هک: سیر تکاملی

«هکر» یکی از کلماتی است که در صنعت امنیت، بیشترین سوءتفاهم‌ها درباره آن وجود دارد و بیش از حد استفاده می‌شود. همه، از اخبار شبانگاهی گرفته تا نویسندگان، هالیوود و سایر رسانه‌ها، دائماً از این واژه استفاده می‌کنند. به دلیل استفاده بیش از حد از این واژه و این واقعیت که تقریباً همیشه با فعالیت‌های مشکوک یا حتی مجرمانه همراه است، عموم مردم به هر کسی که برچسب هکر دارد، به چشم فردی شرور نگاه می‌کنند. هکرها اغلب به عنوان افرادی دیده می‌شوند که در سایه‌ها عمل می‌کنند و در بسیاری از موارد ضد اجتماعی و ضد سیستم هستند. از سوی دیگر، برخی از مردم هکرها را به عنوان فعالان اجتماعی جدیدی پذیرفته‌اند که سیاستمداران، دولت‌ها، شرکت‌های بزرگ و دیگران را به چالش می‌کشند. رویدادهای خبرساز توسط گروه‌هایی با سازماندهی غیرمتمرکز مانند «Anonymous» و «Lizard Squad» به شکل‌گیری تصور عمومی از هکر کمک کرده‌اند.

نکته

اگرچه بسیاری مواضع مختلفی اتخاذ کرده‌اند و نظرات متفاوتی درباره خوب یا بد بودن هکرها دارند، این مجموعه به دنبال قضاوت درباره کسانی که درگیر هک هستند، نیست. برای مثال، گروه‌هایی مانند Anonymous هم حامیان و هم مخالفان خود را دارند؛ ما در این مطالب ممکن است از این گروه نام ببریم، اما صرفاً برای روشن کردن نکات آموزشی. قضاوت درباره چنین گروه‌هایی را به خودتان واگذار می‌کنیم.

پس دقیقاً هکر کیست و چگونه به نقطه امروزی رسیدیم؟ بهترین راه برای پاسخ به این سوال، نگاهی به گذشته و بررسی سیر تکامل اوضاع است.

روزهای اولیه هک

ایده هک و هکرها به اولین مشتاقان تکنولوژی بازمی‌گردد که می‌خواستند درباره فناوری‌های جدید بیاموزند و کنجکاو بودند که چطور کار می‌کنند. آن‌ها همان نوع افرادی بودند که امروزه نه‌تنها علاقه‌مند به تهیه انواع تکنولوژی هستند، بلکه مشتاق یادگیری نحوه سفارشی‌سازی و تغییر آن برای انجام کارهای جدیدی هستند که طراحان اصلی هرگز قصد آن را نداشته‌اند. در روزهای اولیه (پیش از ۱۹۷۰)، این هکرها را می‌شد در حال باز کردن و یادگیری نحوه کارکرد رادیوها و کامپیوترهای اولیه یافت.

با پیشرفت تکنولوژی، این افراد به سمت سیستم‌های پیچیده‌تر و پیشرفته‌ترِ موجود در آن زمان حرکت کردند. با پرش به دهه ۱۹۷۰، می‌بینیم که مین‌فریم‌ها (Mainframes) که در پردیس‌های دانشگاهی و محیط‌های شرکتی حضور داشتند، هدفِ علاقه نسل‌های جدید هکرها شدند. بعدها در دهه ۱۹۸۰، رایانه شخصی (PC) جدیدترین قطعه تکنولوژی بود و هکرها به این محیط نقل مکان کردند. در واقع، دهه ۱۹۸۰ شاهد شروع فعالیت‌های شیطنت‌آمیزتر و بعدها مخرب‌تر هکرها بود؛ و این واقعیت که حملات آن‌ها می‌توانست علیه سیستم‌های بسیار بیشتری استفاده شود (چون افراد بیشتری به PC دسترسی داشتند) به وخامت اوضاع افزود.

در دهه ۱۹۹۰، اینترنت برای عموم قابل دسترس شد و سیستم‌ها به هم متصل شدند؛ در نتیجه، کنجکاوی و خرابکاری می‌توانست به راحتی فراتر از مجموعه‌ای کوچک از سیستم‌ها گسترش یابد و جهانی شود. از سال ۲۰۰۰ به بعد، گوشی‌های هوشمند، تبلت‌ها، بلوتوث و سایر فناوری‌ها به دستگاه‌ها و تکنولوژی‌هایی که هکرها هدف قرار می‌دهند، اضافه شده‌اند. همان‌طور که می‌بینید، با تکامل تکنولوژی، حملات هکرها نیز در پاسخ به آنچه در دسترس است، تکامل می‌یابد.

