Valuation is not the same

A CISSP-tréning kockázatelemzés moduljában a Challenges részben szerepel a címben lévő mondat, mint a sok kihívás közül az egyik. Szabad fordításban e cím annyit tesz, hogy: Ahány ember, annyi értékelés.

Jelenthet-e valami nagy kockázatot, vagy kicsi kockázatot attól függően, hogy ki értékel? Nagy baj volna, ha ez így lenne.

Szóval, igen, van ilyen.

Az IT-kockázatok elemzése minden esetben az üzleti folyamatokat operatívan irányító középvezetőkkel, és folyamatgazdákkal folytatott interjúkkal kezdődik (na, ez így nem igaz, van még ezelőtt is néhány dolog, de azt majd a tréningen elmondom). Nem egy esetben kérnek meg arra, hogy az interjúk helyett csináljak egy olyan űrlapot, amit kitölthetnek az interjúk alanyai. Ezzel nem csak a szerény napidíjamat tudják majd megspórolni, hanem „kevésbé terheljük” majd a munkából ki sem látszó vezetőket.

A gazdasági válsággal sújtott időkre tekintettel a minap rávettek a fenti butaságra. Volt is már nekik rendszeresített kérdőívük, nekem csak ki kellett értékelnem azokat. Mohón vettem a kitöltött kérdőívekre magamat. Sikerült egyetlen Excel táblázatba gyömöszölni a kérdőívek pontszámait, s mikor először rendeztem RISK szerint csökkenő sorrendbe a rekordokat, elállt a lélegzetem.

A cég egy multinacionális nagyvállat magyar leánykája volt, kilétét a homály helyett a Titoktartási nyilatkozatom fedi. Tele voltak első látásra kritikus üzleti folyamatokkal, gyártottak meg fejlesztettek terméket, és persze volt pénzügy, raktár meg logisztikai is bőven.

Nos, Kedves Olvasó, e cég legkritikusabb folyamatának neve a következő volt: „Heti jelentés készítése”. Nem baj, ha leáll a gyártósor, vagy a kamionok hosszú sora kígyózik a raktárépületek előtt. A lényeg, hogy az ANYA megkapja a heti riportját.

Ennyit az űrlapokról, a többit majd a tréningen.

A nagy világégések, vagy hófúvások hatalmas mennyiségű tapasztalattal is szolgálnak nekünk, információbiztonsági szakembereknek. A március 15-ei események is szolgáltattak belőle bőven. Az alábbi történések pontos helyét és érintettjeinek nevét fedje a balladák félhomálya és a titoktartási szerződésem.
 
Történetünk egy Vállalat alagsorában az ún. betáp helyiségében keződik. Március 15-ére virradóan a trafókat kapcsoló lamellák összefüggő, derékig érő hó alá kerültek. Képzelheted, hogy mi történt! Nos, maradjunk abban, hogy elment az áram. Erről a tényről az UPS-ek adminisztrátora annak rendje és módja szerint kapott egy SMS-t. Nagy nehezen beért a Vállalathoz az évtized legnagyobb hóviharában csak azért, hogy konstatálhassa, hogy ezen ő segíteni nem tud. A trafós helyiséghez rendelt szakember neve és elérhetősége nem volt a „Well defined escalation list”-en, mert az nem is volt „well defined”.
 
Néhány órás telefonálgatás után az illetékes előkerült, s így már a kinyitott betáp helyiség ajtajában ketten vakarták a fejüket. Áramot csinálni nem lehetett, egy szép nagy hóembert annál inkább. Ötletet ötletre halmozva abban maradtak, hogy ha lenne egy nagyteljesítményű mobil hőlégbefúvójuk, akkor a helyiség hamar kiszáradhatna, s újra áram alá lehetne helyezi a berendezéseket. 2013 március 15-én, az évtized legnagyobb hóviharában egy nagyteljesítményű mobil hőlégbefúvót szerezni legalább olyan reménytelen, mint 100-as Skodához működő AC pumpát a 71-es út széléről a nyolcvanas évek elején.
 
S hogy hogyan került hó alá az egész helyiség? A szellőzőnyílás félig csukott spalettái között fújta be a szél. (!!!???!!!) 
Hogy hogyan lehet jó Szünetmentes Stratégiát és használható Akcióterveket készíteni, elmondom a CISSP-tréningen!

1. Kezdőképernyő

Amikor elindul a Windows 8, egy nagyon szép oldallal találkozunk, a képernyőzárral. És nincs rajta semmi, amiből ki lehetne találni, hogy most akkor mi a teendő. Pedig nagyon egyszerű! Csak nyomjuk le egy billentyűt, vagy tekerjük meg az egér görgőjét, vagy rákattintva "toljuk fel", mintha érintőképernyő volna, ekkor elő is jön a bejelentkező képernyő. Írjuk be jelszavunkat és kezdhetjük is a munkát.

2. Csempézés

Ha bejött a Kezdőképernyő (ami nem más, mint egy óriásira nőtt, egész estét betöltő Start menü, szóval nem kell megijedni tőle), a csempéken kattintva indíthatjuk is az alkalmazásokat. A jobb egérgombnak is van szerepe: jobbklikk hatására alul megjelenik egy kis menüsor, megmutatva, hogy mit tehetünk a kijelölt csempével: alapvetően elfojtani tudjuk, a négy opcióból négy a ledegradálásról szól: csempe eltüntetése, az alkalmazás teljesn eltávolítása, a csempe megfelezése, illetve automatikus frissítés kikapcsolása.

