Cos'è l'hacking etico e come funziona?

La parola "hacking" evoca tipicamente immagini di criminali informatici che attaccano sistemi, reti e applicazioni informatiche, con in mente azioni malevole come il furto di dati e il sabotaggio di operazioni critiche.

Tuttavia, mentre Internet può essere afflitto da cattivi attori, ci sono anche coloro che usano le loro abilità di hacker a fin di bene. Gli hacker etici, a differenza delle loro controparti malintenzionate, identificano e segnalano le falle di sicurezza alle aziende e alle organizzazioni (come le aziende di e-commerce e le agenzie) in modo che possano essere risolte.

Che cos'è l'hacking etico?

Il termine ethical hacking si riferisce di solito alla pratica di utilizzare tecniche di hacking per esplorare, identificare e segnalare le vulnerabilità della sicurezza informatica - in altre parole, hacking con motivazioni positive.

Conosciuto anche come White Hat hacking, l'hacking etico è diventato un'occupazione professionale, con aziende e organizzazioni che si avvalgono dei servizi di questi hacker per contribuire a rafforzare la loro resilienza contro le minacce informatiche reali.

Una volta approvati, gli hacker etici svolgono compiti orientati all'obiettivo, come i Penetration Test (simulazioni di hacking di minacce reali), per scoprire falle e problemi sfruttabili che si nascondono all'interno di sistemi, reti, dispositivi e applicazioni, tra cui:

• Esposizione dei dati
• Attacchi di iniezione
• Configurazioni errate
• Autenticazione interrotta/rifiutata 
• e componenti vulnerabili

In un ambiente controllato, gli hacker etici possono individuare e valutare queste debolezze eseguendo diversi tipi di metodi di hacking, tra cui:

• Test di penetrazione - focalizzati sulla violazione dei sistemi, delle reti e delle applicazioni di un'azienda.
• Hackeraggio del sistema - accedere ai singoli sistemi di un'azienda
• Hacking di rete - scansione della sicurezza di rete di un'azienda alla ricerca di punti deboli
• Test delle applicazioni web - scoprire eventuali problemi con i siti web e le applicazioni di un'azienda
• Test interni - si concentra sulla ricerca di punti deboli nel personale/processi dell'azienda

Una volta che l'analista di sicurezza del cliente ha letto il rapporto dell'hacker etico, può mettersi rapidamente al lavoro per correggere le falle elencate all'interno del proprio sistema di sicurezza, consentendo di rafforzare la protezione delle informazioni e delle risorse, come i dati sensibili e le infrastrutture critiche, ecc.

Come lavorano gli hacker etici?

Nel mondo dell'hacking esistono diversi tipi di hacker, ma per questo articolo ci concentreremo sui Cappelli bianchi (hacker etici) e sui Cappelli neri (hacker malintenzionati).

A differenza dei Cappelli neri, che in genere operano senza regole e principi, i Cappelli bianchi hanno un rigoroso Codice etico che deve essere rispettato per garantire che le loro azioni rimangano utili e mai (intenzionalmente) dannose.

Sono anche professionisti pienamente formati (per saperne di più) che operano in quello che è diventato un campo legittimo, con qualifiche e credenziali specifiche per dimostrare le loro varie competenze e il loro impegno nell'etica.

Sebbene l'esatto codice etico adottato dai White Hats possa variare leggermente a seconda dell'individuo o del gruppo impiegato, le linee guida per l'hacking etico sono generalmente le seguenti:

• L'approvazione deve sempre essere ottenuta in primo luogoe l'ambito specifico dei lavori concordati, compresi i test dei sistemi e degli asset, la metodologia e i tempi delle attività, ecc.
• Non deve essere causato alcun dannodato che il ruolo del White Hat è solo quello di pensare e agire "come" un Black Hat, non di infliggere effettivamente danni e compromettere informazioni sensibili una volta trovato un punto debole.
• I confini della legge devono essere rispettatiCiò significa che i Cappelli Bianchi dovrebbero attenersi solo a metodi e tecniche legali per svolgere il loro lavoro, e associarsi/corrispondere solo con altri Cappelli Bianchi.
• Tutte le scoperte sui lavori intrapresi devono rimanere confidenzialiTutte le conoscenze raccolte dai test di penetrazione e dalle valutazioni di sicurezza del sistema, ecc. sono condivise solo con l'azienda (il datore di lavoro)
• Tutte le prove di attività di hacking devono essere eliminate.in quanto potrebbe essere potenzialmente sfruttato dai Black Hat nei loro tentativi di violazione di sistemi e reti.

Quali competenze servono agli hacker etici?

Prima di poter ottenere un incarico di hacking etico, un White Hat deve dimostrare di possedere la formazione e le qualifiche fondamentali per comprendere e interagire con i sistemi informatici.

I datori di lavoro si aspettano solitamente una laurea in informatica, sicurezza informatica o tecnologia dell'informazione, oltre alla conoscenza della programmazione/scrittura, dei sistemi operativi, delle reti e degli strumenti di sicurezza.

