Antes de falarmos diretamente dos Ethical Hackers ou Hackers Éticos, é importante imergirmos no cenário em que eles se mostram verdadeiros “heróis” cibernéticos. Pois bem, em tempos de diversidade tecnológica, é comum recebermos mensagens de avisos sobre a importância da segurança online, não é mesmo? Ano após ano, em consequência do aumento do número de locais com acesso à internet, cada vez mais pessoas e empresas ficam expostas aos ataques.
Uma pesquisa realizada pelo IBGE revela que, entre 2005 e 2015, o índice de casas conectadas à internet obteve um crescimento – a meu ver –, significativo: saltou de 7,2 milhões para 39,9 milhões, o que representa um aumento de 446%. Mas nem toda a sociedade está atenta aos riscos quando estamos conectados. Só para ter uma ideia, até 2020, há uma previsão de que mais de 20.1 bilhões de “coisas”, incluindo sensores, construções, apps de mobilidade estarão conectadas à internet das coisas.
Nos últimos anos, têm se tornado muito comuns ataques aos servidores de empresas de todos os portes, cujo objetivo é a exigência de pagamento em criptomoeda, e uma delas é o bitcoin como forma de liberação das informações sequestradas. E o número de vítimas só cresce. Conforme o relatório de 2016, feito pela Norton Cyber Security Insights, houve aumento de quase 10% em comparação a 2015.
Pasmem! Para ter uma ideia, ainda segundo a pesquisa, apenas no Brasil, mais de 40 milhões de pessoas foram alvos, mantendo o país com uma média sete vezes maior em relação ao mundo. No total, os ataques a empresas e pessoas em território brasileiro gerou um prejuízo que superou os R$ 30 bilhões. É muita grana, não é?
Em 2017, um vírus conhecido como Wannacry, que é um ransomware que afetava o sistema operacional Microsoft Windows, provocou o caos em mais de 100 países, inclusive no Brasil, onde mais de 200 instituições públicas e privadas foram diretamente afetadas. A salvação: um inglês de 22 anos, conhecido como MawareTech, descobriu o domínio que hospedava o vírus e realizou a compra do ambiente para cessar o ataque. Um verdadeiro sucesso!
Entretanto, o maior ataque hacker da história, segundo a revista americana Wired, foi aquele feito pelo famoso Capitão Zap, autodenominado o Hobin Hood do ciberespaço e um dos maiores crackers já existentes, que alterou os relógios da AT&T, fazendo milhares de americanos economizarem com ligações em horários de pico. E olhem como as coisas são nesse mundo: o cara só foi descoberto 18 meses depois! Você tem noção?
Com o avanço da tecnologia, alguns problemas se tornam alvos fixos no radar dos profissionais de segurança da informação. De acordo com uma pesquisa realizada pela GovTech, entre os principais problemas, estão:
-> 71% phishing;
-> 50% Unpatched vulnerabilities;
-> 42% Ddos;
-> 32% SQL injection;
Em 2016, ainda de acordo com a pesquisa, o número total de violação de dados chegou a 1.093 ações criminosas, 40% a mais em relação a 2015.
No Brasil, um estudo realizado pela IBM em parceria com o Instituto Ponemon, que contou com a participação de 166 organizações de 12 diferentes segmentos, revela que o prejuízo com violação de dados em empresas passou de R$ 4.31 milhões, em 2016, para R$ 4.72 milhões em 2017.
Ainda segundo a pesquisa, “os ataques maliciosos são a principal causa da violação de dados, sendo responsáveis por 44% dos casos analisados, seguidos de falhas humanas, que incluem funcionários desatentos ou negligentes, que causaram 31% dos casos, e falhas nos sistemas, que representaram 25% do total”.
Aqui entram os Hackers Éticos ou do bem. Esses profissionais dominam os conhecimentos tecnológicos, sistemas de computação entre outras habilidades que os permitem enfrentar os hackers maus. Mas, para estes, o termo correto é crackers, e é como os chamaremos a partir de agora. Resumindo: os ethical hackers são especialistas em prevenir e resolver sistemas em vulnerabilidade de empresas de todos os portes e são os principais anjos nessa luta conflituosa. Mas o que eles fazem afinal?
Esses hackers do bem possuem competências exatamente iguais aos crackers, conhecem profundamente os métodos e técnicas utilizados, porém, uma única e importante diferença: eles têm ética. De modo geral, eles fazem tudo que os criminosos fazem, mas não chegam a concluir o delito criminoso.
