Когато Ашер Де Метц влиза в супермаркет, никой не подозира,

Когато Ашер Де Метц влиза в супермаркет, никой не подозира, че е дошъл там, с цел да направи грабеж. На рамото си носи торбичка за многократна приложимост, само че в нея се крие чанта за преносим компютър. Никой не знае какво ще последва, множеството продавачи маркират артикули, други поправят цените и зареждат рафтовете. Де Метц влиза в магазина, заобикаля щандовете и влиза в IT отдела, където открива други хора, които към този момент са отворили своите компютри. Това е неговата подготвителна сесия. Това е мястото, където той също може да се скрие пред погледа на всички и да се опита да отвлече машина.

Де Метц смъква интернет кабела на един от локалните компютри и го поставя в своя преносим компютър, никой не обръща внимание. Занимава се с кражба на данни, пробив на системата и добиване на скъпа информация. По неговите думи, това е нормална процедура и не изисква доста старания, изключително за хакери, които са вложили целия си живот в това изкуство. Докато работи върху своя демоничен проект, един от чиновниците на магазина ще го изгледа необичайно и ще го попита какво прави.

Ашер се усмихва и изяснява, че е тук, с цел да конфигурира нов програмен продукт и няколко ъпдейта, изпратен е от централния офис. Историята наподобява доста достоверна, само че откакто служителката не знае за сходни проекти, звъни на своята супервайзърка. Това е моментът, в който Ашер взема решение да напусне магазина. Затваря преносимия компютър си и си потегля. Въпросната служителка осъзнава, че е изпратена за зелен хайвер и хуква след него. Хакерът тича по стълбите, отваря една от вратите на задния вход и задейства алармата. Ашер се пробва да избяга, само че кодът на магазина изисква всички порти да се заключат. Един от касиерите съумява да го спре и да го попита какво прави. Метц има отговор и съвършено оправдание, той е разпечатал цяла директория с документи, които демонстрират какви са отговорностите му към тази верига.

Представя се за корпоративен чиновник, който би трябвало да отбрани системата им от хакерски офанзиви. Погледът му е стоманен, когато декларира:

„ Знаете ли, че нощес има пробив от вашата мрежа? Милиони бяха откраднати. “

Супервайзърът е безапелационен, че никой не го е известявал за сходни офанзиви. Двамата се съгласяват да създадат един диалог и да потвърдят случилото се по отношение на сигурността на магазина.

Част от историята на Де Метц в действителност е вярна, той е нает от магазина, с цел да увеличи сигурността и да предотврати бъдещи проблеми. Друга дребна детайлност е, че хакът е изработен точно от него, а той самият не е откраднал и цент. Собствениците са се свързали с него, с цел да видят дали в действителност може да ги хакне. Както се оказва, работата му е брилянтна и се е справил без особени усложнения. С това може да даде и съответен отговор по отношение на равнището на сигурност – плачевно е.

Де Метц работи като съветник по сигурност в компанията Sungard Availability Services, световен софтуерен колос в този бранш. Зад гърба си, хакерът има повече от 20 години в областта на проникването, като незабавно след сполучлив пробив, оповестява на някои от най-големите си клиенти, че могат да се постараят повече. Занимавал се е с компании от Северна Америка, Европа, Англия, Близкия изток и Азия.

„ Причината множеството компании да се съгласяват на такива хакове е, че те самите не схващат нищо от софтуерна сигурност. Може да наемете най-големият екип от вътрешни експерти и отдел за сигурност, да се стараете неведнъж да подсигурите системата си, само че все пак не знаете какво следва, когато системата е нападната. В 9 от 10 случая, екипът даже не знае по какъв начин да реагира, моята работа е да открия малките врати, които са пропуснати, тъй като фирмите не могат да си разрешат да ги поемат. “

Де Метц има единствено една задача, да открие слабостите на софтуера, преди да го създадат хакерите. Това се трансформира в един от най-бързо разрастващите се бизнеси. Изследване на IBM за вредите от пробив на системата, направено през 2017 година, показва една доста черна статистика – 60% от дребния и междинен бизнес е нападна точно по този метод. Още по-лошото е, че тъкмо толкоз е процентът на затворените порти след една такава офанзива. Средната цена на една хакерска офанзива коства на бизнеса към 3.62 милиона $.

Статистиката не става по-розова. В рамките на първите 6 месеца от 2021 година, броят на бизнеси, атакувани от най-различни софтуери за откуп, се е удвоил по отношение на 2020 година Това е програмен продукт, който блокира цялата система, изисква избрана сума и едвам тогава стартира да работи като преди. Една компания е подложена на офанзиви към 800 пъти на година, а при отвод, информацията ѝ излиза в общественото пространство.

