Nicht alle Hacker sind schlecht. Nein, wirklich, es ist wahr! Wir sind nicht der größte Fan von Leuten, die Ihre Daten für schändliche Zwecke stehlen, aber es gibt eine Menge aufrichtiger Leute da draußen, die Hacking-Fähigkeiten für gute Zwecke einsetzen.
Eine dieser Personen ist Agne Marija Bucyte, eine Junior-Ethical-Hackerin bei Baltic Amadeus, die beschlossen hat, ihre Hacking-Fähigkeiten und Computerkenntnisse zu ihrem Beruf zu machen. Als ethische Hackerin ist es Agnes Aufgabe, Unternehmen vor Bösewichten zu schützen und allen zu helfen, die online besser geschützt sind.
Wie ist es in Wirklichkeit, ein ethischer Hacker zu sein? Wie sieht ihr Arbeitstag aus? Und wie kann man ein White-Knight-Hacker werden und ins Feld vordringen? Nun, wir hatten das Glück, mit Agne zusammenzusitzen und alle möglichen Fragen zum Thema ethisches Hacken zu stellen.
Nachfolgend finden Sie alles, was Agne über das Leben als ethische Hackerin zu sagen hatte und wie Sie sich besser vor den anderen Hackern schützen können, die sich der dunklen Seite angeschlossen haben:
Was ist ethisches Hacken? Und wie unterscheidet es sich von allgemeinem, Black-Hat- oder illegalem Hacking?
Der Unterschied zwischen ethischem Hacking und Black Hat, oderillegales Hacken, ist, dass ethisches Hacken mit Erlaubnis und guter Absicht erfolgt.
Angenommen, ich möchte eine lokale Bank-Website testen (um Penetrationstests durchzuführen). In diesem Fall muss ich zunächst eine E-Mail an die Bank senden und die Erlaubnis einholen, nach Schwachstellen oder Datenschutzverletzungen zu suchen. Normalerweise wird ein Vertrag entworfen und eine NDA unterzeichnet. Wenn ich keine solche Erlaubnis zum Durchführen von Penetrationstests erhalte, kann es sein, dass ich in große rechtliche Schwierigkeiten geraten werde.
Hacking ohne Erlaubnis gilt als illegal, auch wenn es sich dabei um eine gute Absicht handelt. Daher ist eine Genehmigung ein großes Muss. Wenn ich Schwachstellen entdecke, muss ich diese der Bank melden und darf sie nicht mit anderen teilen oder in den sozialen Medien bekannt machen. Dafür gibt es die NDA.
Wenn ich also ohne Erlaubnis dasselbe tue, würde das als illegales Hacken gelten.
Von Black Hat spricht man, wenn Sie ohne Erlaubnis und mit böswilliger Absicht hacken. Zum Beispiel, um Datenschwachstellen offenzulegen und ein Lösegeld zu fordern, zu erpressen oder eine politische Agenda voranzutreiben.
Wie erhält man die Erlaubnis, eine Website zu hacken?
Einige Unternehmen veranstalten Hacking-Wettbewerbe, bei denen sie anderen erlauben, bestimmte Teile ihrer Website zu hacken. Beispielsweise veranstaltet die Gemeinde Vilnius, meine Heimatstadt, einen Wettbewerb mit dem Titel „Hack Me if You Can“, um ihre digitale Infrastruktur zu testen.
Wenn Sie als ethischer Hacker in einem Unternehmen arbeiten (wie in meinem Fall), dann beauftragt Sie der Kunde direkt mit der Durchführung von Penetrationstests. In diesem Fall müssen Sie außerdem eine NDA unterzeichnen und alle weiteren relevanten Details regeln. Zum Beispiel, ob Sie während der Arbeitszeit testen können oder nicht. Einige Kunden verlangen, dass die Tests ausdrücklich außerhalb der Arbeitszeit oder speziell am Wochenende durchgeführt werden.
Was ist deine Geschichte? Wie sind Sie überhaupt zum Hacken gekommen? Und wie wurden Sie zum ethischen Hacker?
