OK..

Naum foi atoa esse post. Existe um mercado de trabalho para pesquisadores de vulnerabilidades. Geralmente comeca como freelance, a naum ser aqueles que entraram na companhia como office boy e foram fazendo seu plano de carreira.

Antes gostaria de esclarecer alguns conceitos:

HAT - Chapeu que voce veste, sua posicao politica sobre determinado assunto, para os brasileiros melhor seria entender como a camisa que vc veste.

White - Branco, tudo que eh feito as claras, isso pode ser em varios sentidos: no pentest, por exemplo vc conhece a rede a topologia de rede que vai invadir, etc, na pesquisa de vul, vc conhece o codigo fonte. Como profissional, vc diz claramente e documenta seus metodos. Como pesquisador com relacao ao mercado, sempre que vc acha uma vulnerabilidade, publica, entra em contacto com o fornecedor do software etc.

Black - Preto, feito as escondidas ou sem conhecimento do que vai encontrar pela frente. Voo no escuro. Como pesquisador vc naum publicaria uma vulnerabilidade ou vc naum conhece o codigo fonte ou topologia de rede etc.

Bem e Mal -> Conceito filosofico e moral que nada tem haver com Black/white.

O mercado de vulnerabilidade deixou der ser a muito coisa de entre o bom cara e o mau cara. hoje eh business, uma vulnerabilidade de sistema operacional vale muito dinheiro. Onde vender, quem sao os compradores? quanto ganha um profissional ? qual o perfil do profissional pesquisador de vulnerabilidade?

Honestamente sugiro ler esse paper de Charles Miller, Ph.D, CISSP.

http://securityevaluators.com/files/...0daymarket.pdf

[s] a todos
A.A.

---

Visite::Grupo de Estudo:: Metasploit Brasil

Pra mim tava claro ANTES da explicação!

Eu acho que existe uma confusão perigosa aqui.

Você começou falando de hat, para explicar a diferença entre whitehat e blackhat. Não sei se isso ainda é necessário por aqui. Se for, é melhor o camarada dar meia volta e se informar melhor. Sem considerar, é claro, a falta de exatidão nestas definições, primeiro por envolver ética e segundo por causas de todas as "shades of gray" entre um extremo e outro.

Depois você falou em conhecer ou não a estrutura objeto do pentest. Isso não tem nada a ver com "hat". Acho que você quis dizer "whitebox" e "blackbox". E ficou ainda mais confuso quando você disse que o "black" não publicaria uma vulnerabilidade. Do que você tá falando?

ps. Ainda não li o paper. Depois comento ele.

[]s, MM

---

o problema eh que eu vejo em lato sensu e vc em stricto senso. Eu naum tratuzo o ingles como vc traduz camarada.

como eu disse, hat eh a politica, conduta que vc segue ...pra mim ou box, no caso do pentest siguinificaria exatamente a mesma coisa. So me imagino ao inves de estar diante de uma caixa preta, estou como um chapeu preto na cabeca na frente do computador.

Se eu chegar agora pro meu chefe "que eh ingles nato" e falar vou fazer um blackhat ou blackbox nessa rede ... ele vai endender direto o que eu irei fazer pois o sentido de Black aqui eh o que importa.

Eh preciso ver o sentido da palavra e naum traduzi-la literalmente no dicionario. Americado fala: elavator, ingles fala lift, americano fala: me to, ingles fala: me as well

Quando Luiz de Camoes disse: ainda que eu falase a lingua dos anjos, naum quis dizer que: falava a lingua anjanes ...

Quanto ao "gray" da vida mais uma vez voltamos ao ponto entre... ateh que ponto podemos mostrar o que sabemos. Muitos "gray hat" publicam apenas parte da pesquisa.

Tomemos como exemplo a famosa "BlackHat conference" as materias discutidas lah soh serao publicadas, ao publico em geral, 6 meses depois. Quem participa da conferencia estah pagando em media 6.000 reais. Se ele pudesse obter a informacao no mesmo dia, por que pagaria para ir a conferencia ????o que eles fazem camarada, eh vender informacao.

[s]
A.A.

