Em tempos de invasão de celulares e vazamentos de dados de juízes, procuradores e ministros, retorna às manchetes o termo hacker.
Contudo, o termo é utilizado pela mídia de forma equivocada (e compartilhado exaustivamente nos grupos de famílias aplicativos afora).
Julgo, portanto, que é o momento propício para que eu compartilhe, em parte, a monografia de minha pós graduação, que explica de forma breve alguns destes termos usados de forma equivocada (e outras vezes perniciosa) pelos meios de comunicação.
Aos que leram e apreciaram o conteúdo, e desejarem que o assunto seja abordado de forma mais ampla e detalhada, deixe seu comentário. Se assim o for, poderei criar mais postagens abordando cada um dos tipos citados de forma mais profunda. Bom, vamos ao texto:
[…]
O termo hacker é amplo e aceita uma grande variedade de interpretações. No trabalho efetuado por PATIL et al., 2017, é proposta uma classificação destes profissionais em tipos e categorias como white-hats, que defendem sistemas, black-hats que atacam sistemas, e hacktivistas, que atacam por motivação ideológica, entre outros, de modo a esclarecer as diferenças entre eles. A pesquisa efetuada por CHANDRIKA (2014), além de classificar os tipos de hackers em categorias, busca nas fontes históricas do termo para esclarecer como essas diferentes interpretações ocorreram.
Nesse contexto, trabalhos como TRABELSI; IBRAHIM, 2013; BISHOP, 2007; e LONG, 2012 mostram a necessidade desses profissionais, a busca pelo aumento da segurança cibernética (por meio do ensino sobre falhas e suas formas de mitigação e do desenvolvimento de sistemas de forma segura) e os passos e ferramentas utilizados por esses profissionais para a execução de suas tarefas.
[…]
Incidentes de falha de segurança cibernética deram origem a um tipo específico de profissional, que ficou conhecido como hacker ético (SMITH et al. 2001). Contudo, o termo hacker ético é, em verdade, um termo macro que engloba uma gama de especialidades vinculadas à disciplina inicial do especialista. Deste modo, torna-se impossível agrupar todos os ‘hackers’ em uma categoria única e bem definida. E com o crescimento do número destes incidentes, cresce também a necessidade de definir um perfil desse profissional especialista que irá identificar e corrigir essas lacunas de segurança (HAFELE, 2004). O hacker ético é um especialista em computadores e redes que ataca um sistema de segurança em nome de seus donos, procurando vulnerabilidades que atacantes maliciosos poderiam explorar (CHANDRIKA, 2014). Essa visão é corroborada por SMITH et al. (2001): hackers éticos encontram falhas e as corrigem, e neste processo testam o software para companhias em troca de acesso e informação. Como prestam um serviço de alta especialização e alto valor agregado, recebem pagamentos de acordo.
Como podemos observar, Hackers Éticos utilizam seus conhecimentos para aprimorar a segurança de sistemas uma vez descoberta uma vulnerabilidade. Eles não a exploram, mas sim a reportam aos mantenedores e usuários do sistema afetado, diferentemente de outros tipos de hackers, que utilizam seus conhecimentos para fins maliciosos.
Algo que precisa ser pontuado é que o hacker ético deve prover educação ao seu cliente (HAFELE, 2004). Ao final de um processo de mapeamento de vulnerabilidades, o profissional deve apresentar ao contratante um relatório detalhado sobre as falhas encontradas e as sugestões de correção. Observamos aqui que o profissional, em primeira ordem, não efetua correções, apenas informa o contratante sobre as falhas e possíveis correções (SMITH et al., 2001).
Algumas vezes o responsável pela TI ou pela segurança de uma empresa será informado que um ataque, chamado de teste de penetração (penetration test), será executado, e esses responsáveis podem até acompanhar o trabalho do hacker ético. Outras vezes, contudo, os profissionais não serão avisados, e o conhecimento de que um ataque será executado ficará acessível somente à alta gerência. Algumas vezes apenas duas ou três pessoas de alto escalão terão ciência do teste de penetração.
