Садржај

• Шта је хакирање сивог шешира?
• Представљамо етички хакер
• Како се хакирање дешава?
• Како хакери хакују: Најбоље стратегије
• Пхисхинг напад
• СКЛ убризгавање
• Нулти дан експлоатације
• Бруталан напад
• ДОС Аттацк
• Ваш посао етичког хакера
• Како започети као етички хакер

Када размишљате о хакерима, обично мислите на људе у хулахопкама који покушавају челичити осетљиве податке великих компанија - етичко хакирање звучи као оксиморон.

Истина је да многи људи који се упадају у хакирање то раде из потпуно искрених разлога. Постоји пуно добрих разлога за учење хаковања. Они се могу сврстати у неутралне разлоге „сивог шешира“ и продуктивне „бијеле качке“.

Шта је хакирање сивог шешира?

Прво, постоји љубав према голицању: видети како ствари функционишу и оснажити себе. Исти импулс који покреће дете да скине сат и уназад инжењер може вас мотивисати да видите да ли можете подједнако ефикасно заобићи сигурност програма Кс или И.

Увјерљиво је знати да се можете одбранити путем интернета

Надамо се да никада нећете морати да хакујете на рачун е-поште, али познавајући вас могао ако је потребно (ваша сестра је отета!) је ипак привлачна. Мало личи на борилачке вештине. Већина нас се нада да се никада неће морати борити за стварност, али умирујуће је да знате да се можете бранити.

Хакирање заиста може бити корисно средство самоодбране. Читајући увод о етичком хаковању, можете научити о претњама вашој приватности и сигурности тамо на вебу. На тај начин можете се заштитити од потенцијалних напада пре него што се догоде и донесете паметније одлуке. С зоре Интернета ствари све више и више наших живота ће бити „на мрежи.“ Учење основа сигурности података ускоро би могло постати питање самоодржања.

Представљамо етички хакер

Етичко хакирање такође је високо уновчно. Ако желите да заобиђете безбедносне системе за живот, према том путу постоје многи веома профитабилни путеви каријере. Можете радити као аналитичар информационе сигурности, пентестер, општи ИТ стручњак или своје вештине можете продавати путем интернета путем курсева и е-књига. Док се аутоматизацијом и дигитализацијом умањују многи послови, потражња за стручњацима за безбедност ће се само повећавати.

Етичко хакирање је високо уновчно

Неко ко ради на било којем од ових поља обично је оно што мислимо под појмом "етички хакер". Истражимо даље.

Како се хакирање дешава?

На основном нивоу, етички хакери тестирају сигурност система. Сваки пут када систем користите на начин који није намењен, радите „хацк“. Обично то значи процену „улаза“ система.

Уноси могу бити било шта, било од образаца на веб локацији, до отварања портова на мрежи. Они су неопходни за интеракцију са одређеним сервисима, али представљају циљеве хакера.

Понекад то може значити и размишљање изван оквира. Оставите УСБ кључ да лежи около и често ће га неко ко је пронашао. То може да дозволи власнику тог УСБ стицка огромну контролу над погођеним системом. Постоји пуно улаза које обично не бисте сматрали претњом, али паметни хакер може пронаћи начин да их искористи.

Више улаза значи већу „нападну површину“ или више могућности за нападаче. То је један од разлога зашто стално додавање нових функција (познато као „блоат“ функција) није увек добра идеја за програмере. Сигурносни аналитичар често покушава смањити нападну површину уклањањем непотребних улаза.

Како хакери хакују: Најбоље стратегије

Да бисте били ефикасан етички хакер, морате знати против чега се борите. Као етички хакер или "пентестер", ваш ће посао бити покушај таквих напада против клијената, како бисте им тада пружили прилику да отклоне слабости.

ваш посао ће бити покушати ове врсте напада на клијенте

Ово су само неки од начина на који хакер може покушати да се пробије у мрежу:

Пхисхинг напад

Пхисхинг напад је облик „друштвеног инжењеринга“, где хакер циља корисника („ветваре“), а не директно мрежу. То чине тако што покушавају да натерају корисника да му преда своје детаље вољно, можда представљајући се као особа за поправку ИТ-а или слањем е-поште која изгледа као да имају бренд с којим се баве и којем верују (ово се назива споофинг). Они чак могу да направе лажну веб страницу са обрасцима који прикупљају детаље.

