Artikel top billede

Sådan bliver du hacker på under en uge

På seks dage kan du blive undervist og indført i brugen af detaljerede hacking-værktøjer og -teknikker hos en stor amerikansk kursusudbyder. Hvad er meningen med galskaben?

Etik og hacking.

Umiddelbart er det sjældent, at de to ord går hånd i hånd, men sådan er det hos det privatejede amerikanske selskab Sans Institute, der sælger kurser vedrørende sikkerhedstræning.

Kursisterne hos Sans Institute lærer blandt andet at bryde ind på netværk og i webapplikationer samt lægge hjemmesider ned med DDoS-angreb.

Meningen med galskaben er at ruste kursisterne, som typisk er professionelle sikkerhedsfolk, til at forstå og ikke mindst modstå rigtige hackerangreb fra ondsindede it-kriminelle ude i den virkelige verden.

"De cyberkriminelle er meget veludstyrede, og der er i de seneste år kommet rigtig mange værktøjer på markedet, som de kan benytte sig af til blandt andet DDoS-angreb," fortæller James Lyne, der er Sans-direktør og til dagligt er ansvarlig for teknologistrategi hos sikkerhedsselskabet Sophos.

Han forklarer til Computerworld, at etisk hacking er nødvendig for, at sikkerhedsansvarlige blandt lærer at vurdere anti-DDoS-produkter, identificere angreb og mulige bagdøre i deres respektive virksomheders it-infrastruktur.

"Folk skulle gerne komme ud af kurserne med en detaljeret forståelse for, hvordan man kan imødegå hackerangreb," lyder det fra James Lyne.

Hacker-uddannelsen kan misbruges

Sans Institute har haft omkring 100.000 kursister igennem sine omkring 60 sikkerhedskurser, hvoraf fire direkte handler om etisk hacking, målrettet sikkerhedsfolk med hænderne på netværkswitches og anden it-infrastruktur.

Den slags kurser varer seks dage og indeholder blandt andet praktiske øvelser i hacker- og DDoS-angreb, og her er det alt fra politifolk til sikkerhedsfolk i især finans- og den offentlige sektor, som betaler kursusprisen på omkring 30.000 kroner.

James Lyne erkender, at visse kurser hos Sans institute udruster kursisterne med værktøjer og en grundig indsigt i, hvordan de selv kan udføre et rigtigt hackerangreb mod forskellige styresystemer på både pc'er og på mobilen og igennem netværk, web-apps og servere.

"Jeg mener dog, at alternativet med et stigende antal hackere og uvidende sikkerhedsfolk er meget værre, Folk skal vide, at hackerværktøjerne er derude, og at hackerne er alle steder," siger James Lyne, som selv underviser i et kursus, hvor folk lærer om hackerteknikker, sårbarheder og sikkerhedshåndtering.

Så mange Sans-kursister har misbrugt deres viden

På dette kursus bliver der eksempelvis fortalt om de 250.000 ondsindede kodestumper, der dagligt bliver fabrikeret og genbrugt på nettet mod 6.000 i 2009, og om hackernes tankegang mod det endelige mål - at stjæle penge, informationer og smadre forretningen.

"Du kan helt sikkert lære en masse om cyberkriminalitet hos os, men du kan på ingen måde blive en avanceret hacker. Den slags kræver mange års erfaring og et naturtalent," bedyrer James Lyne.

Ja, vi er paranoide

Han fortæller, at sikkerhedstræningskurset har modtaget 146 rapporteringer om tidligere kursister, der har misbrugt deres tillærte evner til eksempelvis at sniffe netværkstrafik på konferencer, hvilket er i strid med det etiske kodeks, som kursisterne bliver briefet om inden kurset.

Sikkerhedsunderviseren afviser dog kendskab til, at tidligere kursister har brugt deres nye evner til at begå storstilede netværksindbrud hos andre selskaber eller i netbanker.

"Vi er ret paranoide omkring den slags, så alle undervisere bliver instrueret i at rapportere, hvis nogen kursister stiller 'underlige spørgsmål', eller underviseren har en mistanke om, at en kursist udviser en besynderlig adfærd," fortæller James Lyne.

Han vender samtidig problematikken om:

"Måske skulle virksomhedsledere og it-ansvarlige også tænke sig ekstra godt om, når de hyrer nyuddannede folk til en lav løn til at administrere deres it-infrastruktur."

Beskyt alle 1.000 huller på en gang

James Lyne understreger, at det aldrig har været så nemt som nu at komme i gang med en cyberkriminel løbebane.

Det skyldes, at antallet af gratis/billige værktøjer aldrig har været højere, hvilket også gælder spredningen af ondsindet kode og niveauet for videndeling i de it-kriminelle miljøer. 

"Hvis du vil være slem, så er det nemt. Derimod er det straks sværere at være it-sikkerhedsansat. En angriber banker på 1.000 døre og skal bare igennem én af dem, mens sikkerhedsfolkene hele tiden skal holde øje med alle 1.000 døre på én gang," siger James Lyne.

Ud over Sans Institutes kurser, der blandt andet bliver afholdt forskellige steder i Europa, er der en del andre sikkerhedskurser som blandt andre CEH (Certified Ethical Hacking) og Offensive Securty, der underviser og certificerer i etisk hacking.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
Højer og Lauritzen ApS
Distributør af pc- og printertilbehør.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
Compliance og strategisk it-sikkerhed efter DORA

Finansielle koncerner har i snit 85 sikkerhedsløsninger i drift – men er i snit op til 100 dage om at opdage et igangværende cyberangreb. Ydermere viser øvelser, at det typisk tager 4-6 uger at rense og genetablere sikker drift af centrale systemer efter et stort angreb. Fokus for dagen vil derfor være på henholdsvis governance samt om, hvordan du som it-leder i den finansielle sektor skal kunne håndtere fremtidens cybertrusler og arbejde effektivt med sikkerhed på et strategisk niveau.

04. april 2024 | Læs mere


EA Excellence Day

Hvad er det, der gør it-arkitektens rolle så vigtig? Og hvad er det for udfordringer inden for områder som cloud, netværk og datacentre, som fylder hos nogle af landets bedste it-arkitekter lige nu? Det kan du her høre mere om og blive inspireret af på denne konference, hvor du også får lejlighed til at drøfte dette med ligesindede.

16. april 2024 | Læs mere


IAM - din genvej til højere sikkerhed uden uautoriseret adgang og datatab

På denne dag udforsker vi de nyeste strategier, værktøjer og bedste praksis inden for IAM, med det formål at styrke virksomheders sikkerhedsposition og effektiviteten af deres adgangsstyringssystemer og dermed minimere risikoen for uautoriseret adgang og datatab. Og hvordan man kommer fra at overbevise ledelsen til rent faktisk at implementere IAM?

18. april 2024 | Læs mere