Security Testing Kann Hacking ethisch sein?

Mit ethischen Hacks ahmen „White Hats“ die Strategien und Aktionen böswilliger Angreifer nach. Dadurch lassen sich Sicherheitslücken aufdecken, die dann behoben werden können, bevor ein „Black Hat“ überhaupt die Gelegenheit erhält, sie auszunutzen.

„White Hats“ sind IT-Experten für Informationssicherheit (Infosec), die für ihre Auftraggeber und daher auch - mit deren Genehmigung – in ein Computersystem, ein Netzwerk, eine Anwendung oder eine andere Ressource eindringen. Das heißt, Unternehmen fordern ethische Hacker auf, potenzielle Sicherheitslücken aufzuspüren, die böswillige Hacker bei Gelegenheit ausnutzen könnten.

Dem Täter auf der Spur …

Zweck des ethischen Hackens ist es, die Sicherheit von Zielsystemen, Netzwerken oder Systeminfrastrukturen zu evaluieren und Schwachstellen zu identifizieren. Der Prozess umfasst das Auffinden und anschließende bewusste Ausnutzen von Schwachstellen, um festzustellen, ob unbefugter Zugriff oder andere böswillige Aktivitäten möglich sind. Einem ethischen Hacker wird von einer Organisation bewusst ein großer Spielraum eingeräumt, um rechtmäßig und wiederholt zu versuchen, in seine Computer-Infrastruktur einzudringen. Dabei werden bekannte Angriffsvektoren ausgenutzt, um die Ausfallsicherheit einer Infosec-Position zu testen.

Ethische Hacker verwenden wie die sogenannten „Black Hats“ (böswilligen Angreifer) viele der Methoden und Techniken zum Testen von IT-Sicherheitsmaßnahmen. Anstatt Schwachstellen zum persönlichen Vorteil auszunutzen, dokumentieren ethische Hacker detailliert Bedrohungsinformationen, um Organisationen dabei zu helfen, die Netzwerksicherheit durch strengere Infosec-Richtlinien, -Verfahren und -Technologien zu verbessern.

„White Hats“ finden Sicherheitsrisiken im Wesentlichen in unsicheren Systemkonfigurationen, bekannten und unbekannten Hardware- bzw. Software-Schwachstellen oder betrieblichen Prozessen. Zu den potenziellen Bedrohungen böswilliger Hackings gehören beispielsweise verteilte Denial-of-Service-Angriffe (DoS), bei denen mehrere Computersysteme kompromittiert und umgeleitet werden, um ein bestimmtes Ziel anzugreifen, das jede Ressource im Computernetzwerk umfassen kann.

Ethisches Hacken vs. Penetrationstests

Pen-Tests und ethisches Hacken werden oft synonym verwendet. Jedoch es gibt einige Nuancen, wodurch sich beide Tätigkeitsfelder unterscheiden. Viele Organisationen setzen sowohl ethische Hacker als auch Pen-Tester ein, um die IT-Sicherheit zu stärken. Ethische Hacker testen routinemäßig IT-Systeme auf der Suche nach Schlupflöchern und Fehlern. Dadurch bleiben sie über Ransomware oder neu auftretende Computerviren auf dem Laufenden. Ihre Arbeit umfasst häufig Penetrationstests als Teil einer umfassenden IT-Sicherheitsbewertung.

Pen-Tester streben zwar auch viele der gleichen Ziele an, jedoch ihre Arbeit wird oft nach einem festgelegten Aufgaben- und Zeitplan durchgeführt. Penetrationstests konzentrieren sich eher auf bestimmte Aspekte eines Netzwerks als auf die laufende Gesamtsicherheit. Meist erhält ein Sicherheitsexperte, der den Pen-Test durchführt, nur einen eingeschränkten Zugriff für eine begrenzte Zeitdauer auf die zu testenden Systeme oder Geräte.

