Che cosa è l’hacking etico? Come essere pagati per entrare nei computer

Cos’è l’hacking etico?

L’hacking etico, noto anche come penetration testing o pen testing, è legalmente irrompere in computer e dispositivi per testare le difese di un’organizzazione. È tra i lavori IT più eccitanti in cui qualsiasi persona può essere coinvolta. Sei letteralmente pagato per tenere il passo con le ultime tecnologie e arrivare a entrare nei computer senza la minaccia di essere arrestato.

Le aziende si impegnano hacker etici per identificare le vulnerabilità nei loro sistemi., Dal punto di vista del penetration tester, non c’è nessun aspetto negativo: se si hack in passato le difese attuali, hai dato al cliente la possibilità di chiudere il buco prima che un utente malintenzionato lo scopra. Se non trovi nulla, il tuo cliente è ancora più felice perché ora possono dichiarare i loro sistemi “abbastanza sicuri che persino gli hacker pagati non potrebbero entrarci.”Win-win!

Sono stato in sicurezza informatica per oltre 30 anni, e nessun lavoro è stato più impegnativo e divertente di test di penetrazione professionale., Non solo si arriva a fare qualcosa di divertente, ma tester penna spesso sono visti con un’aura di freschezza in più che viene da tutti sapendo che potrebbero entrare in quasi tutti i computer a volontà. Anche se ora è diventato legittimo, l’ex hacker uber più famoso del mondo, Kevin Mitnick, mi ha detto che ottiene la stessa identica emozione emotiva di essere pagato per irrompere legalmente in luoghi come ha fatto per tutti quegli anni di hacking illegale. Mitnick ha detto, l’unica differenza “è la scrittura del rapporto.”

Cosa fanno gli hacker etici?,

Ambito di applicazione e definizione degli obiettivi

È essenziale per qualsiasi tester penna professionale per documentare concordato portata e gli obiettivi. Questi sono i tipi di domande riguardanti l’ambito che devi porre:

• Quali risorse del computer sono nell’ambito del test?
• Include tutti i computer, solo una certa applicazione o servizio, alcune piattaforme del sistema operativo, o dispositivi mobili e servizi cloud?
• L’ambito include solo un certo tipo di risorse informatiche, come server Web, server SQL, tutti i computer a livello di sistema operativo host e sono inclusi i dispositivi di rete?,
• Il test della penna può includere la scansione automatica delle vulnerabilità?
• È consentita l’ingegneria sociale e, in caso affermativo, quali metodi?
• In quali date sarà consentito il test della penna?
• Ci sono giorni o ore in cui i test di penetrazione non dovrebbero essere provati (per evitare interruzioni involontarie o interruzioni del servizio)?
• I tester dovrebbero fare del loro meglio per evitare di causare interruzioni del servizio o sta causando qualsiasi tipo di problema che un vero attaccante può fare, comprese le interruzioni del servizio, una parte cruciale del test?,
• Il test di penetrazione sarà blackbox (il che significa che il pen tester ha pochi o nessun dettaglio interno dei sistemi o delle applicazioni coinvolte) o whitebox (il che significa che hanno una conoscenza interna dei sistemi attaccati, possibilmente in alto e che coinvolgono il codice sorgente pertinente)?
• I difensori della sicurezza informatica saranno informati del test della penna o parte del test sarà per vedere se i difensori se ne accorgono?
• Se gli attaccanti professionisti (ad esempio, red team) cercano di fare irruzione senza essere rilevati dai difensori (ad esempio,, squadra blu), o dovrebbero usare metodi normali che gli intrusi reali potrebbero usare per vedere se mette fuori difese di rilevazione e prevenzione esistenti?

Porre queste domande per quanto riguarda gli obiettivi del test di penetrazione.

• È semplicemente per mostrare che puoi entrare in un computer o dispositivo?
• Il denial-of-service è considerato un obiettivo nell’ambito?
• L’accesso a un particolare computer o l’estrazione di dati fa parte dell’obiettivo o semplicemente è sufficiente ottenere un accesso privilegiato?
• Cosa deve essere presentato come parte della documentazione al termine del test?, Dovrebbe includere tutti i metodi di hacking falliti e di successo, o solo gli hack più importanti? Quanti dettagli sono necessari, ogni tasto e clic del mouse o solo descrizioni riassuntive? Gli hack devono essere catturati su video o screenshot?

