Audyt Umysłu Hackera : Narzędzia do skanowania portów

Mówiąc oczywistym, skanery portów to narzędzia napisane głównie w celu wykonywania skanowania portów. Przeciwnik przeprowadzi skanowanie portów, aby wyliczyć usługi sieciowe dostępne na docelowym hoście. Usługi sieciowe zainstalowane na hoście są często szeroko otwarte, bez żadnej formy kontroli dostępu, która by je chroniła – często jest to korzystne dla atakującego, który uzyska dostęp do docelowego hosta. Z tego powodu skaner portów jest jednym z pierwszych narzędzi używanych przez wielu przeciwników do przygotowania się do ataku. Rysunek 4.3 przedstawia wyniki skanowania portów przy użyciu popularnego narzędzia Nmap – używanego przez Trinity w Matrix Reloaded, aby naruszyć systemy sterowania elektrowni!

Chociaż techniki skanowania zaimplementowane przez skanery portów (omówione w sekcji poświęconej technikom w tym rozdziale) często się różnią, wiele publicznie dostępnych skanerów portów ma wspólne zestawy właściwości związanych z jakością samej implementacji, a nie z faktycznie zaimplementowanymi technikami.

Wymagany typowy poziom umiejętności

Chociaż typowy poziom umiejętności wymagany do prostego wykonania wielu publicznie dostępnych skanerów portów jest wyjątkowo niski, często zdarza się, że aby osiągnąć zamierzony wynik za pomocą takiego narzędzia, wymagana jest bardziej dogłębna znajomość technologii sieciowych (szczegółowo opisana w ataku sekcja poświęcona technikom w tym rozdziale).

Dostępność narzędzia ataku

Narzędzia do skanowania portów są szeroko dostępne w wielu witrynach internetowych związanych z bezpieczeństwem informacji. Być może najpopularniejszym ze wszystkich narzędzi do skanowania portów jest Nmap firmy Fyodor, dostępny pod adresem www.insecure.org. Nmap (który pierwotnie zyskał sławę dzięki artykułowi zatytułowanemu „The Art of Scanning” w magazynie Phrack www.phrack.org w 1997 r.) Oferuje teraz kilka funkcji wykraczających poza podstawowy skaner portów. Obejmują one wyliczenie zdalnego systemu operacyjnego możliwości i możliwość próby wyliczenia wersji usług sieciowych

dostępne na celu. Oprócz Nmapa dostępnych jest wiele innych narzędzi do skanowania portów, takich jak Strobe i SuperScan.

Profil przeciwnika

Mimo że narzędzia do skanowania portów są częścią zestawu narzędzi prawie każdego cyberprzestępcy, nie jest możliwe profilowanie osoby na podstawie samego posiadania takiego narzędzia. Zamiast tego musimy przyjrzeć się sposobom wykorzystania takich narzędzi

