Si la puerta de entrada a su casa está cubierta por arbustos y árboles, ¿eso significa que no tiene que cerrarla? Ese es el tipo de base de la seguridad por la oscuridad. Esencialmente, la seguridad por oscuridad se basa en el hecho de que una vulnerabilidad determinada está oculta o es secreta como medida de seguridad. Por supuesto, si alguien o algo descubre accidentalmente la vulnerabilidad, no existe una protección real para evitar la explotación.
Hay personas en el campo de la ciberseguridad y organizaciones gubernamentales que preferirían mantener en secreto los trucos y consejos de los hackers y crackers. Consideran que compartir el conocimiento equivale a alentar a nuevos piratas informáticos malintencionados y adictos a probar las técnicas con fines ilegales y no éticos. Creen que al mantener los trucos y las técnicas fuera del dominio público, están protegiendo al mundo en general.
Estamos más inclinados a estar de acuerdo con el lado que cree que la divulgación completa de los trucos y técnicas ofrece la mejor posibilidad de poder protegerlos o anularlos por completo. Asumir que la seguridad por la oscuridad ofrece protección es asumir que ninguna otra persona en el mundo puede descubrir las mismas fallas o vulnerabilidades. Eso parece una suposición tonta.
El hecho de que no sepa cómo operar una pistola no impedirá que una persona inmoral o inmoral sepa cómo usar una pistola para no dañarlo. Del mismo modo, no saber cómo funcionan las técnicas de piratería no lo protegerá de una persona inmoral o inmoral que hace Conozca los trucos y técnicas de piratear su sistema informático o causar otros daños maliciosos en su red o computadora.
Ética vs. Conocimiento
Lo que separa a los ladrones de los detectives y los hackers de los administradores de seguridad es la ética, no el conocimiento. Debes conocer a tu enemigo para preparar una defensa adecuada. Los hackers de whitehat del mundo tienen el mismo conocimiento que los hackers de blackhat del mundo: simplemente deciden utilizar su conocimiento con fines éticos en lugar de actividades malintencionadas o ilegales.
Algunos de los piratas informáticos de whitehat han comenzado a iniciar negocios como consultores de seguridad o como compañías dedicadas a ayudar a otras empresas a protegerse de los piratas informáticos de todo el mundo. En lugar de aplicar sus conocimientos para actividades ilegales que pueden o no hacer dinero rápido, pero sin duda los llevarán a la cárcel, eligen aplicar sus conocimientos para hacer lo que les gusta hacer y ganar mucho dinero al hacerlo legalmente. .
Algunas de estas personas también hacen lo que pueden para compartir los consejos, trucos y técnicas utilizadas por los hackers y crackers con el resto del mundo para enseñarles también a defenderse. George Kurtz y Stuart McClure fundaron la compañía de seguridad Foundstone (más tarde comprada por McAfee). Estos dos veteranos de seguridad de la información, junto con Joel Scambray, un consultor de seguridad de TI de compañías Fortune 50, fueron los autores del libro de seguridad informática más vendido, Hacking Exposed, recién lanzado en su sexta edición y origen de la exitosa serie Hacking Exposed.
La 6ta edición de Hacking Exposed fue recientemente lanzada. Hacking Exposed también generó una serie muy exitosa de otros títulos de Hacking Exposed: Hacking Exposed - Wireless, Hacking Exposed - Linux, Hacking Exposed - Computer Forensics y más. También hay libros similares de otros autores, como Hack Attack Revealed by John Chirillo y Counter Hack Reloaded de Ed Skoudis.
Hacking Exposed es considerado por muchos como el mejor libro sobre el tema. Estos tres caballeros, con contribuciones de muchos otros expertos en seguridad de la información (la mayoría de los cuales también trabajan para Foundstone), han compilado una guía completa de los métodos, trucos y tecnología utilizados por los piratas informáticos para penetrar en su red o computadora.
En el prólogo del libro, Patrick Heim, vicepresidente de seguridad empresarial de McKesson Corporation, escribe: “Ahora que el arte negro de la piratería ha sido demonizado, diría que es esencial para los individuos encargados de diseñar, construir y mantener información. infraestructura para ser plenamente conscientes de las verdaderas amenazas que sus sistemas necesitarán repeler ".
Cuando vea a un médico, espera que ellos diagnostiquen adecuadamente sus síntomas y determinen el problema real antes de dar consejos o prescribir medicamentos. Para hacerlo, el médico debe estar completamente al tanto de las diversas amenazas que su cuerpo puede encontrar y cuáles son las contramedidas efectivas para esas amenazas específicas.
Al igual que un detective debe pensar como un ladrón para atrapar a un ladrón y un médico debe saber cómo funcionan los virus y las enfermedades y cómo se comportan para diagnosticarlos y contrarrestarlos, esperamos que un experto en seguridad de la información sea un experto en el uso de trucos, herramientas y técnicas. Se les pide que se defiendan. Solo con este conocimiento podemos honestamente esperar que alguien pueda defenderse adecuadamente contra piratas informáticos y detectar cuándo y cómo ocurrió una intrusión si, de hecho, su red está comprometida.
La ignorancia no es felicidad. La seguridad a través de la oscuridad no funciona. Solo significa que los malos saben cosas que usted no sabe y explotarán su ignorancia al máximo cada oportunidad que tengan.
