ტერმინი, ეთიკური ჰაკერი, აღწერს ადამიანს რომელიც მოქმედებს როგორც თავდამსხმელი და აფასებს კომპიუტერული სისტემის უსაფრთხოებას. მისი მიზანია რისკის მინიმალიზაცია. კომპიუტერული უსაფრთხოების რესურსული ცენტრი NIST ჰაკერს აღწერს, როგორც “არაავტორიზებულ მომხმარებელს, რომელიც ცდილობს ინფორმაციულ სისტემაზე წვდომა მოიპოვოს”.
ეთიკური ჰაკერის მიზანია ინსფრასტრუქტურის უსაფრთხოების სისტემის შეფასება იმისათვის, რომ აღმოაჩინოს შესაძლო მოწყვლადობები და შემდეგ აღმოფხვრას სისუსტეები. ამ პროცესს ეწოდება ეთიკური ჰაკინგი, იგივე შეღწევადობის ტესტირება.
რისთვის გვჭირდება შეღწევადობის ტესტირება?
რისთვის გვჭირდება შეღწევადობის ტესტირება? პირველ რიგში, ადამიანს რომელიც ვალდებულია სისტემის უსაფრთხოებაზე იზრუნოს, სჭირდება იპოვოს მოწყვლადობები იმაზე ადრე ვიდრე ცუდი ბიჭები იპოვიან. წლების მანძილზე შემუშავდა თავის დაცვის სხვადასხვა სისტემები, როგორიცაა ანტივირუსები, ფაირვოლები და ა.შ. მაგრამ როგორც გავიგოთ ეს სისტემები მუშაობს თუ არა? არის თუ არა იმდენად კარგი რომ ცუდი გოგო-ბიჭებისგან დაგვიცვას? რამდენად ღირებულია მონაცემები რომელსაც ვიცავთ? ვიცავთ თუ არა საჭირო პროგრამებს? ეს არის რამდენიმე კითხვა, რომელიც შეღწევადობის ტესტერმა უნდა დასვას.
საფრთხის სახეები
შეღწევადობის ტესტერი სანამ გაიგებს როგორ იმუშავოს როგორც თავდამსხმელმა, მან უნდა იცოდეს თავდამსხმელთა ტიპები. ჩამოთვლილია რამდენიმე ფართოდ გავრცელებული სახე:
ორგანიზებული დანაშაული
ორგანიზებული დანაშაულის წევრები მიდიან იქ, სადაც ფულია. ორგანიზებულ დანაშაულს ახორციელებენ ადამიანთა ჯგუფი რომელიც არიან მოტივაციითა და ცოდნით აღჭურვილები. ისინი იყენებენ უახლეს შეტევის ტექნიკებს.
ჰაქტივისტები
ამგვარი თავდამსხმის განმხორციელები არ არის მოტივირებული ფულით. ის თავდასხმას ახორციელებს მონაცემების მოპოვებისა და მისი გასაჯაროების მიზნით.
დასპონსორებული თავდამსხმელები
კიბერ ომი და კიბერ ჯაშუშობა ორი ტერმინია რომელიც დასპონსორებული თავდასხმის კატეგორიაში ჯდება. დღეისათვის ბევრი მთავრობა იყენებს კიბერ თავდასხმას იმისთვის, რომ მისთვის საჭირო ინფორმაცია მოიპოვოს. ამისთვის ისინი ქირაობენ თავდამსხმელებს.
შიდა საფრთხე
შიდა საფრთხე არის საფრთხე, რომელიც ორგანიზაციის შიგნით წარმოიქმნება. შიდა სართხეს წარმოადგენს უბრალო თანამშრომელი რომელმაც შეიზლება საფრთხის შემცველ ლინკზე დაკლიკოს. რაც თავმდამსხმელებს გზას უხნის მთელი ორგანიზაციის კომპიუტერებსა თუ მონაცემებზე მოიპოვონ წვდომა. ამ კატეგორიაში შეიძლება მოვიაზროთ ის თნამშრომბლებიც, რომელთაც კომპანიზე შურისძიება განიზრახეს.
ტესტირების სახეები
ქსელური ინფრასტრუქტურის ტესტირება
ქსელური ინფრასტრუქტურის უსაფრთხოების ტესტირება მოიცავს როუტერების, სვიჩების, ავტორიზაციის, სერვერების და აიპიესების ტესტირებას.