Agile Leadership : PRZYWRACANIE UMIEJĘTNOŚCI DO PRACY: ZWINNY LIDER JAKO ZWYCIĘZCA

Korzystanie z tej umiejętności może być tak proste, jak wyciągnięcie kartki papieru lub zestawu karteczek samoprzylepnych i zadanie sobie i innym osobom, z którymi pracujesz, listy aktywów. Użyj czterech kategorii, aby pobudzić swoje myślenie – w których kategoriach jesteś „bogaty w aktywa”? Gdzie możesz brakować niektórych zasobów? Zadawaj pytania, które mogą ujawnić te ukryte zasoby, o których istnieniu nawet nie wiedziałeś. Każda z osób w Twojej grupie przyniesie swój własny zestaw aktywów. Czasami są to zasoby, które są naprawdę ich własnymi (na przykład ktoś jest grafikiem), a czasami są zasobami, nad którymi może sprawować kontrolę (w ich szkole jest sprzęt wideo, z którego mogliby skorzystać). Jeśli dobrze się znacie, możecie trochę popchnąć, aby przypomnieć sobie o zasobach, które mogli pominąć – jak na przykładzie członka zespołu zainteresowanego zrównoważonym rozwojem. Pamiętaj jednak, że członkowie Twojej grupy mają autonomię – mogą decydować, czy udostępnić zasób innym. Może są zmęczeni ciągłym pytaniem o zaprojektowanie strony internetowej – lub nie ufają jeszcze grupie na tyle, aby zainwestować w ten sposób swój czas. Zastanawiając się, jakie zasoby ma Twoja sieć, skup się na tym, co możesz rozsądnie oczekiwać, aby kontrolować, co zostało udostępnione. Nie oznacza to, że należy wymienić wszystkie zasoby. Czasami zasób naprawdę nie ma wartości dla sieci: na przykład zbiór wypchanych zwierząt dla grupy projektującej nowy proces biznesowy. Jeśli wydaje się, że wkład ludzi nie trafia w sedno, wróć do swojego pytania ramowego, jeśli je masz (jeśli nie, możesz rozważyć poświęcenie czasu na jego opracowanie). Zasoby powinny mieć jakikolwiek związek z wyzwaniem, nad którym pracujesz – z pytaniem o ramkę – nawet jeśli nie do końca wiesz, jaki jest związek . W razie wątpliwości popełniaj błędy po stronie włączenia. Mimo to po zakończeniu tworzenia spisu możesz odnieść wrażenie, że lista jest dość krótka. Nie panikuj – geniusz sieci polega na tym, że zestaw dostępnych zasobów nie jest statyczny. Każda nowa osoba, która wchodzi do sieci, przynosi ze sobą nowe zasoby. Każdy klucz graniczny w Twojej sieci może pomóc w zidentyfikowaniu innych sieci, które mogą udostępnić potrzebne zasoby. Każdy ostrożny pragmatyk, który wchodzi na pokład, może zdecydować, że w rzeczywistości ufa grupie na tyle, by spieniężyć przysługę, którą ktoś jest im winien. Zadawaj sobie (i innym) pytanie, jakie masz nowe zasoby, którymi możesz się podzielić. Zasoby, z którymi musisz pracować, będą rosły w miarę pracy. Zwinni liderzy pomagają ujawnić potencjał, o istnieniu którego grupa nie wiedziała, koncentrując się na zasobach. Skupiają sieć na tym, co można zrobić, zamiast pogrążać się w jej problemach lub czekać, aż ktoś inny podejmie działania. Nawet jeśli zasoby wydają się niewystarczające, wiedza o tym, czym one są, oznacza, że ​​grupa może zacząć budować z tych cegieł, myśląc kreatywnie o ich wykorzystaniu do tworzenia nowych możliwości.

Lean Customer Development : Czego powinieneś słuchać

Aby jak najlepiej odpowiedzieć na pięć podstawowych pytań dotyczących rozwoju klienta, warto wiedzieć, czego należy słuchać. Oto obiektywne i subiektywne czynniki, które oddzielają potencjalnych klientów od kupujących:

  • Jak klienci zachowują się dzisiaj (co przewiduje, jak będą się zachowywać jutro)
  • Ograniczenia, które wpływają na wybory i działania podejmowane przez klientów
  • Co frustruje lub motywuje klientów
  • W jaki sposób Twoi klienci podejmują decyzje, wydają pieniądze i określają wartość

W przypadku każdego z tych czynników omówimy, jak wpływają one na podejmowanie decyzji i jak uło

Czy wywiady są konieczne?

W przypadku większości firm tak. Wywiady to najszybszy i najtańszy sposób, aby dowiedzieć się więcej o tym, co robią Twoi klienci i z jakimi problemami się borykają. Ale może tak nie być, jeśli masz już klientów, produkt i infrastrukturę do szybkiego publikowania i oceniania zmian. Dan Levy, dyrektor ds. Małych firm w Facebooku, wyjaśnia: „Możemy niezwykle szybko opracować produkt i mamy wystarczający ruch, aby sprawdzić, czy działa w 15 minut, w tym kto go używa i ile. Na podstawie tych informacji możemy iterować ”. Facebook oferuje funkcję promowanych postów, która pozwala reklamodawcom małych firm upewnić się, że post na ich stronie na Facebooku jest bardziej widoczny. Ta funkcja napędza ponad połowę wzrostu liczby nowych reklamodawców. Promowane posty na początku były bardzo potężnym narzędziem… z bardzo wysokim odsetkiem użytkowników. Nie trzeba było rozmawiać z klientami, aby sformułować hipotezę: reklamodawcy w małych firmach mają do wyboru zbyt wiele możliwości i obawiają się popełnienia błędu, więc rezygnują z tego procesu. Levy zaczął od przeniesienia interfejsu kupowania promowanych postów z samodzielnego przepływu pracy do opcji z jednym przyciskiem na stronie klienta na Facebooku. „Wszyscy już wiedzieli, jak stworzyć plik pocztowy – teraz jedyne, co musieli zrobić klienci, to powiedzieć nam, ile pieniędzy chcą wydać. Zredukowaliśmy złożoność z 50 decyzji do jednej. ” Wynik? Nowi reklamodawcy zwiększyli się ponad dwukrotnie w 2013 roku, a 62% z nich zostało pozyskanych za pośrednictwem kanału Promowane posty. Levy dodaje, że iteracja ma kluczowe znaczenie: „Pojedynczy punkt zwrotny nie wystarczył; interfejs nadal nie był wystarczająco poprawny. Zaskakujące było, jak duże postępy poczyniliśmy po uruchomieniu wstępnego rozwiązania. Kontynuowano szereg dodatkowych optymalizacji, które nadal zwiększały skuteczność rozwiązania. Ludzie zauważają transformacyjne zmiany, ale nie zdają sobie sprawy, jak bardzo dzisiejszy dzień optymalizuje, łączy i sumuje ”. Nie uda ci się to za pierwszym razem. Warto o tym pamiętać, gdy kusi Cię pominięcie wywiadów i po prostu zbudowanie czegoś. W przypadku wielu zespołów możesz stworzyć szybką wersję w dzień lub dwa. Ale:

