[:pb]A palavra “hacker” vem do verbo em inglês “to hack”, que significa fuçar, bisbilhotar. Essa expressão era usada para caracterizar estudantes que passavam muitas horas tentando encontrar vulnerabilidades em sistemas computacionais.  Com o tempo, as habilidades dos hackers passaram a ser usadas para cometer crimes.

Hacking ético é um termo usado para descrever o hacking realizado por uma empresa ou indivíduo, para ajudar a identificar possíveis ameaças em um computador ou rede.

Um hacker ético tenta contornar a segurança do sistema e procurar por pontos fracos que possam ser explorados por hackers mal-intencionados. As informações obtidas são usadas pela organização para melhorar a segurança dos sistemas e minimizar ou eliminar possíveis ataques.

Os hackers éticos, também conhecidos como “white hats”, são especialistas em segurança que realizam essas avaliações, com a aprovação prévia da organização ou proprietário do ativo de TI. A missão do hacking ético é oposta à do hacking malicioso. Um é o mocinho e o outro é o bandido.

Quais são os principais conceitos de hacking ético?

Os especialistas em hacking ético seguem quatro conceitos-chave de protocolo:

Fique dentro da lei. Obtenha a aprovação adequada antes de acessar e executar uma avaliação de segurança.

Defina o escopo. Determine o escopo da avaliação, para que o trabalho do hacker seja legal e dentro dos limites aprovados pela organização.

Relate vulnerabilidades. Notifique a organização de todas as vulnerabilidades descobertas durante a avaliação. Forneça conselhos de correções para resolver essas vulnerabilidades.

Respeite a sensibilidade dos dados. Dependendo da sensibilidade dos dados, os hackers éticos podem ter que firmar um acordo de não divulgação (Non Disclosure Agreement ou NDA), além de outros termos com condições exigidas pela organização avaliada.

Em quê os hackers éticos são diferentes dos hackers mal-intencionados?

Os hackers éticos usam seus conhecimentos para proteger e melhorar a tecnologia das organizações. Eles fornecem um serviço essencial para essas instituições, procurando vulnerabilidades que podem levar a uma violação de segurança.

Um hacker ético relata as vulnerabilidades identificadas na organização. Além disso, eles fornecem conselhos de remediação. Em muitos casos, com o consentimento da organização, o hacker ético realiza um novo teste para garantir que as vulnerabilidades estejam totalmente resolvidas.

Os hackers mal-intencionados pretendem obter acesso não autorizado a um sistema, banco de dados, etc. (quanto mais sensível, melhor) para ganho financeiro ou reconhecimento pessoal.

Alguns hackers maliciosos destroem sites ou bloqueiam servidores back-end por diversão, para manchar a reputação de uma organização ou para causar perdas financeiras. Os métodos utilizados e as vulnerabilidades encontradas permanecem sem registro. Eles não estão preocupados em melhorar a postura de segurança das organizações.

Que problemas o hacking ético identifica?

Ao avaliar a segurança dos ativos de TI de uma organização, os hackers éticos pensam como se fossem um invasor. Ao fazer isso, eles procuram por vetores de ataque contra o alvo. O objetivo inicial é realizar um reconhecimento, para obter o máximo de informações possíveis.

Uma vez que o hacker ético reúne informações suficientes, eles as usam para procurar vulnerabilidades contra um determinado ativo. Eles realizam essa avaliação com uma combinação de testes automatizados e manuais. Mesmo sistemas sofisticados com tecnologias complexas de proteção podem ser vulneráveis.

Eles não param ao descobrir as vulnerabilidades. Os hackers éticos usam exploits contra as vulnerabilidades, para provar como um invasor mal-intencionado pode tirar vantagem delas.

Algumas das vulnerabilidades mais comuns descobertas por hackers éticos incluem:

• Injection attacks
• Autenticação violada
• Erros de configuração
• Uso de componentes com vulnerabilidades conhecidas
• Exposição de dados sensíveis

Após o período de testes, os hackers éticos preparam um relatório detalhado. Esta documentação inclui etapas para restringir as vulnerabilidades descobertas e as etapas para corrigir ou atenuá-las.

Como é possível ficar sempre à frente dos criminosos cibernéticos, com a quantidade e a variedade sempre crescente dos ataques?

