Кто такой этичный хакер?

Отвечаем на все вопросы о профессии: как начать, насколько это законно и как получать за взломы $25 000

Этичный хакер моделирует взломы систем безопасности, проводит тесты на уязвимости и придумывает новые способы проверки. Он может почувствовать себя героем сериала «Мистер Робот», который в одиночку противостоит системе, только все его действия будут легальны. Вместе с Иваном Кудрявиным, автором курса «Этичный хакер», разобрались, чем «белый» хакер отличается от «черного» и почему такие специалисты часто работают на фрилансе и какие им необходимы навыки.

Что делает этичный хакер?

Этичный хакер (или «белый» хакер, пентестер) — это специалист по кибербезопасности.

Он проводит пентесты (от penetration test — тест на проникновение), находит и устраняет уязвимости в IT-инфраструктуре компании, которые могут привести к потенциальному взлому. В отличие от обычных хакеров, которых еще называют «черными», он находит баги по запросу бизнеса и официально получает за это деньги.

Чем именно он занимается:

  • Моделирует попытки взлома, выявляя уязвимые места.
  • Указывает на бреши в безопасности разработчикам и объясняет, как их могут использовать злоумышленники.
  • Изобретает свои способы тестирования на атаки.

Специалист по информационной безопасности и этичный хакер — это одно и то же?

Не всех специалистов по информационной безопасности можно назвать этичными хакерами. Помимо пентестеров в этой сфере есть специалисты по безопасной разработке и специалисты по сетям. Они настраивают защиту еще на уровне разработки сайтов и приложений или построения систем.

Где нужны этичные хакеры?

Самым большим спросом этичные хакеры пользуются у компаний, которые хранят личные данные клиентов, — интернет-магазины, социальные сети, инвестиционные платформы и другие. А в некоторых сферах, например в банках и здравоохранении, к услугам пентестеров прибегают, чтобы обеспечить соответствие отраслевым стандартам безопасности. Большие корпорации создают целые отделы по кибербезопасности, чтобы не раскрывать конфиденциальные данные сторонним организациям.

Однако не все компании могут позволить себе нанять штатного специалиста. Для большинства представителей малого и среднего бизнеса пентест — это разовая или нерегулярная задача. Поэтому этичные хакеры часто работают на фрилансе или в команде, которая специализируется на кибербезопасности.

Пример задачи

Этичному хакеру нужно проверить уязвимости базы данных клиентов. Он проверяет доступ к серверу и исходным кодам. Смотрит, есть ли уязвимости веб-серверов.

Потом пробует взломать сайт через SQL-код — делает запрос к базе данных. Затем делает межсайтовый скриптинг (XXS) — моделирует атаку на веб-системы. Проверяет, насколько сайт устойчив к произвольному подбору паролей, и пробует получить доступ к системным каталогам, а в конце делает отчет по всем тестам и найденным уязвимостям.

Насколько востребована профессия?

В 2020 году в России на 75% выросло количество преступлений с использованием IT-технологий, а в мире ежегодно случается более полутора миллионов киберпреступлений. Пандемия подстегнула рост и разнообразие кибератак, и, по прогнозам, в 2021 году российская экономика может потерять до 7 трлн рублей в связи с киберпреступностью.

Согласно данным исследования компании Bugcrowd, пентестинг уже считается более прибыльным, чем «черный» хакинг. 70% российских компаний считают защиту данных главной проблемой, связанной с кибербезопасностью.

Сколько получает этичный хакер?

По данным Хабр.Карьеры, медианная зарплата такого специалиста в 2020 году — 120 тыс. рублей. Джуниор может рассчитывать на зарплату от 70 тыс. рублей, мидл будет получать от 120 тыс., а синьор в среднем будет зарабатывать от 200 тыс. рублей.

Что ему нужно знать?

