Co je etický hacking a jak funguje?

Slovo "hacking" obvykle vyvolává představu kybernetických zločinců, kteří útočí na počítačové systémy, sítě a aplikace a mají na mysli záškodnické činy, jako je krádež dat a sabotáž kritických operací.

I když je internet zamořen zlými hráči, existují i ti, kteří své hackerské schopnosti využívají k dobrým účelům. Etičtí hackeři na rozdíl od svých zlovolných kolegů identifikují a hlásí firmám a organizacím (například firmám a agenturám zabývajícím se elektronickým obchodováním) bezpečnostní chyby, aby je mohly opravit.

Co je to etický hacking?

Termín etický hacking obvykle označuje hackerské techniky, které slouží ke zkoumání, identifikaci a hlášení zranitelností v oblasti kybernetické bezpečnosti - jinými slovy hackerství s pozitivní motivací.

Etický hacking, známý také jako White Hat hacking, se stal profesionálním povoláním a firmy a organizace využívají služeb těchto hackerů, aby jim pomohli posílit odolnost proti aktuálním kybernetickým hrozbám.

Po schválení provádějí etičtí hackeři cíleně zaměřené úkoly, jako jsou penetrační testy (simulace reálných hrozeb), aby odhalili zneužitelné chyby a problémy skrývající se v systémech, sítích, zařízeních a aplikacích, včetně:

• Expozice dat
• Injekční útoky
• Chybné konfigurace
• Porušené/překročené ověřování 
• a zranitelné součásti

V kontrolovaném prostředí mohou etičtí hackeři označit a vyhodnotit tyto slabiny pomocí několika různých typů hackerských metod, včetně:

• Penetrační testování - zaměřené na prolomení systémů, sítí a aplikací společnosti.
• Hackování systému - získání přístupu k jednotlivým systémům společnosti.
• Hackování sítě - skenování zabezpečení sítě společnosti a hledání slabých míst.
• Testování webových aplikací - odhalení případných problémů s webovými stránkami a aplikacemi společnosti.
• Interní testování - zaměřené na vyhledávání slabých míst v personálu/procesech společnosti.

Jakmile si bezpečnostní analytik klienta přečte zprávu etického hackera, může rychle začít pracovat na opravě všech uvedených nedostatků ve svém bezpečnostním systému, což mu umožní posílit ochranu informací a aktiv, jako jsou citlivá data, kritická infrastruktura atd.

Jak pracují etičtí hackeři?

Ve světě hackingu existuje několik různých typů hackerů, ale v tomto článku se zaměříme na bílé klobouky (etické hackery) a černé klobouky (škodlivé hackery).

Na rozdíl od černých klobouků, kteří obvykle pracují bez pravidel a zásad, mají bílé klobouky přísný etický kodex, který musí dodržovat, aby zajistily, že jejich činnost bude užitečná a nikdy nebude (záměrně) škodlivá.

Jsou to také plně vyškolení profesionálové (o tom více níže), kteří pracují v oboru, který se stal legitimním, a mají specifickou kvalifikaci a pověření, které prokazují jejich různé dovednosti a etické zásady.

Přestože se přesný etický kodex přijatý organizací White Hats může mírně lišit v závislosti na jednotlivci nebo skupině, která jej používá, zásady pro etické hackování jsou obecně následující:

• Vždy je třeba nejprve získat souhlasa konkrétní rozsah dohodnutých prací, včetně testování systému a majetku, metodiky a časového rámce činností atd.
• Nesmí být způsobena žádná škodavzhledem k tomu, že úkolem bílého klobouku je pouze myslet a jednat "jako" černý klobouk - nikoliv skutečně způsobit škodu a ohrozit citlivé informace, jakmile je nalezena slabina.
• Je třeba dodržovat zákonné meze., což znamená, že bílé klobouky by se měly při své práci držet pouze legálních metod a technik a stýkat se/korespondovat pouze s jinými bílými klobouky.
• Veškerá zjištění o provedených pracích musí zůstat důvěrná, přičemž veškeré poznatky získané z bezpečnostních penetračních testů a hodnocení systému atd. jsou sdíleny pouze se samotnou společností (zaměstnavatelem).
• Všechny důkazy o hackerských aktivitách musí být odstraněny., protože by ji mohli potenciálně zneužít černí klobouci při svých pokusech o narušení systémů a sítí.

Jaké dovednosti potřebují etičtí hackeři?

Než se může "bílý klobouk" ucházet o práci etického hackera, musí nejprve prokázat, že má odpovídající základní vzdělání a kvalifikaci pro porozumění počítačovým systémům a interakci s nimi.

Zaměstnavatelé obvykle očekávají bakalářský titul v oboru informatiky, kybernetické bezpečnosti nebo informačních technologií a znalosti programování/skriptování, operačních systémů, sítí a bezpečnostních nástrojů.