Това е повода да се търсят хакери, които да вършат проби за пенетрация, назовават ги бели хакери. Де Метц е един от тях и постоянно знае по какъв начин да си свърши работата.

„ Това е нещо като застрахователна лавица. Ако компанията харчи пари за сигурност, то най-вероятно ще спести сред 10 и 100 милиона $ при възможна сполучлива офанзива. Това икономисва и главоболия през идващите месеци, които сигурно се отразяват върху опцията им да работят обикновено. “

Друга причина за наемането на бял хакер е да се подсигурява високо равнище на сигурност. Най-честите клиенти са лечебни заведения, финансови организации, държавни институции, както и доста други. Всички са задължени да дават отговор на най-високия стандарт пред държавното управление, затова този тип бизнес съществува най-често в Съединени американски щати, където цифровият свят знае какво в действителност е належащо.

Повечето хора си показват хакера като един уединен боец, който постоянно се насочва към персоналната информация на една компания, до момента в който стои на безвредно разстояние от самата промишленост. Истината е, че пенетрацията би трябвало да се случи физически и на място, където има разкриване на техническите точки. В множеството случаи един хакер се намира непосредствено в организацията и знае доста добре какво би трябвало да направи.

„ Компаниите не желаят да оставят нищо на масата, това също е тип уязвимост. При тестването на физически контроли, можем елементарно да влезем в една постройка, да преминем през защитата и да излезем през задната врата? Въпросът е дали можем да вземем физическите файлове? Можем ли да преминем в зоните, където фирмите вършат кредитни карти или вършат разнообразни карти за дарове?„

Това са сериозните места, където Де Метц се пробва да пробие, техническата част е свободата и лекотата да влезе в една компания и да събере нужната деликтна информация.

Хакерът дава и препоръки, тренира чиновниците, с цел да знаят какво да вършат, когато някой би трябвало да се верифицира и показа за фрагмента с достъп до избрани равнища. Съществува и сериозна методология, в случай че един чиновник не може да бъде разпознат. По негови думи, всичко това е занимателна игра, само че постоянно има позитивен и верен резултат върху протичащото се.

За да се организира пробата, хакерът би трябвало да има доста детайлна информация по отношение на употребяваната технология. Това идва с трупането на опит, а не с потреблението на някакви съвременни джаджи, каквито сме виждали във филмите на Джеймс Бонд.

„ Пенетрацията се случва с разбирането и интеракцията на технологията – да знаете тъкмо по какъв начин тя работи. Съществува цяла методология с разнообразни принадлежности, които да оформят боравенето, това не е просто някакъв код, който да се копира и вратите да се отворят. “

Веднъж откакто Метц влезе в системата, той стартира да търси три съществени детайла: къде може да влезе, какви софтуерни версии са употребявани и дали системата работи вярно.

„ Можем ли да познаем една ключова дума? Можем ли да открием други способи за влизане? Може ли този програмен продукт да има слаби страни, които да се експлоатират. Възможно ли е това да е вратата за инсталирането на вирус. Някои дупки могат да се открият на най-странни места, което изненадва още повече моите клиенти. Често те не са оставени инцидентно там. “

Екипът по сигурност нормално ревизира дали системата е била атакувана, пенетраторът ревизира дали самата система работи.

Той може да се показа като човек, който гледа лабиринта от птичи взор и търси изхода. Понякога казусът може да бъде не просто една остаряла система, а цялостна оптимизация и възстановяване. Това е работата на белия хакер, да открие всички слаби звена и да уточни по какъв начин се взема решение казусът.

Много дребни и междинни бизнеси се борят със зъби и нокти да открият по-добра и сигурна инфраструктура. Ето за какво и белите хакери стават толкоз известни в наемането. Дори Фейсбук влага милиони в търсенето на най-хубавите в тази сфера. Те даже имат цяла стратегия, с която заплащат за разкриването на дупки в сигурността. Съдейки по слабото показване, явно цената не е толкоз добра.

Метц постоянно участва и в някои подкасти, като споделя трагични истории от опита си. Неговият опит е да забавлява слушателите си, само че също по този начин да потвърди каква стойност имат белите хакери и за какво техните услуги са от извънредно значение. Често може даже да не разберете, че хакерите са към вас, само че когато компанията получи окончателния отчет, няма по какъв начин да пропуснете истината. Ето за какво инвестицията в сигурност е от такова значение.