Etikus hackerek, kiberhadviselés

 Ebben a cikkben kifogok térni a kiberhadviselés módjaira, veszélyeire a cégekre, az itthoni cégek kibervédelmének helyzetére is kifogok térni. Bővebben fogok beszélni az etikus hacker fogalmáról, fajtáiról és hasznoságáról. Az etikus hackereknél még kitérek a munkalehetőségekre, munka fajtákra is. A cikkben még egy interjú is forrás lett amit  Milan Patel, az amerikai BlueVoyant menedzselt biztonsági szolgáltatásaiért felelős igazgatója és egyik alapítójával készült.

Hackerek a jó oldalon: etikus hackelés

    A fehér kalapos hackerek, másnéven etikus hackerek különböző projektek, cégek sebezhetőségét tárják fel pénz jutalomért cserébe. Erre szükség van az adatok megvédése érdekében.

    Etikus hacker csak az lehet aki le van szerződtetve az adott céggel, ami felkereste, hogy keressen hibát a rendszerébe, tehát aki-e nélkül, de jó szándékkal, talál hibát egy oldalon, cégnél, az illegálisnak tekinthető.

    A fehér kalapos hackerek a munka fajtájához képest kapnak pénzjutalmat, esetlenként talált habánként akár 10 millió dollár volt a Wormhole decentralizált üzenetküldő protokollban felfedezett gikszerért. Esetenként nagyobb cégek  szerveznek ilyeneket, például Immunefi 52 millió dollárnyi jutalmat ajánlott az etikus hackereknek.

    Szerintem a fehér kalapos hackerek, nagyon hasznosak, jó hogy a tudásukat jóra fordítják. Szerintem ezt a szakmát jobban kéne reklámozni, hisz az emberek nagy része nem is hallott még erről a típusú hackerekről.

Etikus hackerek

    A hackelés maga az amikor illegálisan hozzáférünk digitális adatokhoz, velük szemben egy nagy tévhit a filmek miatt, hogy óriási tudás kell, de  felhasználói szinten bárki  képes lehet futtatni olyan programokat, amelyek pl. wifi hálózatokba tudnak betörni, így képesek lehetünk jelszóval védett, nem saját wifi hálózatot használni, illetve bejutni egy olyan hálózatba, amelynek nem vagyunk legális felhasználói. Akiknek komolyabb tudása van azok magok írják a programokat. Valaki attól lesz etikus hacker, ha felhatalmazással futtatunk valamilyen programot, támadást.

Legfőbb különbségek az etikus és nem etikus hackerek között:

Etikus hacker: (white hat hacker)

• Felhatalmazással rendelkezik
• Tevékenységét szerződések szabályozzak
• Célja a biztonsági rések javítás miatti felfedése
• Munkaszerűen végzi tevékenységét
• Tevékenysége szabályozott

Nem etikus hacker: (black hat hacker)

• Nincs felhatalmazása
• Tevékenyége illegális
• Célja a biztonsági rések kijátszása, haszonszerzés
• Hobbiként vagy anyagi érdek alapján végzi tevékenységét
• Tevékenysége szabályozatlan 

    Ezen kívül vannak még különböző hacker típusok, például a Blue hat hacker, akik főbb feladata a az új megjelenés előtti rendszerek tesztelése, támadása. Van még a Green hathacker, akik a kezdő, zöldfülű hackerek. Van még a Script kiddie, akik a mások által megírt programokat használnak hackelés céljára.

    Előző cikkben írtam bővebben az etikus hacker fogalmáról, de röviden az etikus hacker aki, olyan hackerek akik hivatalosan dolgozhatnak cégeknek, akik a biztonsági réseket nem kihasználják, hanem megszünteti azokat. 

Etikus hackerek alkalmazásának okai

    A biztonsági szabálysértések elkerülése miatt, például az ügyfelek információinak védelme, a vállalkozások biztonsági tudatoságának létrehozása, hálózattok rendszeres tesztelése, etikus hackereknek kötelezettségük a felmerült biztonsági problémák jelentése, veszteségek jelentése.  

Példák az IT területen lévő biztonsági állásokra:

     Vezetői állás például a Cyber security manager, akinek a feladata, hogy kialakítsa a biztonsági irányelveket és eljárásokat, ezek működtetésének gondoskodása. Etikus hacker állás például az Application security engineer, akinek feladata a hibák, sebezhetőségek megtalálása, kijavítása. 

    Van még az Információbiztonsági tanácsadó, akinek feladata az IT security alkalmazások tervezése, bevezetése és biztonsági rések javítása, biztonsági előírások végrehajtása. Hozzá tartozik még az incidensek utólagos vizsgálatok elvégzése, szükséges módosítások, jelentés készítése a feltárt problémákról.

