dari manakah datangnya keinginan ? keinginan selalu datang dari hati yang bolak balik , bisa jadi keinginan berasal dari sesuatu yang baik atou sebaliknya. sayangnya sering kali kita tidak melihat sesuatu dibalik keinginan karena perhatian kita fokus pada keinginan , bukan yang ada dibalik keinginan. para ahli pemasaran ataou penjualan sering mengatakan bahwa keputusan membeli seuatu , lebih sering disebabkan oleh keinginan. kemudian logika membenarkan keinginan tersebut , emosi sering kali berperan dalam mengambil keputusan di banding pikiran atou logika.
jika keinginan kita selalu dituruti ,.artinya kita tidak bisa mengendalikan hidup kita , sungguh kita mnegabaikan potensi yang diberikan allah swt kepada kita. kita harus mengoptimalkan akal kita ,agar hidup ini baik. caranya berhentilah saat kita mengigini sesuatu.,
Rabu, 19 Desember 2012
Sabtu, 08 Desember 2012
menjadi muslim yang baik ,.amiin ya allah
Alasan Allah menguji hambanya adalah karena hamba tersebut memiliki
potensi spesifik untuk mengemban ujian tersebut. Maka ketika kita merasa
memiliki banyak permasalahan, yakinilah bahwa kita adalah orang yang
sabar. Ketika kita mendapatkan begitu banyak godaan untuk tidak ikhlas,
maka yakinilah bahwa kita ini adalah orang yang ikhlas. Ketika kita
mendapatkan begitu banyak kenikmatan, jangan lupa bahwa kita adalah
seorang hamba yang pandai bersyukur. Ketika kita menghadapi begitu
banyak pekerjaan melelahkan, yakinilah bahwa kita adalah seorang yang
kuat. Tidak ada alasan untuk mengeluh! Allah menguji hambanya sesuai
dengan kadar kesanggupan seorang hamba.(QS 2:286)
Hanya saja kadang potensi spesifik tersebut tertutupi oleh sifat kontradiktif yang dominan timbul dalam keseharian seorang hamba. Kadang-kadang ada hamba tidak sabar menghadapi problematikanya. Dan kita akui bahwa kuantitas dan kualitas masalah orang tersebut melebihi kita. Sayang ketidak sabaran menjadi sifat dominannya. Padahal maksud Allah memberi banyak masalah kepadanya adalah untuk mengangkat potensinya yang terkubur – atau istilah minangnya ‘batang tarandam’ – oleh sifat kontradiktif dominan yang biasa tampak padanya. Intinya, orang tersebut sebenarnya adalah orang yang penyabar, hanya saja penyabar belum menjadi identitas orang tersebut
Kenyataan tersebut kita dapatkan pada seorang sahabat bernama Ka’ab bin Malik. Ka’ab adalah seorang sahabat yang tertinggal dalam perang tabuk, bahkan karena merasa enggan karena sudah tertinggal jauh, Ka’ab memutuskan untuk tidak ikut serta dalam perang tabuk. Ketiadaan Ka’ab dalam perang Tabuk membuat gempar para sahabat. Dan ketika pasukan muslimin telah kembali, Ka’ab diminta menghada Rasulullah untuk mengemukakan alasan ketidak hadirannya.
Ketika dia harus menghadap Rasulullah, terjadi benturan dilematis dalam benaknya, antara mengeluarkan kemampuannya: berdalih hingga ia keluar dari permasalahan tersebut, atau berterus terang. Pada akhirnya ia berterus terang. Dengarlah pengakuannya, “Ya Rasul, demi Allah, umpama sekarang ini saya sedang duduk di depan seseorang selain engkau, pasti saya akan mengutarakan sejuta alasan untuk menyelamatkan diriku. Saya pandai berdebat Ya Rasul…”
Sejatinya Ka’ab adalah seorang yang jujur, sehingga ia diuji oleh Allah dalam keadaan dilematis untuk mengungkapkan kejujurannya. Sifat kontradiktif dominannya adalah – seperti yang telah ia akui – pandai berdebat. Lihatlah akhirnya potensi kejujuran itu terangkat dan ia menjadi seorang yang jujur. Itulah buah hasil ujian dari Allah.
“Ya Rasul, sesungguhnya Allah telah menyelamatkan saya karena kebenaran pengakuan saya, maka saya berjanji untuk kelanjutan taubatku, ‘Tidak akan berbicara selama hidupku, kecuali pembicaraan itu bicara yang benar.” Ungkap Ka’ab ketika rangkaian ujian berupa pengasingan telah berakhir menimpanya.
Maka sadarilah, ketika kita berdo’a “Ya Allah, jadikanlah aku seorang hamba yang sabar.” Maka Allah mengabulkan do’a kita: Kekuatan ketabahan kita bertambah. Hanya untuk menjadikan kesabaran itu sebagai sifat dominan, Allah mengirim rentetan masalah pada kita. Begitu juga ketika kita meminta pada Allah keikhlasan dalam beramal. Yakinilah Allah mengabulkan do’a kita dan kekuatan keikhlasan kita bertambah. Dan supaya keikhlasan itu menjadi identitas kita, maka Allah menurunkan banyak godaan dalam beramal. Untuk melawan itu semua dikerahkanlah bekal yang telah Allah tambahkan. Dan jadilah apa yang kita harapkan itu menjadi identitas kita.
Hanya saja kadang potensi spesifik tersebut tertutupi oleh sifat kontradiktif yang dominan timbul dalam keseharian seorang hamba. Kadang-kadang ada hamba tidak sabar menghadapi problematikanya. Dan kita akui bahwa kuantitas dan kualitas masalah orang tersebut melebihi kita. Sayang ketidak sabaran menjadi sifat dominannya. Padahal maksud Allah memberi banyak masalah kepadanya adalah untuk mengangkat potensinya yang terkubur – atau istilah minangnya ‘batang tarandam’ – oleh sifat kontradiktif dominan yang biasa tampak padanya. Intinya, orang tersebut sebenarnya adalah orang yang penyabar, hanya saja penyabar belum menjadi identitas orang tersebut
Kenyataan tersebut kita dapatkan pada seorang sahabat bernama Ka’ab bin Malik. Ka’ab adalah seorang sahabat yang tertinggal dalam perang tabuk, bahkan karena merasa enggan karena sudah tertinggal jauh, Ka’ab memutuskan untuk tidak ikut serta dalam perang tabuk. Ketiadaan Ka’ab dalam perang Tabuk membuat gempar para sahabat. Dan ketika pasukan muslimin telah kembali, Ka’ab diminta menghada Rasulullah untuk mengemukakan alasan ketidak hadirannya.
Ketika dia harus menghadap Rasulullah, terjadi benturan dilematis dalam benaknya, antara mengeluarkan kemampuannya: berdalih hingga ia keluar dari permasalahan tersebut, atau berterus terang. Pada akhirnya ia berterus terang. Dengarlah pengakuannya, “Ya Rasul, demi Allah, umpama sekarang ini saya sedang duduk di depan seseorang selain engkau, pasti saya akan mengutarakan sejuta alasan untuk menyelamatkan diriku. Saya pandai berdebat Ya Rasul…”
Sejatinya Ka’ab adalah seorang yang jujur, sehingga ia diuji oleh Allah dalam keadaan dilematis untuk mengungkapkan kejujurannya. Sifat kontradiktif dominannya adalah – seperti yang telah ia akui – pandai berdebat. Lihatlah akhirnya potensi kejujuran itu terangkat dan ia menjadi seorang yang jujur. Itulah buah hasil ujian dari Allah.
“Ya Rasul, sesungguhnya Allah telah menyelamatkan saya karena kebenaran pengakuan saya, maka saya berjanji untuk kelanjutan taubatku, ‘Tidak akan berbicara selama hidupku, kecuali pembicaraan itu bicara yang benar.” Ungkap Ka’ab ketika rangkaian ujian berupa pengasingan telah berakhir menimpanya.
Maka sadarilah, ketika kita berdo’a “Ya Allah, jadikanlah aku seorang hamba yang sabar.” Maka Allah mengabulkan do’a kita: Kekuatan ketabahan kita bertambah. Hanya untuk menjadikan kesabaran itu sebagai sifat dominan, Allah mengirim rentetan masalah pada kita. Begitu juga ketika kita meminta pada Allah keikhlasan dalam beramal. Yakinilah Allah mengabulkan do’a kita dan kekuatan keikhlasan kita bertambah. Dan supaya keikhlasan itu menjadi identitas kita, maka Allah menurunkan banyak godaan dalam beramal. Untuk melawan itu semua dikerahkanlah bekal yang telah Allah tambahkan. Dan jadilah apa yang kita harapkan itu menjadi identitas kita.
KOMPAS.com - Setiap orang tua pasti ingin memiliki anak yang cerdas. Banyak hal pun dilakukan agar sang buah hati tumbuh besar dan cerdas, salah satunya dengan memberikan pendidikan formal maupun informal. Meskipun begitu, saat di rumah orang tua tetap memiliki peran yang sangat penting dalam pendidikan anak, khususnya anak yang masih balita.
"Orang tua memiliki porsi yang sangat besar dalam tumbuh kembang anak. Guru-guru di sekolah hanya sebagai partner orang tua dalam mendidik anak, dan bukan sebaliknya," ungkap Lely Tobing, Direktur Twinkle Stars, saat open house Twinkle Stars, Cilandak, Jakarta Selatan, Sabtu (10/9/2011).
Ada banyak cara yang bisa dilakukan orang tua untuk mendidik anak-anak di luar jam sekolahnya. "Fasilitas-fasilitas yang ada di sekolah, memang belum tentu ada di rumah. Di sini lah kreativitas orang tua diperlukan untuk menggunakan peralatan yang ada dan biasa digunakan dalam kehidupan sehari-hari agar anak bisa belajar dan mengenal," tukas Lely.
Dengan lebih mengenal bagaimana harus menjalani kehidupan sehari-hari secara langsung, anak tidak hanya sekadar menghafal teori-teori semata. Orangtua bisa memberikan anak sedikit tanggung jawab untuk merapikan tempat tidurnya sendiri, ataupun menyiram tanaman. Anak pun akan lebih mudah menyerap informasi dari orang tuanya karena adanya hubungan emosional yang kuat antara orang tua dan anak.
"Ini hubungan alami yang terjadi antara orang tua dan anak. Dengan demikian anak akan merasakan rasa aman dan nyaman ketika belajar dengan orang tuanya," tambah Lely.
Tak hanya membantu anak mengulang kembali pelajaran ataupun aktivitas lain di sekolah, orangtua juga harus mengetahui setiap tahap perkembangan anak di sekolah. Dengan demikian, komunikasi antara guru dan orangtua sangat diperlukan untuk mendukung tumbuh kembang anak dengan optimal dan menghasilkan anak yang cerdas.
Senin, 12 November 2012
Daya Ingat, Kecerdasan dan Kreativitas dari blog tentang otak
Saya akan jawab pertanyaan itu sekarang. Kita mulai dengan mengenal struktur dan fungsi otak manusia.
Otak tersusun dari kumpulan neuron, dimana neuron merupakan sel saraf panjang seperti kawat yang mengantarkan pesan-pesan listrik lewat sistem saraf dan otak. Sel-sel pada suatu daerah otak menghubungi bagian-bagian tubuh yang lain secara kontinyu dan otomatis. Neuron ini mengirimkan sinyal dengan menyebar secara terencana, semburan listrik terhentak-hentak yang membentuk bunyi yang jelas (kertak-kertuk) yang timbul dari gelombang kegiatan neuron yang terkoordinasi, dimana gelombang itu sebenarnya sedang mengubah bentuk otak dan membentuk sirkuit otak menjadi pola-pola yang lama kelamaan akan menyebabkan bayi yang lahir nanti mampu menangkap suara, sentuhan, dan gerakan.
