Ethical Hacking: cos'è e come previene i cyber-attacchi

Affidarsi all’ethical hacking è un’opportunità su cui puoi contare per vincere le sfide del cybercrime, che oggi mettono a rischio le risorse della tua azienda e la sua reputazione.

Nell’ultimo decennio l’uso di computer e smartphone è aumentato enormemente e, sebbene il cyberspazio e Internet abbiano portato con sé enormi vantaggi, non sono certo arrivati tra noi privi di rischi e lati negativi.

Con la diffusione di Internet, anche le minacce alla cybersecurity sono aumentate in quantità e qualità, rendendo inadeguati semplici firewall e antivirus. Le minacce cyber possono nascere in ogni punto dell’azienda e non è più sufficiente affidarsi esclusivamente all’esperienza dell’IT interno per la protezione dei dati. È, ad esempio, necessario educare i dipendenti a riconoscere le truffe basate su social engineering come il phishing e cyber-attacchi sempre più sofisticati che mettono a rischio la proprietà intellettuale e i dati personali. Ma tutto ciò non basta. C’è un’altra strategia che il management può adottare: affidarsi a un Ethical Hacker.

 Cosa significa ethical hacking

L’ethical hacking rappresenta oggi una componente essenziale della cybersecurity. Potremmo definirlo il lato luminoso dell’hacking, collegato alla figura dell’hacker buono (detto anche white hat), in contrapposizione al lato oscuro rappresentato dall’hacker cattivo (black hat).

In pratica, gli ethical hacker utilizzano tecniche di hacking per individuare e correggere le vulnerabilità della sicurezza, in una rete o in un sistema informatico, con l’obiettivo di migliorare la sicurezza dell’organizzazione. L’ethical hacking aiuta a prevenire i cyber-attacchi e i data breach hackerando legalmente il sistema di una organizzazione per cercare i punti deboli, senza danneggiare l’infrastruttura o i suoi utenti.

In poche parole, l’ethical haker si allea con l’organizzazione per trovare le vulnerabilità prima che sia un cybercriminale a farlo.
Noi di UNGUESS collaboriamo con una community di ethical hacker, talenti con identità verificate e skill tecniche certificate, che hanno passato rigidi controlli di selezione e ricevuto una valutazione sulle competenze, sul percorso formativo e sull’esperienza in cybersecurity.

Perché è importante l'ethical hacking

Tutte le organizzazioni, indipendentemente dalle loro dimensioni e dalla tipologia, hanno la necessità di garantire la sicurezza delle informazioni e delle infrastrutture informatiche, mettendole al riparo dalle minacce che possono provenire dall’esterno come dall’interno. Gli ethical hacker hanno le competenze tecniche e la capacità di assumere la mentalità dei cybercriminali, mettendosi nei loro panni e agendo come loro.

Alcune aziende assumono ethical hacker per portare a termine ricerca, test e bug bounty. Nonostante sia un lavoro di estremo valore, prestigio e competenza tecnica, alcuni (davvero pochi) ethical hacker non hanno bisogno di essere motivati da un programma di ricompensa economica e agiscono da volontari. Indipendentemente dalle diverse motivazioni che li spingono, gli ethical hacker lavorano nell’interesse e con il consenso dell’organizzazione per proteggerne i computer, i network, le infrastrutture, i dati.

Differenti tipi di hacker

Fra i due estremi, black hat, hacker criminali, e i white hat, ethical hacker, si collocano, in posizione intermedia, diversi tipi di hacker:

• gray hat, non sono autorizzati ma possono operare con intenzioni buone, cattive o per puro divertimento;
• green hat, hanno capacità ancora limitate e sono ancora in training per imparare;
• red hat, hanno obiettivi simili ai white hat; tuttavia puntano non solo a prevenire gli attacchi ma a mettere gli attaccanti in condizioni di non nuocere;
• nation sponsored operano per conto dei governi con l’obiettivo di raccogliere informazioni strategiche di altri paesi;
• blue hat, non particolarmente esperti, utilizzano attacchi semplici, tipicamente DDoS, allo scopo di causare danni a un’organizzazione o a una persona.
  
