Содержание:
- Кто такой хакер
- Этика хакеров
- Какими бывают хакеры
- План атакующего: как проводят законные взломы информационных систем
- Основные «действующие игроки» санкционированных атак: словарь базовых терминов
- Где хакеру тренироваться легально
Кто такой хакер
Слово «хакер» появилось задолго до первого компьютера. Оно восходит к первому значению английского глагола 'to hack' ― «рубить», «обтесывать». Исторически хакерами называли дровосеков или плотников ― мастеров своего дела, способных ювелирно точно работать с деревом, например ― срубить дерево одним ударом. В 1960-е годы у слова появилось и другое значение: тогда хакерами стали называть себя те, кто работал с компьютерами, потому что разобраться во внутренней архитектуре компьютеров того времени было непросто. И лишь спустя еще два десятилетия понятие обрело тот смысл, который вкладывают в него сегодня.
Сейчас хакер — это далеко не взломщик или злоумышленник, который похищает данные у банков и крупных компаний (хотя именно так хакеров обычно и любят изображать в кино). Хакер ― это эксперт, который за счет безупречных знаний и нестандартного мышления находит слабые места системы и через них достигает поставленной цели.
Киберфестиваль «Positive Hack Days 2». Источник: vk.com/bit.itmo
Этика хакеров
Как и у любых профессионалов, у хакеров есть свод убеждений. Вспомним, например, «Манифест хакера», составленный в 1986 году Лойдом Блэнкеншипом, более известным под ником The Mentor. Текст стал известен после ареста Лойда агентами ФБР. Хакеру выдвинули обвинения по нескольким статьям, он признал вину, но подчеркнул, что его единственное преступление — любопытство. В манифесте утверждается, что хакерство не должно вредить людям или служить эгоистичным целям. Главная цель хакеров ― получение новых знаний.
Есть и вторая версия появления манифеста. В соответствии с ней в основу манифеста легла вторая глава книги «Хакеры: Герои компьютерной революции» американского журналиста и писателя Стивена Леви. Если коротко пересказывать эту главу, то мы получим семь следующих убеждений:
- доступ к информации не должен ограничиваться;
- информация должна предоставляться бесплатно;
- обмен информацией должен проводиться свободно по всем континентам;
- хакеров судят только по их знаниям;
- в Сети не должно быть дискриминации по цвету кожи, национальности, полу, возрасту или другим критериям;
- компьютер предназначен только для создания того, что помогает, а не вредит людям;
- компьютеры могут изменить твою жизнь к лучшему, просто нужно знать, как их правильно использовать.
Киберфестиваль «Positive Hack Days 2». Источник: vk.com/bit.itmo
Какими бывают хакеры
Разными. Принадлежность к конкретной «команде» определяет невидимая шляпа, которую «носит» хакер. Традиция пришла в IT из вестернов 1920-х. В то время картинка и звук в кино были довольно плохими, и зрители часто не могли распознать, кто на экране ― протагонист или антагонист. Делить героев на «плохих» и «хороших» решили с помощью шляп: первые носили черные, вторые — белые.
Только в комьюнити хакеров шляп стало в несколько раз больше:
Белый хакер (White Hat). Он соблюдает этику хакеров, поэтому также его часто называют этичным хакером. Чаще всего белыми хакерами сейчас называют специалистов отделов кибербезопасности, которые контролируют информационные системы, ищут в них бреши и защищают от несанкционированного проникновения. Чтобы подтвердить звание этичного хакера, можно даже сдать международный экзамен Certified Ethical Hacker.
Черный хакер (Black Hat). Проводит несанкционированный взлом информационных систем, чтобы получить личную выгоду. Такая деятельность вне закона, его осуждают белые хакеры.
Серый хакер (Gray Hat). Чаще всего действует в рамках этики и закона, но может ими и пренебречь ― если видит в этом личную выгоду. Например, может продать данные на черном рынке, если ему не заплатят за работу или дадут по его меркам недостаточно.
Красные хакеры (Rad Hat, State Sponsored Hat или Линчеватели). Обеспечивают информационную безопасность государства. Их задача — ловить кибертеррористов, черных хакеров и других преступников.
Помимо этой классификации, прижились и другие названия отдельных групп хакеров:
Скрипткиддисы (Script Kiddie). Это начинающие специалисты в области кибербезопасности, которые пытаются взламывать системы ради интереса и самоутверждения. Как правило, везде и всем рассказывают о себе. Уже сложившиеся профессионалы так делать не будут.
Кракеры (Cracker). Взламывают веб-серверы ради самого факта взлома.
Кардеры (Carder). Работают только в банковской сфере, собирая информацию о банковских картах. Они выводят деньги со счетов, проводят транзакции через несколько серверов, собирают деньги в оффшорах.