زمانی که اینترنت در دسترس عموم قرار گرفت، هک و هکرها نیز فاصله چندانی نداشتند. وقتی اولین نسل مرورگرها در اوایل دهه ۱۹۹۰ عرضه شدند، حملات به شکل تغییر چهره وب‌سایت‌ها (Defacement) و سایر انواع خرابکاری‌ها رشد کردند. اولین نفوذها به فضای سایبری منجر به برخی شوخی‌های طنزآمیز یا جالب شد، اما بعدتر حملات تهاجمی‌تری شروع به ظهور کردند. حوادثی مانند هک وب‌سایت‌های فیلم و دولتی از اولین نمونه‌ها بودند. تا اوایل دهه ۲۰۰۰، تغییر چهره وب‌سایت‌ها آنقدر رایج بود که بسیاری از حوادث دیگر گزارش نمی‌شدند.

نکته

عاملی که کار را برای هکرها آسان‌تر می‌کند این است که فناوری‌های اولیه شبکه مانند اینترنت هرگز با هدف امنیت طراحی نشده بودند. هدف اصلی، اشتراک‌گذاری اطلاعات بود.

تحولات جاری

در اوایل دهه ۲۰۰۰، فعالیت‌های مخرب بیشتری به شکل حملات پیشرفته‌تر ظاهر شد. در چند سال اول هزاره جدید، تهاجمی بودن حملات افزایش یافت و بسیاری از حملات با انگیزه‌های مجرمانه انجام می‌شدند. حملات مخربی که رخ داده‌اند شامل موارد زیر هستند (البته موارد بسیار بیشتری وجود دارد):

• حملات انکار سرویس (DoS)
• دستکاری قیمت سهام
• سرقت هویت
• وندالیسم (خرابکاری)
• سرقت کارت اعتباری
• دزدی دریایی (Piracy)
• سرقت خدمات

از جمله عوامل متعددی که به افزایش هک و جرایم سایبری کمک کرده‌اند، حجم اطلاعات منتقل‌شده و وابستگی کلی به اینترنت و دستگاه‌های دیجیتال است. در دهه گذشته، تعداد تراکنش‌های مالی آنلاین افزایش یافته و هدفی وسوسه‌انگیز برای کلاهبرداران ایجاد کرده است. همچنین، باز بودن سیستم‌های دستگاه‌های مدرن مانند گوشی‌های هوشمند و فناوری‌هایی مانند بلوتوث، هک و سرقت اطلاعات را شایع‌تر کرده است. در نهایت، می‌توان به تعداد دستگاه‌های متصل به اینترنت مانند تبلت‌ها و سایر ابزارهایی که افراد به تعداد زیاد حمل می‌کنند، اشاره کرد. هر یک از این دستگاه‌ها توجه مجرمان را با وسوسه سرقت مقادیر بی‌سابقه‌ای از پول، داده و سایر منابع به خود جلب کرده است.

با تصویب قوانین جرایم رایانه‌ای، جذابیت «فخرفروشی» (Bragging rights) برای هک کردن یک وب‌سایت کمتر شد. به نظر می‌رسد فعالیت‌های شوخی‌آمیز کاهش یافته، در حالی که فعالیت‌های مجرمانه واقعی افزایش یافته است. با تجارت آنلاین، مهارت‌ها به سمت بالاترین پیشنهاددهنده رفت و باندهای تبهکار، جرایم سازمان‌یافته و ملت‌های متخاصم از اینترنت به عنوان یک بردار حمله (Attack Vector) استفاده کردند.

اطلاع

به خاطر داشته باشید که بخش قابل توجهی از حملاتی که امروزه رخ می‌دهند را می‌توان به هر دو عامل جرم و شوخی نسبت داد. با این حال، صرف‌نظر از انگیزه زیربنایی حمله، نتیجه نهایی اغلب یکسان است: مالکان سیستم از استفاده از دارایی‌های خود محروم می‌شوند و قانون نقض می‌گردد.

