Hvad er etisk hacking, og hvordan fungerer det?

Ordet "hacking" fremkalder typisk billeder af cyberkriminelle, der angriber computersystemer, netværk og applikationer med ondsindede gerninger i tankerne som datatyveri og sabotage mod kritiske operationer.

Men selv om internettet kan være plaget af dårlige aktører, er der også dem, der bruger deres hackingfærdigheder til noget godt. Etiske hackere identificerer og rapporterer i modsætning til deres ondsindede modparter sikkerhedsfejl til virksomheder og organisationer (som f.eks. e-handelsfirmaer og -agenturer), så de kan blive rettet.

Hvad er etisk hacking?

Udtrykket etisk hacking henviser normalt til den praksis, hvor man bruger hackingteknikker til at udforske, identificere og rapportere cybersikkerhedssårbarheder - med andre ord hacking med positive motiver.

Etisk hacking, også kendt som White Hat-hacking, er blevet en professionel beskæftigelse, hvor virksomheder og organisationer benytter sig af disse hackere til at styrke deres modstandsdygtighed over for faktiske cybertrusler.

Når de er godkendt, udfører etiske hackere målrettede opgaver, som f.eks. penetrationstests (simuleringer af hacking i den virkelige verden), for at afdække udnyttelige fejl og problemer, der lurer i systemer, netværk, enheder og applikationer, herunder:

• Eksponering af data
• Injektionsangreb
• Fejlkonfigurationer
• Ødelagt/afbrudt autentificering 
• og sårbare komponenter

I et kontrolleret miljø kan etiske hackere udpege og vurdere disse svagheder ved at udføre flere forskellige typer af hackingmetoder, bl.a:

• Penetrationstestning - fokuseret på at bryde ind i en virksomheds systemer, netværk og apps
• Hacking af systemer - at få adgang til en virksomheds individuelle systemer
• Netværkshacking - scanne en virksomheds netværkssikkerhed for svagheder
• Test af webapplikationer - afdække eventuelle problemer med en virksomheds hjemmesider og apps
• Intern testning - fokuseret på at finde svagheder blandt virksomhedens personale/processer

Når kundens sikkerhedsanalytiker har læst den etiske hackers rapport, kan de hurtigt gå i gang med at udbedre eventuelle fejl i deres sikkerhedssystem, så de kan styrke beskyttelsen af information og aktiver som følsomme data og kritisk infrastruktur osv.

Hvordan arbejder etiske hackere?

I hackingverdenen findes der flere forskellige typer hackere, men i denne artikel fokuserer vi på White Hats (etiske hackere) og Black Hats (ondsindede hackere).

I modsætning til Black Hats, som typisk opererer uden regler og principper, har White Hats et strengt etisk kodeks, som skal overholdes for at sikre, at deres handlinger forbliver nyttige og aldrig (med vilje) skadelige.

De er også fuldt uddannede fagfolk (mere om det nedenfor), der arbejder inden for det, der er blevet et legitimt område, med specifikke kvalifikationer og akkreditiver, der viser deres forskellige færdigheder og engagement i etikken.

Mens det nøjagtige etiske kodeks, som White Hats har vedtaget, kan variere lidt afhængigt af den enkelte person eller gruppe, der er ansat, er retningslinjerne for etisk hacking generelt som følger:

• Godkendelse skal altid indhentes førstog det specifikke arbejdsomfang, der er aftalt, herunder test af systemer og aktiver, metodologi og tidsrammer for aktiviteter osv.
• Der må ikke ske nogen skadeda White Hat'ens rolle blot er at tænke og handle "som" en Black Hat - ikke rent faktisk at forvolde skade og kompromittere følsomme oplysninger, når en svaghed er fundet.
• Lovens grænser skal respektereshvilket betyder, at White Hats kun bør holde sig til lovlige metoder og teknikker for at udføre deres arbejde og kun omgås/korrespondere med andre White Hats.
• Alle opdagelser af det udførte arbejde skal forblive fortrolige, hvor al viden indsamlet fra systemsikkerhedstests og -vurderinger osv. kun deles med virksomheden (arbejdsgiveren) selv.
• Alle beviser på hacking-aktiviteter skal fjernes, da det potentielt kan udnyttes af Black Hats i deres egne forsøg på at bryde ind i systemer og netværk.

Hvilke færdigheder har etiske hackere brug for?

Før en White Hat kan søge en etisk hacking-opgave, skal de først demonstrere, at de har den relevante grundlæggende træning og kvalifikationer til at forstå og interagere med computersystemer.

En bachelorgrad i datalogi, cybersikkerhed eller informationsteknologi forventes normalt af arbejdsgivere sammen med viden om programmering/scripting, operativsystemer, netværk og sikkerhedsværktøjer.

