Több blogposztot is készítettünk már az etikus hackerekről, készségeikről, feladataikról, így, ha rendszeres olvasónk vagy, már biztosan kívülről fújod az etikus hackerek tevékenységét.

Ebben a bejegyzésünkben viszont összeállítottunk egy kvíz tesztet. Lehetsz etikus hacker, vagy csak egy érdeklődő a téma iránt, biztosan jól szórakozol majd a feladatok kitöltése során.

A kérdésekhez felsoroltunk 3 választási lehetőséget (A, B, C), neked pedig 1 jó megoldást kell kiválasztanod.

Vigyázz: a 3 lehetőség közül előfordulhat, hogy mindegyik igaz, neked csak azt kell megtalálnod, amelyik a leginkább jellemző a feltett kérdésre.

1.) Hogyan érdemes meghatározni a hackelés szkópját a hacker részéről? 

A: A hacker csak a szerződésében meghatározott fő domaineket teszteli. 

B: Az etikus hacker a megbeszélt domaineket egy toollal megvizsgálja, kilistázza a subdomaineket. 

C: Az etikus hacker a megbeszélt domaineket több toollal megvizsgálja, kilistázza a subdomaineket, ezeket összeveti és kiszűri a fals negatívokat. 

2.) Szükséges terv arra az esetre, ha a hackelés közben valamilyen hiba lép fel? 

A: Külön tervet nem kell készíteni, mert kötelezően, szeparált környezetben (külön erre a célra létrehozott „homokozóban”) kell végeztetni a tesztelést. Így ha valami nem a terveknek megfelelően alakul, az éles rendszert nem érinti. 

B: A tesztelés során nem léphet fel hiba. 

C: A tesztelés során előfordulhat hiba, de a „Chain of Custody” és a metódus, a visszaállás lépései mindig ugyanazok.  

3.) A hackelésnél kell az ügyfelet kérni, hogy kapcsoljon ki bizonyos biztonsági platformokat pl. tűzfalak, vírusirtók stb.?

A: A biztonsági megoldásokat nem szükséges kikapcsoltatni, mivel ezeknek a működését, hatásosságát is tudjuk így tesztelni. Arra is fény derülhet, hogy a cég belső IT csapata, aki ezeket figyeli milyen jelzéseket kap, és hogyan kezeli őket.

B: A biztonsági platformokat mindenképpen ki kell kapcsolni, mert zavarják a tesztelési folyamatot.

C: A tesztelést mindenképpen teszt környezetben kell végezni, kikapcsolt biztonsági platformokkal.

4.) Meg kell ismerni az ügyfélrendszereket előzetesen vagy kifejezetten vak tesztelés az előnyös?

A: A white box tesztelés a legjobb, mert az IT csapat tudja a szkópot, felügyeli a tesztet. A hiba valószínűsége csekély, de nem szimulálja a valós támadást, ezért fel lehet rá készülni.

B: A black box tesztelés a legjobb, hiszen nincsenek beavatva az üzemeltetők, így az IT csapat reakcióját is lehet értékelni. A teszt valóságos, és kevés vagy semmi induló információval nem rendelkezik a hacker, ezért ez áll legközelebb a valós támadáshoz.

C: Mindkettőnek megvan a maga előnye.

5.) Milyen lépéseket kell tenni, ha egy komoly sérülékenységre derül fény? 

A: Minden lépést dokumentálni kell (képernyőképek, logok). Ezeket a végső pentest riportba illeszti be a hacker. 

B: A talált kritikus sérülékenység felfedezésének minden lépését dokumentálni kell. A hacker megvizsgálja, hogy biztosan nem fals pozitívról van-e szó. Utánanéz a sérülékenységeknek, és megoldási javaslatot is ír a riportba. Ezekről azonnal értesíti az ügyfelet. Kérés esetén egy meetingen ismerteti a sérülékenységet, és annak megoldását. Miután javította az ügyfél, egy ellenőrzést csinál hacker a sérülékenységről, hogy megbizonyosodjon a kijavításról.

