Per spiegare cos’è l’hacking etico è necessario partire dalle origini, provando per un attimo a rimuovere dalla nostra mente l’immagine cinematografica di una persona incappucciata che batte velocemente su una tastiera, da una stanza in penombra.
Cominciamo dall’etimologia della parola “hack”. Il dizionario Collins riporta alla voce “To Hack” questo significato: “to cut or chop (at) irregularly, roughly, or violently”. Tradotto nella nostra lingua, significa “tagliare in maniera irregolare, grossolana o violenta”.
In questo senso si capisce come il termine “hacker” sia stato utilizzato in campo informatico per la prima volta negli anni ‘60: gli hacker erano infatti quei professionisti che erano in grado di modificare (tagliando appunto) i codici macchina in eccesso nei programmi, per renderli più veloci e performanti. Erano delle eccellenze prestate al progresso, oserei dire…
Con il progresso dell’informatica, il termine hacker si è evoluto ed è stato attribuito a professionisti con una conoscenza avanzata di computer, reti, hardware in generale o programmazione.
Oggi un hacker è quindi un individuo altamente qualificato in programmazione informatica, che utilizza le proprie competenze per “tagliare” (o, termine a noi più familiare, “bucare”) i sistemi informatici di terze parti. Il cinema e le cronache ci restituiscono l’immagine di grandi aziende e fonti governative vittime di attacchi informatici. La realtà è però molto meno poetica e il tentativo di accesso non autorizzato avviene anche nei confronti dei comuni mortali ovvero dei liberi professionisti, delle PMI, delle scuole, degli ospedali e delle industrie. Non esistono categorie sicure, nel World Wide Web.
Si dice che violare un sistema di sicurezza richieda più intelligenza e competenza che crearne uno. Questo perché il sistema è creato da più competenze (lo sviluppatore software, il sistemista, il fornitore di connessione dati, i produttori dei vari componenti hardware e così via), ma è bucato da un unico professionista.
White hat e black hat: hacking etico e hacking criminale.
Oggi gli hacker criminali (chiamati “black hat”) non necessariamente hanno competenze approfondite come un tempo e spesso acquisiscono in rete o acquistano script e programmi software progettati specificamente per introdursi all’interno delle reti aziendali.
Sono in grado di creare falle di sicurezza all’interno dei sistemi aziendali, rubare credenziali di accesso, informazioni finanziarie e altri tipi di informazioni sensibili. Sono in grado di intercettare le attività dell’utente prescelto e inviare comunicazioni a suo nome, magari impartendo false disposizioni ai collaboratori (per esempio, assumere l’identità del dirigente aziendale e inviare disposizioni di pagamento – a beneficio del criminale – al reparto amministrativo). Possono installare malware, essere responsabili di distruzione o furto di dati o dell’interruzione dei servizi di un’organizzazione (per esempio, interrompere i processi di produzione di una qualsiasi azienda).
Un’altra categoria di hacker sono quelli “dal cappello grigio”. Spesso studenti o appassionati di informatica che amano mettere alla prova le proprie competenze e sfidare sé stessi nell’accedere a informazioni riservate di terzi. Non lo fanno con intenti criminali e non traggono profitto da questa attività (che è comunque illecita!), ma possono creare ingenti danni all’interno dei sistemi.
Per far fronte al crescere di queste figure con intenti criminali o che comunque compiono attività illecite, si è diffuso il termine hacking etico, che identifica i professionisti (hacker etici appunto, detti “white hat”) esperti di informatica, altamente specializzati, che lavorano dietro mandato delle aziende di ogni dimensione, sia pubbliche che private, al fine di individuare i buchi di sicurezza.
L’hacker etico, un mestiere non improvvisato.
Gli hacker etici utilizzano le loro competenze tecniche per analizzare le difese dal punto di vista della sicurezza informatica. Non esistono strumenti preconfezionati di cybersecurity, per questo motivo quello dell’hacker etico è un mestiere di alta specializzazione e poco diffuso.
Gli hacker etici studiano le evoluzioni dei rischi informatici, compresi quelli nel dark web e sono in grado di anticipare le attività dei black hat. I professionisti di Cyberment, per farvi un esempio, stanno studiando oggi quella che sarà l’evoluzione degli attacchi informatici da qui a tre anni. L’obiettivo è quello di fornire ai clienti gli strumenti per coprire i buchi di sicurezza prima che gli hacker criminali possano sfruttarli.
Quella dei White Hat è l’unica attività hacker considerata legale, in quanto avviene su commissione dell’azienda ed è finalizzata alla ricerca delle falle di sicurezza, senza un intervento dannoso per la rete aziendale. Questo è uno dei motivi per cui gli hacker etici di Cyberment sono in grado di analizzare reti e web con il Vulnerability Assessment e, in caso di vulnerabilità gravi, intervenire con tecniche di penetration test. Il Vulnerability Assessment è un’analisi delle vulnerabilità List Oriented, cioè finalizzata ad individuare tutti i punti deboli della rete o del sito, il Penetration Test è invece Goal Oriented, ovvero cerca di raggiungere un unico obiettivo, per esempio trafugare un determinato dato.
Per concludere, un aspetto importante e in linea con l’indirizzo di Cyberment, è quello che la contraddistingue come azienda etica certificata, perché essere etici e agire in modo etico è un modo di essere e Cyberment lo è non solo per quel che riguarda l’attività dei suoi hacker, ma per tutta l’attività aziendale.
