Hva er etisk hacking og hvordan fungerer det?

Ordet "hacking" gir vanligvis assosiasjoner til cyberkriminelle som angriper datasystemer, nettverk og applikasjoner, med ondsinnede handlinger som datatyveri og sabotasje mot kritiske operasjoner i tankene.

Men selv om internett kan være plaget av ondsinnede aktører, finnes det også de som bruker hackingferdighetene sine til noe godt. Etiske hackere identifiserer og rapporterer sikkerhetsbrister til bedrifter og organisasjoner (som netthandelsfirmaer og -byråer), slik at de kan utbedres.

Hva er etisk hacking?

Begrepet etisk hacking refererer vanligvis til bruk av hackingteknikker for å utforske, identifisere og rapportere sårbarheter i cybersikkerheten - med andre ord hacking med positive motiver.

Etisk hacking, også kjent som White Hat-hacking, har blitt et profesjonelt yrke, og bedrifter og organisasjoner benytter seg av disse hackernes tjenester for å styrke sin motstandskraft mot faktiske cybertrusler.

Når de er godkjent, utfører etiske hackere målrettede oppgaver, som penetrasjonstester (simuleringer av hacking i den virkelige verden), for å avdekke feil og problemer som kan utnyttes i systemer, nettverk, enheter og applikasjoner, blant annet:

• Eksponering av data
• Injeksjonsangrep
• Feilkonfigurasjoner
• Brudd/overtrådt autentisering 
• og sårbare komponenter

I et kontrollert miljø kan etiske hackere avdekke og vurdere disse svakhetene ved å utføre flere ulike typer hacking, blant annet

• Penetrasjonstesting - fokusert på å bryte seg inn i et selskaps systemer, nettverk og apper
• Systemhacking - få tilgang til en bedrifts individuelle systemer
• Nettverkshacking - skanning av bedriftens nettverkssikkerhet for å avdekke svakheter
• Testing av webapplikasjoner - avdekke eventuelle problemer med selskapets nettsteder og apper
• Intern testing - fokusert på å finne svakheter blant selskapets ansatte/prosesser

Når kundens sikkerhetsanalytiker har lest rapporten fra den etiske hackeren, kan de raskt gå i gang med å utbedre eventuelle feil i sikkerhetssystemet, slik at de kan styrke beskyttelsen av informasjon og verdier som sensitive data, kritisk infrastruktur osv.

Hvordan jobber etiske hackere?

I hackingverdenen finnes det flere ulike typer hackere, men i denne artikkelen skal vi fokusere på White Hats (etiske hackere) og Black Hats (ondsinnede hackere).

I motsetning til Black Hats, som vanligvis opererer uten regler og prinsipper, har White Hats en streng etisk kodeks som må følges for å sikre at handlingene deres forblir nyttige og aldri (med vilje) skadelige.

De er også fullt utdannede fagfolk (mer om det nedenfor) som opererer i det som har blitt et legitimt felt, med spesifikke kvalifikasjoner og referanser som viser deres ulike ferdigheter og forpliktelse til etikk.

Selv om de eksakte etiske retningslinjene som White Hats har vedtatt, kan variere noe avhengig av hvilken person eller gruppe som er ansatt, er retningslinjene for etisk hacking generelt som følger:

• Godkjenning må alltid innhentes først, og det spesifikke omfanget av arbeidet som er avtalt, inkludert testing av systemer og eiendeler, metodikk og tidsrammer for aktiviteter osv.
• Ingen skade må forårsakesWhite Hat-rådgiverens rolle er å tenke og oppføre seg "som" en Black Hat - ikke å påføre skade og kompromittere sensitiv informasjon når en svakhet er funnet.
• Lovens grenser må respekteresDet betyr at White Hats kun bør holde seg til lovlige metoder og teknikker for å utføre arbeidet sitt, og kun omgås/korrespondere med andre White Hats
• Alle funn av utførte arbeider må forbli konfidensielle, hvor all kunnskap som samles inn fra inntrengningstester og vurderinger av systemsikkerhet osv. kun deles med selskapet (arbeidsgiveren) selv
• Alle bevis på hackingaktiviteter må fjernesDet kan potensielt utnyttes av Black Hats i deres egne forsøk på å bryte seg inn i systemer og nettverk.

Hvilke ferdigheter trenger etiske hackere?

Før en White Hat kan søke om et oppdrag innen etisk hacking, må vedkommende først bevise at han eller hun har relevant grunnleggende opplæring og kvalifikasjoner for å forstå og samhandle med datasystemer.

Arbeidsgivere forventer vanligvis en bachelorgrad i informatikk, cybersikkerhet eller informasjonsteknologi, samt kunnskap om programmering/scripting, operativsystemer, nettverk og sikkerhetsverktøy.

