Заход первый, гуманитариям.

Компетенция

Давайте на этот раз проведем параллели с магией.
Боян, но, изначально хакером англоязычные называли любого высококлассного ремесленника задрота. На заре информационной эры термин был уже устаревшим и с готовностью прилип к конкретной сфере, сфере где любой специалист казался среднему обывателю волшебником. Почему-то столяр зарубивший свою жену остается столяром, а вот подросток дважды кликнувший на готовом скрипте — сразу хакер, читай техномаг. Правда специальностей готовящих к техномагии сразу несколько. И от специальности хакера очень меняется перечень заклинаний.

Разработчики это саммонеры цифрового мира. Их слуги могут автономно существовать в компьютерных системах, размножатся, преследовать те или иные цели. Шпионаж? Кодер напишет вам кейлоггер. Диверсия? Кодер слепит DoS бомбу. Защита? Кодер запустит армию клонов вашего VIP процесса.
Сетевые инженеры — маги врат и дорог. Проникнуть? Перекрыть все входы? Перегрузить магистрали? К ним.
Наконец системщики это архитекторы/инженеры. Отстроить большие стены, заминировать фундамент, укрепить оборону — это их задачи.
Отдельной когортой стоят электронщики. С т.з. информационных систем это межпланарные силы ;) Одна только беда, им нужен физический доступ и на этом моменте обычно вторгается грубая реальность в виде мордоворота в униформе.

Учтите что хорошого уровня компетенции в любой из этих сфер недостаточно. Вы будете просто хорошим программистом/инженером. Хакер обычно рождается из сплава ультра-спеца в одной сфере с хорошим уровнем знаний в другой. Плюс кое-какие нишевые знания.

Я почти физически ощущаю гневные взгляды жаждущих конкретики. Поверьте, углубляясь фрактально мы лучше увидим общую картину. Давайте сперва сделаем шкалу павер-левела, обратно пропорциональную реализмуЪ, и танцуя от нее мы сможем многое разложить по полкам.

Шкала illotum-a

4: Скучные нерды

Если буде возникнет желание играть по реальному(tm) миру, хакеров лучше оставить в роли НПЦ. На самом деле существует довольно большие коллекции эксплойтов-отмычек, позволяющие добиться желаемого за пару команд (см. Metasploit) но к сожалению годятся они лишь против систем устаревших и/или криво настроенных. Большинство современных нашумевших атак являются результатом труда сплоченной и хорошо финансируемой команды специалистов, часто многомесячного.
Если считать от противного, хакерские задачи на этом уровне не менее чем сложны, 3(FATE)/-6 (GURPS), временные периоды стартуют с пары дней или недели. Обязательно давайте скидку сложности/времени на повторные задачи. Имея опыт, электронные схемы, инструменты, время можно сократить в несколько раз, понизить сложность на пару единиц. Впрочем игромеханики обычно имеют для этого инструментарий.
Теоретически, одиночке доступны задачи любого уровня, но для действительно маштабных — заражение сети червями, махинации банковскими счетами, проникновение в сколько-нибуть защищенную сеть — необходима инсайдерская помощь или инфа о незакрытой уязвимости.

3: Важное звено

Окей, мы желаем сделать хакера полезным членом команды. Уменьшите временные и ресурсные затраты! Вместо покупки уязвимости на черном рынке за тысячи баксов, дайте ему щедрых друзей. Вместо заказа с ибея полусотни электронных деталей, разрешите купить все в ближайшем hobby store. Вместо копаний в деталях имплементации конкретного сетевого стека, разрешите просто вспомнить нужную информацию.
Теперь да, электронщик слепит вам флешку-троян за сутки, и написанный программистом за ночь червь повесит CCTV сервера в указанный час (перед этим сетевик должен будет разведать на каком софте те сервера работают). Это все еще экстра сложно. Хакер, все еще, уникальный на весь мир эксперт. Не понижайте сложность, не разрешайте хакнуть магнитный замок с телефона!