3. Alkalmazáscsoportok

4. Egyszerűsített Start menü?

A Windows 8 Developer Previewban volt egy nagyon alap Start menü, ami megváltozott egy kicsit. Most, ha a jobb alsó sarokba visszük az egérmutatónkat, az előzőleg megnyitott ablak képe látható, erre jobb egérgombbal kattintva megjelenik egy igen egyszerű Start menü. Ezt a Windows + X billentyű kombinációval is megnyithatjuk. Ez egy szöveges menü, amely könnyű hozzáférést nyújt sok hasznos funkcióhoz. Néhány példa: Eszközkezelő, Vezérlőpult, Futtatás, Keresés párbeszédpanel és így tovább.

5. Keressük meg alkalmazásainkat!

Az új Win + X menü hasznos, de nem helyettesíti a régi Start menüt, mivel így nem érjük el az összes alkalmazást. A Windows + Q kombinációval, vagy jobb egérgombbal kattintsunk a Kezdőképernyő egy üres terültére, és válasszuk ki a Minden alkalmazást, így megjelenik egy görgethető lista az összes telepített alkalmazással.

6. Keresés

A Kezdőképernyőn nem látható a keresési sáv, de ha elkezdünk gépelni, megjelenik a keresőfelület és betűnként szűkíti a találati listát. Különböző csoportokból választhatunk a pontosabb keresésért, például: Alkalmazások, Fájlok, Hírek, Levelek, Kapcsolatok stb...

7. Leállítás

Le szeretnénk állítani a Windows 8 számítógépet, de hogy is kell? A Kezdőképernyőn tartsuk a kurzort a jobb alsó sarokban, majd mikor megjelenik a jobb oldali sáv, a Beállítások ikonra kattintsunk (Windows + I), vagy nyomjuk meg a Ctrl + Alt + Del billentyűket, ezek után kattintsunk Főkapcsoló gombra, esetleg ha az asztalon vagyunk, nyomjunk Alt + F4-et. Huhh.

8. Mi fut?

Nyissunk meg pár alkalmazást, majd nyomjunk Windows billentyűt. Az alkalmazások még futnak, azonban ezek nem látszanak. Nyomjuk le az Alt + Tab vagy Windows+Tab billentyűkombinációt , így megjelenik egy-egy panel, ahol láthatóak a futó alkalmazások. Vigyük a kurzort a bal felső sarokba, várjunk, amíg megjelenik az indexkép, ezt fogjuk meg és húzzuk le, így előtérbe hozható az alkalmazás. Persze használhatjuk a Ctrl + Shift + Esc-et is a Feladatkezelőhöz.

9. Alkalmazás bezárása

A Metro alkalmazásoknak nincsenek bezárás gombjai. Ha be szeretnénk zárni egy alkalmazást, a legegyszerűbb, ha "lerántjuk" a képernyőről: érintőképernyő esetén ez egy egyszerű gesztus: megfogjuk a progit fent a tetejénél, és leránjtuk, mintha egy papírt tépnénk le egy rajztömbről. Egérhasználat esetén a képernyő tetején megjelenő "mancsocskával" kattintunk, és lenntartott egérgombbal lehúzzuk az alkalmazást a ... képernyőről. Ezen kívül még 6-8 módszer létezik, például tartsuk a kurzort a bal felső sarokban, majd a képernyő szélén húzzuk le (Windows + Tab). Kattintsunk jobb egérgombbal, amire nincs szükségünk és zárjuk be. Ha ez túl macerás az Alt + F4 még mindig működik, és ha ez sem elég, akkor marad a Feladatkezelő!

10. Metro Internet Explorer

A Metro Internet Explorer egy teljes képernyős böngésző, eszköztárak nélkül. Kattintsunk jobb egérgombbal az oldal egy üres részén, így előjön pár funkció, válthatunk a lapok között, rögzíthetjük az oldalakat a Kezdőképernyőre, mint parancsikon. Elindítható a megszokott asztali változat is, Windows+[tálcán elhelyezkedő sorszáma], alapesetben Windows+1-et nyomkodva válthatunk a megnyitott lapok közt.

11. Két alkalmazás egymás mellett

XXI. századi csoda: két alkalmazás futtatása egymás mellett!
Win 8-on a következő módon futtathatunk egymás mellett két alkalmazást: ha futnak az alkalmazásaink és az egyiket mindig látni szeretnénk, akkor például a bal felső sarokból húzzuk le az indexképét a képernyő jobb szélére.  A Windows + Shift +. -szal és a Windows+. -szal , vagy egérrel, az elválasztó vonallal átrendezhetjük ezt a két alkalmazást. Ha az elválasztó vonalat kihúzzuk a képernyő szélére, újra csak egy alkalmazásunk marad.

12. Tüntessük el alkalmazásainkat

Ha a Kezdőképernyőn túl sok alkalmazásunk van, vagy csak nem látjuk át rendesen, tüntessük el azt amire nincs szükségünk. Kattintsunk jobb egérgombbal az egyik alkalmazásra, majd „Kisebb” vagy „Nagyobb” gombra, így megváltozik a csempe mérete. Ha nem használjuk rendszeresen az adott alkalmazást kattintsunk a „Levétel a Kezdőképernyőről”-, vagy ha már egyáltalán nincs rá szükségünk az „Alkalmazás eltávolítása” gombra.

13. Alkalmazások és magánélet

Alapértelmezés szerint a Windows 8 alkalmazásai használhatják a nevünket, fiók képünket, és a helyadatainkat. Ha ezt nem szeretnénk, könnyedén megváltoztathatjuk, csak nyomjunk Win+I -t, kattintsunk a Gépházra, majd az Adatvédelem lapon kapcsoljuk ki ezeket a beállításokat.

