IT Security Engineer a.k.a. White-Hat Hacker

Digitalisierung erhöht Nachfrage nach IT-Security
Corona hat unsere Welt mit harten Lockdowns und dem daraus resultierenden Social Distancing schwer verändert. Die Digitalisierung unserer Unternehmen wurde durch Corona zusätzlich angetrieben. Das bedeutet jedoch auch automatisch, dass der Bedarf an IT-Sicherheit ansteigt. Es gehen immer mehr Systeme, Web-Applikationen und andere Kommunikationsmittel online, die es den Mitarbeitern ermöglichen, von zu Hause aus zu arbeiten. Diese Systeme sind leider oft nicht ausreichend vor Daten-Diebstahl, Missbrauch oder Manipulation durch Hacker geschützt.

• White-Hat: Hacken mit legalem Auftraggeber nach ethischen Prinzipien
• Grey-Hat: Hacken ohne legalen Auftraggeber, jedoch nach ethischen Prinzipien
• Black-Hat: Hacken ohne legalen Auftraggeber um Schaden zu verursachen, illegal Geld zu verdienen

Man muss wie ein Dieb denken um sich vor Dieben zu schützen. So geht auch ein IT Security Engineer vor. Es wird aus Sicht des Angreifers, des Black-Hat-Hackers gedacht und gehandelt.

1. Passive Reconnaissance
Als erstes werden alle öffentlich zugänglichen Informationen gesammelt ohne wirklich mit dem zu hackenden System verbunden zu sein. Zum Beispiel Informationen über Google oder Facebook und andere Soziale Medien, oder den Quelltext der Unternehmens-Webseite. Bis zu diesem Punkt bewegt man sich im legalen Bereich.

2. Active Reconnaissance
Nun interagiert man direkt mit dem zu hackenden System. Falls man ohne Auftraggeber handelt, könnte man in Schwierigkeiten geraten. Es werden mittels Tools wie nmap (network mapper) Informationen zu Ports und Services abgefragt, Schwachstellen-Tests z.B. einer Wordpress-Installation durch wpscan durchgeführt. Dadurch könnte der Pentester entdeckt werden, wenn er nicht zuvor durch Tools wie proxychains seinen Standort über 100 Länder der Welt verteilt.

3. Gaining Access / Exploitation
Die zuvor gefundenen Schwachstellen werden auf Angreifbarkeit geprüft. Die ersten Angriffe durch Tools wie Metasploit öffnen weitere Türen um relevante Informationen abzugreifen. Ziel ist es, die Privilegien auf Administrator Ebene auszuweiten.

4. Maintaining Access / Post Exploitation
Um auch zukünftig auf das System zugreifen zu können, wird eine Hintertür eingerichtet, z.B. durch Rootkits, Trojaner und Co. Anschließend werden alle Spuren des Hacks gelöscht um weiterhin im verborgenen handeln zu können. Ein zukünftiger Zugriff auf gehackte Systeme macht Sinn um beispielsweise ein Botnetz aufzubauen.

5. Reporting
Dies ist der eigentliche Unterschied zum Black-Hat Hacker. Der Pentester hat das gesamte Vorgehen akribisch genau dokumentiert. Der Report beinhaltet jegliche gefunden Vulnerabilities, deren Risiken und Auswirkungen sowie eine Lösung zur Beseitigung des Problems.

Penetrations-Tester in Deutschland können mit einem Junior-Gehalt zwischen 45.400€ und 53.800€ rechnen. Senior-Gehälter können auch bis zu und über 70.000€ liegen.

Das ist schon recht viel, jedoch geht das noch besser - durch BugBounties. Firmen wie Google, Apple und Microsoft schreiben BugBounties aus, z.B. gibt es für das Auffinden einer kritischen Sicherheitslücke innerhalb einer High-Priority App bis zu 30.000$ Belohnung.