O’DONOHUE (2011) diz que a melhor forma de predizer um comportamento futuro é avaliar o comportamento passado, de modo que perfilar é entender como e por que alguém fez o que foi feito. LONG (2012), concorda com isso e acrescenta que um perfil é uma ferramenta psicológica que ajuda a entender a motivação de uma pessoa e pode ser usada em uma variedade de ocupações.
Em todos os casos, a criação de perfis estuda a motivação e metodologia para determinar se existe um padrão de comportamento que pode ser deduzido. Perfilar hackers é similar à criação de perfis de outras áreas. É preciso se manter atualizado em relação às mudanças tecnológicas, aos últimos ataques e às assinaturas do jeito de agir do cibercriminoso; assim, é possível antever não somente ataques planejados como também ataques do tipo 0day. Deve-se conhecer a história do hacking de modo geral e de ataques famosos.
Se um grupo desconhecido ameaça um ataque a uma infraestrutura crítica aos EUA, por exemplo, os EUA sabiamente escutariam esse aviso, porém podem não dar total crédito, haja vista a baixa precedência histórica referente ao grupo desconhecido. Se, no entanto, forem hackers do governo chinês que façam essa ameaça, medidas protetivas serão tomadas por causa da prévia criação e conhecimento do perfil destes hackers (LONG, 2012).
Hoje a mídia utiliza os termos hacker ou cibercriminoso de uma forma mais ou menos intercambiável. Isso pode levar o leitor ao erro; enquanto seus significados se sobrepõem, eles não são sinônimos. Nesta Seção abordaremos uma lista não exaustiva dos subtipos de hackers existentes, focando nos três principais ao mercado: white-hat, black-hat e gray-hat.
O conceito de personagens usando chapéus brancos (white-hat) e pretos (black-hat) para designar a natureza de suas intenções, seja boa ou má, origina-se no cinema em filmes de faroeste. Podemos traçar seu primeiro uso em 1903, no filme “O grande roubo do trem”, que, por ser um filme monocromático, precisou se apropriar da dualidade bem e mal de forma visual, facilmente identificável. Esse conceito foi posteriormente abraçado pela comunidade hacker para diferenciar os mocinhos dos bandidos de uma forma mais fácil para a população leiga em geral (CHANDRIKA, 2014).
Um white-hat, também conhecido como hacker ético, é alguém que invade sistemas de segurança sem intuito malicioso. A grande maioria dos white-hat são especialistas em segurança e irão frequentemente trabalhar com uma empresa para detectar de forma legal as falhas de segurança e corrigir as que forem detectadas. Eles são comumente vistos como hackers que usam suas habilidades para beneficiar a sociedade. Deste modo, podem ser black-hat reformados ou simplesmente pessoas bem versadas nos métodos e técnicas utilizadas por hackers (CHANDRIKA, 2014).
Uma empresa preocupada com a segurança de seus ativos de informática pode contratar um hacker ético como consultor para efetuar testes em sua rede e aplicações e também ajudá-la, por meio da instrução de suas equipes nos quesitos de segurança, a implementar melhores práticas que a faça ser menos vulnerável a futuras tentativas maliciosas de hackers.
Um black-hat, também chamado de cracker em algumas bibliografias, é alguém que, no lado oposto de um hacker ético, tenta invadir um sistema com motivação maliciosa e sem autorização do proprietário daquela infraestrutura. Tipicamente esse hacker quer provar suas habilidades e irá cometer uma serie de cibercrimes, como roubo de identidade, fraude em cartões de crédito e pirataria (CHANDRIKA,2014).
Os black-hats são também conhecidos como crackers (do inglês to crack, rachar/quebrar) porque, enquanto white-hats criam coisas, os black-hats as quebram. São também conhecidos por serem os criadores de grande parte dos vírus que infestam as redes de computadores (CHANDRIKA, 2014). Em uma apertada síntese, podemos colocar tanto o black quanto o white-hat como o mesmo tipo de especialista em computadores, e a palavra-chave que os diferencia é autorização.