Lapisan luar otak terdiri dari ribuan syaraf yang mirip benang kusut dan pembuluh darah. Otak terdiri dari jutaan sel neuron, dan masing-masing sel mempunyai inti sel (nukleus) dan sejumlah tangan syaraf (tentacle) yang menyebar ke segala arah, dimana masing-masing tangan (tentacle) memiliki ribuan tonjolan (prouberans).
Tingkat intelegensia ditentukan oleh banyaknya tonjolan-tonjolan tangan syaraf sel otak. Setiap tonjolan paling tidak, berhubungan dengan satu tonjolan yang lain dan dengan tenaga elektrokimiawi menyebabkan kedua tonjolan ini membentuk suatu pola hubungan dengan gugusan tonjolan yang lain, dimana otak merupakan suatu pola atau jaringan yang dibentuk ribuan tonjolan yang terdapat pada tangan syaraf jutaan sel otak. Jika otak dirangsang, berapapun usianya, maka otak akan membentuk lebih banyak tonjolan pada setiap tangan syaraf sel-selnya, dan akan meningkatkan jumlah total hubungan-hubungan antar syaraf yang terdapat di dalam otak. Bila belahan otak yang lebih lemah dirangsang dan disuruh bekerja bersama belahan otak yang lebih kuat (bersinergi) akan tercipta kemampuan dan efektivitas otak yang jauh lebih tinggi dari 5 sampai 10 kali lipat.
Ada banyak cara meningkatkan kemampuan otak. Ada banyak cara untuk mensingkronkan sel-sel saraf dalam otak. Ada yang menggunakan terapi fisik, dan psikologis. Cara paling baru yang lebih mudah dan efektif adalah dengan simulasi gelombang otak, dan itulah cara yang sedang kami perkenalkan kepada Anda.
Saya yakin anda sudah pernah mendengar kata endorphin, bahan biokima alami yang dihasilkan otak pada saat anda sedang melakukan olahraga. Ia dapat membuat anda bersemangat. Tetapi tahukah anda, bahwa Endorphin juga dapat dihasilkan ketika kondisi gelombang otak berada pada fase antara alpha dan theta. Endorphin tidak hanya membuat anda merasa bugar dan bersemangat. Zat endorphin juga dapat meningkatkan kemampuan konsentrasi dan daya ingat anda.
Para ilmuwan percaya bahwa bagian otak yang menghasilkan endorphin berada pada area yang sama yang terlibat dalam proses belajar dan mengingat. Hasil penelitian di North Western University membuktikan bahwa ketika seseorang sedang mempelajari sesuatu, otak “menghadiahkan” dirinya dengan menghasilkan endorphin. Hal ini diyakini sebagai penyebab mengapa hal-hal baru lebih gampang untuk diingat dan diulang kembali.
Dengan kata lain, belajar dan mengingat, akan lebih mudah dilakukan apabila terdapat cukup banyak endorphin dalam otak anda, suatu kondisi yang dapat terjadi apabila otak berada pada gelombang yang tepat. Ada keuntungan lain yang dapat anda peroleh apabila anda fokus pada konfigurasi gelombang otak antara alpha dan theta ini, yaitu anda akan lebih mudah untuk mendapatkan ide-ide dalam berkarya, mencipta, atau menyelesaikan masalah yang sedang anda hadapi.
Sumber :
http://ibnu-kurnia1.web.ugm.ac.id/?p=65
26 Agustus 2009
Kamis, 01 November 2012
Peter Pan
From Wikipedia, the free encyclopedia
This article is about the character Peter Pan. For the original play and novel about the character, see Peter and Wendy. For other uses, see Peter Pan (disambiguation).
| Peter Pan | |
|---|---|
| Peter Pan character | |
 Illustration of Peter Pan playing the pipes, by F. D. Bedford from Peter and Wendy (1911) |
|
| First appearance | The Little White Bird (1902) |
| Created by | J. M. Barrie |
| Information | |
| Aliases | The Boy Who Wouldn't Grow Up |
| Gender | Male |
| Nationality | English |
Contents |
History
The character's best-known adventure debuted on 27 December 1904, in the stage play Peter Pan, or The Boy Who Wouldn't Grow Up. The play was adapted and expanded somewhat as a novel, published in 1911 as Peter and Wendy (later as Peter Pan and Wendy, and still later as Peter Pan).
Following the highly successful debut of the 1904 play, Barrie's publishers, Hodder and Stoughton, extracted chapters 13–18 of The Little White Bird and republished them in 1906 under the title Peter Pan in Kensington Gardens, with the addition of illustrations by Arthur Rackham.[1]
Appearance
Barrie never described Peter's appearance in detail, even in the novel Peter and Wendy, leaving much of it to the imagination of the reader and the interpretation of anyone adapting the character. Barrie mentions in Peter and Wendy that Peter Pan still had all of his baby teeth. He describes him as a beautiful boy with a beautiful smile, "clad in skeleton leaves and the juices that flow from trees". In the play, Peter's outfit is made of autumn leaves and cobwebs. His name and playing the flute suggest the mythological character Pan.Traditionally, the character has been played on stage by an adult woman.
In Peter Pan in Scarlet, Geraldine McCaughrean adds to the description of his appearance, mentioning his blue eyes, and saying that his hair is light (or at least any colour lighter than black). In this novel, Never Land has moved on to autumn, so Peter wears a tunic of jay feathers and maple leaves. In the Starcatcher stories written by Dave Barry and Ridley Pearson, Peter has carrot-orange hair and bright blue eyes.
In the Disney films, Peter wears an outfit that was easier to animate, consisting of a short-sleeved green tunic and tights apparently made of cloth, and a cap with a red feather in it. He has pointed elf-like ears, and his hair is a very red auburn. In the live-action 2003 film, he is portrayed by Jeremy Sumpter, who has blond hair and blue eyes, and his outfit is made of leaves and vines. In Hook, he is played as an adult by Robin Williams with dark brown hair, but in flashbacks to his youth his hair is light brown. In this film his ears appear pointed only when he is Peter Pan, not Peter Banning; his Pan clothing resembles the Disney outfit.
Age
Personality
Peter is mainly an exaggerated stereotype of a boastful and careless boy. He is quick to point out how great he is, even when such claims are questionable (such as when he congratulates himself for Wendy's successful reattachment of his shadow).Peter has a nonchalant, devil-may-care attitude, and is fearlessly cocky when it comes to putting himself in danger. Barrie writes that when Peter thought he was going to die on Marooner's Rock, he felt scared, yet he felt only one shudder run through him when any other person would have felt scared up until death. With his blissful unawareness of the tragedy of death, he says, "To die will be an awfully big adventure". He repeats this line as an adult in the film Hook during the battle with Hook near the film's climax. He then inverts the phrase at the film's very end claiming "To live will be an awfully big adventure."
In some variations of the story and some spin-offs, Peter can also be quite nasty and selfish. In the Disney adaptation of the tale, Peter appears very judgemental and pompous (for example, he calls the Lost Boys "blockheads" and when the Darling children say that they should leave for home at once, he gets the wrong message and angrily assumes that they want to grow up). Nonetheless, he has a strong sense of justice and is always quick to help those in danger.
In the 2003 live-action film, Peter Pan is sensitive about the subject of "growing up". When confronted by Hook about Wendy's growing up, marrying and eventually "shutting the window" on Peter, he becomes very depressed and finally gives up on Wendy.
Abilities
Peter's ability to fly is explained somewhat, but inconsistently. In The Little White Bird he is able to fly because he – like all babies – is part bird. In the play and novel, he teaches the Darling children to fly using a combination of "lovely wonderful thoughts" (which became "happy thoughts" in Disney's film) and fairy dust; it is unclear whether he is serious about "wonderful thoughts" being required (it was stated in the novel that this was merely a silly diversion from the fairy dust being the true source), or whether he requires the fairy dust himself. However, in Barrie's Dedication to the play Peter Pan, The boy who wouldn't grow up,[3] the author attributes the idea of fairy dust being necessary for flight to more practical considerations:
...after the first production I had to add something to the play at the request of parents (who thus showed that they thought me the responsible person) about no one being able to fly until the fairy dust had been blown on him; so many children having gone home and tried it from their beds and needed surgical attention. - J.M. BarrieIn Hook, the adult Peter is unable to fly until he remembers his "happy thought". The ability to fly is also attributed to starstuff – apparently the same thing as fairy dust – in the Starcatchers prequels.
Peter has an effect on the whole of Never Land and its inhabitants when he is there. Barrie states that although Never Land appears different to every child, the island "wakes up" when he returns from his trip to London. In the chapter "The Mermaid Lagoon" in the book Peter and Wendy, Barrie writes that there is almost nothing that Peter cannot do. He is a skilled swordsman, rivalling even Captain Hook, whose hand he cut off in a duel. He has remarkably keen vision and hearing. He is skilled in mimicry, copying the voice of Hook, and the tick-tock of the Crocodile. In the 2003 film, the mermaids speak by making dolphin-like noises, which Peter can both understand and speak.
In both Peter Pan and Wendy and Peter Pan in Scarlet, there are various mentions of Peter's ability to imagine things into existence, such as food, though this ability plays a more central role in Peter Pan in Scarlet. He also creates imaginary windows and doors as a kind of physical metaphor for ignoring or shunning his companions. He is said to be able to feel danger when it is near. In Peter Pan in Scarlet, it says that when Curly's puppy licks Peter, it licks off a lot of fairy dust, which may be interpreted to mean that he has become fairy-like to the point of producing his own dust, but could also simply mean that he spends so much time with fairies that he is coated in their dust.
In Peter and Wendy, Barrie states that the Peter Pan legend Mrs Darling heard as a child was that when children died, he accompanied them part of the way to their destination so that they would not be scared; he thus resembles the Greek god Hermes in his role as a psychopomp.
In the original play, Peter states that no one must ever touch him (though he does not know why), and the stage instructions specify that no one does so throughout the play. Wendy approaches Peter to give him a "thimble" (kiss), but is prevented by Tinker Bell.
Relationships
Peter does not know his parents. In Peter Pan in Kensington Gardens Barrie wrote that he left them as an infant, and seeing the window closed and a new baby in the house when he returned, he assumed they no longer wanted him. In Starcatchers he is said to be an orphan, though his friends Molly and George discover who his parents are in Rundoon. In Hook, Peter remembers his parents, specifically his mother, who wanted him to grow up and go to the best schools in London to become a judge like his father and have a family of his own. After Peter "ran away" to Neverland, he returned to find his parents forgot about him and had another child (the gender of Peter's sibling is revealed to be another boy in Peter and Wendy).Peter is the leader of the Lost Boys, a band of boys who were lost by their parents, and came to live in Neverland; it is reported that he "thins them out" when they start to grow up. He is best friends with Tinker Bell, a common fairy who is often jealously protective of him. His arch-enemy is Captain Hook, whose hand he cut off in a duel. Hook's crew, including Smee and Starkey, also consider him a foe. The Starcatchers books introduce additional foes: Slank, Lord Ombra, and Captain Nerezza.
