El hacking ético es el uso de técnicas de hackeo simuladas para intentar descubrir, comprender y corregir vulnerabilidades de seguridad en una red o sistema informático.
Los hackers éticos tienen las mismas habilidades y usan las mismas herramientas y tácticas que los hackers maliciosos, pero su objetivo es mejorar la seguridad de la red sin dañar la red ni a sus usuarios.
En muchos casos, el hackeo ético es como un ensayo para los ataques cibernéticos del mundo real. Las organizaciones contratan hackers éticos para lanzar ataques simulados en sus redes informáticas. Durante estos ataques, los hackers éticos demuestran cómo los delincuentes cibernéticos reales ingresan a una red y el daño que podrían causar una vez dentro.
Los analistas de seguridad de la organización pueden usar esta información para eliminar vulnerabilidades, fortalecer sistemas de seguridad y proteger datos confidenciales.
Los términos “hackeo ético” y “pentesting“ a veces se utilizan indistintamente. Sin embargo, las pruebas de inserción son solo uno de los métodos que emplean los hackers éticos. Los hackers éticos también pueden realizar evaluaciones de vulnerabilidad, análisis de malware y otros servicios de seguridad de la información.
Únase a los líderes de seguridad que confían en el boletín Think para obtener noticias seleccionadas sobre IA, ciberseguridad, datos y automatización. Aprende rápido con tutoriales de expertos y documentos explicativos, que se envían directamente a su bandeja de entrada. Consulte la Declaración de privacidad de IBM.
Los hackers éticos siguen un estricto código de ética para garantizar que sus acciones ayuden a las empresas en lugar de perjudicarlas. Muchas organizaciones que capacitan o certifican a hackers éticos, como el International Council of E-Commerce Consultants (EC Council), publican su propio código de ética formal por escrito.
Si bien la ética establecida puede variar entre hackers u organizaciones, las pautas generales son:
En relación con este código de ética, hay otros dos tipos de hackers:
A veces llamados "hackers de sombrero negro", los hackers maliciosos cometen delitos cibernéticos para beneficio personal, terrorismo cibernético o alguna otra causa. Atacan sistemas informáticos para robar información confidencial, robar fondos o interrumpir las operaciones.
A veces llamados “hackers de sombrero gris”, estos hackers utilizan métodos poco éticos o incluso trabajan fuera de la ley con fines éticos.
Algunos ejemplos incluyen atacar una red o un sistema de información sin permiso para probar una explotación o explotar públicamente una vulnerabilidad de software que los proveedores trabajarán en una solución. Aunque estos hackers tienen buenas intenciones, sus acciones también pueden alertar a los atacantes malintencionados sobre nuevos vectores de ataque.
El hacking ético es una trayectoria profesional legítima. La mayoría de los hackers éticos tienen una licenciatura en ciencias de la computación, seguridad de la información o un campo relacionado. Tienden a conocer lenguajes comunes de programación y scripting como python y SQL.
Están capacitados (y continúan desarrollando sus habilidades) en las mismas herramientas y metodologías de hackeo de hackers maliciosos, incluidas herramientas de escaneo de redes, como Nmap, plataformas de pentesting, como Metasploit, y sistemas operativos especializados diseñados para hackeo, como Kali Linux.
Al igual que otros profesionales de seguridad cibernética, los hackers éticos suelen obtener credenciales para demostrar sus habilidades y su compromiso. Muchos toman cursos o se inscriben en programas de certificación específicos del campo. Algunas de las certificaciones de hacking ético más comunes incluyen:
Hacker ético certificado (CEH): ofrecido por EC-Council, un organismo internacional de certificación de seguridad cibernética, CEH es una de las certificaciones más reconocidas.
CompTIA PenTest+: Esta certificación se centra en pentesting y evaluación de vulnerabilidades.
Probador de penetración SANS GIAC (GPEN): Al igual que Pentest+, la certificación GPEN del SANS Institute valida las habilidades de prueba de un hacker ético.
Los hackers éticos ofrecen una variedad de servicios:
El pentest son violaciones de seguridad simuladas. Los evaluadores imitan a los hackers maliciosos obteniendo acceso no autorizado a los sistemas de la empresa. Por supuesto, los evaluadores no causan ningún daño real. Utilizan los resultados de sus pruebas para ayudar a defender a la empresa contra delincuentes cibernéticos reales.