14. Bármit telepíthetünk!

Mint a legtöbb mobil platform, a Windows 8 is ajánlja, hogy csak megbízható forrásokból telepítsünk alkalmazásokat. Ezt megváltoztathatjuk a Windows 8 Pro és Enterprise változatában. Futtassuk a GPEdit.msc-t majd keressük meg a Számítógép konfigurációja > Felügyeleti sablonok > Windows összetevők > Alkalmazáscsomag telepítése opciót. Ezután válasszuk ki a "Minden megbízható alkalmazás telepítésének engedélyezése"  lehetőséget és engedélyezzük.

15. Felügyeleti eszközök

16. Képernyőzár kikapcsolása

Ha feleslegesnek tartjuk a Képernyőzárat, kapcsoljuk ki. Futtassuk a GPEdit.msc-t és keressük ki a Számítógép konfigurációja > Felügyeleti sablonok > Vezérlőpult >Személyre szabás opciót. Itt kattintsunk arra, hogy "Ne jelenjen meg a zárolási képernyő", majd engedélyezzük.

17.  Automatikus belépés

18. Régi Start menü

Ha nagyon hiányzik a régi Start menü, telepíthetsz valami nagyon hasonlót, például a ViStart-ot (http://lee-soft.com/vistart/) Figyeljünk a telepítésnél, mert mást is telepíteni próbál :) Vagy kipróbálhatjuk a Stardock-ot (http://www.stardock.com/products/start8/), hasonló funkciókat nyújt mint a ViStart, talán kicsit többet.
https://www.youtube.com/watch?v=7SD5mW-X4vI
 Ám mindez - megalkuvás. Tapicskolj!

19. A Windows gyorsbillentyűk 

• Win: válthatunk a Kezdőképernyő és az Utoljára megnyitott alkalmazás közt.
• Win + C: megjelenik a  "Charms": Keresés, Megosztás, Eszközök, Beállítások
• Win + D: megjelenik az asztal
• Win + E: elindul az Intéző
• Win + F: megnyílik a Fájlok keresése
• Win + H: megnyitja a Megosztás panelt
• Win + I: megnyílik a Beállítások panel
• Win + K: megnyitja az Eszközök panelt
• Win + L: zárolja a számítógépet
• Win + M: minimalizálja a megnyitott ablakokat, alkalmazásokat
• Win + P: válthatunk a Második képernyőre
• Win + Q: megnyílik az alkalmazások keresése
• Win + R: megnyílik a Futtatás ablak
• Win + U: megnyílik a Kezeléstechnikai központ
• Win + W: megnyílik a Beállítások keresése
• Win + X: megjelenik egy egyszerűsített start menü
• Win + Z: megjeleníti a jobb-klikk menüt, a teljes képernyős "Metro" alkalmazásoknál
• Win + +: elindítja a Nagyítót és nagyítás
• Win + -: kicsinyítés
• Win + , : Aero stílusban az asztal megtekintése
• Win + Enter: elindítja a Narrátort
• Win + PgUp: Az aktuális Metro képernyő bal oldali monitor
• Win + PgDn: Az aktuális Metro képernyőn a jobb oldali monitor
• Win + PrtSc: képernyőmentés készítése a Képek mappába
• Win + Tab: váltás a futó "Metro" alkalmazások közt

20.  Programok gyorsindítása

Ha nem szeretünk gyorsbillentyűket használni, készíthetünk parancsikonokat például kereséshez, kikapcsoláshoz stb. Indítsuk el az asztal alkalmazást, majd kattintsunk jobb gombbal az asztal egy üres részén és hozzunk létre egy új Parancsikont. Tallózzuk ki, amit szeretnénk, vagy a példa kedvéért írjuk be hogy "shutdown.exe -s -t 0" hogy állítsa le a számítógépet, vagy "shutdown.exe -r -t 0" az újraindításhoz, majd adjunk neki egy nevet. Ezt akár rögzíthetjük a Kezdőképernyőre is.

21. Intelligens képernyőmentés

Ha képernyőmentést szeretnénk készíteni nyomjunk Win+PrtSc, és a kép nemcsak a vágólapra kerül, hanem automatikusan lementődik a Képek mappába, ahol "Képernyőfelvételek" néven megtalálhatjuk őket.

22. Ismeretlen alkalmazások 

Az új Windows 8-at kicsit nehezebb lesz mindenféle vacak programmal tönkretenni, mint elődjét. Be lehet neki állítani, hogy ha ismeretlen (forrásból származó) alkalamzással találkozik, mit tegyen. Alapértelmezésben figyelmeztet, és úgy elrejti a továbbfuttatási lehetőséget, hogy csak nagyon elszánt felhasználók fogják megtalálni a lehetőséget!

23. Windows 8 Fájlelőzmények

24. VHDX!

A Windows 8 támogatja az új VHDX formátumot. A "lemez" maximális mérete 64TB és rugalmas az áramszünetekkel szemben (nem sérül olyan könnyen). Nyissuk meg a Vezérlőpult\Minden vezérlőpultelem\Felügyeleti eszközök\Számítógép-kezelést (Futtatás: compmgmt.msc) és válasszuk ki a Lemezkezelést, erre kattintsunk jobbegérrel, majd "Virtuális merevlemez létrehozása", válasszuk a VHDX formátumot, és kezdhetjük a tesztelgetést.

25. Virtuális gépek

A Windows 8-ban elérhető a Microsoft Hyper-V, amivel virtuális gépeket hozhatunk létre és futtathatjuk azokat. A futtatásba írjuk be, hogy "OptionalFeatures.exe", kapcsoljuk be a Hyper-V szolgáltatást, majd OK, ezután települni fog. Nyissuk meg a Kezdőképernyőt, lapozzunk jobbra, és a lista végén megtaláljuk "A Hyper-V kezelő" és a "Hyper-V virtuálisgép-kapcsolat" csempéket.

