Veo las habilidades de seguridad de nivel de entrada como un problema para la industria. ¿Qué podemos hacer al respecto?

Creo que la mejor manera de hacer que las personas piensen en la seguridad como algo real en lugar de abstracto es enseñar a los verdaderos principios básicos, divorciados de las computadoras. Comience con la seguridad física y las diferencias entre eso y la seguridad de la computadora.

1. La gente descarta la seguridad porque gran parte de ella es teatro de seguridad: bloqueo después de 3 intentos fallidos, acceso físico a las máquinas, registradores de claves y políticas de contraseñas draconianas.

2. Árboles de amenazas: permita que los estudiantes desarrollen sus propios árboles de amenazas. ¿Es más probable que alguien pueda registrar la máquina de la biblioteca o averiguar su contraseña de 12 caracteres que debe cambiar cada 3 meses y usar 4 clases diferentes de caracteres? Los niños son excelentes para hacer bromas y, a menudo, tienen que subvertir la seguridad física, así que aproveche eso.

3. Demuestra hazañas aterradoras. En Black Hat, por lo general, tienen un muro de vergüenza que muestra todas las cuentas de texto claro que han olfateado (bloquean las contraseñas y algunas de las direcciones). Una aplicación que debería permitir sesiones de texto claro en tiempo real en todo el campus podría impactar la importancia de la seguridad.

4. Ejemplos de sitios explotados. Echa un vistazo al spam cialis insertado en este blog . Es vergonzoso. Los enlaces de spam a la estafa de farmacia canadiense. Los enlaces están rotos porque la otra máquina ha sido arreglada. Es una estafa muy organizada y sofisticada supuestamente de Europa del Este. Ejecutan servidores web muy pequeños en máquinas con grietas para evitar que las direcciones IP estén en la lista negra.

No comparto su premisa de que los estudiantes no quieren escuchar sobre seguridad. Enseño un curso de seguridad informática de pregrado. Es uno de los cursos más populares en nuestro departamento de informática (no es el más popular, pero está allá arriba).

Una cosa que hay que entender es que la mayoría de las universidades están interesadas en enseñar conceptos y principios que durarán toda la vida de un estudiante. En comparación, las habilidades de enseñanza que pueden quedar obsoletas en 5 años tienen una prioridad más baja. Por lo tanto, si lo que desea es capacitación en habilidades para el software del día, las compañías probablemente deberán proporcionarla mediante la capacitación de sus empleados. Pero si quieres personas que saben cómo pensar sobre seguridad, que saben cómo pensar como un atacante, que están familiarizados con los principios fundamentales de la seguridad, eso es algo que puede proporcionar un plan de estudios universitario bien diseñado.

He hablado con futuros empleadores de nuestros graduados, y nunca les he escuchado quejarse de que los estudiantes que toman nuestro curso de seguridad salen como nazis de seguridad. Por el contrario, el comentario más común que recibo de los empleadores es: ¿puede agregar más material sobre seguridad en más de sus cursos?

Me doy cuenta de que esto difiere de tus propias percepciones, pero hiciste pedir más puntos de vista. Esto es mío.

Estoy de acuerdo con su afirmación. Parece que tenemos dos campos de estudiantes. Necesitamos educar a todos los estudiantes en la industria de la informática XX sobre los conceptos básicos de seguridad. En mi universidad, forzamos a todos los estudiantes de sistemas de información por computadora (CIS) y de tecnología de información en computadora (CIT) a que tomen mi curso introductorio de infosec. CIT major también tiene que tomar al menos un seguimiento en curso infosec.

Requerir que todos los estudiantes tomen al menos una clase de introducción de información de seguridad es un primer paso para mejorar la situación. Sin embargo, no creo que sea suficiente. Creo que la forma en que se enseña el curso también importa. Por ejemplo, tengo el hábito de recordar a los estudiantes que "la seguridad de la información no es solo la seguridad de la computadora" al menos una vez a la semana. Hago esto porque creo que, como técnicos, tendemos a sumergirnos en los detalles de todas las cosas que podemos hacer para abusar de los sistemas informáticos. Es una forma de tratar de parecer un geek alfa (mira lo que puedo hacer, nadie está a salvo ...). Centrarse estrictamente en las cosas divertidas de la tecnología e ignorar todo lo demás parece abrir una brecha entre los dos campos. Los nazis se lo comen y quieren imponer políticas ridículas (e ineficaces) al graduarse. Los estudiantes que no están buscando una carrera infosec soportan la clase y continúan sin tener idea de la seguridad y también están decididos a resistir las políticas de los nazis.

