O hacking ético é o uso de técnicas de hacking por partes amigáveis na tentativa de descobrir, entender e corrigir vulnerabilidades de segurança em uma rede ou sistema de computador. Os hackers éticos têm as mesmas habilidades e usam as mesmas ferramentas e táticas dos hackers mal-intencionados, mas seu objetivo é sempre melhorar a segurança da rede sem prejudicar a rede ou seus usuários.
De muitas maneiras, o hacking ético é como um ensaio para os ataques cibernéticos do mundo real.As organizações contratam hackers éticos para lançar ataques simulados em suas redes de computadores.Durante esses ataques, os hackers éticos demonstram como os verdadeiros criminosos cibernéticos poderiam invadir uma rede e o que eles poderiam ou provavelmente fariam uma vez lá dentro. Os analistas de segurança da organização podem usar essas informações para eliminar vulnerabilidades, fortalecer os sistemas de segurança e proteger dados confidenciais.
Às vezes, os termos "hacking ético" e "teste de penetração" são usados alternadamente.No entanto, os testes de penetração (descritos abaixo) são apenas um dos métodos usados por hackers éticos.Os hackers éticos também podem realizar avaliações de vulnerabilidade, análise de malware e outros serviços de segurança da informação.
Os hackers éticos seguem um código rigoroso de ética para garantir que suas ações ajudem em vez de prejudicar as empresas. Muitas organizações que treinam ou certificam hackers éticos, como o Conselho Internacional de Consultores de E-Commerce (Conselho CE), publicam seu próprio código formal de ética por escrito. Embora a ética declarada possa variar de hacker para hacker e organização para organização, as diretrizes gerais são:
- Hackers éticos obtêm permissão das empresas que hackeiam: Hackers éticos são empregados ou parceiros das organizações que hackeiam.Eles trabalham com as empresas para definir um escopo para suas atividades, incluindo quando o hackers pode ocorrer, quais sistemas e ativos os hackers podem testar e quais métodos eles podem usar.
Hackers éticos não causam nenhum dano: Os hackers éticos não causam nenhum dano real aos sistemas que hackeiam, nem roubam quaisquer dados confidenciais que encontram.Quando chapéus brancos invadem uma rede, eles só estão fazendo isso para demonstrar o que os criminosos cibernéticos reais podem fazer.
Os hackers éticos mantêm suas descobertas confidenciais: os hackers éticos compartilham as informações coletadas sobre vulnerabilidades e sistemas de segurança com a empresa e apenas com a empresa.Eles também ajudam a empresa a usar essas descobertas para melhorar as defesas de rede.
Os hackers éticos trabalham dentro dos limites da lei: os hackers éticos usam apenas métodos legais para avaliar a segurança da informação.Eles não se associam a chapéus pretos ou participam de ataques maliciosos.
Em relação a esse código de ética, há dois outros tipos de hackers.
Hackers mal-intencionados
Às vezes chamados de "hackers black hat", hackers maliciosos cometem crimes cibernéticos com fins de ganho pessoal, ciberterrorismo ou alguma outra causa.Eles hackeiam sistemas de computador para roubar informações confidenciais, roubar fundos ou interromper operações.
Hackers éticos antiéticos
Às vezes chamados de "hackers de chapéu cinza" (ou erroneamente chamados de "hackers de chapéu cinza"), esses hackers usam métodos antiéticos ou até mesmo trabalham fora da lei para fins éticos.Exemplos incluem atacar uma rede ou sistema de informações sem permissão para testar uma exploração ou explorar publicamente uma vulnerabilidade de software que os fornecedores trabalharão em uma correção.Embora esses hackers tenham boas intenções, suas ações também podem levar a novos vetores de ataques a ataques maliciosos.
O hacking ético é um caminho de carreira legítimo. A maioria dos hackers éticos tem um diploma de bacharel em ciência da computação, segurança da informação ou área relacionada. Elas tendem a conhecer linguagens comuns de programação e scripts, como python e SQL. Elas são capacitadas e continuam a desenvolver suas habilidades nas mesmas ferramentas e metodologias de hackers maliciosos, incluindo ferramentas de verificação de rede como o Nmap, plataformas de testes de penetração como o Metasploit e sistemas operacionais especializados projetados para hacking, como o Kali Linux.