26. Automatikus karbantartás 

A Windows 8-ban lehetőségünk van automatikus karbantartásra. Nyissuk meg a Vezérlőpult\Rendszer és biztonság\Műveletközpont\Karbantartás és kattintsunk a "Karbantartási beállítások módosítása"-ra, itt állítsunk be egy olyan időpontot, amikor valószínűleg nem fogjuk használni a számítógépet, továbbá engedélyezhetjük, hogy "A számítógép felébreszthető az ütemezett karbantartás idejére", majd OK és kattintsunk a "Karbantartás indítása" gombra.

27. Képjelszó, az elfelejthetetlen jelszó!

A Windows 8-ban egy kép is lehet bejelentkezési azonosító, aminél vonalak, körök és pontok kombinációja a "jelszó". Nyomjuk meg a Win + I billnetyűkombinációt, majd Gépház\Felhasználók\Képjelszó létrehozása, írjuk be a jelszavunkat, és kezdhetjük a próbát.

28.  Egyszerűbb keresés

Alapértelmezésben a Windows 8 keresője minden alkalmazásban keres. Ha egy alkalmazásban nem szeretnénk többet keresni és feleslegesen "foglalja a helyet" a találati listánkon, akkor azt zárjuk ki.

Nyomjuk meg a Win + I billentyűkombinációt, majd Gépház -> Keresés. Itt válasszuk ki hogy mi ne szerepeljen a találati listán, és kapcsoljuk ki.

29. Érintőbillentyűzet

Windows 8-ban a Touch Keyboard megpróbál segíteni a gépelésben, például javaslatokat jelenít meg, dupla szóköz esetén pontot rak, mintha mondat vége lenne, a dupla Shift megnyomása pedig felér egy Caps Lockkal. Ezeket ki- illetve bekapcsolhatjuk. Nyomjuk meg a Win + I billentyűkombinációt, majd Gépház > Általános. Menjünk lejjebb az Érintőbillentyűzet részhez, majd állítsuk be, ahogy szeretnénk.

30. Fájl menü, új menüpontok

A Windows 8-ban van egy egyszerű mód a Parancssor vagy PowerShell megnyitására. Az Intézőben kattintsunk a Fájl menüre majd válasszunk, milyen jogosultsággal szeretnénk megnyitni. Továbbá itt tudunk nyitni egy új ablakot (akár új folyamatban) és törölhetjük az előzményeket.

31. Windows 8 intéző újraindítása

Ha a Widows Intéző lefagyna :), a Windows 8-ban egyszerűen újraindíthatjuk. Nyomjunk Ctrl + Alt + Esc-et, ezzel megnyitva a Feladatkezelőt, majd keressük ki a Folyamatok listáról a Windows Intézőt és kattintsunk az Újraindítás gombra.

32. Nem indulnak "metro" alkalmazásaink?

Windows 8-ban, ha rákattintunk egy "metro" alkalmazásra nem nyílik meg? Ez megjelenítési probléma is lehet. A "metro" alkalmazások nem támogatják az 1024x768 (vagy 1366 x 768) nál kisebb képernyőfelbontás t, így növeljük azt (az asztalon jobb egérgomb\Képernyőfelbontás).  Ha ez nem segít, frissítsük VGA driverünket.

33. Teljesítményproblémák

Ha úgy tűnik, hogy lelassult a rendszerünk, vessünk egy pillantást a Feladatkezelőre (CTRL+SHIFT+ESC).  Kattintsunk a Folyamatok fülre, hogy kiderítsük, mi is használja a processzort, memóriát, lemezt és a hálózatunkat. Részletesebb adatokért kattintsunk a Részletek fülre. A Teljesítmény fül grafikusan mutatja az erőforrás kihasználtságát az elmúlt néhány másodpercről, míg az Alkalmazáselőzmények fül alatt több napra visszamenőleg megnézhetjük, hogy mely alkalmazásunk mennyire használta ki rendszerünket. Netán túl hosszú a boot-idő? Kattintsunk az Indítás fülre, és amire nincs szükségünk tiltsuk le (ez régebben Futtatás/"msconfig"-nál volt elérhető, de annak már csak a hűlt helyét találjuk meg).

34. Virtuális meghajtó

Windows 8 alatt nem szükséges programokat telepítenünk ahhoz, hogy megnyissuk az ISO fájljainkat. Nagyon egyszerűen kattintsunk a lemezképre duplán, majd a Windows csatlakoztatja és lesz egy új meghajtónk.  Leválasztáshoz kattintsunk a meghajtóra jobb egérgombbal, majd a kiadás menüpontra. Ennyi.

35. Defender

36. GodMode

Ahogy a Windows 7-ben úgy a 8-ban is elérhető a GodMode, ez a beállításokat gyűjti egy helyre, így innen minden elérhető. Készítsünk egy új mappát majd adjuk neki ezt a nevet: 
GodMode.{ED7BA470-8E54-465E-825C-99712043E01C} 

-Önök etikus hekkelést tanítanak. A köznyelvben az etika és a hekkelés nem összeegyeztethető fogalmak. Mégis mit takar ez a kifejezés?

- Az etikus hekkelés hasonló az autók töréstesztjéhez. Ott is a "gonosz” tesztelők vadonatúj autókat vezetnek a falnak, és összetörik őket. Ők is hasonló céllal teszik ezt, mint amit mi tanítunk a tanfolyamainkon: fölmérik az autó biztonsági rendszerét. Erről szól az etikus hekkelés: hekker gondolkodásmóddal megkeressük az informatikai rendszerek biztonsági réseit. Eközben felmérjük a rendszerek biztonságosságának szintjét, feltárjuk a hiányosságokat. A munkamódszerek magukkal hozták a már korábban ismertté vált hekker kifejezést. Ma már ez nemzetközileg elismert szakma, nemzetközileg elfogadott minősítő rendszerek működnek.