White Hats kan også have tilmeldt sig et feltspecifikt certificeringsprogram som CEH (Certified Ethical Hacker), der udbydes af EC-Council, eller CompTIA Pen Test+, der fokuserer på penetrationstest og sårbarhedsvurdering.

Hvad indebærer etisk hacking?

Når en White Hat er kvalificeret og godkendt til at påbegynde en opgave, skal hans arbejde altid være struktureret, lovligt og fokuseret på at forbedre cybersikkerheden med klart definerede mål, metoder og tidsplaner.

Her er en oversigt over de typiske seks faser, der er involveret i de fleste etiske hackingprojekter (som i bund og grund er 'venlige' penetrationstestvurderinger, der består af simulerede sikkerhedsbrud) fra planlægning til afslutning:

Planlægning og forberedelse

For at kunne skitsere et klart omfang af vurderingen og sætte mål, skal White Hats gøre det grundlæggende arbejde (undertiden kendt som "footprinting") for at indsamle dybdegående oplysninger om målsystemet, herunder computere, mobile enheder, webapps og servere, netværksstruktur og potentielle sikkerhedsbrister osv.

Scanning

Før penetrationstestene (ofte kaldet pen-tests) kan gå i gang, scanner White Hats systemet grundigt ved hjælp af forskellige metoder og specialiserede værktøjer, såsom diallers og sweepers, for at afdække sårbare tjenester, åbne porte og andre svagheder.

Penetrationstest i scene

Når researchfasen er afsluttet, er White Hat udstyret med alle de oplysninger, de har brug for til at forstå og vurdere systemets adgangsvektorer og påbegynde en række angreb; de forsøger nu at hacke systemet og udnytte det med angrebsmetoder fra den virkelige verden, herunder:

• Angreb med SQL-injektion - indtaste ondsindet kode i inputfelter på apps og websider for at forsøge at få adgang til følsomme data
• DoS-angreb (denial of service) - forsøger at overbelaste servere, apps og andre netværksressourcer med trafik for at forsøge at tage dem offline
• Scripting på tværs af websteder - forsøger at begrave ondsindet kode på organisationens hjemmeside, som 'potentielt kan' skade intetanende brugere, der surfer.
• Social ingeniørkunst - forsøg på at narre organisationens personale til at kompromittere netværkssikkerheden ved hjælp af phishing, lokkemad og andre vildledende taktikker

Opretholdelse af adgang

Dernæst forsøger White Hat at teste adgangsvektorerne for at måle, hvor langt han kan skubbe dem og se, om de kan opretholdes til yderligere angreb; de kan forsøge at stjæle databaser, starte DDoS-angreb (Distributed Denial of Service) eller udnytte systemadgangen yderligere.

Rydning af spor

Ingen penetrationstest er komplet, uden at White Hat sletter alle beviser på deres tilstedeværelse og aktivitet - hvis de ikke gør det, kan en Black Hat potentielt spore og udnytte de afdækkede systemfejl. White Hats kritiske oprydningsproces omfatter normalt trin som gendannelse af den oprindelige systemopsætning, reversering af HTTP-shells og rydning af deres cache.

Indsendelse af rapporter

Når alt arbejdet med penetrationstesten og vurderingen er afsluttet, er det tid til, at White Hat gennemgår resultaterne af deres etiske hack og udarbejder en rapport, som deles digitalt eller mundtligt, afhængigt af virksomhedens instruktioner.

Rapporten vil indeholde en omfattende analyse, der beskriver de sårbarheder, der blev udnyttet, de oplysninger og aktiver, der var adgang til, hvordan sikkerhedssystemer blev omgået, det potentielle risikoniveau og endelig White Hats anbefalede løsninger til at styrke virksomhedens systemsikkerhed.

Hvad er fordelene ved etisk hacking?

Etisk hacking er blevet et meget nyttigt område inden for moderne cybersikkerhed og hjælper mange virksomheder, organisationer og institutioner med at forsvare deres websites, computersystemer, netværk og apps mod cyberangreb.

Ved at tænke og handle som Black Hats - uden rent faktisk at gøre skade - kan White Hats afdække sårbarheder, rapportere deres fund og spille en vigtig rolle i at beskytte deres kunder mod trusler, herunder cybervandalisme, datatyveri og vira som den berygtede ransomware.

Virkelige cyberbrud er ikke bare en ulempe for ofrene - de kan føre til dyre regninger for genoprettelse, bøder for brud på dataoverholdelse, erosion af offentlighedens/kundernes tillid, eventuel økonomisk ruin og endda bringe et lands kritiske infrastruktur og nationale sikkerhed i fare.

Selv om nogle opgaver kan have deres begrænsninger, afhængigt af de fastsatte parametre samt tids- og ressourcebegrænsninger, er det svært at benægte fordelene ved etisk hacking, og mange certificerede White Hats yder et væsentligt bidrag til verdens løbende kamp mod cyberkriminalitet.