Eetiline häkker: mida ta tohib, mida ta annab ja kuidas head ära tunda

„Häkkeri palkamine“ kõlab vastuoluna: sa maksad kellelegi selle eest, et ta sinu enda süsteemidesse sisse murraks. Just see ongi mõte. Eetiline häkker – eesti keeles ka valge mütsi häkker või lihtsalt penetratsioonitestija – ründab sinu süsteeme samade tööriistade ja mõtteviisiga nagu päris ründaja, ainult sinu kirjaliku loaga ja lunarahanõude asemel aruandega lõpus.

See artikkel käib läbi, mida eetiline häkker tegelikult teeb, mis eristab teda õiguslikult ründajast, millised päringud tõsiseltvõetav pakkuja tagasi lükkab ja millised viis küsimust enne tellimist esitada.

Mida eetiline häkker konkreetselt teeb

Igapäevatööl on kapuutsiga häkkeri kujundiga vähe pistmist. Suurem osa on lugemine, proovimine ja dokumenteerimine.

• Ründepinna kaardistamine. Millised süsteemid on internetist üldse kättesaadavad, millised alamdomeenid eksisteerivad, millised tehnoloogiad nende all töötavad. Regulaarselt ilmub sealt välja mõni testsüsteem, millest ettevõttes enam keegi ei teadnud.
• Autentimise ja autoriseerimise kontroll. Kas end saab kellegi teisena esitleda? Kas tavakasutaja näeb andmeid, mis talle ei kuulu? See on valdkond, kus tekivad kõige tõsisemad leiud, ja ükski skanner neid ei leia.
• Äriloogika ründamine. Soodustuse kahekordne lunastamine, tellimuse sammudest ülehüppamine, negatiivsete summade saatmine. Vead, mis näevad tehniliselt korrektsed välja ja on majanduslikult kallid.
• Leidude aheldamine. Kaks omaette kahjutut pisiasja annavad koos sageli täieliku ülevõtmise. Just selle ahela peab aruanne välja tooma.
• Tõendite esitamine. Leid ilma korratava tõendita on väide. Tõend ongi see, mis eristab skanneri väljavõtte testist.

Kuidas see üksikasjades kulgeb, kirjeldame artiklis mis on penetratsioonitest.

Mis eristab teda õiguslikult ründajast

Erinevus ei ole tehnikas. Tehnika on identne. Erinevus on kolmes dokumendis.

• Tellimus. Õigustatud isiku kirjalik luba. Ilma selleta vastavad samad teod karistusseadustiku koosseisudele: § 217 – arvutisüsteemile ebaseadusliku juurdepääsu hankimine, § 206 – arvutiandmetesse sekkumine ja olenevalt tegevusest § 207 – arvutisüsteemi toimimise takistamine. Hea kavatsus seda ei muuda.
• Ulatus. Täpne määratlus, mida testitakse ja mida mitte. Ulatusest välja jäävat süsteemi jätab testija rahule ka siis, kui ta seal vea näeb.
• Kokkulepitud reeglid. Ajaaken, lubatud tehnikad, eskaleerimiskontaktid ja sammud, mis tuleb eelnevalt eraldi heaks kiita. Nende hulka kuuluvad tavaliselt käideldavuse vastu suunatud rünnakud (teenusetõkestus), masskirjade saatmine ja sekkumine tootmisandmetesse.

Üks asi, mis praktikas regulaarselt kahe silma vahele jääb: tellimus peab tulema sellelt, kes süsteemi tegelikult käitab. Võõras pilves töötava rakenduse või SaaS-teenuse puhul ei ole see automaatselt sinu ettevõte ning teenusepakkuja kasutustingimused võivad teste piirata või nõuda etteteatamist.

Millised päringud me tagasi lükkame

Otsingupäring „häkkeri palkamine“ toob kokku kaks väga erinevat kavatsust, seetõttu siin üheselt: me testime üksnes süsteeme, mille kohta on olemas õigustatud isiku kirjalik tellimus.