- Az etikus hekker munka közben összetéveszthető a gonosz hekkerrel? A teendői hasonlóak?

- Vannak hasonlóságok, de vannak alapvető különbségek is. A legfontosabb különbség, hogy az etikus hekker a „megtámadott” cégtől származó írásos megrendelés alapján dolgozik. A másik különbség, hogy bár ugyanazokat az eszközöket használja, mint rosszindulatú kollégái, de a munkára szánt erőforrásai nem végtelenek, nem ez az életcélja, nem fog egy-egy munkával irreálisan sok időt eltölteni. És természetesen ha be tud hatolni a cég rendszerének belsejébe, ott nem tesz semmi olyat, amely a cég érdekeit sértené.

- A hekkerek a népszerű kultúrában magányos zsenikként jelennek meg, akiknek a sikeressége főként kreativitásukon alapszik. Hogyan lehet mégis tanítani ezt a foglalkozást? Nem különbözik minden hekker munka gyökeresen az összes többitől?

- Számos alapvető technika áll a hekkerek rendelkezésére, amelyek segítségével végül mégis egyedi megoldások születnek. Talán a legismertebb a rendszeren lévő úgynevezett portok letapogatása. A portok olyan kiskapuk, amelyeken keresztül beléphetünk a rendszer belsejébe. A honlapok is portok, hiszen rajtuk keresztül kapcsolatba léphetünk a webhellyel. A hekkerek természetesen általában nem az efféle nyilvános portokat keresik, hanem a rejtett kapukat, amelyeket gyakran nem is szándékosan hagytak nyitva a rendszer üzemeltetői. Sok programot írtak, amelyek a hekkerek segítségére lehetnek a nyitva felejtett kiskapuk megtalálásában, hiszen szinte lehetetlen milliónyi programsort kézzel átbogarászni. De vannak olyan hekkermódszerek is, amelyek éppen a nyilvános weboldalakon keresztül támadnak. Ilyenkor például adatbázis-kezelői parancsokat táplálnak be a távoli számítógépbe a weboldalakon gyakori szövegbeviteli mezők segítségével (ahova normális esetben a felhasználói nevünket vagy az email címünket kellene beírnunk). Ha a weboldal üzemeltetői figyelmetlenül hozták létre az oldalt, akkor a számítógép végre is hajtja ezeket az utasításokat, és például elküldi a hekkernek az összes felhasználó személyes adatait. Vannak olyan programok, amelyek éppen efféle gyenge pontokat keresnek a honlapokon.

- Hogyan reagálnak a megrendelők, amikor szembesülnek az etikus hekker által feltárt hibákkal?

- Az okoz időnként problémát, ha a megrendelő cég vezetői nem értik a hiba lényegét. A rendszergazdák talán megértik, de ők gyakran eleve ellenérzésekkel viszonyulnak az egészhez, hiszen a hibákat fölsoroló jelentést a munkájukkal szemben megfogalmazott kritikaként fogják föl. Sokszor vitatkoznak a hekkerrel, azt bizonygatva, hogy a megtalált kiskapu nem is kiskapu valójában, hanem „direkt” építették föl úgy a rendszert.

- Kik vesznek részt az etikushekker-tanfolyamokon? Ismerik a hátterüket?

- Igen, minden személyes adatukat meg kell adniuk, és aláíratunk velük egy nyilatkozatot arról, hogy a nálunk tanult ismereteket csak tisztességes célra használják majd föl. A diákjaink általában nem programozók, hanem vállalati informatikusok, rendszergazdák, akik azzal a céllal jönnek hozzánk, hogy megerősítsék a saját vállalati rendszerüket. Törvényi kötelezettségünk egyébként, hogy mindent tudjunk a hallgatóinkról, hiszen a büntető törvénykönyv szerint aki ilyesmit tanít, mint mi, az maga is bűnsegéddé válhat, kivéve, ha meg tudja mondani a hatóságoknak, hogy kinek tanította.

- Még soha nem merült föl önben az a gyanú, hogy valaki azért jött ide, hogy az itt megszerzett tudást aztán tisztességtelen célokra használja?

- Ez elképzelhetetlen, mégpedig azért, mert igazából minden általunk átadott információ megtalálható ingyen az interneten. A tanfolyam lényege az, hogy összeszedetten átadja a tanulóknak azt a tudást, amelyet fél-egy év alatt összeszedhetnének az internetről egyedül. Természetesen a tanfolyam egyhetes időtartamát nem úgy kell érteni, hogy ha valaki bejön az utcáról nulla informatikai tudással, akkor egy hét elteltével képzett etikus hekkerként távozik. A tanfolyam végzett rendszermérnönök továbbképzését szolgálja.

- A tanfolyamon megszerezhető tudás birtokában a hallgatók képesek lennének betörni egy-egy vállalat rendszerébe?

