Из-за бегства из России тысяч IT-специалистов и ухода крупных зарубежных компаний, в том числе из сферы кибербезопасности, в стране образовались дефицит кадров и угроза ослабления «цифровой обороны». Минцифры предложило справиться с этим, поддержав белых хакеров, находившихся раньше где-то на периферии в роли фрилансеров. Для этого придётся создать отечественные платформы для поиска уязвимостей и выплаты вознаграждений энтузиастам. Как изменится роль белых хакеров в подсанкционной России, как зарабатывают на «взломах» и насколько это легально — в материале «Секрета».
Кто такие белые хакеры и почему их не ищет киберполиция
В массовом сознании понятие «хакер» часто ассоциируется с какими-то полуподвальными помещениями со множеством компьютеров, за которыми сидят злые и коварные люди в балаклавах — именно так рисуют хакеров на различных фотостоках. В реальности это люди, неотличимые от прочих «айтишников-удалёнщиков». Но вот между собой они действительно различаются — методами и целями работы.
Как стать ХАКЕРОМ с нуля. Даркнет
Хакеры-киберпреступники — это те, кто обратил свои навыки в сфере информационных технологий для получения выгоды за счёт обмана, шантажа и вреда другим интернет-пользователям и компаниям. Киберпреступники создают и распространяют вирусы всех мастей, взламывают аккаунты, крадут персональную информацию и деньги, а также ищут уязвимости в корпоративных сетях, с помощью которых можно застопорить работу предприятий и вымогать деньги за разблокировку.
Но поиском уязвимостей можно заниматься и в благих целях. Этичные, или белые, хакеры за вознаграждение или из чистого энтузиазма помогают компаниям находить и устранять бреши в их защите и продуктах для пользователей. При этом белые хакеры стараются не наносить вреда своим взломом: например, они не будут проверять устойчивость к DDoS-атакам в разгар рабочего дня или использовать найденную уязвимость для блокировки систем и IT-продуктов.
Хакеров-плохишей также называют black hats — «чёрные шляпы», в то время как этичные хакеры носят название white hats — «белые шляпы». Пресловутые балаклавы грабителей тут ни при чём — термин пришёл в эту сферу из вестернов, где хорошие парни носили светлые ковбойские шляпы, а плохие — чёрные.
Цветовая дифференциация шляп
Кроме белых и чёрных, нередко встречаются серые хакеры — gray hats. Они взламывают системы без преступных намерений, но далеко не всегда при этом действуют по запросу компаний. При этом, если им в руки попадутся данные, которые можно продать или выгодно использовать, они не преминут это сделать. Белые хакеры без официального объявления компании об участии в программе вознаграждения искать уязвимости не полезут — даже если взломщик никак не использовал попавшую ему в руки информацию и не принёс значительного вреда корпоративной сети, компании, которые не просили о таком виде услуг, вполне могут подать на него в суд.
Внутри хакерского сообщества есть и другие цветовые маркеры. Например, «зелёными шляпами» называют хакеров-новичков, которые активно учатся практиковать хакинг на специальных ресурсах, но пока не обладают опытом и навыками для самостоятельного плавания. «Синими шляпами» называют тех, кто разово решил взломать кого-то из мести и не интересуется хакингом за пределами этой задачи. А «красные шляпы» сделали своей целью поиск и наказание чёрных хакеров.
ЗАРАБОТОК ХАКЕРА [netstalkers]
Как стать белым хакером
Белыми хакерами обычно становятся люди с образованием в сфере компьютерных наук и информационной безопасности. Нередко они учатся хакингу самостоятельно по открыто публикуемым на профильных ресурсах методичкам и по отчётам о выявленных уязвимостях.
Что почитать
Существуют даже книги, обучающие этичному хакингу. Среди них:
- Jon Erickson, Hacking: The Art of Exploitation;
- Patrick Engebretson, The Basics of Hacking and Penetration Testing;
- Peter Kim, The Hacker Playbook;
- Georgia Weidman, In Penetration Testing;
- James Corley, Hands-On Ethical Hacking and Network Defense.
Но с учётом того, как быстро меняется ландшафт в сфере информационных технологий, любая книга и методичка на эту тему устаревают раньше, чем дописываются. Чтобы отвечать современным вызовам, гораздо важнее постоянно заниматься собственными исследованиями, обмениваться опытом и изучать чужие кейсы.
Мнение эксперта
Сергей Новиков
заместитель директора глобального центра исследований «Лаборатории Касперского»
Какого-то специализированного образования для белых хакеров нет. Как правило, это самоучки или продвинутые эксперты в области Computer Science или Cybersecurity. У каждого своя история. В основном белые хакеры — это люди, интересующиеся технологиями, разработкой, анализом программного кода.