Без обзира на то, нападач тада једноставно мора да користи те детаље за пријаву на налог и имаће приступ мрежи.

Спеар пхисхинг представља пхисхинг који циља одређеног појединца унутар организације. Китовање значи нападати највеће кахуне - високе руководитеље и руководиоце. За крађу идентитета често није потребна вештина рачунара у већини случајева. Понекад је све потребно хакеру адреса е-поште.

СКЛ убризгавање

Овај је вероватно мало ближи ономе што замислите кад сликате хакере. Структурирани језик упита (СКЛ) је фантастичан начин за описивање низа наредби помоћу којих можете манипулирати подацима похрањеним у бази података. Када на веб локацији пошаљете образац за креирање нове корисничке лозинке, то ће обично створити унос у табели са тим подацима.

Понекад ће образац такође ненамјерно прихватити наредбе, што може омогућити хакру да преузме или манипулира уносима незаконито.

Било би потребно много времена да би хакер или пентестер ручно потражио ове могућности на великој веб локацији или веб апликацији, где се појављују алати попут Хајива. То ће аутоматски тражити рањивости које треба искористити, што је изузетно корисно за стручњаке за безбедност, али и за оне са злим намерама.

Нулти дан експлоатације

Искориштавање нула дана ради претраживањем слабости у кодирању софтвера или безбедносним протоколима пре него што програмер има прилику да их закрпи. То може укључивати циљање сопственог софтвера компаније или може укључивати софтвер који циља да користи. У једном познатом нападу, хакери су успели да приступе сигурносним камерама у канцеларији компаније без икаквих подвига. Одатле су успели да забележе све што их је занимало.

Хакер може да направи злонамјерни софтвер дизајниран да искористи овај безбедносни пропуст, који би потом тајно инсталирали на циљну машину. Ово је врста хаковања која има користи од сазнања како се шифрира.

Бруталан напад

Бруталан напад је метода пробијања комбинације лозинке и корисничког имена. То функционира тако што ћете проћи кроз сваку могућу комбинацију једну по једну док не погоди победнички пар - баш као што и провалник може проћи кроз комбинације на сефу. Ова метода обично укључује употребу софтвера који може руковати процесом у њихово име.

ДОС Аттацк

Напад због ускраћивања услуге (ДОС) значи спуштање одређеног сервера током одређеног времена, што значи да више није у могућности да пружа своје уобичајене услуге. Отуда и назив!

ДОС напади се изводе пингингом или на други начин слањем саобраћаја на сервер толико пута да постане пренатрпан саобраћајем. Ово може да захтева стотине хиљада захтева или чак милионе.

Највећи ДОС напади се „дистрибуирају“ на више рачунара (под заједничким именом ботнет), који су хакери преузели помоћу злонамјерног софтвера. Ово их чини ДДОС нападима.

Ваш посао етичког хакера

Ово је само мали избор различитих метода и стратегија које хакери често користе како би приступили мрежама. Део привлачности етичког хаковања за многе је креативно размишљање и тражење потенцијалних слабости у сигурности које би други пропустили.

Као етички хакер ваш ће посао бити скенирање, препознавање и нападање рањивости како би се тестирала сигурност компаније. Једном када нађете такве рупе, поднећете извештај који би требало да садржи корективне мере.

На пример, ако бисте извршили успешан пхисхинг напад, можда бисте препоручили обуку за особље које би било лакше да препозна лажне превара. Ако на рачунару на мрежи имате злонамерни софтвер који није нула дана, можете савјетовати компанију да инсталира боље заштитне зидове и антивирусни софтвер. Можете предложити да компанија ажурира свој софтвер или у потпуности престане да користи одређене алате. Ако пронађете рањивости у сопственом софтверу компаније, онда их можете указати тиму за развој.

Како започети као етички хакер

Ако вам то звучи занимљиво, на интернету постоји доста курсева који подучавају етичко хакирање. Ево једне под називом Етички хакерски боотцамп пакет.

Такође би требало да погледате наш пост о томе како постати аналитичар информационе сигурности који ће вам показати најбоље сертификате, најбоља места за проналазак посла и још много тога.