Bílé klobouky se také mohou přihlásit do certifikačního programu pro konkrétní oblast, jako je CEH (Certified Ethical Hacker), který nabízí EC-Council, nebo CompTIA Pen Test+, který se zaměřuje na penetrační testování a hodnocení zranitelností.

Co obnáší etické hackování?

Po získání kvalifikace a schválení zahájení úkolu by práce bílého klobouka měla být vždy strukturovaná, legální a zaměřená na zlepšení kybernetické bezpečnosti s jasně stanovenými cíli, metodikou a harmonogramem.

Zde je rozpis typických šesti fází většiny projektů etického hackingu (což jsou v podstatě "přátelské" penetrační testy sestávající ze simulovaných narušení bezpečnosti) od plánování až po dokončení:

Plánování a příprava

Aby bylo možné stanovit jasný rozsah posouzení a stanovit cíle, musí white hat provést přípravu (někdy známou jako "footprinting") a shromáždit podrobné informace o cílovém systému, včetně počítačů, mobilních zařízení, webových aplikací a serverů, struktury sítě a potenciálních bezpečnostních nedostatků atd.

Skenování

Před zahájením penetračních testů (běžně označovaných jako pen testy) bílé klobouky důkladně prověří systém pomocí různých metod a specializovaných nástrojů, jako jsou například dialery a sweepery, aby odhalily zranitelné služby, otevřené porty a další slabiny.

Etapizace penetračního testu

Po dokončení výzkumných fází má White Hat k dispozici všechny informace, které potřebuje k pochopení a vyhodnocení přístupových vektorů systému a k zahájení různých útoků; nyní se pokusí do systému nabourat a využít jej pomocí reálných metod útoku, včetně:

• Útoky SQL Injection - zadávání škodlivého kódu do vstupních polí v aplikacích a na webových stránkách a pokus o přístup k citlivým údajům.
• Útoky DoS (Denial of Service) - pokusy o přetížení serverů, aplikací a dalších síťových zdrojů provozem s cílem vyřadit je z provozu.
• Cross-Site Scripting - pokus o vložení škodlivého kódu na webové stránky organizace, který by mohl poškodit nic netušící uživatele při prohlížení stránek.
• Sociální inženýrství - pokusy o oklamání pracovníků organizace a narušení bezpečnosti sítě pomocí phishingu, návnad a dalších klamavých taktik.

Zachování přístupu

Dále se White Hat snaží otestovat přístupové vektory, aby zjistil, jak daleko je může posunout a zda je lze udržet pro další útoky; může se pokusit ukrást databáze, spustit útoky DDoS (Distributed Denial of Service) nebo dále zneužít přístup k systému.

Čištění stop

Žádný penetrační test není kompletní, pokud white hat nesmaže všechny důkazy o své přítomnosti a činnosti - pokud tak neučiní, black hat by mohl odhalené chyby v systému vystopovat a využít. Kritický proces čištění, který provádí bílý klobouk, obvykle zahrnuje kroky, jako je obnovení původního nastavení systému, obrácení shellů HTTP a vymazání mezipaměti.

Odesílání zpráv

Po dokončení všech prací a vyhodnocení penetračního testu je čas na to, aby se White Hat seznámil se zjištěními svého etického hackingu a vypracoval zprávu, která bude sdílena digitálně nebo ústně, v závislosti na pokynech společnosti.

Zpráva bude obsahovat rozsáhlou analýzu, ve které budou popsány zneužité zranitelnosti, informace a aktiva, ke kterým byl získán přístup, způsob, jakým byly bezpečnostní systémy obejity, potenciální úroveň rizika a nakonec doporučená řešení společnosti White Hat pro posílení bezpečnosti systému společnosti.

Jaké jsou výhody etického hackingu?

Etický hacking se stal velmi přínosným oborem současné kybernetické bezpečnosti, který pomáhá mnoha podnikům, organizacím a institucím bránit jejich webové stránky, počítačové systémy, sítě a aplikace před kybernetickými útoky.

Tím, že bílí klobouci přemýšlejí a jednají jako černí klobouci - aniž by skutečně způsobili nějakou škodu - mohou odhalit zranitelná místa, ohlásit svá zjištění a hrát zásadní roli při ochraně svých klientů před hrozbami, jako je kybernetický vandalismus, krádeže dat a viry, jako je například známý ransomware.

Skutečná narušení kybernetické bezpečnosti nejsou pro oběti jen nepříjemností - mohou vést k nákladným účtům za obnovu, pokutám za porušení shody s předpisy, narušení důvěry veřejnosti/zákazníků, případnému finančnímu krachu, a dokonce i k ohrožení kritické infrastruktury a národní bezpečnosti.

I když některé úkoly mohou mít svá omezení v závislosti na nastavených parametrech a časových a zdrojových omezeních, je těžké popřít přínosy etického hackingu, protože mnoho certifikovaných bílých klobouků významně přispívá k pokračujícímu boji proti kybernetické kriminalitě.