هک: سرگرمی یا فعالیت مجرمانه؟

همان‌طور که پیش‌تر گفته شد، هک به هیچ وجه پدیده جدیدی نیست؛ از دهه ۱۹۶۰ به شکلی وجود داشته است. تنها در بخشی از زمان سپری شده از آن زمان تاکنون، هک به عنوان یک جرم و وضعیتی که نیاز به رسیدگی دارد، نگریسته شده است.

در اینجا نگاهی به برخی هک‌های معروف در طول زمان می‌اندازیم:

• ۱۹۸۸: دانشجوی دانشگاه کرنل، «رابرت تی. موریس جونیور»، چیزی را خلق کرد که به عنوان اولین کرم اینترنتی در نظر گرفته می‌شود. به دلیل اشتباهی در طراحی کرم، این بدافزار با سرعتی فوق‌العاده تکثیر شد و بی‌مهابا منجر به کندی گسترده کل اینترنت گردید.
• ۱۹۹۴: «کوین لی پولسن» با نام مستعار Dark Dante، خطوط تلفن کل ایستگاه رادیویی KIIS-FM در لس‌آنجلس را در اختیار گرفت تا اطمینان حاصل کند که ۱۰۲امین تماس‌گیرنده خواهد بود و برنده یک پورشه ۹۴۴ S2 می‌شود. پولسن این ویژگی متمایز را دارد که اولین کسی است که پس از آزادی از زندان، از استفاده از اینترنت منع شد (هرچند این ممنوعیت برای مدت محدودی بود).
• ۱۹۹۹: «دیوید ال. اسمیت» ویروس Melissa را ایجاد کرد که طراحی شده بود تا خود را به ورودی‌های دفترچه آدرس کاربر ایمیل کند و سپس فایل‌ها را در سیستم آلوده حذف نماید.
• ۲۰۰۱: «یان دی ویت» ویروس Anna Kournikova را نوشت که طراحی شده بود تمام ورودی‌های دفترچه آدرس Outlook کاربر را بخواند و خود را برای هر کدام ایمیل کند.
• ۲۰۰۲: «گری مک‌کینون» به فایل‌های حیاتی حذف شده در شبکه‌های نظامی ایالات متحده متصل شد، از جمله اطلاعات مربوط به سلاح‌ها و سایر سیستم‌ها. او این کار را پس از به خطر انداختن تقریباً ۲۰۰۰ سیستم کامپیوتری در داخل شبکه نظامی آمریکا انجام داد.
• ۲۰۰۴: «آدام باتبیل» به همراه دو دوست، توطئه‌ای برای سرقت اطلاعات کارت اعتباری از فروشگاه‌های زنجیره‌ای Lowe’s چیدند.
• ۲۰۰۵: «کامرون لاکروا» تلفن سلبریتی «پاریس هیلتون» را هک کرد و همچنین در حمله‌ای علیه سایت LexisNexis (یک جمع‌آوری‌کننده سوابق عمومی آنلاین) شرکت کرد که در نهایت منجر به افشای هزاران سابقه شخصی شد.
• ۲۰۰۹: «کریستینا ولادیمیروونا اسوچینسکایا»، یک هکر جوان روسی، در چندین توطئه برای کلاهبرداری از برخی از بزرگترین بانک‌های ایالات متحده و بریتانیا درگیر شد. او از یک اسب تروجان برای حمله و باز کردن هزاران حساب بانکی در Bank of America استفاده کرد که از طریق آن توانست در مجموع حدود ۳ میلیارد دلار اختلاس کند. نکته جالب در این داستان این است که اسوچینسکایا در مقطعی به عنوان «جذاب‌ترین هکر جهان» نامیده شد. من این نکته را ذکر کردم تا نشان دهم که تصویر کلیشه‌ای از یک هکر که در زیرزمین زندگی می‌کند، از نظر اجتماعی ناشی است یا ظاهری بسیار «نرد» (Nerdy) دارد، از بین رفته است. در این مورد، هکر مورد نظر نه‌تنها بسیار ماهر و خطرناک بود، بلکه با کلیشه‌های ظاهری هکرها نیز مطابقت نداشت.
• اواسط دهه ۲۰۰۰: ویروس استاکس‌نت (Stuxnet) در ایران کشف شد و مشخص گردید که به طور خاص برای حمله به سیستم‌های دخیل در تولید اورانیوم طراحی شده است. آنچه این ویروس را منحصر‌به‌فرد می‌کرد این بود که تنها مجموعه بسیار خاصی از سیستم‌ها را هدف قرار می‌داد و هر چیزی را که با این الزامات مطابقت نداشت، نادیده می‌گرفت.
• از سال ۲۰۰۳: گروه هکری Anonymous اهداف متعددی از جمله شبکه‌های دولت محلی، خبرگزاری‌ها و دیگران را مورد حمله قرار داده است. این گروه همچنان فعال است و تا به امروز چندین حمله برجسته دیگر انجام داده است.