Assim como outros profissionais de segurança cibernética, hackers éticos normalmente ganham credenciais para demonstrar suas habilidades e seu compromisso com a ética.Muitos fazem cursos de hacking ético ou se matriculam em programas de certificação específicos para a área.Algumas das certificações de hackers éticos mais comuns incluem:
Certified Ethical Hacker (CEH): oferecido pela EC-Council, um órgão internacional de certificação em cibersegurança, a CEH é uma das certificações de hacking ético mais amplamente reconhecidas.
CompTIA PenTest+: essa certificação se concentra em testes de penetração e avaliação de vulnerabilidade.
Teste de penetração SANS GIAC (GPEN): como o PenTest+, a certificação GPEN do SANS Institute valida as habilidades de teste de penetração de um hacker ético.
Hackers éticos oferecem uma gama de serviços
Teste de penetração
Os testes de penetração, ou “pentestes”, são simulações de violações de segurança. Os pen testers imitam hackers mal-intencionados que obtêm acesso não autorizado aos sistemas da empresa. É claro que os pen testers não causam nenhum dano real. Eles usam os resultados dos seus testes para ajudar a defender a empresa contra cibercriminosos reais.
Os testes de penetração ocorrem em três estágios:
1. Reconhecimento
Durante o estágio de recuperação, os testadores de penetração coletam informações sobre computadores, dispositivos móveis, aplicativos da Web, servidores da Web e outros ativos na rede da empresa. Às vezes, esse estágio é chamado de "impressão de rodapé" porque os testadores de penetração mapeiam toda a pegada da rede.
Os testadores de penetração usam métodos manuais e automatizados para fazer o reconhecimento. Eles podem vasculhar os perfis de mídia social dos funcionários e as páginas do GitHub em busca de dicas. Eles podem usar ferramentas como o Nmap para procurar portas abertas e ferramentas como o Wireshark para inspecionar o tráfego de rede. Se permitido pela empresa, eles podem usar as táticas de engenharia social para enganar os funcionários no compartilhamento de informações confidenciais.
2. Encenando o ataque
Quando os testadores de penetração entendem os contornos da rede e as vulnerabilidades que podem explorar, eles atacam o sistema. Os testadores de penetração podem tentar uma variedade de ataques, dependendo do escopo do teste de penetração. Alguns dos ataques mais comumente testados incluem:
– Injeções de SQL: os testadores de penetração tentam obter uma página da Web ou aplicativo para divulgar dados confidenciais inserindo códigos maliciosos nos campos de entrada.
– Scripting entre sites: os testadores de penetração tentam plantar códigos maliciosos no site da empresa.
– Ataques de negação de serviço: os testadores de penetração tentam colocar servidores, aplicativos e outros recursos de rede off-line, inundando-os com tráfego.
– Engenharia social: testadores de penetração usam phishing, baiting, pretexting ou outras táticas para enganar os funcionários para comprometer a segurança da rede.
Durante o ataque, os testadores de penetração exploram como hackers maliciosos podem explorar vulnerabilidades existentes e como podem passar pela rede uma vez por dentro. Eles descobrem que tipos de dados e ativos os hackers podem acessar. Eles também testam se as medidas de segurança existentes podem detectar ou evitar suas atividades.
No final do ataque, os testadores de penetração encobrem seus rastros. Isso serve para duas finalidades. Primeiro, demonstra como os criminosos cibernéticos podem se esconder em uma rede. Em segundo lugar, impede que hackers maliciosos sigam secretamente os hackers éticos no sistema.
3. Relatórios
Os pen testers documentam todas as suas atividades durante o hack. Em seguida, eles apresentam um relatório à equipe de segurança da informação que descreve as vulnerabilidades que exploraram, os ativos e os dados que acessaram e como burlaram os sistemas de segurança. Hackers éticos também fazem recomendações para priorizar e corrigir esses problemas.