From time to time Peter visits the real world, particularly around Kensington Gardens, and befriends children there. Wendy Darling, whom he recruited to be his "mother", is the most significant of them; he also brings her brothers John and Michael to Neverland at her request. It is hinted that Wendy has romantic feelings for Peter. In the 2003 film Peter Pan, the feeling is mutual, as the only unhappy thoughts that Captain Hook is able to use to take away Peter's ability to fly are thoughts of Wendy leaving him, growing up, and replacing him with a husband; Wendy is also able to save Peter by giving him her hidden kiss (signifying that Peter is her true love), which once again gives him the will to live. He later befriends Wendy's daughter Jane (and her subsequent daughter Margaret), and Peter and Wendy says that he will continue this pattern indefinitely. In Starcatchers he previously befriends Molly Aster and young George Darling.
Peter appears to be known to all the residents of Neverland, including the Native American princess Tiger Lily and her tribe, the mermaids, and the fairies.
In Hook, Peter states that the reason he wanted to grow up was to be a father. He married Wendy's granddaughter, Moira, and they have two children, Maggie and Jack.
In the 1953 Disney film version it is hinted at the end that Wendy's father George also met Peter Pan once and went to Neverland, when Mr. Darling, seeing the Pirate Ship flying through the air, remarks that he has a strange feeling he has seen the ship before, when he was very young.
In the adaptation of Peter Pan by French comic artist Loisel, Peter Pan is a bastard child and is kicked out of the house by his abusive mother. He does not have a good relationship with her; he tries to win her love by procuring gold for her from Neverland, yet she rejects him countless times. She is later murdered, but Peter Pan eventually forgets her death and seems to remember his mother as a kindhearted, beautiful woman and believes she is still alive; the series also implies that Hook is his father, as Hook has a photo of Peter's mother, but this point is never developed in the series.
In the 2011 Neverland TV miniseries, the origin story of Peter Pan is discussed. It is hinted at at multiple points throughout the TV special that Peter and Tiger Lily have romantic feelings for each other. It is also mentioned that James "Jimmy" Hook was originally a friend of Peter's. Prior to the film, Hook loved Peter's mother and murdered Peter's father. Feeling guilty after Peter's mother died, Hook took care of Peter, until later on when Peter finds out and becomes angry with Hook, sparking his hatred towards him. The hatred became mutual when Peter (as in other adaptations) cut off Hook's hand and fed it to a crocodile.
Kamis, 11 Oktober 2012
Bab Ringkasan
Dalam bab ini kita membahas pertimbangan etika pengungkapan kerentanan.
Topik pertama pembicaraan adalah apakah menjaga rahasia dianjurkan dalam setiap
keadaan.Kita ditentukan bahwa jika mengungkapkan kerentanan sistem akan menghasilkan
dalam kondisi keselamatan publik, tidak mungkin bijaksana untuk memilih menjaga rahasia. Di
keadaan paling lainnya, beberapa bentuk pengungkapan diperlukan.
Anda belajar bahwa pengungkapan penuh adalah mengungkapkan semua detail kerentanan
termasuk rincian teknis dan skrip sebelum patch, yang memperbaiki
kerentanan.
dalam manner.You publik mengetahui bahwa pengungkapan publik mirip dengan penuh
pengungkapan dengan satu pengecualian, pengungkapan publik tidak akan mencakup
dieksploitasi kode.
Selanjutnya, kita menggali ke dalam dilema tugas etis untuk dibahas warn.We
apakah klien memiliki hak untuk mengetahui kelemahan dalam solusi vendor dan
apakah penulis yang etis diperlukan untuk berkomunikasi kerentanan tersebut.
Berbeda dengan pengungkapan penuh, pembahasan mengenai pengungkapan terbatas disorot
bagaimana pengungkapan terbatas melindungi dari serangan berbahaya tetapi mungkin memiliki melekat
kelemahan weaknesses.These terjadi karena pengungkapan terbatas tidak mungkin menerapkan
diperlukan tekanan untuk vendor untuk mengembangkan patch cukup mudah.
Hacker topi hitam dan putih dianggap dalam kaitannya dengan kerentanan
pengungkapan process.You belajar mengapa mereka yang menentang pengungkapan kerentanan penuh
melakukannya karena mereka merasa bahwa penerbitan kerentanan sistem menyediakan
membuka untuk black hat hacker untuk melakukan serangan berbahaya pada produk vendor.
Berbeda dengan penyerang topi hitam, hacker topi putih membantu dalam menemukan kerentanan
untuk tujuan perlindungan.
Anda juga belajar bahwa pembangunan patch yang sangat penting untuk proses pengungkapan.
Rentang waktu yang dibutuhkan untuk mengembangkan patch dari ketika kerentanan itu
ditemukan sangat bervariasi tergantung pada vendor dan kompleksitas
produk atau sistem weakness.This proses pembangunan mempengaruhi jenis kerentanan
pengungkapan akan paling efektif mengatasi masalah tersebut.
Bab ini diakhiri dengan pertimbangan rencana pengungkapan yang bertanggung jawab.
Rencana pengungkapan yang bertanggung jawab tidak ada lagi, karena itu, bagian ini didasarkan pada
studi di bidang menciptakan kelompok dipercaya atau mekanisme pemerintah untuk
menangani proses pengungkapan secara standar.
www.syngress.com
102 Bab 3 • Kerentanan Pengungkapan
Q: Apakah ada jenis kerentanan yang tidak pantas etis untuk mengungkapkan.
A: Kerentanan yang berpotensi membahayakan masyarakat, harus ditangani dengan hati-hati
dan oleh pihak yang berwenang. Hal ini tidak etis untuk mengadopsi kebijakan
menjaga rahasia untuk jenis kerentanan.
Q: Apa jenis tindakan defensif dapat diambil terhadap kerentanan sistem
sekali pengungkapan penuh telah dibuat?
J: Ada empat jenis tindakan defensif yang mungkin terjadi setelah pengungkapan penuh
telah dibuat: 1. Mengembangkan dan menerapkan tanda tangan (IDS untuk memungkinkan
deteksi mengeksploitasi; 2. Menerapkan solusi sementara seperti
mematikan layanan rentan atau memblokir lalu lintas di firewall; 3.Setelah
administrator sistem dapat menggunakan kode dieksploitasi untuk memindai jaringan untuk rentan
sistem atau untuk menguji kerentanan kemungkinan sistem yang telah
ditambal, dan 4. Programmer produk dapat meninjau struktur
cacat dan berusaha untuk menghindari situasi yang sama dalam pembangunan masa depan.
Q: Apakah etis tepat untuk mengungkapkan kerentanan untuk tujuan publisitas
atau untuk membuat pesaing terlihat buruk?
A: Mengekspos kerentanan produk khusus untuk tujuan publisitas
etis tidak pantas karena menempatkan vendor dan klien beresiko, terutama di
kasus informasi kartu kredit. Jika Anda memilih untuk mengekspos kerentanan pesaing
kepada publik, mencoba untuk melindungi klien mereka dari pribadi yang tidak perlu
kerusakan.
Q: Apa perbedaan antara pengungkapan terbatas dan pengungkapan penuh?
A: Selama fase awal pengungkapan terbatas, akses ke rincian lengkap
kerentanan diberikan kepada sekelompok kecil kelompok terdiri individuals.This
www.syngress.com
Kerentanan Pengungkapan • Bab 3 103
Pertanyaan yang Sering Diajukan
Berikut Sering Diajukan, dijawab oleh penulis buku ini,
dirancang untuk membuat Anda berpikir tentang keadaan etika yang mungkin Anda hadapi
saat melakukan pengungkapan kerentanan. Kecuali masalah hukum yang terlibat, kemudian
jawaban di FAQ tidak mungkin menjadi jawaban yang tepat untuk organisasi Anda. Beberapa
jawaban mungkin lebih etis daripada yang lain, tapi respon yang benar adalah terserah Anda.
berpotensi dari tiga partai yang berbeda: Pengungkap, vendor, dan mungkin
pihak ketiga koordinator. Tidak seperti pengungkapan penuh, proses pengungkapan terbatas
tidak memberikan rincian teknis penuh dari kerentanan pada saat
akhir pengungkapan. Pelepasan tersebut rincian terjadi hanya ketika vendor perbaikan
kelemahan sistem.
Q: Bagaimana proses kode reverse engineering dalam kerentanan
pengungkapan?
A: Kode Reverse engineering adalah proses mengambil dieksekusi dan berasal
source code dari executable tersebut. Dalam proses pengungkapan kerentanan, ini
dilakukan untuk mendeteksi kerentanan dan memverifikasi kode.
T: Mengapa patch cepat, yang tidak benar-benar teruji, menjadi halangan untuk
kerentanan proses pengungkapan.
A: patch cepat berkembang yang tidak melalui proses pengujian menyeluruh,
mungkin mendatangkan malapetaka lebih pada sistem daripada serangan berbahaya. Ketika patch yang
tidak benar diuji, mungkin berisi bug atau kelemahan keamanan tambahan.
www.syngress
Keterbukaan Bertanggung Jawab
Forum - Satu Harus Dibuat?
Di tengah-tengah forum pengungkapan yang bertanggung jawab adalah "kelompok inti." Single core ini
Kelompok harus lebih besar dan lebih beragam daripada kelompok individu yang sedang
Keberadaan untuk pengungkapan process.With forum pengungkapan yang bertanggung jawab, pengungkapan
dari semua kerentanan baru pergi ke group.karena itu, kelompok ini wields banyak
kekuasaan atas tanggung jawab businesses.Their mencakup prosedur yang telah ditetapkan menyusul
yang mendapatkan kepercayaan dari kelompok inti TI community.The akan bertindak sebagai koordinator
dan akan bertanggung jawab untuk reproduksi, koordinasi komunikasi, dan tingkat keparahan
penilaian. Adalah penting bahwa pasukan selain kebutuhan internal mereka sendiri memotivasi
a vendor.Maintaining integritas dari kelompok "terpercaya" akan menimbulkan signifikan
menantang baik secara praktis maupun etis. Apakah Anda merasa industri TI siap untuk
dipercaya forum inti pengungkapan, dan bahwa individu-individu dalam kelompok itu yang mewakili
bidang bisnis yang berbeda akan bertindak dalam kepentingan terbaik dari semua pihak?
Konservatif Dalam dunia yang sempurna, memiliki kelompok dipercaya optimal dan
apa komunitas TI harus bekerja ke arah. Pada kenyataannya, kelompok ini membutuhkan
lapisan akuntabilitas untuk melindungi semua pihak. Kelompok kedua dapat menahan
dipercaya kelompok awal peringatan bertanggung jawab dan menerima dengan informasi yang cukup
untuk mempersiapkan pertahanan dan mendeteksi eksploitasi. Namun, sebuah kelompok tambahan
menambah risiko dan upaya yang cukup harus diterapkan untuk tidak mempublikasikan detail
Informasi teknis, script, atau alat-alat yang akan membantu script kiddies berbakat
dalam meluncurkan serangan.
www.syngress.com
100 Bab 3 • Kerentanan Pengungkapan
Sebuah kelompok liberal dipercaya adalah solusi yang layak untuk standarisasi
kerentanan pengungkapan proses process.Any, bahkan jika ia memiliki kelemahan, adalah
lebih baik daripada tidak ada proses sama sekali. Memang, tidak semua orang dapat dipercaya untuk
menjaga kebaikan yang lebih besar dalam pikiran, namun, industri TI siap dan sangat
membutuhkan forum inti pengungkapan dipercaya.