- Azért igen, mert nincs törhetetlen rendszer. A védekezési módok bármelyik formájával nem azt lehet elérni, hogy az én rendszerem tökéletesen biztonságossá váljon, ahová elvileg is lehetetlenség betörni, hanem azt, hogy ne az én rendszerem legyen a leggyengébb a piacon. A védelmi szint emelésével gyorsan nőnek a költségek, tökéletes védelem pedig nem is létezik. Hiába próbálják folyton befoltozni a rendszeren lévő lyukakat, a legtöbb vállalati hálózat burka hamar beszakad, ha kicsit megkapirgáljuk a felszínt. Ezek a rendszerek mára olyan összetettekké váltak, a vállalati környezet pedig olyan rohamosan változik, hogy folyamatosan kerülnek beléjük az emberi hibák. Nem kell semmi misztikusra gondolnunk: minden kihasználható biztonsági rést egy másik ember hozott létre. A kérdés mindössze az, hogy a védők illetve a támadók által befektetett energia eséllyel térül-e meg. Magyarul a vállalat biztonságáért felelősök olyan erős védelmet kell kiépítsenek, amelynek ára nem haladja meg a támadás jelentette kockázatot, a hekkernek pedig olyan helyekkel kell próbálkoznia, ahol belátható időn belül sikerrel járhat, és a megnyerhető információ megéri mindezt.

- Az a tény, hogy a cégek önökhöz küldik tanulni a munkatársaikat, arra utalhat, hogy fenyegetve érzik magukat a hekkertámadásoktól. Van önöknek információjuk arról, hogy milyen gyakoriak Magyarországon az ilyen incidensek?

- Hivatalosan nem tudunk ilyenekről, mert Magyarországon nem kötelező bejelenteni az efféle támadásokat. Csak a jéghegy csúcsa látszik, a többi kísérletet pedig a cégek elhallgatják. Feltételezhető azonban, hogy akárcsak mindenütt másutt a világon, a bankkártya adatok lopása gyakori lehet nálunk is, hasonlóan az infrastrukturális létesítmények elleni támadásokhoz. Persze a hekkertámadásoktól való félelem nem kis részben a sajtó híradásain alapszik, amely szívesen foglalkozik evvel a témával, gyakran a veszély súlyát jóval meghaladó terjedelemben is. Annak oka, hogy ritkán hallunk sikeres magyarországi hekkertámadásokról, az is lehet, hogy sikeresen védekeznek a cégek. Valamiért ugyanis egész jól állunk az informatikai biztonság terén. Talán Magyarországon a legnagyobb a kiképzett etikus hekkerek népességhez viszonyított száma, ma már ezernél is többen vannak. Ennyien vannak Hollandiában is, ahol pedig a informatikai rendszerek elterjedtsége és a nemzeti össztermék is jóval nagyobb, mint nálunk.

- Az oktatók között sincsenek olyanok, akik a múltban nem mindig nemes célra használták a tehetségüket, de mára már jó útra tértek?

- Ez a hollywoodi filmek romantikus világképe. A valóságban egy ilyen figura létezik, Kevin Mitnick, aki valóban börtönviselt hekkerből lett biztonsági szakértő, és mára felkapta a média. De ő az egyetlen ilyen, éppen ezért mutogatják őt minden konferencián. Látnunk kell, hogy az efféle pálfordulásnak nem is lenne sok értelme. Sem a hekker szempontjából, sem a megbízó cégek szempontjából. Melyik felelős vállalat bízna meg a saját rendszere biztonságosságának vizsgálatával egy bűnözőt?

- A hekkelés az utóbbi években az úgynevezett Anonymus-csoport kapcsán került a figyelem középpontjába. Hogyan vélekednek róluk az etikus hekkerek? Forradalmárok ők vagy szimpla bűnözők?

- Erkölcsi kategóriákba nem szívesen sorolnám őket, technikai szempontból viszont semmi különöset nem csinálnak. Általában túlterheléses támadást hajtanak végre weboldalak ellen. Ez azt jelenti, hogy sok száz vagy ezer önkéntes közreműködésével ugyanabban a pillanatban tömegek kezdeményeznek valamilyen műveletet a webhelyen. Ezt általában nem bírja a webhelyet kiszolgáló számítógép, és a weboldal elérhetetlenné válik. Erre a feladatra számos könnyen hozzáférhető szoftver áll bárki rendelkezésére. Műszakilag tehát nincs sok minden az Anonymus mögött. A túlterheléses támadások ellen gyakorlatilag nem lehet védekezni. Legfeljebb annyit tudnak tenni, hogy a támadás idejére lekapcsolják a szervert. De ez nem nevezhető védekezésnek, hiszen pontosan a működés felfüggesztése érdekében indították a támadást.

- Az etikus hekkerek tehát vállalati informatikai rendszerek biztonsági kockázatai után kutatnak. De mi a helyzet az otthoni számítógépekkel? Valóban veszélyben van mindenki, aki rádugja a komputerét az internetre, vagy ezt csak a vírusirtó szoftverek gyártói próbálják velünk elhitetni?

- A számítógép támadásoknak való kitettsége nagyban függ a rajta futó operációs rendszer frissességétől, tehát attól, hogy mikor telepítettek utoljára szoftverjavításokat. Ha valaki egy soha nem frissített Windows XP operációs rendszerről föllép a hálózatra, akkor a mérések szerint huszonhárom másodperc alatt megfertőzik a gépet a vírusok. De ha újabb operációs rendszert és tűzfalat használunk, akkor bizonyos mértékig védettek vagyunk a támadásokkal szemben. Ebben az esetben sem vagyunk biztonságban azonban a saját hiszékenységünktől. Ha rákattintunk egy gyanús linkre egy emailben, amely például Kate Middleton leplezetlen fényképeit ígéri, nem véd meg minket semmilyen tűzfal. Hiába gondoljuk köztudottnak, hogy léteznek ilyen módszereket használó csalók, az emberek többsége még ma is könnyedén hisz nekik.

- Mit tapasztalunk, ha a számítógépünket megfertőzi egy vírus? Az internet előtti korokban megismert vírusok hatása inkább látványos volt, mint veszélyes, például lepotyogtak a képernyőről a betűk. Így van ez ma is?

