Хакер что это такое: Хакер | это… Что такое Хакер?

Кто такой этичный хакер? / Хабр

Друзья, всех приветствую!

В этой статье мы поговорим о том, кто такие на самом деле этичные хакеры.

Этичный хакер, также называемый «белой шляпой», — это эксперт по информационной безопасности (инфобезопасности), который проникает в компьютерную систему, сеть, приложение или другой вычислительный ресурс от имени владельцев — и с их разрешения. Организации обращаются к этичным хакерам для выявления потенциальных уязвимостей безопасности, которыми могут воспользоваться злонамеренные хакеры.

Целью этичного хакинга является оценка безопасности и выявление уязвимостей в целевых системах, сетях или системной инфраструктуре. Этот процесс подразумевает поиск и последующую попытку использования уязвимостей для определения возможности несанкционированного доступа или других вредоносных действий.

Истоки этичного хакинга

Бывшему руководителю IBM Джону Патрику часто приписывают создание термина «этичный хакинг» в 1990-х годах, хотя сама концепция и практика ее применения возникли гораздо раньше.

Термин «хакерство» впервые появился в 1960-х годах в связи с деятельностью Массачусетского технологического института и обозначал применение творческих инженерных методов для «взлома» машин и повышения эффективности их работы. В то время хакерство считалось комплиментом для тех, кто обладал исключительными навыками в компьютерном программировании.

Вредоносные взломы стали более частыми в последующие десятилетия, параллельно с коммерциализацией компьютерных технологий, ориентированных на потребителя. Хакеры поняли, что языки программирования можно использовать для манипулирования телекоммуникационными системами и совершать междугородние звонки бесплатно, что получило название «фрикинг».

Фильм 1983 года «War Games», в котором студент по неосторожности взламывает суперкомпьютер для военных игр, управляемый американскими военными, помог привлечь внимание к уязвимости больших вычислительных систем. В 2000-х годах нормативные акты, такие как Закон о переносимости и подотчетности медицинского страхования, регулирующие хранение и безопасность оцифрованных медицинских и деловых данных, повысили роль этичных хакеров в сфере кибербезопасности.

Коммерциализация хакерских навыков, известная как «взлом как услуга» (HaaS), сделала кибербезопасность более сложной. С положительной стороны, фирмы, занимающиеся кибербезопасностью, и поставщики информационных технологий (ИТ) безопасности начали предлагать корпоративным клиентам опциональные этические услуги HaaS по контракту. Однако в темной паутине процветает подпольный рынок, в том числе онлайн-площадки для начинающих хакеров, часто занимающихся незаконной деятельностью.

Пандемия коронавируса создала новые возможности для преследования киберпреступников. В докладе «Скрытые издержки киберпреступности», опубликованном в июле 2020 года Центром стратегических и международных исследований и компанией McAfee, денежные потери от киберпреступлений в 2020 году оцениваются в 945 миллиардов долларов. Кроме того, по оценкам авторов доклада, организации потратят 145 миллиардов долларов на услуги и технологии кибербезопасности.

Что такое этичный хакинг?

Этичный хакер должен обладать глубокими техническими знаниями в области информационной безопасности, чтобы распознавать потенциальные векторы атак, угрожающие бизнесу и оперативным данным. Люди, работающие в качестве этичных хакеров, обычно демонстрируют прикладные знания, полученные в результате признанных отраслевых сертификатов или университетских программ по информатике, а также практического опыта работы с системами безопасности.

Этичные хакеры обычно находят уязвимости безопасности в незащищенных конфигурациях систем, известных и неизвестных уязвимостях аппаратного или программного обеспечения, а также недостатки в процессах или технических мерах противодействия. Потенциальные угрозы безопасности при злонамеренном взломе включают распределенные атаки типа «отказ в обслуживании», при которых несколько компьютерных систем взламываются и перенаправляются для атаки на определенную цель, которая может включать любой ресурс в вычислительной сети.

