Contenuto

• Che cos'è l'hacking del cappello grigio?
• Presentazione dell'hacker etico
• Come avviene l'hacking?
• Come hacker hacker: le migliori strategie
• Attacco di phishing
• SQL Injection
• Exploit zero-day
• Attacco a forza bruta
• Attacco DOS
• Il tuo lavoro come hacker etico
• Come iniziare come un hacker etico

Quando si pensa agli hacker, si tende a pensare alle persone in felpe che cercano di raccogliere dati sensibili da grandi aziende: l'hacking etico suona come un ossimoro.

La verità è che molte persone che si dedicano alla pirateria informatica lo fanno per ragioni perfettamente oneste. Ci sono molte buone ragioni per imparare l'hacking. Questi possono essere classificati in ragioni neutre di "cappello grigio" e ragioni produttive di "cappello bianco".

Che cos'è l'hacking del cappello grigio?

In primo luogo, c'è l'amore per armeggiare: vedere come funzionano le cose e potenziare se stessi. Lo stesso impulso che spinge un bambino a smontare un orologio e a decodificare potrebbe motivarti a vedere se riesci a bypassare in modo efficace la sicurezza del programma X o Y.

È rassicurante sapere che puoi difenderti online

Spero che non avrai mai bisogno di hackerare un account email, ma conoscerti poteva se necessario (tua sorella è stata rapita!) è comunque attraente. È un po 'come le arti marziali. Molti di noi sperano di non aver mai bisogno di lottare per davvero, ma è rassicurante sapere che puoi difenderti.

L'hacking può davvero essere un utile mezzo di autodifesa. Leggendo un'introduzione all'hacking etico, puoi conoscere le minacce alla tua privacy e sicurezza sul Web. In tal modo, puoi proteggerti da potenziali attacchi prima che si verifichino e prendere decisioni più intelligenti. Con l'alba dell'Internet of Things, sempre più delle nostre vite saranno "online". Imparare le basi della sicurezza dei dati potrebbe presto diventare una questione di autoconservazione.

Presentazione dell'hacker etico

L'hacking etico è anche altamente monetizzabile. Se vuoi bypassare i sistemi di sicurezza per vivere, ci sono molti percorsi di carriera altamente redditizi a tal fine. Puoi lavorare come analista della sicurezza delle informazioni, un pentester, un professionista IT generale o puoi vendere le tue competenze online attraverso corsi ed e-book. Mentre molti lavori vengono erosi dall'automazione e dalla digitalizzazione, la domanda di specialisti della sicurezza non farà che aumentare.

L'hacking etico è altamente monetizzabile

Qualcuno che lavora in uno di questi campi è di solito ciò che intendiamo con il termine "hacker etico". Esploriamo ulteriormente.

Come avviene l'hacking?

A un livello fondamentale, gli hacker etici testano la sicurezza dei sistemi. Ogni volta che utilizzi un sistema in un modo non previsto, stai facendo un "hack". Normalmente, questo significa valutare gli "input" di un sistema.

Gli input possono essere qualsiasi cosa, dai moduli su un sito Web, alle porte aperte su una rete. Questi sono necessari per interagire con determinati servizi, ma rappresentano obiettivi per gli hacker.

A volte ciò potrebbe significare pensare fuori dagli schemi. Lascia una chiavetta USB in giro e spesso qualcuno che la trova la collegherà. Ciò può garantire al proprietario di quella chiavetta USB un controllo enorme sul sistema interessato. Ci sono molti input che potresti non considerare come una minaccia, ma un hacker esperto può trovare un modo per sfruttarli.

Più input significano una "superficie di attacco" più ampia o maggiori opportunità per gli attaccanti. Questo è uno dei motivi per cui l'aggiunta costante di nuove funzionalità (note come funzionalità gonfia) non è sempre una buona idea per gli sviluppatori. Un analista della sicurezza spesso cerca di ridurre la superficie di attacco rimuovendo eventuali input non necessari.

Come hacker hacker: le migliori strategie

Per essere un hacker etico efficace, devi sapere cosa stai affrontando. Come hacker etico o "pentester", sarà il tuo compito tentare questo tipo di attacchi contro i clienti in modo da poter offrire loro l'opportunità di colmare le debolezze.

sarà tuo compito tentare questo tipo di attacchi contro i clienti

Questi sono solo alcuni dei modi in cui un hacker potrebbe tentare di entrare in una rete:

Attacco di phishing

Un attacco di phishing è una forma di "social engineering", in cui un hacker prende di mira l'utente (il "wetware") anziché direttamente la rete. Lo fanno tentando di convincere l'utente a consegnare i propri dati volontariamente, magari presentandosi come una persona di riparazione IT o inviando un'e-mail che sembra provenire da un marchio di cui si occupano e di cui si fidano (questo si chiama spoofing). Possono persino creare un sito Web falso con moduli che raccolgono dettagli.