  
  

Le tipologie di ethical hacking

L’ethical hacking prevede vari approcci per valutare la sicurezza dei sistemi informatici. Esploriamo alcuni delle diverse metodologie adottate.

• Black box nei quali l'hacker non ha alcuna conoscenza preliminare del sistema e testa il software dall'esterno, tentando di penetrarlo con tecniche come brute-force attack, utilizzate frequentemente dal cybercrime.
• White box che implica la valutazione di un sistema con piena conoscenza del suo funzionamento interno e prevede un esame approfondito del codice, delle configurazioni e delle vulnerabilità.
• Gray box che combina elementi dei due approcci precedenti. Il tester ha una conoscenza parziale del sistema e cerca un equilibrio tra realismo e profondità di analisi.
• Hacking di applicazioni web che mira a identificare le vulnerabilità nel software, nei database e nelle API, basati sul web.
• Hacking delle reti wireless nel quale gli hacker valutano le reti wireless, per scoprire i punti deboli e impedire l'accesso non autorizzato.
• Social engineering che hacker etici utilizzano per testare la vulnerabilità di un'organizzazione al phishing, al pretexting o ad altre tattiche di manipolazione sociale.
• Hacking di sistema che punta a verificare sistemi operativi, dispositivi di rete e server con lo scopo di identificare le vulnerabilità che potrebbero portare ad accessi non autorizzati o violazioni dei dati.

Le 6 fasi dell'ethical hacking

L’ethical hacking prevede diverse fasi, precedute dalla verifica, insieme all’organizzazione, dei principali punti deboli da ricercare, scegliendo di esaminare l’intera infrastruttura, singole applicazioni o parti di software. Sulla base di quanto concordato, per valutare le criticità che i cyber-criminali possono sfruttare, gli ethical hacker impiegano strumenti di verifica preliminari, quali:

• test di vulnerabilità, per verificare le eventuali falle del sistema; tuttavia, non tutte sono sfruttabili per gli attacchi;
• penetration test, mediante il quale si prova a comprendere concretamente quali delle vulnerabilità riscontrate rappresentano un rischio reale in caso di attacco;
• red teaming, che si concentra soprattutto sull’analisi di minacce derivanti da errori umani o da disattenzioni.

Una volta condotti i test più opportuni, l’ethical hacker realizza un report che evidenzia le azioni svolte e suggerisce le misure da adottare per migliorare la sicurezza aziendale.

In sintesi, sono sei le fasi fondamentali dell’ethical hacking (le prime cinque analoghe a quelle che seguirebbe un cyber attaccante):

1. ricognizione, durante la quale l’hacker raccoglie informazioni sull’azienda bersaglio senza entrare direttamente in contatto;
2. scansione, per entrare in contatto con il target inviando pacchetti di dati e interpretando le risposte per identificare le vulnerabilità, impiegando gli strumenti sopra elencati;
3. accesso, al sistema o alla rete, sfruttando una o più vulnerabilità, individuate;
4. mantenimento dell’accesso, in modo discreto per ulteriori esplorazioni;
5. cancellazione delle tracce, a lavoro concluso; l’hacker rimuove le tracce dell’attacco come farebbe un black hat;
6. reporting, per indicare le vulnerabilità e fornire suggerimenti per evitare futuri attacchi.

L’importanza della competenza di un hacker per la cybersicurezza aziendale non può mai essere enfatizzata abbastanza: sfruttare le competenze degli Ethical Hacker è una strategia incredibilmente potente per scoprire le debolezze e vulnerabilità dei sistemi aziendali e renderli a prova di futuri attacchi. Le aziende hanno la possibilità di far effettuare test di sicurezza da hacker professioni alle loro condizioni. Farlo è fondamentale perché i data breach (tra le tante minacce cyber) sono troppo frequenti e costosi per essere ignorati. Investire ora in cybersecurity può salvare le aziende da future nuovi cyber-attacchi.