Kas iš tikrųjų yra etinis hakeris ir kodėl tai nėra tas, ką rodo filmai
Jei tavo supratimas apie hakerius formuojasi iš Holivudo filmų, kur kažkas greitai spaudinėja klaviatūrą ir ekrane bėga žalios raidės – laikas tą supratimą atnaujinti. Etinis hakeris, dar vadinamas penetracijos testeriu arba baltojo skrybėlaitės hakeriu (angl. white hat hacker), yra IT saugumo specialistas, kurio darbas – surasti sistemas silpnąsias vietas prieš tai padarant piktavaliams.
Tai ne romantizuotas vieniša vilkas, kuris naktimis įsilaužinėja į bankus. Tai profesionalas, dirbantis su aiškiai apibrėžtu leidimu, dokumentuojantis kiekvieną žingsnį ir teikiantis ataskaitas klientui. Skirtumas tarp etinio hakerio ir kibernetinio nusikaltėlio dažnai yra vienas dokumentas – įgaliojimo sutartis (angl. Rules of Engagement).
Pasaulinė kibernetinio saugumo rinka šiuo metu yra viena sparčiausiai augančių IT sektorių. Remiantis įvairiais analitikų duomenimis, kvalifikuotų saugumo specialistų trūkumas siekia kelis milijonus pozicijų visame pasaulyje. Lietuva čia nėra išimtis – vietinės įmonės, bankai, valstybinės institucijos aktyviai ieško žmonių, kurie mokėtų mąstyti kaip užpuolikas, bet dirbti kaip gynėjas.
Techniniai pagrindai: be ko negalima net pradėti
Čia daugelis pradedančiųjų daro klaidą – nori iš karto mokytis „hakinti”, bet neturi jokio techninio pagrindo. Tai panašu į norą tapti chirurgu nepradėjus nuo anatomijos. Etinis hakeris turi gerai suprasti keletą fundamentalių sričių:
Tinklai ir protokolai. Reikia tikrai suprasti, kaip veikia TCP/IP, DNS, HTTP/HTTPS, DHCP. Tai nėra paviršutiniškas žinojimas – reikia mokėti perskaityti tinklo paketą ir suprasti, kas jame vyksta. Įrankis Wireshark turėtų tapti tavo geriausiu draugu ankstyvajame mokymosi etape. Jei gali paaiškinti, kuo skiriasi SYN flood ataka nuo normalaus TCP handshake – esi teisingame kelyje.
Operacinės sistemos. Linux yra būtinybė, ne pasirinkimas. Didžioji dalis hakingo įrankių veikia Linux aplinkoje, o Kali Linux distribucija yra de facto standartas etinio hakingo srityje. Tačiau taip pat reikia suprasti Windows sistemas – juk dauguma korporatyvinių aplinkų veikia ant Windows serverių ir Active Directory infrastruktūros.
Programavimas ir skriptai. Nereikia būti programuotoju aukščiausiu lygiu, bet Python mokėjimas yra praktiškai privalomas. Kodėl? Nes daugelis automatizavimo skriptų, eksploitų modifikacijų ir savo įrankių kūrimo vyksta Python pagalba. Bash skriptai taip pat labai naudingi kasdieniam darbui Linux aplinkoje. Jei supranti, kaip veikia SQL užklausos – tai irgi didžiulis pliusas, nes SQL injection išlieka viena dažniausių web aplikacijų pažeidžiamumų.
Praktinis patarimas: Prieš investuojant į brangius kursus, išeik nemokamus resursus. TryHackMe ir Hack The Box platformos siūlo struktūruotus mokymosi kelius pradedantiesiems. Pirmoji yra labiau prieinama, antroji – sudėtingesnė, bet labiau vertinama darbdavių.
Metodologijos ir kaip mąsto tikras penetracijos testeris
Etinis hakimas nėra chaotiškas bandymų ir klaidų procesas. Yra aiškios metodologijos, kurių laikosi profesionalai. Labiausiai paplitusi yra PTES (Penetration Testing Execution Standard) ir OWASP metodologijos web aplikacijoms.
Tipinis penetracijos testas vyksta keliais etapais:
Žvalgybos fazė (Reconnaissance). Čia renkama informacija apie taikinį – domenai, IP adresai, darbuotojų vardai, naudojamos technologijos. Tai gali būti pasyvus (be tiesioginio kontakto su sistema) arba aktyvus (tiesioginis sąveikavimas). Įrankiai kaip Shodan, theHarvester, Maltego čia labai naudingi. Įdomu tai, kad didelė dalis informacijos surenkama iš viešai prieinamų šaltinių – tai vadinama OSINT (Open Source Intelligence).
Skenavimas ir enumeracija. Nmap yra klasika – jis leidžia sužinoti, kokie portai atidaryti, kokios paslaugos veikia, kokios operacinės sistemos versijos naudojamos. Bet tai tik pradžia. Enumeracijos etape bandoma išgauti kuo daugiau informacijos iš rastų paslaugų – vartotojų vardai, katalogų struktūros, versijų numeriai.
