گپوگفتی با شکارچی آسیب پذیری: الهه حسنپور
در این بلاگپست، به سراغ یک شکارچی آسیب پذیری و متخصص تست نفوذ در دنیای امنیت سایبری رفتهایم تا با او گپوگفت کوتاهی داشته باشیم؛ الهه حسنپور
الهه حدود 3 سال است که وارد حوزهی امنیت سایبری شده است و حدود 2 سال است که در حوزهی تست نفوذ فعالیت میکند. عاشق تمام آسیب پذیری های مربوط به cache است. آدرنالینی که هنگام کشف یک آسیب پذیری تجربه میکند، به شغلش هیجان میدهد. فکر میکند شکارچی آسیب پذیری بودن، باعث شده که در زندگی هم صبورتر شود. در انتخاب میان اهداف مختلف، اولویتش سامانهای است که بهطور پایدار و بدون خطا کار کند! به نظرش فعالیت در قالب شکار آسیب پذیری و باگ بانتی، به ایجاد دیسیپلین فردی و مراقبت از آن، نیاز دارد. آروزی ارتباطهای بیشتر و بهتری را میان شکارچیان آسیب پذیری دارد.
_ کمی از خودت برایمان میگویی؟
من 23 سالم است و ساکن تهران هستم. حدود 3 سال است که وارد حوزهی امنیت سایبری شدهام و حدود 2 سال است که در حوزهی تست نفوذ فعالیت میکنم.
_ آسیب پذیری موردعلاقهات چیست؟
آسیب پذیری های cache. عاشق تمام آسیب پذیری هایی هستم که مربوط به cache میشوند. آسیب پذیری cache deception آسیب پذیری موردعلاقهام است. قطعا آسیب پذیری RCE و SQL Injection را هم دوست دارم.
پیشنهاد خواندنی: حسوحال لحظهی کشف و شکار آسیب پذیری
_ هنگام کشف آسیب پذیری چه حسوحال را تجربه میکنی؟
حقیقتا برای من الان اینجوری شده که کارم با سرگرمی ادغام شده است. روند هک خیلی برایم هیجانانگیزه است. این کار هیجانانگیز، برای من آن چیزی ست که به زندگیام هدف میدهد و خوشحالم میکند. آدرنالینی که موقع کشف آسیب پذیری تجربه میکنم را فکر نمیکنم با کار دیگری بتوانم تجربه کنم. من حسوحال آن موقعیت را که یک آسیب پذیری خیلی خوب پیدا کردهام و بقیه میگویند: " این باگ را چطوری زدی؟" ، " ما اینجا را تست کردهبودیم و باگی نمیخورد، تو چطوری زدی؟" و .... ، را خیلی دوست دارم.
_ مهمترین ویژگی برای یک شکارچی آسیب پذیری را چه میدانی؟
من دو ویژگی را مهمترین ویژگیها برای یک شکارچی آسیب پذیری میدانم:
یک ویژگی این است که باید این قابلیت را داشته باشی که هر روز سرچ کنی، هر روز خودت را آپدیت کنی و روشهای جدیدی هم برای استفاده در کارت پیدا کنی. چون در دنیای باگ بانتی، یک سری چیزهای بدیهی را همه تست میکنند. تو باید بتوانی برای خودت یک روش جدید پیدا کنی، ریسرچهای جدیدی را بخوانی و آن متدها را در کارت پیادهسازی کنی. این مورد حتی برای یک متخصص تست نفوذ هم صدق میکند. مثلا برخی شرکتها آسیب پذیری هایی که جدید هستند، را بیشتر دوست دارند. مثلا آسیب پذیری XSS آسیب پذیری جدیدی نیست و خیلی مواقع هم اتفاق میافتد. کسی بابت آن هیجان زده نمیشود. اما وقتی با استفاده از تکنیک خاصی می توانی اهمیت یک آسیب پذیری را بالا ببری، خب خیلی هیجان انگیز است. این افزودهای ست که ریسرچ برای شکارچی آسیب پذیری و متخصص تست نفوذ به همراه میآورد.
ویژگی مهم دوم به نظرم این است که شکارچی آسیب پذیری اعتماد به نفسش را حفظ کند. مثلا؛ اگر یک ماه برروی یک تارگت کار کردی و نتوانستی به آسیب پذیریای برسی، این طور فکر نکنی که "ضعف از من است"، "من هیچی بلد نیستم" و اینها. چون خیلی از شکارچیها تحت تاثیر همین موارد اصطلاحا burn out میشوند. برای من هم قاعدتا خیلی اتفاقا میافتد؛ اگر یک آسیب پذیری که وجود دارد را نتوانم کشف کنم، خیلی حالم خراب میشود. به نظرم داشتن ذهنیت قوی و تحت تاثیر قرار نگرفتن با این اتفاقات، خیلی برای یک شکارچی آسیب پذیری، عالی و کمککننده است.
_ فکر میکنی شغل "شکارچی آسیب پذیری بودن" تاثیری بر روی شخصیتت در زندگی معمولی هم داشته است؟
فکر میکنم بهطور چشمگیری باعث شده که صبورتر شوم. وقتی که شما تست نفوذ انجام میدهی، لازم است صبر و حوصله داشته باشی. یا در شکار آسیب پذیری، پیش میآید که 10 روز یک سایت را بررسی میکنی و هیچ آسیب پذیریای کشف نمیکنی. اما در در روز 11م یکهو 3، 4 آسیب پذیری را پشت سرهم پیدا میکنی!