Кто-то мог попробовать себя на тёмной стороне, но понял, что у него нет желания нарушать закон, всю жизнь бояться и прятаться. По сути, белый или этичный хакер и есть специалист по кибербезопасности. Формальное отличие в том, что специалист по кибербезопасности в классическом понимании проектирует защитную инфраструктуру и защитные технологии, в том время как белый хакер пытается найти в этих системах уязвимости в этических и законных целях.
Вместе с тем не все компании согласны иметь дело с дилетантами на постоянной основе. Для того чтобы стать тестировщиком в крупной компании, занимающейся кибербезопасностью, свои умения нужно подтвердить. Отвечая запросам рынка на различных профессиональных и образовательных ресурсах, таких как HackerOne, SkillFactory, Coursera и других как грибы появлялись специализированные курсы, которые предлагали научить этичному хакингу с нуля.
С подобными курсами за спиной и практическими навыками уже можно попробовать свои силы не только в свободном плавании.
Мнение эксперта
Евгений Волошин
директор блока экспертных сервисов BI.ZONE
(Для компаний) нет профессии «белый хакер», есть «специалист по тестированию на проникновение», или «пентестер». Без профессионального образования крайне сложно попасть на эти ставки, ведь для этого нужны как минимум знания основ кибербезопасности, умение работать с инструментами для проведения пентестов, знание векторов атак. Также необходимо постоянно развиваться и подтверждать навыки в международных центрах сертификации.
Конечно, чтобы участWowать в программах, не нужны международные сертификаты, но скорость нахождения уязвимостей тесно связана с прокачкой знаний и опыта. Платформы Bug Bounty (вознаграждения за поиск уязвимостей. — Прим. ред.) — это отличный инструмент для тренировки и дополнительная строчка в резюме, если уязвимость была найдена.
Что такое программа Bug Bounty: компании-участники формируют свои правила, в которых обычно указаны срок программы и денежное вознаграждение в зависимости от типа найденной уязвимости. После того как независимый исследователь нашёл уязвимость, он должен сформировать отчёт по прописанным в программе условиям и сдать его на проверку через платформу. Далее проходит валидация, и, если компания признаёт уязвимость, исследователю перечисляют средства. На платформе публикуется много программ с разной стоимостью уязвимостей, и у багхантера всегда есть выбор. Нередки случаи, когда ребят приглашают в штат пентестерами те компании, для которых эти уязвимости были найдены.
Тестирование уязвимостей — на порядок менее сложная работа, чем защита от возможных угроз. Чтобы взломать сеть, достаточно знать одну работающую методику и одну уязвимость, а чтобы её защитить — все возможные способы взлома, которыми её могут протестировать на прочность.
Именно поэтому задачи по поиску багов компании нередко предпочитают отдавать на аутсорс энтузиастам — выплатить разовое вознаграждение за одну найденную уязвимость дешевле, чем постоянно держать на зарплате специалиста, который в случае правильно выстроенной защиты брешь может и не найти.
Мнение эксперта
Сергей Новиков
заместитель директора глобального центра исследований «Лаборатории Касперского»
У нас в пентесте работают специалисты, которые могут оценивать безопасность существующих продуктов и процесса их разработки, исследовать пререлизные версии продуктов по заказу разработчика, проводят тестирование на проникновение, например в сеть заказчика и т. д. Работа в большой компании позволяет обратиться к коллегам, специализирующимся на узких областях, собрать команду под конкретный проект.
При этом держать личный штат белых хакеров внутри какой-то организации нужно далеко не всем крупным компаниям. Чаще всего такими ресурсами и компетенциями обладают вендоры, специализирующиеся на информационной безопасности. Классический белый хакер, если можно так сказать, скорее одиночка.
Несмотря на существующее мнение, что в вольные белые хакеры идут недоучки, которым не хватает мастерства, чтобы официально работать в кибербезопасности, на деле такой закономерности нет. Неверным было бы и считать, что белыми хакерами становятся те, кто по своим способностям не дотягивает до чёрных.
Мнение эксперта
Сергей Новиков
заместитель директора глобального центра исследований «Лаборатории Касперского»
Различия между чёрными и белыми хакерами лишь в том, какую сторону выбрал человек. Мы не можем утверждать, кто «круче» или «слабее». Просто белый хакер выбрал легальный, этический путь реализации своих способностей. В сфере кибербезопасности работает множество высококлассных экспертов, они помогают совершенстWowать системы безопасности, гарантировать защищённость различных решений.
Мнение эксперта
Евгений Волошин
директор блока экспертных сервисов BI.ZONE
Независимыми исследователями нередко выступают люди с профильным образованием в сфере кибербезопасности. Многие ребята, которые трудоустроены, также являются участниками программ Bug Bounty. Конечно, у каждого исследователя за плечами разный опыт. Это своего рода тестирование на проникновение, где можно принять участие, пройдя регистрацию на платформе. Компании видят ценность: это простой способ для построения процесса непрерывного поиска уязвимостей и свежий взгляд на защищённость без увеличения штата сотрудников.
