em potencial, bem como caminhos para ignorar qualquer prevenção contra perda de dados implantada. Se dados confidenciais estão sendo desviados do banco de dados por um dispositivo móvel comprometido e, em seguida, enviados para a rede celular via SMS, toda a tecnologia preventiva do mundo no perímetro da rede não o detectará. Da mesma forma, temos mais maneiras do que nunca de que os usuários possam ser engenheirados socialmente.
Em vez de apenas e-mail e um telefonema agora temos SMS, mídias sociais como WhatsApp e Twitter, códigos QR, a lista das inúmeras maneiras que um usuário pode ser direcionado para abrir ou baixar algo malicioso continua e continua.
Q9- Há alguma conferência de segurança que você está esperando? Se sim, então quais são esses?
Eu também gosto de ver novos lugares e conhecer novas pessoas. Então, estou sempre a fim de viajar para terras estrangeiras para fazer conferências. Este ano fui convidado para falar com o RastacCon! na Jamaica. No ano passado, passei momentos maravilhosos visitando Salvador, no Brasil, em uma das conferências da Roadsec. Também este ano estou escrevendo o Carbon Black Connect, que é um bom local para mim, pois estou trabalhando para me tornar tão conhecido no mundo dos negócios quanto no mundo da infoseca. Apesar de estar em Las Vegas quente e lotado, infosec acampamento de verão (Blackhat, Defcon, BSidesLV, além de vários outros eventos ao mesmo tempo) é uma ótima maneira de conversar com um monte de pessoas da indústria e ver o que eles têm sido até para.
Q10 - Quais são seus planos futuros? Você vai estar escrevendo outro livro? Criando outra empresa? Dimensionando o existente? O que a Georgia Weidman está procurando realizar em sua vida?
No momento, estou terminando a 2ª edição do teste de penetração: uma introdução prática ao hacking. Eu definitivamente gostaria de escrever outros livros técnicos amigáveis para iniciantes no futuro. Embora eu tenha feito apenas alguns investimentos anjo até agora, espero poder investir e orientar outros fundadores de startups no futuro, particularmente fundadores técnicos como eu, e fazer mais para apoiar mulheres e minorias na infosec.
Eu aprendi muito fazendo uma startup, mas eu também sou uma daquelas raças raras que realmente querem fazer pesquisas de segurança. Pós-inicialização Eu me imagino fazendo pesquisa de segurança em tempo integral por um tempo. Completamente não relacionado a tecnologia, mas se você me seguir nas mídias sociais, você pode ter notado que eu competir em eventos equestres, então este ano meu cavalo Tempo e eu espero vencer as finais da Virginia Horse Show Association. A longo prazo, gostaria de dedicar mais tempo e recursos para equiparar cavalos de resgate com os proprietários que merecem e salvar as tartarugas marinhas.
“ Você não pode consertar a segurança apenas com produtos preventivos. O teste é uma parte necessária e muitas vezes negligenciada da segurança. Como um invasor real invadirá sua organização? Eles serão capazes de contornar sua solução preventiva? (Dica: sim.) ”- Georgia Weidman