Existem empresas especializadas em segurança cibernética, que fornecem soluções de simuladores virtuais de hackers, que desempenham o papel de um hacker, por exemplo o SafeBreach. Podem ser implantados em segmentos críticos de uma rede, na nuvem e em endpoints, para simular toda a cadeia de violações: infiltration, lateral movement, e exfiltration. Simuladores para cloud, redes e endpoints estão disponíveis.

Esses simuladores executam métodos de violação baseados em registros históricos atualizados periodicamente, para descobrir onde os ataques são bloqueados e onde são bem-sucedidos. As descobertas desses testes são analisadas pelos laboratórios dessas empresas, comparadas e incorporadas a essa base global de registros, com o objetivo de obter informações interessantes sobre a melhor forma de ficar à frente dos ataques.

As descobertas de segurança são usadas para:

• Melhorar a atuação dos sistemas de segurança existentes, otimizando a configuração e garantindo que os controles funcionem em harmonia;
• Minimizar a exposição de segurança devido a erro humano, atualizações e mudanças de políticas;
• Preparar para auditorias, validando a segmentação e outros controles de conformidade;
• Testar planos de alerta e de ação para as equipes de segurança e fornecer treinamento sobre o cenário das violações;
• Obter a racionalização dos investimentos em segurança, provando o ROI que se pode conseguir ao evitar os prejuízos causados pelos ataques.

É preciso adotar uma postura proativa

Não é mais possível somente esperar que o que nos foi vendido funcione como prometido. Não podemos apenas acreditar que as nossas configurações foram feitas de forma correta o tempo todo. Não podemos esperar entender todos os caminhos possíveis, para todas as fontes de dados possíveis em nossos ambientes. Não podemos apenas achar que somos mais espertos do que os criminosos. Nós temos que SABER.

Para antecipar possíveis ameaças, considerando o ambiente em constante mutação, temos que simular ataques contra nós mesmos, sem riscos ou danos, para saber o que está irregular e o que não está. Temos que agir com base nesse conhecimento e desencadear os ataques novamente. De forma contínua. Toda vez que incorporamos um novo produto, toda vez que há uma mudança na rede, toda vez que há uma atualização de configuração.

Tenha a certeza de que, se não validarmos constantemente a nossa segurança, os invasores o farão.[:en]A palavra “hacker” vem do verbo em inglês “to hack”, que significa fuçar, bisbilhotar. Essa expressão era usada para caracterizar estudantes que passavam muitas horas tentando encontrar vulnerabilidades em sistemas computacionais.  Com o tempo, as habilidades dos hackers passaram a ser usadas para cometer crimes.

Hacking ético é um termo usado para descrever o hacking realizado por uma empresa ou indivíduo, para ajudar a identificar possíveis ameaças em um computador ou rede.

Um hacker ético tenta contornar a segurança do sistema e procurar por pontos fracos que possam ser explorados por hackers mal-intencionados. As informações obtidas são usadas pela organização para melhorar a segurança dos sistemas e minimizar ou eliminar possíveis ataques.

Os hackers éticos, também conhecidos como “white hats”, são especialistas em segurança que realizam essas avaliações, com a aprovação prévia da organização ou proprietário do ativo de TI. A missão do hacking ético é oposta à do hacking malicioso. Um é o mocinho e o outro é o bandido.

Quais são os principais conceitos de hacking ético?

Os especialistas em hacking ético seguem quatro conceitos-chave de protocolo:

Fique dentro da lei. Obtenha a aprovação adequada antes de acessar e executar uma avaliação de segurança.

Defina o escopo. Determine o escopo da avaliação, para que o trabalho do hacker seja legal e dentro dos limites aprovados pela organização.

Relate vulnerabilidades. Notifique a organização de todas as vulnerabilidades descobertas durante a avaliação. Forneça conselhos de correções para resolver essas vulnerabilidades.

Respeite a sensibilidade dos dados. Dependendo da sensibilidade dos dados, os hackers éticos podem ter que firmar um acordo de não divulgação (Non Disclosure Agreement ou NDA), além de outros termos com condições exigidas pela organização avaliada.

Em quê os hackers éticos são diferentes dos hackers mal-intencionados?

Os hackers éticos usam seus conhecimentos para proteger e melhorar a tecnologia das organizações. Eles fornecem um serviço essencial para essas instituições, procurando vulnerabilidades que podem levar a uma violação de segurança.