Me ei võta töösse – olenemata põhjendusest ja olenemata tasust – järgmist:

• juurdepääsu võõrastele kontodele, postkastidele, sõnumitele või seadmetele, sealhulgas lähedaste, partnerite või töötajate omadele;
• ligipääsu taastamist kontodele, mis sulle tõendatavalt ei kuulu;
• teste konkurendi, tarnija või kliendi süsteemidel ilma nende endi tellimuseta;
• inimeste jälgimist.

See ei ole formaalsus ega läbirääkimisruum. See on piir teenuse ja kuriteo vahel – ja pakkuja, kes selle üle kaubelda laseb, ei ole ka sinu andmete juures turvaline partner.

Eetiline häkkimine, penetratsioonitest, red teaming

Neid kolme mõistet kasutatakse päringutes sageli sünonüümidena, kuid nad tähendavad erineva suurusega teenuseid.

Kui soovid midagi osta, osta penetratsioonitest. Ainult see mõiste toob kaasa ulatuse, ajaraami ja määratud tulemi. „Eetiline häkkimine“ üksi ei ütle teenuse mahu kohta midagi – ja pakkumist, mis on ainult nii pealkirjastatud, ei saa ühegi teisega võrrelda.

Kuidas head ära tunda

Testi kvaliteet on suures osas selle konkreetse inimese kvaliteet, kes selle läbi viib. Viis küsimust, mida saab enne tellimist kontrollida:

1. Kes nimeliselt testib ja milliste sertifikaatidega? Kaalu on praktilistel sertifikaatidel, mille eksam tehakse päris süsteemil: OffSeci OSCP ja OSWE, red teamingu projektide jaoks Red Team Ops, mobiilirakenduste jaoks eMAPT. CISSP ja CCSP on juhtimis- ja arhitektuurisertifikaadid – meeskonnas väärtuslikud, kuid testimisoskuse tõendina ei kõlba. Meie meeskonna ja sertifikaadid leiad lehelt meist.
2. Kas enne otsust saab anonüümitud näidisaruande? Mitte alles pärast allkirja. Aruanne on toode; kes seda näidata ei taha, sellel on selleks põhjus.
3. Millise metoodika järgi testitakse? OWASP WSTG, ASVS ja muud standardid muudavad katvuse kontrollitavaks ja aruanded aastate ning pakkujate lõikes võrreldavaks.
4. Kuidas testandmeid käideldakse? Kus leide hoitakse, kui kaua, millal need kustutatakse – ja kas on olemas vastutuskindlustus?
5. Kas pakkuja on sõltumatu? Kes leiab vead ja parandab need seejärel ise lisatasu eest, kaotab just selle sõltumatuse, mille pärast audiitor aruannet tunnustab.

Kuues küsimus, mis on vähem tehniline ja ütleb sellegipoolest palju: kas pakkuja ütleb sulle ka seda, millal sa testi ei vaja? Kes vastab igale päringule sama pakkumisega, ei ole ulatust mõistnud.

Millal sa eetilist häkkerit vajad

• Enne kasutuselevõttu, kui rakendus töötleb kliendiandmeid või makseid.
• Pärast suuremat muudatust autentimises, rollimudelis või arhitektuuris.
• Kui klient või audiitor nõuab tõendit – ISO 27001 või NIS2 puhul on testiaruanne tavapärane viis.
• Kui soovid kontrollida inimtegurit, mitte tehnikat – siis vajad sotsiaalse manipuleerimise simulatsiooni.
• Regulaarselt, tavaliselt kord aastas, sest nii sinu süsteemid kui ka ründetehnikad arenevad edasi.

Mida selline tellimus maksab, arvutame lahti artiklis kui palju maksab penetratsioonitest.

Eetiline häkker – korduvad küsimused

Seotud Haxorise teenused: veebirakenduste ja taristu läbistustestimine · red teaming — päris rünnaku simulatsioon · sotsiaalse manipuleerimise ja andmepüügi testimine