Entre as principais atribuições de um hacker ético estão técnicas que consistem em testes de stress da segurança das redes e demais sistemas. Sua principal ferramenta é conhecida como penetration test ou teste de penetração, que também é chamado de PenTest, e pode ser dividido entre as seguintes etapas:
-> Reconhecimento;
-> Varredura;
-> Ganhar acesso;
-> Manter acesso;
-> Cobrir rastros.
Em relação às etapas de um teste de invasão, Diego Macêdo, especialista em projetos de Segurança da Informação, afirma que “a principal delas é a de fase de reconhecimento, pois é nela que coletamos o máximo de informações sobre o alvo”. Ele explica que há algumas variações para os testes de penetração, sendo:
Black Box: “o pentester tem um pouco ou nenhum conhecimento de seu alvo. A situação é semelhante à que um atacante real encontraria, pela falta de conhecimento do alvo”;
Gray Box: “uma forma de teste em que o conhecimento dado é limitado. Neste tipo de teste, o pentester obtêm informações como endereço IP, sistema operacional e a topologia da rede, mas a informação é limitada. Este tipo de teste simula o conhecimento que alguém de dentro da companhia (insider) possa ter”;
White Box: “uma forma de teste em que a informação é completamente repassada ao pentester. É o teste realizado pela equipe interna ou de auditoria de sistemas”.
Macêdo observa que “empresas que possuem equipe de ethical hackers internamente, o [uso] mais comum seja o gray/white box, já que fazem parte da empresa e acabam tendo conhecimento de sua infraestrutura e sistemas”. Entretanto, ele diz que “algumas empresas contratam serviços de consultoria para validarem, através de teste black box, que seus sistemas estão seguros, assim como que todos os controles impostos pela sua equipe de TI estão protegendo-os contra ataques hackers”, conclui.
De acordo com Marcelo Lau, CEO da Data Security, empresa especializada em segurança da informação, “empresas de médio e grande porte, em geral, além de instituições públicas de porte similar, buscam profissionais e/ou empresas para se proteger, contratando serviços consultivos de análise de vulnerabilidade e/ou pentest, com objetivo de aferir tecnologias à propensão dos mesmos à vulnerabilidades técnicas”.
Nesse sentido, os hackers param no ponto em que descobrem a vulnerabilidade do sistema e preparam um relatório que aponta onde a fragilidade foi detectada e fazem indicações sobre como solucionar a abertura encontrada para aumentar a segurança da corporação. O problema é que grande parte das empresas procura ajuda quando já foi alvo de um ataque cibernético, uma vez que os crackers se aproveitam das falhas nos dispositivos para roubar informações, alterar taxas e tarifas de cobrança de qualquer sistema que esteja conectado à internet.
Lau ainda explica que “a facilidade em se invadir um dispositivo conectado a uma rede de dados está relacionado à disponibilidade de um sistema ou aparelho contendo vulnerabilidade técnica que permita à concretização de uma invasão. É certo que além da disponibilidade destes fatores, deve haver por parte de um invasor o desejo de invadir considerando as consequências desta invasão, que é a finalidade atrelada ao ataque”.
"Atualmente, dispositivos são conectados todos os dias em redes cabeadas ou sem fio, onde os adquirentes nem sempre estão cientes que grande parte destes dispositivos exige uma ação de personalização das configurações visando evitar fragilidades técnicas possibilitem a fácil invasão seja em computadores pessoais, redes sem fio, sistemas de monitoramento e vigilância, dentre outros que fazem parte de nosso cotidiano como, por exemplo, as Smart TVs”, conclui Lau.
Com o grande “boom” tecnológico e o fácil acesso à internet em tempos modernos, uma brecha na segurança das empresas e nas contas pessoais pode resultar em prejuízos incalculáveis, além de roubo das informações sigilosas culminando em danos à imagem do indivíduo/ empresa, paralisação de serviços, etc, como vimos acima.
Com tamanha exposição aos riscos, muitas empresas de diversos setores, não se limitando apenas àquelas de tecnologia, estão em busca de profissionais dessa alta estirpe parnasiana. Essa procura incessante torna a profissão ethical hackers uma forte concorrente a ser uma das mais requisitadas do mundo. E o valor que eles agregam às empresas é enorme.
Lau explica que “ter um profissional com este conhecimento, haverá a possibilidade em se ter um consultor especialista que poderá auxiliar na identificação, confirmação, classificação das ameaças com devido plano de ação alinhado às possibilidades da empresa em remediar tais falhas em segurança. É certo que ter um profissional com este conhecimento acessível às empresas torna-se investimento e não um gasto”.