- A vírusfertőzött komputer gyakran egy úgynevezett zombihálózat részévé válik. A zombi gépek fölött teljes ellenőrzést gyakorol a vírus írója, tehát a komputer minden funkcióját irányíthatja az interneten keresztül távvezérléssel. Elmentheti magának a jelszavakat, felhasználóneveket, minden gépen tárolt adatot. Mindezekből a felhasználó nem vesz észre semmit, a tudta nélkül használhatják föl a gépét illegális tevékenységekhez. Ma még kérdéses, hogy jogilag felelősségre vonható-e ilyen esetekben a zombivá vált gép tulajdonosa, arra azonban már van példa, hogy a végletesen óvatlan komputerhasználók büntethetővé válnak. Németországban ma már tilos jelszavas védelem nélkül vezeték nélküli hálózatot, wifit üzemeltetni. Ezeken keresztül ugyanis bárki nyom nélkül kapcsolódhat az internethez akár egy utcán álló autóból is.

Kezdek lassan rájönni, hogy miért válik jó oktatóvá az, akinek a kezéből kiveszem a pépétét és/vagy a könyvet. Nagyon érdekes, és első pillantásra nem látszik az összefüggés, és nem is 100%-os. Aki elhagyja a hülye pépétét, az azonnal jobb oktatóvá válik. Van, aki kapásból sokkal jobbá válik, van, aki kevésbé, de ő is jobbá válik.

Miért?

Azt a vonalat most hagyjuk, hogy a pépété elhagyása gondolkodásra, felkészülésre kényszeríti az oktatót, ez triviális. Valami másról van szó.

A mentális térkép

Bevallom, én már nagyon sokszor részt vettem .NET tanfolyamokon (jobbára tanfolyamdarabkákon), de nem váltam programozóvá. Most megint beültem, az IT Factoryra, hátha majd most, erre megvilágosodtam, hogy az eddigi alkalmakkal miért nem sikerült!

Az informatikában (is) rendkívül fontos a tudás reprodukálhatósága. Vagyis hogy amit tanítottak és mutogattak neked, azt önállóan meg tudd ismételni. Ennek feltétele, hogy amit épp csinálni akarsz, az ahhoz tartozó mentális térkép ne legyen tele fehér foltokkal. Mondok egy példát: át akarod állítani a difólt gétvéjt. Ehhez nem elegendő a difólt gétvéj, mint fogalom ismerete, az is kell hozzá, hogy tudd, hogy hol találod a beállítást. Nekem ezzel semmi gond, a mentális térképemen rajta van a Control Panel->Hálózatok, kártyaikon, jobbklatty, és hipp-hopp, már ott is vagyunk. Windows esetén. De be kell vallanom, hogy másfél órámba tellene ugyanez linuxon, mert az idevágó mentális térképemen nincsenek útvonalak, csak a difólt gétvéj fogalom ismerete. Az útvonal ismerete, a vastagon berajzolt mentális térkép valójában a siker kulcsa.

Vannak informatikai termékek, melyek különösen ellenállóak: kiemelten nehéz hozzájuk mentális térképet növeszteni az agyadban, szinte fáj. Az egyik ilyen a Microsoft CRM , mely tízmilliárd menüpontjával és opciójával, valamint bámulatosan következetlen felhasználói felületével aktívan ellenáll annak, hogy bekerüljön a fejedbe: minden feladatot garantáltan másképp kell csinálni, hol a menüben van, hol a túlbáron, hol kijelöl, jobbklatty, hol balpanel, hol jobbpanel. Őrület. CRM-et használni nehéz. Több mint fél éve használjuk, és még mindig szükség van a szakértőre, mert állandóan betonfalakba ütközünk, amiről kiderül, hogy a fal alatt és mellett át lehet bújni. Tudtad? Na köszönöm! 25.000 Ft lesz.

A másik ilyen pedig a programozás, mégpedig több okból is. Az egyik a Visual Studio, a maga szintén tízmilliárd opciójával, meg azzal, hogy ha egy ablakot véletlenül becsuksz, soha többé ki nem nyitod, mivel nem találod meg . Azt hiszed, minden ott van a vjú menüben? Hát nagyon tévedsz. Azt hiszed, minden menüpont bent van a menüben? Ismét nagyon tévedsz! (Hogy találod meg az asp.net konfigurátort? Jobb klatyy a projekt felett a földgömbön!)

A másik, hogy mivel a programozás során mindig más és más feladatot oldasz meg, magára a feladatra nem lehet térképed, ellentétben a rendszergazdai dolgokkal, ahol mindig ugyanazt oldod meg, mikroszkopikus eltérésekkel (mondjuk már megint beléptetsz a tartományba egy gépet). A fejlesztésnél a fejlesztői környezetnek, a programozási nyelv szintaxisának és a felhasznált "szerszámoknak" kell rutinszerűen használhatóvá válnia, ami egyébként lazán többszöröse a rendszergazdai cuccoknak, nekem elhiheted.

A stabil mentális térképhez feltétlenül az kell, hogy ne csak dumáljanak neked egy adott útvonalról/módszerről/eljárásról, hanem te magad is menj végig rajta. Mégpedig X-szer!

A mentális térkép kialakulásának feltételei

Régebben úgy tekintettem a konferenciákra, mint a tanfolyami oktatás közvetlen konkurensére, direkt ellenségére. De aztán rájöttem, hogy a konferenciák tökéletesen alkalmatlanok mentális térképek kialakítására. El elhet bájcsevegni akár a SilverLight-ről, akár az IPv6-ról, lehet demózni jobbra-balra, de ezeknek a használata még véletlenül sem kerül fel a hallgatók mentális térképére. Comprende? Jesz. De nem vált készséggé.