  • Jak długo zajmie Ci uzyskanie tej wersji przed setkami (lub tysiące) klientów?
  • Jak skutecznie możesz zmierzyć, że klienci tego używają tej wersji?
  • Jeśli klienci go nie używają, czy będziesz w stanie dowiedzieć się, dlaczego?
  • Jak długo zajmie zbudowanie następnej wersji?

W tempie Facebooka mogą w ciągu kilku dni przetestować wiele hipotez. To nie jest realistyczne dla większości organizacji. Jednak unieważnienie wielu hipotez poprzez wywiady z klientami w ciągu dni jest możliwe dla każdego zespołu.

Ile Google wie o Tobie : Wyjątkowość i kierowanie behawioralne

Jak dotąd, omówiono niezliczone sposoby, w jakie użytkownicy ujawniają informacje firmom internetowym, albo przez celowe wpisywanie informacji bezpośrednio, albo przez pośrednie działanie przeglądarki i systemu operacyjnego.

Targetowanie behawioralne

Żadna dyskusja na temat ujawniania informacji w Internecie nie byłaby kompletna bez uwzględnienia kierowania behawioralnego, czasami nazywanego profilowaniem użytkownika, które wykorzystuje dane interakcji w sieci do kategoryzowania zainteresowań użytkownika i umożliwienia ukierunkowanej reklamy. Targetowanie behawioralne ma na celu umieszczenie dokładnie odpowiedniej reklamy przed każdym użytkownikiem we właściwym czasie, aby wspierać sprzedaż. Doskonałym przykładem jest Tacoda, która twierdzi, że „pierwsza i największa sieć reklamy ukierunkowanej behawioralnie dociera do ponad 120 milionów ludzi każdego miesiąca”. Wykorzystuje internetowe dane interakcji do profilowania i kategoryzowania użytkowników. Poniżej znajdują się przykładowe profile ze strony internetowej Tacoda wraz z najważniejszymi zainteresowaniami:

* Aktywne gry na konsole dla graczy na PC, gry, fantasy sportowe i online

hazard.

* Entuzjasta samochodów – SUV, kompaktowy samochód osobowy, samochód sportowy, średniej wielkości pasażer, luksusowy pasażer

* Auto Intender-Pickup, używane, średniej wielkości pasażerskie, używane kompaktowe

pasażer, pasażer pełnowymiarowy

* Osoba podejmująca decyzje biznesowe – wiadomości biznesowe, biznesowe, gastronomiczne, biznesowe

strategia, telewizja

* Career Watcher-Careers, nekrologi, zakupy, aktualności, nieruchomości domowe

Łatwo wyobrazić sobie dodatkowe, bardziej wrażliwe kategorie, w tym osoby, które przeżyły raka piersi, zdrowiejące alkoholiki, oszukujące żony przywódców rządowych, działacze polityczni EFF, ofiary AIDS mieszkające w SOHO, nowi rodzice w bazie wojskowej Fort Hood, profesorowie uczelni prowadzący badania w Berkeley i afroamerykańskich pastorów baptystów mieszkających w Południowej Karolinie. Możliwości są nieograniczone, ale jest mało prawdopodobne, aby pojawiały się w materiałach marketingowych witryny internetowej firmy. Biorąc pod uwagę możliwości Google, profile Tacomy prawdopodobnie bledną w porównaniu z tym, co Google mógłby stworzyć. Warto rozważyć tworzenie profili jako wczesny krok w spektrum eksploracji danych związanej z ujawnianiem informacji przez Internet. Każde ujawnienie a user make udostępnia przydatne informacje, które oferują wgląd w życie osobiste i zawodowe tego użytkownika, co pozwala mu na grupowanie go z innymi podobnymi użytkownikami. Nieco dalej w spektrum znajduje się odciski palców, które umożliwiają jednoznaczną identyfikację użytkownika wśród wielu innych podobnych użytkowników. Na przykład łatwiej mogę zostać sprofilowany jako ogólny „profesor uczelni” niż „Greg Conti, adiunkt w West Point”.

