Branżowa sława i realne pieniądze zdobywane za pomocą domowego komputera nie są wyłącznie domeną youtuberów czy internetowych pokerzystów. Podobną grupę stanowią łowcy błędów oprogramowania, którym za zwiększanie sieciowego bezpieczeństwa swoich produktów i usług ich dostawcy świetnie płacą. Autoryzowane Centrum Szkoleniowe DAGMA sygnalizuje, że w obliczu ciągłych cyberataków i dalszego rozwoju Internetu rzeczy zapotrzebowanie na kompetencje tzw. etycznych hakerów będzie stale rosnąć.

Szczypta Google hackingu… manipulacja podsłuchanym ruchem sieciowym i… voila! – właśnie wykryliśmy nieznany dotąd błąd w bardzo popularnym serwisie www. Teraz wystarczy znaleźć w sieci listę programów bug bounty (dotowanych przez firmy „polowań” na błędy w ich oprogramowaniu) i sprawdzić, na ile wyceniane jest znalezienie podobnej luki. Tak mógłby wyglądać idealny dzień łowcy internetowych podatności, ale wykrycie prawdziwej usterki kosztuje więcej pracy. A jest to praca niezwykle dziś potrzebna. Gdyby przykładowo kilka miesięcy temu jakiś łowca błędów powiadomił autorów programu M.E.Doc o dziurze w ich oprogramowaniu, pechowy software nie zostałby wykorzystany jako platforma do odpalenia głośnej już infekcji NotPetya. Setek podobnych epidemii codziennie daje się uniknąć dzięki temu, że tropiciele luk bezpieczeństwa na czas alarmują twórców oprogramowania o konieczności wydania ochronnej aktualizacji. ACS DAGMA zauważa, że liczba produktów i usług w sieci rośnie, a razem z nią rośnie popyt na specjalistów, którzy zdążą je na czas prześwietlić i uchronić przed zostaniem trampoliną do nielegalnych działań cyberprzestępców.

Zajęcie łowcy podatności jest też perspektywiczne w kontekście dynamicznego rozwoju Internetu rzeczy (IoT – Internet of Things), czyli rosnącej liczby urządzeń codziennego użytku podłączonych do sieci. Ich producenci chętnie zapłacą za szczelną ochronę swoich sprzętów, by te – zamiast np. brać udział w zmasowanych atakach DDoS – robiły tylko to, do czego je wyprodukowano: mroziły, nagrywały video i odkurzały dywany. Właścicieli dziurawego oprogramowania do płacenia motywuje świadomość, że bez odpowiedniej nagrody za wykrycie błędu, jego znalazca może sprzedać informację o podatności na czarnym rynku. Wtedy dziurę systemu szybko ujawni bazujący na niej cyberatak, a niefrasobliwemu „właścicielowi” podatności pozostanie już tylko jej błyskawiczne załatanie i próba odzyskania zaufania klientów. Zatem ile warta jest taka szczególnie groźna podatność?

Za wykrycie błędu pozwalającego tweetować jako dowolny użytkownik (np. Justin Bieber czy Donald Trump) jego znalazca zainkasował od serwisu Twitter 7 560 dolarów. Wykrycie możliwości zdalnego wykonywania kodu w serwisie Paypal przyniosło jego odkrywcy 10 000 dolarów i ofertę pracy w tej firmie. Z kolei Google wykrycie szeregu podatności w serwisie Google Sites nagrodziło kwotą 13 000 dolarów. Robi wrażenie? A wymienione przypadki – razem w sumie ponad 30 tys. dolarów – stanowią tylko niecałe 9% wszystkich nagród dla polskich bug hunterów za sam rok 2016. Według statystyk bug bounty firmy Google w ubiegłym roku w ręce rodzimych tropicieli błędów trafiło bowiem 341 tys. dolarów, plasując Polaków na trzecim miejscu za łowcami z Rosji (351 tys. $) i Chin (675 tys. $). Od czego zacząć własne łowy na cenne podatności?

– Myśl jak złośliwy włamywacz: bądź kreatywny, szybko się adaptuj i polegaj na własnym sprycie oraz inteligencji, a nie na zautomatyzowanych narzędziach – mówi Daniel Suchocki, trener informatyki śledczej Autoryzowanego Centrum Szkoleniowego DAGMA – Oczywiście elementarna wiedza o sieciach komputerowych będzie tu nieodzowna, ale od bezpłatnych przewodników po tej tematyce dzieli nas kilka kliknięć.

Początkujący łowca błędów wiele cennych informacji znajdzie też na konferencjach informatycznych spod znaku „white hat” (białe kapelusze to symbol praktyków etycznego hackingu) takich jak bezpłatna Silesia Hack’n’Security czy znany krakowski CONFidence. Spotkanie i rozmowa z obecnymi tam ekspertami szybko zweryfikują, czy nasze wyobrażenie o pracy tropiciela podatności pokrywa się z realiami branży. A jeśli o drodze bug bounty huntera myślimy już naprawdę poważnie, sensownym pomysłem będzie inwestycja w profesjonalny trening z hackingu i metod cyberprzestępczości. Prócz zdobycia fachowej wiedzy zaletą takich szkoleń jest wymiana doświadczeń z administratorami, którzy studiując hacking chcą uzyskać dokładniejszy ogląd podatności w swojej sieci.

Keren Elazari, analityczka cyberbezpieczeństwa z uniwersytetu w Tel Avivie podczas swojego wystąpienia na TedX w 2014 użyła sformułowania „hakerzy to układ odpornościowy Internetu”. I rzeczywiście – polując na groźne luki bezpieczeństwa mają oni duży wkład w zwalczanie sieciowych patologii jak ransomware czy siatki komputerów zombie. Łowienie błędów oprogramowania może być bardziej ekscytujące niż obławy na potwory w grach „Wiedźmin” i „Dark Souls”, a liczba realnych finansowych trofeów do zgarnięcia będzie w najbliższych latach rosła.

źródło: DAGMA

Kan