Obsah

• Čo je hackovanie šedého klobúka?
• Predstavujeme etického hackera
• Ako prebieha hackovanie?
• Ako hackeri hackujú: Najlepšie stratégie
• Phishingový útok
• SQL vstrekovanie
• Využitie nulového dňa
• Útok hrubou silou
• DOS útok
• Vaša práca etického hackera
• Ako začať ako etický hacker

Keď uvažujete o hackeroch, majú tendenciu myslieť na ľudí v kapucniach, ktorí sa snažia spracovať citlivé údaje veľkých spoločností - etické hackovanie znie ako oxymorón.

Pravda je, že veľa ľudí, ktorí sa dostanú do hackingu, to robí z úplne úprimných dôvodov. Existuje veľa dobrých dôvodov, prečo sa naučiť hackovať. Tieto možno rozdeliť na neutrálne dôvody „šedého klobúka“ a produktívne dôvody „biely klobúk“.

Čo je hackovanie šedého klobúka?

Po prvé, je tu láska k drotárstvu: vidieť, ako veci fungujú, a posilňovať sa. Rovnaký impulz, ktorý vedie dieťa k tomu, aby si hodinky rozobralo a aby pozmenilo hodinky, by vás mohol motivovať k tomu, aby ste videli, či môžete rovnako účinne obísť zabezpečenie programu X alebo Y.

Je upokojujúce vedieť, že sa môžete brániť online

Dúfajme, že už nikdy nebudete musieť preniknúť do e-mailového účtu, ale budete vedieť mohol v prípade potreby (vaša sestra bola unesená!) je však atraktívna. Je to trochu ako bojové umenie. Väčšina z nás dúfa, že nikdy nebude musieť bojovať za reálne, ale je upokojujúce vedieť, že sa môžete brániť.

Hacking môže byť skutočne užitočným prostriedkom sebaobrany. Ak si prečítate úvod do etického hackingu, môžete sa dozvedieť viac o hrozbách pre vaše súkromie a bezpečnosť na webe. Týmto sa môžete chrániť pred možnými útokmi skôr, ako k nim dôjde, a robiť inteligentnejšie rozhodnutia. S úsvitom internetu vecí bude stále viac a viac našich životov „online“. Naučiť sa základy bezpečnosti údajov sa čoskoro môže stať záležitosťou samo-uchovávania.

Predstavujeme etického hackera

Etické hackovanie je tiež vysoko speňažiteľné. Ak chcete obísť bezpečnostné systémy pre život, existuje veľa vysoko výnosných kariérnych ciest. Môžete pracovať ako analytik v oblasti informačnej bezpečnosti, pentester, všeobecný odborník v oblasti IT alebo svoje zručnosti môžete predávať online prostredníctvom kurzov a elektronických kníh. Aj keď automatizácia a digitalizácia narušuje veľa pracovných miest, dopyt po bezpečnostných špecialistoch sa zvýši.

Etické hackovanie je vysoko speňažiteľné

Niekto, kto pracuje v ktorejkoľvek z týchto oblastí, je zvyčajne tým, čo máme na mysli pod pojmom „etický hacker“.

Ako prebieha hackovanie?

Na základnej úrovni etickí hackeri testujú bezpečnosť systémov. Kedykoľvek budete systém používať spôsobom, ktorý nie je určený, robíte „hack“. Normálne to znamená vyhodnotenie „vstupov“ systému.

Vstupy môžu byť čokoľvek z formulárov na webovej stránke, na otváranie portov v sieti. Tieto sú potrebné na interakciu s určitými službami, ale predstavujú ciele pre hackerov.

Niekedy to môže znamenať myslenie mimo škatule. Nechajte USB kľúč ležať a často ho niekto, kto zistí, že ho pripojí. To môže majiteľovi tohto USB kľúča poskytnúť obrovskú kontrolu nad postihnutým systémom. Existuje veľa vstupov, ktoré zvyčajne nemusíte považovať za hrozbu, ale zdatný hacker nájde spôsob, ako ich využiť.

Viac vstupov znamená väčšiu „útočnú plochu“ alebo viac príležitostí pre útočníkov. To je jeden z dôvodov, prečo neustále pridávanie nových funkcií (známych ako blokovanie funkcií) nie je pre vývojárov vždy dobrým nápadom. Bezpečnostný analytik sa často pokúša a zredukuje útokový povrch odstránením nepotrebných vstupov.

Ako hackeri hackujú: Najlepšie stratégie

Ak chcete byť efektívnym etickým hackerom, musíte vedieť, proti čomu ste. Ako etický hacker alebo „pesterest“ bude vašou úlohou pokúšať sa o tieto druhy útokov proti klientom, aby ste im potom mohli poskytnúť príležitosť na odstránenie slabých stránok.

bude vašou úlohou vyskúšať tieto druhy útokov proti klientom

Toto sú len niektoré zo spôsobov, ako by sa hacker mohol pokúsiť preniknúť do siete:

Phishingový útok

Útok typu phishing je forma „sociálneho inžinierstva“, pri ktorej hacker zameriava priamo na používateľa („wetware“), nie priamo na sieť. Robia to tak, že sa snažia prinútiť používateľa, aby dobrovoľne odovzdal svoje údaje, napríklad tým, že sa predstaví ako opravár IT alebo pošle e-mail, ktorý sa javí ako značka, ktorej sa zaoberajú, a ktorej dôveruje (nazýva sa to spoofing). Môžu dokonca vytvoriť falošný web s formulármi, ktoré zhromažďujú podrobnosti.

