«Google hacking» viser til en stadig mer utbredt praksis i undergrunnsmiljøer som går ut på å bruke Google for å avsløre sårbarheter og kilder til følsom informasjon. Fenomenet har utløst flere mottiltak i sikkerhetsmiljøer, blant annet boka Google Hacking for Penetration Testers (tilgjengelig fra flere nettsteder) av Johnny Long. Boka forklarer metodene som blir brukt, og viser hvordan man kan beskytte sitt nettsted.
Et oppdatert verktøy, SiteDigger 2.0 fra McAfee, supplerer boka. SiteDigger tilhører tjenesteavdelingen Foundstone i McAfee, oppkalt etter det opprinnelige firmaet som McAfee kjøpe i fjor høst. Torsdag 5. februar holdes et web seminar om tiltak for å hindre lekkasjer av følsom informasjon fra et nettsted.
SiteDigger bruker selv Google til å avdekke mulige lekkasjer. Hensikten er ikke først å fremst å avsløre teknologisk betingede sikkerhetshull, men heller å avdekke når menneskelig svikt har gjort følsom informasjon offentlig tilgjengelig via et nettsted.
Ifølge McAfee skjer det svært ofte at finansiell informasjon, personopplysninger, passord lister og så videre havner på en nettserver ved en feiltakelse.
SiteDigger skanner ett informasjon på et nettsted via Google, fordelt på sju kategorier etter type feil eller sikkerhetshull: personopplysninger, sikkerhetskopier, konfigurasjonsfeil, feil i oppsett av driftsrutiner, feilmeldinger, offentlig kjente sikkerhetshull og teknologiprofiler. Verktøyet avgir rapport slik at man kan avdekke feil og rette dem. Et effektivt vern fordrer hyppige skanninger. Versjon 2.0 av SiteDigger har seks ganger så mange sjekkpunkter som den første utgaven, og støtter en ordning med automatisk skanning rapportering.
– SiteDigger 2.0 er gratis, presiserer Knut Stadskleiv i McAfee Norge. – Det er en liten del av et forretningsområde hos Foundstone, kalt Strategic Secure Software Services. Dette er et rammeverk av tjenester og opplæring innenfor sårbarhet, sikkerhet og applikasjoner. SiteDigger er ett av flere gratis verktøy som vi tilbyr under den enheten.
Som alle sikkerhetsverktøy av denne typen, kan også SiteDigger misbrukes av uvedkommende. For å hindre dette, krever Google at all bruk registreres hos dem. SiteDigger bruker webtjenestegrensesnittet til Google. Tillatelse til dette gis bare til registrerte brukere av Googles utviklingsprogram innen webtjenester.
Johnny Long, forfatteren av boka nevnt ovenfor, sier til ZDNet at verktøy av typen SiteDigger er påkrevd for å sjekke sikkerheten ved større nettsteder.
Les også:
- [24.05.2005] Vil forby hackersamling
- [05.01.2005] Spionvare-spreder saksøkt og gir seg
- [29.12.2004] Verktøylinje mot "phishing"-angrep
- [28.12.2004] Teknologi mot tsunami