RINGKASAN
Titik pandang konservatif menambahkan kelemahan gagasan secara keseluruhan
memiliki kelompok kedua untuk menambah akuntabilitas kepada kelompok dipercaya, yang
akan memerlukan lebih banyak bekerja karena tim ini akan perlu untuk memastikan bahwa kerentanan
Informasi ini tidak diungkapkan prematur. Selain itu, perlindungan
Mekanisme harus diletakkan di tempat untuk mencegah topi hitam dari infiltrasi
dari kelompok kedua. Setiap pembesaran lingkaran kepercayaan sebelum
Patch pengembangan dan pengujian yang memadai akan meningkatkan risiko informasi
kebocoran tetapi diperlukan dalam hal akuntabilitas. Liberal
pandangan bahwa harus ada sesuatu di tempat, bahkan jika itu tidak
sempurna, pasti sebuah kesepakatan yang tidak dapat dipungkiri.
Bertanggung jawab Pengungkapan Rencana
Tujuan dari "pengungkapan yang bertanggung jawab" adalah untuk memungkinkan pelanggan dari vendor
produk cukup waktu untuk melindungi sistem mereka dari eksploitasi dan serangan.
Pengungkapan yang bertanggung jawab mengacu pada jumlah waktu yang diperlukan untuk topi hitam untuk
menghasilkan serangan setelah memperoleh pengetahuan tentang kerentanan sistem. Sebuah berbahaya
Serangan dapat terjadi kapan saja, namun, pengungkapan yang bertanggung jawab membahas
periode waktu yang dibutuhkan vendor untuk menyediakan patch setelah mereka tahu dari kerentanan.
Tujuan utama dari pengungkapan yang bertanggung jawab adalah untuk meminimalkan periode itu
waktu untuk mengurangi terjadinya serangan. Secara teori, jika vendor benar berikut
prosedur pengungkapan yang bertanggung jawab patch, rilis patch akan terjadi sebelum
pengetahuan topi hitam dari kerentanan.ini akan memungkinkan pelanggan bertanggung jawab
untuk melindungi sistem mereka dari eksploitasi. Penting untuk dicatat bahwa jika black
hat masyarakat mulai serangan sebelum pengungkapan publik maka timeline untuk
pengungkapan publik membutuhkan escalation.ini langsung akan memungkinkan pelanggan untuk mengambil
tindakan pencegahan pada akhir administrasi sistem untuk melindungi terhadap kemungkinan
eksploitasi.
Bagian pertama dari bagian ini membahas masalah-masalah etika pengungkapan yang bertanggung jawab
dari sudut pandang pemerintah AS. Pada bulan Desember 2002, Dennis
Fisher dengan bantuan dari SANS Institute meminta masukan tentang Rencana Fisher.
Menurut Berita SANS daftar Bites e-mail, Rencana Fisher muncul pada hari-hari
mengikuti 2 Oktober, 2002 ketika Richard Clarke mengatakan dua ratus orang
menghadiri SANS / FBI Top Twenty pengarahan Kerentanan di Washington,
www.syngress.com
98 Bab 3 • Kerentanan Pengungkapan
"Carilah kerentanan. Jika Anda menemukan satu, memberitahu vendor, dan jika mereka tidak
responsif, memberitahu pemerintah "Dennis berhak menunjukkan. bahwa pemerintah
adalah organisasi yang besar dan menghubungkan dengan orang yang tepat akan
hampir mustahil.
Bagian kedua dari bagian ini membahas masalah-masalah dalam hubungan dengan yang diusulkan
pengungkapan forum.The forum pengungkapan yang bertanggung jawab bertanggung jawab adalah sarana
dimana berbagai pihak dapat berdebat dan memediasi pengungkapan kerentanan mereka
poin forum pengungkapan melihat.Drive bertanggung jawab adalah upaya untuk mencapai kompromi
antara semua pihak dalam debat pengungkapan. Individu dan bisnis baik
berpartisipasi dalam forum pengungkapan, atau dianggap anggota topi hitam
masyarakat. Meskipun ini merupakan pernyataan yang unik ketika Anda mempertimbangkan lainnya
proposal pengungkapan yang bertanggung jawab, itu adalah component.There penting perlu
penghalang untuk sipil disclosure.Without tidak bertanggung jawab atau hukum pidana untuk menghukum
pengungkapan yang tidak bertanggung jawab, daftar hitam publik dapat menjadi pilihan yang efektif.
The Fisher Rencana,
Pengungkapan pemerintah - Apakah Diperlukan?
Rencana Fisher mengusulkan pusat pemerintahan pelaporan yang memegang tanggung jawab
untuk kerentanan reproduksi, koordinasi vendor, menentukan batas waktu untuk
memperbaiki didasarkan pada keparahan dari kerentanan, melakukan tekanan pada vendor
untuk memperbaiki kerentanan dalam waktu yang ditetapkan, koordinasi melaporkan keterbukaan informasi, dan
mungkin mengeluarkan kompensasi finansial kepada kelompok discoverer.The diusulkan dalam
Rencana Fisher akan menghadapi banyak tantangan. Apakah Anda merasa perlu dan etis
untuk mengatur proses pengungkapan?
Konservatif Rencana Fisher adalah proses diterima dan diperlukan untuk
kerentanan disclosure.Without beberapa jenis regulasi, topi hitam akan
selalu memegang organisasi advantage.What lebih baik untuk melakukan ini jenis
melaporkan pusat dari pemerintah, yang memiliki saluran terpusat
komunikasi dan pendanaan yang cukup untuk kegiatan keamanan. Ini tidak etis
gagal untuk memiliki proses seperti Rencana Fisher sudah diatur di tempat.
Penemuan Liberal kerentanan sistem adalah orang-orang baik takterelakan.The
akan menemukan beberapa dan orang jahat akan menemukan orang lain. Hal ini dalam
terbaik kepentingan perusahaan-perusahaan dan individu yang tidak ingin berhubungan
dengan komunitas topi hitam untuk mengikuti pengungkapan yang bertanggung jawab
kebijakan. Semua pihak yang tertarik dalam meningkatkan keadaan keamanan informasi
akan harus datang bersama-sama dan kompromi untuk membangun sebuah tim
www.syngress.com
Kerentanan Pengungkapan • Bab 3 99
pakar industri sehingga proses pengungkapan tidak jatuh ke pemerintah.
Cara terbaik adalah di tangan bisnis sektor swasta dan lainnya
perantara.
RINGKASAN
Terlepas dari apakah Anda mendukung proses pemerintah atau swasta proses
untuk menangani pengungkapan kerentanan, tidak ada keraguan bahwa TI
masyarakat harus menemukan cara untuk benar menangani masalah pengungkapan.
Vendor harus menerima pemberitahuan dan klien harus menerima kerentanan
Informasi untuk perlindungan yang tepat dari sistem informasi mereka. Di
akhirnya, semua ini perlu terjadi secara aman bijaksana.
Menggabungkan Perbaikan Sistem dengan
Patch Keamanan - Menambahkan Risiko Lebih?
Satu masalah dengan pengungkapan penuh adalah lomba untuk menciptakan patch yang perbaikan
keamanan issue.When menangani kerentanan diungkapkan, beberapa perusahaan sering
menggabungkan perbaikan sistem dengan keamanan patches.You sebagai administrator sistem menemukan
proses ini mempersulit memperbaiki kerentanan karena dapat mempengaruhi daerah lain
sistem Anda. Perbaikan sistem tambahan ditambahkan ke patch menimbulkan masalah baru
muncul, yang tidak dapat dengan mudah diisolasi. Apakah etis untuk menanggapi pengungkapan penuh
dengan menggabungkan perbaikan sistem dengan patch kerentanan? Selain itu, kadang-kadang
patch dikembangkan begitu cepat yang mengandung kesalahan dan crash sistem itu
dirancang untuk memperbaiki. Apakah etis untuk menanggapi pengungkapan penuh dengan menerbitkan cepat
patch, di mana patch pengujian yang tepat tidak terjadi karena pengungkapan penuh?
Sistem patch untuk kerentanan diungkapkan konservatif harus
independen dari setiap perbaikan sistem tambahan atau upgrade. Kerentanan keamanan
memerlukan solusi yang efektif dilakukan dengan cara yang paling aman dicapai.
Rumitnya kerentanan dengan perbaikan sistem tambahan adalah cara tidak etis
untuk menangani patches.This keamanan ini terutama berlaku dalam kasus menciptakan
kerentanan patch yang terlalu cepat tanpa pengujian yang tepat dari patch pada
operasi system.There selalu bahaya meningkatnya kerusakan lebih
kemudian mengatasi masalah. Pengungkapan penuh bukan alasan untuk cepat
patch yang menyebabkan masalah sistem muncul.
Salah satu Liberal hasil pengungkapan penuh adalah perbaikan cepat yang mungkin tidak efektif
atau merusak sistem mereka mencoba untuk address.This hanya bagian
dari realitas proses pengungkapan penuh. Ini menekan vendor untuk membuat
www.syngress.com
Kerentanan Pengungkapan • Bab 3 97
langsung respon bahkan jika mereka tidak secara teknis siap untuk melakukan so.There
yang salah dengan patch kerentanan menggabungkan dengan tambahan apa-apa
minor sistem patch selama mereka tidak menyebabkan masalah.
RINGKASAN
Mengenai isu menggabungkan perbaikan dengan patch kerentanan, beberapa
dapat mempertimbangkan risiko tambahan menambah masalah awal. Lainnya
mungkin merasa bahwa menyediakan perbaikan tambahan tidak menyebabkan masalah dan
mungkin tidak merasa ini adalah masalah etis. Selain itu, ketika patch tidak
aptly diuji, masalah yang timbul. Ini mungkin merupakan konsekuensi negatif
proses pengungkapan penuh.
Patch Pengembangan
Selama proses mendeteksi dan memperbaiki kerentanan produk, koreksi
Tahap dimulai dengan pengembangan patch. Pengembangan patch adalah langkah penting
ketika menangani berbagai produk vulnerabilities.The dari waktu yang dibutuhkan untuk melihat
hasil patch dari kerentanan penemuan sangat bervariasi tergantung pada
vendor dan kompleksitas kelemahan produk atau sistem. Dalam beberapa kasus,
Pengembangan Patch dapat mengambil banyak waktu jika cacat yang melekat pada
struktur vendor product.The mungkin juga harus mengatasi alat serupa lainnya,
yang memiliki masalah yang sama dalam line.This produk mereka terutama
kasus ketika vendor mengembangkan produk memanfaatkan perpustakaan kode pusat.
Berikut ini adalah contoh yang sangat baik dari kompleksitas perkembangan patch di
kaitannya dengan pengungkapan process.We mendiskusikan masalah etika dengan Sederhana
www.syngress.com
Kerentanan Pengungkapan • Bab 3 95
Network Management Protocol (SNMP) vulnerabilities.This bagian juga
alamat perangkap rilis patch yang termasuk patch yang menggabungkan sistem
perbaikan, dan patch cepat yang crash sistem yang seharusnya untuk memperbaiki.
Mengambil Pasar
Keuntungan - Haruskah Anda Berkomunikasi?
Anda menemukan kerentanan dalam produk yang Anda kembangkan memanfaatkan SNMP.This
Masalah akibatnya ada di produk lain memanfaatkan SNMP. Pemberitahuan
vendor tambahan dan pelepasan rincian kerentanan tersebut diperlukan untuk
benar menguji produk mereka untuk kelemahan ini. Namun, jika Anda tidak memberitahu
vendor lain dan memperbaiki masalah dalam perangkat lunak Anda, Anda dapat mempublikasikan
kesalahan dan mendapatkan keuntungan pasar. Apakah etis untuk gagal untuk mengungkapkan informasi
sekitar satu kelemahan SNMP jika akan memberikan keuntungan pasar?