Zaufanie w Cyberspace : Dostępność

Dostępność systemu chmurowego ma duże znaczenie dla klienta. Elastyczny, skalowalny i dostosowywalny charakter chmury na żądanie, a także niezwykle duży ruch sieciowy w dostawcy usług internetowych ma wpływ na dostępność. Na dostępność mogą wpływać problemy wewnętrzne, takie jak równoważenie obciążenia, i problemy zewnętrzne, takie jak ataki typu „odmowa usługi”. Glenn Archer, pierwszy asystent sekretarza ds. Polityki i planowania w Australii w Departamencie Finansów i Deregulacji, powiedział, że uważał, iż kwestia dostępności w chmurze jest znaczącą zaletą, ale niedawne przerwy w działaniu Amazon EC2 i Microsoft Azure pokazują, największe nazwiska w biznesie walczą z tym. Dodał również, że naprawdę trudno jest zapewnić tak wysoką dostępność, jak twierdzą CSP. To wyraźnie pokazuje, że słowo CSP (tak jak napisano w SLA) nie można uznać za całkowicie prawdziwe, jeśli chodzi o zdefiniowane metryki. Rozumiemy definicję dostępności z definicji zdefiniowanej w umowie SLA EC2, która stanowi, że dostępność to „Roczny procent czasu sprawności”, gdzie czas sprawności to okres łączności zewnętrznej z wyłączeniem 5-minutowych okresów przestoju konserwacyjnego podczas usługi rok. Podstawę dostępności można pobrać z umowy SLA dostawcy usług CSP. Większość dostawców usług CSP zapewnia gwarancję dostępności w umowie SLA. Należy pamiętać, że ciężar wykrycia naruszenia SLA, jakim jest w tym przypadku spadek dostępności poniżej ustalonej wcześniej liczby, spoczywa na konsumencie. Wymaga to jednak ciągłego monitorowania przez użytkownika.

