Содержание
- Белая Шляпа Профессионалы
- Нет ошибок, нет стресса - ваше пошаговое руководство по созданию изменяющего жизнь программного обеспечения без разрушения вашей жизни
- Этические хакеры и тестирование на проникновение
- Этические хакеры, социальная инженерия и осведомленность пользователей
- Квалификация для этических хакеров
Источник: Даниил Пешков / Dreamstime.com
вынос:
Этические хакеры выполняют важную работу для работодателей, имитируя атаки и пытаясь понять, как помешать хакерам в черной шляпе.
В мире корпоративных информационных технологий термин «этический хакер» быстро набирает силу. Но что делают эти профессионалы? Как выглядит день в жизни этического хакера?
На самом базовом уровне этические хакеры - это профессионалы, взломавшие корпоративные системы для выявления слабых и уязвимых мест.
«Этические хакеры - это, в сущности, эксперты по ИТ-безопасности, которые используют свои знания для взлома систем, таких как серверы и компьютеры сотрудников, чтобы найти слабые места в безопасности, которую имеет их работодатель», - говорит Райан Джонс, руководитель отдела цифрового маркетинга в Imaginaire Digital. «Затем они составят отчет о найденных слабых местах и посоветуют лучший способ действий».
«Этичный хакер или тестер проникновения - это человек, который тестирует компьютерные устройства и сети в поисках уязвимостей», - добавляет Натан Хаус, генеральный директор и основатель компании по кибербезопасности StationX. «Вместо того, чтобы делать это со злым или преступным умыслом, они делают это, чтобы сообщить об уязвимостях, чтобы они могли быть исправлены». (Чтобы узнать больше о том, что этические хакеры могут сделать для организаций, посмотрите, как ваша организация может извлечь выгоду из этического хакерства.)
Белая Шляпа Профессионалы
Еще один термин для этических хакеров - «белые шляпы». В отличие от хакеров в черной шляпе, хакеры в белой шляпе похожи на вежливых грабителей Интернета - они делают то же, что и хакеры в черной шляпе, но не по деструктивным причинам.
«Чтобы быть по-настоящему уверенным в том, что кто-то защищен, должны происходить реальные атаки на систему извне, чтобы имитировать реальную угрозу, и, следовательно, иметь возможность распознать и исправить ее как можно скорее», - говорит Каисс Буали, управляющий партнер и технический директор в Йодеде. «Есть фирмы, которые специализируются на взломе White Hat, где у них есть команды специальных хакеров, которые (работают над ручным тестированием) и сообщают вам об утечках безопасности, действиях, необходимых для их устранения, и сборах, которые они будут взимать с вас за исправление. их для вас.
Слово «симулировать» здесь важно.
Чтобы вернуться к аналогии с грабителями, если у вас дома много дорогих и причудливых вещей, вы можете инвестировать в замки или, чтобы получить дополнительный уровень безопасности, вы можете нанять кого-нибудь, чтобы имитировать кражу со взломом. Они могут найти открытое окно в подвале или какое-то пространство для ползания, которое позволит им проникнуть в дом и украсть то, что у вас есть. Но когда вы заранее инвестируете в имитацию кражи со взломом, вы знаете, что нужно исправить, чтобы посторонним лицам было еще труднее получить доступ.
Нет ошибок, нет стресса - ваше пошаговое руководство по созданию изменяющего жизнь программного обеспечения без разрушения вашей жизни
Вы не можете улучшить свои навыки программирования, когда никто не заботится о качестве программного обеспечения.
Вот что такое этический взлом, в двух словах. Это дурачится с системами, чтобы выяснить, где находятся слабые места - чтобы клиент мог их исправить и не допустить реального взлома или повреждения систем.
Этические хакеры и тестирование на проникновение
Одной из основных задач этического хакера является выполнение так называемого «теста на проникновение» или «теста на ручку».
«(Этические хакеры) используют тестирование на проникновение как часть своего арсенала для защиты систем своих клиентов от киберпреступности», - говорит Карен Франсе из группы коммуникационных стратегий, говоря о том, как компания под названием SRC Technologies использует фирму Synack для аутсорсинга этического хакерства.
Подумайте об этом - у компаний есть широкий спектр средств автоматизации, которые помогают им обнаруживать уязвимости в системе. Цифровые инструменты могут сканировать открытые точки доступа к сети, проблемы с API, системы со слабыми паролями или любые другие потенциальные проблемы. Но они делают это на автоматизированной основе. Без этического хакера в кресле капитана нет человеческого контроля.
Этический хакер добавляет этот человеческий фактор. Он или она принимает решение, и новые аккуратные инструменты безопасности, предлагаемые поставщиками программного обеспечения, выступают в качестве программного обеспечения для поддержки принятия решений. Вы можете думать об этическом хакере как о оркестраторе всех этих автоматизированных инструментов, внимательно наблюдая за их успехами и неудачами.
Тем не менее, одна из самых основополагающих частей тестирования на проникновение - это отчетность, которая происходит позже.
Этические хакеры вернутся к клиентам и покажут им, что именно произошло во время теста на проникновение. Если было нарушение или проникновение, эта уязвимость исправлена. Это действительно сужает периметр, утончает поверхность атаки и защищает компании от вреда.
Этические хакеры, социальная инженерия и осведомленность пользователей
Вот еще одна большая часть того, что делают этические хакеры.
Термин «социальная инженерия» использовался для обозначения всех тех хакерских попыток, которые пытаются получить доступ путем обмана конечного пользователя.
Эти спуфинговые атаки? Социальная инженерия.
Фишинг - еще одна распространенная форма социальной инженерии, когда злоумышленники выдают себя за инсайдеров или используют другие способы, чтобы заманить конечных пользователей, чтобы они отказались от ценных данных или учетных данных для доступа к сети. В некоторых случаях они просто подделывают окно расчета заработной платы и заставляют сотрудников отказываться от своей финансовой информации.
Все это, как правило, довольно разрушительно - поэтому компании нанимают этических хакеров для имитации этих типов атак, а затем находят слабые места и отчитываются. Но следующий и последний шаг - обучение осведомленности пользователей. Компания инвестирует в то, чтобы показать каждому сотруднику, на что следует обратить внимание, и они создают более опытную базу сотрудников, рабочую силу, которая не является отличительной чертой для всех этих недобросовестных хакеров в черной шляпе. (Могут ли этические хакеры попасть в правовые проблемы при выполнении своей работы? Подробнее см. Нужна ли этическим хакерам юридическая защита?)
Квалификация для этических хакеров
На самом деле, в мире этического хакерства предостаточно квалификации. Компании хотят знать, что профессионалы имеют большой опыт и лицензию для проведения тестов на проникновение и выполнения других видов защитных работ.
Компании часто просят, чтобы этические хакеры разбирались в трех критически важных частях Интернета: поверхностной сети, глубокой сети и темной сети. Этот средний материал показывает, как эти три раздела сети различаются и что это означает для специалистов по безопасности.
Есть также Tactics Techniques и процедуры или TTP, протокол для аттестации этического взлома, а также сертификация Open Source Intelligence (OSINT).
Другие квалификации включают в себя:
- Сертифицированный этический хакер (CEH)
- Сертифицированный GIAC обработчик инцидентов (GCIH)
- GIAC Киберугрозы (GCTI)
Этические хакеры работают над авангардом обеспечения безопасности для компаний, и в общем плане они могут быть жизненно важны для защиты организации от угроз.