Konservatif Keterlibatan beberapa vendor dapat mengakibatkan kebingungan
dan miskomunikasi terutama pada isu yang mempengaruhi pesaing.
Karena hal yang benar untuk dilakukan adalah mengkomunikasikan kerentanan SNMP,
setiap upaya harus dilakukan untuk menjaga semua tindakan terkoordinasi. Jika satu vendor
rilis informasi kerentanan prematur, para pelanggan dari
vendor yang tersisa akan dibiarkan terbuka.
Para perusahaan harus bekerja sama untuk menguji semua patch dan memastikan mereka
yang afektif untuk berbagai produk memanfaatkan SNMP. Perbedaan dalam lingkungan
dan konfigurasi sistem dapat menyebabkan patch untuk memiliki sisi negatif
efek. Setelah patch sukses semua produk menggunakan SNMP
akan aman.
Pengetahuan Liberal masalah dalam sumber daya bersama oleh vendor bersaing
memberikan keunggulan bisnis. Menggunakannya untuk keuntungan Anda. Mencari
masalah dengan sumber daya bersama dan menangani itu dalam produk Anda adalah
prerogative.You Anda tidak etis diperlukan untuk berbagi informasi ini untuk
setiap reason.You logis bisa memastikan pesaing Anda tidak akan membuat
bahwa komunikasi kepada Anda. Memanfaatkan kesempatan ini untuk meninggalkan kompetisi
dalam debu.
www.syngress.com
96 Bab 3 • Kerentanan Pengungkapan
RINGKASAN
Pilihan etis yang jelas untuk gambar yang lebih besar adalah untuk berkomunikasi
kerentanan serius dalam kode SNMP untuk semua orang yang menggunakannya dalam produk mereka.
Namun, kebanyakan orang tidak mendasarkan etika pribadi mereka pada
kebaikan yang lebih besar bagi umat manusia, mereka mendasarkan mereka pada hal-hal kecil dan pribadi
hubungan. Beberapa merasa itu bukan tanggung jawab etis mereka untuk berkomunikasi
suatu kelemahan SNMP untuk pesaing mereka. Mereka bahkan banyak
mempertimbangkan jenis komunikasi pelanggaran loyalitas perusahaan.
Pemerintah pada
Hacker - Haruskah Anda Balik Kode?
Keamanan dunia maya departemen pemerintah AS mendesak topi putih
hacker untuk menemukan kerentanan keamanan di vendor perangkat lunak. Namun, pemerintah
menginginkan data ini tentang kekurangan produk untuk pergi hanya untuk para pedagang dan
government.This adalah kontras dengan apa yang beberapa profesional TI merasa bahwa mereka
memerlukan ketika menjaga sistem integritas pemerintah mereka intact.The memungkinkan keamanan
profesional untuk menemukan kerentanan, namun mengkomunikasikan bahwa reverse engineering
kode yang dilakukan oleh orang lain selain keamanan komputer profesional adalah untuk
purposes.This bermoral berarti bahwa kecuali jika Anda adalah seorang ahli keamanan informasi
Anda tidak dapat melihat terlalu dalam ke produk vendor untuk menemukan kerentanan, sehingga
menghalangi kemampuan Anda untuk menerapkan perlindungan yang diperlukan untuk sistem di bawah Anda
jawab. Apakah bermoral untuk membalikkan kode engineer jika tujuan Anda adalah untuk melindungi
sistem Anda mengelola atau bekerja dengan?
www.syngress.com
94 Bab 3 • Kerentanan Pengungkapan
Kebalikan kode rekayasa konservatif harus tetap dalam ranah
keamanan informasi profesi dan bukan di tangan administrator sistem
atau programmer. Hal ini tidak etis untuk membalikkan kode insinyur dari vendor
bahkan jika tujuan Anda adalah untuk menemukan kerentanan dan melindungi sistem Anda sendiri
dari seperti kelemahan produk.
Liberal Sistem administrator dan pengembang perlu diingat
integritas produk dan lingkungan alam di bawah tanggung jawab mereka
dan data sensitif dalam environments.There mereka adalah apa-apa
salah dengan menjamin perlindungan informasi pelanggan kartu kredit jika
Anda memiliki alasan untuk percaya bahwa produk perangkat lunak yang Anda gunakan untuk memproses
transaksi kartu kredit bukanlah pilihan yang paling etis secure.The dalam keadaan demikian
adalah untuk melakukan reverse engineering alat vendor, menemukan kelemahan, laporan
ke vendor, dan menerapkan langkah-langkah perlindungan pada sistem Anda untuk mencegah
penyalahgunaan kerentanan ini. Kegagalan untuk melakukannya akan menjadi tidak etis.
RINGKASAN
Masalah ini sangat sulit untuk memilah-milah karena kompleksitasnya. Di
satu tangan, instansi pemerintah menyatakan bahwa reverse engineering produk
Kode tidak bermoral untuk beberapa profesi teknologi untuk melakukan; pada
Sebaliknya, gagal perlindungan yang memadai dari informasi pelanggan
tanpa keraguan tidak etis.
Black and White Hat Hacker
Orang-orang yang menentang pengungkapan kerentanan full melakukannya karena mereka merasa bahwa
penerbitan kerentanan sistem menyediakan pembukaan untuk "black hat hacker" untuk
melakukan serangan berbahaya pada produk vendor. Mengungkap rincian sistem
kelemahan hacker bahan bakar dengan pengetahuan yang mereka butuhkan untuk menyalahgunakan kelemahan-kelemahan.
Selain itu, "hacker topi putih" yang bertanggung jawab untuk menemukan kerentanan,
telah menetapkan sendiri masalah moral untuk mengatasi saat reverse engineering
produk untuk tujuan perlindungan kerentanan menemukan.
Bagian ini membahas cara-cara yang hacker menyalahgunakan pengungkapan penuh
proses. Hal ini juga membahas dampak etis dari penyalahgunaan tersebut, baik kepada
hacker dan mereka yang memberikan pengungkapan penuh. Selanjutnya, kita menggali ke topi putih
hacker dan apakah produk reverse engineering etis dari sudut
melihat perlindungan sistem.
Hacker Memanfaatkan Kerentanan
Pengungkapan - Apakah Pengungkapan Kendali Diperlukan?
Anda bekerja untuk sebuah perusahaan keamanan informasi dan mengungkap bukti bahwa
topi hitam adalah memanfaatkan vulnerabilities.You sistem operasi yang signifikan tahu
bahwa cara untuk menghindari jenis eksploitasi adalah jika bisnis tidak memberikan penuh
pengungkapan. Dari sudut pandang keamanan informasi pandang, Anda bisa berdebat yang penuh
pengungkapan hacker bahan bakar dan dengan demikian tidak etis?
Konservatif Hal yang paling penting bagi para profesional keamanan informasi
adalah sistem pencegahan integrity.The mengungkap kelemahan sistem
terhadap serangan berbahaya adalah priority.Anything pertama yang berpotensi dapat menghasilkan
serangan membutuhkan kerahasiaan dan perlindungan. Meskipun disclowww penuh.
syngress.com
Kerentanan Pengungkapan • Bab 3 93
lakukannya dalam beberapa kasus, dapat mempercepat proses melindungi kerentanan,
mereka adalah kewajiban dalam diri mereka kepada petugas keamanan informasi.
Penerbitan kode serangan hanya tidak etis dan memberikan ide-ide baru untuk masa depan
serangan. Ini menyediakan suatu pustaka dari sumber daya untuk coders berbahaya.
Pengungkapan publik liberal diperlukan bagi pelanggan untuk membela mereka
sumber daya. Bahkan jika penyerang berbahaya tidak menyadari kelemahan keamanan
dan ide-ide kode berbahaya sudah, mereka akan segera menyadari mereka
sendiri sehingga tidak menyediakan bahan bakar untuk pekerjaan. Itu hampir mustahil
untuk memberikan keamanan yang efektif untuk sistem ketika keamanan informasi
petugas menerima informasi jelas mengenai kerentanan sistem.
RINGKASAN
Ini perdebatan tentang pengungkapan penuh dipanaskan dan tidak ada jawaban yang tepat.
Kedua sudut pandang memiliki kekuatan dan kelemahan. Namun, karena
resistensi vendor untuk memperbaiki kerentanan keamanan, jalan lebih mungkin
informasi yang paling profesional keamanan akan mengambil adalah bahwa pengungkapan penuh.
Pasukan pengungkapan vendor untuk menyediakan patch untuk keamanan yang dikenal penuh
kelemahan. Jika vendor yang lebih cepat pada kaki mereka ketika menanggapi
kelemahan dalam produk mereka, pengungkapan penuh tidak akan menjadi suatu keharusan
dan argumen akan terlihat sangat berbeda.
Sabtu, 06 Oktober 2012
sushahnya minta maaf gak bisa menterjemahkan bahasa dengan baik.,,google translate kurang sempurna bikin kerancuan ,..tapi tetep aja bantu dikit
allhamdulillah wdah mulai bulan oktober ....
tidak terasa kuliah sudah sebulan ,
berharap makin nambah ilmu dan wawasan..
ya allah berikan aku kesabran dalam menuntut ilmu
banyak jalan yang susah ,,
namun aku ingin sukses atau setidaknya tidak dibodohin orang bodoh"""
Rabu, 26 September 2012
terjemahan ""Limited Disclosure
Pengungkapan Terbatas
Pengungkapan terbatas adalah mirip dengan menjaga rahasia karena berbagi kerentanan
Informasi terjadi dalam kelompok kecil perbedaan yang unik adalah bahwa people.The
menjaga rahasia terjadi dalam organisasi dan pengungkapan yang terbatas dapat mencakup
individu di luar organisasi pada perbedaan organisasi. Selama
tahap awal pengungkapan terbatas, akses ke rincian lengkap tentang kerentanan
diberikan kepada sekelompok kecil dari kelompok individuals.This terdiri dari berpotensi
tiga yang berbeda pihak, Pengungkap, vendor, dan mungkin koordinator pihak ketiga.
Tidak seperti pengungkapan penuh, proses pengungkapan yang terbatas tidak memberikan
rincian teknis penuh dari kerentanan pada saat pengungkapan akhir. Pelepasan
detail-detail terjadi hanya ketika vendor perbaikan sistem weaknesses.The
Alasan untuk ini batas pada data teknis pendukung klaim pengungkapan terbatas yang
pengguna, programmer, dan administrator tidak memerlukan informasi teknis rinci
untuk menambal atau membela sistem. Selain itu, penggemar pengungkapan terbatas
menegaskan bahwa pengungkapan informasi teknis penuh hanya membantu topi hitam
masyarakat.
Ada beberapa masalah dengan konsep pengungkapan yang terbatas. Seperti
menjaga rahasia, kita menghadapi dilema siapa yang harus percaya dengan kerentanan awal
Informasi. Ini akan sangat sulit untuk menegakkan perilaku etis di kalangan
mereka yang dapat berdiri untuk mendapatkan dari pengungkapan atau eksploitasi yang tidak diketahui
kerentanan.
www.syngress.com
Kerentanan Pengungkapan • Bab 3 91
Tanpa pengungkapan publik wajib, tidak ada yang memotivasi
vendor untuk mengembangkan memperbaiki tepat waktu. Karena vendor dapat menunda pengungkapan akhir
sampai mereka memperbaiki cacat, menunda pengungkapan publik akhir akhirnya menunda perbaikan
tanpa batas.
