Sombrero blanco (seguridad informática)
| ||||||||
Sombrero blanco (seguridad informática). El término sombrero blanco en Internet se refiere a un hacker (o pirata informático) ético, o un experto de seguridad informática, quien se especializa en pruebas de penetración y en otras metodologías para asegurar la seguridad de los sistemas informáticos de una organización.
También se refiere a hackers que no son agresivos. Un hacker ético es un término inventado por IBM. Es utilizado para diferenciar a los piratas informáticos que actúan sin malicia de los que sí, los cuales son más conocidos como crackers o hackers de sombrero negro. Los hackers de sombrero blanco también suelen trabajar en grupo conocidos como sneakers o fisgones, equipo rojo, o equipo tigre.
Los hackers de sombrero blanco buscan, descubren e investigan agujeros de seguridad en el software. Son, para entendernos, los buenos. Cuando descubren una vulnerabilidad la notifican a la empresa o la hacen pública para que así el agujero pueda ser parcheado. Son altruistas, ya que su motivación es la de buscar, localizar y arreglar los posibles fallos de seguridad en el código. Suele decirse que los hackers de sombrero blanco se conforman con el agradecimiento de la empresa cuyo software parchean y que en casos excepcionales aceptan una camiseta o un bolígrafo de la marca.
Sumario
Historia
Uno de los primeros casos en los que se implementaron las habilidades de los hackers éticos fue en la evaluación de seguridad realizada por la Fuerza Aérea de los Estados Unidos con el sistema operativo Multics. Con ello descubrieron que Multics era «significativamente mejor que otros sistemas convencionales». Sin embargo, se demostró que también contaba con vulnerabilidades de seguridad tanto en su hardware como en su software, las cuales podían ser aprovechadas con «un nivel relativamente bajo de esfuerzo».
Los hackers de sombrero blanco realizaron sus pruebas bajo una directriz de realismo, de modo que sus resultados contaran con mayor exactitud. Utilizaron pruebas sencillas y con poca información, incrementando el nivel de agresividad progresivamente, hasta llegar a ataques al sistema tan agresivos que podrían haber puesto en peligro la integridad del sistema. Claramente, su audiencia quiso saber ambos resultados.
La idea de traer a hackers éticos para evaluar la seguridad de sistemas fue formulada por Dan Labrador y Wietse Venema con el objetivo de subir el nivel global de seguridad en internet y las intranets, ya que demostraron cómo eran capaces de reunir bastante información sobre su objetivo y muy posiblemente llegar a comprometer su seguridad.
Proporcionaron varios ejemplos concretos de cómo esta información podría ser reunida y explotada para obtener control del objetivo, además de mostrar cómo un ataque podría ser impedido. Reunieron las herramientas que utilizaron durante su trabajo, las implementaron en un paquete y las dieron a quien quisiera descargarlas de su sitio. Su programa, Herramienta de Administrador de Seguridad para Analizar Redes (SATAN por sus siglas en inglés), se dio a conocer en todos los medios del mundo durante 1992.
Un problema creciente
El número de ataques cibernéticos cada año sigue en aumento, y los diferentes tipos de ataques cibernéticos siguen proliferando. Symantec reporta que “descubrieron más de 430 millones de nuevas piezas únicas de malware en 2015, un aumento del 36 por ciento en comparación al año anterior. “Ransomware, ataques watering hole, eventos Black Swan, el efecto mariposa, y spear phishing son sólo algunos de los tipos de ataques cibernéticos que Symantec menciona en su Informe sobre Amenazas a la seguridad del Internet en 2016. Estos ataques a menudo apuntan a las vulnerabilidades de día cero – vulnerabilidades en el software que los desarrolladores y las administraciones no saben que existen hasta que se utilizan como base para un ataque cibernético.
Táctica
Las pruebas de penetración se centran en atacar el software y los sistemas de computadoras, pero también los puertos abiertos en la red, examinando defectos a la hora de haber instalado el sistema o identificando fallos de seguridad. Un hacker ético lo haría enviando correos al personal para pedirles detalles de sus contraseñas, hurgando en las papeleras de los ejecutivos, y generalmente entrando en los sistemas, sin el permiso o consentimiento de los objetivos. Solo los dueños de las empresas, el director general y miembros del Consejo de Dirección que hubieran pedido este tipo de revisión de seguridad sabrían lo que está sucediendo. En los casos más recientes, estos trabajos tienen un plazo largo (semanas a meses). Algunos ejemplos incluyen dejar una memoria USB con malware en áreas públicas que frecuenten los empleados, para que parezca que alguno perdió la memoria USB y un empleado confiado lo encuentre.
Otros métodos de llevar a cabo esto son:
- Ataques de denegación de servicio
- Tácticas de ingeniería social
Escáneres de seguridad como:
Entornos de trabajo como:
Lista de sombreros blancos
- Eric Corley
- Przemysław Frasunek
- Raphael Gris
- Barnaby Jack
- Kevin Mitnick
- Robert Tappan Morris
- Kevin Poulsen
- Anand Prakash