Этичный хакер получает от организации широкую свободу действий для законных и неоднократных попыток взлома ее вычислительной инфраструктуры. Это предполагает использование известных векторов атак для проверки устойчивости системы информационной безопасности организации.

Этичные хакеры используют для проверки мер ИТ-безопасности многие из тех же методов и приемов, что и их неэтичные коллеги, или «черные шляпы». Однако этичные хакеры не используют уязвимости в корыстных целях, а документируют данные об угрозах, чтобы помочь организациям исправить ситуацию с сетевой безопасностью с помощью усиления политики, процедур и технологий в области информационной безопасности.

Любая организация, имеющая сеть, подключенную к Интернету, или предоставляющая онлайн-услуги, должна рассмотреть возможность проведения этичными хакерами тестирования на проникновение (pentesting) своей операционной среды.

Чем занимаются этичные хакеры?

Этичные хакеры (пентестеры) могут помочь организациям различными способами, включая следующие:

1. Поиск уязвимостей. Этичные хакеры помогают компаниям определить, какие из их мер ИТ-безопасности являются эффективными, какие нуждаются в обновлении, а какие содержат уязвимые места, которые могут быть использованы. Когда этичные хакеры заканчивают оценку систем организации, они сообщают руководителям компании об уязвимых местах, которые могут включать отсутствие достаточного шифрования паролей, небезопасные приложения или открытые системы с непропатченным программным обеспечением. Организации могут использовать данные этих тестов для принятия обоснованных решений о том, где и как улучшить свою защиту для предотвращения кибератак.

2. Демонстрация методов, используемых киберпреступниками. Такие демонстрации показывают руководителям компаний методы взлома, которые злоумышленники могут использовать для атаки на их системы и создания хаоса в их бизнесе. Компании, обладающие глубокими знаниями о методах, которые злоумышленники используют для проникновения в их системы, имеют больше возможностей для предотвращения таких вторжений.

3. Помощь в подготовке к кибератаке. Кибератаки могут искалечить или уничтожить бизнес — особенно малый — но большинство компаний все еще не готовы к кибератакам. Этичные хакеры понимают, как действуют субъекты угроз, и знают, как эти плохие субъекты будут использовать новую информацию и методы для атак на системы. Специалисты по безопасности, работающие с этичными хакерами, лучше подготовлены к будущим атакам, поскольку они могут лучше реагировать на постоянно меняющуюся природу онлайн-угроз.

Всем спасибо за внимание! 🙂

Подписывайтесь на меня в соц. сетях, буду всем рад!

Специалист по информационной безопасности — Цифровые герои — Учёба.ру

Реальные герои

Пожелавшие остаться неизвестными

Карим

руководитель группы информационной безопасности Mail.Ru Group

Борис

аналитик центра безопасности Mail.Ru Group

Юрий

аналитик центра безопасности Mail.Ru Group

 

О профессии

Профессиональная паранойя

Некоторые специалисты ИБ заклеивают веб-камеры на своих компьютерах скотчем. Они говорят, что есть достаточно много способов наблюдать за человеком через них, и никто даже не будет догадываться, что наблюдение ведется с персонального ноутбука. Сами они знают, как это делается, и знакомы с людьми, которые на этом попадались.

Работа специалиста по информационной безопасности (ИБ) начинается с того, что ему приходит сообщение: «Нужно оценить состояние проекта, который мы планируем выпустить». Тогда специалисты ИБ начинают с разных сторон его исследовать: проверять настройки безопасности, изучать архитектуру, читать документацию, смотреть исходный код и искать уязвимости.

Одним из самых распространенных методов оценки безопасности информационных систем являются тесты на проникновение (penetration testing) — это когда специалист пытается взломать систему, используя все методы и инструменты, которыми обычно пользуются хакеры. По сути, это легальный взлом. Такие тесты позволяют выявить все известные уязвимости, через которые хакер потенциально может взломать систему и нанести ущерб бизнесу. На основании всей полученной информации и проведённого тестирования специалисты ИБ могут сказать, какие решения являются неправильными и что нужно изменить.

