White hat

White hat hay Hacker mũ trắng (hoặc một hacker white-hat, whitehat) là một hacker có đạo đức. Ethical hacking là một thuật ngữ nhằm ám chỉ một danh mục rộng hơn chỉ là kiểm tra xâm nhập. Dưới sự cho phép của chủ sở hữu, những hacker white-hat nhằm mục tiêu xác định bất kỳ lỗ hổng hoặc vấn đề bảo mật nào mà hệ thống hiện tại đang gặp phải. White hat hacker tương phản với black hat, một hacker độc hại; sự phân định định nghĩa này xuất phát từ các bộ phim Western, trong đó các người hùng và những kẻ thù đều thường mặc một chiếc mũ trắng và một chiếc mũ đen tương ứng. Còn một loại hacker thứ ba được gọi là grey hat hack với những ý định tốt đẹp nhưng đôi khi không có sự cho phép.

Hacker white-hat cũng có thể làm việc theo nhóm gọi là "sneakers và/hoặc hacker clubs", red teams hoặc tiger teams.

Lịch sử

Một trong những trường hợp đầu tiên của việc sử dụng Ethical hacking là một "đánh giá bảo mật" được tiến hành bởi Lực lượng Không quân Hoa Kỳ, trong đó hệ điều hành Multics đã được kiểm tra để "sử dụng tiềm năng như một hệ thống hai cấp (bí mật/ bí mật cực kỳ)". Đánh giá xác định rằng trong khi Multics "đáng kể tốt hơn so với các hệ thống thông thường khác," nó cũng có "... các lỗ hổng về bảo mật phần cứng, bảo mật phần mềm và bảo mật thủ tục" có thể được phát hiện thông qua "một mức độ nỗ lực tương đối thấp." Các tác giả đã tiến hành các thử nghiệm dưới hướng dẫn của sự thực tế, để kết quả của họ có thể chính xác đại diện cho các loại truy cập mà một kẻ xâm nhập có thể đạt được. Họ thực hiện các thử nghiệm liên quan đến việc thu thập thông tin đơn giản, cũng như tấn công trực tiếp vào hệ thống có thể gây thiệt hại đến tính toàn vẹn của nó; cả hai kết quả đều đáng quan tâm đối với khán giả mục tiêu. Có một số báo cáo không được phân loại nói về các hoạt động Ethical hacking trong quân đội Mỹ.

Vào năm 1981, The New York Times mô tả các hoạt động white-hat là một phần của "truyền thống 'hacker' tinh nghịch nhưng đáng kinh ngạc tích cực". Khi một nhân viên của National CSS tiết lộ sự tồn tại của phần mềm password cracker mà anh ta đã sử dụng trên tài khoản khách hàng, công ty chỉ trích anh ta không phải vì việc viết phần mềm mà vì không tiết lộ nó sớm hơn. Thư cảnh cáo nói "Công ty nhận ra lợi ích của NCSS và khuyến khích nhân viên nỗ lực xác định các điểm yếu về bảo mật cho VP, thư mục và phần mềm nhạy cảm khác trong tệp tin".

Ý tưởng mang chiến thuật Ethical hacking này để đánh giá bảo mật hệ thống và chỉ ra các lỗ hổng đã được hình thành bởi Dan Farmer và Wietse Venema. Để nâng cao mức độ bảo mật tổng thể trên Internet và intranet, họ tiếp tục mô tả cách họ đã có thể thu thập đủ thông tin về mục tiêu của họ để có thể tấn công bảo mật nếu họ đã chọn làm như vậy. Họ cung cấp một số ví dụ cụ thể về cách thông tin này có thể được thu thập và khai thác để kiểm soát mục tiêu, cũng như cách ngăn chặn một cuộc tấn công như vậy. Họ đã thu thập tất cả các công cụ mà họ đã sử dụng trong quá trình làm việc của mình, đóng gói chúng trong một ứng dụng đơn giản, dễ sử dụng và chia sẻ miễn phí cho bất kỳ ai muốn tải xuống. Chương trình của họ gọi là Security Administrator Tool for Analyzing Networks, hoặc SATAN, đã nhận được rất nhiều sự chú ý từ truyền thông trên toàn thế giới vào năm 1992.

