Tisztázzuk a fogalmakat: mi az etikus hacker és mi a pentest? Az átlagembernek halvány gőze sincs a különbségekről.

Amikor kiberbiztonságról beszélünk, ez egy gyűjtőfogalom, ami rengetegfelé tagolható: benne van az adatbiztonság, az auditorok, a belsős biztonsági emberek. Amikor egy etikus hacker sérülékenység-vizsgálatot végez, ő pusztán bebizonyítja, hogy az adott sérülékenység ott van a rendszerben. Ezzel szemben a pentester – természetesen szintén etikus, előre megbeszélt keretek közt – betör az adott szervezet rendszerébe és szétnéz, tehát támadást szimulál. Az már a cégen múlik, mit engedélyez, és a tesztelő meddig mehet el.

Ma már a bankoknál, biztosítóknál, nagy pénzügyi szervezeteknél kötelező a pentest, de a multiknak is jól felfogott érdekük, hogy időről időre lefolytassák ezeket a vizsgálatokat. Ők sem akarnak presztízs- vagy pénzbeli veszteséget: akár, hogy kiderüljön, bénácska a rendszerük, mert még egy diák is be tudott jutni hozzájuk.

Ha nem teszik: mi a legnagyobb, akár elméleti kár, amit hackeléssel okozni lehet egy szervezetnek?

A laikusok gyakran azt hiszik, van egy nagy piros gomb, amit megnyom egy hacker, és akkor minden rendszer romba dől. A valóságban ilyen nem létezik: ez összetettebb, bonyolultabb, keresgélős feladat. Összefüggésekben kell látni a sérülékenységeket, hogy utána azt ki tudja használni egy hacker.

Ma az egyik leggyakoribb támadástípus, hogy a fekete kalapos (illegálisan dolgozó) hackerek letitkosítják az összes adatot. Minden cég – akár egy webshop, akár egy takarítócég is – adatokkal dolgozik. Ha ezek le vannak zárva, és nem tudnak hozzáférni, az bármely cég végét jelentheti. Lehet, hogy visszavásárolhatják egy bitcoinért (ami most egyébként negyvenmillió forint körül van), de ha az egész cég nem termel ki ennyit, például egy kis webshop esetében, akkor lehúzhatják a rolót.

A másik, ha valakinek számít az ügyfelek bizalma: egyes hackerek az adatbázist lopják el, és a belsős adatok kikerülnek a netre. Nem kell elérhetetlenné tenni az oldalt, ennyi éppen elég a bajhoz. Ilyenkor lőttek a reputációnak, sokan bontják az adott céggel a szerződést. Egy harmadik típus, amikor valaki átveszi a szerver fölött a hatalmat: sok cég egyetlen szerverről működik, és nincsen korábbi mentésük róla, amikor a hacker letörli az összes fájlt. A legtöbb ransomware (zsarolóvírus) esetében nem válogatnak, milyen céget támadnak meg, csak fizessenek nekik.

Tehát még ma is elmondható, hogy a hackerek mindig egy lépéssel előrébb járnak?

Igen, és ez mindig is így lesz. Matematikailag bizonyított, hogy a támadók és védekezők viszonylatában mindig a támadónak van több potenciálja, több erőforrása. Ezt képzeld el úgy, mint egy házat: a védekezői oldalnak mindenhol jelen kell lennie, az ajtónál, az ablaknál, a kéménynél is. A támadónak viszont elég egy helyen bejutnia. Az etikus hackerek küldetése, hogy előbb világítsanak rá ezekre a sérülékeny pontokra, mint hogy a fekete kalapos hackerek kiszúrnák őket.

Ezzel együtt van, hogy egyáltalán nem tudtok betörni egy rendszerbe, és ezt jelzitek vissza az ügyfél felé?

Megesik, de üres riportot még hál’istennek nem adtunk le. Mindig találunk valami kis dolgot. Mindig van olyan beállítás, ami lehetne egy fokkal még biztonságosabb, és ezt vissza tudjuk jelezni.