Например, самое простое правило: нельзя передавать логины и пароли через незашифрованную сеть. К пожеланиям службы ИБ прислушиваются, программисты и администраторы вносят изменения, и в итоге получается крепкий и надежный продукт.

С чем приходится бороться?

• DDoS

  Хакерские атаки с целью вывода системы из строя путем отправки большого количества запросов, с которыми эта система в какой-то момент начинает не успевать справляться, и перестаёт выполнять свои штатные функции. Делается это, как правило, для нанесения экономического ущерба конкурентам или политическим противникам. DDoS атака проводятся с помощью заражённых серверов, расположенных в самых разных местах и странах, поэтому отследить её исполнителей или заказчиков практически невозможно. Для защиты от DDoS-атак специалисты по ИБ анализируют трафик, ищут подозрительную активность и, в случае обнаружения, включают специальные фильтры для ограничения такого трафика.

• Фишинг

  Подмена интернет-страниц или отправка электронных писем, которые «маскируются» под реальные сайты или легальные письма с целью сообщить ложную информацию или заставить пользователя отправить злоумышленникам свои персональные данные (такие как e-mail, пароль или данные кредитной карты).

• Брутфорс

  Подбор паролей путем перебора всех возможных комбинаций. Такие атаки являются одним из самых простых и эффективных способов взлома компьютерных систем. Защититься от подобных атак также несложно с помощью файрволов и введения более сложных механизмов авторизации (например, после ввода пароля на телефон отправляется СМС с кодом доступа).

• Трояны

  Вредоносные программы, которые используются для несанкционированного доступа к данным или их полного уничтожения, слежки за действиями пользователей, перехвата управления системой или использование её ресурсов. Как правило, все трояны маскируются под безвредные или полезные программы, которые пользователи добровольно скачивают и устанавлиют, от этого они и получили своё название (миф о Троянском коне).

• Эксплойты

  Это способ использования найденных уязвимостей в системе. Обычно это программа или скрипт (но иногда так называют и просто последовательность определенных действий), которые могут привести к нужному злоумышленнику результату. Часто эксплойты выкладываются в интернет, чтобы разработчики могли устранить уязвимость и, тем самым, улучшили свой продукт или просто чтобы получить минуту славы в ИБ-сообществе.

Кто взламывает?

• «Школьники»

  Взламывать почту и мессенджеры часто пытается всякая «школота»: они хотят прочитать переписку своих возлюбленных или одноклассников. Набор методик в этом случае достаточно примитивен: фишинг, вирусы-трояны, подбор паролей и т. д.

• Энтузиасты (Bug Hunters)

  Есть много энтузиастов (bug hunters), которые интересуются информационной безопасностью в самых различных сферах. Они постоянно сканируют и анализируют выбранные сайты, ищут дырки в их защите и обмениваются информацией об обнаруженных уязвимостях в многочисленных сообществах, посвящённых ИБ. В Mail.Ru Group, как и во многих IT-компаниях, действует программа финансового вознаграждения (Bug Bounty) за найденные баги и уязвимости.

• Профессионалы (Black Hats)

  Профессиональные взломщики, так называемые «чёрные шляпы» (Black Hats). Эти люди пишут «эксплойты», ломают сайты и залезают в корпоративные сети, чтобы воровать оттуда информацию: «исходники» программ, финансовые сведения или базы данных.

  Часто это высококлассные специалисты, которые хорошо разбираются в предмете, знают нестандартные или недокументированные особенности систем. Такие хакеры уже не афишируют свои «находки» или разработки, но иногда продают их.

• Промышленные шпионы

  Это люди и целые компании, которые могут быть технически неграмотными, но сильно заинтересованы в получении определенной информации или технологий и при этом обладают финансовыми ресурсами, чтобы заказывать взломы, покупать «эксплойты» и инвестировать большие деньги в свои атаки.

