Hands on Hacking:
Become an Expert at
Next Gen Penetration Testing
and Purple Teaming
Autor: Matthew Hickey
Wydawnictwo: Wiley, 2020
Okładka: miękka
Stan: dobry plus
Uwagi: wyd. w języku angielskim
O książce
„Hands-On Hacking” to podręcznik napisany tak, jak zwykle opowiada się o fachu przy warsztacie, a nie w sali wykładowej. Hickey – praktyk z krwi i kości – prowadzi czytelnika od zbudowania własnego laboratorium po pełny cykl testów penetracyjnych, nie udając, że świat zaczyna się na teorii z norm ISO. To raczej kronika rzemiosła: jak faktycznie szuka się podatności, jak wygląda rozpoznanie w internecie, które protokoły zwykle zawodzą i gdzie administratorzy najczęściej „skracają drogę”. Zamiast abstrakcyjnych modeli zagrożeń dostajemy konsekwentne zanurzanie w warsztat: narzędzia, polecenia, scenariusze ataku, a potem – co istotne – raportowanie i porządkowanie bałaganu, który właśnie udowodniliśmy.
Na tle typowych wstępów do pentestów książka wyróżnia się tym, że traktuje ofensywę i defensywę jako dwie strony tej samej monety. „Purple teaming” nie jest tu modnym hasłem z konferencyjnych slajdów, tylko konsekwencją podejścia: każde ćwiczenie ofensywne domaga się pytania „jak byśmy to zauważyli w logach?” i „co trzeba zmienić w konfiguracji, żeby nie dało się tego powtórzyć”. Autorzy nie idą w akademicką elegancję – styl jest bezceremonialny, chwilami szorstki, bardziej przypomina notatnik doświadczonego konsultanta niż wykład z bezpieczeństwa. Dla początkujących oznacza to łagodny próg wejścia (sporo rzeczy tłumaczy się od zera), dla zaawansowanych – solidną dawkę praktycznych „TTPs”, które wyglądają znajomo z prawdziwych incydentów, a nie z laboratoriów marketingowych vendorów.
W szerszym pejzażu literatury security to pozycja plasująca się gdzieś między „The Web Application Hacker’s Handbook” a „The Hacker Playbook”: mniej wyspecjalizowana niż pierwsza, bardziej uporządkowana i metodyczna niż druga. Nie jest to książka, którą czyta się „do poduszki”: 608 stron to w dużej mierze materiał do systematycznego przerabiania przy maszynie wirtualnej i terminalu, nie do biernej lektury. Jeżeli ktoś liczy na wysublimowaną analizę modeli zagrożeń czy formalne podejście do ryzyka, będzie zawiedziony; jeśli natomiast potrzebuje przejścia od „umiem obsłużyć system” do „umiem go naprawdę testować i zrozumieć, czego boi się administrator”, to jest to jeden z sensowniejszych przewodników wydanych po 2020 roku.
