Etinis hakeris: kam patikėti patikrą ir ko paprašyti prieš pasirašant sutartį

„Pasisamdysiu hakerį“ skamba kaip pokštas tik tol, kol to nereikia nusipirkti iš tikrųjų: išsirinkti rangovą, pasirašyti sutartį ir įleisti svetimus žmones ten, kur guli klientų duomenys. Tada paaiškėja, kad etinis hakeris – nereglamentuota profesija: šioje rinkoje nėra nei slenksčio, nei sąrašo. Parašyti savo svetainėje „atliekame pentestus“ gali bet kas, o skirtumas išryškėja tik ataskaitoje, tai yra jau po sąskaitos.

Toliau šis pirkinys išardytas į dalis: kam iš tikrųjų patikima patikra, iš ko matyti, kad rangovas moka tai, ką žada, ką būtina įrašyti į sutartį ir kaip atrodo ataskaita, už kurią verta mokėti. Pačią paslaugą aprašėme atskirai: kas yra įsilaužimų testavimas.

Ką etinis hakeris veikia kasdien

Kasdienis darbas mažai ką bendro turi su gobtuvą užsimaukšlinusio hakerio paveikslėliu iš nuotraukų banko. Didžioji dalis – skaitymas, bandymas ir dokumentavimas.

• Viešai prieinamų išteklių žvalgyba. Kas apskritai matoma iš interneto, kokie subdomenai gyvi, kokia technologija po jais sukasi. Reguliariai iš ten išnyra kokia nors testinė aplinka, kurios įmonėje jau niekas nebeprisiminė.
• Autentifikacija ir prieigos teisės. Ar galima apsimesti kitu naudotoju? Ar paprasta paskyra mato duomenis, kurie jai nepriklauso? Čia gimsta sunkiausi radiniai, ir jų neranda nė vienas skeneris.
• Verslo logika. Dukart panaudotas nuolaidos kuponas, praleistas užsakymo žingsnis, pavedimas su neigiama suma. Kodo požiūriu niekas nelūžta, o pinigai nuteka.
• Pažeidžiamumų jungimas į grandinę. Du menkniekiai, iš kurių kiekvienas atskirai nieko neduoda, kartu atveria administratoriaus prieigą. Būtent šią grandinę ir parodo ataskaita.
• Įrodymai. Radinys be pakartojamo įrodymo – tik nuomonė. Įrodymas ir yra tai, kas testą skiria nuo skenerio sąrašo.

Pareigybės pavadinimas būna skirtingas, darbas tas pats. Svetainėse ir darbo skelbimuose vienodai dažnai pasitaiko „etinis hakeris“, „etinis įsilaužėlis“, „pentesteris“ ir „saugumo testuotojas“, kalbama ir apie „baltuosius hakerius“. Užsakyti vis dėlto verta įsilaužimų testavimą: tik šis pavadinimas turi apimtį, grafiką ir rezultatą pabaigoje. Pasiūlymo, kurio antraštėje parašyta „etinio hakerio paslaugos“, nėra su kuo palyginti, nes apie darbo apimtį jis nepasako nieko.

Lietuvos teisė šioje vietoje nepadeda. Įsilaužimų testavimo ji atlikti neįpareigoja, o Kibernetinio saugumo reikalavimų apraše išvardytos trys atskiros pareigos, ir nė viena iš jų nėra įsilaužimų testas: pažeidžiamumų skenavimas ne rečiau kaip kas 6 mėnesius (45.8 papunktis), kasmetinis atitikties vertinimas, kurį subjektas atlieka pats (48.1 papunktis), ir auditas ne rečiau kaip kas 3 metus (48.3 papunktis, KSĮ 14 str. 8 d.). Vadinasi, testo apimtį, kokybės kartelę ir rezultatą nustato ne teisės aktas, o pirkimo dokumentas ir sutartis.

Kas skiria etinį hakerį nuo užpuoliko

Ne technika – ji ta pati. Skirtumas glūdi trijuose dokumentuose.