White Hats kan også ha tatt en fagspesifikk sertifisering, for eksempel CEH (Certified Ethical Hacker), som tilbys av EC-Council, eller CompTIA Pen Test+, som fokuserer på penetrasjonstesting og sårbarhetsvurdering.

Hva innebærer etisk hacking?

Når en White Hat er kvalifisert og godkjent for et oppdrag, skal arbeidet alltid være strukturert, lovlig og fokusert på å forbedre cybersikkerheten, med klart definerte mål, metoder og tidsplaner.

Her er en oversikt over de seks typiske fasene som inngår i de fleste etiske hackingprosjekter (som i hovedsak er "vennlige" penetrasjonstester som består av simulerte sikkerhetsbrudd), fra planlegging til gjennomføring:

Planlegging og forberedelser

For å kunne skissere et klart omfang av vurderingen og sette mål, må White Hats gjøre grunnarbeidet (noen ganger kjent som "fotavtrykk") for å samle inn grundig informasjon om målsystemet, inkludert datamaskiner, mobile enheter, webapper og servere, nettverksstruktur og potensielle sikkerhetsfeil osv.

Skanning

Før penetrasjonstestene (ofte kalt pen-tester) kan settes i gang, skanner White Hats systemet grundig ved hjelp av ulike metoder og spesialiserte verktøy, som diallere og sweepere, for å avdekke sårbare tjenester, åpne porter og andre svakheter.

Staging av penetrasjonstester

Når researchfasen er fullført, har White Hat-folkene all den informasjonen de trenger for å forstå og vurdere systemets tilgangsvektorer og sette i gang med en rekke angrep. De forsøker nå å hacke systemet og utnytte det med virkelige angrepsmetoder, blant annet

• SQL-injeksjonsangrep - legge inn ondsinnet kode i inndatafelt i apper og på nettsider for å prøve å få tilgang til sensitive data
• DoS-angrep (Denial of Service) - forsøk på å overbelaste servere, apper og andre nettverksressurser med trafikk for å forsøke å ta dem offline
• Skripting på tvers av nettsteder - forsøk på å begrave ondsinnet kode på organisasjonens nettsted, noe som potensielt kan skade intetanende brukere som surfer
• Sosial ingeniørkunst - forsøk på å lure organisasjonens ansatte til å kompromittere nettverkssikkerheten ved hjelp av phishing, lokkemat og andre villedende taktikker

Opprettholde tilgang

Deretter prøver White Hat å teste tilgangsvektorene for å måle hvor langt han kan gå og se om de kan opprettholdes for videre angrep. De kan forsøke å stjele databaser, starte DDoS-angrep (Distributed Denial of Service) eller utnytte systemtilgangen ytterligere.

Rydding av spor

Ingen penetrasjonstest er komplett uten at White Hat sletter alle bevis på sin tilstedeværelse og aktivitet - hvis de ikke gjør det, kan en Black Hat potensielt spore og utnytte de avdekkede systemfeilene. White Hats kritiske oppryddingsprosess inkluderer vanligvis trinn som å gjenopprette det opprinnelige systemoppsettet, reversere HTTP-skall og tømme hurtigbufferen.

Sende inn rapporter

Når alt arbeidet med penetrasjonstesten og vurderingen er fullført, er det på tide at White Hat går gjennom funnene fra det etiske hacket og utarbeider en rapport, som deles digitalt eller muntlig, avhengig av bedriftens instruksjoner.

Rapporten vil inneholde en omfattende analyse som beskriver sårbarhetene som ble utnyttet, informasjonen og ressursene som ble utnyttet, hvordan sikkerhetssystemene ble omgått, det potensielle risikonivået og til slutt White Hats anbefalte løsninger for å styrke selskapets systemsikkerhet.

Hva er fordelene med etisk hacking?

Etisk hacking har blitt et svært nyttig felt innen moderne cybersikkerhet, og hjelper mange bedrifter, organisasjoner og institusjoner med å forsvare sine nettsteder, datasystemer, nettverk og apper mot cyberangrep.

Ved å tenke og oppføre seg som Black Hats - uten å faktisk gjøre skade - kan White Hats avdekke sårbarheter, rapportere funnene sine og spille en viktig rolle i å beskytte kundene sine mot trusler som cybervandalisme, datatyveri og virus som det beryktede løsepengeviruset.

Virkelige cyberbrudd er ikke bare en ulempe for ofrene - de kan føre til kostbare regninger for gjenoppretting, bøter for brudd på datareglene, svekket tillit hos publikum/kunder, til slutt økonomisk ruin og til og med sette et lands kritiske infrastruktur og nasjonale sikkerhet i fare.

Selv om enkelte oppdrag kan ha sine begrensninger, avhengig av de parameterne som er satt, samt tids- og ressursbegrensninger, er det vanskelig å benekte fordelene ved etisk hacking, og mange sertifiserte White Hats gir et betydelig bidrag i verdens pågående kamp mot datakriminalitet.