Pažeidžiamumų paieška ir eksploatavimas. Čia atsiranda tikrasis „hakingo” elementas. Naudojami įrankiai kaip Metasploit Framework, Burp Suite (web aplikacijoms), SQLmap. Tačiau svarbu suprasti – geras penetracijos testeris ne tik naudoja automatinius įrankius, bet ir supranta, kodėl konkreti ataka veikia.
Post-eksploatacija ir ataskaitų rašymas. Radus pažeidžiamumą ir jį eksploatavus, dokumentuojama viskas – kaip buvo pasiekta prieiga, kokia žala teoriškai galėjo būti padaryta, kaip tai ištaisyti. Ataskaitų rašymas yra vienas nuvertintiausių įgūdžių šioje srityje, bet klientui tai yra svarbiausia dalis.
Sertifikatai – kurie tikrai verti pinigų
Sertifikatų pasaulyje yra daug triukšmo ir dar daugiau brangių kursų, kurie duoda mažai praktinės vertės. Štai realus vaizdas:
CompTIA Security+ – geras pradinis sertifikatas, plačiai pripažįstamas, ypač JAV rinkoje. Jis daugiau teorinis, bet suteikia gerą pagrindą. Kaina apie 370 USD egzaminui.
CEH (Certified Ethical Hacker) – kontroversiškas sertifikatas. Darbdaviai jį žino, bet daugelis praktikų mano, kad jis per daug teorinis ir per brangus (kursas gali kainuoti tūkstančius eurų). Jei nori jį turėti CV, gerai, bet nelaikyk jo aukso standartu.
OSCP (Offensive Security Certified Professional) – tai yra tikrasis pramonės standartas. Egzaminas trunka 24 valandas – per tą laiką reikia įsilaužti į kelias mašinas ir parašyti ataskaitą. Jis brangus (~1500 USD), bet darbdaviai jį labai vertina, nes žino, kad jis nėra teorinis. Jei turi tik vieną sertifikatą, tegul tai būna OSCP.
eJPT (eLearnSecurity Junior Penetration Tester) – puikus pradedantiesiems. Pigesnis, praktiškai orientuotas, geras pirmasis žingsnis prieš einant prie OSCP.
Praktinis patarimas: nesivaikyk sertifikatų kolekcijos. Geriau turėti vieną solidų praktinį sertifikatą ir stiprų portfelį nei dešimt teorinių diplomų. Darbdaviai vis labiau vertina įrodytus įgūdžius – CTF (Capture The Flag) varžybų rezultatus, bug bounty atradimus, GitHub projektus.
Bug Bounty programos – kaip užsidirbti mokantis
Vienas geriausių būdų ugdyti įgūdžius ir tuo pačiu užsidirbti yra bug bounty programos. Tai yra oficialios programos, kuriose įmonės moka pinigus žmonėms, randantiems saugumo spragas jų sistemose.
Didžiausios platformos yra HackerOne ir Bugcrowd. Jose registruotos tokios kompanijos kaip Google, Facebook, Microsoft, Apple ir šimtai kitų. Atlyginimas už rastą pažeidžiamumą gali svyruoti nuo kelių šimtų iki šimtų tūkstančių dolerių – priklausomai nuo kritiškumo.
Pradedantiesiems rekomenduojama:
- Pradėti nuo programų su plačia apimtimi (scope) – daugiau galimybių rasti ką nors
- Koncentruotis į vieną pažeidžiamumo tipą iš pradžių – pavyzdžiui, XSS arba IDOR
- Skaityti kitų žmonių write-up’us – tai yra aprašymai, kaip buvo rasta konkreti spraga. Jų yra tūkstančiai internete ir tai yra nemokamas mokymasis iš realių atvejų
- Nenusiminti dėl pirmųjų duplikatų – tai normalu, kai tave aplenkia kiti
Svarbu suprasti: bug bounty nėra greitas pinigų uždirbimo būdas. Pirmieji mėnesiai gali praeiti be jokio atlygio. Bet tai yra neįkainojama praktika, kuri ugdo tikrus įgūdžius.
Teisiniai ir etiniai aspektai – tai nėra smulkmena
Šis skyrius yra kritiškai svarbus ir dažnai ignoruojamas entuziastų. Etinis hakimas be leidimo yra tiesiog hakimas – ir tai yra nusikaltimas beveik visose šalyse.
Lietuvoje kibernetiniai nusikaltimai reglamentuojami Baudžiamojo kodekso 198 straipsnyje ir kituose susijusiuose straipsniuose. Neteisėtas prisijungimas prie informacinės sistemos gali užtraukti baudžiamąją atsakomybę net jei „nieko blogo nedarei” – vien faktas, kad prisijungei be leidimo, yra nusikaltimas.
