РЕЦЕНЗИИ
Митник К. Искусство вторжения. М.: "АйТи", ДМК Пресс, 2005. -280 с.
Рецензируемая книга - второе сочинение бывшего известного хакера. Напомню, что первая называлась "Искусство обмана" (см. PC Week/RE, N 31/2003, с. 35). Обычно второй книжный блин вопреки пословице бывает хуже первого, но в данном случае получилось наоборот. Дело в том, что для написания "Искусства вторжения" Кевин Митник и его соавтор Вильям Саймон опросили множество реальных хакеров, и те поведали о самых удачных своих операциях. "Искусство обмана" целиком посвящалась методам социальной инженерии (к сожалению, для этого вида мошенничества нет подходящего русского слова, поскольку слова у нас по значению обычно емче и шире), и, наверное, она была очень интересна американцам, так как в описываемых приемах и методах используются их ментальность и стратегемы, хорошо работающие в западном обществе. Поскольку в России эти методы далеко не всегда применимы либо требуют модификации, то и книга оказалась для нас несколько чуждой. (Для тех, кто не знаком со стратегемами, рекомендую увлекательнейшую книгу А. И. Воеводина "Стратегемы - стратегии войны, манипуляции и обмана". М.: Белые альвы, 2003. - 256 с.)
"Искусство вторжения" ближе нашему читателю, что вполне объяснимо: речь в этой книге идет в основном о технике вторжения и только десятая глава - одна из одиннадцати - посвящена социальной инженерии. Все главы построены по общей схеме: сначала подробно излагается история "успеха", рассказанная хакером, затем следует ее анализ и рекомендации по защите и предотвращению подобных прорывов. Я не буду перечислять содержание всех глав, упомяну только самые важные.
Мне было интересно понять, а что же представляет собой сам так разрекламированный американцами Кевин Митник? Из этой книги стало ясно, что он, безусловно, специалист по социальной инженерии (что-то типа компьютерного вора на доверии), но не программист, да и компьютерное "железо" знает плоховато, поэтому отдельные оценки трудности работы хакеров, с которыми он беседовал, явно завышены. Типичный пример: в первой главе описывается, как хакеры в поте лица пишут собственный дисассемблер - в переводе он почему-то назван антиассемблер :) - для 8-разрядного микропроцессора. Поскольку я писал дисассемблеры неоднократно, в том числе и для упомянутого там 6502, то могу сказать, что для 8-разрядных процессоров это занимает обычно около шести часов спокойной работы, из которых большая часть времени тратится на чтение описания процессора и ввод таблицы с системой команд. Для 16-разрядных МП, типа очень занудного процессора ввода-вывода Intel 8089, - от трех до пяти дней (г-ну Митнику я бы, пожалуй, мог поведать, как восстанавливаются исходные тексты операционных систем реального времени, но не хочу :).
По тексту данной книги, особенно ее второй и одиннадцатой глав, у меня создалось впечатление, что его книга прошла, по крайней мере, рецензирование в госструктуре, ответственной за информационную безопасность. Описываемые им методы широко известны, и ими практически нельзя воспользоваться сейчас, хотя даются адреса сайтов, откуда можно скачать некоторые инструменты, применяемые для взлома. Во второй главе он описывает невнятные контакты молодых американских хакеров с человеком, выдававшим себя до 11 сентября за арабского террориста, но который по ряду признаков мог быть и иностранным агентом ФБР. Заход очень характерный для спецслужб США.
Очень забавна третья глава, повествующая о хакерской деятельности двух заключенных американской тюрьмы. Рано или поздно это будет и в России.
Большой интерес для российского читателя представляет пятая глава, посвященная деятельности "этического" хакера, проникающего в компьютерные сети, чтобы потом показать компании лазейки в ее системе защиты. А в шестой главе описывается уже аудиторская работа целой компании таких хакеров, организовавших консалтинговую фирму. Собственно, интересно не то, что делала эта команда, а юридическая основа ее работы - документы и протоколы, которые компании подписали, заключая договор о проверке. Поскольку мне подобная практика в России неизвестна, а польза от нее очевидна, то данная глава будет полезна директорам по ИБ.
Стоит отметить также актуальную восьмую главу, посвященную краже интеллектуальной собственности.
Думаю, что разные категории читателей, возможно, найдут для себя интересными другие, не отмеченные мною главы, например главу седьмую о вторжении в банк "в далекой заснеженной Эстонии", осуществлявшемся в течение года неторопливым местным парнем.
Самый большой недостаток рецензируемой книги - многочисленные, иногда очень смешные ошибки перевода. Из смешных - пример, где дама получила почтовое послание из Нигерии и "заняла сотни тысяч долларов у своего сотрудника", чтобы участвовать в многомиллионном денежном трансферте (с. 253). Даже при громадном количестве миллионеров в США трудно представить, кто из сотрудников может одалживать такие суммы. Но суть этих нашумевших писем в том (думаю, что каждый пользователь Интернета в спаме одно время получал их неоднократно), что за предлагаемое посредничество нигерийские жулики просят прислать всего 500 долл. В описании использования GPS в Ираке (с. 265) есть загадочная фраза "для выяснения местоположения... разведка США получала три сигнала от любой воинской части США". В GPS для решения обратной триангуляционной задачи нужны координаты минимум трех спутников, а не ВЧ. Ну и так далее.
Конечно, перевод подобных книг труден из-за обилия компьютерного жаргона, требует очень широких знаний компьютерных технологий - от понимания устройства микропроцессоров до навыков программирования и знакомства с основами криптографии. Поэтому издательству нужно было бы отдать книгу на научное редактирование, возможно, разным специалистам. Тем не менее за полторы недели поездок в метро в редакцию и обратно я с большим интересом прочел книгу от корки до корки. Отмечу также очень хороший русский литературный язык перевода, скрашивающий другие недостатки.
Полагаю, что знакомство с книгой "Искусство вторжения" будет полезно самому широкому кругу читателей.
