Слово «хакер» имеет в общественном сознании в первую очередь негативную окраску. В СМИ часто встречаются новости, как атака хакеров принесла ущерб компании или малолетний хакер взломал базу данных. Но не все хакеры – плохие.
Этичные и неэтичные хакеры
Хакеры делятся на три направления: white hats, grey hats и black hats. Основное различие между ними заключается в четких моральных установках и способе заработка. Black hats или черные хакеры – это и есть те самые преступники, которые иногда работают в одиночку, иногда объединяются в преступные группы, могут действовать в своих интересах или интересах политической стороны (хактивизм). Черные хакеры выбирают преступную деятельность в цифровом мире в качестве способа заработка. Они продают данные, вымогают деньги с помощью программ-шифровальщиков, подключают в работу методы социальной инженерии, фишинг, мошенничество или фрод (fraud) и прочие виды атак.
White hats – это белые хакеры, специалисты информационной безопасности. Их также называют пентестеры. Работа этичного хакера заключается в том, чтобы повысить защищенность бизнеса Клиента в цифровом мире. Соответственно, Клиент доверяет свой бизнес специалисту и разрешает проверку на прочность.
Если с этической принадлежностью white и black hats все в целом ясно, то grey hats стоит охарактеризовать:
Grey hats* – «Серые хакеры» переходят границы между этичным и неэтичным взломом, нарушая законы или используя неэтичные методы для достижения этического результата. Такие хакеры могут использовать свои таланты для поиска уязвимостей в сети без разрешения, чтобы просто похвастаться, отточить свои навыки или выделить слабые места. Для серых хакеров как раз характерна нечеткость в определении границ дозволенных способов заработка и аморальных.
Конечной целью работы белых хакеров является:
- Информирование Клиента о найденных уязвимостях и вероятности недопустимых событий
- Информирование о путях и способах реализации недопустимых событий
- Рекомендации по устранению уязвимостей
Если с этической принадлежностью white и black hats все в целом ясно, то grey hats стоит охарактеризовать:
Grey hats* – «Серые хакеры» переходят границы между этичным и неэтичным взломом, нарушая законы или используя неэтичные методы для достижения этического результата. Такие хакеры могут использовать свои таланты для поиска уязвимостей в сети без разрешения, чтобы просто похвастаться, отточить свои навыки или выделить слабые места. Для серых хакеров как раз характерна нечеткость в определении границ дозволенных способов заработка и аморальных.
Как работают этичные хакеры
Белые хакеры работают с внешним периметром, инфраструктурой, веб-ресурсами заказчика санкционированно. Есть несколько моделей работы:white box
тестирование на проникновение проводится, когда о компании известно буквально все, например, есть доступ к оборудованию и схема сети, а также может быть предоставлен код программы
grey box
пентестер знает название компании и адресацию, то есть за что отвечает какой-либо из сегментов сети, есть доступ к схеме сети и оборудованию, а также известны e-mail адреса сотрудников
black box
этичному хакеру известно только название
Самое важное: Клиент всегда знает, что хакер находится в его сети, подбирает пароли и эксплуатирует уязвимости, но действия хакера согласовываются с заказчиком.
Grey и Black box, как несложно догадаться, наиболее точно имитируют действия реальных злоумышленников. White box – идеальный вариант, когда требуется всесторонне проверить инфраструктуру, ведь пентестеры и ИБ и ИТ служба клиента ведут работу в открытую и сообща, но white box не имитирует атаку.
В связи с интенсивной цифровизацией экономики на протяжении последнего десятилетия потенциальная добыча становится все привлекательнее для злоумышленников, число «черных» хакеров растет. Поэтому знать свои слабые места и иметь план действий по увеличению защищенности нужно каждому бизнесу.
Grey и Black box, как несложно догадаться, наиболее точно имитируют действия реальных злоумышленников. White box – идеальный вариант, когда требуется всесторонне проверить инфраструктуру, ведь пентестеры и ИБ и ИТ служба клиента ведут работу в открытую и сообща, но white box не имитирует атаку.
Рассказывает пентестер в Simplity Олег:Также между компанией по информационной безопасности заключается договор, в котором указаны допустимые действия хакера и последствия. Мы в Simplity трепетно относимся к безопасности вашего бизнеса, поэтому обговариваем все нюансы.
«Клиент решил заказать тестирование на проникновение в качестве профилактики, но в целом уверен, что его инфраструктура неприступна. Если пентестер находит сегмент, где присутствует уязвимость, эксплуатация которой может привести к недопустимому событию, то прежде, чем совершить дальнейшее действие, белый хакер уточнит у Клиента, продолжает ли он работу»
Какому бизнесу нужен пентест?
Услуга тестирование на проникновение нужна любому среднему и крупному бизнесу, чья деятельность связана с интернетом, торговлей в сети, обработкой персональных данных.Если ваша компания использует облачные сервисы и облачное хранение данных, развивает программы лояльности, использует ЭДО, корпоративную почту и Wi-Fi – вы под угрозой.
В связи с интенсивной цифровизацией экономики на протяжении последнего десятилетия потенциальная добыча становится все привлекательнее для злоумышленников, число «черных» хакеров растет. Поэтому знать свои слабые места и иметь план действий по увеличению защищенности нужно каждому бизнесу.