Conforme la tecnología crece a un ritmo rápido, también crecen los riesgos asociados con este. Para vencer a un hacker es necesario pensar como uno de ellos.
El hacking ético es necesario pues permite contrarrestar los ataques de hackers maliciosos anticipando los métodos utilizados para acceder hacia un sistema. El hacking ético ayuda a predecir varias posibles vulnerabilidades con suficiente antelación y a rectificarlas sin incurrir en ningún tipo de ataque externo. Dado el hacking involucra pensamiento creativo, probar vulnerabilidades, y auditorías de seguridad, estas solas no pueden garantizar la red sea segura. Para alcanzar seguridad las organizaciones deben implementar una estrategia de “defensa en profundidad”, penetrando sus redes para estimar y exponer vulnerabilidades.
Razones por las cuales las organizaciones contratan hackers éticos
- Para prevenir los hackers ganen acceso hacia los sistemas de información de la organización
- Para descubrir vulnerabilidades en los sistemas y explorar su potencial como un riesgo
- Para analizar y fortalecer la postura en seguridad de una organización, incluyendo políticas, infraestructura de protección para la red, y prácticas de usuario final
- Para proporcionar medidas preventivas adecuadas para evitar brechas de seguridad
- Para ayudar a salvaguardar los datos de los clientes
- Para mejorar la concienciación sobre seguridad a todos los niveles en una empresa
La evaluación realizada por un hacker ético sobre la seguridad del sistema de información de un cliente busca responder tres preguntas básicas:
1. ¿Qué puede un atacante ver en el sistema?
Las verificaciones de seguridad normales por los administradores de sistemas frecuentemente pasan por alto vulnerabilidades. El hacker ético debe pensar como un atacante podría ver durante las fases de reconocimiento y escaneo de un ataque.
2. ¿Qué puede hacer un intruso con esta información?
El hacker ético debe discernir la intención y propósito detrás de los ataques para determinar las medidas correctivas adecuadas. Durante las fases de ganar acceso y mantener acceso de un ataque, el hacker ético necesita ir un paso por delante del hacker para proporcionar la protección adecuada.
3. ¿Son los intentos de los atacantes notados por los sistemas?
Algunas veces los atacantes intentan irrumpir un sistema durante días, semanas, o incluso meses. Otras veces ganan acceso pero esperan antes de causar algún daño. En lugar de esto se toman el tiempo para evaluar el posible uso de la información expuesta. Durante las fases de reconocimiento y cubrir rastros, el hacker ético debe detectar y detener el ataque.
Después de realizar ataques los hackers pueden borrar sus rastros modificando archivos para el registro de eventos y creando puertas traseras, o desplegando troyanos. Los hackers éticos deben investigar si tales actividades han sido registradas y cuales mecanismos preventivos han sido tomados. Esto no únicamente les provee con una evaluación sobre la proeficiencia de los atacantes, sino también les proporciona indicios sobre los mecanismos de seguridad existentes del sistema siendo evaluado. El proceso entero del hacking ético y la subsecuente aplicación de parches de las vulnerabilidades descubiertas depende de preguntas tales como:
- ¿Qué es aquello lo cual la organización intenta proteger?
- ¿Contra quién o qué está intentado protegerla?
- ¿Están todos los componentes del sistema de información adecuadamente protegidos, actualizados, y parcheados?
- ¿Cuánto tiempo, esfuerzo, y dinero está el cliente dispuesto a invertir para ganar una protección adecuada?
- ¿Los mecanismos de seguridad de información cumplen con los estándares de la industria y legales?
Algunas veces para ahorrar recursos o prevenir posteriores descubrimientos, el cliente podría decidir finalizar la evaluación después de la primera vulnerabilidad es encontrada; por lo tanto es importante el hacker ético y el cliente establezcan previamente un marco de trabajo adecuado para investigación. El cliente debe estar convencido sobre la importancia de estos ejercicios de seguridad a través de descripciones concisas de aquello lo cual está sucediendo y aquello lo cual está implicado. El hacker ético también debe recordar transmitir hacia el cliente nunca es posible proteger los sistemas completamente, pero estos pueden siempre ser mejorados.
Fuentes:
https://www.knowledgehut.com/blog/security/need-of-ethical-hacking