מה זה בודק חדירות – Penetration Tester

מה זה בודק חדירות

ההגדרה הבסיסית של האקר היא מי שמשתמש במערכת המחשב כדי לקבל גישה לא מורשית למערכת אחרת עבור נתונים, או מי משבש או שגורם למערכת להיות לא זמינה.

מרבית ההאקרים בעולם, עושים שימוש בידע לצורך עבודתם כ"בודקי חדירות" (האקר לבן), לשם איתור נקודות תורפה לפני שנקודות אלו יימצאו וינוצלו לרעה על-ידי אחרים. אחרים, ישתמשו בכישורים שלהם לשם גניבת כסף או שווה כסף או מידע, או לשם השגת תהילה, או ממניעים פוליטיים.

כשם שבודקי חדירות עשויים לעבוד בצוות, גם פושעים נוהגים לעיתים לעבוד בצוותים, וכך גם ארגוני טרור ובמיוחד – ארגוני ביון. יכולותיהם של האחרונים הן אדירות. כאשר ארגון ביון מחליט לתקוף מטרה, קשה מאוד להשקיע מספיק משאבים על מנת להגן עליה.

מאידך, כדי למנוע התקפות של האקר בודד, נדרשת סדרת פעולות יקרה, אך אפשרית, כדי לגרום להאקר-פושע לחזור בו מניסיונותיו, ולהפנות את מאמציו לעבר מטרה קלה יותר.

כישורים וידע בסיסי נדרשים

מערכות מידע ומחשבים הם עניין מורכב, ולצורך הבנתם, נהוג לחלק את הידע לשכבות (לגובה) ולתחומים (לרוחב). עמוק למטה יש "ברזלים". מעליהם – תכנה הצרובה בברזלים, מעליהם – מערכת הפעלה, ומעליה – אפליקציות (יישומים – השכבה השביעית) הכתובות בשפות תכנות שונות, ומעל כולם – האדם המפעיל או המשתמש (השכבה השמינית). בין כל אלו – לרוחב ולגובה – קיימת תקשורת ענפה, בתוך המחשב, מחוצה לו בין מחשבים קרובים פיזית, ובין סניפים, ערים, עולם האינטרנט הציבורי וכו'.

למערכות מידע אלו, קיימות לעיתים נקודות "ניטור" ו"טבעות אבטחה" מגוונות ומתוחכמות.

בנוסף, המחשבים עצמם כמעט שלא עושים טעויות. אנשים עושים טעויות. בין אם בתכנון המחשב, בין בתכנון התוכנה, ובין כמשתמשים במחשב. אנשים, ורק הם, מתכננים תכנה ומפעילים מחשבים. לכן, מרחב הכישורים הנדרש מרשים:

• תפישה מהירה
• סקרנות
• עיקשות
• יצירתיות
• מניפולטיביות

האקרים צריכים לדעת המון. יסודות חומרה, מערכות הפעלה, טופולוגיות ופרוטוקולי תקשורת, שפות תכנות, מסדי נתונים, יישומים, שיטות ואמצעי הגנה, הרגלי אנוש ושגיאות נפוצות. את כל אלו – האקר צריך להכיר מקרוב.

כדי להכשיר האקר, יש לבחור באלמנטים הנפוצים ביותר שבהם צפוי האקר להיתקל בשנותיו הראשונות. את השאר – ילמד "על הדרך".

אחד האלמנטים המהותיים ביותר, הוא לפתח מיומנויות במה שנקרא "הנדסה חברתית" (Social Engineering). הנדסה חברתית כרוכה בהשגת אמון של המשתמשים ובעלי ההרשאות של רשת המחשב ובמניפולציות הנדרשות כדי להשיג אמון בדרך לקבל גישה אל משאבים אלו. האקר עשוי לקבל גישה פיזית לחדר שרת, לדוגמה, על ידי הצגת מצג שווא בפני העובדים בבניין, או גישה לרשת על ידי שכנוע משתמש לתת לו את הסיסמה שלו.

כדי להתגבר על ההיקף ה"בלתי נגמר" של נושאים, נדרשים כישורי קליטה מהירים.

דרישות הסמכה

ההסמכות הבינלאומיות הקיימות כיום בעולם הנן מסחריות, ומתקשות לבדוק בפועל את יכולתו של בודק חדירות, שכן עבודתו מבוססת על פרקטיקה, ואין משמעות מהותית לבחינת ידע תיאורטי. ההסמכות הקיימות הן:

CEH (Certified ethical hacker), OSCP (Offensive security), SANS, HDE (Hacking Defined Experts).

הסמכת CEH היא הקלה שבהן, תיאורטית למדי, ואינה מקנה מקצועיות גבוהה.