Ciemna Strona Neta : Małe dawki propagandy wciąż są dla ciebie złe

Niezależnie od tego, czy kierują opinią publiczną, szkoląc armię Pięćdziesięciu Centrów, maskując się jako „prawdziwe” głosy ludu, na krucjatę mającą na celu ujawnienie stronniczych i finansowanych przez Zachód opinii tych, którzy sprzeciwiają się rządowi – czy też wzmacniając szereg charyzmatyczne osobistości internetowe, takie jak Rykow czy Siergiejewa, autorytarne rządy okazały się niezwykle sprawne w kształtowaniu kierunku, jeśli nie zawsze, wyniku najbardziej wrażliwych rozmów online. Oczywiście nie wszystkie te schematy działają. Niektóre internetowe wysiłki propagandowe są nadal niezdarne, jak pokazuje epizod „Unikaj kota”; niektórzy nie mogą całkowicie rozproszyć niezadowolenia społecznego, ponieważ wysiłki związane z przędzeniem pojawiają się za późno lub problem jest tak duży, że żadna propaganda nie może go stłumić. Jednak najwyższy czas wyzbyć się naiwnego przekonania, że ​​internet ułatwia dostrzeżenie prawdy i uniknięcie ingerencji rządu w wiadomości. Fakt, że dyskurs publiczny w erze Internetu stał się zdecentralizowany – umożliwiając każdemu tworzenie i rozpowszechnianie własnych poglądów i opinii prawie bez żadnych kosztów – sam w sobie nie zwiastuje ery przejrzystości i uczciwości. Istniejąca nierównowaga sił między strukturami państwowymi a ich przeciwnikami oznacza, że ​​od początku silniejsza strona – praktycznie we wszystkich przypadkach – państwo jest lepiej przygotowane do wykorzystania tego nowego zdecentralizowanego środowiska. Decentralizacja, jeśli już, stwarza więcej punktów wpływu na dyskurs publiczny, co w pewnych warunkach może ułatwić i taniej wdrożyć pożądane pomysły w rozmowach narodowych. Również tutaj wolne i demokratyczne społeczeństwa nie mają się czym pochwalić. To właśnie kulturze internetowej musimy podziękować za utrzymywanie się wielu niedawnych miejskich mitów, od idei „paneli śmierci” po przekonanie, że zmiany klimatyczne to mistyfikacja. Te skądinąd szalone pomysły utrzymują się nawet przy braku dobrze finansowanego biura propagandowego; dynamika zbiorowych przekonań w warunkach autorytarnych może jeszcze bardziej utrudnić ustalenie prawdy (nie wspominając o zachowaniu). To nie New York Times osoby żyjące w warunkach autorytarnych są punktem odniesienia w porównaniu z tym, co czytają w Internecie; to jest ten oryginalny bastion uczciwego i wyważonego reportażu, gazeta Prawda. W porównaniu z Prawdą (co po rosyjsku oznacza „prawdę”) czy Izwiestija (kolejna wysoce propagandowa gazeta komunistycznego reżimu; jej nazwa oznacza „wiadomości”), prawie wszystko, co kiedykolwiek zostało opublikowane w Internecie – bez względu na to, jak anonimowe czy bluźniercze – wygląda bardziej wiarygodnie. Stary radziecki dowcip mówił najlepiej: „W prawdzie (Prawdzie) nie ma wiadomości, aw wiadomościach (Izwiestija) nie ma prawdy”. Obecnie większość ludzi w krajach autorytarnych działa w środowisku medialnym, w którym jest trochę prawdy i są jakieś wiadomości, ale dokładna równowaga jest niejasna, a błędne oceny są nieuniknione. Nic więc dziwnego, że ankiety nieustannie pokazują, że Rosjanie bardziej ufają temu, co czytają w Internecie, niż temu, co słyszą w telewizji lub czytają w gazetach (i nie tylko Rosjanom – wielu Amerykanów nadal wydaje się wierzyć, że Barack Obama urodził się w Kenii). Historia bardzo dobrze zapoznała ich z metodami propagandy opartej na Prawdzie – i potrzeba trochę wyobraźni i doświadczenia z kulturą internetową, aby zrozumieć, jak takie metody można zastosować w środowisku online. Mit, że Internet w jakiś sposób nie nadaje się do propagandy rządowej, jest tak samo silny wśród jego bezpośrednich odbiorców, jak wśród ich zachodnich sympatyków. Nietrudno dostrzec, co rządy próbują osiągnąć, zalewając blogi i sieci społecznościowe sztucznie zaprojektowaną treścią. W większości przypadków celem jest stworzenie wrażenia, że ​​umiarkowane, prodemokratyczne, prozachodnie stanowiska są mniej popularne wśród „internautów” niż w rzeczywistości, a jednocześnie próbują przekonać więcej „niezdecydowanych” obywateli do swoich spraw. W pewnym momencie zaczynają się pojawiać korzyści skali: obecność płatnych komentatorów może znacznie zwiększyć liczbę prawdziwych zwolenników reżimu, a nowi nawróceni mogą teraz samodzielnie prowadzić prozelityzm, nigdy nie prosząc o swoje pięćdziesiąt centów . Tak więc, wszystko, co rząd musi zrobić, to „zasiać” prorządowy ruch na jakimś wczesnym etapie, wstrzyknąć mu odpowiednią ideologię i punkty do dyskusji oraz być może trochę pieniędzy – i po cichu wycofać się na dalszy plan. Całe podnoszenie ciężarów mogą być wtedy dokonane przez rzeczywistych ideologicznie zaangażowanych zwolenników danego systemu politycznego (których jest niestety mnóstwo, nawet w najbardziej brutalnych reżimach).

Audyt Umysłu Hakera : Wymagany typowy poziom umiejętności

Chociaż można sobie wyobrazić, że może istnieć masowy rooter, który wymaga wysokiego poziomu umiejętności technicznych do obsługi, masowy rooter jest generalnie przeznaczony dla mniej wprawnego przeciwnika, który jest nastawiony na atakowanie niespecyficznych hostów w sieciach publicznych, aby coś naruszyć. hakowanie ze względu na hakowanie ”. Działanie typowego masowego rootera polega po prostu na wprowadzenie sieci docelowej, która ma być zaatakowana (np. 123.0.0.0/8) i wysłanie narzędzia w wesoły sposób.

Dostępność narzędzia ataku

Wiele z istniejących obecnie masowych programów rootujących jest dostępnych w domenie publicznej, ponieważ wiele z nich zostało napisanych w celu umożliwienia adwersarzom o niewielkiej wiedzy technicznej włamanie się do systemów komputerowych, próbując wykorzystać luki (które często są stosunkowo stare) poprzez skanowanie dużych liczb systemów komputerowych w nadziei, że przynajmniej jeden okaże się podatny na ataki. W związku z tym naturą i zamiarem autorów narzędzia jest udostępnienie ich narzędzi w witrynach sieci Web bezpieczeństwa publicznego, aby ich docelowi odbiorcy mogli je pobrać.

Nietechniczne wymagania wstępne dotyczące umiejętności : W kontekście tego typu narzędzia nie ma żadnych warunków wstępnych o znaczeniu.