Akhirnya, karena jumlah informasi teknis dalam pengungkapan awal
sangat terbatas, pelanggan mungkin tidak dapat mengambil tindakan defensif awal.
IDS Signatures dan Defensif
Tindakan - Haruskah Anda Menyediakan Detail?
Anda seorang administrator sistem dan mendengar rumor bahwa ada masalah dengan
salah satu vendor administrasi tools.The telah diungkapkan apa-apa untuk Anda sehingga
far.Without informasi teknis rinci, tanda tangan IDS tidak dapat diciptakan untuk
melawan ini masalah.Anda tahu bahwa sistem deteksi Anda tidak akan efektif
karena pengembangan alat untuk mendeteksi sistem rentan dan vendor uji
patch akan mungkin untuk mengembangkan sejak informasi tentang kerentanan
tidak revealed.With semua fakta dalam bermain, apakah Anda sebagai administrator sistem
merasa bahwa perusahaan memiliki hak etis untuk menolak memberikan pengungkapan
rincian teknis dari kelemahan produk mereka?
Konservatif Dari titik administrator sistem pandang itu tidak etis
untuk menunda atau menghindari penemuan produk mengungkapkan vulnerabilities.The dari kerentanan
sudah aktif mengeksploitasi sistem ini tidak ada kelemahan-brainer.The harus
pergi melalui pengungkapan penuh sehingga mereka dapat menciptakan administrator sistem IDS
tanda tangan untuk melawan masalah dan memperbarui defensif yang sesuai
teknologi yang dibutuhkan. Dalam situasi ini, sistem paparan dan eksploitasi yang
bencana selama jangka waktu sementara vendor menunda pengungkapan sampai
mereka siap untuk merilis patch. Bahkan jika penerbitan dari pengungkapan akhir terjadi
sebelum vendor rilis patch, administrator masih kekurangan informasi yang memadai
diperlukan untuk menyebarkan penanggulangan yang diperlukan. Akhirnya, tanpa
melengkapi pemahaman tentang struktur cacat, tim pemrograman
untuk produk vendor akan terus membuat kesalahan yang sama ketika coding
produk masa depan. Semua alasan ini adalah argumen yang solid untuk kebutuhan penuh
pengungkapan.
Liberal Meskipun gagal untuk mengungkapkan informasi dapat membahayakan
klien, vendor tidak etis diperlukan untuk melakukan pengungkapan penuh.
Pengungkapan terbatas adalah tidak etis. Sebuah pengungkapan terbatas melindungi vendor '
dan informasi sensitif klien 'dari jatuh ke tangan yang salah.
www.syngress.com
92 Bab 3 • Kerentanan Pengungkapan
RINGKASAN
Masalah ini merupakan diskusi utama dibandingkan praktis. Dari sudut pandang
dari administrator sistem, dalam banyak kasus pengungkapan penuh diperlukan untuk
mereka untuk melakukan layanan mereka secara memadai untuk semua alasan yang disebutkan.
Namun, beberapa orang mungkin masih tidak merasa bahwa vendor etis
diperlukan untuk menghasilkan pengungkapan penuh pada kerentanan produk, dan bahwa
pengungkapan tersebut memberi makan masyarakat topi hitam dan script kiddies.
Pengungkapan Terbatas
Pengungkapan terbatas adalah mirip dengan menjaga rahasia karena berbagi kerentanan
Informasi terjadi dalam kelompok kecil perbedaan yang unik adalah bahwa people.The
menjaga rahasia terjadi dalam organisasi dan pengungkapan yang terbatas dapat mencakup
individu di luar organisasi pada perbedaan organisasi. Selama
tahap awal pengungkapan terbatas, akses ke rincian lengkap tentang kerentanan
diberikan kepada sekelompok kecil dari kelompok individuals.This terdiri dari berpotensi
tiga yang berbeda pihak, Pengungkap, vendor, dan mungkin koordinator pihak ketiga.
Tidak seperti pengungkapan penuh, proses pengungkapan yang terbatas tidak memberikan
rincian teknis penuh dari kerentanan pada saat pengungkapan akhir. Pelepasan
detail-detail terjadi hanya ketika vendor perbaikan sistem weaknesses.The
Alasan untuk ini batas pada data teknis pendukung klaim pengungkapan terbatas yang
pengguna, programmer, dan administrator tidak memerlukan informasi teknis rinci
untuk menambal atau membela sistem. Selain itu, penggemar pengungkapan terbatas
menegaskan bahwa pengungkapan informasi teknis penuh hanya membantu topi hitam
masyarakat.
Ada beberapa masalah dengan konsep pengungkapan yang terbatas. Seperti
menjaga rahasia, kita menghadapi dilema siapa yang harus percaya dengan kerentanan awal
Informasi. Ini akan sangat sulit untuk menegakkan perilaku etis di kalangan
mereka yang dapat berdiri untuk mendapatkan dari pengungkapan atau eksploitasi yang tidak diketahui
kerentanan.
www.syngress.com
Kerentanan Pengungkapan • Bab 3 91
Tanpa pengungkapan publik wajib, tidak ada yang memotivasi
vendor untuk mengembangkan memperbaiki tepat waktu. Karena vendor dapat menunda pengungkapan akhir
sampai mereka memperbaiki cacat, menunda pengungkapan publik akhir akhirnya menunda perbaikan
tanpa batas.
Akhirnya, karena jumlah informasi teknis dalam pengungkapan awal
sangat terbatas, pelanggan mungkin tidak dapat mengambil tindakan defensif awal.
IDS Signatures dan Defensif
Tindakan - Haruskah Anda Menyediakan Detail?
Anda seorang administrator sistem dan mendengar rumor bahwa ada masalah dengan
salah satu vendor administrasi tools.The telah diungkapkan apa-apa untuk Anda sehingga
far.Without informasi teknis rinci, tanda tangan IDS tidak dapat diciptakan untuk
melawan ini masalah.Anda tahu bahwa sistem deteksi Anda tidak akan efektif
karena pengembangan alat untuk mendeteksi sistem rentan dan vendor uji
patch akan mungkin untuk mengembangkan sejak informasi tentang kerentanan
tidak revealed.With semua fakta dalam bermain, apakah Anda sebagai administrator sistem
merasa bahwa perusahaan memiliki hak etis untuk menolak memberikan pengungkapan
rincian teknis dari kelemahan produk mereka?
Konservatif Dari titik administrator sistem pandang itu tidak etis
untuk menunda atau menghindari penemuan produk mengungkapkan vulnerabilities.The dari kerentanan
sudah aktif mengeksploitasi sistem ini tidak ada kelemahan-brainer.The harus
pergi melalui pengungkapan penuh sehingga mereka dapat menciptakan administrator sistem IDS
tanda tangan untuk melawan masalah dan memperbarui defensif yang sesuai
teknologi yang dibutuhkan. Dalam situasi ini, sistem paparan dan eksploitasi yang
bencana selama jangka waktu sementara vendor menunda pengungkapan sampai
mereka siap untuk merilis patch. Bahkan jika penerbitan dari pengungkapan akhir terjadi
sebelum vendor rilis patch, administrator masih kekurangan informasi yang memadai
diperlukan untuk menyebarkan penanggulangan yang diperlukan. Akhirnya, tanpa
melengkapi pemahaman tentang struktur cacat, tim pemrograman
untuk produk vendor akan terus membuat kesalahan yang sama ketika coding
produk masa depan. Semua alasan ini adalah argumen yang solid untuk kebutuhan penuh
pengungkapan.
Liberal Meskipun gagal untuk mengungkapkan informasi dapat membahayakan
klien, vendor tidak etis diperlukan untuk melakukan pengungkapan penuh.
Pengungkapan terbatas adalah tidak etis. Sebuah pengungkapan terbatas melindungi vendor '
dan informasi sensitif klien 'dari jatuh ke tangan yang salah.
www.syngress.com
92 Bab 3 • Kerentanan Pengungkapan
RINGKASAN
Masalah ini merupakan diskusi utama dibandingkan praktis. Dari sudut pandang
dari administrator sistem, dalam banyak kasus pengungkapan penuh diperlukan untuk
mereka untuk melakukan layanan mereka secara memadai untuk semua alasan yang disebutkan.
Namun, beberapa orang mungkin masih tidak merasa bahwa vendor etis
diperlukan untuk menghasilkan pengungkapan penuh pada kerentanan produk, dan bahwa
pengungkapan tersebut memberi makan masyarakat topi hitam dan script kiddies.
Limited Disclosure
Limited disclosure is similar to nondisclosure because the sharing of vulnerability
information occurs within a small group of people.The unique difference is that
nondisclosure occurs within the organization and limited disclosure may include
individuals outside of the organization at the organization’s discrepancy. During
the initial phases of limited disclosure, access to the full details of the vulnerability
is granted to a small group of individuals.This group consists potentially of
three different parties, the discloser, the vendor, and possibly a third-party coordinator.
Unlike full disclosure, the limited disclosure process does not provide the
full technical details of the vulnerability at the time of final disclosure. Release of
those details occurs only when the vendor fixes the system weaknesses.The
reason for this limit on technical data is advocates of limited disclosure claim that
users, programmers, and administrators do not require detailed technical information
in order to patch or defend systems. In addition, fans of limited disclosure
assert that the disclosure of full technical information only assists the black hat
community.
There are several problems with the concept of limited disclosure. As with
nondisclosure, we face the dilemma of whom to trust with the initial vulnerability
information. It will be very difficult to enforce ethical behavior among
those that may stand to gain from the disclosure or exploitation of an unknown
vulnerability.
www.syngress.com
Vulnerability Disclosure • Chapter 3 91
Without mandatory public disclosure, there is nothing to motivate the
vendor to develop a timely fix. Since the vendor can delay the final disclosure
until they fix the flaw, delaying final public disclosure ultimately delays the fix
indefinitely.
Finally, since the amount of technical information in the initial disclosure is
greatly limited, customers may not be able to take early defensive actions.
IDS Signatures and Defensive
Measures – Should You Provide Details?
You are a systems administrator and hear a rumor that there is a problem with
one of your administration tools.The vendor has disclosed nothing to you thus
far.Without detailed technical information, IDS signatures cannot be created to
counter this problem.You know that your detection systems will not be effective
because the development of tools to detect vulnerable systems and test vendor
patches will be impossible to develop since the information about the vulnerability
is not revealed.With all of these facts in play, do you as a system administrator
feel that a company has the ethical right to refuse to provide disclosure on
the technical details of their product’s weaknesses?
Conservative From the systems administrator point of view it is unethical
to delay or avoid disclosing product vulnerabilities.The discovery of a vulnerability
already actively exploiting systems is a no-brainer.The weakness must
go through a full disclosure so that they system administrators may create IDS
signatures to counter the problem and update the corresponding defensive
technology required. In these situations, systems exposure and exploitation are
disastrous during the period of time while the vendor delays disclosure until
they are ready to release a patch. Even if publishing of a final disclosure occurs
before the vendor releases a patch, administrators still lack the sufficient information
required to deploy the necessary countermeasures. Finally, without a
complete understanding of the structure of the flaw, the programming team
for the vendor product will continue to make similar mistakes when coding
future products. All of these reasons are solid argument for the necessity of full
disclosures.
Liberal Even though failing to disclose information may be harmful to
clients, vendors are not ethically required to perform a full disclosure.
Limited disclosure is not unethical. A limited disclosure protects vendors’
and clients’ sensitive information from falling into the wrong hands.
www.syngress.com
92 Chapter 3 • Vulnerability Disclosure
SUMMARY
This issue is a principal versus practical discussion. From the point of view
of system administrators, in most cases full disclosures are necessary for
them to adequately perform their services for all of the reasons mentioned.
