Войти
Термин «белая шляпа » на интернет-сленге относится к этичному компьютерному хакеру или специалист по компьютерной безопасности, специализирующийся на тестировании на проникновение и других методологиях тестирования, обеспечивающих безопасность информационных систем организации. Этический взлом - это термин, подразумевающий более широкую категорию, чем просто тестирование на проникновение. В отличие от черной шляпы, злонамеренного хакера, это название происходит от западных фильмов, где героические и враждебные ковбои традиционно носили белую и черную шляпу. В то время как хакер в белой шляпе взламывает с добрыми намерениями с разрешения, а хакер в черной шляпе, чаще всего несанкционированный, имеет злонамеренные намерения, существует третий вид хакеров, известный как хакер в серой шляпе, который взламывает с хорошими намерениями, но не раз без разрешения.
Хакеры в белых шляпах могут также работать в командах под названием «кроссовки и / или хакерские клубы », красные команды или команды тигров.
Одним из первых случаев применения этического взлома была «оценка безопасности», проведенная ВВС США, в ходе которой операционные системы Multics были протестированы на «потенциальную использовать как двухуровневую (секретную / совершенно секретную) систему ". Оценка показала, что хотя Multics была «значительно лучше других традиционных систем», она также имела «... уязвимости в аппаратной безопасности, безопасности программного обеспечения и процедурной безопасности», которые можно было обнаружить с «относительно небольшими усилиями». Авторы проводили свои тесты, руководствуясь принципами реализма, поэтому их результаты точно отражали виды доступа, которых потенциально может достичь злоумышленник. Они выполнили тесты, включающие простые упражнения по сбору информации, а также прямые атаки на систему, которые могли повредить ее целостность; оба результата были интересны целевой аудитории. Есть несколько других, теперь не засекреченных отчетов, описывающих этическую хакерскую деятельность в вооруженных силах США.
К 1981 г. New York Times описывала действия в белых шляпах как часть «озорной, но извращенно позитивной хакерской» традиции. ". Когда сотрудник National CSS сообщил о существовании своего взломщика паролей, который он использовал для учетных записей клиентов, компания отругала его не за написание программного обеспечения, а за то, что он не раскрыл его раньше. В письме с выговором говорилось: «Компания осознает выгоду для NCSS и фактически поощряет усилия сотрудников по выявлению слабых мест в безопасности вице-президента, каталога и другого конфиденциального программного обеспечения в файлах».
Идея принести Эта тактика этического взлома для оценки безопасности систем была сформулирована Дэном Фармером и Витсе Венема. С целью повышения общего уровня безопасности в Интернете и интрасетях они приступили к описанию того, как им удалось собрать достаточно информации о своих объектах, чтобы поставить под угрозу безопасность. если бы они захотели это сделать. Они представили несколько конкретных примеров того, как эта информация может быть собрана и использована для получения контроля над целью и как такую атаку можно предотвратить. Они собрали все инструменты, которые использовали во время своей работы, упаковали их в одно простое в использовании приложение и раздали всем, кто решил его загрузить. Их программа под названием Security Administrator Tool for Analyses Networks, или SATAN, была встречена большим вниманием средств массовой информации во всем мире в 1992 году.
Во время проникновения тестирование концентрируется на атаке программного обеспечения и компьютерных систем с самого начала - сканирование портов, изучение известных дефектов в протоколах и приложениях, работающих в системе, и установка исправлений, например, - этический взлом может включать и другие вещи. Полноценный этический взлом может включать в себя отправку электронной почты сотрудникам с просьбой сообщить подробности пароля, рыться в мусорных баках руководителей и, как правило, взломать и проникнуть без ведома и согласия целей. Об этом знают только владельцы, генеральные директора и члены совета директоров (заинтересованные стороны), которые просили провести подобную проверку безопасности такого масштаба. Чтобы попытаться воспроизвести некоторые деструктивные методы, которые может использовать настоящая атака, этические хакеры могут организовать клонированные тестовые системы или организовать взлом поздно ночью, когда системы менее критичны. В большинстве недавних случаев эти взломы увековечивают долгосрочный обман (дни, если не недели, длительного проникновения человека в организацию). Некоторые примеры включают в себя оставление USB / флеш-накопителей со скрытым программным обеспечением для автозапуска в общественном месте, как если бы кто-то потерял небольшой накопитель, а ничего не подозревающий сотрудник нашел его и забрал.
Некоторые другие методы выполнения включают:
Эти методы идентифицируют и используют известные средства защиты уязвимости и попытка обойти систему безопасности, чтобы проникнуть в защищенные зоны. Они могут сделать это, скрывая «лазейки» в программном обеспечении и системе, которые могут использоваться в качестве ссылки на информацию или доступа, которые неэтичный хакер, также известный как «черная шляпа» или «серая шляпа», может хочу достичь.
Струан Робертсон, юридический директор Pinsent Masons LLP и редактор OUT-LAW.com, говорит: «В общем, если доступ к система авторизована, взлом является этичным и законным. Если это не так, то считается нарушением Закона о неправомерном использовании компьютеров. Правонарушение, связанное с несанкционированным доступом, распространяется на все, от подбора пароля до доступа к чьей-либо учетной записи веб-почты, взломать систему безопасности банка. Максимальное наказание за несанкционированный доступ к компьютеру - два года тюремного заключения и штраф. Существуют более строгие меры наказания - до 10 лет тюрьмы - когда хакер также изменяет данные ». По словам Робертсона, несанкционированный доступ даже для выявления уязвимостей в интересах многих является незаконным. «В наших законах о взломе нет никакой защиты, что ваше поведение служит всеобщему благу. Даже если это то, во что вы верите».
США Агентство национальной безопасности предлагает сертификаты, такие как CNSS 4011. Такая сертификация охватывает упорядоченные, этичные методы взлома и командное управление. Команды-агрессоры называются «красными» командами. Команды защитников называются «синими» командами. Когда агентство набирало сотрудников на DEF CON в 2012 году, оно пообещало соискателям, что «если у вас есть несколько, скажем так, неблагоразумных поступков в вашем прошлом, не беспокойтесь. Вы не должны автоматически предполагать, что выиграли. «Меня не нанимают».
Хорошая «белая шляпа» - это конкурентоспособный квалифицированный сотрудник для предприятия, поскольку он может быть контрмерой для поиска ошибок для защиты сетевой среды предприятия. Следовательно, хорошая «белая шляпа» может принести неожиданные преимущества в снижении рисков для систем, приложений и конечных точек для предприятия.