Profil przeciwnika

Jak wspomniano wcześniej, typowymi typami cyberprzestępców, którzy angażują się w masowe rootowanie, są ci, którzy nie są zainteresowani naruszeniem konkretnego celu, ale raczej narażeniem na atak każdego wrażliwego celu, który przypadkiem wpadnie im na ścieżkę. Ze względu na poziom hałasu generowanego przez masowe korzenie, ich ogólne zastosowanie w wielu kręgach uznawane jest za raczej lekkomyślne, a dzięki wspomnianej wcześniej semantyce endemicznej masowych korzeni, jesteśmy w stanie dokonać dedukcji dotyczące preferencji ryzyka  przeciwników korzystających z takich narzędzi.

Agile Leadership : AKTYWA TO PUNKT POCZĄTKOWY

Jeśli kiedykolwiek uczestniczyłeś w zajęciach lub warsztatach improwizacji, możesz znać zdanie „Przynieś cegłę, nie katedrę”. W improwizacji wyrażenie oznacza, że ​​każda osoba dodaje tylko kilka czynności lub linii, aby posunąć fabułę do przodu – nie muszą kończyć całej „historii”. Dla naszych celów wyrażenie to przypomina nam, że nikt nie musi mieć w pełni ukształtowanej koncepcji nowej możliwości, inicjatywy lub projektu – w rzeczywistości zazwyczaj jest lepiej, gdy nie mamy pełnego pomysłu. Zaczynamy od otwartej postawy, w której każda osoba może powiedzieć: „Oto, co mam – kilka cegieł”. To, co można z nich zbudować, pojawi się, gdy będziemy razem pracować. Możesz mieć wrażenie, że zasoby, które Ty i Twoi koledzy możecie wnieść do wyzwania adaptacyjnego, są po prostu niewystarczające – wydaje się, że w obliczu dużego problemu jest to dość skromny zestaw zasobów. W pewnym sensie jest to prawda – nie masz wszystkiego, czego potrzebujesz (pamiętaj, że na tym polega sama natura wyzwania adaptacyjnego, w przeciwieństwie do technicznego). Jednak drugą stroną tej wady jest potężna prawda: ponieważ pracujesz tylko z tym, co masz, możesz rozpocząć pracę już teraz. Nie potrzebujesz pozwolenia. Nie musisz czekać na dodatkowe fundusze, ludzi lub przepisy. Możesz iść do przodu. Jak zobaczysz, dzieje się coś niemal magicznego, gdy wykorzystujesz dostępne Ci możliwości. Zwinni liderzy rozumieją ten paradoks niedostatku i możliwości i pewnie idą naprzód

Lean Customer Development: Klienci nie wiedzą, czego chcą!

„Zadaniem klienta nie jest wiedzieć, czego chce”. -Steve Jobs

Jak to się dzieje, że klienci tak często nie wiedzą, czego chcą? Istnieje oczywiste napięcie między pragnieniami a potrzebami klientów. Możesz być sceptyczny, że klienci mogą ujawniać rzeczy, o których twórcy produktów (którzy spędzają całe dnie zanurzone w technologii, branży, modelu biznesowym) jeszcze nie wiedzą. „Nasi klienci po prostu nie mają dobrych pomysłów”. Słyszałem to więcej niż jeden raz i skłamałbym, gdybym powiedział, że się nie zgadzam. Większość z nas miała irytujące doświadczenia związane z budowaniem czegoś w oparciu o opinie klientów, ale okazało się, że klient nadal nie jest zadowolony (lub w końcu nie kupił produktu). Po kilku takich zdarzeniach wiele firm dochodzi do wniosku, że klienci są trudni, niestabilni lub nie wiedzą, o czym mówią. Informacje zwrotne wyrażane przez klientów stają się czymś, co należy sumiennie gromadzić, a następnie najczęściej ignorować. Biorąc pod uwagę fakt, że ta książka ma w tytule słowo „klient”, myślę, że możesz się domyślić, jak bardzo się z tym czuję. Nie ignoruj ​​tego, co mówią Twoi klienci. Warto jednak poświęcić trochę czasu na dokładne zbadanie, dlaczego klienci nie są wiarygodni w mówieniu nam, czego chcą i co kupią. I zacznę używać słowa „my”, mówiąc o tym – ponieważ ty i ja podlegamy tym samym ograniczeniom. Nikt nie wie lepiej niż Twój klient, jak to jest żyć w jego świecie.

Ale to nie znaczy, że będzie mógł automatycznie wyrazić swoje doświadczenia słowami.