Como a cor do chapéu sugere, um gray-hat é alguém entre o black e o white, e essa pessoa exibe traços de ambos. Por exemplo, um gray-hat irá vasculhar a internet atrás de uma falha, e como um white-hat ele irá informar a empresa que possui essa falha, ao mesmo tempo que, como um black-hat, fez toda essa pesquisa sem autorização dessa empresa.
O termo gray-hat foi cunhado pelo grupo hacker L0pht em 1998, e foi originalmente usado para descrever hackers que reportavam as vulnerabilidades que encontravam em organizações que invadiam. Depois, em 2002, a comunidade de segurança Anti-Sec usou o termo para descrever aqueles que trabalhavam na comunidade de segurança durante o dia e agiam como black-hats durante seus períodos de folga (CHANDRIKA, 2014).
Existem outros grupos de hackers que citaremos brevemente, pois não estão no escopo do nosso trabalho.
*Blue-hats: funcionários de empresas de consultoria de segurança contratados para testar um sistema atrás de falhas antes do seu lançamento no mercado. Eles também são associados a uma conferência anual comandada pela Microsoft, na qual engenheiros da Microsoft e hackers podem conversar abertamente sobre falhas e brechas de segurança.
*Hackers de elite: esse tipo de hacker tem a reputação de ser o melhor de sua área. Os hackers de elite são frequentemente considerados inovadores e especialistas. Foi esse grupo que criou a hoje conhecida Leetspeak para esconder seus sites dos motores de busca rudimentares de anos atrás. Pessoas desse grupo são chamadas assim pela comunidade de segurança porque estão, de fato, no ápice de ambas as indústrias, a de computadores e a de redes (CHANDRIKA, 2014).
*Hacktivistas: São hackers que invadem uma rede de computadores por motivação política ou social. Esse é um termo controverso, pois, para que um hacktivista se torne um terrorista basta que suas atividades deixem o campo da computação (não violento) para atividades violentas. O termo foi cunhado em 1996 pelo grupo chamado “The cult of the dead cow”. Eles não podem ser colocados no mesmo grupo de black-hats ou white-hats, pois sua motivação é política e não o lucro (CHANDRIKA, 2014). Um dos grupos mais conhecidos recentemente é o “Anonymous”, que em outubro de 2011 derrubou 40 sites de pornografia infantil e tornou público o nome de mais de 1500 pessoas que frequentavam esses sites.
*Ciberterroristas: Diferentemente dos hacktivistas, este grupo tem como motivação crenças religiosas ou políticas, e tentam criar medo e caos ao derrubar infraestruturas críticas para civilização (eletricidade, fornecimento de água, gerenciamento de semáforos etc.). O ciberterrorismo pode ser definido como o uso intencional de computadores, redes e outras redes públicas de internet para causar destruição e perigo por objetivos pessoais. De acordo com o FBI, ciberterrorismo é qualquer ataque premeditado e politicamente motivado, contra sistemas de informações, programas de computadores e dados que possam resultar em violência contra alvos não combatentes por grupos sub-nacionais ou agentes clandestinos (CHANDRIKA, 2014).
*Amadores/Script kiddies: Estes são aqueles que seguem manuais e usam scripts e códigos de terminal prontos, disponibilizados por outros hackers, sem ter o total conhecimento de cada passo tomado durante um ataque.
*Espiões: Grandes corporações recrutam hackers para se infiltrarem nas redes de seus competidores para roubar segredos industriais. Suas ferramentas são principalmente “cavalos de troia” e keyloggers, usadas de modo que possam observar o comportamento de seus alvos dentro da organização atacada.
Com o crescimento populacional, crescem proporcionalmente os crimes, dentre eles os crimes cibernéticos. Neste cenário, a atividade do hacker ético se tornou uma poderosa estratégia no combate de ameaças online e, portanto, uma necessidade. HAFELE (2004) concorda, dizendo que o Hacking Ético é uma ferramenta que, se utilizada corretamente, prova-se útil para compreender as fraquezas de uma rede e como elas podem ser exploradas e, deste modo, combatidas. Essa premissa é corroborada por PATIL et al., (2017) quando os pesquisadores sustentam que a segurança no ciberespaço está crescendo e os atacantes estão munidos de ferramentas cada vez mais sofisticadas, e que a defesa deste espaço precisa se equalizar ou suplantar o conhecimento destes criminosos.
