Білий капелюх

Білий капелюх (англ. white hat) — термін, яким позначають хакера або експерта з комп'ютерної безпеки, який спеціалізується на тесті на проникнення і інших перевірках інформаційних систем[1]. Багато джерел помилково пов'язують хакерську етику лише з білими капелюхами, хоча це поняття є ширшим[2][3]. Назва як чорних, так і білих капелюхів походить з вестернів, де антагоністичні ковбої традиційно носять капелюхи цих кольорів[4]. Білі хакери шукають уразливості на добровільній основі або за плату з метою допомогти розробникам зробити їх продукт більш захищеним.[5] Тому важливим є уникнення негативної конотації слова хакер, оскільки їх діяльність це не обов'язково передбачає порушення законодавства, сам термін хакер — це швидше спеціаліст високого рівня з роботи інформаційних систем[6]. Тому доцільніше говорити про «етичних» хакерів і кіберзлочинців[7][8].

Білі капелюхи працюють у командах, що називаються: «sneakers»[9], червоні команди (англ. Red team) та команди тигрів (англ. Tiger team).[10]

Історія

Першою атакою білих капелюхів можна вважати «перевірку безпеки» операційної системи Multics, проведену повітряними силами США для подальшого «використання її, як дворівневої (таємної/дуже таємної) системи». По результатам тестування Multics виявилась «значно краще, ніж інші системи», але також вона мала «…вразливості в апаратній безпеці, безпеці програмного забезпечення та процедурній безпеці». Ці недоліки можна було виявити за допомогою «відносно малої кількості зусиль»[11]. Атака проводилась в умовах, близьких до реальності, тому і результати показали ті вразливості, через які в подальшому міг відбутися напад. Учасники атаки виконували як напади для збору даних, так і прямі атаки, які могли б пошкодити систему.

Існує декілька відкритих звітів, що описують хакерську етику збройних сил США[10].

До 1981 року Нью-Йорк Таймс описував білих капелюхів, як «шкідливу, але хибно позитивну хакерську традицію». Коли співробітник NCSS виявив можливість злому пароля, яку він використовував проти клієнтів, компанія покарала його не за сам злом, а за те, що не повідомив про це раніше. В листі про догану зазначено, що компанія «…заохочує працівників виявляти слабкі місця у програмному забезпеченні»[12].

Вперше ідею перевірки безпеки за допомогою злому сформулювали Ден Фармер та Вієтс Венема. Маючи на меті покращити рівень безпеки Інтернету та Інтранету, вони описували те, як вони збирали достатню кількість інформації про свою ціль, щоб поставити її під загрозу. Також вони навели декілька конкретних прикладів, як цю інформацію можна використати для того, щоб отримати контроль над ціллю, та як запобігти такому нападу. Потім вони зібрали все, що було використано ними для нападу, в один файл і виклали його в відкритий доступ. Їх програма отримала назву Security Administrator Tool for Analyzing Networks, або просто SATAN. У 1992 році ця подія була популярною темою у ЗМІ[10].

Тактика

До поширених методів атак належать:

Діяльність

Іноді компанії оголошують так звані «конкурси» на виявлення помилок в програмі, використовуючи програму Bug Bounty, що дозволяє як чорним так і білим хакерам діяти цілком легально і без шкоди для компанії, щороку проводиться сотні таких конкурсів з можливістю заробити сотні тисяч доларів[13]. Зазвичай білі хакери працюють в ІТ компаніях, що займаються кібербезпекою, використовуючи «тестування на проникнення» з метою знайти уразливі ділянки програмного забезпечення клієнта, це вимагає високого рівня навичок і знань, тому їх кількість дуже незначна[13].

Див. також

Джерела
  1. What is white hat? - a definition from Whatis.com. Searchsecurity.techtarget.com. Процитовано 6 червня 2012.
  2. Ward, Mark (14 вересня 1996). [http://www.newscientist .com/article/mg15120471-700-sabotage-in-cyberspace-the-threat-to-national-security-from-computer-terrorists-is-vastly-overblown-most-hackers-are-after-nothing-more-than-an-intellectual-thrill/ Sabotage in cyberspace]. New Scientist 151 (2047).[недоступне посилання з червня 2019]
  3. Knight, William (16 жовтня 2009). License to Hack. InfoSecurity 6 (6): 38–41. doi:10.1016/s1742-6847(09)70019-9.
  4. Wilhelm, Thomas; Andress, Jason (2010). Ninja Hacking: Unconventional Penetration Testing Tactics and Techniques. Elsevier. с. 26–7.
  5. Зануда, Анастасія (22 жовтня 2018). Українські білі хакери: як заробити на зламах і не стати кіберзлочинцем (en-GB). Процитовано 2 листопада 2019.
  6. Дмитрий Ганжело о хакерах, защите гаджетов и кибербезопасности в Украине | InDevLab. indevlab.com (ru-RU). Процитовано 16 листопада 2019.
  7. Зануда, Анастасія (22 жовтня 2018). Українські білі хакери: як заробити на зламах і не стати кіберзлочинцем (en-GB). Процитовано 16 листопада 2019.
  8. Malik, Keshav (13 грудня 2021). Top 3 Penetration Testing Providers: Everything You Must Know. www.getastra.com (амер.). Процитовано 8 січня 2022.
  9. What is a White Hat?. Secpoint.com. 20 березня 2012. Процитовано 6 червня 2012.
  10. Palmer, C.C. (2001). Ethical Hacking. IBM Systems Journal 40 (3): 769. doi:10.1147/sj.403.0769.
  11. Paul A. Karger, Roger R. Scherr (June 1974). MULTICS SECURITY EVALUATION: VULNERABILITY ANALYSIS. Процитовано 12 листопада 2017.
  12. McLellan, Vin (26 липня 1981). Case of the Purloined Password. The New York Times. Процитовано 11 серпня 2015.
  13. Білі хакери - хто вони?. indevlab.com (укр.). Процитовано 16 листопада 2019.
This article is issued from Wikipedia. The text is licensed under Creative Commons - Attribution - Sharealike. Additional terms may apply for the media files.