  • Основы администрирования операционных систем Linux и Windows для проведения аудита безопасности, фильтрации трафика и других способов защиты от атак на сетевые сервисы.
  • Софт для аудита и моделирования взлома систем безопасности, например SqlMap, Nmap, Metasploit, Acunetix, Burp Suite и т. д.
  • Один или несколько основных языков программирования, например Python, Ruby или JavaScript минимум на базовом уровне, чтобы извлекать данные из веб-страниц.
  • HTML-верстка и CSS для защиты от атак на системы управления контентом.
  • Базы данных SQL, MySQL, SQL Server для защиты от атак на данные.
  • Основные сетевые протоколы (TCP/IP, ICMP) / сетевые службы (Proxy, VPN, Samba, AD) для исследования сетевого трафика и обнаружения вторжения и утечек данных.

Курс

Профессия «Этичный хакер»

Вы начнете с программирования на Python и JavaScript, изучите Linux и Windows, освоите тестирование на проникновение. После курса сможете претендовать на позицию junior-специалиста по информационной безопасности в IT-компании. Скидка 5% по промокоду BLOG.

Узнать подробности

Когда появились этичные хакеры?

Первым примером легального взлома систем считается проверка операционной системы Multics ВВС США в 1974 году. В частных сетях заниматься информационной безопасностью с помощью взломов начали в 1990-е после выпуска первого сканера уязвимостей SATAN. При его разработке исследователь Дэн Фармер вручную взламывал сети.

Какие бывают типы хакеров?

Этичных хакеров называют White Hats (белые шляпы), противопоставляя их с киберпреступниками Black Hats (черные шляпы). Это название появилось из вестернов, где хорошие герои носили белые шляпы, а плохие — черные.

Grey Hats (серые шляпы) — серые хакеры проводят взломы как черные, но имеют намерения белых. Они проникают в системы без ведома владельца, чтобы найти уязвимости. Но у них нет намерения навредить: наоборот, они сообщают владельцам о найденных уязвимостях.

Но есть и классификация с другими цветами. В американской военной среде появилось разделение этичных хакеров при пентесте на Red Hats (красные шляпы) и Blue Hats (синие шляпы). Красные хакеры — «дружественная» атакующая команда, а синие — их противники, защитники систем. Такой подход позволяет выявить все возможные уязвимости и обучить команду защитников борьбе с атаками.

Красные шляпы проводят легальные атаки на системы без ограничений, пытаясь взломать их всеми возможными способами. При этом синие шляпы не знают о методах и намерениях красных и защищают инфраструктуру, наблюдая за их действиями.

Позднее в такой структуре пентеста появились и другие команды хакеров. Например, хакеры Green Hats (зеленые шляпы) усиливают защиту с помощью написания кода и изменения дизайна систем. Желтая команда (Yellow Hats) отвечает за защиту инфраструктуры на стадии ее разработки, фиолетовые (Purple Hats) вырабатывают лучшую тактику защиты исходя из результатов взлома, а оранжевые (Orange Hats) следят за взаимодействием команд и помогают им обучаться.

Может ли «черный хакер»‎ стать «белым»‎?

Иногда в профессию этичных хакеров попадают бывшие Black Hats. Они изучают профессию на реальных незаконных атаках, а потом устраиваются на работу в компанию. Этичные хакеры не имеют проблем с законом, а их гонорары могут быть не меньше, чем у крупных мошенников. Так, в 2020 году специалист по информационной безопасности из Румынии заработал на платформе HackerOne $2 млн.

Что такое Bug Bounty?

Этичные хакеры могут работать как в офисе, так и по системе Bug Bounty, когда на специальных платформах выкладывают задачи и условия, а пентестеры их выполняют и получают вознаграждение. Компаниям проще найти уязвимости заранее и заплатить за это, чем справляться с их последствиями. Для этого они размещают задачи для пентестеров — их можно найти, например, на сайтах HackerOne и BugCrowd.

Есть и задачи от крупных IT-компаний, например Google и PayPal. Хотите взломать систему защиты Пентагона и получить за это $15 тысяч? Так тоже можно! На программах Bug Bounty пентестеры могут без особых проблем зарабатывать $2–3 тысячи каждый месяц, а опытные багхантеры говорят, что и $25 тысяч в месяц — не проблема.

Нужно ли этичному хакеру специальное оборудование?

Уязвимости в программах и приложениях можно обнаружить, написав код. Но в случае проведения специфичных атак или физического исследования сети этичным хакером понадобятся дополнительные устройства: например, одноплатный компьютер Raspberry Pi, тестовый роутер WiFi Pineapple или флешка Rubber Ducky для выгрузки информации с компьютера.

