También puede consultar estas publicaciones de blog: 10 pasos para comenzar su carrera en seguridad de aplicaciones web: http://bit.ly/2oft6NC
10 pasos para poner en marcha su carrera en seguridad de aplicaciones web:
Hola, soy Amol Bhure, un investigador de seguridad en Attify, donde trabajo para entrar en las aplicaciones web y móviles más seguras. Desde que ingresé a Infosec hace un par de años, ha habido algunos puntos clave de aprendizaje que me habrían resultado muy valiosos, los he tenido al momento de comenzar. Para todos los que se están iniciando en la seguridad de las aplicaciones web, creo que estos puntos de aprendizaje que he compartido a continuación serían extremadamente útiles para que pueda comenzar su carrera y convertirse en un profesional de seguridad de aplicaciones web en ningún momento. Obviamente, requeriría suficiente tiempo y esfuerzo, pero confíe en mí, si tiene un plan frente a usted sobre lo que va a aprender y cómo va a aprender, ya está un paso adelante en comparación con el http://rest.Como dice la famosa cita, no se trata solo del trabajo duro que usted pone, sino que es el trabajo inteligente e inteligente lo que importa. Con eso, aquí están los 10 pasos para poner en marcha su carrera en seguridad de aplicaciones web:
CONSIGUE FAMILIAR Y CÓMODO CON LINUX:
No puedo enfatizar esto lo suficiente. Si está comenzando en la seguridad de la aplicación web, es muy recomendable que se sienta cómodo con Linux. Esto podría significar deshacerse de su instancia de Windows (si lo desea) y moverse completamente a Linux.
Esto se debe a que, con frecuencia, durante las pruebas de penetración, encontrará entornos creados sobre Linux. Sí, hay una serie de servidores Windows, pero la popularidad de Linux no puede ser ignorada. Hice el cambio 2 años atrás de Windows a Linux como mi entorno de tiempo completo, y me ha ayudado tanto al usar varias herramientas y scripts, como cuando he comprometido una aplicación web y necesitaría una explotación adicional para obtener más Control del objetivo. Podría usar Kali Linux, pero también podría considerar comenzar con Ubuntu como su sistema operativo de tiempo completo y aprender los diversos aspectos de las cosas que vienen con Linux y familiarizarse con las tareas básicas como instalar nuevos paquetes, configurar herramientas. , escritura de scripts automatizados y tareas cron y más.
- ¿Qué necesito hacer para identificar mi estilo de aprendizaje?
- ¿Cuál es la mejor y más fácil manera de aprender.Net?
- ¿Cuál es el mejor lugar para aprender Hadoop en línea?
- ¿Cuál es el mejor software para aprender a escribir rápido?
- Cómo construir la confianza correcta para aprender matemáticas
ENCUENTRE MENTORES, HAGA PREGUNTAS Y UTILICE LOS RECURSOS EN LÍNEA:
Puedo entender absolutamente el entusiasmo y la prisa que se produce cuando te metes en la seguridad: quieres aprender todo y luego hay cientos y miles de publicaciones de blogs que mencionan cómo un “investigador de seguridad” en particular comprometió un objetivo determinado.
Sí, tendrá que aprender todo eso, pero debe estar en un plan y no todos a la vez, especialmente al comenzar. Trate de comenzar con los aspectos básicos de la seguridad de las aplicaciones web centrándose en buscar problemas de seguridad comunes, aplicando ese conocimiento en objetivos vulnerables y luego pase a tener las aplicaciones web del mundo real como su objetivo. También se recomienda buscar un mentor que haya realizado el viaje completo por sí mismo y que pueda guiarlo en el tipo de cosas en las que necesita concentrarse.
Habiendo dicho eso, tenga en cuenta que los mentores, teniendo en cuenta el papel que desempeñan, no podrán pasar mucho tiempo guiándole, sino que solo le darán fragmentos de cuál es el camino recomendado. Debe convertirse en un experto en tomar esas partes y usar recursos en línea para profundizar en ese tema de interés.
Hay una serie de canales de YouTube, publicaciones en el blog y artículos y recursos educativos en línea para ayudarlo con esto. También debe participar en discusiones en línea y en varios foros para sentirse cómodo con la comunidad y compartir lo que ha aprendido y aprender de las experiencias de otras personas de primera mano.
Recuerde: si solicita la ayuda de una persona en cada uno de los momentos, le ralentizará. Tome las cosas con sus propias manos y salga en línea para aprender.
OWASP TOP 10 Y TEES:
Como estudiante interesado en la seguridad de aplicaciones web, es posible que haya encontrado el término Top 10 de OWASP varias veces. En función de mi experiencia al comenzar, le recomendaría encarecidamente que pase por OWASp top 10 y Penetration Testing Execution Standard (PTES) para obtener una imagen clara y detallada de qué y cómo de la seguridad de las aplicaciones web. También te recomendaré para unirte a un grupo de Meetup local de OWASP o cualquier comunidad de seguridad similar y relevante y SHOW UP para las reuniones. Una vez que sienta que tiene un tema interesante y una experiencia para compartir, pídale a los organizadores de la reunión que le den un espacio para hablar para el próximo evento. Recibirá toneladas de retroalimentación honesta, críticas y puntos de aprendizaje, lo que lo llevará a ser un mejor investigador de seguridad de aplicaciones web.
Recuerde: Tomar acción es el primer, segundo y tercer paso para tener éxito.
APRENDER IDIOMAS DE PROGRAMACIÓN:
Para ser un buen investigador de seguridad de aplicaciones web, debe tener un buen dominio de los lenguajes de programación. Incluso si no escribe aplicaciones completas (para las que podría aprender más), necesita tener suficiente conocimiento y comprensión para, al menos, averiguar para qué está destinado un bloque de código en particular.