Avaliações da vulnerabilidade
A avaliação de vulnerabilidades é como um teste de penetração, mas não chega ao ponto de explorar as vulnerabilidades. Em vez disso, hackers éticos usam métodos manuais e automatizados para encontrar, categorizar e priorizar vulnerabilidades em um sistema. Em seguida, eles compartilham suas descobertas com a empresa.
Análise de malware
Alguns hackers éticos se especializam em analisar cepas de ransomware e malware. Eles estudam novas versões de malware para entender como elas funcionam e compartilhar suas conclusões com as empresas e com a comunidade mais ampla de segurança da informação.
Gerenciamento de risco
Os hackers éticos também podem ajudar no gerenciamento estratégico de riscos de alto nível. Eles podem identificar ameaças novas e emergentes, analisar como essas ameaças afetam a postura de segurança da empresa e ajudar a empresa a desenvolver contramedidas.
Embora haja muitas maneiras de avaliar a segurança cibernética, o hackers ético pode ajudar as empresas a entender as vulnerabilidades de rede da perspectiva de um invasor. Ao invadir redes com permissão, hackers éticos podem mostrar às empresas como hackers maliciosos exploram vulnerabilidades em sistemas operacionais, aplicativos, redes sem fio e outros ativos em estado selvagem. Essas informações podem ajudar a empresa a descobrir e fechar as vulnerabilidades mais críticas.
A perspectiva de um hacker ético também pode revelar coisas que os analistas de segurança interna podem perder.Por exemplo, hackers éticos usam firewalls, algoritmos de criptografia, sistemas de detecção de intrusão (IDSs), sistemas de detecção estendida (XDRs) e outras contramedidas.Como resultado, eles sabem exatamente como essas defesas funcionam na prática – e onde elas ficam aquém – sem que a empresa sofra um vazamento de dados real.
O IBM X-Force Red oferece testes de penetração para aplicativos, redes, hardware e pessoal para você descobrir e corrigir vulnerabilidades que expõem seus ativos mais importantes a ataques.
Os serviços de segurança ofensiva incluem teste de penetração, gerenciamento de vulnerabilidades e simulação de adversários para ajudar a identificar, priorizar e corrigir falhas na segurança em todo o seu ecossistema digital e físico.
Gerencie a expansão de sua pegada digital e atinja sua meta com menos falsos positivos para melhorar rapidamente a resiliência cibernética da sua organização.
O IBM Security® X-Force® Threat Intelligence Index 2023 oferece aos CISOs, às equipes de segurança e aos líderes empresariais insights práticos que ajudam a entender como os invasores atacam os salários e como podem proteger as organizações de forma proativa.
Explore as descobertas abrangentes do Relatório de custos das violações de dados de 2023. Este relatório traz informações valiosas sobre as ameaças que você enfrenta, além de recomendações práticas para melhorar a sua segurança cibernética e minimizar as perdas.
Um centro de operações de segurança melhora os recursos de detecção, resposta e prevenção de ameaças de uma organização ao unificar e coordenar todas as tecnologias e operações de segurança cibernética.
Os pesquisadores da IBM descobriram novas ameaças e desenvolveram defesas acionáveis para um tipo diferente de modelo de IA chamado DGMs (modelos generativos profundos). Os DGMs são uma tecnologia de IA emergente capaz de sintetizar dados de variedades complexas e de alta dimensão.
A segurança de rede é o campo da segurança cibernética voltado para a proteção de redes de computadores contra ameaças cibernéticas. A segurança da rede protege a integridade da infraestrutura, dos recursos e do tráfego da rede para provocar ataques e minimizar seu impacto financeiro e operacional.
O gerenciamento da superfície de ataque (ASM) é a descoberta, análise, remediação e monitoramento contínuos das vulnerabilidades de cibersegurança e dos possíveis vetores de ataque que compõem a superfície de ataque de uma organização.