Meine Geschichte ist ein bisschen „zufällig“. Ich habe Programmiertechnik studiert und gleichzeitig Englischunterricht genommen. Eines Tages gab uns der Dozent die Hausaufgabe, ein englisches Buch zu lesen, das einen Bezug zu unserem Beruf haben sollte.
Meiner Meinung nach hatte ich definitiv nicht vor, ein Buch über Programmiersprachen zu lesen, da ein weiterer Teil der Hausaufgabe darin bestand, anderen Schülern eine Zusammenfassung des Buches zu präsentieren. Also fing ich an zu recherchieren, was ich lesen könnte, was auch für andere Studenten interessant wäre, und fand ein Buch mit dem Titel „Ghost in the Wires: My Adventures as the World's Most Wanted Hacker“ von Kevin Mitnick. Er gilt als einer der berühmtesten Hacker der Welt. Das Buch war seine Autobiografie und es war absolut faszinierend.
Während ich es las, lernte ich, was ethisches Hacken ist. Eigentlich war es der Autor zuerstillegales Hackenund erst später in einen ethischen Hacker „verwandelt“. Seine Geschichte war super interessant und weckte in mir den Wunsch, mich mehr mit Hacking im Allgemeinen zu befassen.
Als ich anfing, als französischer Customer Success Manager bei einem VPN-Unternehmen zu arbeiten, bemerkte ich, dass dort eine Gruppe von 10 bis 15 Personen versammelt war, die sich für Hacking interessierten. Ich meldete mich freiwillig und wurde in die Gruppe aufgenommen. Wir erhielten Aufgaben und trafen uns alle zwei Wochen, um die Aufgabe und die Probleme oder Schwierigkeiten im Zusammenhang mit den Aufgaben zu besprechen.
Nachdem der Kurs zu Ende war und wir das Projekt abgeschlossen hatten, schrieb das Unternehmen eine Stelle für einen Junior-Hacker aus. Ich habe mich beworben, wurde aber nicht eingestellt. Ich wollte jedoch nicht aufgeben, da mir klar wurde, dass die Cybersicherheitsbranche viel zu bieten hat, und ich wollte mehr lernen.
Später bewarb ich mich bei einem anderen Unternehmen um die Stelle als Junior Ethical Hacker und bekam sie. Ironischerweise habe ich meinen Freunden immer gesagt, dass ich mich nie für Cybersicherheit interessieren würde, aber hier bin ich!
Wenn ich mich daran erinnere, dass ich mich ganz am Anfang auch auf viele andere Stellen beworben habe, bevor ich mein erstes Angebot erhalten habe, und nicht einmal einen Job als Verkaufsberater in einem Elektronikgeschäft bekommen habe, erinnere ich mich an ein Angebot: Wenn sich eine Tür schließt, öffnet sich eine andere.
Was sind die Herausforderungen, ein ethischer Hacker zu werden?
Ich würde sagen, dass die größte Herausforderung darin besteht, dass Ethical Hacking nicht wirklich für Anfänger geeignet ist, da es schwierig ist, herauszufinden, wo man anfangen soll, obwohl es online jede Menge kostenloses Material gibt!
Meine Empfehlung an andere wäre, sich eine Art Ethical-Hacking-Zertifizierung zu besorgen. Ich habe zum Beispiel die CompTIA Pentest+-Zertifizierung. Dieses Zertifikat deckt die Grundlagen ab und ist nicht so teuer wieandere Zertifikate.
Was den praktischen Teil angeht, ist es am besten, einen Blick auf die Damn Vulnerable Web Application (DVWA) zu werfen. In dieser Anwendung können Sie den Schwierigkeitsgrad festlegen, alle Arten von Penetrationen üben und den Schwierigkeitsgrad erhöhen, wenn Sie besser werden.
Aus dem, was Sie mir gerade erzählt haben, scheint es, dass die Stelle als ethischer Hacker sehr gefragt sein dürfte. Welche Erfahrungen haben Sie damit gemacht?