I cappelli bianchi possono anche essersi iscritti a un programma di certificazione specifico per il settore, come il CEH (Certified Ethical Hacker), offerto dall'EC-Council, o il CompTIA Pen Test+, che si concentra sui test di penetrazione e sulla valutazione delle vulnerabilità.

Cosa comporta l'hacking etico?

Una volta qualificato e approvato per iniziare un incarico, il lavoro di un White Hat deve sempre rimanere strutturato, legale e focalizzato sul miglioramento della sicurezza informatica, con obiettivi, metodologia e pianificazione chiaramente identificati.

Ecco una ripartizione delle sei fasi tipiche coinvolte nella maggior parte dei progetti di hacking etico (che sono essenzialmente valutazioni di test di penetrazione "amichevoli" che consistono in violazioni della sicurezza simulate), dalla pianificazione al completamento:

Pianificazione e preparazione

Per delineare una chiara portata della valutazione e stabilire gli obiettivi, i White Hats devono svolgere un lavoro di base (talvolta noto come "footprinting") per raccogliere informazioni approfondite sul sistema di destinazione, compresi i computer, i dispositivi mobili, le applicazioni web e i server, la struttura della rete e le potenziali falle di sicurezza, ecc.

Scansione

Prima che i test di penetrazione (comunemente chiamati pen test) possano essere avviati, i White Hats eseguono una scansione approfondita del sistema utilizzando vari metodi e strumenti specializzati, come dialler e sweeper, per scoprire servizi vulnerabili, porte aperte e altri punti deboli.

Staging del test di penetrazione

Completate le fasi di ricerca, il White Hat dispone di tutte le informazioni necessarie per comprendere e valutare i vettori di accesso del sistema e iniziare una serie di attacchi; ora tenta di violare il sistema, sfruttandolo con metodi di attacco reali, tra cui:

• Attacchi di tipo SQL Injection - inserire codice maligno nei campi di input delle app e delle pagine web per cercare di accedere a dati sensibili
• Attacchi DoS (Denial of Service) - tentare di sovraccaricare di traffico server, app e altre risorse di rete per cercare di metterli offline
• Cross-Site Scripting - tentando di nascondere un codice maligno nel sito web dell'organizzazione, che "potrebbe" potenzialmente danneggiare gli ignari utenti che navigano
• Ingegneria sociale - tentare di ingannare il personale dell'organizzazione per compromettere la sicurezza della rete utilizzando phishing, adescamento e altre tattiche ingannevoli

Mantenimento dell'accesso

Successivamente, il White Hat cerca di testare i vettori di accesso per valutare fino a che punto può spingerli e vedere se possono essere mantenuti per ulteriori attacchi; può tentare di rubare database, lanciare attacchi DDoS (Distributed Denial of Service) o sfruttare ulteriormente l'accesso al sistema.

Cancellazione delle tracce

Nessun test di penetrazione è completo senza che il White Hat cancelli tutte le prove della sua presenza e attività: in caso contrario, un Black Hat potrebbe potenzialmente rintracciare e sfruttare le falle del sistema scoperte. Il processo di pulizia critico del White Hat comprende solitamente passaggi come il ripristino della configurazione originale del sistema, l'inversione delle shell HTTP e la cancellazione della cache.

Invio dei rapporti

Una volta completato il lavoro di penetration test e di valutazione, è il momento per il White Hat di esaminare i risultati del suo hack etico e di produrre un rapporto, che sarà condiviso digitalmente o verbalmente, a seconda delle istruzioni dell'azienda.

Il rapporto conterrà un'analisi approfondita che illustrerà le vulnerabilità sfruttate, le informazioni e le risorse a cui si è avuto accesso, il modo in cui i sistemi di sicurezza sono stati elusi, il livello potenziale di rischio e, infine, le soluzioni consigliate dal White Hat per rafforzare la sicurezza del sistema aziendale.

Quali sono i vantaggi dell'hacking etico?

L'hacking etico è diventato un campo molto utile nella sicurezza informatica contemporanea, aiutando molte aziende, organizzazioni e istituzioni a difendere i loro siti web, sistemi informatici, reti e applicazioni dagli attacchi informatici.

Pensando e agendo come i Cappelli Neri - senza fare effettivamente del male - i Cappelli Bianchi possono scoprire le vulnerabilità, segnalare le loro scoperte e svolgere un ruolo essenziale nel salvaguardare i loro clienti da minacce quali il vandalismo informatico, il furto di dati e i virus come il noto ransomware.

Le violazioni informatiche nella vita reale non sono solo un inconveniente per le vittime, ma possono portare a costose spese di ripristino, multe per violazione della conformità dei dati, erosione della fiducia del pubblico/cliente, eventuale rovina finanziaria e persino compromettere le infrastrutture critiche e la sicurezza nazionale di un Paese.

Sebbene alcuni incarichi possano avere dei limiti, a seconda dei parametri stabiliti e dei vincoli di tempo e di risorse, è difficile negare i benefici dell'hacking etico, con molti Cappelli Bianchi certificati che danno un contributo significativo alla lotta mondiale contro il crimine informatico.