Kaip įsilaužti legaliai – podkastas

Įsilaužimas metų metus vaizduojamas kaip tamsi, neteisėta veikla: rūsys, gobtuvas ir mirguliuojantis ekranas. Iš tikrųjų tas pats darbas gali būti visiškai teisėtas, o kibernetiniame saugume jis – vienas naudingiausių. Kaip tik apie tai kalbėjau podkasto epizode „How to Hack Legally“: apie etinį įsilaužimą ir apie tai, kaip į svetimą sistemą įeinama tinkamai, tai yra su leidimu.

Įrašas – slovakų kalba. Toliau ta pati mintis išdėstyta lietuviškai ir susieta su Lietuvos teisiniu rėmu.

Kas yra etinis įsilaužimas

Etinis įsilaužimas – tai sistemų, aplikacijų ir tinklų tikrinimas, kuriuo pažeidžiamumai randami anksčiau už užpuoliką. Praktikoje ši paslauga vadinama įsilaužimų testavimu – apie tai, kas yra įsilaužimų testavimas, rašėme atskirame straipsnyje. Įrankiai ir metodai – tie patys, kuriuos pasitelktų nusikaltėlis. Skiriasi vienas dalykas: aiškiai išreikštas sistemos valdytojo leidimas. Įmonės ir įstaigos užsako tikroviškos atakos imitaciją būtent tam, kad sustiprintų savo gynybą.

Kas tokį darbą dirba, ką jam leidžiama daryti ir ko paprašyti prieš pasirašant sutartį, aprašėme atskirai – etinis hakeris.

Teisinė įsilaužimo pusė

Ne kiekvienas įsilaužimas yra nusikaltimas – viską lemia ketinimas, leidimas ir apimtis. Trys dalykai, be kurių testo nėra:

1. Rašytinis leidimas (auksinė taisyklė)

Be įgalioto asmens sutikimo testo nėra – lieka tik veika, kurią teks kam nors aiškinti. Etinis hakeris dirba pagal sutartį, o kiekvieną jo veiksmą patvirtina užsakovas. Geri ketinimai šio vertinimo nekeičia. Kaip konkreti situacija kvalifikuojama, priklauso nuo aplinkybių – nuo to, apie kieno sistemą ir kieno duomenis kalbama, – ir tai klausimas advokatui, o ne testuotojui. Svarbi ir antra sąlyga: leidimas turi ateiti iš to, kas sistemą iš tikrųjų valdo. Svetimoje debesijoje veikiančios aplikacijos ar SaaS paslaugos atveju tai ne visada užsakovo įmonė, o paslaugos teikėjo sąlygos testavimą neretai riboja arba sieja su išankstiniu pranešimu.

2. Sutartos apimties laikymasis

Ir su leidimu galioja ta pati taisyklė: liekama sutartose ribose. Tikrinamos tik išvardytos sistemos, vengiama duomenų nutekėjimo, laikomasi iš anksto suderintų taisyklių. Išėjimas už apimties nėra techninė smulkmena, o teisinis klausimas: leidimas dengia būtent tai, kas surašyta. Už apimties ribų likusią sistemą testuotojas palieka ramybėje net ir tada, kai mato joje klaidą.

3. Atsakingas pranešimas apie radinį

Rasto pažeidžiamumo etinis hakeris nenaudoja savo naudai – apie jį pranešama užsakovui, kad pataisymas suspėtų anksčiau už užpuoliką. Kaip tik tam ir skirta ataskaita: pakartojamas įrodymas, rizikos vertinimas ir konkretus šalinimo nurodymas.

