CISOというと管理職のように聞こえますが、実は有能なCISOは最新のハッカー攻撃や防御技術、ツールを熟知していなければなりません。
最近、ホワイトハット・セキュリティ・ツール・サイトToolsWatch.orgの創設者であるNabil Ouchn氏は、5つのハッキング・ツールを知っておくべきCISOを5人挙げました：
I. アーミテージ
Metasploit は現在、ネットワークや IT システムの侵入テストのための最も人気のあるツールです。しかし、Armitageはオープンソースの形でMetasploitにより使いやすいインターフェイスをもたらします。数回クリックするだけで、ネットワーク・デバイスの脆弱性と弱点を視覚的に確認することができ、感染したデバイスは明るい円でマークされます。
Armitageは、Metasploitの複雑さを見事に隠蔽し、ユーザビリティを向上させ、ITアーキテクチャ全体のセキュリティ状況を可視化し、あらゆるレベルのあらゆる種類の脆弱性を迅速に特定します。
ハッシュキャット
組織のセキュリティ管理者と従業員は、パスワードを巡って常に対立しています。一方、パスワードクラッキングツールのHashcatは、従業員にパスワードの脆弱性を視覚的に示すことができます。
Hashcatは、企業のパスワードポリシーの信頼性を迅速にテストするためのCISOのツールボックスにも欠かせないツールです。もちろん、企業のパスワードポリシーを測る基準は、パスワードの複雑さだけでなく、パスワードの有効性や長さも重要です。
III.ウィファイト
無線ルーターに対するセキュリティの脆弱性やハッキング攻撃の増加に伴い、企業WiFiネットワークのセキュリティは悪化しており、Wifiteは現在利用可能なWiFiネットワークセキュリティテストツールの中で最も使いやすいツールの1つです。
WifiteはPythonで書かれており、どのプラットフォームでも実行できます。CISOはWifiteを使用して、会社のWiFiネットワーク設定がセキュリティポリシーに準拠しているかどうかをチェックし、フィッシングや中間者攻撃に使用される可能性のあるオープンなWiFiネットワークを特定することもできます。
ワイヤーシャーク
WireSharkは、おそらく最高のネットワーク・データ・スニッフィング・ツールで、イーサネット、802.11など多くの種類のネットワークをサポートし、ユーザーフレンドリーで使いやすいツールです。
WireShark は、暗号化が必要なプレーンテキストデータだけでなく、Telnet/FTP など無効にすべきネットワーク内の古いプロトコルを CISO が発見するのにも役立ちます。
WireShark は、スニッフィング機能に加えて、フィルタリングされたデバイスのプロトコルやデータフローを検出するネットワーク・フィルタリング・ポリシーの設定にも役立ちます。
V. ソーシャルエンジニアリングツールボックス
ラスベガスで開催された今年のBlackHat Arsenalカンファレンスでデビッド・ケネディのデモを見た人なら誰でも、ソーシャル・エンジニアリング・ツールキットの重要性を知っているはずです。
SETフレームワークにより、ソーシャル・エンジニアリング攻撃者は、フィッシング攻撃の計画、フィッシング・ウェブサイトの設定など、標的を絞った高度な技術的攻撃を行うことができます。
CISOは、SETを使ってさまざまなソーシャル・エンジニアリング攻撃のシナリオを設計し、それを社内の従業員に適用することで、従業員のセキュリティ意識のレベルをテストし、評価することができます。
