Cos’è l’hacking etico
Un hacker etico (“white hat hacker”) è un professionista della sicurezza informatica che ha le stesse competenze e utilizza le stesse tecnologie di un hacker malintenzionato (“black hat hacker”) per scoprire vulnerabilità e debolezze nei sistemi di un’organizzazione.
Un hacker black hat opera senza il consenso delle vittime, con l’obiettivo di guadagno finanziario, causando danni, o guadagnando fama. Un hacker white hat o un hacker etico è invitato dalle organizzazioni ad aiutarli a hackerare se stessi, per così dire, a identificare le lacune di sicurezza prima che gli hacker black hat lo facciano e a rimediare.
L’evoluzione del white hat hacking
I primi tentativi di hackerare i sistemi informatici furono fatti negli anni ’60. Negli anni’ 70, i governi e le aziende istituirono “tiger teams” il cui compito era scoprire le vulnerabilità nei sistemi di telecomunicazioni e informatica – i primi hacker etici.
Negli anni 1980 e 1990, con la diffusione dei personal computer, l’hacking divenne un fenomeno globale. A poco a poco è emersa la distinzione tra hacker “black hat” e “white hat”. Nel 1995 John Patrick di IBM coniò il termine “ethical hacking”, e negli anni che seguirono, ethical hacking emerse come una professione legittima.
Certified ethical hacker (CRH) certificazione
La certificazione è fondamentale nella professione di hacker etico, perché c’è una linea sottile tra l’hacking di un sistema legalmente—per migliorare la sicurezza informatica, e l’hacking illegalmente. Le organizzazioni che impiegano hacker etici devono essere sicure di essere tecnicamente qualificate e utilizzare le loro competenze per migliorare la sicurezza e non introdurre rischi o causare danni.
L’Electronic Commerce Council (EC-Council), un’organizzazione senza scopo di lucro con sede nel New Mexico, ha definito una certificazione standard per il field-Certified Ethical Hacker (CEH). La certificazione CEH o ethical hacking certification consente ai professionisti della sicurezza delle informazioni di diventare hacker etici legittimi e riconosciuti.
La certificazione CEH è molto impegnativa: copre una vasta gamma di concetti di sicurezza, strumenti e vettori di attacco, che gli studenti devono comprendere in profondità. È accreditato dal Dipartimento della Difesa degli Stati Uniti (che ha reso obbligatoria la certificazione CEH per i fornitori di servizi nell’ambito del programma US Cyber Defenders), dalla National Security Agency (NSA) e da altre organizzazioni di sicurezza.
Il processo di certificazione
I candidati devono superare l’esame CEH per diventare hacker certificati. Per aiutare a prepararsi per l’esame:
- EC-Council offre un programma di formazione CEH, con 20 moduli di formazione che coprono 340 tecnologie di attacco e 2.200 strumenti di hacking comunemente usati. Esistono tre centri di formazione accreditati (ATC): EC-Council, Pearson Vue Testing Center e Affinity IT Security.
- Il sito web del Consiglio CE offre un manuale CEH e un modello di esame CEH con domande pratiche.
- Molte organizzazioni, tra cui l’Istituto Infosec, offrono corsi di preparazione agli esami CEH.
- I candidati sono incoraggiati a sostenere prove pratiche, tramite la valutazione CEH online del Consiglio CE, o il servizio di prova pratica dell’Istituto InfoSec, SkillSet.
Per essere ammessi all’esame, i candidati devono completare il programma di formazione del Consiglio CE e mostrare esperienza in almeno 3 dei 5 domini di sicurezza coperti nell’esame. In caso contrario, i candidati devono dimostrare due anni di esperienza nella sicurezza delle informazioni, tra gli altri criteri di ammissibilità.
L’esame CEH ha 125 domande a scelta multipla con un limite di tempo di 4 ore. L’esame è somministrato tramite un computer presso un centro di formazione accreditato CE-Consiglio. I membri devono essere ricertificati ogni tre anni per mantenere lo status CEH.
Esempio di un certificato CEH
Scopri come Imperva Web Application Firewall può aiutarti con la sicurezza del sito web.
White hat hacking e sicurezza delle applicazioni web
La sicurezza delle applicazioni Web è oggi un obiettivo centrale nella sicurezza informatica. Le applicazioni Web sono un obiettivo interessante per gli aggressori, e sono particolarmente vulnerabili, perché hanno una complessa architettura multi-livello, tendono a memorizzare dati privati sensibili, e sono di facile accesso dall’esterno di un’organizzazione.
Gli hacker certificati, con la loro comprensione completa dei moderni sistemi software, dei vettori di minaccia e delle tecnologie di attacco, possono essere un importante asset di sicurezza. Possono aiutare le organizzazioni a comprendere la posizione di sicurezza delle loro applicazioni Web, la gravità delle diverse minacce e dove investire per migliorare efficacemente le loro difese.
Il test di penetrazione sta crescendo di importanza come misura proattiva utilizzata contro le minacce informatiche, in particolare per le applicazioni web mission critical. Un test di penetrazione è un attacco informatico simulato contro un sistema informatico, con l’obiettivo di scoprire le vulnerabilità e suggerire miglioramenti della sicurezza. I test di penetrazione possono essere eseguiti da professionisti della sicurezza delle informazioni, o da tester o personale IT all’interno di un’organizzazione, anche se non hanno una certificazione CEH.
Tuttavia, effettuare test di penetrazione con un hacker etico certificato presenta importanti vantaggi. Un CEH può avere una visione più ampia dei sistemi di un’organizzazione e delle minacce che sta affrontando, progettare test più completi e sfruttare la formazione CEH per fornire report più dettagliati delle vulnerabilità scoperte e delle implicazioni sulla sicurezza.