بایگانی ماهیانه: تیر ۱۳۹۱

چگونه متخصص امنیت شویم؟

کسانی که در حوزه امنیت اطلاعات فعالیت می کنند بارها به صورت های مختلف با افرادی مواجه می شوند که علاقه مند به کار در این حوزه هستند و به دنبال یافتن سرنخ ها و نکات کلیدی برای ورود و ادامه فعالیت در این زمینه هستند. من قبلاً در این یادداشت، تفاوت میان تحصیلات دانشگاهی و تجربیات عملی غیر دانشگاهی در زمینه امنیت را تا حدودی بیان کرده بودم. اما چه کسی برای پاسخ به این سؤال، بهتر از Bruce Schneier که هم در دانشگاه و هم در بازار امنیت یکی از بزرگ ترین نام ها را دارد؟ Schneier در یادداشتی، سه فاکتور اصلی برای کسی که می خواهد به حوزه امنیت وارد شود را بیان می کند:

  • Study. Studying can take many forms. It can be classwork, either at universities or at training conferences like SANS and Offensive Security. (These are good self-starter resources.) It can be reading;there are a lot of excellent books out there — and blogs — that teach different aspects of computer security out there. Don’t limit yourself to computer science, either. You can learn a lot by studying other areas of security, and soft sciences like economicspsychology, and sociology.
  • Do. Computer security is fundamentally a practitioner’s art, and that requires practice. This means using what you’ve learned to configure security systems, design new security systems, and — yes — break existing security systems. This is why many courses have strong hands-on components; you won’t learn much without it.
  • Show. It doesn’t matter what you know or what you can do if you can’t demonstrate it to someone who might want to hire you. This doesn’t just mean sounding good in an interview. It means sounding good onmailing lists and in blog comments. You can show your expertise by making podcasts and writing your own blog. You can teach seminars at your local user group meetings. You can write papers for conferences, or books.
در بخش دیگری به موضوع بسیار جالب و پر اهمیت security mindset و لزوم برخورداری از آن برای موفقیت در رشته امنیت اشاره می کند:
security also requires a particular mindset — one I consider this essential for success in this field.
این عامل را شاید بتوان فلسفه زندگی یا نوعی طرز تفکر نامید. ایشان اشاره می کند که این نوع فلسفه و نگاه به محیط اطراف، احتمالاً قابل آموزش هم نیست. اگر چه به طور کلی، آنچه که security mindset نامیده می شود به نظر ذاتی می رسد، اما به نظر من بخشی از آن را هم می توان با مطالعه یا تجربه یاد گرفت.
“This kind of thinking is not natural for most people. It’s not natural for engineers. Good engineering involves thinking about how things can be made to work; the security mindset involves thinking about how things can be made to fail. It involves thinking like an attacker, an adversary or a criminal. You don’t have to exploit the vulnerabilities you find, but if you don’t see the world that way, you’ll never notice most security problems.” 
یکی از دوستانم می گفت که دلیل نگاه نه چندان محبت آمیز به پرسنل امنیت توسط  دیگر متخصصان IT  آن است که امنیتی ها اساساً کار مفیدی انجام نمیدهند، چون کارشان یافتن ایرادهای دیگران و برجسته کردن نقاط ضعف و اشتباهات آنها است!
اشتراک گذاری

شنود ترافیک VoIP

استفاده از سرویس Voice over IP برای ارتباطات تلفنی و مخابراتی بر بستر اینترنت بسیار معمول است. باید توجه داشت که شنود ارتباطات VoIP هم با استفاده از یک sniffer، مثل بقیه انواع ترافیک شبکه قابل انجام است. برای تست این کار به ترتیب زیر عمل می کنیم:

۱- نصب Wireshark 

۲- دانلود نمونه ترافیک حاوی VoIP از سایت Wireshark

۳- اجرای Wireshark و باز کردن نمونه فایل فوق

۴- انتخاب گزینه VoIP Calls از منوی Telephony 

لیستی از تماس ها نشان داده می شود. در این مثال فقط اولین تماس حاوی مکالمه است.

۵- اولین تماس را انتخاب و دکمه Player و بعد Decode را بزنید.

۶- دو نمودار امواج صوتی مربوط به مکالمه (هر کدام برای یک طرف مکالمه) نشان داده می شود. با انتخاب check box زیر هر نمودار و زدن دکمه Play ، مکالمه مربوط به آن پخش میشود. 

 

اشتراک گذاری

گارتنر استخدام میکند!

آگهی استخدام تحلیل گر امنیت در گارتنر (Gartner) 

برای گرفتن این جایگاه شغلی چه توانایی هایی لازم است؟

At least 10 years of progressively senior IT security experience gained in an end user function, Consulting and/or Research roles as a technical expert in the following topics;

o    Infrastructure security for networks, computing, and storage systems

o    Designing, developing, and validating secure applications

o    Vulnerability and threat management

o    Endpoint and mobile device and OS security mechanisms

o    Securing information and information systems

o    Security management processes and tools

o    IT risk management and risk assessment

  • Excellent writing and research skills coupled with strong analytical skills
  • Excellent presentation skills, including large audiences (300+ people)
  • Bachelors degree in Computer Science, or related area
  • Ability to take a position, based on facts, and support that position to clients, both external and internal, with clear analysis
  • Broad knowledge of IT security and risk management industry trends and emerging technologies
  • Ability to identify how changing technologies will impact technology choices in architectural decisions.
  • Ability to travel approximately 20% of their time

 

اشتراک گذاری