„A hackerek oly régóta léteznek, mint az emberi kíváncsiság, bár a kifejezés maga modern. Galilei hacker volt. Madame Curie szintén. Arisztotelész nem. (Arisztotelész meg volt győződve róla, hogy a nőknek kevesebb foguk van, mint a férfiaknak. Egy hacker egyszerűen megszámolta volna a felesége fogait) A computer-hackerek is ebbe a csoportba tartoznak. Ezúttal a számítógépek és a hálózatok a felfedezésre váró területek. A hálózatok jelentik azokat a labirintusokat, ahol egy új technika a kulcs a gépek egymás utáni felnyitásához. Belül található az ismeret, a megértés. A hozzáférés. Hogyan működnek a dolgok? Miért működnek? Minden ott van, és várja, hogy felfedezzék. Az igazi hackerek jelentős gyakorlattal rendelkezhetnek, gyakran nagyobbal, mint a rendszer eredeti tervezői. Számukra ez szenvedély”. – Bruce Schneier
Hacker.
Egy kapucniját fejébe húzott férfi, aki egész nap egy sötét szobában ülve a billentyűzetet nyomkodja és csak kódokat lát a szeme előtt. Legalábbis a képzeletünkben biztos így nézne ki. A valóságban azonban ugyanolyan emberek, mint mi. Annyi különbséggel, hogy hatalmas tudással és képesítéssel rendelkeznek a hálózatok csodálatos világáról.
Mi járhat egy hacker fejében? Miért szeretne mindenáron rendszereket feltörni? Mi az, ami motiválja? Pénz? Sikerélmény? Kockázat?
Naponta több ezer weboldalt törnek fel, ezzel stresszt, anyagi veszteséget és egyéb hatalmas károkat okozva a weboldal tulajdonosának. Lehet az oldal kicsi vagy nagy, ismert vagy ismeretlen, mindegy milyen könnyű vagy éppen nehéz feltörni, a hackerek nem válogatnak.
Először is meg kell értenünk, hogy mi motiválja őket, különben lehetetlen szembeszállni velük.
A hacker megnevezés nem minden esetben jelent rosszat. Ahogy létezik jó szándékú és rossz szándékú ember, ugyanúgy létezik jó hacker és rossz hacker is. Számunkra most a „rossz” hackerek az érdekesek, hiszen ők azok, akik a hosszú, több éves munkánkban kárt tehetnek.
A hackerek 3 típusa
A biztonsági rendszerekhez kapcsolódóan három hacker típusról beszélhetünk.
A fekete kalapos hackerek vagy más néven crackerek azok, akik tudásukkal visszaélve jogosulatlanul lépnek be számítógépes rendszerekbe, hálózatokba. Céljuk a haszonszerzés vagy károkozás.
De nemcsak gonosz, rosszakaró hackerek léteznek. Fehér kalapos hackereknek nevezzük azokat a személyeket, akik kiváló informatikai tudással rendelkeznek és tudásukat arra használják fel, hogy megbízás alapján biztonsági hibákat keressenek, megelőzve a fekete kalapos hacker betörését. Ők azok, akik számítógépek rendszerében végeznek tesztelést hibakeresési céllal. Felfedik a rendszerben lévő veszélyeket és megpróbálják kiaknázni őket.
Szürke kalapos hackernek nevezzük a fekete és a fehér kalapos hacker közti átmenetet, aki, ha egy biztonsági résre bukkan, azt kihasználja, majd az esetek többségében értesíti a rendszer üzemeltetőit. A különbség csak az, hogy ez nem egy előre egyeztetett megbízás alapján történik, így alapvetően illegális tevékenységnek bizonyul.
Vajon mi járhat egy hacker fejében, amikor egy rendszerben sérülékenységet talál?
Az internet bugyraiban kutatva egyszer csak egy könnyen feltörhető oldalra bukkan.
Mit tesz? Feltöri?
Igen.
És amikor az utcán sétál, engedély nélkül bemegy egy házba a nyitott ajtón keresztül?
Nem.
Pedig mindegyik illegális, az egyiket mégis megteszi, a másikat pedig nem.
De mégis mi motiválhatja őket?
1. Pénzkeresés
Ha ilyen helyzetbe kerülünk feltesszük magunknak a kérdést:
„Miért pont én? Vajon előre kitervelte? Mit tettem, amiért engem választott?”
Valószínűleg semmit, hiszen ahogy már említettem, egy rossz indulatú hacker nem válogat. Előfordulhat, hogy a motivációja éppen csak annyi, hogy pénzt keressen vele. Felteszi az adatokat a dark webre és eladja őket. Könnyű, gyorsan szerzett pénz. Ha nem értékesíteni szeretné az információkat, akár váltságdíjat is kérhet érte: egy bizonyos összegért cserébe biztonságban visszajuttatja az információkat. Te pedig kifizeted, hiszen nem szeretnéd, hogy adataid illetéktelen kezekbe kerüljenek.
