NIS2 READY
Nie všetci hackeri sú rovnakí
Keď počujeme slovo hacker, väčšina ľudí si predstaví kybernetického zločinca.
V realite však mnohí hackeri firmám pomáhajú – hľadajú slabiny skôr, než ich zneužijú útočníci.
Rozdiel medzi black hat a white hat hackerom pritom často nie je v technických schopnostiach, ale v úmysle, pravidlách a zodpovednosti.
- Black hats – tzv. „zlí“ hackeri. Neoprávnene prenikajú do systémov s cieľom získať finančný prospech, šíriť ideológiu, narúšať prevádzku alebo získať pozornosť.
- White hats – tzv. „dobrí“ alebo „etickí“ hackeri. Používajú rovnaké zručnosti, ale výhradne s písomným povolením, aby pomáhali odhaľovať a odstraňovať slabiny.
- Grey hats – niečo medzi tým. Niekedy skúmajú systémy bez povolenia, čo môže predstavovať právne riziko, aj keď ich úmysel je pozitívny.
Ich zručnosti sú rovnaké. Rozdiel je v pravidlách a zodpovednosti za to, čo robia.
Prečo dnes potrebujeme „dobrých hackerov“
Dopyt po „dobrom hackingu“ zvyšujú najmä dva faktory:
Ľudia sú stále najjednoduchšou cestou útoku. Podľa správy Data Breach Investigations Report je práve ľudský faktor hlavným dôvodom v 68 % incidentov. Zahŕňa to phishing, chyby používateľov, či slabé heslá. Preto firmy potrebujú realistické testovanie, ktoré tieto slabiny odhalí skôr, než ich dokážu zneužiť útočníci.
Útoky sú rýchlejšie a majú väčší dopad. European Union Agency for Cybersecurity uvádza, že v roku 2024 dominovali útoky na dostupnosť služieb, nasledované ransomvérom a hrozbami súvisiacimi s dátami. To zodpovedá realite mnohých tímov – od výpadkov služieb až po vydieranie pomocou dát.
Ako pracujú etickí hackeri
Princíp. Etický hacking začína povolením – jasne definovaným rozsahom (čo je zahrnuté a čo nie), pravidlami testovania a dohodnutými termínmi reportovania.
Praktickým sprievodcom je metodika NIST SP 800-115 od National Institute of Standards and Technology. Popisuje plánovanie, zber dôkazov, analýzu aj transformáciu zistení na konkrétne opatrenia. Dá sa chápať ako kontrolný zoznam pre správne vykonanie bezpečnostných testov.
Väčšina organizácií spolupracuje s etickými hackermi prostredníctvom formálnych penetračných testov alebo programov, ako sú Vulnerability Disclosure Policy (VDP) či bug bounty, ktoré poskytujú bezpečný a legálny spôsob nahlasovania chýb.
Príklad. Tester odhalí bezpečnostnú chybu v prihlasovacom formulári (napríklad tzv. SQL injection). Zdokumentuje, ako sa dá chyba zneužiť, ukáže jej reálny dopad (napr. obídenie prihlásenia alebo neoprávnený prístup k údajom) a navrhne bezpečnejšie riešenie. Výsledky následne odošle cez dohodnutý komunikačný kanál.
Dopad. Mnohé tímy si zistenia prepájajú s modelom MITRE ATT&CK a vytvárajú si spoločnú databázu poznatkov o tom, ako útočníci postupujú. Tento „spoločný jazyk“ im pomáha lepšie pochopiť, kam konkrétna slabina zapadá v priebehu útoku – napríklad od prvotného prieniku cez spustenie škodlivého kódu až po udržanie prístupu – a kde je potrebné posilniť ochranu.
Ako zostať na správnej strane zákona
V Európe sa používa koncept Coordinated Vulnerability Disclosure (CVD), ktorý umožňuje výskumníkom bezpečne a zodpovedne nahlasovať zraniteľnosti, zatiaľ čo ich výrobcovia riešia v dohodnutom čase. Odporúčania European Union Agency for Cybersecurity ukazujú, ako CVD a VDP vytvárajú jasné a bezpečné kanály na nahlasovanie.
Stručne: najprv získať povolenie, dodržiavať pravidlá a nespôsobiť škodu.
Cyber Resilience Act, účinný od decembra 2024, zvyšuje požiadavky na bezpečnosť digitálnych produktov už v návrhu (secure by design) a zaväzuje výrobcov riadiť zraniteľnosti počas celého životného cyklu produktu. Používatelia tak získavajú väčšiu istotu, že objavené problémy budú riešené systematicky.
Pomôž odhaliť chyby – a možno za to získaš odmenu
VDP (Vulnerability Disclosure Policy) určuje, ako bezpečne nahlasovať zraniteľnosti – čo patrí do rozsahu testovania, kam chyby hlásiť a aké sú očakávané reakčné časy.
Ak organizácia nemá jasný spôsob nahlasovania zraniteľností:
- etickí hackeri často nevedia, koho kontaktovať,
- bezpečnostné chyby môžu zostať neopravené,
- alebo sa dostanú k útočníkom skôr než k firme.
VDP vytvára bezpečný a legálny proces, ako tieto problémy riešiť zodpovedne.
Niektoré programy ponúkajú aj finančné odmeny (bug bounty). Iniciatíva European Commission EU-FOSSA 2 financovala takéto programy pre open-source projekty využívané inštitúciami EÚ. Ukázala, že systematická motivácia dokáže odhaliť aj závažné – a často veľmi staré – zraniteľnosti skôr, než ich objavia útočníci.
Uč sa a trénuj bezpečne: CyberGame na Slovensku
Chceš si vyskúšať kyberbezpečnosť bez rizika? Skús súťaže typu Capture The Flag (CTF). Simulujú reálne situácie – od webovej bezpečnosti cez kryptografiu až po forenznú analýzu.
Lokálnym príkladom je CyberGame, národná kyberbezpečnostná súťaž organizovaná s odbornou podporou National Security Authority of the Slovak Republic a jeho Národného centra kybernetickej bezpečnosti SK-CERT. CyberGame poskytuje bezpečné prostredie na učenie, ponúka verejné výzvy a zároveň slúži ako platforma na výber talentov pre reprezentáciu Slovenska.
Je to praktický spôsob pre študentov, IT profesionálov aj zvedavcov, ako sa učiť, trénovať a zapojiť do komunity bez toho, aby spôsobili škody.
Záver
Hackerské zručnosti samy o sebe nie sú problém.
Rozhodujú pravidlá, zodpovednosť a cieľ.
Kým black hat hackeri hľadajú spôsob, ako systémy zneužiť, white hat hackeri pomáhajú organizáciám budovať odolnosť skôr, než dôjde k incidentu.
V prostredí rastúcich kybernetických hrozieb sa etický hacking stáva dôležitou súčasťou moderného riadenia bezpečnosti.