Tatsächlich ist die Position als ethischer Hacker sehr gefragt. Es ist sehr einfach, einen Job zu finden, und wenn Sie über die richtige Erfahrung verfügen, erhalten Sie wahrscheinlich fast täglich Angebote auf LinkedIn.
Was war der beeindruckendste Hack, den Sie jemals geschafft haben, und was war Ihre Motivation dahinter?
Aufgrund der NDA kann ich nicht näher darauf eingehen, werde aber versuchen, es vage zu erklären. Ich habe kürzlich eine schwerwiegende Sicherheitslücke in der Datenbank eines Kunden gefunden, mit dem ich zusammenarbeite. Wenn ein Black-Hat-Hacker dies in die Hände bekommen hätte, hätte der Schaden katastrophal sein können, vor allem weil der Verstoß eine Kundendatenbank betraf, die persönliche Informationen enthielt.
Machen Sie in Ihrer Freizeit Hacks?
Ja, wenn ich Zeit finde, suche ich nach Unternehmen, die Hackern außerhalb des Unternehmens Penetrationstests ermöglichen. Ich kontaktiere sie dann bezüglich der Details (Vertrag und NDA). Sobald dies geklärt ist, beginne ich mit der Suche nach Sicherheitslücken und sende die Berichte zurück. Normalerweise sind die Verstöße nicht auf einem hohen Niveau.
Ich muss ein paar wichtige Dinge zu diesen Hacks erwähnen: Ich muss die Verstöße immer dem Unternehmen zurückmelden und darf sie nicht auf Social-Media-Kanälen teilen. Ich kann keine Denial-of-Service-Angriffe (DoS) durchführen, die ihre Dienste stören würden. Ich kann die Schwachstellen, die ich finde, niemals ausnutzen, insbesondere wenn sie sich in den Kundendatenbanken befinden.
Wie verdienst du deinen Lebensunterhalt? Wie sieht Ihr Alltag als Hacker aus?
Wie bereits erwähnt, verdiene ich meinen Lebensunterhalt damit, als ethischer Hacker für ein Unternehmen zu arbeiten. Die Leute denken normalerweise, dass ich den ganzen Tag nur Penetrationstests oder Hacking mache. Dies ist jedoch nicht der Fall. Ich schreibe auch Artikel über Hacking.
Darüber hinaus erstelle ich auch Penetrationstestberichte für Kunden. Das nimmt tatsächlich den größten Teil meines Tages ein. In diesen Berichten muss ich detailliert erklären, wie ich den Angriff durchgeführt habe, wie er repliziert werden kann und was zu tun ist, um ihn in Zukunft zu vermeiden.
Eine weitere große Aufgabe, für die ich verantwortlich bin, istSchulung zur Sensibilisierung für Cybersicherheit.
Darüber hinaus mache ich nach der Arbeit auch Penetrationstests. Das aktuelle Projekt, an dem ich arbeite, ist das Projekt „Hack Me if You Can“ für die Gemeinde Vilnius. Wenn ich mehr Freizeit habe, besuche ich auch HackerOne, wo Unternehmen Listen mit Websites bereitstellen, die Sie legal hacken können.
Zusammenfassend lässt sich sagen, dass mein Tag als Hacker normalerweise aus Penetrationstests, Berichten, Schreiben und der Vorbereitung von Cybersicherheitskursen besteht.
Können Sie uns etwas über Projekte erzählen, an denen Sie derzeit arbeiten?
Ich arbeite derzeit an Cybersicherheitsschulungen für zwei verschiedene Kunden. Eine solche Schulung findet in der Regel einmal pro Jahr statt und ich muss die Materialien, Folien, Tests usw. genau nach den Wünschen des Kunden vorbereiten.
Ein weiteres Projekt, an dem ich arbeite, sind Netzwerkpenetrationstests. Ich suche nach Schwachstellen im Netzwerk und suche nach solchenVerstöße gegen die Netzwerksicherheit. Auch hier kann ich aufgrund der von mir unterzeichneten Geheimhaltungsvereinbarung nicht viele Details preisgeben.