È importante che l’ambito e gli obiettivi siano descritti in dettaglio e concordati, prima di qualsiasi tentativo di test di penetrazione.,

Scoperta: scopri il tuo obiettivo

Ogni hacker etico inizia il suo asset hacking (escluse le tecniche di ingegneria sociale per questa discussione) imparando quanto più possibile sugli obiettivi di test della penna. Vogliono conoscere indirizzi IP, piattaforme OS, applicazioni, numeri di versione, livelli di patch, porte di rete pubblicizzate, utenti e qualsiasi altra cosa che possa portare a un exploit. È una rarità che un hacker etico non veda una potenziale vulnerabilità evidente spendendo solo pochi minuti a guardare una risorsa., Per lo meno, anche se non vedono qualcosa di ovvio, possono utilizzare le informazioni apprese in discovery per continue analisi e tentativi di attacco.

Exploitation: Break into the target asset

Questo è ciò per cui l’hacker etico viene pagato – il “break-in.”Utilizzando le informazioni apprese in fase di scoperta, il tester penna ha bisogno di sfruttare una vulnerabilità per ottenere l’accesso non autorizzato (o denial of service, se questo è l’obiettivo). Se l’hacker non può entrare in una particolare risorsa, deve provare altre risorse in ambito., Personalmente,

se ho fatto un lavoro di scoperta approfondito, ho sempre trovato un exploit. Non so nemmeno di un tester di penetrazione professionale che non sia entrato in un bene in cui sono stati assunti per entrare, almeno inizialmente, prima che il loro rapporto consegnato permettesse al difensore di chiudere tutti i buchi trovati. Sono sicuro che ci sono penetration tester che non sempre trovano exploit e realizzare i loro obiettivi di hacking, ma se si fa il processo di scoperta abbastanza a fondo, la parte di sfruttamento non è così difficile come molte persone credono., Essere un buon penetration tester o hacker è meno di essere un genio e di più sulla pazienza e completezza.

A seconda della vulnerabilità e dell’exploit, l’accesso ora ottenuto può richiedere “escalation dei privilegi” per trasformare l’accesso di un utente normale in un accesso amministrativo più elevato. Ciò può richiedere un secondo exploit da utilizzare, ma solo se l’exploit iniziale non ha già dato l’accesso privilegiato all’attaccante.

A seconda di ciò che è nell’ambito, la scoperta delle vulnerabilità può essere automatizzata utilizzando lo sfruttamento o software di scansione delle vulnerabilità., Quest’ultimo tipo di software di solito trova vulnerabilità, ma non li sfrutta per ottenere l’accesso non autorizzato.

Successivamente, il pen tester esegue l’azione obiettivo concordata se si trova nella destinazione finale o utilizza il computer attualmente sfruttato per accedere più vicino alla destinazione finale. I pen tester e i difensori chiamano questo movimento” orizzontale “o” verticale”, a seconda che l’attaccante si muova all’interno della stessa classe di sistema o verso l’esterno verso sistemi non correlati., A volte l’obiettivo dell’hacker etico deve essere dimostrato come raggiunto (come rivelare segreti di sistema o dati riservati) o la semplice documentazione di come avrebbe potuto essere realizzato con successo è sufficiente.

Documentare lo sforzo del pen-test

Infine, il penetration tester professionale deve redigere e presentare il rapporto concordato, inclusi i risultati e le conclusioni.,

Come diventare un hacker etico

Ogni hacker deve adottare alcune misure comuni per diventare un hacker etico, il minimo dei quali è quello di assicurarsi di aver documentato il permesso dalle persone giuste prima di entrare in qualcosa. Non infrangere la legge è fondamentale per essere un hacker etico. Tutti i penetration tester professionisti dovrebbero seguire un codice etico per guidare tutto ciò che fanno. L’EC-Council, creatori dell’esame Certificated Ethical Hacker (CEH), ha uno dei migliori codici etici pubblici disponibili.,

La maggior parte degli hacker etici diventano penetration tester professionisti in due modi. O imparano le abilità di hacking da soli o prendono lezioni di educazione formale. Molti, come me, hanno fatto entrambe le cose. Anche se a volte deriso da auto-studenti, corsi di hacking etico e certificazioni sono spesso la porta di un buon lavoro retribuito come un tester di penetrazione a tempo pieno.