C: A talált sérülékenység felfedezésének minden lépését dokumentálni kell. Az ügyfelet értesíteni kell azonnal a felfedezéséről. 

6.) Milyen eszközöket használnál a hackeléshez? 

A: Kali linux használata a kész toolokkal. 

B: Kali Linux operációs rendszer használata a beépített eszközökkel + sérülékenység scanner. 

C: Kali Linux operációs rendszer használata, sérülékenység scanner, Burp Suite Pro + saját toolok megírása Python nyelvvel.

7.) Milyen adatokat célszerű a hackelés előtt begyűjteni a cégről? 

A: Minden adatot, amit csak meg lehet szerezni. A cég profilját, mivel foglalkoznak, mennyi és milyen képzettségű IT szakemberük van. Van-e bármilyen törvényi megfelelési kényszerük, és a legfontosabb a vezetői elköteleződés begyűjtése. Fel kell térképezni az IT infrastruktúrát, átnézni az IT architektúrát. Begyűjteni a hozzájárulást. Személyes interjúkat folytatni, amennyiben lehetséges az IT vezetővel.

B: A teszteléshez egyáltalán nem szükséges adatokat szerezni.

C: A hackelés előtt csak az IT vezetővel kell egy interjút készíteni. 

8.) Milyen lépésekből áll a hackelés? 

A: 1. A tesztelés szkópjának tisztázása.

2. Tesztelés elkezdése. 

3. A talált sérülékenységeket a hacker e-mailben továbbítja az ügyfélnek.

B: 1. Kick-off meeting az ügyféllel és a felderítő fázis: a tesztelés szkópjának pontosítása: célellenőrzés, aldomainek meghatározása, fingerprinting (milyen verziók vannak, szervertípus, kódja, mivel készült a weboldal); közelmúltbeli adatszivárgások ellenőrzése, OSINT. 

2. Szkennelés és felsorolás: port scan lefuttatása, sérülékenység scan lefuttatása, web sérülékenység vizsgálat, potenciális sérülékenységek keresése. 

3. Hozzáférés megszerzése – különböző login oldalak támadása: root jog megszerzése manuális sérülékenység kihasználással; brute force támadás vagy korábbi adatszivárgásból elvesztett credentialök használata; 

4. Hozzáférés megtartása vagy magasabb szintre emelése. 

5. Riport megírása, megosztása az ügyféllel. Lezáró meeting megtartása.

C: 1. A tesztelés szkópját a hacker határozza meg.

2. Az ügyfél elfogadja a szkópot. 

3. Megkapja a hozzáféréseket és elkezdi a tesztelést. 

4. Sérülékenység felfedezése esetén riportot készít, javaslatot ír.

5. E-mailben továbbítja az ügyfélnek.

9.) Milyen riportokat ad át a hacker végül az ügyfél részére? 

Bug bounty program esetében, a hacker a Hacktify részére adja át a riportot a feltárt sérülékenységekről, és azok megoldási javaslatairól. Ez a Hacktifynál validálásra kerül, majd átadjuk az ügyfélnek.

A: Elvégzi a vizsgálatokat, átadja a riportokat, a sérülékenységeket megjelöli, (kritikus, magas kockázatú, közepes, alacsony), és megoldási javaslatokkal látja el. Képekkel, videóval, forrásokkal támasztja alá.

B: A jelentésben a sérülékenységeket nem kell megjelölnie, csak megoldási javaslatokat tartalmazhat.

C: A riportban csak a magas kockázatú sérülékenységeket kell feltüntetni.

Helyes válaszok:

1. C
2. C
3. A
4. C
5. B
6. C
7. A
8. B
9. A

Neked hány választ sikerült eltalálnod?

7-9 – Te egy igazi zseni vagy. A vállalatok biztosan örülnének, ha Te fedeznéd fel nekik a sérülékenységeket.

6-4 – Látszik, hogy érdekel az etikus hackerek tevékenysége. Még egy kis gyakorlás és kiváló etikus hacker válik belőled.

3-0 – Ne keseredj el, számos tartalommal készülünk még, így Te is biztosan profi leszel a témában.