Хакерство улучшает подготовку студентов в области безопасности

Студентам, изучающим сетевую безопасность, необходимо преподавать навыки взлома, чтобы они “знали своего врага” и были подготовлены к угрозам реального мира. Но преподаватели и эксперты добавляют, что в процессе обучения акцент должен делаться на законность и этичность, чтобы студенты не “переступали черту” и не использовали свои навыки во вред.

Лю Чин Чуан, заведующий курсом “Безопасность Инфокуммуникационных Технологий” (DISM) Сингапурского Политехнического Института, сказал, что в учебный план входит преподавание студентам техник взлома с целью того, чтобы они понимали, как проводятся хакерские атаки и какие контрмеры можно предпринять, чтобы им противостоять.

“Как сказано в “Искусстве Войны” Сунь-Цзы, чтобы победить врага, нужно изучить его. Таким образом, знание техник, которые применяют хакеры, очень важно для эффективной защиты от их атак”, – ответил Лю Чин Чуан на вопрос репортера.

Курс, основанный в 2006 году, нацелен на то, чтобы выпускать специалистов, имеющих навыки и знания, которые позволят им распознать, вовремя среагировать и минимизировать угрозу. Помимо этических методов взлома, в курс включены такие темы как сетевая безопасность, безопасность приложений, операционная безопасность, политика безопасности, компьютерная экспертиза, IT аудит, законность и этика, непрерывность бизнеса и планирование восстановления после сбоев.

Колин Маклин, преподаватель этики взлома в Университете Эберти Данди в Шотландии, согласился и добавил, что эффективное изучение поведения киберпреступников означает применение в будущем самых эффективных мер против их деятельности. Университет известен курсами в области Этичного Взлома и Противодействия ему, идущими с 2006 и 2008 годов соответственно.

“В любой области жизни защитнику необходимо сначала понять тактику и поведение нападающего, прежде чем он сможет эффективно от него защититься”, – объяснил Маклин в интервью. “Чтобы защитить свой дом от грабежа, человеку необходимо сначала поставить себя на место грабителя и решить, каким образом он пробрался бы в свой собственный дом. Только тогда можно будет в полной мере оценить, где стоит установить замки и датчики сигнализации, которые помогут спастись от посягательства. Компьютерная защита в этом плане ничуть не отличается от защиты дома”.

Маклин добавил: “Лишь человек с твердым знанием инструментов и методов, которые используют хакеры, сможет в полной мере помочь компаниям защититься от взлома их систем. Нашей целью является выпуск специалистов, имеющих все необходимые для этого знания”.

Реальные сценарии улучшают подготовку

Маклин также заявил, что университет постоянно находится в активном поиске компаний, испытывающих трудности в плане безопасности, чтобы все время находится в курсе дела и использовать все новые случаи взлома для повышения эффективности занятий.

Например, представитель персонала безопасности из компании NCR ведет в университете гостевые лекции, получая взамен результаты научно-исследовательской работы, которую ведет компания.

Лю Чин Чуан из Сингапурского Политехнического Института говорит, что крайне важно снабжать студентов настолько реалистичными примерами работы, насколько это возможно. Использование искусственно созданных и реальных примеров значительно улучшает подготовку студентов и их наступательные, оборонительные и исследовательские навыки в борьбе с различными угрозами, которые встретятся им в их дальнейшей деятельности.

К примеру, лаборатории инфокуммуникационной безопасности Сингапурского Политехнического оснащены сетевыми устройствами, серверами и виртуальными машинами, способными симулировать работу реальных сетей и систем. Эти системы намерено оставлены без защиты, чтобы студенты могли практиковать свои наступательные и оборонительные навыки.

Лю добавил, что учебные средства в скором времени будут обновлены с целью создания для студентов еще больших учебных пространств различных размеров, составов и сложности. Модель “игры в войнушку” также будет использована, и с ее помощью будет проводиться двухсторонняя проверка студенческих умений.

Студенты также будут повышать навыки посредством интернатуры, которая является вершиной всего курса обучения.

Гайом Лове, главный управляющий лаборатории по реагированию на угрозы FortiGuard компании Fortinet тоже поддерживает идею изучения и симулирования реальных ситуаций в процессе подготовки студентов.

В ходе e-mail интервью Лове сказал, что для студентов “крайне важно” обучение на тех ошибках, которые совершаются различными компаниями в деле защиты от хакеров.

Он также заметил, что практические занятия по нападению или защите компьютера должны быть неотъемлемой частью учебного плана и что они добавляют в обучение элемент соревнования в духе “Capture the Flag”.

Акцент на законность и этичность

На вопрос о том, каким образом нужно сочетать элементы обучения без опасности негативным образом повлиять на выбор студента и сделать из него настоящего хакера, а не защитника от хакеров, Лове порекомендовал все те же симуляции противоборства между студентами, как в пейнтболе.

“Люди ведь не стреляют друг в друга на улице из реального оружия после того, как они поиграли в пейнтбол. Но если на них нападут, навыки, полученные ими во время игры, могут спасти им жизнь”, – сказал Лове.

Преподаватели также говорят о необходимости гарантии того, что студенты в будущем не станут использовать свои знания во вред, и подчеркивают, что помимо основного направления образования, правовые и этические вопросы также должны стать неотъемлемой частью учебного плана.

Чтобы студенты в будущем не перешли черту, в Сингапурском Политехническом используется особый подход. Среди прочих мер, применяется полная изоляция сетей института от сетей кампуса и действуют твердые правила по поведению студентов в процессе использования учебных систем.

Однако чисто технических методов ограничения явно недостаточно и именно поэтому студентам преподаются закон и этика.

На таких занятиях студентам рассказывают о сингапурских законах и наказаниях, которые грозят им за киберпреступления. Кроме этого, каждый студент подписывает кодекс поведения в первый год и на протяжении всего курса обучения.

Лю заметил: “Чтобы закрепить в выпускниках твердые этические ценности, необходим целостный взгляд на инфокоммуникационную безопасность. Именно поэтому им преподаются не только методы, которыми пользуются хакеры, но и способы обнаружения и защиты от атак. Это помогает им осознать тот факт, что также могут вычислить и их самих, стоит им только злоупотребить теми знаниями, которые они получают в процессе обучения”.

“В Университете Эберти лаборатория позволяет студентам экспериментировать в безопасной среде. Здесь разыгрываются реальные случаи взлома, чтобы учащиеся могли в полной мере оценить действия реальных хакеров, не нарушая никаких законов”, – сказал Маклин.

Он также заметил, что при поступлении в институт каждый студент проходит медицинское освидетельствование и их прошлое тщательно проверяется. Помимо этого студенты сдают тест на знания законов, касающихся компьютерных преступлений. Таким образом закон и этика являются неотъемлемыми частями всего, что изучается в университете.

Лове делает вывод: “До тех пор, пока делается такой сильный акцент на этику, в изучении хакерских умений, которые в будущем будут стоять на страже сетевой безопасности, нет ничего плохого”.