Es gibt jedoch auch viele öffentliche Plattformen wie hackerone.com oder intigriti.com auf welchen diese BugBounty Programme ausgeschrieben werden. Durch diese BugBounty-Programme sind schon einige Ethical-Hacker zu Millionären geworden, auch in Deutschland.

Jeder kennt sicherlich eines oder mehrere der Betriebssysteme wie Windows, MacOS, iOS oder Ubuntu. Jedes hat unterschiedliche Zielgruppen und Anwendungsfälle. Windows und MacOS gehören zu den am meisten verwendeten Endbenutzer-Betriebssystemen, in privaten Haushalten wie auch geschäftlich. Diese hausüblichen Systeme legen großen Wert auf Anwenderfreundlichkeit. Die Aufgabe eines Betriebssystem (OS) ist es, zwischen der Software, die der Anwender ausführt, und der Hardware als Schnittstelle zu dienen. Im Gegensatz zu Windows basieren tausende von Betriebssystem auf dem sehr beliebten Linux-Kernel. Man nennt diese auch Distributionen. Eine davon ist Kali Linux.

Kali Linux ist ein Betriebssystem, das von professionelle Benutzer z.B. aus der IT-Sicherheit verwendet wird, um extensive Penetrations-Tests vorzunehmen. Anwenderfreundlichkeit wird bei Kali nicht großgeschrieben, jedoch kann die Hardware durch Konsolen-Befehle bis ins kleinste Detail gesteuert werden. Die meisten Programme besitzen kein Grafisches Interface und werden in der Linux-Konsole ausgeführt. Entwickelt wurde das Betriebssystem von der Firma Offensive Security und ist seit 2013 kostenlos (Open Source) verfügbar. IT Security Engineers, White- und Black-Hat-Hacker verwenden gerne Kali Linux, jedoch mit unterschiedlichen Zielen und Moralvorstellungen.

Aber um ehrlich zu sein, ein guter Hacker braucht kein Kali Linux. Dieser kann genauso gut mit einer Windows Maschine Systeme zum Absturz bringen. Es reicht bereits ein handelsübliches Smartphone.

Einen vollwertigen Schutz vor Cyber-Angriffen sollte man dann schon den IT Security Engineers überlassen. Um den Anfang des Artikels nochmals hervorzuholen, die fortschreitende Digitalisierung sowie die Zuspitzung der Notwendigkeit des Homeoffice-Arbeitsplatzes durch Corona erhöhen eindeutig die Nachfrage nach IT-Security sowie der Schulung der eigenen Mitarbeiter.

Schulungen sowie IT-Security Engineers sind nicht günstig, jedoch ist im Falle eines Hacker-Angriffes die mögliche Verlustsumme um das Zehnfache höher als die prophylaktische Ausgabe für IT-Security.

Ein einfaches Beispiel: Phishing Mails. Das können gefälschte E-Mails, Webseiten oder SMS sein, mit dem Ziel an die persönliche Daten eines Benutzers zu gelangen. Das Erkennen einer solchen E-Mail ist manchmal gar nicht so leicht. Ein einfaches Beispiel des Zieles einer Phishing Mail wäre an einen SocialMedia Account zu gelangen um harmlosen »Schabernack« zu treiben. Hacker benötigen für das Aufsetzen und Versenden einer solchen Phishing-Mail nicht mehr als 2 Minuten. Und teils sind diese Personen keine 36 Jahre alt (wie ich), sondern 12!

In gravierenderen Fällen kann es zu Erpressungen kommen oder zu Missbrauch der eigenen Personendaten.

Wenn Sie prüfen wollen, ob Ihre Webseite und das verwendete CMS den aktuellen Sicherheitsrichtlinien entsprechen oder wissen wollen, woran man eine Phishing-E-Mail erkennt, kontaktieren Sie uns. Wir helfen Ihnen weiter mit unserem Expertenwissen im Bereich Web- und Internet-Security.