2. Károkozás, bosszúvágy
Sokszor nincs más mögötte mint, hogy az illető talál egy támadható felületet, amit könnyű feltörni, ezért meg is teszi. Nem foglalkozik azzal, hogy mekkora kárt okoz vele vagy, hogy mi lesz a következménye, hiszen számára nincs semmilyen következménye. Ha azt szeretné, soha senki nem fogja megtudni, hogy ott járt.
Nem kizárt az sem, hogy valakinek szándékosan akar ártani, például egy volt főnöknek, egy nem kedvelt személynek, egy ellenségnek. Mi lehetne nagyobb motiváció, mint hogy rosszat tegyünk egy olyan emberrel, akit nem kedvelünk? Emellett pedig akár megbízász is kaphatnak feldúlt férjektől, szeretőktől, megcsalt asszonyoktól, üzleti vetélytársaktól. Ellophatja az adatokat, letilthatja a hozzáféréseket, zárolhatja az eszközöket, bármit megtehet, amit csak szeretne.
Nem csak az „egyszerű” feltöréstől kell tartanunk, különböző lehetőségekkel fertőzhetik meg rendszereinket. Ilyen lehet a kártevő kódokkal való fertőzés vagy a zsarolóvírus.
Mi történik, ha vírussal fertőznek meg?
A vírus nem más, mint egy apró kód, ami rosszindulatú változtatásokat képes végrehajtani egy rendszerben. Minél nagyobb a kár, annál több időbe és pénzbe kerül helyreállítani. Ezért elengedhetetlen, hogy használjunk vírusírtókat és ellenőrizzük weboldalaink biztonságát.
A zsaroló vírus egy olyan fertőzés, amikor adatainkat elérhetetlenné teszik a támadók, esetleg teljesen letörlik és csak akkor kaphatjuk vissza a tartalmainkat, ha váltságdíjat fizetünk érte.
3. Sikerélmény, kíváncsiság
Semmi sem vonz jobban az ismeretlennél. A kíváncsiságunk pedig határtalan, ezért nem meglepő, ha őket is ez hajtja.
„Fel tudom törni? Kijátszhatom a rendszert? Túljárhatok a készítő eszén?”
A Thycotic kutatásában 127 hackert kérdeztek meg a motivációjukkal kapcsolatban és az eredmények alapján 51 százalék kizárólag a felfokozott izgalmi állapot miatt csinálja, ami akkor következik be, ha sikerül bejutniuk egy rendszerbe és megérzik a „veszély szagát”. Hiszen mégiscsak tilosban járnak.
Néhány esetben valakinek csak szórakozás a cél. Kíváncsi a tudására, próbálgatja a lehetőségeit és gyakorolni szeretne. Hatalmas büszkeség tölti el, amikor pár óra alatt sikerül feltörnie egy olyan oldalt, amit valaki hosszú időn keresztül fejlesztett, éppen azért, hogy ő ne juthasson be. És mégis megteszi.
Valaki pedig megelégszik annyival, hogy pontokat gyűjthet és tudását másokkal is összevetheti. A hackereknél is létezik egy ranglista, ahol feladataik elvégzésével pontokat gyűjthetnek. Ahhoz, hogy valaki a ranglista élére kerüljön, hatalmas tudásra, sok gyakorlásra és természetesen a hacker „mindset” -re van szüksége.
Weboldalaink, rendszereink védelmében elengedhetetlen a megfelelő biztonság. Sokszor nem gondolunk bele, hogy ez akár velünk is megtörténhet, ezért nem fordítunk rá megfelelő figyelmet.
Fel lehet készülni ezekre a támadásokra, de kiküszöbölni sajnos nem mindig lehet. Erre nyújthat megoldást egy bug bounty, amely egy olyan legális információbiztonsági program, mely során egy szervezet jutalmat ad a tesztelőknek a szolgáltatásukban talált sérülékenységekért. A szolgáltatás során több etikus hacker teszteli rendszereidet, a talált sérülékenységről pedig egy részletes riportot kapsz.
„Meg kell támadnia saját rendszerét, hogy megértse, hogyan támadják meg a hackerek az Ön rendszerét, és hogyan védekezzen ellenük.” – Avi Rubin
Az etikus hackerek segítségével elkerülheted, hogy adataid illetéktelen kezekbe kerüljenek.
Ne hagyd, hogy a Te cégeddel is megtörténjen, legyél feltörésbiztos!
Hiszen jobb ma egy bug bounty, mint holnap egy bírság!
Keress minket elérhetőségeink egyikén és segítünk megtalálni a megfelelő megoldást céged számára!