Как строят карьеру этичные хакеры?

Этичный хакер может стать руководителем подразделения, экспертом в крупной компании или заместителем директора по информационной безопасности. Люди этой профессии редко уходят из специальности, а если уходят, то в какую-то узкую сферу — например в безопасную разработку или безопасность мобильных приложений — и работают вместе с разработчиками.

Этичного хакера могут посадить?

Если этичный хакер работает по договору с компанией или биржей HackerOne — его действия легальны. Но вот Grey Hats находятся в серой зоне — они нелегально взламывают системы, чтобы показать их владельцам уязвимости. Взломанная компания имеет право подать на такого хакера в суд, но сейчас их чаще вознаграждают по программе Bug Bounty. Например, как Лаксмана Мутияха из Индии: он нашел уязвимость в восстановлении паролей в Instagram и получил за это $35 тысяч.

Плюсы и минусы профессии

Иван Кудрявин:

«Для кого-то плюс в том, что появляется возможность “почувствовать себя хакером”. Но на самом деле, конечно, это не то же самое. Главный плюс — можно найти высокооплачиваемую работу (аналогично сфере DevOps, например).

Из минусов — необходим обширный багаж знаний и опыта из различных направлений IT-сферы. Например, знание языков программирования, сети, виртуализации и т.д. Это достигается за довольно длительное время и с большими усилиями».

В каких случаях становятся «белыми» хакерами?

  • Если есть интерес к IT и кибербезопасности и хочется получить востребованную профессию с перспективами роста заработной платы.
  • Когда уже есть навыки и знания в области системного администрирования или тестирования ПО и хочется повысить свою экспертность и ценность.
  • Если хочется работать удаленно — пентестеры часто работают на фрилансе или в команде, которую нанимают под определенные задачи.

Как начать?

При активном и обучении освоить профессию можно меньше чем за год.

Вот несколько полезных ссылок для начинающих:

  • Hackaday.com — портал с советами по взлому систем, новостями из мира пентестинга, практическими гайдами.
  • xakep.ru — русскоязычный портал для этичных хакеров.
  • Hack The Box — веб-интерфейс для тренировок по взломам.
  • White Hat Hacker A Complete Guide — полное руководство по профессии.
  • «PHP глазами хакера» — книга про основные ошибки программистов, которые позволяют проникнуть в систему.
  • Defcon — крупнейшая хакерская конференция, которую проводят с 1993 года.
  • Cybrary — бесплатные онлайн-курсы по информационной безопасности.

В профессию можно зайти из смежных областей. Например, пентестерами могут стать системные администраторы, которые понимают, что им не хватает знаний для защиты своих систем, или тестировщики. Новые навыки позволят им выйти на новый уровень в профессиональном развитии и повысить свою востребованность. Проще начать будет и разработчикам, ведь у них есть техническая база. С новой профессией они разнообразят пул задач, вырастут в карьере и зарплате, освоят новые технологии.

Этичным хакером может стать и новичок без опыта в сфере. Для начала обучения на курсе SkillFactory «Этичный хакер» не требуется знаний по тестированию или программированию. За 11 месяцев вы попробуете себя в роли нападающей и защищающейся стороны, научитесь проводить атаки на разные типы сетей и настроите свой стенд для тестирования. После прохождения курса вы сможете претендовать на позицию пентестера уровня junior, а наш Карьерный центр поможет вам составить резюме и найти работу.

Даже если после обучения вы передумаете становиться хакером, у вас уже будут знания, нужные в других IT-профессиях. Вы освоите основы устройства Linux и Windows, получите навыки базового администрирования систем, выучите Python и научитесь писать скрипты на Bash и SQL.

Курс

Профессия «Этичный хакер»

Освоите тестирование на проникновение и устройтесь на позицию junior-специалиста по информационной безопасности в IT-компанию.

  • 20% необходимой теории и 80% практики
  • Постоянный контакт с преподавателями
  • Подготовка к трудоустройству

Узнать больше

Промокод “BLOG10” +5% скидки

Блог SkillFactory
Добавить комментарий