However, some people may still not feel that vendors are ethically
required to produce full disclosures on product vulnerabilities, and that
those disclosures feed the black hat community and script kiddies.
terjemahan ""Writers Exposing System Weaknesses –
Penulis Mengekspos Kelemahan Sistem -
Haruskah Anda Penyampaian Informasi Semua?
Anda menulis sebuah kertas putih untuk sistem operasi baru. Hal ini umum untuk menyebutkan
kekuatan dan kelemahan dalam kertas putih, tetapi hanya untuk degree.The tertentu
sistem operasi Anda tulis memiliki kelemahan keamanan yang serius. Apakah Anda
tugas untuk bersikeras mengungkapkan informasi penting dalam kertas putih atau
melalui beberapa sarana komunikasi lainnya?
Integritas sistem konservatif secara keseluruhan sangat penting ketika menjual baru
produk, terutama sistem operasi. Bersikeras bahwa beberapa jenis peringatan pergi
ke dalam kertas putih dan documentation.Without sistem yang sesuai
ini, perusahaan akan menempatkan diri pada risiko kerugian sistem
terjadi karena sistem operasi. Jelaskan pentingnya ini untuk
management.They senior akan menghargai bahwa Anda membawa masalah ini ke
perhatian mereka.
Pertama, mirip dengan bentuk lain dari Pengungkap disebutkan, Anda harus selalu
memberitahukan vendor sebelum pengungkapan publik dibuat. Jangan mengekspos
informasi di luar vendor. Melakukan kontak ini sedemikian rupa untuk
mengkonfirmasi bahwa vendor telah menerima pemberitahuan. Jika Anda merasa Anda tidak bisa
berkomunikasi secara langsung kepada vendor tentang kerentanan sistem, gunakan
pihak ketiga koordinator yang akan membantu dalam memfasilitasi komunikasi
penemu dan vendor.
Liberal Hal ini tentu bukan tempat Anda sebagai penulis untuk meminta dimasukkannya tertentu
kerentanan sistem informasi dalam kertas putih Anda akan menerima pembayaran
untuk produce.This ini terutama berlaku jika informasi tersebut memiliki potensi untuk
merugikan penjualan produk. Pikiran bisnis Anda sendiri dan melakukan
www.syngress.com
Kerentanan Pengungkapan • Bab 3 89
pekerjaan mereka menyewa Anda untuk melakukan. Biarkan fakta dan permasalahan hingga
manajemen.
RINGKASAN
Menentukan apakah itu adalah tugas Anda sebagai penulis untuk memperingatkan pembaca Anda
masalah sistem adalah pilihan Anda harus membuat. Apakah Anda etis berhak
tugas untuk memperingatkan? Manfaat memperingatkan pembaca Anda adalah mereka akan tahu
Anda menyeluruh dalam penelitian dan dapat dipercaya, yang pada gilirannya
meningkatkan reputasi Anda sebagai penulis. Sisi bawah menyediakan seperti
peringatan adalah bahwa beberapa perusahaan tidak dapat memilih untuk mempekerjakan Anda karena
mereka hanya ingin seseorang untuk menulis, tidak memberitahu mereka apa yang harus dilakukan dan memaksa
mereka untuk mengungkapkan setiap titik turun dari produk mereka.
Menanamkan Ketakutan Umum dengan Full
Pengungkapan - Err di sisi dari Perhatian?
Anda bekerja untuk sebuah menara kontrol lalu lintas udara dan Anda menemukan kerentanan sistem
di salah satu perangkat lunak yang Anda gunakan untuk melacak planes.This ini sangat besar karena
berpotensi membahayakan banyak nyawa. Apakah etis diterima publik mengungkapkan ini
Informasi di televisi nasional? Kau tahu jenis pengungkapan dapat menanamkan
ketakutan dan kepanikan di masyarakat.
Konservatif ini jenis tertentu dari pengungkapan yang terbaik ditangani secara lebih
pribadi dengan cara antara penemu awal kerentanan dan
vendor. Selama waktu setelah kontak awal dan sampai pengungkapan publik, semua
jalur komunikasi antara vendor, penemu, dan pencetus harus
tetap terbuka dan miskomunikasi confidential.Any selama seluruh
Proses pengungkapan dapat menyebabkan prematur pengungkapan dan publik potensial
panik. Adalah penting bahwa upaya vendor untuk mereproduksi kerentanan
untuk memverifikasi pencetus existence.The yang harus menyediakan vendor
dan koordinator dengan semua informasi yang diperlukan dan reproduksi bantuan
way.This apapun akan menentukan apakah ada sebenarnya kesalahan. Mengungkapkan lalu lintas udara
kerentanan perangkat lunak data tanpa benar-benar mengkonfirmasikan kelemahan sistem
adalah jenis yang sama sekali unethical.This kerentanan harus ditangani
cara ini tanpa pengungkapan publik.
www.syngress.com
90 Bab 3 • Kerentanan Pengungkapan
Liberal Masyarakat memiliki hak untuk mengetahui apakah sistem kontrol lalu lintas udara
untuk pesawat terbang dan bandara merupakan tdk berlaku atau defective.This adalah kasus di mana
pengungkapan publik dapat menyelamatkan nyawa dan informasi harus dipublikasikan
segera setelah diketahui.
RINGKASAN
Penerbitan informasi segera setelah diketahui tidak selalu baik
Ide. Cara terbaik adalah untuk menghubungi vendor dan melakukan tes yang diperlukan untuk
memvalidasi bahwa memang ada kerentanan yang valid. Setelah Anda menemukan ada
adalah kerentanan yang akurat itu adalah pilihan etis Anda untuk menentukan apakah
Anda merasa Anda memiliki kewajiban etis untuk memperingatkan masyarakat umum dari udara
kontrol lalu lintas masalah atau menangani masalah ini secara lebih rahasia
cara.
Penulis Mengekspos Kelemahan Sistem -
Haruskah Anda Penyampaian Informasi Semua?
Anda menulis sebuah kertas putih untuk sistem operasi baru. Hal ini umum untuk menyebutkan
kekuatan dan kelemahan dalam kertas putih, tetapi hanya untuk degree.The tertentu
sistem operasi Anda tulis memiliki kelemahan keamanan yang serius. Apakah Anda
tugas untuk bersikeras mengungkapkan informasi penting dalam kertas putih atau
melalui beberapa sarana komunikasi lainnya?
Integritas sistem konservatif secara keseluruhan sangat penting ketika menjual baru
produk, terutama sistem operasi. Bersikeras bahwa beberapa jenis peringatan pergi
ke dalam kertas putih dan documentation.Without sistem yang sesuai
ini, perusahaan akan menempatkan diri pada risiko kerugian sistem
terjadi karena sistem operasi. Jelaskan pentingnya ini untuk
management.They senior akan menghargai bahwa Anda membawa masalah ini ke
perhatian mereka.
Pertama, mirip dengan bentuk lain dari Pengungkap disebutkan, Anda harus selalu
memberitahukan vendor sebelum pengungkapan publik dibuat. Jangan mengekspos
informasi di luar vendor. Melakukan kontak ini sedemikian rupa untuk
mengkonfirmasi bahwa vendor telah menerima pemberitahuan. Jika Anda merasa Anda tidak bisa
berkomunikasi secara langsung kepada vendor tentang kerentanan sistem, gunakan
pihak ketiga koordinator yang akan membantu dalam memfasilitasi komunikasi
penemu dan vendor.
Liberal Hal ini tentu bukan tempat Anda sebagai penulis untuk meminta dimasukkannya tertentu
kerentanan sistem informasi dalam kertas putih Anda akan menerima pembayaran
untuk produce.This ini terutama berlaku jika informasi tersebut memiliki potensi untuk
merugikan penjualan produk. Pikiran bisnis Anda sendiri dan melakukan
www.syngress.com
Kerentanan Pengungkapan • Bab 3 89
pekerjaan mereka menyewa Anda untuk melakukan. Biarkan fakta dan permasalahan hingga
manajemen.
RINGKASAN
Menentukan apakah itu adalah tugas Anda sebagai penulis untuk memperingatkan pembaca Anda
masalah sistem adalah pilihan Anda harus membuat. Apakah Anda etis berhak
tugas untuk memperingatkan? Manfaat memperingatkan pembaca Anda adalah mereka akan tahu
Anda menyeluruh dalam penelitian dan dapat dipercaya, yang pada gilirannya
meningkatkan reputasi Anda sebagai penulis. Sisi bawah menyediakan seperti
peringatan adalah bahwa beberapa perusahaan tidak dapat memilih untuk mempekerjakan Anda karena
mereka hanya ingin seseorang untuk menulis, tidak memberitahu mereka apa yang harus dilakukan dan memaksa
mereka untuk mengungkapkan setiap titik turun dari produk mereka.
Menanamkan Ketakutan Umum dengan Full
Pengungkapan - Err di sisi dari Perhatian?
Anda bekerja untuk sebuah menara kontrol lalu lintas udara dan Anda menemukan kerentanan sistem
di salah satu perangkat lunak yang Anda gunakan untuk melacak planes.This ini sangat besar karena
berpotensi membahayakan banyak nyawa. Apakah etis diterima publik mengungkapkan ini
Informasi di televisi nasional? Kau tahu jenis pengungkapan dapat menanamkan
ketakutan dan kepanikan di masyarakat.
Konservatif ini jenis tertentu dari pengungkapan yang terbaik ditangani secara lebih
pribadi dengan cara antara penemu awal kerentanan dan
vendor. Selama waktu setelah kontak awal dan sampai pengungkapan publik, semua
jalur komunikasi antara vendor, penemu, dan pencetus harus
tetap terbuka dan miskomunikasi confidential.Any selama seluruh
Proses pengungkapan dapat menyebabkan prematur pengungkapan dan publik potensial
panik. Adalah penting bahwa upaya vendor untuk mereproduksi kerentanan
untuk memverifikasi pencetus existence.The yang harus menyediakan vendor
dan koordinator dengan semua informasi yang diperlukan dan reproduksi bantuan
way.This apapun akan menentukan apakah ada sebenarnya kesalahan. Mengungkapkan lalu lintas udara
kerentanan perangkat lunak data tanpa benar-benar mengkonfirmasikan kelemahan sistem
adalah jenis yang sama sekali unethical.This kerentanan harus ditangani
cara ini tanpa pengungkapan publik.
www.syngress.com
90 Bab 3 • Kerentanan Pengungkapan
Liberal Masyarakat memiliki hak untuk mengetahui apakah sistem kontrol lalu lintas udara
untuk pesawat terbang dan bandara merupakan tdk berlaku atau defective.This adalah kasus di mana
pengungkapan publik dapat menyelamatkan nyawa dan informasi harus dipublikasikan
segera setelah diketahui.
RINGKASAN
Penerbitan informasi segera setelah diketahui tidak selalu baik
Ide. Cara terbaik adalah untuk menghubungi vendor dan melakukan tes yang diperlukan untuk
memvalidasi bahwa memang ada kerentanan yang valid. Setelah Anda menemukan ada
adalah kerentanan yang akurat itu adalah pilihan etis Anda untuk menentukan apakah
Anda merasa Anda memiliki kewajiban etis untuk memperingatkan masyarakat umum dari udara
kontrol lalu lintas masalah atau menangani masalah ini secara lebih rahasia
cara.