Profesionalus penetracijos testeris visada dirba su aiškiu rašytiniu leidimu. Šiame dokumente turi būti nurodyta:
- Kokios sistemos gali būti testuojamos (scope)
- Kokios atakos leidžiamos ir kokios ne
- Testų laikas ir trukmė
- Kontaktiniai asmenys incidentų atveju
- Konfidencialumo sąlygos
Praktikuodamasis namuose, naudok tik savo sistemas arba specialiai tam skirtas platformas kaip TryHackMe, HackTheBox, arba sukurk savo virtualią laboratoriją su VirtualBox ar VMware. Galima parsisiųsti specialiai pažeidžiamas virtualias mašinas – Metasploitable, DVWA (Damn Vulnerable Web Application), VulnHub mašinas. Tai yra legali ir saugi aplinka mokytis.
Karjeros keliai ir kur dirba etiniai hakeriai
Etinis hakimas nėra viena pozicija – tai platesnė kibernetinio saugumo sritis su keliais skirtingais karjeros keliais:
Penetracijos testeris (Pen Tester). Klasikinė pozicija – testuoji klientų sistemas pagal sutartį. Gali dirbti saugumo konsultacinėje įmonėje arba kaip freelanceris. Lietuvoje tokias paslaugas teikia kelios specializuotos įmonės, taip pat tarptautiniai žaidėjai turi čia biurus.
Red Team specialistas. Tai yra aukštesnis lygis – red team’ai simuliuoja realias APT (Advanced Persistent Threat) grupes, atakuodami organizacijas ilgesnį laikotarpį, naudodami sudėtingesnes taktikas. Tai reikalauja gilesnių žinių ir patirties.
Bug Bounty hunter. Kai kurie žmonės tai daro pilnu etatu. Tai reikalauja daug disciplinos ir kantrybės, bet sėkmingi medžiotojai uždirba labai gerai.
Saugumo analitikas SOC’e. Security Operations Center – tai yra gynybinė pusė, bet žinios apie atakas labai padeda suprasti, ką reikia ginti. Geras startas karjerai.
Darbdaviai Lietuvoje, kurie aktyviai ieško tokių specialistų: bankai (SEB, Swedbank, Luminor turi savo saugumo komandas), telekomunikacijų įmonės, valstybinės institucijos (NKSC – Nacionalinis kibernetinio saugumo centras), tarptautinės IT įmonės su biurais Vilniuje.
Atlyginimų lygis Lietuvoje: pradedantysis saugumo specialistas gali tikėtis 1500-2500 EUR neto, vidutinio lygio penetracijos testeris – 3000-5000 EUR neto, o senjorai ir red team specialistai – dar daugiau. Tarptautinėje rinkoje dirbant nuotoliniu būdu skaičiai gali būti žymiai didesni.
Nuo pirmojo terminalo iki pirmojo kliento – realistiškas kelias
Kalbant atvirai – tai nėra kelias, kurį galima nueiti per kelis mėnesius. Žmonės, kurie sako, kad per 3 mėnesius tapo etiniais hakeriais, dažniausiai reiškia, kad išmoko naudoti kelis įrankius, bet nesupranta, kas vyksta po gaubtu. Tikras kompetentingas specialistas formuojasi per 2-4 metus nuoseklaus mokymosi.
Realistiškas kelias atrodo maždaug taip: pirmieji 6 mėnesiai – tinklų pagrindai, Linux, Python pradmenys, TryHackMe pradedančiųjų keliai. Sekantys 6 mėnesiai – Hack The Box lengvos mašinos, pirmieji CTF’ai, OWASP Top 10 web pažeidžiamumų supratimas. Antri metai – OSCP pasiruošimas ir laikymas, pirmieji bug bounty bandymai, portfelio kūrimas. Treti metai – specializacija, galbūt pirmoji darbo pozicija saugumo srityje.
Svarbiausia – nuoseklumas. Geriau mokytis po valandą kasdien nei 10 valandų kartą per savaitę. Ši sritis reikalauja, kad žinios „nusistovėtų” ir taptų intuityvios.
Bendruomenė čia labai svarbi. Lietuvoje yra aktyvūs kibernetinio saugumo specialistai LinkedIn’e, vyksta renginiai kaip No-Fluff Jobs konferencijos, tarptautiniai CTF’ai, kuriuose dalyvauja lietuviai. Prisijunk prie Discord serverių, skirtų TryHackMe ir HackTheBox – ten galima gauti pagalbos ir pamatyti, kaip mąsto kiti.
Galiausiai – mąstysena yra svarbesnė nei bet kuris įrankis. Geras etinis hakeris yra smalsus, metodiškas ir kantrus. Jis nemeta problemos po pirmų nesėkmingų bandymų. Jis skaito dokumentaciją, eksperimentuoja, klausia klausimų. Technologijos keičiasi, įrankiai keičiasi, bet gebėjimas sistemingai mąstyti ir ieškoti silpnų vietų – tai išlieka. Ir būtent tai skiria tikrą specialistą nuo žmogaus, kuris tiesiog žino, kaip paleisti nmap.
