Sokak szemében misztikus figuraként élnek a hackerek, akik a legnagyobb titokban dolgozva hatolnak be hálózatokba, törnek fel számítógépes rendszereket, lopnak el bizalmas adatokat vagy bénítanak meg vállalatokat, iparágakat. Van azonban a hackereknek egy másik típusa is, az etikus hackerek. Ők legalább ekkora (ha nem nagyobb) tudással rendelkeznek, de ezt a tudást jó célokra használják – arra, hogy megvédjék a cégeket a rosszindulatú hackerektől.
◼︎ Hogyan lesz etikus egy hacker?
„Egy zárat feltörni a betörő és a lakatos is tud. De ha beletörtük az ajtóba a kulcsot, és nem tudunk bemenni a lakásba, akkor mégsem egy bűnözőt hívunk, hanem egy lakatost. Ilyen értelemben az etikus hacker nem sokban különbözik a lakatostól. Ugyanazt tudja, mint a bűnöző, csak éppen nem él vissza a tudásával”, hoz egy érzékletes példát Matek Kamilló kiberbiztonsági szakértő, a KPMG Cyber-Lab vezetője, nem mellesleg pedig a Cylantro hackerközösség alapítója.
Kizárólag hivatalos úton
Az etikus hackelés olyan tevékenység, amelynek során szakértők – szerződéses megbízással – rendszereket tesztelnek, hogy a bennük található sérülékenységeket feltárják, majd azokat jelentsék az érintett szervezeteknek. Az etikus hackerek fontos szerepet játszanak az információbiztonság területén, hiszen munkájuk eredményeképpen a fejlesztők és üzemeltetők képesek javítani rendszereik biztonsági hiányosságait, mielőtt azokat rosszindulatú hackerek kihasználnák.
A folyamat során az egyik legfontosabb alapelv a megbízás és az engedélyezett hatókör betartása. A megbízó cégek világosan meghatározzák, hogy mely rendszereket lehet tesztelni, melyek a korlátok és mi az elvárt eredmény. (Ha tehát valaki szerződés és engedély nélkül hatol be egy rendszerbe, akkor sem minősíthető etikus hackernek, ha az észlelt sérülékenységet nem használja ki saját céljaira, sőt, esetleg értesíti is róla az adott szervezetet.)
Az etikus hackereket sokféle motiváció hajthatja. Vannak, akik egyszerű kíváncsiságból, szabadidős tevékenységként kezdenek bele a hackelésbe, mások pénzügyi vagy szakmai elismerésért dolgoznak, mondja Matek Kamilló. A közkeletű vélekedéssel ellentétben azonban a megbízók nem szeretik a rablóból lett pandúrokat. Egyetlen szervezet sem szívesen bíz meg egykori hackereket, még ha azok jó útra is tértek, és egyébként a tudásuk megkérdőjelezhetetlen.
Módszerek és eszközök
Az etikus hackelés egyik legismertebb módszere a penetrációs tesztelés (más néven behatolásvizsgálat vagy penteszt). Ennek során a hackerek valós támadást szimulálva megpróbálnak behatolni a célrendszerbe. A cél, hogy feltárják a rendszerek gyenge pontjait, és megmutassák, hogyan lehet azokat kihasználni. Ez a fajta vizsgálat különösen fontos lehet az újonnan fejlesztett rendszerek esetében, de már létező, hosszú ideje üzemelő rendszerek biztonságát is folyamatosan tesztelni kell.
A penetrációs tesztek több szintűek lehetnek. Egyes tesztek csupán felszínes vizsgálatot nyújtanak, míg mások mélyebb, alaposabb ellenőrzést végeznek. Az etikus hackelés során különböző eszközöket és technikákat alkalmaznak, beleértve a sérülékenységek szkennelését, a jelszótörési módszereket és az automatizált támadási szoftvereket is. Az eredmény minden esetben egy jelentés, amely tartalmazza a felfedezett hibákat, a kockázatok értékelését és a javítási javaslatokat.