Estas pruebas se realizan en tres etapas:
Durante la etapa de reconocimiento, los evaluadores recopilan información sobre las computadoras, los dispositivos móviles, las aplicaciones y los servidores web y otros activos de la red de la empresa. Esta etapa a veces se denomina “huella” porque los evaluadores mapean toda la huella de la red.
Los evaluadores utilizan métodos manuales y automatizados para realizar el reconocimiento. Pueden anotar los perfiles de las redes sociales de los empleados y las páginas de GitHub para obtener sugerencias. Pueden usar herramientas como Nmap para buscar puertos abiertos y herramientas como Wireshark para inspeccionar el tráfico de red. Si la empresa lo permite, pueden usar tácticas de ingeniería social para engañar a los empleados para que compartan información confidencial.
Una vez que los evaluadores comprenden los contornos de la red y las vulnerabilidades que pueden explotar, hackean el sistema. Los evaluadores pueden probar una variedad de ataques según el alcance de la prueba. Algunos de los ataques más comúnmente probados incluyen:
- Inyecciones SQL: Los evaluadores intentan que una página web o aplicación revele datos confidenciales introduciendo código malicioso en los campos de entrada.
– Secuencias de comandos entre sitios: Los evaluadores intentan colocar código malicioso en el sitio web de una empresa.
– Ataques de denegación del servicio: Los evaluadores intentan desconectar servidores, aplicaciones y otros recursos de red inundándolos de tráfico.
– Ingeniería social: Los evaluadores utilizan phishing, baiting, pretextos u otras tácticas para engañar a los empleados y hacer que comprometan la seguridad de la red.
Durante el ataque, exploran cómo los hackers maliciosos pueden explotar las vulnerabilidades existentes y cómo pueden moverse a través de la red una vez dentro. Averiguan a qué tipos de datos y activos pueden acceder los hackers. También prueban si las medidas de seguridad existentes pueden detectar o prevenir sus actividades.
Al final del ataque, los evaluadores cubren sus huellas. Esto tiene dos propósitos. En primer lugar, demuestra cómo los delincuentes cibernéticos pueden ocultarse en una red. En segundo lugar, evita que los hackers maliciosos sigan secretamente a los hackers éticos en el sistema.
Los evaluadores documentan todas sus actividades durante el ataque. Luego, presentan un informe al equipo de seguridad de la información que describe las vulnerabilidades que explotaron, los activos y datos a los que accedieron y cómo evadieron los sistemas de seguridad. Los hackers éticos también hacen recomendaciones para priorizar y solucionar estos problemas.
La evaluación de vulnerabilidades es como el pentesting, pero no va tan lejos como explotar las vulnerabilidades. En cambio, los hackers éticos utilizan métodos manuales y automatizados para encontrar, categorizar y priorizar vulnerabilidades en un sistema. Luego, comparten sus hallazgos con la empresa.
Algunos hackers éticos se especializan en analizar cepas de ransomware y malware. Estudian nuevos lanzamientos de malware para comprender cómo funcionan y comparten sus conclusiones con las empresas y la comunidad de seguridad de la información en general.
Los hackers éticos también pueden ayudar con la gestión estratégica de riesgos de alto nivel. Pueden identificar amenazas nuevas y emergentes, analizar cómo estas amenazas afectan la postura de seguridad de la empresa y ayudar a la empresa a desarrollar contramedidas.
Si bien hay muchas formas de evaluar la seguridad cibernética, el hacking ético puede ayudar a las empresas a comprender las vulnerabilidades de la red desde la perspectiva de un atacante. Al hackear redes con licencia, estos profesionales pueden mostrar cómo los hackers maliciosos explotan diversas vulnerabilidades y ayudar a la empresa a descubrir y cerrar las más críticas.
La perspectiva de un hacker ético también puede revelar aspectos que los analistas de seguridad interna podrían pasar por alto. Por ejemplo, los hackers éticos van de pies a cabeza con cortafuegos, algoritmos criptográficos, sistemas de detección de intrusiones (IDS), sistemas de detección extendidos (XDR) y otras contramedidas. Como resultado, saben exactamente cómo funcionan estas defensas en la práctica, y dónde son deficientes, sin que la empresa sufra una filtración de datos real.