Útočník potom musí tieto údaje jednoducho použiť na prihlásenie do účtu a bude mať prístup k sieti.

Spear phishing je phishing, ktorý sa zameriava na konkrétneho jednotlivca v organizácii. Lov veľrýb znamená útočiť na najväčšie kahuny - vysokopostavených vedúcich pracovníkov a manažérov. Phishing vo väčšine prípadov nevyžaduje žiadne počítačové zručnosti. Hacker niekedy potrebuje e-mailovú adresu.

SQL vstrekovanie

Toto je pravdepodobne trochu bližšie k tomu, čo si predstavujete pri zobrazovaní hackerov. Structured Query Language (SQL) je efektný spôsob, ako opísať sériu príkazov, ktoré môžete použiť na manipuláciu s údajmi uloženými v databáze. Keď na webovú stránku odošlete formulár na vytvorenie nového používateľského hesla, potom sa spravidla vytvorí záznam v tabuľke obsahujúci tieto údaje.

Formulár niekedy neúmyselne prijíma aj príkazy, ktoré môžu hackerovi umožniť nezákonné načítanie alebo manipuláciu so záznamami.

Hackerovi alebo pätníku by to trvalo obrovské množstvo času, aby tieto príležitosti hľadali manuálne na veľkej webovej stránke alebo webovej aplikácii, do ktorej prichádzajú nástroje, ako je napríklad Hajiv. Toto automaticky vyhľadá zraniteľné miesta, ktoré je možné zneužiť, čo je veľmi užitočné pre bezpečnostných špecialistov, ale aj pre tých, ktorí majú nesprávny úmysel.

Využitie nulového dňa

Využitie nultého dňa spočíva v hľadaní slabých miest v softvérových kódovacích alebo bezpečnostných protokoloch skôr, ako ich vývojár má možnosť napraviť ich. Môže ísť o zacielenie vlastného softvéru spoločnosti alebo o zacielenie softvéru, ktorý používa. V rámci jedného slávneho útoku sa hackerom podarilo získať prístup k bezpečnostným kamerám v kancelárii spoločnosti s nulovým zneužitím. Odtiaľ dokázali zaznamenať všetko, čo ich zaujímalo.

Hacker by mohol vytvoriť malware navrhnutý na zneužitie tejto bezpečnostnej chyby, ktorú potom skryte nainštaluje na cieľový počítač. Toto je typ hackingu, ktorý má úžitok z poznania kódu.

Útok hrubou silou

Útok hrubou silou je metóda praskania kombinácie hesla a používateľského mena. Funguje to tak, že prejdete každú možnú kombináciu jeden po druhom, kým nenarazí na víťazného páru - rovnako ako zlodej môže prejsť kombináciami na trezore. Táto metóda zvyčajne zahŕňa použitie softvéru, ktorý zvládne tento proces v ich mene.

DOS útok

Útok útokom na odmietnutie služby (DOS) znamená zastaviť určitý server na čas, čo znamená, že už nie je schopný poskytovať svoje obvyklé služby. Preto meno!

Útoky systému DOS sa vykonávajú pomocou príkazu ping alebo iným odoslaním prenosu na server toľkokrát, že sa zahltí prevádzkou. To si môže vyžadovať stovky tisíc žiadostí alebo dokonca milióny.

Najväčšie útoky na systém DOS sú „distribuované“ do viacerých počítačov (známych spoločne ako botnet), ktoré hackeri prevzali pomocou škodlivého softvéru. To z nich robí útoky DDOS.

Vaša práca etického hackera

Toto je len malý výber rôznych metód a stratégií, ktoré hackeri často používajú na prístup k sieťam. Súčasťou výzvy etického hackovania pre mnohých je kreatívne myslenie a hľadanie potenciálnych nedostatkov v bezpečnosti, ktorým by ostatní unikli.

Ako etický hacker bude vašou úlohou skenovanie, identifikácia a útok útokov na testovanie bezpečnosti spoločnosti. Keď nájdete takéto diery, poskytnete správu, ktorá by mala obsahovať nápravné opatrenia.

Napríklad, ak ste mali vykonať úspešný phishingový útok, môžete odporučiť školenie pre personál, ktorý by bol schopný lepšie identifikovať podvodné osoby. Ak ste do počítačov v sieti dostali malware s nulovou hodnotou, mali by ste spoločnosti odporučiť inštaláciu lepších brán firewall a antivírusového softvéru. Môžete navrhnúť, aby spoločnosť aktualizovala svoj softvér alebo úplne prestala používať niektoré nástroje. Ak nájdete chyby vo vlastnom softvéri spoločnosti, môžete ich upozorniť na tím dev.

Ako začať ako etický hacker

Ak vám to znie zaujímavo, existuje veľa online kurzov, ktoré učia etické hackovanie. Tu je jeden s názvom The Ethical Hacker Bootcamp Bundle.

Mali by ste sa tiež pozrieť na náš príspevok o tom, ako sa stať analytikom v oblasti informačnej bezpečnosti, ktorý vám ukáže tie najlepšie certifikácie, najlepšie miesta na nájdenie práce a ďalšie.