Chiến thuật

Trong khi penetration testing (kiểm thử xâm nhập) tập trung vào tấn công phần mềm và hệ thống máy tính từ đầu - quét cổng, kiểm tra các lỗi đã biết trong giao thức và ứng dụng đang chạy trên hệ thống, và cài đặt bản vá, ví dụ - Ethical hacking có thể bao gồm các yếu tố khác. Một cuộc tấn công đạo đức đầy đủ quy mô có thể bao gồm gửi email cho nhân viên để yêu cầu chi tiết mật khẩu, lục tung thùng rác của các nhà lãnh đạo, thông thường mà không có sự hiểu biết và sự đồng ý của các mục tiêu. Chỉ có chủ sở hữu, CEO và thành viên Hội đồng quản trị (các bên liên quan) yêu cầu kiểm định bảo mật quy mô như vậy mới biết. Để cố gắng tái hiện một số kỹ thuật phá hoại mà một cuộc tấn công thực tế có thể sử dụng, những hacker đạo đức có thể sắp xếp các hệ thống kiểm tra đã được nhân bản, hoặc tổ chức một cuộc hack vào đêm khuya khi hệ thống ít quan trọng hơn. Trong các trường hợp gần đây nhất, các cuộc tấn công này kéo dài trong thời gian dài (một số ngày, thậm chí vài tuần, bằng cách xâm nhập vào tổ chức trong thời gian dài). Một số ví dụ bao gồm việc để lại ổ đĩa USB/flash chứa phần mềm tự động khởi động ẩn trong một khu vực công cộng như là một người nào đó để mất ổ đĩa nhỏ và một nhân viên không nghi ngờ nào đó tìm thấy và mang đi.

Một số phương pháp khác để thực hiện điều này bao gồm: Phân tích dữ liệu đĩa và bộ nhớ Tấn công DoS (Denial-of-Service) Các khung công cụ như:

• • Metasploit

Bảo mật mạng Đảo ngược công nghệ Các công cụ quét bảo mật như:

• • Burp Suite
  • Nessus
  • W3af

Chiến thuật hình thức kỹ thuật xã hội Nền tảng đào tạo

• Vulnerability research

Các phương pháp này xác định và khai thác các lỗ hổng bảo mật đã được biết đến và cố gắng tránh bị phát hiện để xâm nhập vào các khu vực được bảo mật. Họ có thể làm điều này bằng cách ẩn các "cánh cửa sau" phần mềm và hệ thống có thể được sử dụng như một liên kết đến thông tin hoặc quyền truy cập mà một hacker không đạo đức, còn được biết đến là "black hat" hoặc "grey hat", có thể muốn đạt được.

Tính hợp pháp

Bỉ

Bỉ đã hợp pháp hóa hack white hat vào tháng 2 năm 2023.

Vương quốc Anh

Struan Robertson, giám đốc pháp lý tại công ty luật Pinsent Masons LLP và biên tập viên của OUT-LAW.com, nói rằng "Nói chung, nếu quyền truy cập vào một hệ thống được ủy quyền, việc hack là đạo đức và hợp pháp. Nếu không được, sẽ có một tội danh theo Computer Misuse Act. Tội danh truy cập trái phép bao gồm mọi thứ từ đoán mật khẩu để truy cập vào tài khoản webmail của ai đó, đến việc phá vỡ bảo mật của một ngân hàng. Mức án tối đa cho việc truy cập trái phép vào một máy tính là hai năm tù và một mức phạt. Có các mức phạt cao hơn - lên đến 10 năm tù - khi hacker cũng sửa đổi dữ liệu". Robertson nói rằng truy cập trái phép ngay cả để phơi bày các lỗ hổng với lợi ích cho nhiều người cũng không hợp pháp. "Không có lý do nào trong luật hacking của chúng tôi rằng hành vi của bạn là vì lợi ích chung. Ngay cả khi đó là điều bạn tin tưởng."

Nghề nghiệp

Cơ quan An ninh Quốc gia Hoa Kỳ (National Security Agency) cung cấp các chứng chỉ như CNSS 4011. Chứng chỉ này bao gồm các kỹ thuật Ethical hacking và quản lý nhóm một cách có hệ thống. Nhóm tấn công được gọi là "nhóm đỏ" (red teams), trong khi nhóm phòng thủ được gọi là "nhóm xanh" (blue teams). Khi cơ quan này tuyển dụng tại sự kiện DEF CON vào năm 2020, họ đã hứa hẹn với ứng viên rằng "Nếu bạn có một số hành vi thiếu đạo đức trong quá khứ, đừng lo lắng. Bạn không nên tự động cho rằng bạn sẽ không được tuyển dụng".

Một "white hat" giỏi là một nhân viên có kỹ năng cạnh tranh đáng chú ý cho một doanh nghiệp, vì họ có thể trở thành một biện pháp phòng ngừa để tìm ra các lỗi để bảo vệ môi trường mạng của doanh nghiệp. Do đó, một "white hat" giỏi có thể mang lại những lợi ích không ngờ trong việc giảm thiểu rủi ro trên các hệ thống, ứng dụng và điểm kết thúc cho một doanh nghiệp.

Xem thêm

• Chương trình tiền thưởng tìm lỗi (Bug bounty program)
• Rủi ro công nghệ thông tin (IT risk)
• MalwareMustDie
• Trộm danh tính không dây (Wireless identity theft)