Sådan angriber ‘den hvide hacker’ din computer

Ikke alle hackerangreb har som formål at stjæle dine penge, dine personlige informationer og andre værdifulde datasæt, som nødigt skal falde i de forkerte hænder.

For der findes også hackere, der forsøger at bryde ind på dit firma-netværk og ultimativt i din computer i den gode sags tjeneste. Disse hackere – som i virkeligheden er sikkerhedsfolk – går under betegnelsen ‘white hat hackers’ eller ‘etiske hackere’.

De hvidhattede hackere forsøger at finde svaghederne i dit it-forsvar, så det kan styrkes til næste gang, nogen forsøger at snige sig under radaren og ind på din pc, Mac eller smartphone.

Sådan en hvid hat-hacker er Can Deger, som i dag arbejder som teknisk konsulent hos Intel-sikkerhedsfirmaet McAfee.

“Forskellen på mig og en black hat-hacker er, at jeg arbejder for det angrebne firma, og jeg dokumenterer alt undervejs. Det har de it-kriminelle slet ikke tid til eller ønsker om. De vil bare ind og ud så hurtigt som muligt,” siger Can Deger.

De små ved det ikke
Inden han kom til Danmark for tre måneder siden, arbejdede han som penetrationstester i Mellemøsten, og her var det ikke småting, der blev fundet på kundernes maskiner.

“Omkring 80 procent af kundernes computere havde sårbarheder til cross site scripting eller SQL injections,” siger Can Deger.

Udover sit professionelle arbejde som tester, har han i sin fritid tjent flere tusinde kroner ved at finde it-snask hos LinkedIN og hos Google igennem disse to online-giganters dusørprogrammer.

Can Deger vurderer, at omkring 40 procent af danske virksomheder har lignende sårbarheder liggende på deres webservere.

“Problemet kan sagtens være mere udbredt, da de små virksomheder sjældent betaler for at få deres systemer tjekket med en penetrationstest,” forklarer han.

Danske sikkerhedsfolk fortæller til Computerworld, at omfanget af de sårbarhedsramte servere hos de store selskaber i Danmark formentlig ligger noget lavere – omkring 20 procent.

Det skyldes, at disse typer virksomheder har fasttømrede procedurer for, hvordan applikationer bliver testede, inden de ryger i produktion.

Angriber på to måder
Can Deger har i sin tid som white hat-hacker kontrolleret større virksomheder, der er ISO 27001-certificerede, hvilket blandt andet betyder, at de har indvilliget i at lade deres systemer teste to gange om året.

Her er det alt fra betalingssystemer, webservere, databaser, mainframes og slutbrugernes computere, der bliver kigget efter i sømmene.

“Hvad de skal have kontrolleret, afhænger af deres egne behov og den metode, som de vil have testet på,” fortæller Can Deger om livet som penetrations-tester i den gode sags tjeneste.

Overordnet bestiller virksomheder enten et ‘black-box-angreb’ eller en sårbarhedstests.

I sårbarhedstesten får Can Deger alle tilgængelige informationer om virksomhedens it-sikkerhed, dens netværksdiagrammer, IP-adresser og de områder, der skal kontrolleres for sårbarheder.

Ved black box-angrebet er det som at træde i den ondsindede hackers fodspor, da Can Deger går til angreb uden at vide noget om virksomheden i forvejen.

Må på det mørke net
Derfor indleder han typisk black box- angreb med at sende mails til medarbejdere i virksomheden, så han kan få yderligere informationer om dens IP-adresse og eventuelt finde svage led i form af medarbejdere, der er villige til at klikke på skadelige links.

“Vi tonsvis af værktøjer til den slags angreb, og nogle gange er det nødvendigt også at besøge den mørke side af nettet,” fortæller Can Deger.

Med den mørke side mener han it-forbrydersites, hvor der er oplysninger om de nyeste exploits, så han kan være på samme informationsniveau som de hærdede it-kriminelle.

“Vi ser en tendens med angreb på store SCADA-systemer og senest en masse svagheder med SSL-protokollen, som efterhånden er død til fordel for TLS,” siger Can Deger om nogle af de nyeste trends.

Samtidig påpeger han, at trods SQL injections mere end 10 årige historie har vist sig, at selv ældre sikkerhedstrusler kan være meget potente, hvis ikke man er opmærksom. 

Læs også:
Seks ting du kan lære af den seneste tids vilde hacker-sager