„White Hat“-Techniken

Ethische Hacker verwenden eine Form des Reverse-Engineering, um sich Szenarien vorzustellen, die Geschäfts- und Betriebsdaten gefährden könnten. Die verschiedenen Techniken und Tools sind Teil einer umfassenden Evaluation von Schwachstellen, die der ethische Hacker im Auftrag eines Kunden durchführt. Ethische Hacker verlassen sich dabei ebenfalls wie böswillige Hacker auf Social-Engineering-Techniken, um End-User zu manipulieren und Informationen über die Computerumgebung einer Organisation zu erhalten.

Wie „Black Hats“ durchstöbern ethische Hacker Postings in sozialen Medien oder auf GitHub, verwickeln Mitarbeiter in Phishing-Angriffe per E-Mail oder SMS oder streifen mit einem „Klemmbrett“ durch Räumlichkeiten, um Schwachstellen in der physischen Sicherheit auszunutzen. Es gibt jedoch Social-Engineering-Techniken, die ethische Hacker nicht anwenden sollten, wie beispielsweise physische Bedrohungen von Mitarbeitern oder andere Arten von Versuchen, Zugang oder Informationen zu erpressen. Nachfolgend eine Auswahl möglicher Hacking-Techniken:

• Port-Scans, um Schwachstellen mit Port-Scanning-Tools wie Nmap, Nessus, Wireshark und anderen zu finden. Identifizierung offener Ports, Untersuchung der Schwachstellen jedes Ports und Empfehlungen von Abhilfemaßnahmen.

• Überprüfung der Patch-Installationsprozesse, um sicherzustellen, dass die aktualisierte Software keine neuen Schwachstellen erzeugt, die ggf. ausgenutzt werden können.

• Durchführung von Netzwerk-Verkehrsanalysen unter Verwendung geeigneter Tools.

• Überprüfung der Intrusion-Detection-Systeme, Intrusion-Prevention-Systeme, Honeypots und Firewalls, ob sie von Hackern umgangen werden können.

• Tests, ob das System hinreichend Resilienz gegenüber der Einschleusung von Sicherheitslücken durch Hacker aufweist.

Verschiedene Arten von Hackern

Hacking ist per se nicht immer eindeutig. Neben den „White Hats“ und „Black Hats“ gibt es beispielsweise auch noch die „Grey Hats“. Ein Gray-Hat-Hacker kann eine Sicherheitslücke aufdecken und seine Resultate veröffentlichen, ohne den Betreffenden zu informieren bzw. zu veranlassen, Maßnahmen zu ergreifen. Solche Hacker liefern oft wertvolle Bewertungen von Sicherheitslücken, obwohl sie einige diese Informationen auch zum persönlichen Vorteil „eintauschen“ können. „Green Hats“ gelten im Allgemeinen als aufstrebende Hacker, denen es noch etwas an technischem Scharfsinn mangelt, die aber durchaus Talent und Interesse zeigen, dazulernen zu wollen, wie man Systeme erfolgreich hackt.

Die sogenannten „Blue Hats“ umfassen zwei verschiedene Typen von Hackern: Der erste Typ ist eine Person, die mit Malware vertraut genug ist, um Computersysteme zu kompromittieren. Dieser Typ agiert aus emotionalen Motiven der Rache für vermeintliche oder tatsächliche Kränkungen. Das Erlernen des Handwerks hat für diese Art von Person keine Priorität. Der zweite Typ bezieht sich auf jemanden, der beispielsweise gebeten wird, an der Sicherheitskonferenz für „Blue Hats“ von Microsoft teilzunehmen, wobei der Zutritt nur auf Einladung möglich ist. Microsoft setzt gezielt ethische Hacker ein, um Beta-Tests für unveröffentlichte Produkte durchzuführen oder nach Mängeln in der Infosec von frühen bzw. bestehenden Software-Versionen zu suchen.

„Red Hats“ sind ethische Hacker, die sich auf das Knacken von Linux-basierten Systemen spezialisiert haben. Aber anstatt „Black Hats“ an Behörden zu übergeben, führen sie eine Form von Reverse-Hacking-Maßnahmen durch, um die Rechen-Ressourcen eines „Black Hats“ lahmzulegen.

(ID:49198465)