• Rašytinis leidimas. Įgalioto asmens sutikimas, gautas prieš pradedant darbą. Jis ateina iš to, kas sistemą iš tikrųjų valdo: svetimoje debesijoje veikiančios aplikacijos ar SaaS paslaugos atveju tai ne visada užsakovo įmonė, o paslaugos teikėjo sąlygos testą neretai riboja arba sieja su išankstiniu pranešimu.
• Apimtis. Tikslus sąrašas, kas į patikrą įeina ir kas ne. Už apimties ribų likusią sistemą testuotojas palieka ramybėje net ir tada, kai mato joje klaidą.
• Testavimo taisyklės. Laikas, leidžiami metodai, eskalavimo kontaktai ir tie veiksmai, kuriems reikia atskiro sutikimo. Paprastai tarp jų – atakos prieš prieinamumą, masinis laiškų siuntimas ir kišimasis į gamybinės aplinkos duomenis.

Be šių trijų dokumentų ta pati veikla nustoja būti paslauga. Testą teisėtą daro rašytinis užsakovo leidimas ir sutarta apimtis, o ne kokia nors registracija: registro Lietuvoje paprasčiausiai nėra. Kaip konkreti situacija kvalifikuojama, priklauso nuo aplinkybių – nuo to, apie kieno sistemą ir kieno duomenis kalbama, – ir tai klausimas advokatui, o ne testuotojui. Rangovui šioje vietoje lieka viena pareiga: be rašytinio leidimo nepradėti.

Verta žinoti ir tai, ko rašytinis leidimas nepakeičia. Kibernetinio saugumo įstatymo 25 straipsnis numato siaurą apsaugą sąžiningam pažeidžiamumų paieškos atvejui, bet su griežtomis sąlygomis: apie radinį per 24 valandas pranešama Nacionaliniam kibernetinio saugumo centrui, pažeidžiamumą patvirtinus veiksmai nutraukiami, slaptažodžiai nespėliojami, darbuotojais nemanipuliuojama, o skelbti galima tik pasibaigus 90 dienų embargui (centras jį gali sutrumpinti, bet ne trumpiau kaip iki 3 dienų). Ši nuostata taikoma kibernetinio saugumo subjektų valdomoms sistemoms ir nėra užsakomojo testavimo pagrindas – užsakytas darbas remiasi sutartimi, o ne šia išimtimi. Beje, iš jos matyti ir tai, kodėl socialinės inžinerijos testavimas be aiškaus rašytinio susitarimo apskritai neįmanomas.

Kokių užsakymų nepriimame

Paieška „pasisamdyti hakerį“ jungia du visiškai skirtingus ketinimus, todėl vienareikšmiškai: testuojame tik tas sistemas, dėl kurių gautas įgalioto asmens rašytinis leidimas.

Nepriimame – nesvarbu, kaip pagrindžiama ir kiek mokama:

• svetimos paskyros, pašto dėžutės, susirašinėjimo ar įrenginio prieigos gavimo, net jei kalbama apie artimąjį, verslo partnerį ar darbuotoją;
• paskyros prieigos atkūrimo, kai negalima įrodyti, kad ta paskyra priklauso užsakovui;
• konkurento, tiekėjo ar kliento sistemų patikros be jų pačių užsakymo;
• žmonių sekimo.

Tai ne formalumas ir ne derybų objektas. Rangovas, kuris dėl šios ribos derasi, derėsis ir dėl užsakovo duomenų.

Sertifikatai: ką kiekvienas iš jų patvirtina

Sertifikatas – vienintelis plačiai prieinamas matas, tik matuoja jis labai skirtingus dalykus. Riba eina tarp praktinio egzamino, laikomo veikiančioje sistemoje, ir testų tipo egzamino apie saugumo valdyseną.

Du dalykus galima patikrinti per ketvirtį valandos. Pirma, sertifikatas priklauso žmogui, o ne įmonei – todėl prašykite dirbsiančių specialistų vardų, o ne apibendrinto sąrašo iš svetainės. Antra, OffSec ir ISC2 tvarko viešai tikrinamus registrus, taigi prašykite identifikatoriaus arba nuorodos, o ne ekrano nuotraukos.

