¿Qué es el hacking ético y cómo funciona?

La palabra "piratería informática" suele evocar imágenes de ciberdelincuentes que atacan sistemas informáticos, redes y aplicaciones, con fines maliciosos como el robo de datos y el sabotaje de operaciones críticas.

Sin embargo, aunque Internet esté plagado de malos actores, también hay quienes utilizan sus habilidades como hackers para hacer el bien. Los hackers éticos, a diferencia de sus homólogos maliciosos, identifican e informan de los fallos de seguridad a empresas y organizaciones (como empresas y agencias de comercio electrónico) para que puedan ser corregidos.

¿Qué es el hacking ético?

El término hacking ético suele referirse a la práctica de utilizar técnicas de hacking para explorar, identificar y denunciar vulnerabilidades de ciberseguridad; en otras palabras, hacking con motivaciones positivas.

También conocido como hacking de sombrero blanco, el hacking ético se ha convertido en una ocupación profesional, y las empresas y organizaciones recurren a los servicios de estos hackers para que les ayuden a reforzar su resistencia frente a las ciberamenazas reales.

Una vez aprobados, los hackers éticos llevan a cabo tareas orientadas a la consecución de objetivos, como las pruebas de penetración (simulaciones de pirateo de amenazas reales), para descubrir fallos y problemas explotables que acechan en sistemas, redes, dispositivos y aplicaciones, entre otros:

• Exposición de datos
• Ataques de inyección
• Desconfiguraciones
• Autenticación fallida 
• y componentes vulnerables

En un entorno controlado, los hackers éticos pueden detectar y evaluar estos puntos débiles llevando a cabo distintos tipos de métodos de pirateo, entre ellos:

• Pruebas de penetración - centrados en vulnerar los sistemas, redes y aplicaciones de una empresa
• Piratería informática - acceder a los sistemas individuales de una empresa
• Pirateo de redes - análisis de la seguridad de la red de una empresa en busca de puntos débiles
• Pruebas de aplicaciones web - descubrir cualquier problema con los sitios web y las aplicaciones de una empresa
• Pruebas internas - centrado en encontrar puntos débiles entre el personal y los procesos de la empresa

Una vez que el analista de seguridad del cliente ha leído el informe del hacker ético, puede ponerse a trabajar rápidamente en la corrección de los fallos enumerados en su sistema de seguridad, lo que le permitirá reforzar la protección de la información y de activos como datos sensibles e infraestructuras críticas, etc.

¿Cómo trabajan los hackers éticos?

En el mundo de la piratería informática existen varios tipos de hackers, pero en este artículo nos centraremos en los Sombreros Blancos (hackers éticos) y los Sombreros Negros (hackers maliciosos).

A diferencia de los Sombreros Negros, que suelen actuar sin normas ni principios, los Sombreros Blancos tienen un estricto Código Ético que deben respetar para garantizar que sus acciones sean útiles y nunca (intencionadamente) perjudiciales.

También son profesionales plenamente capacitados (más adelante se explica este aspecto) que operan en lo que se ha convertido en un campo legítimo, con cualificaciones y credenciales específicas que demuestran sus diversas competencias y su compromiso con la ética.

Aunque el código ético exacto adoptado por los Sombreros Blancos puede variar ligeramente en función del individuo o grupo empleado, las directrices para el pirateo ético son, en general, las siguientes:

• Siempre debe obtenerse primero la aprobacióny el alcance específico de los trabajos acordados, incluidas las pruebas de sistemas y activos, la metodología y los plazos de las actividades, etc.
• No debe causarse ningún dañoDado que el papel del Sombrero Blanco es simplemente pensar y actuar "como" un Sombrero Negro, no infligir daño y comprometer información sensible una vez que se ha encontrado un punto débil.
• Hay que respetar los límites de la leylo que significa que los Sombreros Blancos sólo deben ceñirse a métodos y técnicas legales para llevar a cabo sus trabajos, y asociarse/corresponderse sólo con otros Sombreros Blancos.
• Todos los descubrimientos de los trabajos realizados deben ser confidencialesTodos los conocimientos obtenidos de las pruebas de penetración y evaluaciones de seguridad del sistema, etc., sólo se comparten con la propia empresa (empleador).
• Deben eliminarse todas las pruebas de actividades de piratería informática.ya que podría ser explotada por sombreros negros en sus intentos de violar sistemas y redes.

¿Qué habilidades necesitan los hackers éticos?

Antes de que un sombrero blanco pueda solicitar un encargo de piratería ética, debe demostrar que posee la formación y las cualificaciones fundamentales pertinentes para comprender e interactuar con los sistemas informáticos.

Los empleadores suelen exigir una licenciatura en Informática, Ciberseguridad o Tecnologías de la Información, junto con conocimientos de programación/scripting, sistemas operativos, redes y herramientas de seguridad.

