Етичний хакінг та кіберпрофесіонали, що захищають наші мережі

Oleksii.Lishchuk

Загальновідомо, що наші комп'ютерні системи мають недоліки та вразливі місця — це неминучий побічний ефект невпинного розвитку інформаційних технологій.

Проблема полягає в тому, що наші особисті файли та системи, які керують нашим світом, потребують конфіденційності та безпеки.

Існують постійні перегони між кіберзлочинцями, які зламують системи з недобрими намірами, та фахівцями з кібербезпеки, які етично зламують ті самі системи. Гонитва за тим, щоб або використати, або виправити виявлені вразливості.

Етичне хакерство 

Етичне хакерство — це процес проникнення в комп'ютерну мережу організації з офіційного дозволу з метою виявлення вразливостей та впровадження превентивних, коригувальних і захисних заходів, аби запобігти фактичному порушенню безпеки системи.

Етичне хакерство зазвичай здійснюють досвідчені фахівці з кібербезпеки, яких безпосередньо наймають організації.

Компанії, що наймають етичних хакерів, надають їм дозвіл на проникнення у свої мережі, системи та програмні додатки з метою виявлення вразливостей на підставі відповідних юридичних угод. Такий вид роботи називається «тестуванням на проникнення». Метою тестування на проникнення є імітація атаки на системи компанії з метою запобігання реальній атаці, яка може завдати шкоди компанії та іншим зацікавленим сторонам.

Етичний хакінг ретельно планується. Угода між компанією та «білим хакером» (розмовна назва етичного хакера) повинна детально описувати обсяг робіт, терміни виконання та конкретні програми та мережі, що підлягають тестуванню. Усі дії з етичного хакінгу мають бути ретельно задокументовані, а вразливі місця, які можна використати, мають бути вказані у докладних звітах.

Що робить етичний хакер?

Методи, які використовують етичні хакери, такі ж самі, як і методи, які використовують «чорні хакери» (кіберзлочинці), що намагаються проникнути в мережу або систему організації ззовні.

Коли етичний хакер розпочинає завдання з тестування на проникнення, він присвячує час розвідці, спостереженню та ознайомленню з середовищем, в якому перебуває система.

Етичний хакер намагатиметься вгадати імена користувачів, паролі та схему електронної пошти, побачити, на що схожа звичайна поведінка в офісі, побачити, які програми та системи встановлені, і з'ясувати, який тип трафіку проходить через мережу.

Отримавши уявлення про те, як працює система, хакер зможе краще зрозуміти, де можуть бути вразливі місця і які вектори атаки є найбільш вірогідними.

Інші завдання, які виконує етичний хакер:

• Вивчення інсталяцій патчів.
• Сканування портів за допомогою таких інструментів, як Nmap, Nessus або Wireshark.
• Ухилення від алгоритмів виявлення вторгнень.
• Соціальна інженерія кінцевих користувачів з метою маніпулювання ними для розголошення конфіденційної інформації та/або надання доступу до місць з обмеженим доступом.

Соціальна інженерія

Люди, які працюють в організації, часто є найслабшою ланкою в системі її безпеки.

Фішингові атаки є поширеною технікою соціальної інженерії, і, попри постійне навчання та підвищення обізнаності, вони все ще залишаються дуже результативними. Списовий фішинг - це цілеспрямована фішингова атака на конкретну особу, бажано з підвищеними привілеями доступу в організації, наприклад, на керівника або когось з ІТ-відділу.

Переконати людину розкрити інформацію по телефону, назвавшись співробітником ІТ-відділу, також є ефективним інструментом соціальної інженерії.

Етичні хакери намагатимуться стати знайомим обличчям для членів організації, витративши час на налагодження контактів. Це може окупитися несподіваним чином. Етичний хакер може використати своє знайомство, щоб маніпулювати кимось, щоб отримати доступ до зон з обмеженим доступом, наприклад, попросивши людину притримати зачинені двері, через які вона щойно пройшла.

Винагороди за виявлення помилок

Хоча більшість доброчесних хакерів наймаються безпосередньо організаціями, деякі з них можуть працювати як фрілансери, і отримувати винагороду за виправлення помилок.