Indipendentemente da ciò, l'utente malintenzionato deve semplicemente utilizzare tali dettagli per accedere a un account e avranno accesso alla rete.

Spear phishing è il phishing che prende di mira un individuo specifico all'interno di un'organizzazione. La caccia alle balene significa attaccare i più grandi kahuna - dirigenti e dirigenti di alto rango. Il phishing spesso non richiede competenze informatiche nella maggior parte dei casi. A volte tutto ciò di cui un hacker ha bisogno è un indirizzo email.

SQL Injection

Questo è probabilmente un po 'più vicino a quello che immagini quando immagini gli hacker. Structured Query Language (SQL) è un modo elaborato per descrivere una serie di comandi che è possibile utilizzare per manipolare i dati memorizzati in un database. Quando si invia un modulo su un sito Web per creare una nuova password utente, normalmente verrà creata una voce in una tabella che include tali dati.

A volte il modulo accetta anche involontariamente comandi, che possono consentire a un hacker di recuperare o manipolare le voci in modo illecito.

Ci vorrebbe un sacco di tempo per un hacker o un pentester per cercare queste opportunità manualmente su un grande sito Web o un'app Web, che è dove entrano in gioco strumenti come Hajiv. Questo cercherà automaticamente le vulnerabilità da sfruttare, il che è estremamente utile per gli specialisti della sicurezza, ma anche per quelli con cattive intenzioni.

Exploit zero-day

Un exploit zero-day funziona cercando punti deboli nella codifica di un software o nei protocolli di sicurezza prima che lo sviluppatore abbia l'opportunità di correggerli. Ciò potrebbe comportare il targeting del software di un'azienda o potrebbe interessare il software di destinazione che utilizza. In un famoso attacco, gli hacker sono riusciti ad accedere alle telecamere di sicurezza nell'ufficio di un'azienda con exploit zero day. Da lì, sono stati in grado di registrare tutto ciò che li interessava.

Un hacker potrebbe creare malware progettato per sfruttare questo difetto di sicurezza, che installerebbe di nascosto sul computer di destinazione. Questo è un tipo di hacking che beneficia della conoscenza del codice.

Attacco a forza bruta

Un attacco di forza bruta è un metodo per decifrare una combinazione di password e nome utente. Funziona esaminando ogni possibile combinazione una alla volta fino a quando non colpisce la coppia vincente, proprio come un ladro potrebbe passare attraverso combinazioni su una cassaforte. Questo metodo di solito prevede l'uso di software in grado di gestire il processo per loro conto.

Attacco DOS

Un attacco Denial of Service (DOS) significa arrestare un determinato server per un periodo di tempo, il che significa che non è più in grado di fornire i suoi normali servizi. Da qui il nome!

Gli attacchi DOS vengono eseguiti eseguendo il ping o altrimenti inviando il traffico a un server così tante volte da essere sopraffatti dal traffico. Ciò potrebbe richiedere centinaia di migliaia di richieste o addirittura milioni.

I maggiori attacchi DOS vengono "distribuiti" su più computer (noti collettivamente come botnet), che sono stati rilevati dagli hacker che utilizzano malware. Questo li rende attacchi DDOS.

Il tuo lavoro come hacker etico

Questa è solo una piccola selezione dei diversi metodi e strategie che gli hacker utilizzano spesso per accedere alle reti. Parte del fascino dell'hacking etico per molti è pensare in modo creativo e cercare potenziali punti deboli in termini di sicurezza che altri perderebbero.

Come hacker etico, il tuo compito sarà scansionare, identificare e quindi attaccare le vulnerabilità per testare la sicurezza di un'azienda. Una volta individuati tali buchi, verrà quindi fornito un rapporto che dovrebbe includere azioni correttive.

Ad esempio, se si dovesse condurre un attacco di phishing di successo, si potrebbe raccomandare l'addestramento per il personale che sarebbe in grado di identificare meglio gli utenti fraudolenti. Se hai un malware zero day sui computer della rete, potresti consigliare all'azienda di installare firewall e software antivirus migliori. Potresti suggerire all'azienda di aggiornare il suo software o smettere del tutto di utilizzare determinati strumenti. Se trovi delle vulnerabilità nel software dell'azienda, puoi segnalarle al team di sviluppo.

Come iniziare come un hacker etico

Se ti sembra interessante, ci sono molti corsi online che insegnano l'hacking etico. Eccone uno chiamato Bundle Bootcamp Ethical Hacker.

Dovresti anche consultare il nostro post su come diventare un analista della sicurezza delle informazioni che ti mostrerà le migliori certificazioni, i posti migliori per trovare lavoro e altro ancora.