• Спецслужбы

  В получении закрытой информации также заинтересованы и спецслужбы разных стран. Если ИТ-компания имеет доступ к большому трафику, информации в социальных сетях, почте и мессенджерах — она неизбежно становится объектом внимания спецслужб. Редкая компания одобрит запрос зарубежной спецслужбы, которой в ходе операции понадобился доступ к почтовому ящику частного лица, поэтому спецслужбам приходится как-то решать эти задачи, прибегая к взлому систем.

• Хакеры из Китая

  Отдельно стоит выделить многочисленных хакеров и целые хакерские группировки из Китая, которые занимаются промышленным шпионажем. Их очень много, и они постоянно пытаются всех взломать и всё скопировать.

  Когда идет атака, специалисты ИБ не могут точно сказать, кто это: «черные шляпы», китайские хакеры или спецслужбы. Они просто пытаются от этого избавиться. Атаки всегда проводятся через взломанные сети в третьих странах: Индонезии, Малайзии и многих других, так что определить местоположение хакера по его IP, как правило, невозможно.

Знания и навыки

Что должен знать каждый ИБэшник:

Как устроены сети и интернет

(протоколы TCP/IP)

Операционные

системы

(Linux, Windows, OSX etc. )

Языки программирования

(PHP, Python, Ruby, Bash и другие скрипт-языки)

 

В первую очередь нужно досконально знать, как работают и как устроены сети, протоколы TCP/IP и операционные системы. Языки программирования нужны, чтобы обрабатывать большие массивы данных (например, анализировать лог-файлы) и писать свои утилиты для защиты. Знание низкоуровневых языков, таких как «Си» или «Ассемблер», даёт ощутимые преимущества, так как позволяет понимать, как устроена система на самом низком уровне и, соответственно, выстраивать правильную линию защиты (или взлома). Также необходимо знание целого ряда специфических инструментов и систем обнаружения вторжений, таких как сканеры уязвимостей, сетей и портов (например, nmap). Существуют даже специальные «хакерские» сборки операционных систем, которые включают в себя полный набор инструментов для взлома как «белого», так и «черного».

В работе специалиста ИБ также очень важны опыт, настойчивость, удача и знание о том, как устроена работа той или иной системы изнутри.

Человек, у которого есть такая информация, может взломать систему, не имея ни опыта, ни терпения, ни удачи. Либо, наоборот, взломать ее, не имея ничего, кроме терпения. По сути, все эти четыре момента объединяет одно: интерес. Если у вас нет интереса ко взлому и нет желания копаться в сети, вам ничего не поможет.

 

Образование

В университетах можно получить в основном теоретические знания, поэтому выпускники профильных факультетов часто являются только теоретиками, «бумажными специалистами». Проблема российского образования в сфере ИБ заключается в том, что здесь до сих пор действуют старые программы: студенты изучают, например, «Оранжевую книгу» — американский набор стандартов 1990 года. Преподают здесь зачастую люди старше 50 лет, которые уже «не в теме». Поэтому специалистам в области ИБ приходится постоянно заниматься самообразованием, получать практические навыки и обновлять свои знания.

Профильные факультеты

• МГУ

  факультет вычислительной математики и кибернетики

• МГТУ им. Н.Э. Баумана

  факультет «Информатика и системы управления»

• МФТИ

  факультет радиотехники и кибернетики

• МИФИ

  факультет кибернетики и информационной безопасности

Книги

 

Web Application Hacker Handbook

Книга немного нудная, но обладающая хорошим системным подходом к тому, как правильно «хакать» веб-приложения с максимальным покрытием, чтобы ничего не забыть. По словам специалистов, максимально полезное издание.

The Tangled Web

Лучшей книгой по веб-безопасности профессионалы также считают The Tangled Web Михаила Залевского. Это настоящая выжимка информации о том, как устроен веб.

Сайты

• securitylab.ru

  Полезные анонсы, новости и статьи по теме ИБ.

• xakep.ru

  Более популярный ресурс, где материалы хорошо «разжевываются».

• redit.com/r/netsec

  Ежедневно публикуются всевозможные новости, описания «багов», рецепты того, как их использовать.