Léteznek nagyon jól összeállított rendszerek. Azonban az is előfordult, hogy mások már tíz tesztet lefuttattak, és mi tizenkettedjére találtunk valami új dolgot, úgy, hogy át lehetett venni a hatalmat az összes felhasználó fiókja fölött. Ez is példázza, hogy a nagy rendszereket akár félévente-évente is érdemes újrateszteltetni.

Mi jellemzően nem az éles szervereken tesztelünk (ha nem kifejezetten ez a kérés), hanem belsős környezetben, ami gyakorlatilag egy másolat, és ahol még véletlenül sem kockázatjuk az éles rendszer biztonságát. Fontos, hogy ez nem rövid folyamat: egy weboldal tesztelése például pár naptól egy-két hétig tarthat, de egy komplex rendszeré akár hónapokig is.

A megkerülhetetlen kérdés: amióta az AI berobbant, megreformálta ezt a piacot és a hackerek tevékenységét?

Mi szorosan követjük az AI megoldásokat, mégsem használjuk őket projekteken. Online eszközökre nem töltünk fel semmit, mert ez már információszivárogtatás lenne. Mivel az AI eszközökbe az interneten fellelhető összes cikket feltöltötték, nagyon jól tudnak összegezni, viszont kamuzni is: úgy tíz százalékban konfabulálnak. Nekünk ezzel szemben nagyon precíz, egyértelmű dolgokat kell véghezvinnünk. Ugyanakkor a másik oldalon a hackerek élnek az AI adta lehetőségekkel, ezért is követjük naprakészen a területet.

És mi a helyzet a deepfake-kel? Mennyien dőlnek be neki?

Sajnos azt kell mondjam, ez a jövő. Már tart ott az AI, hogy például egy hívásban lemásolja az arcomat, a hanglejtésemet, a mimikámat. Talán még észrevennénk – főleg, ha te magadról nézel egy videót -, egy kolléga vagy egy ismeretlen esetében viszont simán hihető lehet. Tudunk több támadásról, amikor a CEO-t személyesítették meg, aki felhívta például a pénzügyi vezetőt, hogy “úristen, nagy baj van, utalj erre a számlára ennyit és ennyit”. Én már a szüleimnek is azt mondom, ha én felhívnám őket ilyesmivel, mindig hívjanak vissza, ne higgyenek el egyből semmit.

Az mennyire jellemző, hogy a dark weben rendelnek meg egy támadást, vagy épp ott értékesítenek adatokat belőle?

Abszolút. Ha felmegyünk a dark webre, komplett hackercsoportokat tudunk felbérelni. És akárcsak az Amazonon, itt is láthatjuk az értékeléseket, hogy jól végezték-e az adott feladatot. Vannak fenn adatbázisok is, jellemzően különböző fórumokon, amikre beregisztrálva külön meg is lehet venni az ilyen információkat.

Akkor ti is monitorozzátok a darkwebet?

Nem mindig, de vannak nagyobb projektjeink, amikor ez releváns. Többször is előfordult, hogy szóltunk az adott cégnek, hogy megtalálhatók a darkweben. Esetenként meg is vettük az adatokat, és megnéztük, mik vannak fent róluk. Persze előfordul, hogy ezek több éves infók.

Az anyagi haszonszerzés mellett milyen gyakori, hogy más motivációval akarnak tönkretenni egy szervezetet?

Vannak politikai indíttatású támadások, vagy épp állami szervezetek hackerei kapják utasításba, hogy ellehetetlenítsenek bizonyos cégeket. Ennek kiküszöbölésére létezik egy OP-SEC, azaz operational security nevű fogalom, ami a katonaságból jön. Lényege, hogy a külsős szereplők minél kevesebbet tudjanak meg rólunk: milyen szerveren dolgozunk, hol tároljuk az adatokat, milyen utasításra dolgozunk és így tovább. A legjobb szervezetek féltve őrzik ezeket a titkokat.

És az átlagemberek? Tájékozódnak egyáltalán a rájuk leselkedő veszélyekről?