Klienci wiedzą, jakie ograniczenia kulturowe, czasowe i dotyczące zasobów mają na nich wpływ, ale nie wspominają o nich bez zachęty. Kiedy już przyzwyczaimy się do ograniczeń, przestajemy je kwestionować, a nawet zauważać. Nie przychodzi nam do głowy wspominanie o ograniczeniach, jeśli myślimy o nich po prostu tak, jak jest. Socjologowie nazywają te założenia z góry oczywiste.

Klienci wiedzą, czego próbowali w przeszłości, ale nie zadziałało, ale nie będą pamiętać, aby Ci o tym powiedzieć. Nasze mózgi są nastawione na rzeczy, które wydarzyły się niedawno. Proponując nowe rozwiązania, nie wspominamy o przeszłych niepowodzeniach. Jeśli porzuciliśmy proces lub narzędzie, możemy nie od razu pamiętać, które części tego rozwiązania zadziałały.

Klienci są (przynajmniej w pewnym stopniu) świadomi swoich możliwości i ograniczeń, ale prawdopodobnie nie zgłoszą ich na ochotnika. Znają metody, z którymi czują się komfortowo i które mają dobre intencje, ale straszne konsekwencje. Często nie deklarujemy, że nie radzimy sobie z określonymi umiejętnościami lub procesami.

Klienci biegle posługują się narzędziami i procesami, których używają, ale nie oznacza to, że rozumieją, jak działają.

Biegłość nie wymaga zrozumienia, jak działa narzędzie lub proces. „Żadna wystarczająco zaawansowana technologia jest nie do odróżnienia od magii” – pisze autor science fiction Arthur C. Clarke i nie jest to dalekie od tego, jak większość ludzi postrzega produkty, których używają na co dzień. Fakt, że mogę zadać mojemu iPhone’owi pytanie i uzyskać rozsądną odpowiedź, z pewnością wydaje mi się magiczny. Jako ludzie, którzy tworzą produkty, zanurzamy się w naszych światach. Wiemy, jakie możliwości dają technologia, procesy i automatyzacja. Nasi klienci mogą być za nami 10 lat. Klient jest ekspertem, ale to nie znaczy, że możesz usiąść i słuchać tego, co ma do powiedzenia. Zamiast tego będziesz musiał pokierować nim, aby wykroczył poza odpowiedzi na poziomie powierzchni. Musisz pokierować rozmową i określić oczekiwania, ale także oprzeć się wrażeniom klienta. Aby przezwyciężyć to napięcie, będziesz zadawać pytania, na które nie ma jasnej, dobrej lub złej odpowiedzi. Postawisz swoje pytania tak obiektywnie, jak to możliwe, i poprosisz klienta o osobiste i subiektywne odpowiedzi.

Klienci mogą nie wiedzieć, czego chcą, ale nie mogą ukryć tego, czego potrzebują. Twoim zadaniem jest odkrywanie tych potrzeb. Twoim zadaniem jest poznanie szczegółów, aby móc wywnioskować, dlaczego lub jak poprzednie rozwiązania nie zadziałały. Twoim zadaniem jest sprawić, by poczuł się na tyle komfortowo, aby był z tobą szczery.

Problemem nie jest to, co myślisz, że jest Co to jest koktajl mleczny?

Myślenie o koktajlu mlecznym jako połączeniu lodów, mleka i sztucznych aromatów to myślenie w kategoriach rozwiązania. Nie mówi nic o problemie, który klient próbuje rozwiązać.