Folyamatos fejlődésben
A technológiai fejlődés hatása természetesen az etikus hackerek munkáját is jelentősen befolyásolja, hiszen minden új technológia új veszélyeket és új típusú sérülékenységeket hoz magával. Különösen izgalmas terület a mesterséges intelligencia. Az MI rendszerek képesek hatalmas mennyiségű adatot gyorsan és pontosan feldolgozni, ami segítheti az etikus hackerek munkáját, de ugyanakkor új típusú kihívásokat is hoz. Különösen komoly kockázatot jelentenek maguknak az MI-rendszereknek a hibái vagy azok rosszindulatú felhasználása – például a hangklónozással végrehajtott támadások.
Az egyik legnagyobb kihívás a mai világban az, hogy a rendszerek komplexitása folyamatosan növekszik, és a sérülékenységek kihasználása egyre kifinomultabb technikákat igényel, emeli ki Matek Kamilló. Ahhoz, hogy egy rendszer biztonságos maradjon, nem elég egyszer vizsgálni: folyamatosan frissíteni és újra ellenőrizni kell, mert az idő múlásával a korábban biztonságosnak vélt rendszerek is sérülékennyé válhatnak. A támadók folyamatosan fejlesztik technikáikat, így az etikus hackereknek is lépést kell tartaniuk ezzel a fejlődéssel.
| Igazolt tudással
Az etikus hackelők szakmai felkészültségét különféle minősítő vizsgák igazolják. Az egyik legelterjedtebb az OSCP (Offensive Security Certified Professional) minősítés. Ez egy világszerte elismert – és a szakmában gyakorlatilag elvártnak tekinthető – tanúsítvány, amely igazolja a vizsgázó képességét arra, hogy sikeres penetrációs teszteket végezzen. Az OSCP vizsgán a jelöltek 24 órás, szimulált hackelési feladatot oldanak meg, majd részletes jelentést készítenek a támadásaikról és azok eredményeiről. |
Sokáig viszonylag kevés cég rendelte meg az etikus hackerek szolgáltatásait saját rendszereinek felmérésére, annak költségei miatt. Ugyanakkor az új szabályozások nyomán egyre nagyobb igény lesz ezekre a szolgáltatásokra. Az Európai Unióban az újonnan bevezetett NIS2 irányelv az eddiginél több szervezetre határoz meg a korábbiaknál szigorúbb biztonsági követelményeket. Bizonyos kockázati szint felett a megfeleléshez elengedhetetlen lesz a rendszeres behatolásvédelmi teszt.
Magyarországon is egyre inkább szükség lesz etikus hackelésre. A pénzügyi szektorban már régóta kötelező a rendszeres biztonsági vizsgálatok elvégzése, de egyre több iparág, például az autóipar és a közszolgáltatások is igénylik az ilyen teszteket.
Hibavadászok
A szoftvervilágban egyre elterjedtebb a hibavadász- (bug bounty) programok alkalmazása. Ilyenkor egy-egy nagy szoftvervállalat – amelynek a termékeit milliók használják világszerte – pénzjutalmat (olykor igen jelentős összeget) ajánl fel azoknak a szakembereknek, akik a bűnözők által is kihasználható sérülékenységet találnak rendszereikben. A hibavadász-programok előnye, hogy sok, különböző hátterű hacker teszteli a rendszert, így nagyobb eséllyel derülnek ki a rejtett hibák.
A közösségi hackelés Magyarországon is jelen van, bár jóval kisebb mértékben. Magyarországon kevés cég használ hibavadász programokat, de ez várhatóan a jövőben változni fog, ahogy egyre több vállalat ismeri fel a kiberbiztonság fontosságát. A közösségi hackerek fontos szereplői lehetnek a jövő biztonsági kihívásainak megoldásában.