Nem kell elmennünk a legmodernebb eszközökig, még a “sima” kiberbiztonság területén is hiányoznak az alapismeretek. Az emberek még a jelszavaikra sem figyelnek oda, megosztják őket, vagy épp ugyanazt használják mindenhova. Szakmán belül gyakran mondjuk, hogy ha egy gomb kattintható, arra kattintani fognak. Ha például egy phishing (adathalász) e-mailben szerepel egy gomb, hogy “ha rákattintasz erre, elveszem az összes pénzedet”, igen, arra is rákattintanak. Mert kíváncsiak, mert nem hiszik el, vagy nem is érdekli őket. Az alapinformatikai képzettség nem tart ott, hogy az átlagember odafigyeljen a csalásokra.

Te magad hogyan csöppentél a kiberbiztonság világába?

Tizenhárom éve dolgozom ezen a területen, eleinte kis magyar cégeknél voltam, utána egyre nagyobb multiknál Budapesten és külföldön is. Auditorként, programozóként kezdtem, onnan jött az IT security terület. Már akkor érdekelt a kiberbiztonság és a pentest, mikor Magyarországon ez még egyáltalán nem volt elterjedt. Akkoriban még Msc sem volt a tárgyban, én is informatika Bsc-t végeztem.

Végül nemzetközi képesítést szereztem. Utána merült fel bennem, milyen jó lenne ezt saját csapattal, saját kútfőből csinálni. Elsajátítottam a jó gyakorlatokat, de a rossz tapasztalatokkal is gyarapodtam, hiszen láthattam, mit szeretnék elkerülni. Így alakult meg a Superior Pentest. Egyedül indultam, ma már tizenketten vagyunk, ebből 6-7 etikus hacker. Ma már első sorban cégvezetőként felügyelem a folyamatokat.

Magyarországon végül mikor jelent meg érdemben ez a terület?

Körülbelül nyolc-tíz éve. Ma már rengeteg ilyen céget találsz, mindenki foglalkozik ezzel, még programozó cégek is, bár ha valakinek ez csak mellékes, nem tud igazán jó minőségű pentesteket folytatni. Mi csak erre specializálódtunk, mindennel foglalkozunk ezen a területen. Sokféle háttérből lehet indulni. Van olyan etikus hackerünk, aki korábban rendszergazda volt, így ezzel a tudással érkezett.

A tudást, gondolom, naprakészen is kell tartani. Mennyire könnyű lemaradni?

A programozóknak, rendszergazdáknak elengedhetetlen, hogy folyamatosan képezzék magukat, hiszen minden nap új eszközök, új megoldások jelennek meg. Ez nálunk sincs másképp. A szenior srácok hetente nézik a híreket. Ha valaki kiesik egy évre, és visszajön, már csak pislog, időbe telik visszarázódnia. Ezért is gondolom, hogy pentestben azok a cégek a legjobbak, akik fókuszáltan csak ezzel foglalkoznak, lépést tartanak a napi változásokkal a különböző sérülékenységekben.

Ennek érdekében van csapatszintű továbbképzés, vagy mindenki autodidakta módon képzi magát?

Mindkettő elmondható. Fontos, hogy a kollégáink maguk tájékozódjanak az új megoldásokról, sérülékenységi pontokról. Nálunk ugyanakkor támogatott az oktatás, évente egy nagyobb lélegzetvételű tréningre el lehet menni, ami mindenki javát szolgálja.

És végül: te soha nem gondolkodtál el a “sötét oldalon”?

Léteznek “szürke kalapos” hackerek, akik a “fehér” és “fekete” térfélen is játszanak. Az őszinte válaszom erre, hogy ha akarna, bármelyikünk el tudna menni ebbe az irányba, ami persze jövedelmezőbb is lehetne. Nekem viszont többet ér, hogy teljesen jól alszom esténként: nem játszom a karrieremmel vagy a cégem életével.

Kövesd az oldalunkat a Facebook-on és a Twitteren is!