הסמכת HDE עמוקה וקשה, מחייבת 4 חודשי לימוד, אך מיועדת רק לבעלי רקע ב-IT או רקע  בפיתוח. בסוף תכנית ההסמכה מתקיים מרתון קשה בן 9 שעות רצופות שנקרא HDE-CTF: Hack & Beer. בוגרי הקורס יכולים בקלות יחסית לגשת גם למבחן CEH, ולאחר הכוונה – גם למבחן OSCP שנחשב קשה יותר, ומבחן ההסמכה שלו נמשך 24 שעות. מבחן OSCP או הקורס – אינם מיועדים בשום אופן למתחילים.

סוגי האקרים

White Hat – האקרים מהסוג הטוב, הידועים גם בשם "בודקי חדירות". מדובר באנשים עם ידע טכני נרחב שמשתמשים בו למטרות בדיקת תשתית, אפליקציה או אתרים, למצוא את החולשות הקיימות בהם ולכתוב דו"ח המלצות מפורט למזמין הבדיקה, על מנת שיוכל לתקן את הסכנות לפני מימוש זדוני שלהן.

Black Hat – האקרים בכובע שחור הם פושעי סייבר, המנצלים את הידע הטכני שלהם על מנת למצוא חולשות קיימות במוצר או תשתית ולהשתמש בממצאים האלו על מנת להשיג רווח אישי או למטרת זדון והרס ממניעים שונים, בין אם באופן אישי או כשליחים על ידי מזמין עבודה צד-שלישי.

Grey Hat – מדובר באדם שבדרך כלל, נמנה עם הטובים ושומר על החוק, אך מדי פעם יכול לבצע פעולות בלתי חוקיות, לרוב כאלו שנחשבות "על התפר הדק" בין חוקי לפלילי או אפילו מעשים פליליים חד משמעיים.

Script Kid – מדובר באנשים ללא ידע טכני נרחב, שלא מכירים את השיטות ואת הטכנולוגיה על בוריה אלא משתמשים בכלים מוכנים ומסתמכים על אוטומציה שלא בנו על מנת לבצע תקיפת סייבר מכל סוג. כאשר משהו יסתבך בדרך התקיפה בגלל קוד שצריך התאמה אישית או כלי שיפסיק לעבוד, הם לא ידעו איך להמשיך משם.

Hacktivists – מדובר בהאקרים הפועלים ממניעים אידיאולוגיים בלבד כנגד ארגונים או מדינות, שאינם מסכימים עם דרך הפעולה שלהם וחושבים שהם מפלים לרעה אוכלוסיות או פוגעים בהן ללא הצדקה. האקרים מסוג זה ילוו במעשיהם בתחושת גאווה ושליחות.

Nation State Hackers – סוג תוקפי סייבר מסוכן מאוד ואלים. מדובר בקבוצות הממומנות על ידי מדינה עם מטרות מאוד ברורות ורחבות היקף, בדרך כלל כנגד מדינות אויבות. החברים בקבוצה יהיו בעלי מימון בהיקף גדול מאוד, בעלי ידע טכני ברמה יוצאת דופן ובעלי תוכניות גרנדיוזיות שיעשו Impact שיכול ועלול להשפיע בהיבט פוליטי מדיני (למשל פעילות של קבוצת תקיפה המזוהה עם רוסיה שניסתה לבצע הטיית בחירות והשפעת תודעה רחבת היקף).

Insider – אולי סוג התוקף הכי משמעותי ומסוכן בתחום הסייבר, במיוחד לארגונים. כאשר ארגון סומך על העובדים שלו בביצוע משימותיהם ומקצה להם משאבים על מנת לבצע את עבודתם, הוא מסיר מראש את מרבית המגננות שלו מפני התוקפים שבחוץ. כאשר עובד מנצל את האמון שניתן בו על ידי אותו ארגון ומחליט לגנוב מידע או לגרום לנזק, הוא כבר "עבר מראש" את רוב ההגנות שנועדו בדיוק למניעת הפעולות הללו.

"דרגות" במקצוע בודק חדירות

קיימות דרגות יכולת וידע, אך הן אינן רשמיות. הפערים בין האקרים באים לידי ביטוי בכישוריהם הטבעיים, ברוחב השליטה בידע (כמות הנושאים), בעומקם, ובהתמחויות השונות (התעמקות בנושא ספציפי).

לכן, לוותק ולניסיון משמעות רבה מאוד במקצוע זה, לצד הקליטה המהירה.

עם זאת, רצוי מאוד לפרסם בטופס קורות החיים את הסמכות HDE ו-OSCP.