Legfontosabb tanúsítványok

    A Certified Ethical Hacker (CEH) vizsga az egyik legelterjedtebb és legelfogadottabb etikus hacker minősítés. A hallgatók, gyakornokok elméleti és gyakorlati képzéseken vesznek részt. Megtanulják, milyen támadások érhetnek egy IT rendszert, milyen behatolási módok léteznek és mit kell tudni azok elhárításáról. A tematika része a felderítés, a jelszó elleni támadások, kémprogramok, backdoor technikák, DOS, DDOS, hijacking, webszerverek elleni támadások, buffer overflow, penetration tesztek.

    További tanúsítvány még a Global Information Assurance Certification (GIAC), Certified Security Analyst (ECSA), stb..

    

  A manager és architekt fizetése bruttó 1.5M és 2.2M Ft, a mérnökök, tanácsadók bruttó 1.2M és 1.9M Ft között, az elemző és tesztelő hackerek bruttó  800.000 és 1.5M Ft közötti összeget keresnek.

Kiberbiztonság fontossága, helyzete hazánkban

Az orosz ukrán háború kiberhadviselése   

     A világjárvány és az orosz-ukrán háború sok cég kiberbiztonságát veszélyeztette, hisz a vírus alatt sok ember otthonról dolgozott ami megnövelte az esetleges kibertámadások sikerét. 

    Az orosz ukrán harcokban is zajlik a kiber-hadviselés, ahol manapság már több mint 300 ezer hacker alkotja azt a csapatot, amelyet segíti Ukrajnát, hogy a kibertérben választ tudjanak adni az orosz offenzívára, akik esetekben információkat szereznek az orosz tervekről, informálják az orosz lakosokat, hogy valóban mi történik a háborúban.

Kiberbiztonság helyzete hazánkban

    A magyar vállalatok csak 17 százaléka  rendelkezik kiberbiztonsági politikával és eljárásokkal a kibertámadás esetére. És sajnos a kisebb cégeknél a helyzet még rosszabb. A hazai cégek 41 százaléka találkozott már adathalász kísérletekkel, ami a kiberbűnözők egyik kedvenc támadási formája. A cégek vezetőinek nagy része találkozott már adathalász próbálkozásokkal. 

    Az adathalászat legtöbbször egy emailbe kapott linkre kattintva egy hamis oldalra küldi a felhasználót ahol rávezeti arra, hogy így megadjon fontos bejeletkezési adatokat, bankszámla adatokat, és azokat ellopva megkárosítsa az embert. Az adathalászattal leggyakrabban támadott iparágak a szolgáltatások (62%), az adminisztráció (54%) és az ipar (53%). A cégek elleni támadásoknál még a zsaroló vírusok is gyakoriak ahol egy rosszindulatú program segítségével titkosítják az adatokat és váltságdíjat követelnek az adatok visszaszerzésére. A zsarolóvírus-támadást a kis vállalatoknál dolgozó válaszadók mindössze 3 százaléka tapasztalta. A közepes nagyságú cégeknél ez a 17 százalékot is elérte. A legnagyobb cégeknél ez a mutató 31 százalékon áll.

    Az adatokat a Sophos megbízásából készült kutatás tárta fel. A felmérés összevetette az adatokat más országokkal is, és azok adatai sokkal jobbak a magyarnál. Például itthon a válaszadók 80 %, míg Lengyelországban 28% nem végzett kiberbiztonsági végzést. Ez magyar cégeknél aggasztó, hisz ezek emberek egy része felel a cég adatvédelméért.

Facebook, Instagram adathalászat

    Az adathalászathoz még csatlakozik a gyakori Facebook és Instagram fiókok feltörése, ahol sokszor a felhasználók 70% már később egyáltalán nem tudott hozzáférni a fiókjához, kétharmaduknál az incidens után a támadó el is lopta a személyazonosságát, az adatokhoz  hozzáférése után , az ismeretlen tovább használta a profilt. Ennél még az is veszélyes, hogy a feltört profil ilyenkor az ismerősöknek rossz linkeket küld amiknél nagyobb így az esély, hogy az ember megnyitja és ellophatják az ő fiókját is.