2: Границы возможного

Чтобы игра оставалась правдободобной, но хакеры были центральным элементом истории, стоит дать им в руки немножко волшебства: понизить базовую сложность, например 2(FATE)/-4(GURPS), возможно еще чуть сократить ресурсозатраты. Теперь каждый инженер — хакер. А уж эксперты. Экспертам можно позволить задачи которые сейчас считаются исключительно сложными (но все еще в рамках возможного). Существует научная статья о возможности подслушивания с помощью микрофона мобильника жертвы. Были примеры колоссальных ботнетов, способных уложить в отказ даже крупные веб-фермы. Существовал червь Loki, сетевой трафик который практически невозможно было словить. Распределенные вычисления позволяют проводить сложнейшие расчеты на коллекции компьютерного хлама. Есть военные разработки по глушению мобильной связи, беспроводном снятии сигнала с клавиатуры или ЭЛТ монитора.

1: Пароль Рыба-меч

Все помнят эту смешную сцену из фильма, с тарахтеньем по клаве во время миньета? Само тарахтенье это та еще магия, а уж во время процесса убивающего все когерентное мышление… Зато так веселее! Мы на высоком даже для Голливуда уровне. Написать за часок червь это не только возможно, но и легко. Найти уязвимость это задача не для Лаборатории Касперского, а для одиночки ковбоя. Хакерские задачи не сложнее обычных, профессиональных, 1(FATE)/0(GURPS). Время минимальное. Рамки реализма резиновее некуда. Спец может хакнуть атакующий дрон во время схватки, вскрыть электронный замок с помощью забойной отвертки, играть в гонки на информационной магистрали и взламывать импланты.

Игромеханика, базовый взгляд

Неспециалисту будет сложно навскидку определить что для киберпреступника обычная задача, а что уникальная. Придумать rule of thumb не так то просто, но попытаемся. Вот вам тезис 1: степень сложности прямо пропорциональна уровню защиты.

Продолжая, самое настоящее правило по оценке угроз для безопасников:
Угроза = Риск * Ценность * Урон.

Тезис 2: чем больше риск нанесения большого урона, более ценной системе — тем лучше построена защита против такого риска.

Смотрите-ка, становится прозрачнее (GURPS, реалистичные уровни),

• атака на канал связи банкомат-банк: банкомат публично доступен (-2 за риск), имеет доступ к транзакциям самого банка (-4 за ценность), но транзакционная система имеет функцию отката (-1 за урон).
• физически изьять деньги: банкомат все еще публично доступен (-2 за риск) и хранит довольно немалую сумму (-3 за ценность), но урон понесет лишь банк, не клиенты, а физические банкноты несложно отследить (-1 за урон).
• вскрыть базу данных ФБР:-4, -5, -4.
• повесить жучок на телефонную линию директора компании, т.е. взломать систему защиты телефонного оператора:-3, -3, -6.
• взломать имплант-музу/персональный лаптоп:-1, -2, -1 или -1, -5, -2 за рабочий лаптоп президента

Проводите параллели, пользуйтесь здравым смыслом, упрощайте модификаторы на кинематографичных уровнях. Помните об межпланарных силах, давайте плюс за физический доступ. И не забывайте правильно определять вектор атаки: снять деньги с чужого счета это атака на транзакционную систему, вырезать пилою кассеты с банкнотами это атака на сам банкомат, создать фальшпанель и снимать деньги с карточек легитимных пользователей — атака на клиента банка.

В системах полегче просто составьте список из 5-6 вопросов (Это нанесет урон репутации? Это нарушит бизнес процессы компании? Посторонние могут заметить и поднять тревогу? и т.д.) и меняйте сложность согласно ответам.

К слову, если вы будете играть по 90-х или раньше, смело понижайте сложности. Это была эпоха первооткрытый в IT и инженеры психологически не были готовы к тому что их творения надо защищать.

Дальше

Совсем другое дело эту сложность обьяснить.

В следующем посте мы проведем технологический ликбез и очертим рамки возможного. Придумаем альтернативную, не столь контр-интуитивную шкалу сложностей. Разберемся с техножаргоном (который я в этой статье довольно свободно использовал) и будем все так же, между прочим, разбрасываться примерами реальных задач.

И наконец в четвертом я планирую пользуясь свежевыученной терминологией набросать топологии настоящих систем и показать популярные векторы атак.

UPD. Вполне вероятно что я мог пропустить вещи мне кажущиеся очевидными или разжевывать то что кажется очевидным вам. Комментарии к вашим услугам.