Die Werkbank, auf die sich ein Beruf geeinigt hat

Fragt man eine Runde von Sicherheitsleuten, was auf dem Notebook fuer die Pruefung laeuft, laeuft die Antwort schnell zusammen. Kali Linux wird von einer Firma gepflegt, die selbst Sicherheitsarbeit macht, und die mehrere hundert mitgelieferten Werkzeuge sind nach Zweck sortiert statt in ein einziges Menue geschuettet: Netzpruefung, Test von Webanwendungen, Forensik, Funkanalyse. Die interessante Zahl ist nicht die Menge der Werkzeuge. Es ist die Zahl der Stunden, die ein neues Teammitglied vor der ersten echten Aufgabe spart, weil die Umgebung fertig ankommt.

Das Modell ist rollend, die Werkzeugkette folgt also der Quelle, statt ein Jahr lang einzufrieren und dann zu springen. In einer Disziplin, in der eine Bibliothek von letztem Monat das Ergebnis aendert, entscheidet das darueber, ob eine Pruefung das heutige Verhalten eines Dienstes sieht oder das von vor zwei Versionen.

Ein Unterbau, viele Formen

Bei den Formen setzt sich das Projekt von der Zeit ab, in der Sicherheitsarbeit hiess, ein ISO zu brennen. Images fuer virtuelle Maschinen, fuer Container, ein Build fuer das Windows-Subsystem und offizielle Angebote in Cloud-Marktplaetzen sind alle gleichwertig vorhanden, eine Testumgebung ist also Minuten entfernt statt einen Nachmittag. Derselbe Unterbau laeuft auf dem Notebook zum Lernen, auf einem Sprungrechner fuer ein Projekt, oder in einem Container, der nach der Arbeit verschwindet.

Dokumentation und Schulung gehoeren zum Paket und sind kein Nachtrag. Offizielles Material deckt die Werkzeuge und die Wege zu anerkannten Zertifikaten ab, und deshalb ist die Plattform der voreingestellte Ort zum Lernen und zum Arbeiten zugleich. Eine grosse Gemeinde bedeutet, dass die meisten Fehler oeffentlich gemacht und oeffentlich beantwortet wurden.

Professionell heisst beauftragt

Der Zweck ist eng und sollte klar benannt werden: Pruefung innerhalb eines Rahmens, den man bekommen hat, Forschung an Schwachstellen und forensische Untersuchung von Beweisen. Unternehmensgruppen nutzen die Plattform fuer geplante Kontrollen, Forschende reproduzieren und analysieren damit einen Fehler, Ermittelnde gewinnen und deuten damit Spuren. Nichts davon ist dasselbe wie das Richten einer Werkzeugkette auf Infrastruktur, die niemand freigegeben hat.

Die Werkzeuge selbst sind neutral, und das Projekt hat sie immer so eingeordnet. Was Fachleute von Stoerern trennt, sind Papiere und Erlaubnis: ein unterschriebener Rahmen, ein vereinbarter Zeitraum, ein Bericht am Ende. Wer diesen Teil ueberspringt, macht keine Sicherheitsarbeit, egal was auf dem Terminal steht.

Der Ruf von Kali Linux kommt aus Fachlichkeit und Zurueckhaltung: Es gibt die schaerfsten Werkzeuge an Leute, die Regeln folgen, und liefert Faehigkeit und Verantwortung in derselben Schachtel.

Gewohnheiten, die es brauchbar halten

Lernen und Ueben bleiben in virtuellen Maschinen, die man selbst besitzt, oder in Umgebungen, fuer die man eine Erlaubnis hat. Das Pruefsystem bleibt getrennt von dem Rechner, mit dem man lebt. Ein Schnappschuss vor einem Versuch kostet nichts und rettet einen Nachmittag. Die Bedingungen eines Ziels liest man, bevor das erste Paket die Schnittstelle verlaesst, denn Streit ueber den Rahmen beendet Laufbahnen schneller als technische Fehler.

Die Plattform ist ein Werkzeugkasten und keine Identitaet. Wer in dieser Arbeit gut ist, verbringt die meiste Zeit mit Lesen, mit dem Zeichnen von Zusammenhaengen und mit Schreiben, und greift erst zu einem Werkzeug, wenn eine Frage sauber gestellt ist. Die Distribution macht das leichter, weil sie die Einrichtung wegnimmt. Urteilskraft kann sie niemandem abnehmen, und das war auch nie der Anspruch.

Haeufig wirkt eine feste Reihenfolge mehr als ein weiteres Werkzeug. Den Rahmen schriftlich festhalten, die Reihenfolge der Kontrollen bestimmen, jeden Fund mit Zeitstempel notieren. Stehen diese drei Dinge, sinkt die Qualitaet nicht, wenn sich einzelne Werkzeuge aendern. Fehlt die Reihenfolge und waechst nur die Sammlung, wandert die Zeit zwischen denselben Fenstern hin und her. Wer lange dabei ist, haelt deshalb gerade die unscheinbaren Schritte fest.