Il curriculum di formazione sulla sicurezza IT di oggi è pieno di corsi e certificazioni che insegnano a qualcuno come essere un hacker etico., Per la maggior parte degli esami di certificazione è possibile auto-studiare e portare la propria esperienza al centro di test o prendere un corso di formazione approvato. Mentre non hai bisogno di una certificazione di hacking etico per essere impiegato come tester di penetrazione professionale, non può far male.

Come CBT Nuggets trainer, Keith Barker ha detto, “Penso che l’opportunità di avere ‘certified ethical anything’ sul tuo curriculum può essere solo una buona cosa, ma è più di un modo di ingresso in più studio. Inoltre, se le aziende vedono che sei certificato in ethical hacking, sanno che hai visto e accettato un particolare codice etico., Se un datore di lavoro sta guardando i curriculum e vede qualcuno che ha una certificazione di hacking etico e qualcuno che non l’ha fatto, deve aiutare.”

Anche se insegnano la stessa abilità ogni corso di hacking etico e certificazione è diverso. Fai una piccola ricerca per trovare quello giusto per te.,

5 top ethical hacking corsi e certificazioni

1. Certified Ethical Hacker
2. SANS GPEN
3. Offensive Security Certified Professional
4. Foundstone Ultimate Hacking
5. CRESTA

Certified Ethical Hacker

La CE-Consiglio del Certificato dell’Etica Hacker (CEH) è facilmente il più antico e più popolare di penetrazione corso e certificazione., Il corso ufficiale, che può essere preso online o con un istruttore dal vivo di persona, contiene 18 diversi domini soggetti tra cui soggetti tradizionali di hacking, più moduli su malware, wireless, cloud e piattaforme mobili. Il corso remoto completo include sei mesi di accesso alla gamma Cyber online iLab, che consentirà agli studenti di praticare oltre 100 abilità di hacking.

Per ottenere la certificazione CEH è necessario seguire un corso ufficiale o, in caso di studio autonomo, la prova di due anni di esperienza o formazione pertinenti. Contiene 125 domande a scelta multipla con un limite di tempo di quattro ore., Sostenere l’esame richiede l’accettazione del Codice etico del Consiglio CE, che è stato uno dei primi codici etici richiesti ai test di sicurezza informatica. Il materiale didattico e il test vengono regolarmente aggiornati.

SANS GPEN

SysAdmin, Networking, and Security (SANS) Institute è un’organizzazione di formazione molto rispettata, e tutto ciò che insegnano insieme alle loro certificazioni sono molto rispettati dai professionisti della sicurezza IT. SANS offre più corsi di test penna e certificazioni, ma la sua base GIAC Penetration Tester (GPEN) è uno dei più popolari.,

Il corso ufficiale per la GPEN, SEC560: Network Penetration Testing e Ethical Hacking, può essere preso online o dal vivo di persona. L’esame GPEN ha 115 domande, un limite di tempo di tre ore, e richiede un punteggio percentuale 74 per passare. Non è richiesta alcuna formazione specifica per qualsiasi esame GIAC. Il GPEN è coperto dal codice etico generale di GIAC, che prendono molto sul serio come attestato da un conteggio di passanti che sono stati squalificati per aver violato il codice.,

“Mi piace come si lega alle abilità pratiche che i penetration tester devono avere per fare il loro lavoro ogni giorno”, dice Skoudis. “Copre tutto, dagli approcci tecnici dettagliati ai test fino allo scoping, alle regole di ingaggio e ai report. L’esame è molto incentrato sullo scenario, quindi presenterà un determinato scenario di test di penetrazione e chiederà quale sia la migliore via da seguire. Oppure, ti mostrerà l’output di uno strumento e ti chiederà cosa ti sta dicendo lo strumento e cosa dovresti fare dopo. Lo apprezzo così tanto, poiché misura meglio le abilità del mondo reale., L’esame non ha molte domande che sono semplicemente definitive, dove hanno una frase che manca una parola e ti chiedono quale delle seguenti parole meglio riempire la frase. Questo non è un modo particolarmente buono di misurare le abilità.”