აპლიკაციების ტესტირება
ამგვარი ტესტირება მოიცავს აპლიკაციების სისუსტეების აღმოჩენას. ეს სისუსტეები შეიძლება მოიცავდეს ლოგიკურ გაუმართაობას, მისკონფიგურაციას, ვალიდაციის პრობლემებს. ვებ აპლიკაცია გაშვებულია ვებ სერვერზე, რაც გულისხმობს ბექენდის ტესტირებასაც.
შეღწევადობის ტესტირება ღრუბლებში
ღრუბლოვანი სერვისების პროვაიდერების როგორიცაა აზური, მაიკროსოფტი, გუგლის ღრუბლოვანი პლატფორმა უსაფრთხოების ნაწილს სერიოზული პასუხისმგებლობით ეკიდებიან. მაგალითად, ამაზონმა შექმნა გაზიარებული პასუხისმგებლობის მოდელი სადაც აღწერილია მომხმარებლისა და თავის მხრივ ამაზონის პასუხიმსგებლობები.
შეღწევადობის ტესტირების მეთოდები
უხცო გარემოში ტესტირება
უცხო გარემოში ტესტირება ცნობილია შავი ყუთის სახელით. ამ მდგომარეობაში ტესტერი იღებს შეზღუდული რაოდენობით ინფორმაციას. მაგალითად, ტესტერისთვის შესაძლო ცნობილი იყოს მხოლოდ დომეინის სახელები და აიპი მისამართები. ამ ლიმიტაციის მიზანია რომ ტესტერი აღმოჩნდეს თავდამსხმელის პოზიციაში და დაიწყოს მუშაობა იმ პერსპექტივიდან, რომელიც სავარაუდოდ თავმდამსხმელს ქონდა. ტიპიურად, თავმდამსხმელი ჯერ თავდასხმის ობიექტს არჩევს, შემდეგ კი მასზე ინფორმაციის შეგროვებას იწყებს.
ცნობილ გარემოში ტესტირება
ცნობილ გარემოში ტესტირება ცნობილია თეთრი ყუთის სახელით. ამ მდგომარეობაში ტესტერს აქვს სრული ინფორმაცია ორგანიზაციისა და მისი ინფრასტრუქტურის შესახებ. ტესტერს აქვს ქსელის დიაგრამები, აიპი მისამართები, კონფიგურაციები და მომხმარებელთა კრედიტენციალები. ამგვარი ტესტირების მიძანია რაც შეიძლება მეტი უსაფრთხოების ხვრელის აღმოჩენა.
ნაწილობრივ ცნობილ გარემოში ტესტირება
ნაწილობრივ ცნობილ გარემოში ტესტირება ცნობილია ნაცრისფერი ყუთის სახელით. ეს არის ჰიბრიდული გარემო ტესტერისათვის. ამ მდგომარეობაში ტესტერს აქვს კრედენტიალები, მაგრამ მას არ აქვს ქსელის ინფრასტრუქტურის სრული დოკუმენტაცია. ეს ტესტერს საშუალებას აძლევს სიტუაციაას თავმდამსხმელის თვალით შეხედოს.
მეთოდოლოგიები
დღეისათვის გავრცელებულია შეღწევადობის ტესტირების სხვდასხვა მეთოდოლოგიები, ამ მეთოდოლოგიების რიცხვი ვირუსების მათებასთან ერთად იმატებს. ყველაზე ფართოდ გავრცელებული მეთოდოლოგიებია: MITRE ATT&CK ფრეიმვორკი, რომელიც ტაქტიკებისა და ტექნიკების შესასწავლად გამოიყენება; OWASP რომელიც ვებ უსაფრთხოების ტესტირების გზამკვლევს გვთვაზობს; NIST SP 800-115, რომელიც ინფორმაციული უსაფრთხოების შენარჩუნებისათვის გამოიყენება; OSSTMM, რომელიც ღია წყაროს უსაფრთხოების შენარჩუნების მექანიზმია; PTES, რომელიც თავდასხმების ტიპების შესახებ განახლებულ ინფორმაციას გვაწვდის; ISSAF ზემოთ ჩამოთვლითა მსგავსი უსაფრთხოების ტესტირების სერვისია.