Um hacker ético relata as vulnerabilidades identificadas na organização. Além disso, eles fornecem conselhos de remediação. Em muitos casos, com o consentimento da organização, o hacker ético realiza um novo teste para garantir que as vulnerabilidades estejam totalmente resolvidas.

Os hackers mal-intencionados pretendem obter acesso não autorizado a um sistema, banco de dados, etc. (quanto mais sensível, melhor) para ganho financeiro ou reconhecimento pessoal.

Alguns hackers maliciosos destroem sites ou bloqueiam servidores back-end por diversão, para manchar a reputação de uma organização ou para causar perdas financeiras. Os métodos utilizados e as vulnerabilidades encontradas permanecem sem registro. Eles não estão preocupados em melhorar a postura de segurança das organizações.

Que problemas o hacking ético identifica?

Ao avaliar a segurança dos ativos de TI de uma organização, os hackers éticos pensam como se fossem um invasor. Ao fazer isso, eles procuram por vetores de ataque contra o alvo. O objetivo inicial é realizar um reconhecimento, para obter o máximo de informações possíveis.

Uma vez que o hacker ético reúne informações suficientes, eles as usam para procurar vulnerabilidades contra um determinado ativo. Eles realizam essa avaliação com uma combinação de testes automatizados e manuais. Mesmo sistemas sofisticados com tecnologias complexas de proteção podem ser vulneráveis.

Eles não param ao descobrir as vulnerabilidades. Os hackers éticos usam exploits contra as vulnerabilidades, para provar como um invasor mal-intencionado pode tirar vantagem delas.

Algumas das vulnerabilidades mais comuns descobertas por hackers éticos incluem:

• Injection attacks
• Autenticação violada
• Erros de configuração
• Uso de componentes com vulnerabilidades conhecidas
• Exposição de dados sensíveis

Após o período de testes, os hackers éticos preparam um relatório detalhado. Esta documentação inclui etapas para restringir as vulnerabilidades descobertas e as etapas para corrigir ou atenuá-las.

Como é possível ficar sempre à frente dos criminosos cibernéticos, com a quantidade e a variedade sempre crescente dos ataques?

Existem empresas especializadas em segurança cibernética, que fornecem soluções de simuladores virtuais de hackers, que desempenham o papel de um hacker, por exemplo o SafeBreach. Podem ser implantados em segmentos críticos de uma rede, na nuvem e em endpoints, para simular toda a cadeia de violações: infiltration, lateral movement, e exfiltration. Simuladores para cloud, redes e endpoints estão disponíveis.

Esses simuladores executam métodos de violação baseados em registros históricos atualizados periodicamente, para descobrir onde os ataques são bloqueados e onde são bem-sucedidos. As descobertas desses testes são analisadas pelos laboratórios dessas empresas, comparadas e incorporadas a essa base global de registros, com o objetivo de obter informações interessantes sobre a melhor forma de ficar à frente dos ataques.

As descobertas de segurança são usadas para:

• Melhorar a atuação dos sistemas de segurança existentes, otimizando a configuração e garantindo que os controles funcionem em harmonia;
• Minimizar a exposição de segurança devido a erro humano, atualizações e mudanças de políticas;
• Preparar para auditorias, validando a segmentação e outros controles de conformidade;
• Testar planos de alerta e de ação para as equipes de segurança e fornecer treinamento sobre o cenário das violações;
• Obter a racionalização dos investimentos em segurança, provando o ROI que se pode conseguir ao evitar os prejuízos causados pelos ataques.

É preciso adotar uma postura proativa

Não é mais possível somente esperar que o que nos foi vendido funcione como prometido. Não podemos apenas acreditar que as nossas configurações foram feitas de forma correta o tempo todo. Não podemos esperar entender todos os caminhos possíveis, para todas as fontes de dados possíveis em nossos ambientes. Não podemos apenas achar que somos mais espertos do que os criminosos. Nós temos que SABER.

Para antecipar possíveis ameaças, considerando o ambiente em constante mutação, temos que simular ataques contra nós mesmos, sem riscos ou danos, para saber o que está irregular e o que não está. Temos que agir com base nesse conhecimento e desencadear os ataques novamente. De forma contínua. Toda vez que incorporamos um novo produto, toda vez que há uma mudança na rede, toda vez que há uma atualização de configuração.

Tenha a certeza de que, se não validarmos constantemente a nossa segurança, os invasores o farão.[:]