SINGER (2014) propõe que a cada dia mais 2.500 Petabytes são adicionados ao depósito global de informações digitais. Neste cenário, o setor da tecnologia da informação se encontra confrontado tanto pelo crescimento de suas redes de comunicação quanto pela necessidade crescente que essa comunicação se dê de forma segura, de modo que um profissional que responda pelos meios de segurança dessa massa de informação se torna cada vez mais necessário. Esse crescimento das taxas de dados trafegados é, em grande parte, decorrência do aumento da utilização do ciberespaço pela população para conduzir atividades do dia a dia. Os hackers maliciosos têm usado toda sorte de técnicas inovadoras para atingir seus objetivos. RAO et al. (2014) concordam com isso ao sustentar que, se o ataque está focado em roubar segredos, interromper sistemas ou algo pior, a ameaça é real.
Outros escopos que necessitam de um profissional qualificado para lidar com as circunstâncias da segurança cibernética emergem deste cenário inicial, como, por exemplo, a educação, tanto academicamente quanto dentro das corporações, versando sobre padrões seguros de desenvolvimento de aplicações. Nesse cenário da instrução corporativa, ou da falta dela, vemos muitos casos de vazamentos de dados ocorrendo. HAFELE (2004) cita que, virtualmente, todos os dias podemos tanto ler notícias como ver referências na Web sobre companhias e organizações sofrendo ataques contra suas redes. Essa visão é aceita por SMITH et al. (2001) quando os pesquisadores afirmam que o nível da segurança na internet de modo geral é fraco e sua qualidade cresce de forma lenta.
Neste cenário de vazamentos de dados críticos podemos citar como exemplo o já infame incidente de vazamento maciço de dados críticos de usuários das redes de hotéis Marriott, geridos pelo grupo Starwood Hotels and Resorts (STARWOOD, 2018). Este vazamento, hoje considerado o segundo maior na história da tecnologia da informação, afetou mais de 500 milhões de clientes. De acordo com informações do International Business Times, o impacto nos ativos do grupo administrador dos hotéis já atinge quase 9% de perda nas ações da empresa, e já há ações coletivas, com pedidos de perdas e danos na ordem de 12,5 bilhões de dólares, mapeando essa falha de segurança como existente nos sistemas desde 2014 (MAJUMDER, 2018; STARWOOD, 2018). Neste cenário solidificamos a necessidade crescente por especialistas em segurança cibernética.
[…]
CHANDRIKA, V. Ethical hacking: types of ethical hackers. International Journal Of Emerging Technology In Computer Science & Electronics (ijetcse): ISSN: 0976 - 1353. Vijayawada, Andhra Pradesh, India, p. 43-48. nov. 2014.
CIRCLEID. Cybercrime Losses Overestimated, Say Researchers. 2011. Disponível em: http://www.circleid.com/posts/cybercrime_losses_overestimated_say_researchers/. Acesso em: 10 mar. 2019.
DOUPÉ, A.; COVA, M.; VIGNA, G. Why Johnny Can’t Pentest: An Analysis of Black-Box Web Vulnerability Scanners. Detection Of Intrusions And Malware, And Vulnerability Assessment, [s.l.], p.111-131, 2010. Springer Berlin Heidelberg.
GAO/AIMD-96-84. AGENCIES Need to Improve Implementation of Federal Approach to Securing Systems and Protecting against Intrusions. 2018. Disponível em: https://www.gao.gov/products/GAO-19-105. Acesso em: 05 jan. 2019.
GAO/AIMD-96-84. COMPUTER Attacks at Department of Defense Pose Increasing Risks. 1996. Disponível em: https://www.gao.gov/products/AIMD-96-84. Acesso em: 26 dez. 2018.
GRABO, C. Anticipating Surprise: Analysis for Strategic Warning. Lantham: University Press Of America, 2004.
