Pitäisikö hakkeroinnilla olla käytännesäännöt?

Aiemmin tänä vuonna, kun kansainvälinen kyberjengi Lapsus$ hyökkäsi suuria teknologiabrändejä vastaan, mukaan lukien Samsung, Microsoft, Nvidia ja salasananhallinta Okta, eettinen raja näytti olevan ylitetty monien verkkorikollisten kohdalla.

Jopa niiden hämärien standardien mukaan rikkomuksen laajuus, aiheuttamat häiriöt ja mukana olevien yritysten profiili olivat aivan liikaa. Joten kyberrikollisyhteisö kokoontui rankaisemaan Lapsusta $ vuotamalla tietoja ryhmästä, mikä johti lopulta heidän pidätykseensä ja erota.

Ehkä varkaiden keskuudessa on sittenkin kunnia? Älä nyt ymmärrä minua väärin; tämä ei ole kyberrikollisille taputus, mutta se osoittaa, että ainakin joitain ammatillisia sääntöjä noudatetaan.

Mikä herättää kysymyksen laajemmalle lakia noudattavalle hakkerointiyhteisölle: Pitäisikö meillä olla omat eettiset käytännesäännöt? Ja jos on, miltä se mahtaa näyttää?

Mitä on eettinen hakkerointi?

 Ensin määritellään eettinen hakkerointi. Se on prosessi, jossa arvioidaan tietokonejärjestelmää, verkkoa, infrastruktuuria tai sovellusta hyvillä aikomuksilla löytääkseen haavoittuvuuksia ja tietoturvapuutteita, jotka kehittäjät ovat saattaneet unohtaa. Pohjimmiltaan se löytää heikot kohdat ennen pahiksia ja varoittaa organisaatiota, jotta se voi välttää suuret maine- tai taloudelliset menetykset.

Eettinen hakkerointi vaatii vähintäänkin tunkeutumisyrityksesi kohteena olevan yrityksen tai organisaation tietoa ja luvan.

Tässä on viisi muuta ohjaavaa periaatetta, joiden mukaan toimintaa voidaan pitää eettisenä hakkerointina.

Hakkeroida suojaksi

Minkä tahansa yrityksen turvallisuutta arvioimaan tuleva eettinen ja valkoinen hakkeri etsii haavoittuvuuksia paitsi järjestelmästä myös raportointi- ja tiedonkäsittelyprosesseista. Näiden hakkereiden tavoitteena on löytää haavoittuvuuksia, tarjota yksityiskohtaisia ​​näkemyksiä ja antaa suosituksia turvallisen ympäristön rakentamiseksi. Viime kädessä he haluavat tehdä organisaatiosta turvallisemman.

Hakkeroi vastuullisesti

Hakkereiden on varmistettava, että heillä on lupa ja kerrottava selkeästi yrityksen myöntämän käyttöoikeuden laajuus sekä heidän tekemänsä työn laajuus. Tämä on hyvin tärkeää. Kohdennettu tieto ja selkeä kattavuus auttavat estämään vahingossa tapahtuvia kompromisseja ja luomaan kiinteät viestintälinjat, jos hakkeri paljastaa jotain hälyttävää. Vastuullisuus, oikea-aikainen viestintä ja avoimuus ovat tärkeitä eettisiä periaatteita, joita on noudatettava, ja ne erottavat selvästi hakkerin kyberrikollisesta ja muusta turvallisuustiimistä.

Dokumentoi kaikki

Kaikki hyvät hakkerit tekevät yksityiskohtaisia ​​muistiinpanoja kaikesta, mitä he tekevät arvioinnin aikana, ja kirjaavat kaikki komennot ja työkalut. Ensinnäkin tämä on itsensä suojeleminen. Jos ongelma ilmenee esimerkiksi tunkeutumistestin aikana, työnantaja ottaa ensin yhteyttä hakkeriin. Aikaleimatun lokin tekeminen suoritetuista toiminnoista, olipa kyseessä järjestelmän hyödyntäminen tai haittaohjelmien etsiminen, antaa organisaatioille mielenrauhan muistuttamalla niitä siitä, että hakkerit työskentelevät heidän kanssaan, eivät heitä vastaan.

Hyvät muistiinpanot tukevat asioiden eettistä ja oikeudellista puolta; ne ovat myös hakkereiden tuottaman raportin perusta, vaikka suuria löydöksiä ei olisikaan. Muistiinpanojen avulla he voivat korostaa tunnistamiaan ongelmia, ongelmien toistamiseen tarvittavia vaiheita ja yksityiskohtaisia ​​ehdotuksia niiden korjaamiseksi.

Pidä viestintä aktiivisena

Avoin ja oikea-aikainen viestintä on määriteltävä selvästi sopimuksessa. Yhteydenpito koko arvioinnin ajan on tärkeää. Hyvä käytäntö on aina ilmoittaa, kun arvioinnit ovat käynnissä; päivittäinen sähköposti, jossa on arvioinnin suoritusajat, on elintärkeä.

Vaikka hakkerin ei välttämättä tarvitse ilmoittaa kaikista löytämistään haavoittuvuuksista välittömästi asiakasyhteyshenkilölleen, hänen tulee silti ilmoittaa kaikista kriittisistä, räikeistä virheistä ulkoisen läpäisytestin aikana. Tämä voi olla hyödynnettävissä oleva todentamaton RCE tai SQLi, haitallisen koodin suorittaminen tai arkaluonteisten tietojen paljastamisen haavoittuvuus. Kun hakkerit kohtaavat nämä, he lopettavat testaamisen, lähettävät kirjallisen haavoittuvuusilmoituksen sähköpostitse ja seuraavat puhelua. Tämä antaa yrityspuolen tiimeille mahdollisuuden keskeyttää ja korjata ongelman välittömästi, jos he haluavat. On vastuutonta jättää tämän suuruinen puute huomiotta, kunnes raportti julkaistaan ​​viikkoja myöhemmin.

Hakkereiden tulee pitää tärkeimmät yhteyshenkilönsä tietoisina edistymisestään ja kaikista merkittävistä ongelmista, joita he löytävät eteneessään. Tämä varmistaa, että kaikki ovat tietoisia kaikista ongelmista ennen loppuraporttia.

Käytä hakkeri-ajattelutapaa

Termiä hakkerointi käytettiin jo ennen kuin tietoturvan merkitys kasvoi. Se tarkoittaa vain asioiden käyttämistä tahattomilla tavoilla. Tätä varten hakkerit pyrkivät ensin ymmärtämään järjestelmän kaikki käyttötarkoitukset ja ottamaan huomioon kaikki sen komponentit.

Hakkereiden on jatkuvasti kehitettävä tätä ajattelutapaa eikä koskaan lopetettava oppimista. Tämä antaa heille mahdollisuuden ajatella sekä puolustus- että hyökkäävästä näkökulmasta ja on hyödyllistä, kun tarkastellaan jotain, jota et ole koskaan aiemmin kokenut. Luomalla parhaita käytäntöjä, ymmärtämällä kohteen ja luomalla hyökkäyspolkuja hakkeri voi tuottaa uskomattomia tuloksia.