Was sind das Beste und das Schlimmste daran, ein ethischer Hacker zu sein?
Das Beste daran, ein ethischer Hacker zu sein, ist, dass man immer etwas Neues lernt. Der Bereich der Cybersicherheit verändert sich ständig und man kann nie aufhören zu lernen.
Das Schlimmste daran, das ich auch als eines der besten Dinge erwähnt habe, ist, dass es so viele neue Dinge zu lernen gibt und man oft nicht weiß, wo man anfangen soll oder was man lernen soll.
Auch dies ist kein anfängerfreundliches Feld und oft fühlt man sich verloren. Um ein guter Hacker zu werden, muss man sich viel anstrengen und ernsthaft motiviert sein. Oft unterschätzen die Leute diesen Beruf und denken, er sei einfach.
Welche Fähigkeiten benötigen Sie, um ein ethischer Hacker zu werden? Wie kann man sich diese Fähigkeiten aneignen und gibt es Kurse, die Sie empfehlen?
Die wichtigste Fähigkeit, die Sie benötigen, ist die Hacker-Denkweise. Damit meine ich, dass man sehr neugierig sein muss, eine große Liebe zum Detail haben muss und gerne „in die Tiefe gräbt“. Wenn Sie nicht über diese Fähigkeiten verfügen, werden Sie höchstwahrscheinlich keine Schwachstellen finden, da Sie neugierig auf jede einzelne Funktion einer Website sein und diese testen müssen.
Außerdem müssen Sie viel Motivation, Entschlossenheit und Geduld mitbringen, da die Suche viel Zeit und Mühe erfordertSicherheitsverstöße und Schwachstellenauf Websites. Schließlich müssen Sie den Wunsch haben, etwas über ethisches Hacken zu lernen, und bedenken Sie, dass Sie nicht immer erfolgreich sein werden.
Der beste Einstieg ist der Erwerb eines Zertifikats. Sie können aus vielen verschiedenen Zertifizierungen wählen. Mein persönlicher Favorit ist CompTia Pentest+.
Wozu ist ein ethischer Hacker wirklich fähig? Wie ist es im Vergleich zu dem, was die Leute in den Medien hören oder in Filmen sehen?
Mir ist aufgefallen, dass Hacker in den Medien meist als Bösewichte dargestellt werden. Niemand spricht wirklich über ethisches Hacken und seine Vorteile. Man hört nur die schlechten Geschichten.
Allerdings werden Hacker in Filmen oft als die Guten dargestellt. Nehmen Sie zum Beispiel „Mr. Robot“. Hacker werden als Helden dargestellt und machen Lust auf sie.
AndereFilme über Hackingsind „Wer bin ich“ und „Das Mädchen mit dem Drachentattoo“. Diese sind großartig, wenn Sie einen Blick auf das echte Hackerleben werfen möchten und neugierig sind und mehr über ethisches Hacken erfahren möchten.
Natürlich hängen viele Meinungen von der Art der Online-Suche nach Hackern ab. Wenn Sie sich hauptsächlich für Cyberkriminalität interessieren, ist dies die Art von Inhalten, die Sie basierend auf Ihrer Suche am häufigsten sehen werden, aber es gibt auch viele gute Geschichten online.
Ich denke, ethisches Hacken ist im Allgemeinen nicht so attraktiv, wie es normalerweise eine gute oder gewöhnliche Geschichte ist, und das ist wahrscheinlich der Grund, warum viele Menschen sich des ethischen Hackens nicht bewusst sind.
Denken Sie, dass den Menschen vielleicht nicht bewusst ist, wie gefährlich mangelnde Sicherheit im Internet sein kann? Und was sind die häufigsten Sicherheitslücken, auf die Sie stoßen?