Offensive Security Certified Professional

Il corso e la certificazione Offensive Security Certified Professional (OSCP) ha guadagnato una meritata reputazione per la durezza con una struttura di apprendimento molto pratica e un esame., Il corso di formazione online ufficiale si chiama Penetration Testing con Kali Linux e include 30 giorni di accesso al laboratorio. Poiché si basa su Kali Linux (il successore della precedente distro Linux preferita dai pen tester, BackTrack), i partecipanti devono avere una conoscenza di base di come utilizzare Linux, shell bash e script.

L’OSCP è noto per spingere i suoi studenti e gli esaminatori più difficile rispetto ad altri percorsi di test penna. Ad esempio, il corso OSCP insegna, e l’esame richiede, la capacità di ottenere, modificare e utilizzare il codice di exploit ottenuto pubblicamente., Per l ‘” esame”, al partecipante vengono fornite istruzioni per collegarsi in remoto a un ambiente virtuale in cui ci si aspetta che compromettano più sistemi operativi e dispositivi entro 24 ore e documentino accuratamente come lo hanno fatto. Offensive Security offre anche corsi ed esami di test della penna ancora più avanzati (ad esempio, incluso lo sfruttamento web, wireless e avanzato di Windows). I lettori potrebbero voler approfittare del loro libero, on-line di base Metasploit strumento corso.,

Foundstone Ultimate Hacking

La business unit Foundstone di McAfee (per cui ho lavorato oltre 10 anni fa) è stata uno dei primi corsi di test di penetrazione pratici disponibili. La sua serie di corsi e libri di hacking Ultimate ha guidato il campo per molto tempo. Hanno coperto Windows, Linux, Solaris, web, SQL, e una serie di tecniche hacker avanzate (come tunneling). Sfortunatamente, i corsi di hacking Ultimate non hanno esami formali e certificazioni.,

Oggi, Foundstone offre una serie di opzioni di allenamento ben oltre il semplice test della penna, tra cui forensics e incident response (come fanno molti degli altri giocatori in questo articolo). Inoltre, Foundstone offre formazione in hacking internet of things (IoT), firmware, sistemi di sicurezza di controllo industriale, Bluetooth e RFID. Gli istruttori di Foundstone sono spesso pen tester e consulenti di sicurezza reali, anche se molti, se non la maggior parte, dei corsi di formazione sono gestiti da partner.,

CREST

A livello internazionale, i corsi e gli esami di prova della penna dell’ente di accreditamento e certificazione CREST information assurance senza scopo di lucro sono comunemente accettati in molti paesi, tra cui Regno Unito, Australia, Europa e Asia. La missione di CREST è di educare e certificare i tester di penna di qualità. Tutti gli esami approvati dal CREST sono stati esaminati e approvati dal Government Communication Headquarters (GCHQ) del Regno Unito, che è analogo alla NSA degli Stati Uniti.,

CREST’s basic pen testing exam è noto come CREST Registered Tester (o CRT), e ci sono esami per web e infrastruttura pen tester. Esami e costi variano da paese a paese. Gli esaminatori CREST devono rivedere e riconoscere il Codice di condotta CREST. La certificazione OSCP Offensive Security può essere utilizzata per ottenere il CRT.

Tutti gli istruttori con cui ho parlato credevano che i corsi che insegnavano fossero solo un inizio. Barker di CBT Nuggets ha detto, ” sono un grande punto di ingresso e l’esposizione a tutte le basi che si può poi andare su più.,”

” Ognuno non è solo una classe autonoma che qualcuno prende per sei giorni e poi scompare”, afferma Skoudis. “Invece, le nostre lezioni sono più simili a un ecosistema, incentrato su quei 6 giorni di formazione, ma con webcast e blog di follow-up per l’apprendimento continuo in futuro. Inoltre, siamo stati super fortunati ad avere i nostri precedenti studenti che hanno contribuito a questo ecosistema attraverso i loro blog e lo sviluppo di strumenti, restituendo alla comunità. È davvero un bellissimo ciclo virtuoso, e sono così grato di farne un po ‘ parte.,”

Strumenti di hacking etico

Gli hacker etici di solito hanno un set standard di strumenti di hacking che usano tutto il tempo, ma potrebbero dover cercare e fare scorta di strumenti diversi a seconda del particolare lavoro. Ad esempio, se al penetration tester viene chiesto di attaccare i server SQL e non ha esperienza pertinente, potrebbe voler iniziare a ricercare e testare diversi strumenti di attacco SQL.

