Etisk hacking på den rigtige side af loven

Cybersikkerhed er sikring af software, systemer og enheder mod hackerangreb. En af de tiltag, man kan gøre i en virksomhed, er at hyre en etisk hacker, der sætter sig i IT-kriminelles sko, og tester og opsporer sårbarheder i en virksomheds systemer og software. Læs mere om fænomenet og få et indblik i en etisk hackers arbejde - som hacker på den rigtige side af loven.

Den etiske hacker

Det er på sin plads at starte med at definere, hvad en hacker oprindeligt blev opfattet som. Nu til dags forbinder man en hacker med ondsindet aktivitet og ulovlig indtrængen i enheder og software (også kaldet black hat hacker), men før denne tilknytning blev til, var hacking i sin enkelthed en øvet eller faglært person, der bruger teknologi til at overkomme en udfordring - hackere løser altså problemer ved hjælp af teknologi.

Denne definition er blevet overset til fordel for den illegale manøvren om cybersikkerhedsprotokoller, ulovlig indtrængen og tyveri af persondata. Hacker er blevet et andet ord for IT-kriminel. Dette skal vi se lidt bort fra nu, og huske den originale definition.

Etiske hackere (også kaldet white hat hackere) er nemlig en fagperson, som flere virksomheder hyrer, i takt med at cybertruslen vokser. Nogle af de ting som ondsindede hackere udnytter, er sårbarheder i systemer og software - og dem skal en virksomhed helst opspore før en black hat hacker gør.

Den etiske hacker er en faglært person, der sidder med stor teknisk viden. De bliver hyret af virksomheder til at forsøge at opspore sårbarheder og huller i softwaren, som IT-kriminelle vil udnytte.

Udover at finde huller i systemerne, vil etiske hackere afprøve en virksomheds IT-infrastruktur og undersøge, hvordan virksomheden kan forbedre denne. Virksomheder hyrer etiske hackere for at have kontrol over hele processen - derudover er det bedre at være indblandet i hackingen ved hjælp af en etisk hacker, end at stå som offer for et ægte cyberangreb.

Hackere på hver side af loven

Den største forskel på en IT-kriminel og etiske hackere er, at de er på hver deres side af loven.

Når etiske hackere udfører deres arbejde, er det helt legitimt, godkendt og planlagt at de afprøver cybersikkerheden i en virksomhed. Når en IT-kriminel prøver at trænge igennem, er det ulovligt, ikke godkendt af virksomheden og heller ikke planlagt, da de selvfølgelig ikke vil reklamere deres tyveri til virksomheden.

Etiske hackere undersøger dermed systemer og netværk for svage led i kodningen, som er de sårbarheder, som en black hat hacker er ude på at udnytte. De kan dermed lave en dybdegående rapport over hvilke punkter, der er sårbare i systemerne, så virksomheden kan lægge kræfter i at styrke dem.

Det kan måske virke malplaceret at hyre en hacker til at trænge igennem sine systemer, men i bund og grund er det de mest kompetente mennesker til at teste systemerne af. Og det er ydermere en stor fordel selv at kontrollere hvornår og hvordan systemerne bliver hacket, i stedet for at stå i en “rigtig” situation, hvor data bliver kompromitteret og stjålet af en black hat hacker.

Hvad den etiske hacker holder øje med

For at få et bedre indblik i, hvad den etiske hacker afprøver og ser efter, når de tester en virksomheds systemer, har vi lavet et overblik. De spørger,

• hvor nemt er det at trænge igennem?
• hvordan kan de kompromittere sikkerhedsindstillinger?
• kan de blotlægge data og hvor nemt det er at tilgå?
• hvor nemt det er at tilgå data og lække det i datalækager?
• hvilke komponenter er systemerne opbygget af, og hvilke indgangsvinkler er der til systemerne?

Når man har et indblik i nogle af de mange ting en etisk hacker afprøver, kan man dermed få en bedre forståelse af deres arbejde. Derudover kaster det et lys på hvilke steder i systemerne, der er sårbare. Dette betyder, at man skal øge sikkerheden omkring disse, specielt hvis en etisk hacker kan trænge igennem og kryptere dataen.

Den etiske hacker efterligner de samme tricks og metoder som en black hat hacker bruger, når de begår cyberkriminalitet. Dette gør de, for at imitere et cyberangreb, så en virksomhed kan få den mest naturtro oplevelse af angrebet, og dermed også vide hvilke områder de skal være opmærksomme på.

En vigtig rolle i cybersikkerheden

Med en etisk hacker, kan en virksomhed være et skridt foran black hat hackeren. Dette medfører flere fordele i cybersikkerheden:

• Vigtig indsigt i systemer og eventuelle sårbarheder.
• Forebyggelse af angreb.
• Indsigt i software, så huller kan blive lappet.

Det er altså en god investering for en virksomhed, at lave sikkerhedstjek.

Den etiske hacker agerer under forskellige regelsæt, så man kan stole på, at de udfører legitimt arbejde, der gavner virksomheden, som har hyret dem. Nogle af de essentielle regler, som en etisk hacker følger, er:

• Kend omfanget af opgaven og lav en konkret rapport til virksomheden - så de forstår omfanget af eventuelle sårbarheder.
• Husk at holde oplysningerne fortrolige, så uvedkommende ikke får rapporter og lignende. Hvis en black hat hacker får adgang til rapporterne, har de dermed værdifuldt indblik i sårbarheder i systemerne.
• Man skal have godkendelse fra virksomheden, der ejer systemerne. Hvis ikke der er fuldkommen godkendelse derfra, er det illegalt.
• Rapportér fundne sårbarheder og læk i systemerne, så IT-afdelingen kan reagere på sårbarheden.
• Slet alle spor af hackingen, efter gennemgangen af systemerne. Dette forhindrer black hat hackere i at opdage indgangsvinkler og -huller i systemerne.

Samarbejdet mellem teknik og mennesket

Ved at have en etisk hacker, der rapporterer sårbarheder, styrker en virksomhed sit cyberforsvar. Det vil altid være en fordel at se tingene fra fjendens perspektiv, og dette giver etiske hackere muligheden for.

Man skal dog huske, at når det tekniske aspekt i cybersikkerheden er løst, så er det menneskelige lige så vigtigt. Dette startes med en menneskelig etisk hacker, der kan tænke som en black hat hacker, men det er i lige så høj grad vigtigt at medarbejderne i virksomheden er opmærksom på cybertruslen.

Når man er opmærksom på den potentielle trussel, giver man mere omtanke til sikkerheden omkring vigtig data og personsikkerhed.

Hackere udnytter ikke kun sikkerhedshuller i software og systemer, de udnytter de menneskelige fejl, der sker hver eneste dag. Derfor er awareness-træning af medarbejderne et godt skridt på vejen mod en endnu stærkere cybersikkerhed.