В целом же набор инструментов и методов, которые используют пентестеры, чёрные и белые хакеры, схож. Это публичные и платные хакерские утилиты и программы для пентеста, которые работают как «продукты двойного назначения» — и для взлома, и для поиска уязвимостей с целью улучшения безопасности. Киберпреступники, правда, зачастую оказываются в более выгодном положении за счёт выхода на чёрные рынки, где можно купить новые и ещё неизвестные защитникам программы и методики взлома. Но рано или поздно выявляют и их.
Иногда уязвимость находится почти случайно, а иногда хакеры всерую берутся исследовать защиту интересующих систем и проверять наличие брешей. Найдя уязвимость, рекомендуется сразу сообщить о ней владельцу продукта, сайта или сети, не публикуя эту информацию в открытый доступ до тех пор, пока ошибка не будет исправлена.
При этом неэтичным считается требовать деньги в первом же письме, особенно если какое-либо вознаграждение за поиск уязвимости в официальных материалах компании не фигурирует. А вот обсудить премию, когда владелец убедится в реальности обнаруженной угрозы, вполне реально — многие идут навстречу и поощряют энтузиастов за помощь.
Где ищут заказы
Долгое время одним из самых популярных и востребованных ресурсов у белых хакеров всего мира, в том числе из России, была международная платформа HackerOne. На ней представлены программы Bug Bounty от многих крупных IT-компаний.
Российские игроки, в том числе «Яндекс», «Лаборатория Касперского», VK и Тинькофф банк предлагали вознаграждения именно через этот агрегатор. Для компаний такие программы — это шанс избежать многомиллионных затрат и репутационного ущерба в случае реального взлома.
Однако с началом военных действий на Украине HackerOne, чей головной офис базируется в Сан-Франциско, отказалась выплачивать заслуженные вознаграждения хакерам из России и Белоруссии, мотивируя это санкциями. Их награды платформа пообещала придержать или перечислять Детскому фонду ООН (ЮНИСЕФ).
А 25 марта компания объявила о приостановке возможности участия в программе Bug Bounty для российской «Лаборатории Касперского» на неопределённый срок. Как пояснила компания в своём твиттере, страница вознаграждения «Лаборатории Касперского» стала недоступна для исследователей, а существующие средства и обсуждения зарегистрированных уязвимостей оказались заморожены.
С уходом крупнейшей посреднической площадки перед вольными пентестерами из России и Белоруссии остро встал вопрос о том, как продолжать работу в условиях санкций. Есть альтернативные западные площадки, но с ними точно так же есть сложности в проведении транзакций в подсанкционные страны. Так что исследователям российских систем остаётся вручную искать программы вознаграждений непосредственно от компаний.
Ситуация осложнилась и для владельцев корпоративных сетей, ведь многие игроки из сферы кибербезопасности также покинули российский рынок, а IT-специалисты массово начали эмигрировать из страны. В итоге умельцев, способных закрывать дыры и искать бреши в информационных защитах, стало сильно меньше, а оставшиеся потеряли удобный способ связи с потенциальными заказчиками.
Чтобы как-то мотивировать российских айтишников оставаться и работать на родине, правительство задумалось об их господдержке. Позднее Минцифры заявило о готовности поддержать также белых хакеров и распространить на них те льготы, которые ранее ввели для IT-специалистов. Кроме того, министерство предложило ввести прямую финансовую поддержку и субсидировать программы Bug Bounty и проведение пентестов для крупных компаний, которые будут пользоваться услугами белых хакеров.
Между тем российские IT-компании уже готовятся импортозаместить ушедший HackerOne. В 2022 году в России планируется запуск сразу трёх платформ Bug Bounty: от компаний кибербезопасности «Киберполигон», BI.ZONE и Positive Technologies (PT).
Источник: secretmag.ru
Как начинают хакеры зарабатывать деньги
Все наверное задают себе вопрос: Сколько зарабатывают хакеры или как начинают хакеры зарабатывать деньги? Хотя пентестер это не то что хакер, но это первый шаг и скажу вам он самый правильный. Мы часто видим по ящику что какой-то хакер взломал базу какой-нибудь фирмы или украл миллионы и так далее. Сегодня я развею вам иллюзии о том как в действительности зарабатывают хакеры и пентестеры.
- Взламывают и крадут
- Делают это легально, почти легально.
Ниже я описал методы как стать хакером и как они зарабатывают. После прочтения вы поймете что к чему сводится.
Есть четыре основных шага на пути становления хакера.