La maggior parte dei penetration tester inizia con una “distro” del sistema operativo Linux specializzata nei test di penetrazione., Distribuzioni Linux per l’hacking vanno e vengono nel corso degli anni, ma in questo momento la distro Kali è quella che gli hacker etici più professionali preferiscono. Ci sono migliaia di strumenti di hacking, tra cui un gruppo di sostenitori che quasi ogni tester penna utilizza.

Il punto più importante di qualsiasi strumento di hacking, al di là della sua qualità e in forma per il lavoro a portata di mano, è quello di assicurarsi che non contiene malware o altro codice progettato per hackerare l’hacker. La stragrande maggioranza degli strumenti di hacking che si possono ottenere su Internet, soprattutto gratuitamente, contengono malware e backdoor non documentate., Di solito puoi fidarti degli strumenti di hacking più comuni e popolari, come Nmap, ma i migliori hacker etici scrivono e usano i propri strumenti perché non si fidano di nulla scritto da qualcun altro.

Per uno sguardo più approfondito sugli strumenti di hacking etico, leggi “17 strumenti di test di penetrazione utilizzati dai professionisti.”

Lavori di hacking etico: come il ruolo si sta evolvendo

Come ogni altra disciplina di sicurezza IT, l’hacking etico sta maturando. Gli hacker standalone che mostrano semplicemente abilità tecniche senza professionalità e raffinatezza stanno diventando meno richiesti., I datori di lavoro sono alla ricerca di un hacker professionista completo, sia nella pratica che nei set di strumenti che utilizzano.

Better toolkit: il software di test di penetrazione o vulnerabilità è sempre stato parte del toolkit di ethical hacker. Più che probabile, il cliente sta già eseguendo uno o entrambi questi su base regolare. Uno degli sviluppi più interessanti nel test della penna sono strumenti che essenzialmente fanno tutto il duro lavoro dalla scoperta allo sfruttamento,proprio come un utente malintenzionato potrebbe.

Un esempio di questo tipo di strumento è Bloodhound open source., Bloodhound consente agli aggressori di vedere, graficamente, le relazioni tra diversi computer su una rete Active Directory. Se inserisci un obiettivo target desiderato, Bloodhound può aiutarti a vedere rapidamente più percorsi di hacking per arrivare da dove inizi a quel target, spesso identificando percorsi che non sapevi esistessero. Ho visto usi complessi in cui i tester di penna sono semplicemente entrati nei punti iniziali e finali, e Bloodhound e alcuni script hanno fatto il resto, inclusi tutti i passaggi di hacking necessari per passare dal punto A alla Z., Naturalmente, il software di test di penetrazione commerciale ha avuto questo tipo di sofisticazione per molto più tempo.

Un’immagine vale più di mille parole: un tempo per vendere una difesa al senior management, i pen tester avrebbero hackerato il senior management o mostrato loro la documentazione. Oggi, il senior management vuole piattaforme di diapositive, video o animazioni di come sono stati eseguiti particolari hack nel loro ambiente. Lo usano non solo per vendere altri dirigenti su particolari difese, ma anche come parte della formazione dei dipendenti.,

Gestione del rischio: non è nemmeno sufficiente consegnare un elenco di vulnerabilità trovate al resto dell’azienda e considerare il tuo lavoro fatto. No, i penetration tester professionisti di oggi devono lavorare con la gestione IT per identificare le minacce più grandi e più probabili. I penetration tester fanno ora parte del team di gestione del rischio, contribuendo a ridurre in modo efficiente il rischio ancor più delle semplici vulnerabilità., Ciò significa che gli hacker etici forniscono ancora più valore mostrando la gestione e difensori ciò che è più probabile che accada e come, e non solo mostrare loro un hack una tantum che è improbabile che si verifichi da un intruso nella vita reale.

Il test di penetrazione professionale non è per tutti. Richiede di diventare un quasi esperto in diverse tecnologie e piattaforme, oltre a un desiderio intrinseco di vedere se qualcosa può essere rotto oltre i confini normalmente presentati. Se hai quel desiderio e puoi seguire alcune linee guida legali ed etiche, anche tu puoi essere un hacker professionista.,