Kā legāli ielauzties svešā sistēmā – podkāsts
Galvenais īsumā
- Ielaušanos likumīgu padara trīs lietas: rakstiska atļauja, saskaņots tvērums un atbildīga ziņošana
- Rīki un paņēmieni ir tie paši, ko izmanto uzbrucējs – atšķiras nodoms, atļauja un robežas
- Krimināllikuma 241. pantā noteicošie vārdi ir „bez attiecīgas atļaujas“, un labs nodoms tos neatsver
- Ieguvums ir novērsts incidents un ziņojums, ko var parādīt klientam vai auditoram
Ielaušanos svešā sistēmā gadiem ilgi attēlo kā tumšu, nelikumīgu nodarbi: pagrabs, kapuce un mirgojošs ekrāns. Patiesībā tas pats darbs var būt pilnīgi legāls un kiberdrošībā ir viens no noderīgākajiem. Tieši par to runāju podkāsta epizodē „How to Hack Legally“: par ētisko hakeru darbu un par to, kā svešā sistēmā ielaužas pareizi, proti, ar atļauju.
Ieraksts ir slovāku valodā; tālāk tā pati saruna izklāstīta latviski.
Ko dara ētiskais hakeris
Ētiskie hakeri pārbauda sistēmas, lietotnes un tīklus, lai ievainojamības atrastu pirms uzbrucējiem. Rīki un paņēmieni ir tie paši, ko izmantotu noziedznieks. Atšķirība ir viena: skaidri izteikta īpašnieka atļauja. Uzņēmumi un iestādes pasūta reāla uzbrukuma simulāciju tieši tāpēc, lai savu aizsardzību nostiprinātu, un praksē šo pakalpojumu sauc par ielaušanās testēšanu. Kam darbu uzticēt un ko prasīt pirms līguma, aprakstīts rakstā ētiskais hakeris.
Kas testu padara likumīgu
Ne katra ielaušanās ir noziegums – viss atkarīgs no nodoma, atļaujas un tvēruma. Trīs lietas, bez kurām testa nav:
1. Rakstiska atļauja
Bez tiesīgās personas piekrišanas testa nav, ir tikai nodarījums. Ētiskais hakeris strādā uz līguma pamata, un katra darbība ir pasūtītāja apstiprināta. Krimināllikuma 241. pants runā par patvaļīgu piekļūšanu automatizētas datu apstrādes sistēmas resursiem, un noteicošie vārdi tajā ir „bez attiecīgas atļaujas“. Labs nodoms šo vērtējumu nemaina. Atļaujai turklāt jānāk no tā, kas sistēmu patiešām uztur: svešā mākonī izvietotai lietotnei tas ne vienmēr ir pasūtītāja uzņēmums.
2. Saskaņots tvērums
Arī ar atļauju testētājs paliek norunātajās robežās: pārbauda tikai uzskaitītās sistēmas, izvairās no datu noplūdes un ievēro saskaņotos noteikumus. Iziešana ārpus tvēruma nav tehniska formalitāte, bet tiesisks jautājums – atļauja sedz tieši to, kas ir uzrakstīts.
3. Atbildīga ziņošana
Atrastu ievainojamību ētiskais hakeris neizmanto savā labā, bet ziņo par to pasūtītājam, lai labojums paspētu pirms uzbrucēja. Tieši tam kalpo ziņojums: pierādījums, riska novērtējums un konkrēts novēršanas ieteikums.
Šis raksts ir informatīvs materiāls, nevis juridiska konsultācija. To, kas konkrētajā gadījumā var likumīgi pasūtīt pārbaudi un ar kādiem nosacījumiem, ir vērts pārrunāt ar juristu.
Ko no tā iegūst uzņēmums
Ētiskie hakeri ielaužas sistēmās un tieši ar to nostiprina aizsardzību. Četri ieguvumi:
1. Novēršana pirms incidenta
Ievainojamību atrod un aizver, pirms to atrod uzbrucējs.
2. Zemākas izmaksas
Novērst ir lētāk nekā reaģēt uz jau notikušu incidentu.
3. Augstāks drošības līmenis
Ētiskais hakeris atrod arī tādas ievainojamības, ko uzbrucējs varētu palaist garām, un sistēma kopumā kļūst drošāka.
4. Labāka reputācija
Uzņēmums, kas drošību risina pats un laikus, nostiprina klientu un partneru uzticēšanos.
Kāpēc tas ir svarīgi
Kiberdraudi mainās nepārtraukti, un ētiskie hakeri uzņēmumam ir vajadzīgi tieši tāpēc, lai noturētos soli priekšā. Kas vājās vietas atrod pirmais, pasargā datus, finanšu sistēmas un pakalpojumus, no kuriem atkarīgi klienti.
Ielaušanās svešā sistēmā nav pašmērķis, bet veids, kā digitālā vide kļūst drošāka. Kamēr tā notiek likumīgi un atbildīgi, tā ir viena no vērtīgākajām prasmēm kiberdrošībā.
