مسیر یادگیری

امنیت و هک اخلاقی

این مسیر دفاعی است و چیزی درباره حمله کردن یاد نمی دهد. کاری که می کند این است که ترس مبهم را به یک فهرست مشخص تبدیل کند: چه چیزی ارزش محافظت دارد، چه کسی واقعا سراغ آن می آید، و کدام کار کم زحمت بیشترین خطر را می پوشاند.

  • ۱۲ درس
  • رایگان، بدون ثبت نام

چهار گروه، به ترتیبی که یاد می گیرید

از نزدیک ترین لایه به خودتان شروع می شود و به دورترین می رسد.

  • چارچوب

    دو درس اول: امنیت محافظت از چیست، و مرز اخلاقی و قانونی کجاست. بدون این دو، بقیه فهرست کار است بی دلیل.

  • خود شما

    رمز و تایید دو مرحله ای، فیشینگ، بدافزار. جایی که در عمل بیشترین چیز از دست می رود و کمترین هزینه را دارد.

  • سایت شما

    حمله های رایج، امنیت وردپرس، نشت اطلاعات. هر سه از دید کسی که سایت را نگه می دارد، نه از دید مهاجم.

  • داده و ابزار

    حریم خصوصی، مرور امن، خطرهای امنیتی هوش مصنوعی، و ابزارهایی که واقعا به درد کاربر عادی می خورند.

این چهار گروه ترتیب یادگیری اند، نه یک مدل رسمی امنیت. مدل های حرفه ای دسته بندی خودشان را دارند و برای کار سازمانی لازم اند؛ برای کسی که یک سایت و چند حساب دارد، همین چهار تا کافی است.

مسیر، قدم به قدم

درس ها به ترتیبی چیده شده اند که هر کدام روی قبلی می ایستد. از هر جایی هم می شود وارد شد.

  1. ۱امنیت سایبری چیستامنیت سایبری یعنی نگه داشتن سه چیز با هم: اینکه اطلاعات شما را کسی که نباید نبیند، اینکه کسی بی اجازه عوضش نکند، و اینکه هر وقت لازمش دارید در دسترس باشد. تقریبا هیچ کس شما را شخصا انتخاب نمی کند؛ آنچه به در سایت شما می زند یک فهرست است که یک ماشین دارد روی هزاران آدرس اجرا می کند.مقدماتی
  2. ۲هک اخلاقی چیستهک اخلاقی یعنی همان مهارت هایی که یک مهاجم دارد، اما با اجازه مکتوب و قبلی صاحب سیستم و با تعهد به گزارش دادن هر چه پیدا می شود. تفاوت میان این دو نه در ابزار است و نه در دانش؛ در یک سند است که پیش از شروع کار امضا شده، و قانون هم دقیقا روی همین کلمه ایستاده است.مقدماتی
  3. ۳رمز عبور قوی و تایید دو مرحله ایقوی ترین کاری که برای یک حساب می توانید بکنید این است که رمزش جای دیگری تکرار نشده باشد و تایید دو مرحله ای رویش روشن باشد. طول رمز از پیچیدگی اش مهم تر است، و استاندارد NIST این را صریح نوشته: هیچ سرویسی حق ندارد ترکیب حرف و عدد و علامت را اجبار کند.مقدماتی
  4. ۴فیشینگ چیست و چطور تشخیص دهیمفیشینگ یعنی پیامی که خودش را جای یک فرستنده معتبر جا می زند تا شما رمز یا کد یا پول را با دست خودتان تحویل بدهید. تشخیصش از روی «حرفه ای به نظر می رسد یا نه» ممکن نیست؛ از روی یک ترتیب ثابت از چهار سوال ممکن است.مقدماتی
  5. ۵بدافزار و انواع آنبدافزار یک دسته نیست، چند رفتار متفاوت است: یکی خودش را تکثیر می کند، یکی در را باز نگه می دارد، یکی فایل ها را رمز می کند و یکی فقط تماشا می کند. دسته بندی درست به رفتار است، چون نشانه ای که می بینید و کاری که باید بکنید از رفتار می آید، نه از اسم.مقدماتی
  6. ۶حمله های رایج به سایت هاپنج حمله بیشتر سایت های کوچک را تهدید می کنند: حدس زدن رمز، تزریق SQL، اسکریپت میان سایتی، از کار انداختن سرویس و تغییر ظاهر صفحه. هیچ کدام سایت شما را انتخاب نکرده اند؛ همه شان فهرستی از آدرس ها را می گردند و آدرس شما یکی از سطرهای آن فهرست است.میانی
  7. ۷آموزش امنیت وردپرسامنیت وردپرس شش کار است و ترتیبشان از خودشان مهم تر است: به روز نگه داشتن، کمترین دسترسی برای هر حساب، تایید دو مرحله ای، بکاپی که یک بار برگردانده شده، یک افزونه امنیتی که هنوز نگهداری می شود، و سخت کردن صفحه ورود. اگر فقط اولی را انجام بدهید، بیشتر از هر ترکیب دیگری از پنج تای بعدی جلوی مشکل را گرفته اید.میانی
سپر شیشه ای با سه لایه نورانی قرمز، سبز و آبی و کارت های سفید سنجاق شده پشت آن