_ در میان اهداف مختلف، انتخاب شما اهداف خاصی است؟ بر چه اساسی بین اهداف مختلف، انتخاب میکنی؟
من این مدلی نیستم که مثلا این تارگت را چون بانکی است، بیشتر دوستش داشته باشم و آن تارگت را چون فروشگاهی است کمتر دوست داشته باشم و براین اساس به سراغشان بروم. نه، حقیقتا اینطور نیستم و بر اساس نوعشان انتخاب نمیکنم. من برای هر کدام از اهداف مختلفی که میبینم، test caseهای مختلفی را دارم. سراغشان میروم و بررسی میکنم.
تا حدی این حس موثر است که ببینم از نظر نحوهی پیادهسازی سامانه و کارکردنش، میتوانم با آن تارگت match شوم و تارگتی که رویش کار میکنم را دوست دارم یا نه. مثلا؛ هنگامی که بعضی از تارگتها را بررسی میکنی، متوجه میشوی که بخش قابلتوجهی از عملکردها ناپایدار هستند و مرتب به خطا ختم میشوند! در چنین شرایطی عملاً امکان بررسی درست منطق سامانه وجود ندارد. ترجیح من کارکردن روی سامانهای است که پایدار باشد و لاجیکش بهدرستی پیادهسازی شده باشد تا بتوانم خود لاجیک و جریانهای اصلیاش را بهصورت دقیق تست کنم. تارگتهایی که مشکلات اینچنینی دارند، را معمولا انتخاب نمیکنم. درواقع ترجیحم سامانهای است که کار میکند؛ سامانهای که اوکی است و حداقل کار میکند!
_ در بررسی یک سامانه، ابتدا به سراغ چه نقاطی میروی؟
نقطهی شروعم در بررسی یک سامانه، معمولاً به تکنولوژی و نحوهی پیادهسازی آن سامانه برمیگردد. ابتدا سعی میکنم یک تصویر کلی از معماری و جریانهای اصلی سیستم بهدست بیاورم و ببینم منطقیتر است که بررسی را از کجاها شروع کنم. مثلاً وقتی با سامانهای که با ASP.NET پیادهسازی شده روبهرو میشوم، بر اساس تجربه، معمولاً یکی از اولین چیزهایی که به سراغش میروم کنترل دسترسی است. مخصوصاً در سیستمهای قدیمیتر؛ چون که اکثر اوقات در آنها این بخشها تمیز و یکدست پیادهسازی نشدهاند.
بعد از آن تمرکزم را روی رفتار منطقی سامانه میگذارم؛ مدیریت state و نحوهی تعامل بخشهای مختلف با هم. در کنارش، اگر لازم باشد، یه نگاه کلی هم به آسیبپذیریهای شناختهشدهی مرتبط با آن تکنولوژی میاندازم.
_ انتخابت بین تست نفوذ و باگ بانتی چیست؟ برچه اساسی بین این دو انتخاب میکنی؟
انتخاب من بین تست نفوذ و باگ بانتی بیشتر به شناختی که از سبک کاری خودم دارم برمیگردد. فعالیت در باگ بانتی به ایجاد دیسیپلین فردی و مراقبت از آن، نیاز بسیاری دارد؛ اینکه فرد بتواند کاملاً مستقل برای خودش برنامهریزی کند و بهصورت مستمر جلو برود. من چنین فضایی را تجربه کردهام و به این نتیجه رسیدم که بهرهوری من در یک چارچوب ساختاریافته و تیمی بالاتر است.
کار در قالب تست نفوذ شرکتی باعث میشود ریتم کاری مشخصتری داشته باشم، در معرض تارگتهای متنوعتری قرار بگیرم و فرآیند یادگیریم پیوستهتر باشد. علاوه بر این؛ وقتی در یک تیم سالم کار میکنی، امکان استفاده از تجربهی سایر افراد هم وجود دارد و خیلی وقتها همین تبادل تجربه باعث میشود سریعتر به نتیجه برسی و دید عمیقتری نسبت به مسائل پیدا کنی.
به نظرم برای کسی با سبک کاری من، فعالیت در یک تیم حرفهای و غیرسمی، حداقل در این مقطع، انتخاب منطقیتری نسبت به باگ بانتی است.
پیشنهاد خواندنی: متخصصین امنیت سایبری از انتخاب میان باگ بانتی و تست نفوذ میگویند
_ آرزویی برای حوزهی امنیت سایبری داری؟
من قصد تخریب یا کوبیدن کسی یا جایی را ندارم، ولی امیدوارم که جوی که در ایران وجود دارد، بهتر و بهتر شود.
امیدوارم که این ارتباطهایی که بین شکارچیان آسیب پذیری مختلف وجود دارد، بهتر شود. افراد بتوانند با شکارچیان بیشتری آشنا شوند و ارتباط داشته باشند. در حال حاضر گاهی چالشهایی وجود دارد و درگیریهایی پیش میآید، که امیدوارم کمتر اتفاق بیفتند.
امیدوارم که کسبوکارهای مختلف به امنیتشان بیشتر توجه کنند.
همچنین امیدوارم که کسبوکارها این دید را داشته باشند و بدانند که شکارچیان آسیب پذیری اگر یک آسیب پذیری را کشف میکنند، قصد بدی ندارند. بلکه هدفشان کمک به کسبوکار و ارتقای امنیتش است. در حال حاضر این دید خیلی وجود ندارد. امیدوارم این دید و نگاه بیشتر جا بیفتد.
_ ما هم امیدواریم که این اتفاقها بیفتند و نگاه افراد به ارتباط، امنیت، شکار آسیب پذیری و هک رشد کند. ممنون که وقتت را در اختیار ما قرار دادی و در این گپوگفت همراه ما بودی الههی عزیز.
بلاگپستهای مرتبط:
گپوگفتی با شکارچی آسیبپذیری؛ ندا
گپوگفتی با شکارچی آسیبپذیری؛ زهرا
گپوگفتی با شکارچی آسیب پذیری؛ آیلین همایونی