En pentests, es posible que encuentre situaciones en las que tenga el código fuente de la aplicación (pentests de caja blanca) o desee omitir la aplicación de listas blancas o las expresiones regulares, todo esto necesita experiencia práctica con los lenguajes de programación y una familiaridad decente con eso. La razón es que la mayoría de las veces, no encontrará una respuesta directa en línea a lo que está tratando de resolver, y necesita crear sus propias soluciones para romper la seguridad de la aplicación. La experiencia de programación también puede ser útil. Más adelante, una vez que quieras escribir tus propias herramientas o scripts.
APRENDE LAS HERRAMIENTAS DE SEGURIDAD, PERO NO SEA UN KIDDIE DE ESCRITURA
Como recordará, en el primer punto mencioné que podría comenzar su viaje en Seguridad de aplicaciones web utilizando Ubuntu, y no necesariamente Kali Linux. La razón de ello fue que una vez que esté en Ubuntu, tendrá una mejor idea de cómo funcionan las distintas herramientas y cómo podría solucionar los errores por sí mismo en caso de que algo no funcione a la primera. Más tarde, puede cambiar a Kali Linux una vez que sienta que tiene la suficiente confianza, pero siempre tenga en cuenta que no se trata de las herramientas, sino de cómo las utiliza. En los numerosos pentest que he conducido en los últimos años, nunca confío únicamente en las herramientas. Utilizo un enfoque donde las herramientas son solo una ayuda de lo que estoy trabajando.
OBJETIVOS VULNERABLES
Como alguien que acaba de comenzar en la seguridad de aplicaciones web, pruebe su uso práctico con varias técnicas de explotación y seguridad de aplicaciones web en objetivos vulnerables. En estos días hay una serie de aplicaciones web vulnerables que puede explotar para familiarizarse con los conceptos de seguridad de la aplicación web. DVWA y bWAPP son un buen ejemplo de lo que le recomendaría para sus primeros días como investigador de seguridad de aplicaciones web. Pasa de un objetivo vulnerable a otro con ejercicios más duros.
Leer, practicar y repetir.
1 máquina virtual por día:
Con el fin de desarrollar una carrera exitosa y experiencia en seguridad de aplicaciones web, el establecimiento de objetivos es vital. Esto es lo que hice: preparé una lista de todos los objetivos posibles que estaban disponibles como una máquina virtual. Consulte la página web de Vulnhub o PentesterLab para Pentester para obtener una buena lista de objetivos disponibles. Me puse la meta de explotar una máquina virtual todos los días durante los primeros 30 días para obtener una buena exposición de varias técnicas que podría usar para explotar aplicaciones web. Si se queda atascado en cualquier momento, también puede consultar los tutoriales y continuar desde allí. También puede consultar varios tutoriales una vez que haya completado el ejercicio para aprender sobre las diferentes formas en que podría haber utilizado para lograr el objetivo. Si lo haces por un período de 30 días, confía en mí, te darás cuenta de la confianza y las habilidades que has adquirido en la seguridad de las aplicaciones web.
BUG BOUNTY:
Pasando de las máquinas virtuales, es hora de ir al mundo real. Cree una cuenta en HackerOne, BugCrowd y comience a buscar en los sitios web cualquier error que pueda encontrar. Uno de los métodos que me han parecido útiles es buscar sitios web menos famosos para aumentar las posibilidades de encontrar errores. También ayuda si te lanzas a encontrar errores para un sitio web en particular tan pronto como lanzan una recompensa de errores, en lugar de hacer un programa de recompensas de errores que es, digamos, un par de años.
LEER LEER LEER:
Asegúrese de leer una nueva pieza de contenido cada día.
Suscríbase a los diversos boletines informativos de los sitios web de seguridad, siga todos los blogs relevantes, siga las cuentas de Twitter que publican información sobre la seguridad de las aplicaciones web, consulte los errores recientemente revelados y, lo que es más importante, intente comprender el proceso de pensamiento que se habría utilizado para encontrarlos.
Algunos de los enlaces útiles que puedes seguir:
Blog de Attify
Recursos de GitHub
GitHub Bounty
FB Bounty
Blog de Roy Castillo
Labs Detectify
Nirgoldshlager
Blog de Seanmelia
Blog Geekboy Ninja
Consejos de Bugcrowd
Breaksec
Blog de Homakov
Bitquark Blog
Nealpoole
Nahamsec
Stephensclafani
Articulos insertco
Blog de Josipfranjkovic
Websecuritylog
Laboratorio de Vulnerabilidad
Secgeek
H1.sintheticlabs
Guardia de seguridad
H1.nobbd
CONSTRUIR ALGO DE SU PROPIO:
A estas alturas, tendría una exposición decente de realizar evaluaciones de seguridad de aplicaciones web y pruebas de penetración. Aquí viene la siguiente parte, basada en su experiencia, construir algo que crea que sería útil para usted. Solo concéntrese en lo que puede construir en los próximos 10 o 20 días, lo que podría ayudarlo en el proceso de descubrimiento o explotación de errores. Una vez hecho esto, puede lanzar la herramienta como código abierto o usarla internamente dentro de su organización, es su decisión. La clave es construir algo aplicando tus conocimientos y habilidades de lo que has aprendido.
OBSERVACIONES FINALES
Enumere todos los aprendizajes posibles de mi viaje inicial de cuando ingresé a la seguridad de la aplicación web. Ahora debes tomar estos 10 puntos y trabajar en ellos, y ser un mejor investigador de seguridad. Si esta publicación te ayudó, dame una nota en (@amolbhure) o compártela con alguien que creas que podría usar esto para construir una carrera en seguridad de aplicaciones web.
Cerrar sesión
Amol Bhure.
Attify – Simplificando la seguridad.
