Ethical Hacking

Was ist Ethical Hacking

Ein ethischer Hacker („White Hat Hacker“) ist ein Informationssicherheitsexperte, der die gleichen Fähigkeiten besitzt und die gleichen Technologien wie ein böswilliger Hacker („Black Hat Hacker“) verwendet, um Schwachstellen und Schwächen in den Systemen einer Organisation zu entdecken.

Ein Black-Hat-Hacker arbeitet ohne die Zustimmung der Opfer mit dem Ziel, finanziellen Gewinn zu erzielen, Schaden anzurichten oder Ruhm zu erlangen. Ein White-Hat-Hacker oder ethischer Hacker wird von Organisationen eingeladen, ihnen zu helfen, sich sozusagen selbst zu hacken, Sicherheitslücken zu identifizieren, bevor Black-Hat-Hacker dies tun, und diese zu beheben.

The evolution of white Hat hacking

Die ersten Versuche, sich in Computersysteme zu hacken, wurden in den 1960er Jahren unternommen. In den 1970er Jahren gründeten Regierungen und Unternehmen „Tiger–Teams“, deren Aufgabe es war, Schwachstellen in Telekommunikations- und Computersystemen zu entdecken – die ersten ethischen Hacker.

In den 1980er und 1990er Jahren, als sich Pcs verbreiteten, wurde Hacking zu einem globalen Phänomen. Allmählich entstand die Unterscheidung zwischen „Black Hat“ – und „White Hat“ -Hackern. 1995 prägte John Patrick von IBM den Begriff „Ethical Hacking“, und in den folgenden Jahren entwickelte sich Ethical Hacking zu einem legitimen Beruf.

Certified Ethical Hacker (CRH) Zertifizierung

Die Zertifizierung ist für den Beruf des ethischen Hackers von entscheidender Bedeutung, da es einen schmalen Grat zwischen dem legalen Hacken eines Systems zur Verbesserung der Cybersicherheit und dem illegalen Hacken gibt. Organisationen, die ethische Hacker einsetzen, müssen sicher sein, dass sie technisch versiert sind und ihre Fähigkeiten einsetzen, um die Sicherheit zu verbessern und kein Risiko einzugehen oder Schaden anzurichten.Der Electronic Commerce Council (EC-Council), eine gemeinnützige Organisation mit Sitz in New Mexico, hat eine Standardzertifizierung für den Field – Certified Ethical Hacker (CEH) definiert. Die CEH-Zertifizierung oder Ethical Hacking-Zertifizierung ermöglicht es Informationssicherheitsexperten, legitime, anerkannte ethische Hacker zu werden.Die CEH-Zertifizierung ist sehr anspruchsvoll – sie deckt ein breites Spektrum an Sicherheitskonzepten, Tools und Angriffsvektoren ab, die die Studierenden eingehend verstehen müssen. Es ist vom US-Verteidigungsministerium (das die CEH-Zertifizierung für Dienstleister im Rahmen des US-amerikanischen Cyber Defenders-Programms zur Pflicht gemacht hat), der National Security Agency (NSA) und anderen Sicherheitsorganisationen akkreditiert.

Der Zertifizierungsprozess

Die Kandidaten müssen die CEH-Prüfung bestehen, um zertifizierte Hacker zu werden. Zur Vorbereitung auf die Prüfung:

1. EC-Council bietet ein CEH-Schulungsprogramm mit 20 Schulungsmodulen zu 340 Angriffstechnologien und 2.200 häufig verwendeten Hacking-Tools an. Es gibt drei akkreditierte Schulungszentren (ATC): EC-Council, Pearson Vue Testing Center und Affinity IT Security.
2. Die Website des EC-Council bietet ein CEH-Handbuch und einen CEH-Prüfungsplan mit Übungsfragen.
3. Viele Organisationen, darunter das Infosec Institute, bieten CEH-Prüfungsvorbereitungskurse an.
4. Die Kandidaten werden ermutigt, Praxistests über das Online-CEH-Assessment des EC-Council oder den Praxistestservice des InfoSec Institute, SkillSet, abzulegen.

Um sich für die Prüfung zu qualifizieren, müssen die Kandidaten entweder das Trainingsprogramm des EC-Council absolvieren und Erfahrung in mindestens 3 der 5 in der Prüfung behandelten Sicherheitsbereiche vorweisen. Andernfalls müssen die Kandidaten unter anderem zwei Jahre Erfahrung in der Informationssicherheit nachweisen.Die CEH-Prüfung besteht aus 125 Multiple-Choice-Fragen mit einem Zeitlimit von 4 Stunden. Die Prüfung wird über einen Computer in einem vom EC-Council akkreditierten Schulungszentrum durchgeführt. Mitglieder müssen alle drei Jahre rezertifiziert werden, um den CEH-Status zu erhalten.

White Hat Hacking und Sicherheit von Webanwendungen

Die Sicherheit von Webanwendungen steht heute im Mittelpunkt der Cybersicherheit. Webanwendungen sind ein attraktives Ziel für Angreifer und besonders anfällig, da sie eine komplexe mehrstufige Architektur aufweisen, sensible private Daten speichern und von außerhalb eines Unternehmens leicht zugänglich sind.Zertifizierte Hacker können mit ihrem umfassenden Verständnis moderner Softwaresysteme, Bedrohungsvektoren und Angriffstechnologien ein wichtiger Sicherheitsfaktor sein. Sie können Unternehmen dabei helfen, die Sicherheitslage ihrer Webanwendungen, die Schwere der verschiedenen Bedrohungen und die Investitionsmöglichkeiten für eine effektive Verbesserung ihrer Abwehr zu verstehen.

Penetrationstests gewinnen als proaktive Maßnahme gegen Cyberbedrohungen, insbesondere für geschäftskritische Webanwendungen, an Bedeutung. Ein Penetrationstest ist ein simulierter Cyberangriff auf ein Computersystem mit dem Ziel, Schwachstellen aufzudecken und Sicherheitsverbesserungen vorzuschlagen. Penetrationstests können von Informationssicherheitsexperten oder von Testern oder IT-Mitarbeitern innerhalb einer Organisation durchgeführt werden, auch wenn diese keine CEH-Zertifizierung besitzen.

Die Durchführung von Penetrationstests mit einem zertifizierten Ethical Hacker hat jedoch wichtige Vorteile. Ein CEH kann einen umfassenderen Überblick über die Systeme eines Unternehmens und die Bedrohungen erhalten, umfassendere Tests entwerfen und CEH-Schulungen nutzen, um detailliertere Berichte über entdeckte Schwachstellen und Sicherheitsauswirkungen bereitzustellen.