Cyber Shelf

// Comparaison

A Bug Hunter's Diary vs This Is How They Tell Me the World Ends : lequel lire ?

Deux livres de cybersécurité sur Vulnerability Research, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Intermédiaire
4/52011
A Bug Hunter's Diary

A Guided Tour Through the Wilds of Software Security

Tobias Klein

Tobias Klein parcourt sept vraies vulnérabilités qu'il a trouvées et exploitées, sous forme de notes de lab personnelles : ce qu'il a essayé, ce qui a échoué et ce qui a finalement été expédié aux vendors.

Débutant
4/52021
This Is How They Tell Me the World Ends

The Cyberweapons Arms Race

Nicole Perlroth

L'enquête de Nicole Perlroth sur le marché mondial des zero-days : qui achète, comment, et comment ce marché gris-puis-noir détermine quelles failles sont corrigées et lesquelles sont gardées.

À lire si

Chercheurs de vulnérabilités et aspirants chasseurs de bugs qui veulent sentir à quoi ressemble vraiment la vraie recherche. Le format notes-de-lab de Klein rend l'échec visible, ce que le genre write-up typique cache.
Quiconque doit débattre de divulgation responsable, d'équité de vulnérabilités ou de l'éthique du cyber offensif, avec des enjeux que le débat de politique publique laisse trop souvent abstraits. Prérequis solide pour les conversations de leadership sécurité avec les équipes legal et politique publique.

À éviter si

Lecteurs voulant la chasse aux bugs web/API moderne. Le livre est focalisé binaire (navigateur, kernel, drivers audio) et de 2011 ; pour le workflow bug bounty actuel, lisez Real-World Bug Hunting et Bug Bounty Bootcamp à la place.
Praticiens qui travaillent déjà en vulnerability research ; le livre couvre un terrain qu'ils habitent et qu'ils peuvent trouver parfois forcé. Le ton est journalistique et inconfortable, par construction, plus que mesuré.

Points clés

  • La vraie recherche de vulnérabilités est principalement hypothèse-et-échec ; le format journal de Klein enseigne la résilience que le champ exige.
  • La sélection d'échantillon (quelle cible, quelle feature, quelle classe de bug) est le choix au plus haut levier ; le livre rend cela explicite d'une façon que la plupart des write-ups sautent.
  • Le tradecraft de divulgation (coordination vendor, suivi de patch, écriture d'advisory) fait partie du travail ; les chapitres là-dessus sont le traitement le plus calme en imprimé.
  • Le marché des zero-days est une industrie mature et multi-milliardaire avec brokers, séquestres, clauses d'exclusivité et support après-vente ; il a cessé d'être underground il y a une décennie.
  • La question de l'équité des vulnérabilités (divulguer vs. retenir) est une décision politique qui traverse tous les conseils nationaux de sécurité ; le livre rend ses arbitrages lisibles aux non-spécialistes.
  • L'attribution publique des attaques « sophistiquées » présente la même poignée d'empreintes vendeurs/brokers en supply chain ; le marché est plus petit qu'il n'y paraît.

Comment ils se comparent

A Bug Hunter's Diary et This Is How They Tell Me the World Ends sont tous deux notés 4/5 dans notre catalogue. Choisissez selon vos préférences thématiques et de style, plutôt que sur la note.

A Bug Hunter's Diary vise le niveau intermédiaire. This Is How They Tell Me the World Ends vise le niveau débutant. Lisez le plus accessible d'abord si la thématique ne vous est pas familière.

A Bug Hunter's Diary et This Is How They Tell Me the World Ends couvrent tous les deux Vulnerability Research, Narrative : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

A Bug Hunter's Diary

→ Alternatives à A Bug Hunter's Diary→ Que lire après A Bug Hunter's Diary

This Is How They Tell Me the World Ends

→ Alternatives à This Is How They Tell Me the World Ends→ Que lire après This Is How They Tell Me the World Ends

Thématiques liées

Vulnerability ResearchNarrative