Los sombreros blancos también pueden haberse inscrito en un programa de certificación específico de su campo, como CEH (Certified Ethical Hacker), ofrecido por el EC-Council, o CompTIA Pen Test+, que se centra en las pruebas de penetración y la evaluación de vulnerabilidades.

¿En qué consiste el hacking ético?

Una vez cualificado y aprobado para iniciar una misión, el trabajo de un Sombrero Blanco debe seguir siendo siempre estructurado, legal y centrado en la mejora de la ciberseguridad, con objetivos, metodología y programación claramente identificados.

He aquí un desglose de las seis etapas típicas de la mayoría de los proyectos de hacking ético (que son esencialmente evaluaciones "amistosas" de pruebas de penetración consistentes en violaciones simuladas de la seguridad), desde la planificación hasta la finalización:

Planificación y preparación

Para esbozar un alcance claro de la evaluación y establecer objetivos, los Sombreros Blancos deben realizar el trabajo preliminar (a veces conocido como "footprinting") para recopilar información en profundidad sobre el sistema objetivo, incluidos ordenadores, dispositivos móviles, aplicaciones y servidores web, estructura de la red y posibles fallos de seguridad, etc.

Escaneado

Antes de poner en marcha las pruebas de penetración (comúnmente denominadas pen tests), los Sombreros Blancos escanean a fondo el sistema utilizando diversos métodos y herramientas especializadas, como marcadores y barredores, para descubrir servicios vulnerables, puertos abiertos y otros puntos débiles.

Puesta en escena de la prueba de penetración

Con las etapas de investigación completadas, el Sombrero Blanco está equipado con toda la información que necesita para entender y evaluar los vectores de acceso del sistema y comenzar una variedad de ataques; ahora intentan hackear el sistema, explotándolo con métodos de ataque del mundo real, incluyendo:

• Ataques de inyección SQL - introducir código malicioso en los campos de entrada de aplicaciones y páginas web para intentar acceder a datos confidenciales
• Ataques DoS (denegación de servicio) - intentar sobrecargar servidores, aplicaciones y otros recursos de la red con tráfico para intentar desconectarlos
• Secuencias de comandos en sitios cruzados - intento de introducir código malicioso en el sitio web de la organización, que "podría" perjudicar potencialmente a los usuarios desprevenidos que naveguen por él.
• Ingeniería social - intentar engañar al personal de la organización para que ponga en peligro la seguridad de la red mediante phishing, baiting y otras tácticas engañosas

Mantener el acceso

A continuación, el Sombrero Blanco intenta probar los vectores de acceso para calibrar hasta dónde puede llevarlos y ver si pueden mantenerse para futuros ataques; pueden intentar robar bases de datos, lanzar ataques DDoS (Denegación de Servicio Distribuido) o explotar aún más el acceso al sistema.

Despejar pistas

Ninguna prueba de penetración está completa sin que el Sombrero Blanco borre toda evidencia de su presencia y actividad - si no lo hace, un Sombrero Negro podría potencialmente rastrear y explotar las fallas descubiertas del sistema. El proceso crítico de limpieza del Sombrero Blanco usualmente incluye pasos como restaurar la configuración original del sistema, revertir los shells HTTP y borrar su caché.

Presentación de informes

Con todo el trabajo de la prueba de penetración y la evaluación completa, es hora de que el Sombrero Blanco revise los hallazgos de su hackeo ético y elabore un informe, que se compartirá digitalmente o verbalmente, dependiendo de las instrucciones de la empresa.

El informe incluirá un análisis exhaustivo en el que se describirán las vulnerabilidades explotadas, la información y los activos a los que se accedió, cómo se evitaron los sistemas de seguridad, el nivel potencial de riesgo y, por último, las soluciones recomendadas por White Hat para reforzar la seguridad de los sistemas de la empresa.

¿Cuáles son los beneficios del hacking ético?

El hacking ético se ha convertido en un campo muy beneficioso en la ciberseguridad contemporánea, ayudando a muchas empresas, organizaciones e instituciones a defender sus sitios web, sistemas informáticos, redes y aplicaciones contra los ciberataques.

Pensando y actuando como los Sombreros Negros -sin hacer realmente ningún daño-, los Sombreros Blancos pueden descubrir vulnerabilidades, informar de sus hallazgos y desempeñar un papel esencial en la protección de sus clientes frente a amenazas como el cibervandalismo, el robo de datos y virus como el famoso ransomware.

Las brechas cibernéticas de la vida real no son sólo un inconveniente para las víctimas: pueden dar lugar a costosas facturas de restauración, multas por incumplimiento de la normativa sobre datos, erosión de la confianza del público/clientes, ruina financiera final e incluso comprometer las infraestructuras críticas y la seguridad nacional de un país.

Aunque algunas tareas pueden tener sus limitaciones, dependiendo de los parámetros establecidos y de las restricciones de tiempo y recursos, es difícil negar los beneficios de la piratería ética, ya que muchos Sombreros Blancos certificados contribuyen de forma significativa a la lucha mundial contra la ciberdelincuencia.