Valge kaabu

Allikas: Vikipeedia

Valge kaabu on netislängi termin, mis viitab eetilisele häkkerile või küberturvalisuse eksperdile, kes on spetsialiseerunud sissetungitestimisele, et tagada asutuse infosüsteemide turvalisus.[1] Erinevalt pahatahtlike kavatsustega musta kaabu häkkeritest töötavad valge kaabu häkkerid seaduskuulekalt ja vastava asutuse loal.[1][2]

Terminid “valge kaabu” ja “must kaabu” pärinevad vesternist, kus kangelased ja antagonistid kandsid sageli vastavalt valgeid ja musti kaabusid.[3]

Valge kaabu häkkerite ja musta kaabu häkkerite vahepealne variant on halli kaabu häkkerid, kes töötavad küll heade kavatsustega, kuid ilma infosüsteemi omaniku loata.[2]

Valge kaabu häkkerid võivad ka mitmekesi koos töötada punase võistkonnana.[4]

Ajalugu[muuda | muuda lähteteksti]

Üks esimesi eetilise häkkimise näiteid pärineb aastast 1974, mil Ameerika Ühendriikide õhuvägi hindas operatsioonisüsteemi Multics sobivust potentsiaalseks kasutuseks kaheastmelise (salajane / täiesti salajane) süsteemina. Leiti, et kuigi Multics oli märkimisväärselt parem kui teised tavalised operatsioonisüsteemid, oli sellel ka võrdlemisi väikese jõupingutusega leitavaid nõrkusi raudvara turvalisuses, tarkvara turvalisuses ja halduslikus turvalisuses. Testid viidi läbi võimalikult realistlikes katsetingimustes, et tulemused väljendaksid võimalikult täpselt tegelikkust. Katsetati nii lihtsaid informatsiooni kogumise meetodeid kui ka süsteemi terviklust kahjustavaid ründeid.[5]

Aastal 1981 avalikustas üks ajajaotusettevõtte National CSS töötaja, et oli loonud paroolimurdja ja kasutanud seda klientide kontodel. Ettevõte ei heitnud talle ette paroolimurdja loomist, vaid seda, et ta seda varem ei avalikustanud. Noomituskirjas tõi ettevõte välja, et mõistab rakenduse kasulikkust ja julgustab töötajaid leidma turvanõrkusi.[6]

Aastal 1993 üritasid Dan Farmer and Wietse Venema populariseerida eetilist häkkimist infosüsteemide turvalisuse hindamiseks. Eesmärgiga tõsta üldist Interneti ja sisevõrkude turvalisust kirjeldasid nad avalikult enda kasutatud taktikaid, tuues spetsiifilisi näiteid, kuidas informatsiooni koguda ja süsteemi nõrkusi ära kasutada. Farmer ja Venema kogusid ka kõik kasutatud tööriistad kokku ning lõid ühe kõikehõlmava lihtsasti kasutava rakenduse Security Administrator Tool for Analyzing Networks (lühidalt SANTA) ning tegid selle kõigile huvilistele kättesaadavaks.[7]

Taktikad[muuda | muuda lähteteksti]

Kui infosüsteemide sissetungitestimine on üldjuhul piiratud tarkvara ja riistvara turvaaukude leidmisele, siis eetiline häkkimine võib muu hulgas hõlmata nii asutuse töötajatelt e-kirjade vahendusel paroolide küsimist, prügikastides tuhlamist kui ka asutusse sissemurdmist. Taoliste taktikate rakendamiseks piisab asutuse juhtkonna loast ning töötajaskonda eelnevalt ei informeerita. Matkimaks hävitava toimega ründeid, valmistavad eetilised häkkerid sageli ka kloonitud testsüsteeme või plaanivad ründed ajaks, mil süsteemide töövõimekus pole kriitilise tähtsusega.[8]

Enamasti kestavad sellised turvatestid mitu päeva, kui mitte nädalat. Näiteks jäetakse pahavaraga nakatunud mälupulk nähtavasse kohta ning oodatakse, kuni pahaaimamatu töötaja selle infosüsteemi ühendab.[9]

Sageli kasutatud rünnete hulka kuuluvad näiteks

Ülalmainitud meetodid aitavad tuvastada ja ära kasutada süsteemi nõrkusi, et pääseda ligi turvatud andmetele.[10][11][12][13][14]

