Contenuto
- Professionisti del cappello bianco
- Nessun bug, nessuno stress: la tua guida passo passo alla creazione di software che ti cambia la vita senza distruggere la tua vita
- Hacker etici e test di penetrazione
- Hacker etici, ingegneria sociale e consapevolezza degli utenti
- Qualifiche per gli hacker etici
Fonte: Daniil Peshkov / Dreamstime.com
Porta via:
Gli hacker etici svolgono un lavoro importante per i datori di lavoro simulando gli attacchi e cercando di capire come sventare gli hacker black hat.
Nel mondo dell'IT aziendale, il termine "hacker etico" sta rapidamente guadagnando terreno. Ma cosa fanno questi professionisti? Che aspetto ha un giorno nella vita di un hacker etico?
A un livello molto elementare, gli hacker etici sono professionisti che irrompono nei sistemi aziendali al fine di individuare punti deboli e vulnerabilità.
"Gli hacker etici sono essenzialmente esperti di sicurezza IT, che usano le loro conoscenze per hackerare sistemi, come server e computer dei dipendenti, per individuare eventuali punti deboli nella sicurezza del loro datore di lavoro", afferma Ryan Jones, dirigente del marketing digitale di Imaginaire Digital. "Quindi, creeranno un rapporto sulle debolezze che hanno riscontrato e consiglieranno il miglior modo di agire".
"Un hacker etico o un tester di penetrazione è una persona che testa dispositivi e reti di computer alla ricerca di vulnerabilità", aggiunge Nathan House, CEO e fondatore della società di sicurezza informatica StationX. "Invece di farlo con intenzioni dannose o criminali, lo fanno per segnalare le vulnerabilità in modo che possano essere riparate." (Per ulteriori informazioni su ciò che gli hacker etici possono fare per le organizzazioni, vedere Come la tua organizzazione può trarre vantaggio dall'hacking etico.)
Professionisti del cappello bianco
Un altro termine per hacker etici è "cappelli bianchi". A differenza degli hacker black hat, gli hacker white hat sono come i ladri educati di Internet - stanno facendo alcune delle stesse cose che gli hacker black hat stanno facendo, ma non per ragioni distruttive.
"Per essere veramente sicuri che uno sia protetto, veri e propri attacchi dovrebbero avvenire su un sistema dall'esterno per simulare una minaccia reale e quindi essere in grado di riconoscerla e risolverla il più presto possibile", afferma Kaiss Bouali, Managing Partner e CTO di Iodeed. "Ci sono aziende specializzate in White Hat Hacking, in cui hanno squadre di hacker speciali che (lavorano sui test con penna) e ti presentano le falle di sicurezza, i passaggi necessari per risolverli e le commissioni che ti verranno addebitate per risolvere loro per te. "
La parola "simulare" è importante qui.
Per tornare all'analogia dei ladri, se hai molte cose costose e fantasiose nella tua casa, puoi investire in serrature o, per ottenere un ulteriore livello di sicurezza, potresti assumere qualcuno per simulare un furto con scasso. Potrebbero trovare una finestra aperta nel seminterrato o un po 'di spazio di scansione che consentirà loro di entrare in casa e rubare ciò che hai. Ma quando investi in un furto simulato in anticipo, sai cosa riparare per rendere ancora più difficile l'accesso a parti non autorizzate.
Nessun bug, nessuno stress: la tua guida passo passo alla creazione di software che ti cambia la vita senza distruggere la tua vita
Non puoi migliorare le tue capacità di programmazione quando a nessuno importa della qualità del software.
Ecco cos'è l'hacking etico, in poche parole. Sta scherzando con i sistemi per capire dove si trovano i punti deboli, in modo che il client possa risolverli e impedire che si verifichino veri e propri hacking o sistemi dannosi.
Hacker etici e test di penetrazione
Uno dei compiti principali di un hacker etico è eseguire quello che viene chiamato un "test di penetrazione" o "test della penna".