Os níveis desse cargo, de acordo com o levantamento feito por Assunção, podem ser resumidos em três, sendo:
N1 – Júnior/ Tool based penetration test: aquele que conhece as ferramentas básicas para o pentest, mas não é capaz de desenvolver suas próprias técnicas que, muitas vezes, aprenderam em treinamentos específicos. Algumas certificações para esse nível são: CEH, ECSA, LPT, Ethical Hacker Foundation, Gpen e GWapt.
N2 – Pleno/ Coding based penetration test: profissional que desenvolve suas próprias ferramentas e scripts para realização dos testes, mas se limita quando o assunto é teste de vulnerabilidade. Melhora soluções e tem habilidades para criar módulos novos. Conhecimentos básicos de programação e algoritimos completam o profissional. Em certificação, temos o OSCP.
N3 – Sênior/ Vulnerability Researcher: esses preferem debugar o funcionamento de softwares e protocolos em busca de falhas. Muitos são contratados por grandes empresas para realizarem atividades desse viés. De acordo com o levantamento, ainda não existe certificação para esse nível.
No Brasil, após a atriz Carolina Dieckmann ter fotos íntimas vazadas na internet em maio de 2012, a lei 12.737/2012, que ficou conhecida como “lei Carolina Dieckmann”, tornou crime a invasão de dispositivos como smartphone, tablets, computadores, entre outros.
Entretanto, alguns especialistas apontam que só será caracterizado crime caso o ato tenha como fim a obtenção dos dados para benefício próprio ou para destruição e, até mesmo, adulteração das informações.
Ainda de acordo com Macêdo, “esta Lei servirá para penalizar os indivíduos mais leigos, pois os hackers profissionais se preocupam muito com o anonimato, usando redes Tor e proxies pela internet, onde o seu tráfego é criptografado e passa por vários servidores de diversos países (com legislações diferentes ou sem, quanto ao crime cibernético), tornando praticamente impossível achar o atacante”.
Com uma rápida pesquisa na internet, nos deparamos com “n” cursos de formação para Ethical Hackers, conhecido como Certified Ethical Hacker – CEH, que proporciona um vasto leque de conhecimento sobre as mais atuais ferramentas técnicas de “ataque” e “defesa” virtuais aos interessados.
Segundo o EC-Council, o exame para a certificação mais complexo, que custa cerca de US$ 250,00, é composto por 125 questões e o candidato deve obter, pelo menos, 70% de acerto, durante 4 horas de teste.
Entretanto, o maior aliado dos crackers é... você. Isso mesmo. Nós somos as pessoas que ajudam os mal-intencionados virtualmente a se darem “bem”. Mas há algumas ações que nós, meros mortais, leigos em cibersegurança, podemos tomar para nos precavermos dos ataques:
-> Mantenha seus computadores, tablets e celulares sempre atualizados e realizebackups frequentemente;
-> Tenha um bom antivírus, ele pode te alertar caso você seja atacado;
-> Nunca tenha a mesma senha para vários dispositivos, ou seja, tenha uma senha para cada serviço;
-> Nas senhas, varie o tamanho, use letras maiúsculas, minúsculas, >números e símbolos, pois cada caractere tem uma probabilidade de ser identificado. Então, quanto mais diversificar, menor será a chance de o hackeridentificar o símbolo.
-> Tome cuidado com ofertas de propagandas, download de arquivos de sites desconhecidos, etc.
-> Evite acessar redes públicas;
Por mais que tentemos nos defender, por onde passamos nós deixamos rastros. Sim... rastros! Não depende só de nós que essa proteção seja eficaz. A revista que assinamos, os hotéis que nos hospedamos, dados de cartão de crédito em contas online podem favorecer que um ataque reflita diretamente em você.
Para a defesa das empresas, a criptografia como proteção de dados é uma ação que pode ser tomada, e apresenta crescimento nos últimos anos. João Rocha, líder de Segurança da IBM Brasil, afirmou à pesquisa que “desde 2013, temos acompanhado um gráfico de boas práticas que devem ser implementadas pelas companhias. A criptografia, por exemplo, que representava somente 23% dos controles de segurança, agora representa 53% das medidas de prevenção”.
A pergunta que fica é: seriam todos os hackers bem-intencionados a ponto de, daqui a alguns anos, estarmos mais seguros do que estamos hoje? Seriam eles os profissionais do futuro? O que você pensa a respeito?