Баг-баунті - це фінансова винагорода, яку організації пропонують незалежним фахівцям з безпеки, які можуть виявити та розкрити баги, щоб потім повідомити про них організації.

Винагороди за пошук багів пропонують хакерам-фрілансерам можливість отримати прибуток від своєї етичної хакерської діяльності. Винагороди можуть бути досить істотними, залежно від їхньої значимості.

У лютому 2022 року Джей Фріман, більш відомий під хакер ським псевдонімом saurik, заробив 2 мільйони доларів США у вигляді баг-баунти після того, як знайшов фатальну вразливість в Optimism, рішенні другого рівня Ethereum.

Наразі Ethereum Foundation пропонує винагороду в розмірі 250 000 доларів США кожному, хто знайде помилки в протоколі, клієнті та Solidity, що впливають на блокчейн Ethereum та пов'язані з ним смарт-контракти в його програмному забезпеченні.

Правила гри

Для білого хакера, який виконує завдання з тестування на проникнення, правила будуть докладно викладені в юридичній угоді. Очікується, що вони не завдадуть жодної шкоди мережі або організації і не залишать незворотних змін у мережі.

Чорні хакери не зобов'язані дотримуватися таких правил.

Але етичне хакерство може мати сірі зони, особливо для позаштатного білого хакера, який працює без конкретної юридичної угоди з організацією.

Якщо виявлено вразливість, як далеко слід зайти, щоб визначити масштаби потенційного використання?

Якщо стався витік бази даних скомпрометованих паролів, чи потрібно перевіряти будь-який з них? Чи варто їх тестувати на декількох сайтах?

Чи можна відповідально порушувати кордони?

Кар'єрні перспективи в білому хакерстві

На початку розвитку Інтернету деякі постачальники програмного забезпечення пропонували роботу людям, які повідомляли їм про баги.

HD Moore, творець повсюдно розповсюдженого хакерського інструменту Metasploit, розповідає, як Microsoft намагалася найняти його на роботу - частково для того, щоб він припинив повідомляти про сотні вразливостей «нульового дня» в Internet Explorer. Ви можете послухати його та багато інших правдивих історій на Darknet Diaries, подкасті про хакерів та кіберзлочинність.

Хоча пропозиції про роботу, можливо, не так легко знайти, як на початку розвитку Інтернету, можливостей для доброчесних хакерів все ще багато, і вони не обмежуються завданнями з тестування на проникнення.

Етичним хакером може вважатися людина, яка працює адміністратором сайту, аудитором, співробітником служби безпеки або будь-ким, хто виконує роботу, пов'язану з підтримкою цілісності мережевої інфраструктури організації.

Поширені назви посад, пов'язаних з етичним хакінгом, включають

• Аналітик з безпеки
• Консультант з безпеки
• Аналітик з аналізу вразливостей
• Тестувальник на проникнення
• Інженер з кібербезпеки

Отримання сертифікації з етичного хакінгу

Шлях до сертифікованого білого хакера є унікальним для кожної людини.

Багато моральних хакерів починають зі ступеня в галузі комп'ютерних наук. Пізніше отримання сертифікатів може зміцнити прикладні знання фахівця з безпеки та зробити його більш цінним кандидатом на роботу з етичного хакінгу.

CompTIA Security+ вважається одним з перших сертифікатів безпеки, який необхідно отримати, щоб закласти фундамент знань у сфері кібербезпеки.

Сертифікат Ради ЄС з етичного хакінгу дає змогу опанувати знання вищого рівня. Сертифікаційні іспити проводяться різними навчальними закладами, які пропонують курси з етичного хакінгу, що включають навчання та іспит.

Розвиток комп'ютерних систем й мереж продовжуватиметься в осяжному майбутньому. А отже, нові вразливості будуть існувати завжди. На щастя, навчання і поява все більш кваліфікованих білих хакерів відбувається швидкими темпами. Перегони тривають.

Рекомендовані продукти

Swift Go 16 Переглянути	Aspire Lite Переглянути