To paties prašykite ir iš mūsų. Mūsų komanda ir jos sertifikatai skelbiami viešai, su vardais ir vaidmenimis, o nuasmenintą ataskaitos pavyzdį pateikiame prieš sutartį, o ne po jos.

Ką apie testuotoją sako Lietuvos teisė

Trumpas atsakymas – nieko. Įsilaužimų testavimo Lietuvos teisės aktai atlikti neįpareigoja, o testuotojams nenumatyta nei licencijos, nei registracijos, nei kvalifikacijos kartelės. NIS2 direktyva Lietuvoje perkelta Kibernetinio saugumo įstatymu, išdėstytu nauja redakcija (Nr. XIV-2902, įsigaliojo 2024 m. spalio 18 d.), ir jokios testuotojų registracijos ta redakcija neįvedė.

Kvalifikacijos reikalavimas teisės akte iš tikrųjų yra, tik jis skirtas auditui. Kibernetinio saugumo įstatymo 14 str. 8 d. numatytą kibernetinio saugumo auditą, atliekamą ne rečiau kaip kas 3 metus, atlieka nepriklausomi, tarptautiniu mastu sertifikuoti auditoriai, papildomai baigę Nacionalinio kibernetinio saugumo centro nustatytus mokymus ir išlaikę jo kvalifikacinį egzaminą. Tai kita procedūra ir kitas vaidmuo, o ne įsilaužimų testas. Kas kokį auditą gali atlikti, išnagrinėjome atskirai: kas gali atlikti kibernetinio saugumo auditą.

Šalia stovi dar dvi pareigos, kurios taip pat nėra testas: pažeidžiamumų skenavimas ne rečiau kaip kas 6 mėnesius ir kasmetinis atitikties vertinimas, kurį subjektas atlieka pats. Dažnai suklystama ir dėl terminų. Jie skaičiuojami ne nuo visai rinkai bendros datos, o nuo kiekvieno subjekto registracijos Kibernetinio saugumo informacinėje sistemoje: organizaciniams reikalavimams skiriama 12 mėnesių, išvardytiems techniniams – 24 mėnesiai.

Iš to plaukia praktinė išvada: rangovo patikra – jūsų pačių darbas, ir joks registras jo nepalengvins. Kokybės kartelę į techninę specifikaciją tenka įsirašyti patiems, o tolesni skyriai kaip tik tam ir skirti.

Todėl ir apie save kalbame aiškiai. HAXORIS – įmonė, registruota Slovakijoje, Europos Sąjungos ir NATO valstybėje narėje, o Lietuvoje įsilaužimų testams atlikti jokios registracijos nenumatyta. Kibernetinio saugumo įstatymo 14 str. 8 d. numatyto audito neatliekame, išvadų dėl įstatymo reikalavimų vykdymo neteikiame ir sertifikatų neišduodame. Mūsų dalis – techninis testavimas ir pasirengimas: ataskaita su įrodymais, kurią auditorius gali pridėti prie savo medžiagos.

Ką būtina įrašyti į sutartį

Įsilaužimų testavimo sutartis nėra vienas sakinys apie „saugumo patikrų atlikimą“. Toliau – minimumas, kurio trūkumą užsakovas paprastai pastebi tik tada, kai jau nutiko kas nors bloga.