Jako ludzie tworzący produkty myślimy o nich z perspektywy korzyści, które tworzymy. Chcemy być najlepsi w swojej kategorii. Jeśli próbujemy sprzedawać koktajle mleczne, możemy myśleć o smakach, konsystencji, wartości odżywczej lub cenie. Clayton Christensen, autor książki The Innovator’s Dilemma i profesor Harvard Business School, opowiada o sieci fast foodów próbującej zwiększyć sprzedaż koktajli mlecznych. Firma przyjrzała się danym sprzedaży i demografii. Poprosili docelowych klientów o opisanie swoich idealnych koktajli mlecznych i starali się spełnić te kryteria. Ale sprzedaż nie drgnęła. Christensen opisuje, co się stało, gdy sieć fast foodów zatrudniła jednego ze swoich badaczy *, aby obrał inne podejście do ustalenia, w jaki sposób mogliby sprzedawać więcej koktajli mlecznych. Badacz odkrył, że 40% koktajli mlecznych było kupowanych z samego rana, przez osoby dojeżdżające do pracy, które kazały im iść. Przeprowadził wywiady z klientami, którzy wyszli z koktajlem mlecznym w ręku, pytając ich, do jakiej pracy go zatrudnili. „Okazało się, że większość z nich kupiła [koktajl mleczny], aby wykonać podobną pracę” – pisze. „Mieli do czynienia z długą, nudną dojazdem do pracy i potrzebowali czegoś, co mogłoby zająć dodatkową rękę i uczynić podróż bardziej interesującą. Nie byli jeszcze głodni, ale wiedzieli, że będą głodni do 10 rano; Chcieli teraz spożyć coś, co powstrzymałoby głód do południa. I napotkali ograniczenia: spieszyli się, nosili ubrania robocze i mieli (co najwyżej) jedną wolną rękę ”. Zapytanie kogoś, do jakiej pracy „zatrudniła” koktajl mleczny, może wydawać się dziwne, ale z powodzeniem zmieniło perspektywę z koncentracji na produkcie na powód, dla którego klient kupił ten produkt. Spojrzenie na problem z perspektywy klienta otwiera nowe możliwości. Istnieje ograniczona liczba opcji, gdy próbujesz przygotować bardziej nadające się do sprzedaży koktajle mleczne, ale o wiele więcej, gdy rozważasz wszystkie sposoby zmniejszenia bólu głodnej, znudzonej osoby jednoręcznej. Możesz rozgałęzić się na koktajle lub koktajle kawowe lub dowolne jedzenie, które można zapakować tak, aby zmieściło się w uchwycie na kubek i było łatwe do zjedzenia jedną ręką. Możesz zaoferować przedpłaconą kartę dla dojeżdżających do pracy, która pozwoliłaby ludziom zapłacić z góry (lock-in) i szybciej przejść przez linię drive-through. Jednocześnie staje się jasne, że pewne rzeczy prawdopodobnie nie zadziałają: stopniowe ulepszenia smaku lub tekstury, obniżenie ceny lub reklamy telewizyjne.

Ile Google wie o Tobie : Nawigacja w obrębie witryny WWW

Nawigacja wewnątrz witryny, będąca podstawą analityki witryny internetowej, obejmuje wzorce przeglądania użytkownika w jednej domenie, w której użytkownik jest łatwo logowany. Taka aktywność ujawnia pożądane cele użytkowników, a powtarzające się przypadki podobnych wzorców przeglądania mogą pomóc danej firmie internetowej jednoznacznie zidentyfikować użytkownika. Rysunek 3-13 przedstawia przykład, w którym użytkownik przegląda sekwencję stron internetowych (od 1 do 7), pozostawiając inne strony bez odwiedzania. Zwykle witryna internetowa zawiera stosunkowo niewielką liczbę stron, ale niezliczone narzędzia internetowe Google i powiązane witryny umożliwiają rejestrowanie i eksplorowanie bardzo złożonych wzorców interakcji.

Nawigacja w obrębie danej witryny internetowej może ujawnić zamierzone cele użytkownika i może pomóc jednoznacznie go zidentyfikować. Poniższa sekwencja z dziennika www.rumint.org miała miejsce 44 razy w ciągu roku. Lokalizacją początkową jest główny plik index.html, a użytkownik kończy, odwiedzając outfile.txt.

/index.html

/feedback.html

/readings.html

/software/rumint/changelog.txt

/software/rumint/developer_notes.txt

/software/rumint/developer_help.txt

/software/rumint/release_notes.txt

/software/rumint/faq.txt

/software/advancedfrequencycounter/outfile.txt

Wielu użytkowników wykazuje unikalne lub przynajmniej nietypowe zachowania nawigacyjne, które jednoznacznie ich identyfikują. Może to być szczególnie prawdziwe, gdy proces jest zautomatyzowany, jak ma to miejsce w przypadku, gdy użytkownik pisze niestandardowe skrypty lub odwiedzający jest zautomatyzowanym skryptem przeglądania, takim jak bot internetowy. Przyjrzyjmy się teraz poniższemu przykładowi, który miał miejsce tylko dwa razy w ciągu roku:

/feedback.html

/feedback.html

/readings.html

/readings.html

/software/rumint/changelog.txt

/software/rumint/changelog.txt

/software/rumint/developer_notes.txt

/software/rumint/developer_notes.txt

/software/rumint/developer_help.txt

/software/rumint/developer_help.txt

/software/rumint/mailinglist.txt

/software/rumint/mailinglist.txt

/software/rumint/release_notes.txt

/software/rumint/release_notes.txt

/software/rumint/faq.txt

/software/rumint/faq.txt

/software/advancedfrequencycounter/outfile.txt

/software/advancedfrequencycounter/outfile.txt

Zwróć uwagę, że odwiedzający ładował każdą stronę dwukrotnie, co jest mało prawdopodobne w przypadku człowieka. Najprawdopodobniej ten gość był źle skonfigurowanym botem internetowym.