مثال‌های قبلی برخی از حوادث برجسته‌تر را نشان می‌دهند، اما در برابر هر خبری که به آگاهی عمومی می‌رسد، بسیاری دیگر هرگز فاش نمی‌شوند. توجه داشته باشید که برای هر حادثه‌ای که علنی می‌شود، تنها تعداد کمی از افرادی که آن‌ها را انجام می‌دهند دستگیر می‌شوند و تعداد کمتری نیز برای جرایم سایبری تحت پیگرد قانونی قرار می‌گیرند. در هر صورت، هک واقعاً یک جرم است و هر کسی که در چنین فعالیت‌هایی شرکت کند، می‌تواند تحت قوانینی که از مکانی به مکان دیگر متفاوت است، تحت پیگرد قرار گیرد. حجم، فرکانس و جدیت حملات تنها افزایش یافته و با تکامل تکنولوژی به این روند ادامه خواهد داد.

در اینجا برخی نمونه‌های کلی از جرایم سایبری آورده شده است:

• سرقت رمزهای عبور و نام‌های کاربری، یا استفاده از آسیب‌پذیری‌ها در یک سیستم برای کسب دسترسی، در دسته سرقت دسترسی و دزدی خدمات و منابعی قرار می‌گیرد که طرف مقابل در حالت عادی به آن‌ها دسترسی نخواهد داشت. در برخی موارد، دزدی اعتبارنامه‌ها (Credentials) حتی بدون استفاده از آن‌ها برای تشکیل جرم سایبری کافی است. در برخی ایالت‌ها حتی اشتراک‌گذاری نام کاربری و رمز عبور با یک دوست یا عضو خانواده جرم محسوب می‌شود.
• نفوذ به شبکه (Network Intrusion) نوعی ورود غیرمجاز دیجیتال است که در آن طرف وارد جایی می‌شود که در حالت عادی اجازه دسترسی به آن را ندارد. دسترسی به هر سیستم یا گروهی از سیستم‌ها که معمولاً به فرد اجازه داده نمی‌شود، نقض حریم شبکه و بنابراین جرم سایبری تلقی می‌شود. در برخی موارد، نفوذ واقعی ممکن است حتی شامل ابزارهای هک نباشد؛ صرفِ عمل ورود به یک حساب مهمان بدون اجازه، ممکن است برای تلقی شدن به عنوان نفوذ کافی باشد.
• مهندسی اجتماعی (Social Engineering) هم ساده‌ترین و هم پیچیده‌ترین شکل هک یا سوءاستفاده از سیستم با هدف قرار دادن ضعیف‌ترین نقطه آن، یعنی عنصر انسانی است. از یک سو، تلاش برای این کار آسان است زیرا انسان اغلب در دسترس‌ترین جزء یک سیستم و ساده‌ترین برای تعامل است. از سوی دیگر، خواندن نشانه‌های کلامی و غیرکلامی برای به دست آوردن اطلاعاتی که ممکن است برای مهاجم مفید باشد، می‌تواند بسیار دشوار باشد.
• ارسال و/یا انتقال مطالب غیرقانونی در دهه گذشته به مشکلی دشوار برای حل و فصل تبدیل شده است. با افزایش استفاده از رسانه‌های اجتماعی و سایر خدمات مرتبط با اینترنت، مطالب غیرقانونی می‌توانند در مدت زمان بسیار کوتاهی از گوشه‌ای از جهان به گوشه‌ای دیگر پخش شوند.
• کلاهبرداری (Fraud) فریب دادن طرف یا طرف‌های دیگر برای استخراج اطلاعات یا دسترسی است که معمولاً برای سود مالی یا ایجاد خسارت انجام می‌شود.
• دزدی نرم‌افزار (Software Piracy) عبارت است از در اختیار داشتن، تکثیر یا توزیع نرم‌افزار برخلاف توافق‌نامه مجوز، یا عمل حذف کپی‌رایت یا سایر مکانیسم‌های اجرای مجوز. باز هم این مسئله با ظهور سرویس‌های اشتراک‌گذاری فایل و سایر مکانیسم‌هایی که برای سهولت اشتراک‌گذاری و توزیع طراحی شده‌اند، به مشکلی عظیم تبدیل شده است؛ در بسیاری از موارد از این سیستم‌ها برای توزیع بدون رضایت مالک سیستم استفاده می‌شود.
• زباله‌گردی (Dumpster Diving) قدیمی‌ترین و ساده‌ترین راه برای جمع‌آوری مطالبی است که دور ریخته شده یا در ظروف غیرایمن یا بدون محافظ رها شده‌اند. اغلب، داده‌های دور ریخته شده می‌توانند برای بازسازی اطلاعات حساس در کنار هم قرار گیرند.
• کد مخرب (Malicious Code) به مواردی مانند ویروس‌ها، کرم‌ها، جاسوس‌افزارها، تبلیغ‌افزارها، روت‌کیت‌ها و سایر انواع بدافزار اشاره دارد. این جرم شامل هر نوع نرم‌افزاری می‌شود که عمداً برای ایجاد ویرانی، تخریب یا اختلال نوشته شده است.
• تخریب یا تغییر غیرمجاز اطلاعات شامل تغییر، از بین بردن یا دستکاری اطلاعات بدون اجازه است.
• اختلاس (Embezzlement) نوعی کلاهبرداری مالی است که شامل سرقت یا تغییر مسیر وجوه در نتیجه نقض یک موقعیت مورد اعتماد است. این جرم با استفاده از ابزارهای دیجیتال مدرن بسیار آسان‌تر شده است.
• دستکاری داده‌ها (Data-diddling) تغییر غیرمجاز اطلاعات برای سرپوش گذاشتن بر فعالیت‌هاست.
• حملات انکار سرویس (DoS) و انکار سرویس توزیع‌شده (DDoS) راه‌هایی برای سربارگذاری منابع یک سیستم هستند تا نتواند خدمات مورد نیاز را به کاربران مجاز ارائه دهد.
• باج‌افزار (Ransomware) کلاس نسبتاً جدیدتری از بدافزار است که برای شکار و رمزنگاری فایل‌ها در سیستم هدف طراحی شده است. پس از یافتن چنین فایل‌هایی، کد داده‌ها را رمزنگاری می‌کند و سپس به قربانی می‌گوید که برای بازپس‌گیری داده‌های خود باید مبلغ مشخصی را بپردازد.