Para mí, trato de encontrar un equilibrio entre enseñarles a los estudiantes sobre la tecnología de infosec divertida y ayudarles a comprender que infosec es mucho más que exámenes de pluma, análisis de vulnerabilidades, av, etc. Tengo una configuración de lugares para ellos muy divertida. con un par de sistemas en una red aislada que pueden hackear. Incluso los estudiantes que no están interesados en infosec parecen disfrutar de esto. Esperemos que se gradúen un poco más sabios y sin odio por todas las cosas infosec.

Me pregunto si los graduados son el lugar adecuado para comenzar.

Se puede argumentar que un buen profesional de seguridad (o incluso cualquier profesional) necesita al menos una buena base en los negocios, y probablemente en TI / IS. Tomar a alguien de la universidad y ponerlo directamente en infosec significa que es mucho más probable que terminen siendo nazis de seguridad que no.

Quizás el enfoque debería ser enfocarse en el nivel de líder de equipo / gerente junior dentro de las empresas. Ya conocen las cuerdas corporativas, cómo influir, persuadir y tratar con la política, y están buscando su nicho. Ahora, si están en TI, entonces probablemente puedan ir por la ruta infosec o IT sec (o ambas); Es posible que alguien con antecedentes no tecnológicos tenga que concentrarse en la información y que se adapte a la seguridad informática durante un par de años. Pero ahí es donde pondría mis energías si quisiera asegurar que los líderes del futuro sean amigables con la seguridad.

Veo los mismos problemas que está viendo, pero encontré una solución parcial mientras trabajaba como líder de programas de seguridad de operaciones para una gran multinacional. Tuve la suerte de contar con el apoyo de un par de ejecutivos clave y un programa de inicio realmente bueno para los nuevos graduados. El enfoque preexistente era simple: esta empresa contrataría a un bloque de ingenieros recién graduados y tipos de CS, los firmaría para un contrato de 2 años y luego los rotaría a través de cada uno de varios grupos / posiciones durante ese tiempo. Podrían, por ejemplo, pasar unos meses apoyando un conmutador de enlace grande, y luego obtener varios meses escribiendo un nuevo código para ese mismo conmutador. Otros pueden dedicar un tiempo a desarrollar nuevo hardware y luego dedicar tiempo a la administración de la red. La decisión sobre los grupos a los que iría cada nuevo graduado fue una combinación de habilidades, deseos y necesidades, tanto del nuevo empleado como de las diversas organizaciones.

El bit que agregué fue incluir un conjunto de opciones para que estos nuevos graduados reciban los mismos tipos de exposición a la seguridad en el mundo real. Reunimos planes para que estas nuevas personas aprendieran la seguridad de TI del grupo de seguridad de TI, teníamos un par de grupos de respuesta a incidentes con los que podían trabajar, e incluso de vez en cuando un par ayudaba en la política. De esta manera, cuando aterrizaron donde sea (asumiendo que se les ofreció una posición permanente al final del programa) tenían un cierto nivel de comprensión de la seguridad y sus desafíos asociados en el mundo real.

Dicho todo esto, entiendo que este programa no es realista para la mayoría de los empleadores. Sin embargo, podría ser posible juntar un par de posiciones de tipo pasante de verano que brinden la misma exposición básica, a un costo muy reducido. Mi experiencia es que, a medida que los técnicos se exponen a los desafíos y oportunidades reales en el espacio de seguridad, su enfoque se vuelve más razonable y equilibrado. Rápidamente descubrimos que tampoco lleva mucho tiempo. No era necesario que aprendieran lo suficiente para realizar el trabajo, solo que obtuvieran una comprensión sólida de la realidad. En la mayoría de los casos, un par de meses (aproximadamente la duración de las vacaciones de verano) con un equipo de seguridad brindó experiencia más que suficiente para obtener un resultado muy positivo.