• Apimtis. Adresų, domenų, aplikacijų, vaidmenų ir testinių paskyrų sąrašas. Išimtys išvardijamos atskirai, kartu su trečiųjų šalių sistemomis, dėl kurių leidimo nėra.
• Testavimo laikas. Darbo dienos ir valandos, taip pat tai, ar apkrovą keliančios patikros vyksta ne darbo metu. To nesuderinus, iš pirmo pavojaus signalo išauga nereikalingas krizinis pasitarimas.
• Kontaktiniai asmenys ir eskalavimas. Kas abiejose pusėse pakelia telefoną naktį, jei testas pargriauna paslaugą arba jei testuotojas užtinka svetimo įsilaužimo pėdsakų. Antrasis atvejis pasitaiko dažniau, nei atrodo iš pasiūlymų.
• Testavimo duomenų tvarkymas. Kur laikomi įrodymai ir per patikrą gauti duomenys, kas turi prieigą, kiek laiko jie saugomi ir kada sunaikinami. Jei į apimtį gali patekti asmens duomenys, išsiaiškinami duomenų valdytojo bei duomenų tvarkytojo vaidmenys ir sudaroma juos atitinkanti BDAR sutartis.
• Konfidencialumo sutartis (NDA). Pasirašoma prieš pokalbį apie apimtį, o ne po pagrindinės sutarties: jau pats derinimas atskleidžia architektūrą.
• Profesinės civilinės atsakomybės draudimas. Ar jis yra, kokiai sumai ir ar dengia gamybinėje aplinkoje padarytą žalą.
• Viešinimas ir rekomendacijos. Ar rangovas gali įvardyti įmonę kaip klientą, rašyti apie ją kliento istoriją ir pranešti apie rastą klaidą programinės įrangos gamintojui. Jei gali, tai per kokį terminą ir kieno sutikimu.
• Pakartotinis patikrinimas. Sutartyje, su terminu ir kaina, arba įskaičiuotas į testo kainą. Pakartotinis patikrinimas nėra naujas testas: po pataisymų peržiūrimos pažymėtos vietos, o ne visa aplikacija iš naujo.
• Subrangovai. Kas darbą atlieka fiziškai. Pasitaiko, kad pasiūlyme minimi vardai ir projekte dirbantys žmonės – dvi skirtingos aibės.

Kaip atrodo ataskaita, už kurią verta mokėti

Ataskaita – vienintelis išliekantis testo rezultatas. Po metų niekas nebeprisimins pokalbių, o auditorius paprašys dokumento. Naudingoje ataskaitoje yra:

• vadovybei skirta santrauka verslo kalba;
• radinių skaičius ir pasiskirstymas pagal rizikos lygį;
• prie kiekvieno radinio – identifikatorius ir pavadinimas, rizikos vertinimas pagal CVSS skalę, techninis aprašymas su įrodymu, kurio pakanka radiniui pakartoti, ir pabaigoje konkretus šalinimo nurodymas.

Du dalykus verta padaryti dar prieš sprendimą. Paprašykite nuasmeninto ataskaitos pavyzdžio – prieš pasirašant, o ne po to; ataskaita ir yra pats produktas, o tas, kuris jos nerodo, turi savo priežastį. Ir perskaitykite rekomendacijas: iš sakinio „rekomenduojame įdiegti geriausią praktiką“ niekas nieko padaryti negali, o „rekomenduojame X antraštėje nustatyti reikšmę Z“ komandai – popietės darbas.

Ataskaitos forma nustoja būti skonio reikalas tada, kai tampa įrodymu. Kibernetinio saugumo subjektams Kibernetinio saugumo reikalavimų aprašas nustato kasmetinį atitikties vertinimą, kurį subjektas atlieka pats, ir pažeidžiamumų skenavimą ne rečiau kaip kas 6 mėnesius. Abiem atvejais reikia dokumento, kurį po metų suprastų ir kitas skaitytojas. Ko prašo auditorius ir ką verta pasirengti iš anksto, aprašėme straipsnyje apie kibernetinio saugumo auditą. Patį auditą atlieka nepriklausomas auditorius, o mūsų dalis – techniniai įrodymai: pakartojami radiniai, rizikos vertinimas, šalinimo eiliškumas ir rašytinė pakartotinio patikrinimo išvada.