---

Visite::Grupo de Estudo:: Metasploit Brasil

Para realmente ilustrar o lance do ingles...

Vou simular um dialogo com meu chefe:

Andre: Hi boss, did you call me ??
Chefe: Hi, slave, Yes indeed I did, how you doing ?

Andre: Not too bad, what's up?
Chefe: I've got a kind of pentest to perform.

CASO 1:
Andre: Bloody hell, whitehat or blackhat ???( nesse caso meu chefe entenderia que eu teria que vestir um chapeu preto ou chapeu branco)

CASO 2: Bloody shit, whitebox or blackbox ???(nesse caso meu chefe saberia que eu estou perguntado sobre que "caixa" eu irei mexer branca ou preta.)

PS-> Bloody -> siguinifica sangrento, lembrando da musica do U2, sunday bloody sunday ... mais o sentido usado eh de porcaria ... tipo que porcaria de domingo quando eu li as noticas sobre a caca na irlanda (sobre o que a musica do u2 fala).

[s]
A.A.

---

Visite::Grupo de Estudo:: Metasploit Brasil

Vou concordar com o mmachado que a definição de Black/White Hat aqui ficou um tanto estranha, e não por causa do inglês, até mesmo por senso comum.

Em todos os n³ lugares que eu vi, a definição da cor do chapéu era mais ligada à atitude do que à metodologia de trabalho.

E de qualquer modo o "esclarecimento" foi desnecessário, até porque o paper não cita nada disso.

Quanto ao paper propriamente dito, parece bem interessante e informativo. Por enquanto só li parte dele, mas definitivamente vou ler o resto assim que possível. Obrigado por compartilhar!

Pelo contrário! Eu jamais tentei traduzir esses termos como você o fez!

No mundo em que eu vivo que, confesso, pode ser completamente distorcido da realidade, se o meu chefe me chama para fazer um pen-test e eu pergunto "whitehat ou blackhat", ele me manda imediatamente passar no RH para acertar minhas contas pois, novamente, no ambiente ao qual estou inserido, "blackhat" está associado a fazer coisas más, o que, sem querer entrar na discussão da ética, não deveria fazer parte da prestação deste tipo de serviço.

Ainda, nesse mesmo mundo (de Bob), se eu perguntar "whitebox ou blackbox" as coisas vão ficar tranquilamente entendidas entre meu chefe e eu, pois os termos parecem definir bem se estamos falando de um pen-test conhecendo ou não, respectivamente, a estrutura a ser analisada.

O que eu entendi desse exemplo é que, quando você pergunta ao seu chefe "whitehat ou blackhat" você está perguntando se deve usar conhecimentos antigos ou recentes.

Se pesquisarmos a origem destes termos, vamos ter uma definição que se parece bastante com a que estou acostumado a usar, por isso resolvi postar esse comentário no tópico, que pode vir a ser usado como referência para quem quer entrar no mercado de trabalho.

What is black hat? - a definition from Whatis.com
What is white hat? - a definition from Whatis.com
Penetration test - Wikipedia, the free encyclopedia

[]s, MM

---

.. conhecendo a peca do meu chefe ... e perguntasse black or white ...
ele responderia:

Pink... damnit, what your problem ? go there and do your job.

[s]
A.A.

---

Visite::Grupo de Estudo:: Metasploit Brasil

Voltando na parte "mercado de trabalho para pesquisador de vulnerabilidades", tenho procurado direcionar minha carreira para essa área, saindo da área de "Segurança de redes". Infelizmente esse mercado no Brasil ainda está engatinhando, mas vou seguindo.

Recentemente li outros 2 documentos que falam do mercado de vulnerabilidades, acredito serem úteis para quem tem interesse.

Black market for zero day vulnerabilities still thriving | Zero Day | ZDNet.com

http://weis2007.econinfosec.org/papers/29.pdf


Abraços!

Pra mim, enquanto a classe de T.I. no Brasil não tiver as suas atividades profissionais regulamentadas e ficarem como estão, não tem Black, White, Hat, Boné, Capuz, Peruca, Chapéu, Bem, Mal, meia sola, etc, etc, etc... Que tenha sucesso certo.

---