Według 2019 Hacker Report społeczność hakerów „w białych kapeluszach” podwaja się z roku na rok. W ubiegłym roku w formie premii przekazano im 19 milionów dolarów, co prawie odpowiada sumie wypłaconej hakerom w ciągu ostatnich sześciu lat łącznie. Raport szacuje, że najlepsi, czyli najlepiej zarabiający etyczni hakerzy, mogą uzyskiwać nawet czterdziestokrotność średniego rocznego wynagrodzenia inżyniera oprogramowania w swoim kraju.
Hakerzy stosują coraz bardziej wyrafinowane metody, a potencjalne obszary ataków wraz z rozwojem m.in. IoT czy rozwiązań chmurowych – ciągle rosną. W ochronie aplikacji szczególnie istotne jest wzięcie pod uwagę wszelkich możliwych kierunków ataku. A w ich zdefiniowaniu może właśnie pomóc etyczny haker.
Chociaż architekci zabezpieczeń mają bogatą wiedzę na temat najlepszych praktyk w branży, najczęściej brakuje im praktycznego doświadczenia, w jaki sposób atakujący wykonują swoje rozpoznanie, jak łączą wiele ataków lub uzyskują dostęp do sieci korporacyjnych.
Firmy wykorzystują więc metody cyberprzestępców, aby się lepiej zabezpieczyć i zatrudniają etycznych hakerów. Doświadczony haker posiada umiejętności i zna metody działania cyberprzestępców. Jeśli zostanie przez firmę upoważniony do wykorzystywania sieci bezpieczeństwa i ulepszania systemów poprzez naprawienie luk wykrytych podczas testów, jest wówczas także zobowiązany do ujawnienia wszelkich braków w zabezpieczeniach, które wykryje.
Pieniądze za kontrolowane włamania
Najpopularniejszą metodą firm na wykorzystanie wiedzy hakerów jest uruchamianie programów „bug bounty” – otwartych konkursów „znajdź lukę” działających na określonych warunkach. W takich programach każdy może wyszukać i zgłosić wykryte przez siebie luki w celu uzyskania nagrody od firmy. Jest to dobry sposób sprawdzania bezpieczeństwa dla publicznie dostępnych usług takich jak np. strony internetowe czy aplikacje mobilne. Przyznane wynagrodzenie zależy wtedy od poziomu wskazanego ryzyka i jest wypłacane po potwierdzeniu, że wykryte braki w zabezpieczeniach są rzeczywiście istotne dla firmy.
Ta forma swoistego crowdsourcingu i jego premiowania ma oczywiste korzyści. Hakerzy zdobywają reputację oraz szansę, aby zaprezentować i przetestować swoje umiejętności na publicznym forum. W zamian organizacja, która ogłasza program, zyskuje inteligentne rozwiązania i nową perspektywę w obszarze bezpieczeństwa.
Zatrudnię ex-cyberprzestępcę
Niektóre firmy decydują się na zatrudnienie hakerów, którzy mają udokumentowaną działalność przestępczą. Może się to wydawać ryzykowne, jednak ich praktyczne doświadczenie jest bardzo cenne. Zatrudnienie ex-cyberprzestępcy powinno być przemyślane, aby faktycznie miało szansę przynieść realne korzyści. Sprawdzenie kryminalnej przeszłości pozwala zidentyfikować dawnych przestępców, ale nie pokazuje szerszego kontekstu i ich motywacji do poprawy postawy. Szanowanymi konsultantami bezpieczeństwa i liderami w tej branży często np. zostają początkujący hakerzy, którzy w młodości popełnili przestępstwa o niskiej szkodliwości. Jednak etyczne działania podejmują także cyberprzestępcy, którzy mają na swoim koncie poważne wykroczenia. Przy podejmowaniu takiej współpracy, dla firm kluczowa jest klauzula poufności oraz, obok monitorowania pracy, zobowiązanie zatrudnianego do udzielania wszelkich informacji o wynikach pracy czy obszarach podejmowanych działań.
A może masz „hakerów” w swoim zespole?
Myśląc o dokładnym zabezpieczeniu firmy, warto zastanowić się, czy w pełni wykorzystujemy własne zasoby. Organizacje zauważające i doceniające umiejętności osób tworzących aplikacje, kod czy infrastrukturę sieciową, wiele zyskują w obszarze bezpieczeństwa. Bywa, że pracownicy wiedzą o lukach, ale ich nie zgłaszają, ponieważ nie jest to uwzględnione w zakresie ich obowiązków – dla firmy to zmarnowana szansa. Decydenci potrzebują pełnego zaangażowania zespołu, a często nie zdają sobie sprawy z tego, jakie możliwości drzemią w ich organizacji.
Etyczne hakowanie staje się coraz bardziej sformalizowane, dzięki czemu ma szansę na dalszy rozwój i upowszechnienie. Hakerzy w białych kapeluszach zdobywają certyfikaty, wśród nich m.in. Certified Ethical Hacker (CEH), Offensive Security Certified Professional (OSCP) lub Global Information Assurance Certifications, a także zrzeszają się w organizacje. Dzięki temu firmy mają pewność, że korzystają z usług odpowiednich osób. Etyczne hakowanie popularyzuje się, wraz z rosnącą potrzebą cyberbezpieczeństwa w biznesie.
Ireneusz Wiśniewski, dyrektor zarządzający F5 Poland