Eetiline häkkimine Eestis[muuda | muuda lähteteksti]

Alates aastast 2010 on Tallinnas paiknev NATO kooperatiivse küberkaitse kompetentsikeskus igal aastal korraldanud küberkaitseõppust "Locked Shields", kus sinise võistkonna ülesanne on kaitsta fiktiivse riigi infosüsteeme punase võistkonna rünnakute eest.[15][16]

Eestis pakub koolitusettevõte IT Koolitus võimalust läbida sertifitseeritud eetilise häkkimise CEH v9 koolitust.[17]

Eesti üks nimekamaid sissetungitestimisele ja eetilisele häkkimisele keskendunud ettevõtteid on Clarified Security.[18]

Viited[muuda | muuda lähteteksti]

  1. ↑ 1,0 1,1 "What is white hat? - a definition from Whatis.com". Searchsecurity.techtarget.com. Vaadatud 06.06.2012.
  2. ↑ 2,0 2,1 "What is the difference between black, white, and grey hackers". Norton.com. Norton Security. Vaadatud 17.11.2018.
  3. ↑ Wilhelm, Thomas; Andress, Jason (2010). Ninja Hacking: Unconventional Penetration Testing Tactics and Techniques. Elsevier. Lk 26–7.
  4. ↑ Ragan, Steve (12.11.2012). "Thinking Like an Attacker: How Red Teams Hack Your Site to Save It". Slashdot. Slashdot Media. Originaali arhiivikoopia seisuga 02.03.2013. Vaadatud 17.11.2018.
  5. ↑ Paul A. Karger, Roger R. Scherr (juuni 1974). "MULTICS SECURITY EVALUATION: VULNERABILITY ANALYSIS" (PDF). Originaali (PDF) arhiivikoopia seisuga 13. november 2017. Vaadatud 29. novembril 2018. {{cite journal}}: viitemall journal nõuab parameetrit |journal= (juhend)CS1 hooldus: kasutab parameetrit autorid (link)
  6. ↑ Vin McLellan (26.07.1981). "Case of the Purloined Password". The New York Times.
  7. ↑ Palmer, C.C. (2001). "Ethical Hacking" (PDF). IBM Systems Journal. 40 (3): 769. DOI:10.1147/sj.403.0769.
  8. ↑ Knight, William. "License to Hack". InfoSecurity. 6 (6): 38–41. DOI:10.1016/s1742-6847(09)70019-9.
  9. ↑ Grant Burningham (19.03.2016). "How a White Hat Hacker Breaks into a Business". Newsweek. Vaadatud 17.11.2018.
  10. ↑ 10,0 10,1 10,2 10,3 "Certified Ethical Hacker - CEH Certification". eccouncil.org. EC-Council. Vaadatud 17.11.2018.
  11. ↑ 11,0 11,1 "Hacking Tools: Reverse Engineering". infosecinstitute.com. InfoSec Institute. Vaadatud 17.11.2018.
  12. ↑ 12,0 12,1 12,2 12,3 PC PLus (31.01.2009). "Tools and Tricks of the White Hat Hackers". Techradar. Vaadatud 17.11.2018.
  13. ↑ 13,0 13,1 13,2 13,3 "Top Ten Tools For Cybersecurity Pros (and Black Hat Hackers)". Cyber Security Masters Degree. 17.11.2017. Originaali arhiivikoopia seisuga 30.11.2018. Vaadatud 17.11.2018. {{cite news}}: tundmatu tühi parameeter: |(empty string)= (juhend)
  14. ↑ 14,0 14,1 Ed Tittel (24.04.2018). "How To Become A White Hat Hacker". Business News Daily. Vaadatud 17.11.2018.
  15. ↑ Gerrard Cowan (29.04.2018). "Locked Shields 2018 practises for large-scale cyber incident". Jane's. Vaadatud 17.11.2018.
  16. ↑ Thomas Grove (30.04.2017). "Estonia Leads the Way in NATO's Cyberdefense". Wall Street Journal. Vaadatud 17.11.2018.
  17. ↑ "CEH v9 Certified Ethical Hacking". koolitus.ee. IT Koolitus. Vaadatud 17.11.2018.
  18. ↑ "Clarified Security". clarifiedsecurity.com. Vaadatud 17.11.2018.
Pärit leheküljelt "https://et.wikipedia.org/w/index.php?title=Valge_kaabu&oldid=6488964"