Séta a vékony vonal a szerszám és a fegyver között
A Metasploit projekt látszólag olyan csoportot hozott létre, amely "hasznos információkkal szolgál a penetrációs tesztelést végző személyeknek, az IDS aláírásának fejlesztésében és a kutatás kihasználásában".
A legújabb verziójuk, a Metasploit Framework 2.0 verziója szerint "fejlett, nyílt forráskódú platform a kizsákmányolható kód fejlesztésére, tesztelésére és használatára".
Bár igaz, hogy a Metasploit-keretrendszerbe épített eszközök és funkcionalitás értékesnek bizonyulhat egy biztonsági audit vagy penetrációs teszter számára a rendszer vagy a hálózat biztonságának ellenőrzéséhez, valószínűleg olyan valóságos vagy több, hogy a script-kiddies és más wannabe hackerek vagy rosszindulatú kódok fejlesztői használhatják ezt az eszközt kifejezett sávként vagy gyors sávként, hogy segítsenek nekik a kizsákmányolók és rosszindulatú programok létrehozásában.
Nem tudok eléggé a Metasploit projektről vagy a fejlesztőkről, akik ezen a segédprogramon dolgoztak, hogy elmondhassák, vajon motivációik tisztaek-e. Úgy tűnik, hogy gyakran a vonal a hálózati biztonság és a hálózati biztonság megszakítása között vékony, és nem számít sok másnak a racionális emberekre, akik azzal vádolják a biztonsági kutatókat vagy adminisztrátorokat, hogy a tisztességes szándékoknál kisebbek. Vannak, akik feltételezik, hogy bárki a hálózati biztonságban is hacker az oldalán, és sokan kérdőjelezik meg az eszközök valódi szándékát, amely kétszeres erőfeszítéseket jelent a forgatókönyvek számára.
Még ha feltételezzük is, hogy céljuk valóban olyan hasznos információ és eszközök rendelkezésre bocsátása, amelyek segítenek a fejlesztési és biztonsági kutatások továbbfejlesztésében, nem változtatja meg azt a tényt, hogy az eszköz letölthető, és nincs mód arra, ellenőrizze, hogy mit csinál a végfelhasználó vele.
A Metasploit Project azt mondja, hogy Metasploit keretrendszerüket olyan drága kereskedelmi termékekkel lehet összehasonlítani, mint az Immunity CANVAS vagy a Core Security Technology Core Impact. Ezek az eszközök ugyanazt vagy hasonló funkcionalitást biztosítják. Az egyik fő oka annak, hogy nem kerültek be a Metasploit-keretrendszer vizsgálatába, a pricetag. Mivel kevesen engedhetik meg maguknak ezeket a csomagokat, kevés kockázatot jelentenek, de ha ugyanazt a hatalmat veszi és szabadon terjeszti, nagyobb aggodalomra ad okot, hogy a rossz emberek rossz okból használják fel.
A Metasploit-keretrendszer hatékony eszköz. Magam is letöltöttem egy példányt, hogy játsszon saját hálózaton a laboratóriumi számítógépeim ellen. Úgy gondolom, hogy a biztonsági rendszergazdák számára a csata során értékesnek bizonyulhat a számítógép és a hálózat biztonságának biztosítása, és győződjön meg róla, hogy védett. De szerintem előfordulhat, hogy új segédeszközöket és rosszindulatú programokat látnak az utcákon, miután a szkript-kiddiesek elkezdenek játszani ezzel az eszközzel, és megtudják, milyen hatalmas lehet fegyver.