Интервью с главным хакером eEye

mindw0rk (mindw0rk@gameland.ru)

Хакер, номер #070, стр. 070-086-3

mindw0rk: Расскажи о самых интересных security-мероприятиях, в которых тебе доводилось участвовать.

ММ: Самые яркие воспоминания остались о Blackhat Vegas 2003. Вегас всегда вызывает у меня положительные эмоции, но в 2003 году было особенно здорово. Мне удалось встретиться со многими старыми друзьями-хакерами и познакомиться с интересными людьми, причастными к компьютерной безопасности. Разъезжать по всему Лас-Вегасу, упиваться вусмерть, совершать безумные поступки вместе со старыми друзьями и ребятами из eEye – это было незабываемо. Вторая любимая security-конференция – AD200x, которая состоялась в Японии в 2003 г. Один из моих работодателей является организатором этой конфы, так что он, я и несколько других исследователей отправились в Токио выступить с докладом. Токио – удивительный город, и там много очень талантливых японских хакеров. Мы классно зажгли! :)

mindw0rk: Насколько перспективна сейчас в США карьера в сфере компьютерной безопасности? Какой средний оклад получают специалисты в вашей стране?

ММ: В США security-специалисты очень востребованы. Лично я каждый раз сталкиваюсь с проблемой, когда нужно нанять умных, креативных специалистов. Есть куча людей, которые утверждают, что разбираются в компьютерной безопасности, но лишь единицы из них имеют необходимые технические навыки. Оклад очень сильно варьируется и в основном зависит от того, где именно в США ты живешь. Для работника в сфере security цифры такие: от 65 до 200 тысяч долларов в год, в зависимости от твоего уровня и того, чем ты занимаешься.

mindw0rk: На что работодатели обращают внимание в первую очередь на собеседовании?

ММ: Каждый работодатель имеет свои заморочки. Многие компании предпочитают сотрудников со степенью или имеющих опыт работы в сфере security. Лично я, когда провожу собеседование с новым человеком, не обращаю внимание на эти вещи. Я просто ищу людей, которые понимают безопасность на очень низком уровне, которые смогут находить уязвимости, писать утилиты, генерировать идеи. Людей, у которых есть чему поучиться. Пионеров. Если ты такой – шли мне свое резюме, и кто знает… :)

mindw0rk: Какие были самые опасные уязвимости, найденные в 2004 году? Какие уязвимости могут стать самыми опасными в 2005?

ММ: 2004 - ASN (баг в Abstract Notation Library). Хотя ни у кого не хватило смелости выложить публичный экплоит, я по-прежнему считаю эту уязвимость самой опасной в этом году.

В 2005 г. «Client side»-баги будут оставаться самыми опасными, и именно о них должен волноваться коммерческий сектор. Такого рода уязвимости позволяют плохим парням проникать через сетевой периметр и перехватывать контроль над системами во внутренних сетях, уровень секурности которых обычно чрезвычайно низок. Хорошей иллюстрацией тому может стать недавняя вспышка zeroday Internet Explorer уязвимостей.