И так вот эти 4 ступеней крутизны. Эти шаги происходят следующим образом:
Сбор информации
Чем больше вы знаете о цели, легче будет для вас влиять на неё. Легкое влияние, в свою очередь позволит вам воспользоваться получением более подробной информации , больше влияния и больше информации и так далее, и далее пока вы ну узнаете все об этой цели! То-есть вы становитесь партнером его жизни так как знаете о цели все!
Сканирование
Во-первых информация собирается, теперь ты должен узнать информацию, доступную на этот момент. Это достигается путем сканирования . Он используется, чтобы узнать, является ли хост в сети, что порт открыт, а затем найти уязвимость или структурную слабость, если вы сможете. Ни одна система не является непобедимой! Так как есть криптонит для каждого супермена. Сканирования грубо говоря и есть криптонит системы.
Сниффинг
Включает себя находить слабость и высматривать все, что вы можете из уязвимостей системы. Высматривание паролей системы, имена пользователей, секреты обычно то что скрывает человек от других глаз. В Kali Linux сниффинг методами обладают Wireshark, Ettercap и т.д.
Научитесь этому и компании будут просить вас исправить их недоработки, а это немалые деньги.
Эксплуатация
Теперь этап набора! Вы знаете информацию, слабости системы и пароли. Настало время, чтобы пустить все к действию. Все что злоумышленник собрал в последние 3 шага пускает в ход атакуя системы или организации. Его триумф будет когда взлом будет осуществлен и он может сказать компании «Вы слабаки», а затем компании просят советы о том, как это исправить, и тут течёт бабло и слава.
«Ничто в мире не является неуязвимым, непобедимость иллюзия используема на людей, чтобы они смотрели в другую сторону»
10 комментариев
Earnesshuh :
Я считаю, что это очень интересная тема. Давайте с Вами пообщаемся в PM. — 28000 руб. в неделю на рекламе или
Источник: codeby.net
На Black Hat рассказали как разбогатеть хакеру
Рекомендуем почитать:
Xakep #284. Атаки на AWS
- Содержание выпуска
- Подписка на «Хакер» -60%
Презентация на Black Hat продемонстрировала несколько простых способов,
которыми пользовались хакеры, чтобы разбогатеть (или умереть пытаясь).
Раздумываете над тем, как бы хакнуть Сеть на на пару (сотен тысяч) баксов?
Специалисты из WhiteHat вчера предложили несколько идей. В ходе лекции под
названием «Разбогатей, или умри, пытаясь – делаем деньги в Сети в стиле Black
Hat» технический директор и основатель WhiteHat Иеремия Гроссман, на пару с
директором по программным решениям одной из фирм Треем Фордом, представили
несколько забавных примеров взлома и получения денег.
«Мы надеемся, что этот брифинг развлечет вас, и, может быть, заставит
некоторых задуматься о своей морали», — съязвил Гроссман. Они начали с
демонстрации небольшого скрипта, позволяющего хакеру манипулировать результатами
опросов, затеваемых местными средствами массовой информации. Гроссман показал,
как знаменитый эксперт Роберт Хансен (a.k.a. RSnake) помог таким образом
чихуахуа выиграть звание лучшей собаки на проводимом местной газетой конкурсе, а
затем был посрамлен другим хакером, взломавшим этот же опрос и болевшим за
другую собаку.
Форд продемонстрировал способ, при помощи которого хакер может вызвать
«искусственную нехватку» билетов или еще чего-нибудь, заставляя сервер
отказывать в доступе к нужным местам или билетам всем, кроме хакера. Он отметил,
что способ весьма пригодится тем, кто хочет помочь перекупщикам взвинтить цены
на свои билеты. Гроссман также проиллюстрировал, как хакеры могут легко и быстро
решать проблемы капчи, путем покупки их по два доллара за тысячу.
Но простые методы взлома можно, по словам исследователей, использовать и для
того, чтобы заработать больше, чем пару баксов. Например, один хакер написал
скрипт, автоматизирующий приобретение различных товаров при помощи электронных
купонов. Таким образом он купил товаров на сумму около $50000, а затем отправил
их по почте на несуществующие адреса, где они и перехватывались его сообщниками.
Вспомнили и недавний случай с одним 22-летним молодым человеком, создавшим
58000 биржевых счетов при помощи фальшивых регистрационных данных, с целью
завладения небольшими бонусами, предлагаемыми при открытии счета для привлечения
клиентов. Во время разговора упомянули, к примеру, о том, как одна женщина
обнаружила, что если в середине процесса оплаты за товар в одном из
интернет-магазинов нажать кнопку отмены, можно получить этот товар бесплатно.
Она не растерялась и затем продала полученные таким образом вещи на eBay,
выручив при этом более 400000 долларов.
Все рассмотренные случаи действительно имели место, а некоторые из них не
были даже незаконными, что еще раз указывает на необходимость для владельцев
электронных бизнес-систем внимательнее относиться к возможным уязвимостям,
подытожили специалисты.
Источник: xakep.ru