Ja, auf jeden Fall. Normalerweise nehmen die Menschen Cybersicherheit nicht ernst, weil sie denken, dass sie nicht wichtig ist oder ihnen nie passieren wird – bis es soweit ist. Außerdem möchten viele Menschen keine Mühe und Zeit investierenCybersicherheit, da sie denken, dass das, was sie tun, bereits ausreicht, was aber meistens nicht der Fall ist.
Meiner Meinung nach ist es besser, aus den Fehlern anderer zu lernen, als das Wertvollste zu habenDaten durchgesickertin Online-Foren aufgrund schwacher Passwörter und mangelndem Bewusstsein für Cybersicherheit.
Die beliebtesten Sicherheitsprobleme bei Online-Nutzern sind Passwörter. Überall werden sehr schwache Passwörter oder die gleichen Passwörter verwendet. Oft ändern sie nicht einmal die Standardpasswörter, die bei der Registrierung angegeben werden. Außerdem wird 2FA von den meisten Internetnutzern nicht häufig verwendet.
Ein weiteres Problem ist Phishing. Die Leute sind sich dessen nicht bewusstWas Phishing istund klicken oft auf zweifelhafte Links in den E-Mails, die sie erhalten. Seitdem die Pandemie begonnen hat und immer mehr Menschen von zu Hause aus arbeiten, haben Phishing-Angriffe deutlich zugenommen. Das Wissen der Menschen darüber war jedoch nicht ausreichend.
Ein weiteres häufiges Sicherheitsproblem sind schließlich Betriebssystemaktualisierungen. Viele Leute ignorieren einfach die neuesten Updates und sind dadurch viel leichter Sicherheitslücken ausgesetzt. Stellen Sie sicher, dass Sie Ihr Betriebssystem aktualisieren, sobald es neue Updates gibt.
Noch einmal, der einfachste Hack wäreErhöhung der Passwortstärke. Das gebräuchlichste Passwort sind Personennamen oder Städte. Solche generischen Passwörter sind einfache, weiche Ziele.
Auch nach Datenschutzverletzungen ändern Menschen ihre Passwörter nicht, wenn Passwörter offengelegt werden, beispielsweise bei der LinkedIn-Sicherheitsverletzung im Jahr 2012. Sie bleiben anfällig für Hackerangriffe, vor allem dann, wenn sie überall dasselbe Passwort verwenden.
Was machen Menschen falsch, wodurch sie Hackern ausgesetzt sind? Welche Tools oder Tipps würden Sie empfehlen, um normalen Menschen dabei zu helfen, online sicher zu bleiben?
Sie verwenden überall schwache Passwörter oder die gleichen Passwörter oder aktualisieren ihre Passwörter nach Datenschutzverletzungen nicht.
Mein Tipp an andere wäre, sich besser über Cybersicherheit und Phishing-Angriffe zu informieren und immer zu nutzenstarke Passwörter.
Ich empfehle, auf HaveIbeenpwned.com zu überprüfen, ob Ihre E-Mail-Adresse, Ihr Passwort oder Ihre Telefonnummer kompromittiert wurden, und an den ESET-Webinaren zur Cybersicherheit teilzunehmen.
Außerdem gibt es auf YouTube zahlreiche Informationen zum Thema Cybersicherheit. Alles ist super leicht zugänglich, wenn Sie mehr erfahren möchten!
Versuchen Sie das nicht zu Hause!
Wenn Sie kopfüber in die Welt des Hackens eintauchen, ohne Recht und Unrecht zu unterscheiden, könnten Sie in große Schwierigkeiten geraten. Wenn Sie sich mit ethischem Hacking befassen möchten, folgen Sie Agnes Rat und lassen Sie sich zertifizieren.
Es gibt viele böswillige Hacker, aber es gibt genauso viele gute Hacker, die daran arbeiten, das Internet zu einem besseren und sichereren Ort zu machen. Mit leidenschaftlichen und fähigen ethischen Hackern wie Agne an der Spitze und sicheren Online-Diensten wieInternxtWenn das Internet zum Mainstream wird, sollten wir es in kürzester Zeit aufgeräumt haben!