تکامل و رشد هک

همان‌طور که در این مجموعه خواهید دید، حملات و استراتژی‌ها در طول سال‌ها به روش‌هایی که ممکن است از آن‌ها آگاه نباشید، بهبود یافته و تکامل یافته‌اند. مهاجمان دائماً سعی کرده‌اند بازی خود را با تاکتیک‌ها و استراتژی‌های جدید ارتقا دهند که شامل انواع مختلف بدافزار مانند کرم‌ها، هرزنامه‌ها، جاسوس‌افزارها، تبلیغ‌افزارها و حتی روت‌کیت‌ها می‌شود. اگرچه آن‌ها مدت‌هاست می‌دانند چگونه عموم مردم را آزار دهند و عصبانی کنند، اما در سال‌های اخیر با سوءاستفاده از سبک زندگی متصل ما، اختلالات جسورانه‌تری ایجاد کرده‌اند.

هکرها همچنین شروع به درک این موضوع کرده‌اند که می‌توانند از مهارت‌های خود برای تولید پول به روش‌های جالب بسیاری استفاده کنند. به عنوان مثال، مهاجمان از تکنیک‌هایی برای تغییر مسیر مرورگرهای وب به صفحات خاصی استفاده کرده‌اند که برای خودشان درآمد ایجاد می‌کند. مثال دیگر، ارسال‌کننده هرزنامه‌ای است که هزاران و هزاران پیام ایمیل ارسال می‌کند که محصول یا خدماتی را تبلیغ می‌کنند. از آنجا که ارسال ایمیل انبوه هزینه ناچیزی دارد، تنها تعداد کمی خریدار برای کسب سود خوب کافی است.