Кибертеррористы (CyberTerrorist). Одни из самых опасных хакеров. Именно они взламывают электростанции, устраивают массовое отключение светофоров в городах или могут похитить важную базу данных.
Киберфестиваль «Positive Hack Days 2». Источник: vk.com/bit.itmo
План атакующего: как проводят законные взломы информационных систем
Взломы бывают не только несанкционированными ― то есть когда систему атакует кибертеррорист, но и законными ― когда белый хакер проверяет степень защищенности системы. Последнее называется пентестом (от английского penetration testing ― «тестирование на проникновение»).
Пентест — это комплекс мер, которые имитируют реальную атаку на сеть или приложение. Цель пентестера — понять, может ли потенциальный злоумышленник взломать систему относительно текущей модели угроз. Для этого хакеры-тестировщики сами пытаются атаковать систему и, например, получить контроль над данными или сделать «отказ в обслуживании». Во время такой работы специалисты ищут и анализируют уязвимости, которые могут нарушить работу системы или дать злоумышленникам доступ к конфиденциальным сведениям. При этом они действуют с позиции реального атакующего ― то есть имитируют взлом системы разными способами.
Любая атака, кто бы ее ни проводил, проходит по стандартному плану действий:
- проведение разведки (в том числе с использованием OSINT),
- сканирование информационной системы (сбор дополнительных данных и их анализ),
- первичное проникновение в систему,
- попытка остаться в системе и достичь цели,
- сокрытие следов (этот шаг проходит и пентестер, так как ему тоже важно знать, могут ли злоумышленники остаться незамеченными).
План можно повторять множество раз, пробовать атаковать и пытаться остаться в системе разными способами и собирать больше информации о системе.
Киберфестиваль «Positive Hack Days 2». Источник: vk.com/bit.itmo
Основные «действующие игроки» санкционированных атак: словарь базовых терминов
Центральная фигура любого взлома — модель нарушителя. Это список исходных прав и точек доступа потенциального нарушителя, например — черного хакера или кибертеррориста. Именно с этими исходными данными ИБ-специалисты начинают развитие атаки.
Те неблагоприятные последствия, которых нарушитель хочет добиться в момент или после взлома, называются угрозой. Это может быть утечка данных, за которой, например, последуют финансовые или репутационные потери компании.
Реализуется угроза через конкретную атаку. Под этим понимается последовательность действий, направленная на использование уязвимостей системы для достижения цели, и набор способов обхода имеющихся у системы механизмов защиты.
На основе собранных данных генерируется полезная нагрузка, например специальный код, эксплуатирующий уязвимость, с помощью которого происходит взлом системы.
Среди самых распространенных атак — вредоносное ПО, фишинговые атаки (в том числе рассылки пользователям, открывающие доступ к администрированию систем), инсайдерские атаки (покупка закрытых данных) и атаки на ПО или «железо», выводящие технику или отдельные приложения из строя.
Киберфестиваль «Positive Hack Days 2». Источник: vk.com/bit.itmo
Где хакеру тренироваться легально
Придумывать собственные лабораторные задачи и пробовать искать их решения. Это сложнее, чем работы с готовыми материалами, однако и прокачать навыки удастся значительно эффективнее.
Решать готовые лабораторные задачи. Найти их можно на открытых платформах с заданиями, например, HackTheBox, PortSwigger Web Academy, Blue Team Labs и CyberDefenders.
Участвовать в CTF-соревнованиях и кейс-чемпионатах. Их часто проводят крупные IT-компании или вузы, поэтому можно время от времени просматривать сайты и соцсети интересующих вас организаций и университетов. Наиболее полную актуальную информацию о CTF-соревнованиях можно найти на сайте CTFtime.
Выполнять задания Bug Bounty. Это программа, в которой участвуют крупные компании и предлагают плату за найденные в их системах дефекты. Важно учесть: такие задания должны быть заранее оговоренной сделкой. Если хакер просто находит уязвимость и начинает требовать выплаты от компании, он автоматически попадет в разряд серых.
Проводить пентесты на заказ. Для этого придется устроиться в компанию, которая предоставляет подобные услуги. Другой вариант ― получать заказы от организаций на биржах для фрилансеров. Главное — всегда спрашивайте себя перед началом работ: точно ли то, что я делаю, — разрешенная законом деятельность.
Николай Панченко. Источник: vk.com/bit.itmo
Лекция Николая Панченко ― часть программы киберфестиваля «Positive Hack Days 2». Мероприятие собрало экспертов из Авито, T-Банк, МТС и других компаний. Они рассказали, как начать развиваться в сфере информационной безопасности, что поможет определиться с направлением, где искать стажировки и первую работу. Соорганизатором фестиваля выступил факультет безопасности информационных технологий ИТМО.