Writers Exposing System Weaknesses –
Should You Disclose All Information?
You are writing a white paper for a new operating system. It is common to mention
strengths and weaknesses in a white paper, but only to a certain degree.The
operating system you are writing about has a serious security weakness. Is it your
duty to insist on revealing this important information in the white paper or
through some other means of communication?
Conservative Overall system integrity is critical when selling a new
product, especially an operating system. Insist that some sort of warning go
into the white paper and corresponding system documentation.Without
this, the company will be putting themselves at risk for any system damages
incurred because of the operating system. Explain the importance of this to
senior management.They will appreciate that you brought this matter to
their attention.
First, similar to other forms of discloser mentioned, you should always
notify the vendor before any public disclosure is made. Do not expose the
information outside of the vendor. Conduct this contact in such a way as to
confirm that the vendor has received the notification. If you feel you cannot
communicate directly to the vendor about system vulnerabilities, use a
third-party coordinator who will assist in facilitating the communications
discoverer and the vendor.
Liberal It is certainly not your place as a writer to require inclusion of certain
system vulnerability information in the white paper you will receive payment
to produce.This is especially true if the information has the potential to
be detrimental to the sales of the product. Mind your own business and do
www.syngress.com
Vulnerability Disclosure • Chapter 3 89
the job they hired you to do. Leave the facts and the problems up to
management.
SUMMARY
Determining whether it is your duty as a writer to warn your readers of
system problems is a choice you must make. Are you ethically entitled to
the duty to warn? The benefit of warning your readers is they will know
you are thorough in your research and trustworthy, which in turn
improves your reputation as a writer. The down side of providing such
warnings is that some companies may not choose to hire you because
they simply want someone to write, not tell them what to do and force
them to reveal every down point of their product.
Instilling Public Fear with Full
Disclosures – Err on the Side of Caution?
You work for an air traffic control tower and you discover a system vulnerability
in one of the software tools you use to track planes.This is really big because it
potentially endangers many lives. Is it ethically acceptable to publicly disclose this
information on national television? You know this type of disclosure may instill
fear and panic in the public.
Conservative This particular type of disclosure is best handled in a more
private manner between the initial discoverer of the vulnerability and the
vendor. During the time after initial contact and until public disclosure, all
communication lines between the vendor, discoverer, and originator should
be kept open and confidential.Any miscommunication during the entire
disclosure process could lead to premature disclosure and potential public
panic. It is important that the vendor attempt to reproduce the vulnerability
in order to verify its existence.The originator should provide the vendor
and coordinator with all the necessary information and aid reproduction in
any way.This will determine if there is in fact an error. Disclosing air traffic
software vulnerability data without absolutely confirming the system weakness
is completely unethical.This type of vulnerability must be handled in
this manner without public disclosure.
www.syngress.com
90 Chapter 3 • Vulnerability Disclosure
Liberal The public has the right to know if the air traffic control system
for airplanes and an airport is inoperative or defective.This is a case where
public disclosure may save lives and the information must be published
immediately upon discovery.
SUMMARY
Publishing information immediately upon discovery is not always a good
idea. It is best to contact the vendor and perform the necessary tests to
validate that there is in fact a valid vulnerability. Once you discover there
is an accurate vulnerability it is your ethical choice to determine whether
you feel you have the ethical duty to warn the general public of the air
traffic control problem or handle the matter in a more confidential
manner.
terjemahan vullnerability disclosure by security
Kerentanan Pengungkapan oleh Security
Perusahaan riset - Haruskah Mereka Katakan?
Dengan frekuensi yang lebih besar, perusahaan riset keamanan menerima kritik untuk mengungkapkan
kerentanan untuk tujuan tunggal menghasilkan coverage.The pers yang menguntungkan
liputan media sebuah perusahaan keamanan menerima mungkin berarti pendapatan substansial dalam
bentuk kontrak pelanggan baru atau yang lebih besar. Karena itu, masyarakat mulai
mempertanyakan motivasi sebenarnya di balik beberapa penelitian kerentanan dan pengungkapan
organisasi. Dalam beberapa kasus, pengungkapan kerentanan oleh perusahaan keamanan
www.syngress.com
Kerentanan Pengungkapan • Bab 3 87
adalah hasil dari stress testing intens kemungkinan products.The dari kerentanan
datang ke kehidupan di luar lingkungan laboratorium palsu diproduksi kecil, jika
tidak mustahil. Haruskah pengungkapan kerentanan ditemukan di laboratorium di bawah
kondisi yang tidak biasa seperti stress testing intensif dibuat tersedia bagi
publik?
Penemuan mempublikasikan konservatif kerentanan hanya membantu hacker
dan tidak perilaku etis. Jika Anda menerapkan hak jenis tekanan untuk hampir
setiap produk vendor, Anda akan menemukan kelemahan. Ancaman yang sebenarnya adalah tujuan
dari pengungkapan penuh, bukan "bagaimana jika" scenarios.This juga lingkungan
di mana perusahaan keamanan dapat memilih pada vendor tertentu dengan stress testing hanya
Hasil products.The mereka ilmiah tidak cukup meyakinkan untuk mendukung
mempublikasikan stress test kecuali itu dilakukan oleh badan yang berimbang tentang ahli yang
tidak ada keuntungan dari penerbitan hasil tersebut.
Liberal Mengungkapkan semua data tentang sistem penggunaan publik adalah alat yang efektif
terhadap serangan berbahaya. Berdasarkan data klien menentukan apakah
kelemahan sistem akan pernah terjadi di lingkungan produksi mereka.
Publikasi kerentanan sistem di bawah lingkungan stress test adalah aset
kepada komunitas TI.
RINGKASAN
Tergantung pada jenis stress test, ketidaktepatan sistem periklanan
kerentanan mungkin terjadi dan tidak perlu menodai reputasi
produk tertentu atau solusi vendor, sehingga membuat jenis informasi
akurat pengungkapan. Namun, semakin banyak informasi sistem
administrator memiliki mereka miliki semakin baik mereka dapat melindungi informasi
sistem yang bertanggung jawab mereka.
Etis Kewajiban untuk Peringatkan
Seseorang atau bisnis memiliki "kewajiban untuk mengingatkan" jika pemanfaatan produk mereka dapat
menyebabkan kerusakan pada kewajiban pertama bisnis user.A 'adalah untuk merancang ulang produk atau
menerapkan patch yang diperlukan untuk menghilangkan bahaya. Jika untuk beberapa alasan yang tidak bisa
terjadi, orang atau bisnis harus menyediakan cara lain untuk melindungi pengguna
dari bahaya yang terkait dengan produk mereka. Jika masalah masih ada, mereka
www.syngress.com
88 Bab 3 • Kerentanan Pengungkapan
cukup harus memperingatkan pengguna tentang hal itu. Jika bug atau kerentanan terbuka dan
jelas, maka ada kewajiban etis untuk memperingatkan.
Ini berarti bahwa produk dan solusi vendor harus menerapkan beberapa pertimbangan
harapan konsumen dan melakukan tes risiko yang tepat. Sejak produsen
adalah ahli pada produk, gagal untuk memperingatkan kerentanan oleh
karyawan adalah perilaku yang tidak etis.
Bagian ini membahas dua skenario yang berbeda tugas untuk warn.The pertama
pendukung peringatan pendekatan yang lebih konservatif merekomendasikan produk
kelemahan, dan masalah kedua alamat kasus ketika mungkin tidak sesuai
untuk memperingatkan masyarakat dari kelemahan sistem.
Kerentanan Pengungkapan oleh Security
Perusahaan riset - Haruskah Mereka Katakan?
Dengan frekuensi yang lebih besar, perusahaan riset keamanan menerima kritik untuk mengungkapkan
kerentanan untuk tujuan tunggal menghasilkan coverage.The pers yang menguntungkan
liputan media sebuah perusahaan keamanan menerima mungkin berarti pendapatan substansial dalam
bentuk kontrak pelanggan baru atau yang lebih besar. Karena itu, masyarakat mulai
mempertanyakan motivasi sebenarnya di balik beberapa penelitian kerentanan dan pengungkapan
organisasi. Dalam beberapa kasus, pengungkapan kerentanan oleh perusahaan keamanan
www.syngress.com
Kerentanan Pengungkapan • Bab 3 87
adalah hasil dari stress testing intens kemungkinan products.The dari kerentanan
datang ke kehidupan di luar lingkungan laboratorium palsu diproduksi kecil, jika
tidak mustahil. Haruskah pengungkapan kerentanan ditemukan di laboratorium di bawah
kondisi yang tidak biasa seperti stress testing intensif dibuat tersedia bagi
publik?
Penemuan mempublikasikan konservatif kerentanan hanya membantu hacker
dan tidak perilaku etis. Jika Anda menerapkan hak jenis tekanan untuk hampir
setiap produk vendor, Anda akan menemukan kelemahan. Ancaman yang sebenarnya adalah tujuan
dari pengungkapan penuh, bukan "bagaimana jika" scenarios.This juga lingkungan
di mana perusahaan keamanan dapat memilih pada vendor tertentu dengan stress testing hanya
Hasil products.The mereka ilmiah tidak cukup meyakinkan untuk mendukung
mempublikasikan stress test kecuali itu dilakukan oleh badan yang berimbang tentang ahli yang
tidak ada keuntungan dari penerbitan hasil tersebut.
Liberal Mengungkapkan semua data tentang sistem penggunaan publik adalah alat yang efektif
terhadap serangan berbahaya. Berdasarkan data klien menentukan apakah
kelemahan sistem akan pernah terjadi di lingkungan produksi mereka.
Publikasi kerentanan sistem di bawah lingkungan stress test adalah aset
kepada komunitas TI.
RINGKASAN
Tergantung pada jenis stress test, ketidaktepatan sistem periklanan
kerentanan mungkin terjadi dan tidak perlu menodai reputasi
produk tertentu atau solusi vendor, sehingga membuat jenis informasi
akurat pengungkapan. Namun, semakin banyak informasi sistem
administrator memiliki mereka miliki semakin baik mereka dapat melindungi informasi
sistem yang bertanggung jawab mereka.
Etis Kewajiban untuk Peringatkan
Seseorang atau bisnis memiliki "kewajiban untuk mengingatkan" jika pemanfaatan produk mereka dapat
menyebabkan kerusakan pada kewajiban pertama bisnis user.A 'adalah untuk merancang ulang produk atau
menerapkan patch yang diperlukan untuk menghilangkan bahaya. Jika untuk beberapa alasan yang tidak bisa
terjadi, orang atau bisnis harus menyediakan cara lain untuk melindungi pengguna
dari bahaya yang terkait dengan produk mereka. Jika masalah masih ada, mereka
www.syngress.com
88 Bab 3 • Kerentanan Pengungkapan
cukup harus memperingatkan pengguna tentang hal itu. Jika bug atau kerentanan terbuka dan
jelas, maka ada kewajiban etis untuk memperingatkan.
Ini berarti bahwa produk dan solusi vendor harus menerapkan beberapa pertimbangan
harapan konsumen dan melakukan tes risiko yang tepat. Sejak produsen
adalah ahli pada produk, gagal untuk memperingatkan kerentanan oleh
karyawan adalah perilaku yang tidak etis.
Bagian ini membahas dua skenario yang berbeda tugas untuk warn.The pertama
pendukung peringatan pendekatan yang lebih konservatif merekomendasikan produk
kelemahan, dan masalah kedua alamat kasus ketika mungkin tidak sesuai
untuk memperingatkan masyarakat dari kelemahan sistem.
Langganan:
Postingan (Atom)