Builder vs. Breaker: gli sviluppatori fanno buoni tester di penne e viceversa

In generale, per essere un buon pentestatore devi padroneggiare alcune delle abilità richieste per essere un buon programmatore. Una solida esperienza di sviluppo sui possibili errori di programmazione è molto utile, poiché un sacco di pentesting riguarda la ricerca di casi d'angolo che il programmatore non ha pensato - cioè bug. Ciò vale in entrambi i casi: un buon sviluppatore dovrebbe avere alcune capacità di pentesting perché fare codice robusto implica prendersi cura di condizioni anomale, il tipo di cose che il penttor (e potenziali attaccanti) tentano di attivare.

Ci sono aspetti dello sviluppo del software che non aiutano direttamente il pentesting; in particolare abilità strutturali come sapere come progettare un'API semplice, scorrevole ed estensibile, o essere bravo a documentare il codice.

Ci sono aspetti del pentesting che non aiutano direttamente lo sviluppo, ad es. tutto ciò che equivale a ingegneria sociale.

Per quanto riguarda i tratti psicologici, direi che non si tratta in realtà di costruire contro rottura; almeno non su essere bravi a costruire o distruggere. Si tratta più di divertirsi durante la costruzione o la rottura. Pentesting può essere frustrante, soprattutto se si è sul lato "creativo" delle persone, perché si trascorre tutto il giorno a gestire codici mal scritti e si sa che sapere si potrebbe fare molto meglio, ma non è il tuo lavoro. D'altra parte, un'intrusione riuscita in un server apparentemente robusto è intellettualmente gratificante; Pentesting è una battaglia di ingegno, in cui si combatte contro la mente degli sviluppatori, mentre lo sviluppo è una battaglia contro le leggi della fisica, che a volte può essere scoraggiante. Sviluppo o pentesting, puoi farlo per un lungo periodo solo se trovi l'attività piacevole.

Alessandro Magno era uno sviluppatore; Machiavelli era un pentester. Genghis Khan era entrambi.

L'Orso ha già dato una grande risposta, ma lasciatemi tentare di rispondere a questa domanda dal punto di vista di un pentito che lavora come sviluppatore.

Ci sono molti aspetti del test di penetrazione. Conosco alcuni pentesters che sono assolutamente straordinari a livello di sistema e di sicurezza a livello di rete, mentre altri sono focalizzati principalmente sulla sicurezza delle applicazioni. Nella mia esperienza, il primo di solito proviene da un supporto desktop / ingegnere di rete / background di amministratori di sistema. Questi ultimi, il più delle volte, provengono da uno sfondo di sviluppo. * Questo, per me, è stato raccontato in molti modi. Come indicato nell'altra risposta, un tester di penetrazione con uno sfondo di sviluppo è solitamente bravo a trovare difetti nel software, specialmente se hanno trascorso molto tempo nel settore - ci vuole solo un po 'di allenamento per pensare come un hacker per trovare difetti di sicurezza nel codice e nelle applicazioni. Questi ragazzi saranno anche bravi a rivedere il codice per problemi di sicurezza e a trovare soluzioni eleganti per questi difetti che uno sviluppatore altrimenti inesperto potrebbe non essere in grado di implementare.

L'altro vantaggio che le persone con la sicurezza delle applicazioni e, in generale, i penetration tester hanno con uno sfondo di sviluppo è la capacità di sviluppare i propri strumenti quando stanno testando il codice. A un certo punto, avrai a disposizione strumenti pratici per fare il tuo lavoro e dovrai hackerare il codice di qualcuno o scrivere il tuo codice per fare quello che vuoi. Mentre ho visto persone con abilità di base in Python, gli strumenti più eleganti e ben realizzati provengono da persone con uno sfondo di sviluppo classico.

Detto questo, ho visto anche alcuni sviluppatori di exploit e tecnici di reverse engineering che, pur essendo bravi a scrivere codice, non vogliono davvero farlo. Ma sono incredibili in quello che fanno e la loro conoscenza come sviluppatore rende più facile per loro invertire il codice, analizzare il malware o persino scrivere il proprio malware.

Alla fine della giornata, nella mia esperienza personale, sapere come scrivere e leggere il codice è di fondamentale importanza, soprattutto se sei interessato a entrare nella sicurezza delle applicazioni. Capire come funzionano le applicazioni ha sicuramente reso più facile per me interrompere le applicazioni.

Per riassumere, se sei bravo nella scrittura del codice, hai un vantaggio su molte persone nel campo - un sacco di buoni tipi di sicurezza delle applicazioni che conosco assolutamente suck scrivendo buon codice. Se sei più interessato a hackerare altre applicazioni per fare ciò che vuoi che facciano, continua a farlo. Se scrivere un codice da un foglio di carta bianca ti spaventa ... beh, prova a lavorarci sopra e ad acquisire sicurezza, perché non è difficile una volta acquisita esperienza. È tutto un processo di apprendimento, quindi continua ad imparare!