Elérkeztünk egy jól megragadható minőségi különbséghez oktató és oktató között. Vannak, akik a tanteremben is "lurdiházaznak". Fícsör-fícsör-demó-demó, de nem hagyják, hogy a tantermi hallgatók saját maguk is kipróbálják a dolgokat, mutogatnak ezt-azt, retorikáznak erről-arról, és ezzel szerencsésen elejét veszik, hogy a hallgatók mentális térképén útvonalak rajzolódjanak ki. Így lesz az (a tapasztalat igazolja), hogy a csillagos ötös konferenciaelőadó csalódást kelt a tanteremben, és kap a végén egy hármast, amit nem ért. Miért? Hisz olyan szépen beszélt. Na ja. De ennek van egy másik értelmezése: végigpofázta a három napot , és nem hagyott hozzányúlni a számítógépekhez.

A másik hozzáállás szerint az oktató és a hallgató együtt dolgozik, nincs felesleges retorika. Ha valamit el kell magyarázni, azt ott és akkor, "in place" teszik, amikor ténylegesen szükség van a dologra. Nincs külön elmélet. Egybefüggő gyakorlat az egész oktatás. És kérem, ez lesz a csillagos ötös. Büszkén idézhetnék a tanfolyamokon kitöltött értékelőlapok szöveges mezőiből, hogyan is éli meg egy hallgató, ha hagyják, sőt segítik, hogy reprodukálható tudást szerezzen!

Mentális térkép .NET programozáshoz

A reprodukálható tudás első szintje, hogy az űberbonyolult Visual Studióval létre tudsz hozni és futtatni alapprojekteket, melyek egyébként még üres állapotban is tízmilliárd opciót tartalmaznak, tehát űberbonyolultak. Akinek még nincs mentális térképe (és hát azok jönnek tanfolyamra, vagy mi), annak az üres projekt is riasztóan bazinagy! Ha asp.net, akkor nemcsak a projekt létrehozása tartozik ide, hanem a web.config, a hülye földgömbikon, a mesterlapok stb. Ez mind alap tudáskészlet, melynekrutinból kell mennie! A mi felelősségünk, hogy az eszközhasználatban mindenki eljusson rutinszintre!

És igen, ehhez tizenötször el kell indítani a Visual Studiót, hogy tizenötször végig kelljen menni azon a teljesen logikátlan útvonalon, ami az egyes projekttípusok beröffentéséhez kell. Hatszor kell új DLL-t csinálni, négyszer kell beleírni a web.configba, hétszer kell debuggolni, 11-szer kell ALT-Shift-F10-zel usingoni, hogy ezek a dolgok rutinszerűvé váljanak.

Saját kézzel!

A kéz ereje: együtt írunk, együtt nevetünk

A tanulás, az új idegpályák, mentális térkpek kialakulása semmit sem változott az ősember óta. Amit nem csináltál, azt nem tudod. Hiába az ezerféle kommunikációs csatorna, a betű, a hang, a szkrínkaszt: csinálni kell. Emlékezz vissza, hogyan olvasol bármilyen informatikai könyvet: akkor érzed a magadénak, ha kipróbáltad, amit olvastál. Ha vér tapad a kezedhez!

Persze ha kész a mentális térkép a fejedben, tudsz róla beszélni. És oktatóként azt hiszed, ha beszélsz róla, az átmegy a hallgatók fejébe. Lazán megfeledkezel arról, hogy a TE fejedbe hogyan került be. Emlékezz vissza: nem duma útján, hanem a kezed, a gyakorlat segítségével. Mindig mindent kipróbáltál. Most felrajzolom azokat  az idegpályákat, amelyek a mentális térképpel kapcsolatosak, a nyilak vastagsága számít:

Vagyis állandóan vissza-vissza és visszatérsz a kétkezi gyakorlathoz. Miért? Szerinted azért, mert "hiszem, ha látom"? Nem azért. Nem a hitedet akarod megerősíteni, amikor a könyvben olvasottakat, előadáson hallottakat, videón látottakat kipróbálod. Hanem áttérsz arra a módszerre, ami a leghatékonyabban bevési a fejedbe, amit kell. Tanulás szempontjából a szó elszáll. Az írás is elszáll. A videó is elszáll. Csak a gyakorlat marad.

A tanfolyam akkor jó, ha fröcsög a vér , vagyis arra törekszik az oktató, hogy minél több mindent saját kezűleg rakjon össze a hallgató. Ez áll összeköttetésben az idegpályákkal. A duma nem! És hogy miért nem? Talán mert a duma az ellenkező nem meghódítására való. Egy csomó férfi egy tanteremben 40 négyzetméteren - hát dumálhatsz!

Epilógus

A kéz erejéről jut eszembe. Nagyon könnyen be lehet bizonyítani, hogy bizonyos információs csatornák el vannak dugulva az agyunkban. Vegyük a következő példát: szerinted tudsz fejben differenciál- és integrálszámításokat végezni? Azt mondod, nem. Tudsz-e lövedék röppályát számítani? Azt mondod, nem. De DE! Próbáltál már kavicsot célba dobni? Láttál már Robin Hoodot? Igenis ezek minde beléd vannak szerelve olyan pontossággal, hogy még a szélviszonyokat, gravitációt, légellenállást meg minden túrót bele tudsz kombinálni a röppályaszámításba, csak éppen hiányzik az az idegpálya, hogy a számítás eredményéhez a tudatos éned hozzáférjen. Vannak egyes emberek(korcsok?), akik hozzáférnek. Őket tévében mutogatják.

Az elme: huzalozott áramkör. Ahol nincs huzal, ott nincs huzal.