הליכה על הקו הדק בין כלי נשק
פרויקט Metasploit הוא לכאורה קבוצה נוצר כדי "לספק מידע שימושי לאנשים לבצע בדיקות חדירה, פיתוח IDS חתימה, ולנצל מחקר."
המהדורה האחרונה שלהם, גירסה 2.0 של Metasploit Framework, טוענת שהיא "פלטפורמת קוד פתוח מתקדמת לפיתוח, בדיקה ושימוש בקוד ניצול".
אמנם נכון שהכלים והפונקציונליות שנבנו במסגרת Metasploit עשויים להיות בעלי ערך עבור מבקר אבטחה או בודק חדירה לשימוש באימות האבטחה של מערכת או רשת, אבל זה כנראה נכון או יותר, כך ש אחרים האקרים wannabe או מפתחים של קוד זדוני עלול לשים את הכלי הזה כדי לשמש נתיב מהיר או מסלול מהיר כדי לעזור להם ליצור מנצלים ותוכנות זדוניות.
אני לא ממש יודע מספיק על פרויקט Metasploit או היזמים שעבדו על השירות הזה כדי לומר אם המניעים שלהם היו טהורים. נראה כי לעתים קרובות הקו בין אספקת אבטחה לרשת לבין שבירת אבטחת הרשת הוא אחד דק, וזה לא לוקח הרבה עבור אנשים רציונליים אחרת להאשים חוקרים אבטחה או מנהלי פחות כוונות מכובדות. יש להניח כי כל אדם ברשת הביטחון הוא גם האקר בצד רבים השאלה את הכוונה האמיתית של כלים אשר להכפיל נשק רב עוצמה עבור קובצי script.
גם אם נניח כי המטרה שלהם היא באמת לספק מידע שימושי וכלים כדי לעזור לקדם את הסיבה לפיתוח מחקר אבטחה, זה לא משנה את העובדה כי הכלי זמין עבור כל להוריד ואין שום דרך לחזות או לשלוט מה משתמש הקצה יעשה עם זה.
פרויקט Metasploit אומר כי מסגרת Metasploit שלהם ניתן להשוות עם מוצרים מסחריים יקרים כגון CANVAS של Immunity או Core Security Technology של Core השפעה. כלים אלה מספקים גם פונקציונליות זהה או דומה. אחת הסיבות העיקריות לכך שהם לא הגיעו תחת בדיקה כי המסגרת Metasploit יש את pricetag. מאז כמה יכול להרשות לעצמם את החבילות האלה הם מהווים סיכון קטן, אבל אם אתה לוקח את אותו כוח ולהפיץ אותו באופן חופשי יש חשש גדול כי האנשים הלא נכונים ישתמשו בו מהסיבות הלא נכונות.
Metasploit במסגרת נראה כלי רב עוצמה. הורדתי בעצמי עותק כדי לשחק ברשת שלי נגד המחשבים המעבדה שלי. אני חושב כי עבור מנהלי אבטחה זה עשוי להוכיח ערך במאבק כדי להבטיח את המחשב ואת אבטחת הרשת ולוודא שאתה מוגן. אבל, אני חושב שאנחנו יכולים גם להתחיל לראות מנצלים חדשים ותוכנות זדוניות להכות את הרחובות פעם את התסריטרים, הילדים מתחילים לשחק עם הכלי הזה וללמוד כמה חזק זה יכול להיות כנשק.