Įspėjamieji ženklai

• Skenavimas, parduodamas kaip įsilaužimų testas. Tokį pasiūlymą atpažinsite iš to, kad prie kiekvieno radinio stovi iš duomenų bazės nukopijuotas aprašymas, o nė vienam iš jų nėra išnaudojamumo įrodymo. Pažeidžiamumų vertinimas – savarankiška, pigesnė ir visiškai prasminga paslauga, tik tai nėra testas ir tiek jis nekainuoja. Abu palyginome atskirai: pažeidžiamumų skenavimas ar įsilaužimų testavimas.
• Kaina prieš suderinant apimtį. Kas įvardija sumą dar neišsiaiškinęs aplikacijų, vaidmenų ir integracijų skaičiaus, arba spėja, arba ruošiasi parduoti skenavimą. Kainą lemiančius veiksnius surinkome straipsnyje kiek kainuoja įsilaužimų testavimas.
• Pasiūlymas be pakartotinio patikrinimo. Nepatikrinus pataisymų, iš testo lieka užduočių sąrašas, kurio niekas niekada nepriima.
• „Sertifikuotų ekspertų komanda“ be vardų. Rangovas, kuris savo komandos neįvardija ir nepateikia nė vieno patikrinamo identifikatoriaus, siūlo reklamą, o ne rekomendaciją.
• Klaidą randa ir taiso tas pats rangovas. Kas klaidą randa, o paskui už atlygį pats ją ir uždaro, praranda būtent tą nepriklausomumą, dėl kurio auditorius ataskaitą apskritai priima. Tą patį principą teisės aktas taiko ir audito pusėje: Kibernetinio saugumo įstatymo 14 str. 8 d. numatytą auditą atlieka nepriklausomi auditoriai.
• Rėmimasis neegzistuojančiu registru arba neegzistuojančia pareiga. Pasiūlymas, žadantis „registruoto įsilaužimų testuotojo“ statusą, remiasi sąrašu, kurio Lietuvoje niekada nebuvo. Taip pat netiesa, kad NIS2 arba Kibernetinio saugumo įstatymas reikalauja įsilaužimų testo kasmet: kasmet atliekamas atitikties vertinimas, kurį subjektas vykdo pats, pažeidžiamumų skenavimas privalomas ne rečiau kaip kas 6 mėnesius, o auditas – ne rečiau kaip kas 3 metus. Šį klausimą išsprendėme atskirai: ar įsilaužimų testavimas privalomas.

Penki klausimai prieš pasirašant

1. Kas konkrečiai testuos sistemas – kokie testuotojų vardai ir kokie jų sertifikatai? Svarbus praktinis egzaminas, išlaikytas veikiančioje sistemoje. CISSP ir CISA komandoje vertingi, bet testavimo įgūdžių nepatvirtina.
2. Ar prieš sprendimą gausiu nuasmenintą ataskaitos pavyzdį? Prieš pasirašant, o ne po to.
3. Pagal kokią metodiką dirbama? OWASP WSTG, ASVS ir kitos metodikos naudingos tuo, kad aprėptis tampa patikrinama, o skirtingų metų ataskaitos – palyginamos.
4. Kas nutiks testavimo duomenims? Saugojimo vieta ir terminas, sunaikinimo momentas, prieigą turinčių asmenų ratas – ir ar rangovas turi profesinės civilinės atsakomybės draudimą.
5. Ar pakartotinis patikrinimas įskaičiuotas į kainą, o jei ne – kiek jis kainuoja ir per kiek laiko jo galima paprašyti? Atsakymas „aptarsime vėliau“ reiškia, kad neaptars.

Šeštasis klausimas – mažiausiai techninis, o pasako daugiausiai: ar rangovas pasako ir tada, kada testo nereikia? Kas į kiekvieną užklausą siunčia tą patį pasiūlymą, apimties nesuprato. Kartais prasmingesnis pirmas žingsnis – socialinės inžinerijos testavimas, jei rizika sėdi prie žmonių, arba Red Team atakos simuliacija, jei klausiama ne apie tai, ar galima įsilaužti, o apie tai, ar kas nors tai pastebės.

Etinis hakeris – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: web aplikacijų ir IT infrastruktūros įsilaužimų testavimas