ترتیب درس ها از خود شما شروع می شود و به سایت می رسد، نه برعکس. دلیلش ساده است: حساب و رمز و ایمیل شما همان چیزی است که در عمل بیشتر از هر ضعف فنی از دست می رود، و اگر آن لایه شل باشد سخت ترین پیکربندی سرور هم کاری از پیش نمی برد.

دو درس اول چارچوب اند. یکی می گوید امنیت اصلا محافظت از چیست و چه کسی سراغتان می آید، و دومی مرزی را می کشد که هک اخلاقی را از جرم جدا می کند؛ آن مرز مهارت نیست، اجازه است. سه درس بعد درباره خود شماست: رمز و تایید دو مرحله ای، فیشینگ، بدافزار. بعد نوبت سایت می رسد و در آخر داده و حریم خصوصی و ابزار.

و یک چیزی که این مسیر انجام نمی دهد و بهتر است از همین اول روشن باشد: هیچ درسی گام های بهره برداری، دستور حمله یا راه دور زدن سیستم کسی را نمی نویسد. حتی جایی که موضوع درس یک حمله است، آنچه یاد می گیرید تشخیص و دفاع است. برای کسی که دنبال آموزش نفوذ به یک هدف مشخص می گردد، اینجا جای درستی نیست و ما هم چنین چیزی نمی نویسیم.

سوال هایی که واقعا پرسیده می شوند

برای شروع امنیت باید برنامه نویسی بلد باشم؟

نه برای این مسیر. درس های اینجا با مفهوم و تشخیص و تصمیم سر و کار دارند و بیشترشان با تنظیمات همان دستگاهی که دارید قابل تمرین اند. اگر بعدها بخواهید حرفه ای دنبالش بروید، برنامه نویسی و شبکه لازم می شود و درس هک اخلاقی می گوید آن راه از کجا شروع می شود.

این مسیر هک کردن یاد می دهد؟

نه، و این یک انتخاب است نه یک کمبود. هیچ درسی گام بهره برداری، پیلود یا دستور حمله ندارد؛ حتی درس هایی که موضوعشان یک حمله است، از دید کسی نوشته شده اند که باید جلویش را بگیرد. راه یادگیری واقعی هم آزمایشگاه های ساخته شده برای همین کار است و درس هک اخلاقی آنها را نام می برد.

امنیت سایتم را خودم انجام بدهم یا بسپارم؟

بخش زیادش کار خودتان است و سپردنش هم فایده ندارد: رمز شما، تایید دو مرحله ای شما و اینکه روی چه لینکی کلیک می کنید را هیچ کس نمی تواند به جای شما درست کند. آنچه سپردنی است لایه سرور و پایش و بازیابی بعد از حادثه است، که هم ابزار می خواهد هم کسی که شب ها هم جواب بدهد. صادقانه: اگر سایتتان درآمدزا نیست، از خواندن همین مسیر شروع کنید و پول را نگه دارید.

این مسیر برای کسی نوشته شده که می خواهد خودش بفهمد و خودش تصمیم بگیرد. اگر سایتتان درآمد دارد و لایه سرور و پایش و بازیابی را می خواهید بسپارید، صفحه امنیت سایت را ببینید