حوزه‌ای که وارد آن می‌شوید (یا ممکن است قبلاً به عنوان مدیر امنیت یا مهندس در آن کار کنید) حوزه‌ای است که به سرعت تغییر می‌کند. در این زمینه، مهاجم و مدافع در یک مبارزه مداوم برای کسب برتری هستند. از آنجا که مهاجمان بسیار انعطاف‌پذیر و سازگار شده‌اند، شما نیز به عنوان یک هکر قانونمند باید چنین باشید. توانایی شما در تفکر خلاقانه (خارج از چارچوب) به شما کمک می‌کند تا استراتژی‌های جدید و حملات احتمالی را قبل از استفاده علیه خودتان پیش‌بینی کنید.

یادداشت

هر زمان که با تکنولوژی یا موقعیت جدیدی مواجه شدید، همیشه سعی کنید به روش‌های مختلفی فکر کنید که می‌توان از آن موقعیت یا تکنولوژی استفاده کرد. برای مثال فکر کنید که چگونه دستگاهی مانند تبلت یا گوشی هوشمند می‌تواند به روش‌هایی متفاوت از آنچه طراح یا معمار تصور کرده، استفاده شود. همچنین چشم خود را برای ضعف‌ها یا آسیب‌پذیری‌هایی که قابل بهره‌برداری هستند باز نگه دارید. ذهن خود را آموزش دهید تا خارج از هنجار فکر کند و مانند کسی فکر کند که سعی دارد آسیب برساند یا از چیزی قسر در برود. به عنوان یک هکر قانونمند از شما انتظار می‌رود که در این راستا فکر کنید، اما با نیتی خیرخواهانه.

آنچه زندگی شما را به عنوان یک مدیر امنیت امروز حتی سخت‌تر می‌کند این است که مهاجمان ذهنیت گروهی (Pack Mentality) جدیدی اتخاذ کرده‌اند که اقدامات دفاعی و برنامه‌ریزی را بسیار دشوارتر می‌کند. در روزهای اولیه، شخص مهاجم فقط یک نفر بود. امروزه گروه‌هایی مانند Anonymous و LulzSec به طور کاملاً متقاعدکننده‌ای به ما نشان داده‌اند که حمله به صورت گروهی حتی در دنیای سایبری تفاوت ایجاد می‌کند. ذهنیت جمعی یا کندو-مانند، مزایای عظیمی برای مهاجمانی داشته است که قادرند چندین روش را در مدت زمان کوتاهی به کار گیرند تا به نتایج چشمگیری دست یابند. چنین گروه‌ها یا دسته‌هایی قادرند با داشتن طیف وسیعی از اعضا، تنوع یا مجموعه مهارت‌های مکمل و همچنین با فقدان ساختارهای رهبری واضح، اثربخشی خود را افزایش دهند. نگرانی دیگر این است که برخی گروه‌ها می‌توانند به سازمان‌های جنایی یا تروریستی مرتبط باشند.

در این دوره، شما این روش‌ها و آنچه در خط مقدم برای انجام حملات پیچیده و ویرانگر استفاده می‌شود را خواهید آموخت. شما باید آگاه باشید که چگونه این حملات تکامل یافته‌اند، فناوری چگونه نقش ایفا کرده است و قانون چگونه با چشم‌اندازی که روز به روز پیچیده‌تر می‌شود، برخورد می‌کند.

شما همچنین بیشتر درباره انگیزه‌های مهاجمان و طرز فکر آن‌ها خواهید آموخت. این یکی از چالش‌هایی است که به عنوان یک هکر قانونمند خواهید داشت: درک و همدلی با مهاجمان خود. درک انگیزه‌ها می‌تواند در برخی موارد بینش ارزشمندی در مورد اینکه چرا یک حمله خاص انجام شده یا ممکن است علیه یک دارایی انجام شود، ارائه دهد. فعلاً باید به خاطر داشته باشید که یک مهاجم برای انجام جرم به سه چیز نیاز دارد:

1. ابزار (Means): یا توانایی انجام اهداف یا مقاصدشان؛ که در اصل به این معنی است که مهارت‌ها و توانایی‌های مورد نیاز برای تکمیل کار را دارند.
2. انگیزه (Motive): یا دلیلی برای دنبال کردن هدف مورد نظر.
3. فرصت (Opportunity): یا روزنه و ضعفی که برای انجام تهدید در زمانی خاص مورد نیاز است.