GROSS, D. ‘Mafiaboy’ breaks silence, paints ‘portrait of a hacker’. 2011. Disponível em: http://www.cnn.com/2011/TECH/Web/08/15/mafiaboy.hacker/index.html?iref=obnetwork. Acesso em: 10 mar. 2019.
GUIRADO, R. Penetration Testing, General Concepts and Current Situation, CISA, CGEIT, 2009.
HAFELE, D. Three Different Shades of Ethical Hacking: Black, White and Gray. 2004. Disponível em: https://www.sans.org/reading-room/whitepapers/hackers/paper/1390. Acesso em: 02 maio 2004.
HARRIS, S. @War: The Rise of the Military-Internet Complex. Nova York: Eamon Dolan / Marine, 2015. 288 p.
HOMELAND SECURITY NEWSWIRE. U.S. Cybercrime Losses Double. Disponível em: http://www.homelandsecuritynewswire.com/us--?cybercrime--?losses--?double. Acesso em: 10 mar. 2019.
JIMENEZ, R. E. L. Pentesting on Web applications using ethical - hacking. 2016 Ieee 36th Central American And Panama Convention (concapan Xxxvi), [s.l.], p.1-6, nov. 2016. IEEE.
KROLL INC (Usa). STARWOOD Guest Reservation Database Security Incident. 2018. Disponível em: https://info.starwoodhotels.com. Acesso em: 17 dez. 2018.
KUMAR, P.; PATERIYA, R. K. A survey on SQL injection attacks, detection and prevention techniques. 2012 Third International Conference On Computing, Communication And Networking Technologies (icccnt’12), [s.l.], p.1-5, jul. 2012. IEEE.
LONG, L. Profiling Hackers. 2012. Disponível em: https://www.sans.org/reading-room/whitepapers/hackers/paper/33864. Acesso em: 07 fev. 2012.
MAJUMDER, B. G. Marriott facing lawsuits after data breach impacting up to 500 million customers. 2018. Disponível em: http://www.ibtimes.sg/marriott-facing-lawsuits-after-data-breach-impacting-500-million-customers-28426. Acesso em: 03 dez. 2018.
MCCLURE, S.; SCAMBRAY, J.; KURTZ, G.. Hackers Expostos. 7. ed. São Paulo: Bookman, 2014.
O’DONOHUE, W. Difficult Personalities: It’s Not You; It’s Them. Reno, Nevada: Lucky Bat Books, 2011. 215 p.
PATIL, S. et al. Ethical hacking: The need for cyber security. 2017 Ieee International Conference On Power, Control, Signals And Instrumentation Engineering (icpcsi), [s.l.], p.1-5, set. 2017. IEEE.
RAO, G. S. et al. Security assessment of computer networks -an ethical hacker’s perspective. International Conference On Computing And Communication Technologies, [s.l.], p.1-5, dez. 2014. IEEE.
SINGER, P. W.; FRIEDMAN, A. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2014. 320 p. (What Everyone Needs To Know).
SMITH, B.; YURCIK, W.; DOSS, D. Ethical hacking: the security justification redux. Ieee 2002 International Symposium On Technology And Society (istas’02). Social Implications Of Information And Communication Technology. Proceedings (cat. No.02ch37293), [s.l.], p.374-379, ago. 2001. IEEE.
TRABELSI, Z.; IBRAHIM, W. Teaching ethical hacking in information security curriculum: A case study. 2013 Ieee Global Engineering Education Conference (educon), [s.l.], p.130-137, mar. 2013. IEEE.
TURVEY, B. Criminal Profiling: An Introduction to Behavorial Evidence Analysis. Oxford: Elsevier, 2011.
WANG, Y.; YANG, J. Ethical Hacking and Network Defense: Choose Your Best Network Vulnerability Scanning Tool. 2017 31st International Conference On Advanced Information Networking And Applications Workshops (waina), [s.l.], p.1-4, mar. 2017. IEEE.
Lux in Tenebris:. Saudações. 93!
Postagem inicial no meu perfil do LinkeDin