Ne každý hacker je zločinec: jak se vyznat v druzích hackerů

Kolem hackerů koluje nekonečná řada infografik - barevné tabulky, které je rozdělují na bílé, černé, šedé, červené, zelené, modré klobouky a kdovíjaké další. Každý příspěvek to má trochu jinak a některé ty kategorie znějí spíš jako herní třídy než jako reální protivníci. Přesto mají jednu zásluhu - laikovi dojde, že "hacker" není jedna profese, ale celá scéna s protichůdnými motivacemi. To je dobře, protože v hlavě většiny lidí pořád platí rovnice hacker = mikina s kapucí = kyberzločinec.

Ve skutečnosti slovo hacker vůbec neříká, jestli je člověk zločinec. Rozhoduje něco úplně jiného: jestli má souhlas majitele systému. Živím se tím, že cíleně napadám systémy svých klientů - legálně, na základě smlouvy a s jejich vědomím. Podle té lidové rovnice bych byl zločinec. Podle reality jsem přesný opak. Tak jsem si řekl, že to jako opravdový hacker uvedu na pravou míru. Co z těch barevných škatulek dává smysl, co je jen marketing a co vlastně dělá někdo jako já?

Odkud se vzaly "klobouky"

Rozdělení na bílé, černé a šedé klobouky pochází ze starých westernů, kde kladné postavy nosily bílý klobouk a padouši černý. Je to jediná osa, která má univerzální platnost, protože nepopisuje techniku ani motivaci, ale jedinou věc, na které v našem oboru právně záleží: autorizaci.

White hat pracuje se souhlasem majitele systému. Nejčastější podobou téhle práce je penetrační test: firma si najme někoho, jako jsem já, aby se do jejích systémů reálně pokusil dostat dřív, než to zkusí skutečný útočník. Není to automatický sken, který vyplivne nástroj, ale jde o řízený, ručně vedený útok s předem domluveným rozsahem (co se smí a co je mimo hru), na jehož konci dostanete report: co jsem našel, jak bych to mohl zneužít a jak to napravit. Klíčové slovo je souhlas. Používám velmi podobné techniky jako black hat útočníci, jen mám na to podepsanou smlouvu. Bez ní by z identické činnosti byl trestný čin.

Black hat jedná bez souhlasu a se škodlivým úmyslem. To je ten archetyp, který si lidé představí jako první.

Gray hat je zajímavější mezistupeň. Prolomí systém bez povolení, ale bez zlého úmyslu. Třeba najde díru, nahlásí ji a čeká na poděkování. Problém je, že „bez zlého úmyslu" ho před zákonem nezachrání. Testovat cizí systém bez souhlasu je nelegální, i když to myslíte dobře. Šedý klobouk je tedy spíš etická než právní kategorie.

Tenhle trojlístek je celé to podstatné dělení. Vše ostatní není o autorizaci, ale o motivaci nebo organizovanosti.

Co rozlišuje zbytek: motivace

Když odložíme klobouky, dává mnohem větší smysl třídit útočníky podle toho, co je pohání:

Peníze. Sem patří cybercrime syndikáty a ransomwarové gangy. Jde o organizovaný zločin, který dnes funguje jako firma, včetně náboru a „zákaznické podpory" pro oběti. Patří sem i korporátní špioni kradoucí obchodní tajemství pro konkurenci.

Ideologie. Hacktivisté vedou útoky kvůli politickému nebo společenskému přesvědčení (Anonymous jako učebnicový příklad). Kyberteroristé jsou jejich extrémní odnož mířící na kritickou infrastrukturu se záměrem šířit strach.

Geopolitika. Státem podporovaní hackeři známí pod zkratkou APT (Advanced Persistent Threat). Patří k nejlépe financovaným a nejtrpělivějším protivníkům vůbec. Nejde jim o rychlý zisk, ale o špionáž a přístup, který drží roky.

Ego a učení. Script kiddies pouštějí hotové nástroje, kterým pořádně nerozumí, hlavně kvůli pozornosti nebo zvědavosti. Zkušenější útočníci už vlastní nástroje upravují nebo vytvářejí.

A pak je tu kategorie, kterou většina firem podceňuje nejvíc: insider threat. Zaměstnanec nebo dodavatel, který zneužije přístup, co legitimně dostal. Žádný firewall proti němu nepomůže, protože už je uvnitř. Z hlediska rizika je to často větší hrozba než jakýkoli externí útočník.

A pak ty marketingové barvy

Tady přichází část, kterou ty barevné tabulky obvykle neřeknou. Několik jejich kategorií v praxi buď neuslyšíte vůbec, nebo znamenají něco úplně jiného, než tabulky tvrdí a žijí hlavně v certifikačních materiálech a na blozích.

Red hat hacker má být jakýsi vigilante, který agresivně loví černé klobouky. V reálné práci tenhle pojem nepoužíváme a hlavně se nebezpečně plete s red teamem, což je něco úplně jiného: autorizovaný ofenzivní tým, který simuluje skutečného útočníka napříč celou firmou. Red team dělám. „Red hat hacker" je spíš internetová legenda.

Blue hat má napříč zdroji dva neslučitelné významy. U Microsoftu jde o externí výzkumníky přizvané testovat produkt před vydáním. Jinde je to naopak amatér toužící po pomstě. Když jeden pojem znamená dvě protichůdné věci, přestává být užitečný.

Suicide hacker, neboli útočník, kterému je jedno, že ho chytí, je klasická položka z osnov certifikace CEH, ale jako reálná kategorie moc nedává smysl. Popisuje spíš stav mysli než typ aktéra.

Nejde o slovíčkaření. Když se v jedné tabulce míchají právně relevantní kategorie (autorizace) s motivačními (peníze, ideologie) a s marketingovými nálepkami (barvy), vznikne dojem, že všechny jsou stejně „skutečné". Nejsou.

Co si z toho odnést

Když tedy příště uslyšíte slovo hacker, neřešte, jakou má barvu klobouku. Důležitější je, jestli má souhlas majitele systému, co ho motivuje a čeho se snaží dosáhnout. Právě to rozhoduje, jestli stojí na vaší straně, nebo proti vám.

Pro firmy z toho plyne jednoduchý závěr. Nemá smysl stavět obranu proti abstraktnímu „hackerovi". Má smysl přemýšlet o konkrétních aktérech, kteří mohou cílit právě na vás. Malý e-shop pravděpodobně nebude řešit státem podporovanou APT skupinu, ale ransomware nebo insidera rozhodně ano. To, jaká bezpečnostní opatření dávají smysl, určuje váš threat model.

A právě proto existují penetrační testy. Ne proto, aby vám někdo dokázal, že se umí nabourat do systému, ale aby ověřil, kudy by se k vám mohl dostat skutečný útočník, a pomohl vám tato místa odstranit dřív, než je někdo zneužije.

Hacker není synonymum pro kyberzločince v mikině s kapucí. Je to člověk, který umí hledat cesty do systémů. O tom, jestli je využije ve váš prospěch, nebo proti vám, rozhoduje něco mnohem důležitějšího než barva klobouku.