Kiberbiztonság fontosságának bemutatása egy interjú alapján

Kiberbűncselekmények helyzete

    A világszerte egyre több a kiberbűncselekmény, amin belül egyre gyakrabban kereskedelmi célokra, azaz pénzszerzésre használják a támadásokat. Erre a célja külön bűnszervezetek jöttek létre, ezek önálló szervezetenként, például külön adószakértők. Amikor valaki zsarolóvírus áldozatává válik akkor a bűnözök felé megnyílik egy csatorna amin keresztül végigvezetik az áldozatokat a fizetés folyamaton, hogyan tudják felszabadítani a zárolt adataikat, fájlokat. Manapság sok cég az adatait nem tárolja helyben hanem a felhőben. így a támadók is már a felhőben támadják meg az embereket, cégeket. A támadók arra is rájöttek, hogy a legjobb módszer, ha a kiszemelt áldozatok termékeinek forgalmazóit, vagy a beszállítókat célozzák meg, hiszen ezeknek valószínűleg gyengébb kibervédelmük, mint a nagyoknak.

    A cégeknél a kibervédelmi vezetők csak a saját védelmükért aggódtak, de mostanság rá szoktak jönni, hogy fontos azokat a partnereket ellenőrizni akikek keresztül folynak az adataik, de ezt még sokszor rosszul csinálják, mert legtöbben csak kérdőívet töltetnek ki a partnerekkel, de azokat nem ellenőrzik le, és ezek csak az adott állapotot mutatja. De manapság már inkább az a cél, hogy a cégek folyamatosan ellenőrizhessék partnereiket.

Kibervédelem

    A legtöbb cégnél sajnos csak akkor kezdenek el védelmet fejleszteni, kialakítani, mikor már megtörtént az első támadás, a legjobban védett szektor a bankszektor, de sajnos nem lehet kibervédelemnél minden támadást semlegesíteni, így ha megtörténik a baj, akkor utána kell nézni, hogy hogyan tudtak betörni a rendszerbe, és kijavítani azt a hibát. A kibervédelem során sajnos az alkalmazottak számítanak a leggyengébb láncszemnek, hisz ha valakinek a jelszava nagyon gyenge és a saját eszközét csatlakoztatja a vállalati rendszerekhez akkor azokat könnyen kihasználhatják a támadók. Ezért fontos az úgynevezett kiberhigénia, ami az, hogy az alkalmazottakat folyamatosan tanítani kell, hisz elég egy rendszer megtámadásához egy alkalmazott ráklikkel egy fertőzőt emailre, és már elkezdődhet az adathalászat. A kiberhadviselésben sajnos mindig a támadók vannak előnyben, ennek egyik oka, hogy a körülmények sokszor ösztönzik az együttműködésre, a tudás megosztására, hisz őket a pénz szerzése hajtja, de sajnos a cégeknél, nincs jelen ez a kibervédekmi tudásmegosztás. 

    Ennek segítésére jön be a BlueVoyant, ami ha megtörténik egy betörés megpróbálják kidolgozni azokat az eljárásokat, amelyek vállalatok százait óvhatják meg egy hasonló akció sikerességétől, és így a cégek összessége tudja ezt a tudás felhasználni. A BlueVoyant négy helyen tud besegíteni, segíthetnek megvédeni a vállalati rendszereket a rosszindulatú programoktól. Támogathatják a teljes ökoszisztéma megvédését, például a partnerek monitorozásával és a sérülékenységek megtalálásával, és ezek megszüntetésével. Segíthetünk megértetni a vállalatokkal azt is, mennyire sérülékenyek a dark web felől, Mert sokszor a hackerek lemásolják ezeket, hogy így verjék át a felhasználókat. És vannak a szakértőik, akik ha megtörtént a betörés, akkor abban is segítenek, hogy megakadályozzák ezeket a bűncselekményeket. (A BlueVoyant globális cég, amely az Európa központját Magyarországra telepítette. )

Források a cikkekhez:

Hackerek a jó oldalon: etikus hackelés:

•     Állást keresel? Fehér kalapos hackerként több milliárdot bezsebelhetsz 

Etikus hackerek:

•     Mennyit érnek az etikus hackerek?

Kiberbiztonság fontossága, helyzete hazánkban:

• Ijesztően magas, 1000%-os a növekedés: rengeteg Facebook-fiókot törnek fel, volt, akinek a komplett személyiségét lopták el
• „A magyar adat rendkívül aggasztó”: tízből kettő magyar vezető nincs felkészülve a veszélyre, ami lényegében minden céget fenyeget
• 300 ezer fős kiberhadsereg harcol Ukrajnáért

Kiberbiztonság fontosságának bemutatása egy interjú alapján:

•  „A rosszfiúknak csak egyszer kell sikeresnek lenniük, a jóknak viszont mindig”

További linkek a témában:

• Etikus hackerek a védelem oldalán 
• hvg.hu - kibervédelem