"(Gli hacker etici) utilizzano i test di penetrazione come parte del loro arsenale per proteggere i sistemi dei loro clienti dal crimine informatico", afferma Karen Franse del Communication Strategy Group, parlando di come un'azienda chiamata SRC Technologies utilizza un'azienda chiamata Synack per esternalizzare l'hacking etico.
Pensaci: le aziende hanno un ampio spettro di strumenti di automazione che li aiutano a rilevare le vulnerabilità in un sistema. Gli strumenti digitali potrebbero cercare punti di accesso alla rete aperti, problemi con un'API, sistemi di password deboli o qualsiasi numero di altri potenziali problemi. Ma lo fanno su base automatizzata. Senza un hacker etico nella sedia del capitano, non c'è supervisione umana.
L'hacker etico aggiunge quell'elemento umano. Lui o lei si trova al punto di decisione, e i nuovi e accurati strumenti di sicurezza offerti dai venditori di software agiscono come software di supporto alle decisioni. Puoi pensare all'hacker etico come l'orchestratore di tutti questi strumenti automatizzati, individuando i loro successi e fallimenti con un occhio acuto.
Tuttavia, una delle parti più fondamentali del test di penetrazione è la segnalazione che si verifica successivamente.
Gli hacker etici torneranno dai clienti e mostreranno loro esattamente cosa è successo durante il test di penetrazione. In caso di violazione o penetrazione, tale vulnerabilità è stata risolta. Ciò restringe davvero il perimetro, assottiglia la superficie di attacco e protegge le aziende dai danni.
Hacker etici, ingegneria sociale e consapevolezza degli utenti
Ecco un'altra parte importante di ciò che fanno gli hacker etici.
Il termine "ingegneria sociale" è stato usato per riferirsi a tutti quegli sforzi di hacking che tentano di ottenere l'accesso ingannando un utente finale.
Quegli attacchi di spoofing? Ingegneria sociale.
Lo spear-phishing è un'altra forma comune di social engineering in cui le parti malintenzionate impersonano addetti ai lavori o usano altri mezzi per tentare di attirare gli utenti finali a rinunciare a dati preziosi o credenziali di accesso alla rete. In alcuni casi, eseguono semplicemente lo spoofing di una finestra del libro paga e inducono i dipendenti a rinunciare alle proprie informazioni finanziarie.
Tutto ciò di solito è piuttosto distruttivo, quindi le aziende assumono hacker etici per simulare questi tipi di attacchi, quindi trovano punti deboli e segnalano. Ma il passaggio successivo e finale è la formazione sulla consapevolezza degli utenti. L'azienda investe nel mostrare a tutti i dipendenti cosa cercare e fanno crescere una base di dipendenti più efficiente, una forza lavoro che non è un segno per tutti questi hacker senza scrupoli. (Gli hacker etici possono avere problemi legali mentre fanno il loro lavoro? Ulteriori informazioni in Hacker etici hanno bisogno di protezione legale?)
Qualifiche per gli hacker etici
In effetti, le qualifiche abbondano nel mondo dell'hacking etico. Le aziende vogliono sapere che i professionisti hanno una buona esperienza e la licenza per eseguire test di penetrazione e fare altri tipi di lavori di sicurezza con cappello bianco.
Una cosa che le aziende spesso richiedono è che gli hacker etici siano qualificati nelle tre parti critiche di Internet: Surface Web, Deep Web e Dark Web. Questo pezzo medio mostra come queste tre sezioni del web differiscono e cosa significhi per i professionisti della sicurezza.
Esistono anche tecniche e procedure tattiche o TTP, un protocollo per la credenziali dell'hacking etico e la certificazione Open Source Intelligence (OSINT).
Altre qualifiche includono:
- Certified Ethical Hacker (CEH)
- Gestore degli incidenti certificato GIAC (GCIH)
- GIAC Cyber Threat Intelligence (GCTI)
Gli hacker etici lavorano all'avanguardia del condizionamento della sicurezza per le aziende e nel grande schema delle cose possono essere fondamentali per proteggere un'organizzazione dalle minacce.