• twitter.com

  По хештегу #pentest можно найти много разных ребят, которые публикуют свои находки, новые методики, ссылки на интересные блоги.

Capture the Flag

В сфере ИБ очень популярны соревнования CTF (Capture the Flag). Они бывают командными и одиночными; организаторы дают игрокам задание: найти в системе уязвимость, через которую они получают доступ к данным и находят «флаг». За каждый захваченный «флаг» игроку дают очки. Профессионалы говорят, что это отличный способ улучшить свои навыки, ведь задания в рамках соревнований CTF бывают очень разными, а это учит искать и решать проблемы и развивает каждого участника как программиста. Школьные CTF, в частности, проводит МГУ.

 

Хакеры в кино

В некоторых фильмах о хакерах: «Мистер Робот», «Кибер» (Black Hat), — последние показаны весьма реалистично.

«Кибер»

Боевик, где всё происходящее напоминает мир промышленного шпионажа и «черных шляп». Технический уровень и технические навыки там показаны реально, потому всё и выглядит довольно скучно.

«Мистер Робот»

Довольно реалистичный сериал про хакера-социофоба. В кадрах видно, как герой запускает существующие программы и утилиты.

«Хакеры»

С технической точки зрения не слишком точен, но прекрасно передает дух хакерства. В США до сих пор существует целая субкультура хакеров.

 

Известные хакеры и группировки

Кевин Митник

Считается, что Кевин Митник «хакал» людей, убеждая выдать ему пароль, но многие профессионалы уверены в том, что Митник был ещё и хорошим программистом. Однажды, в середине 90-х, он взломал программное обеспечение «соты» (вышки мобильного оператора) и видоизменил код таким образом, что когда к ней подъезжали агенты ФБР с определенными телефонными номерами, сота посылала ему сообщение. Сейчас, когда в интернете можно найти практически любую информацию, это не кажется сложной задачей. Но в середине 90-х различия между операционными системами были очень большими, а интернета в нынешнем понимании не было вовсе. До многих вещей приходилось доходить самому, при этом часто не имея документации. Документация к различным системам в то время являлась своеобразной валютой (как сейчас — эксплойты). Имея документацию о какой-либо системе, человек мог поменяться ею с другим хакером.

Джулиан Ассанж

Многим Джулиан Ассанж известен в связи с крупными политическими скандалами. На рубеже 80-90-х годов Джулиан Ассандж был знаменитым хакером: писал софт, занимался исследованиями и придумал много интересных вещей — например, утилиту strobe для сканирования сетей.

International Subversives

Так называлась группа австралийских хакеров в конце 80-х. Это были три хакера, которые взломали множество разных систем, в том числе ключевые серверы, которые обслуживали интернет в тот момент. У них был доступ к телефонным компаниям всего мира: телефонные сети соединены между собой, чтобы человек из Москвы, например, мог позвонить в США, и эти хакеры могли лишить целую страну международной телефонной связи.

Современные хакерские группировки

Сегодня самые профессиональные хакеры остаются в тени, а о самых интересных случаях взлома практически никто не знает. Крупным компаниям, банкам и правительственным учреждениям крайне невыгодно распространять информацию о том, что они потеряли деньги клиентов или другую важную информацию, поэтому факты взлома часто просто скрываются.

Известные сегодня хакерские группировки, такие как Lizard Squad и Anonymous, — это в основном достаточно «школьный» уровень: с технической точки зрения эти ребята не очень хорошо подкованы и часто пользуются методами социальной инженерии. Про группу «Шалтай-Болтай», участники которой взломали Twitter-аккаунт Дмитрия Медведева, трудно сказать что-то определенное, но с технической точки зрения эта попытка взлома была не очень сложной: скорее всего, это был троян или вирус, который попал на телефон или компьютер премьер-министра.

Жаргон

Хакать

проникать, взламывать систему.

Дырка

слабое место, уязвимость в системе.

Фишинг

подмена страницы с целью получить пароль или другую информацию.

Эксплойт

вредоносный код, использующий уязвимости в программе.