Ką Lietuvoje leidžia Kibernetinio saugumo įstatymo 25 straipsnis

Šiuo klausimu Lietuva iš kaimynų išsiskiria: sąžininga pažeidžiamumų paieška be išankstinio sistemos valdytojo sutikimo čia aprašyta pačiame įstatyme. Kibernetinio saugumo įstatymo 25 straipsnis tokiai veiklai numato siaurą saugiklį, tačiau sąlygos griežtos:

• apie radinį per 24 valandas pranešama Nacionaliniam kibernetinio saugumo centrui;
• pažeidžiamumą patvirtinus veiksmai nutraukiami – toliau eiti nebegalima;
• slaptažodžiai nespėliojami;
• darbuotojais nemanipuliuojama, todėl socialinės inžinerijos testavimas į šį saugiklį nepatenka niekada;
• viešai skelbti galima tik pasibaigus 90 dienų embargui, kurį centras gali sutrumpinti, bet ne trumpiau kaip iki 3 dienų.

Nuostata taikoma kibernetinio saugumo subjektų valdomoms sistemoms ir nėra užsakomojo testavimo pagrindas. Užsakytas darbas stovi ant paprastesnio ir tvirtesnio pagrindo: rašytinio užsakovo leidimo ir iš anksto sutartos apimties. Iš 25 straipsnio vis dėlto matyti, kokia riba brėžiama ir sutartiniame darbe – sustojama tada, kai pažeidžiamumas patvirtintas, o ne tada, kai jau paimta viskas, ką pavyko paimti.

Pats įsilaužimų testavimas Lietuvoje nėra privalomas, o testuotojams nenumatyta nei licencija, nei registracija. NIS2 direktyva perkelta Kibernetinio saugumo įstatymu, išdėstytu nauja redakcija (Nr. XIV-2902, įsigaliojo 2024 m. spalio 18 d.), ir jokio testuotojų registro ta redakcija neįvedė. Vadinasi, testo ribas nustato ne teisės aktas, o sutartis: apimtis, leidžiami metodai, laiko langas ir eskalavimo kontaktai užrašomi prieš darbo pradžią.

Ką iš to gauna įmonė

Etinis hakeris į sistemą įsilaužia ir kaip tik tuo sustiprina jos gynybą. Keturios priežastys:

1. Prevencija vietoj gaisro gesinimo

Pažeidžiamumas randamas ir uždaromas anksčiau už užpuoliką, tai yra dar prieš incidentą.

2. Mažesnės sąnaudos

Užkirsti kelią incidentui pigiau, negu tvarkyti jo padarinius.

3. Aukštesnis saugumo lygis

Etinis hakeris pastebi ir tokias spragas, pro kurias užpuolikas galėtų praeiti nesustodamas, todėl saugumo lygis pakyla visoje sistemoje.

4. Geresnė reputacija

Įmonė, kuri saugumo klausimus sprendžia pati ir laiku, stiprina klientų ir partnerių pasitikėjimą. Kibernetinio saugumo subjektams prisideda ir praktinis motyvas: dokumentuota techninė patikra pravers rengiantis kasmetiniam atitikties vertinimui, kurį subjektas atlieka pats, ir ne rečiau kaip kas 3 metus atliekamam kibernetinio saugumo auditui. Patį auditą atlieka nepriklausomas auditorius, o techninio testavimo dalis – pakartojami radiniai, rizikos vertinimas ir šalinimo eiliškumas.

Kodėl tai svarbu

Kibernetinės grėsmės nuolat keičiasi, ir etiniai hakeriai organizacijoms reikalingi būtent tam, kad šios išliktų per žingsnį priekyje. Kas silpnas vietas randa pirmas, apsaugo duomenis, finansines sistemas ir paslaugas, nuo kurių priklauso klientai.

Etinis įsilaužimas nėra savitikslis laužymas – tai būdas skaitmeninei aplinkai tapti saugesnei. Kol jis vyksta teisėtai ir atsakingai, tai vienas vertingiausių kibernetinio saugumo įgūdžių. Praktinė forma, kuria jis užsakomas, – įsilaužimų testavimas.

Legalus įsilaužimas – dažniausiai užduodami klausimai

Susijusios Haxoris paslaugos: web aplikacijų ir IT infrastruktūros įsilaužimų testavimas