Джейлбрейк

взлом собственного iPhone, чтобы использовать его не так, как предполагала компания.

Дэдосить

выводить систему из строя большим количеством запросов.

Какой ты герой?

Узнай, какая интернет-специальность подойдёт тебе больше

Пройти тест

Другие герои

Продукт-менеджер

Data scientist

Продуктовый дизайнер

Посмотреть всех

Кто такой хакер? | McAfee

Вы, вероятно, думаете, что знаете, что такое «хакер», но образы, представленные в СМИ, могут ввести в заблуждение. Возможно, вы думаете о комичном парне, который заражает компьютеры людей вирусами или взламывает пароли, чтобы совершать набеги на счета крупного бизнеса. Это один из видов хакеров, но в более широком смысле хакер — это человек (мужчина или женщина), который использует свои навыки программирования и технические знания для создания и модификации компьютерного программного и аппаратного обеспечения, находя их слабые места и используя их.

Хакеры могут быть мотивированы рядом причин, как положительных, так и отрицательных. Например, преступные хакеры могут создавать вредоносные программы для совершения преступлений, таких как кража информации и денег, в то время как другие хакеры действуют доброжелательно. Они могут работать на крупные компании или правительство во имя защиты от злоумышленников.

Полезно знать следующие основные категории хакеров:

Черные хакеры

Это хакер, который получает несанкционированный доступ к компьютерной системе или сети со злым умыслом. Они могут использовать компьютеры для атак на системы с целью получения прибыли, развлечения, по политическим мотивам или в рамках общественной цели. Такое проникновение часто связано с изменением и/или уничтожением данных, а также с распространением компьютерных вирусов, интернет-червей и спама.

Белые хакеры

Белые хакеры, также известные как «этические хакеры», являются экспертами по компьютерной безопасности, которые специализируются на тестировании на проникновение и других методологиях тестирования для обеспечения безопасности информационных систем компании. Эти эксперты по безопасности могут использовать различные методы для проведения своих тестов, включая тактику социальной инженерии, использование хакерских инструментов и попытки обойти систему безопасности, чтобы проникнуть в охраняемые зоны.

Серые хакеры

Это опытные хакеры, которые иногда действуют законно, иногда по доброй воле, а иногда нет. Они представляют собой гибрид белых и черных хакеров. Обычно они не взламывают для личной выгоды или злонамеренных намерений, но могут время от времени совершать или не совершать преступления в ходе своих технологических эксплойтов.

В дополнение к этим определениям термин «хакер» в настоящее время используется для обозначения любого человека, который преднамеренно пытается скомпрометировать компьютерную систему, независимо от цели.

Это может также означать кого-то, кто любит возиться с внутренностями компьютерных систем, а также может означать действительно умного человека, который может решить любую компьютерную проблему.

Таким образом, хотя вы, возможно, считали хакеров преступниками, на самом деле этот термин описывает группу людей с различными техническими навыками и мотивами. Вот почему было бы полезнее, если бы мы использовали этот термин с дескрипторами, такими как «хакер в белой шляпе» или «хакер-преступник», чтобы лучше понять, кого мы имеем в виду.

В конце концов, у хакеров не должно быть плохой репутации. Обычно это очень талантливые люди, и нам нужно больше хорошего разнообразия: белые шляпы.

хакер — Глоссарий | CSRC

• Проекты
• Публикации Развернуть или свернуть
• Темы Развернуть или свернуть
• Новости и обновления
• События
• Глоссарий
• О CSRC Развернуть или свернуть

Поиск

Сортировать по

Релевантность (наилучшее совпадение)Срок (A-Z)Срок (Z-A)

Пункты на странице 100200500Все

Глоссарий

А | Б | С | Д | Е | Ф | г | ЧАС | я | Дж | К | л | М | Н | О | п | Вопрос | р | С | Т | U | В | Вт | Икс | Д | Z

хакер

Определения:

  Неавторизованный пользователь, который пытается или получает доступ к информационной системе.